Насколько безопасно облачное хранилище? Список дел для оценки провайдеров

Облачное хранилище дает вашей рабочей группе единое место для доступа, синхронизации и общего доступа к файлам. Однако безопасность зависит от поставщика и от того, какие средства управления фактически использует ваша рабочая группа. Прежде чем сделать выбор, посмотрите не только на список дел и функций, но и сравните повседневные средства защиты: разрешения, варианты восстановления, шифрование и настройки администратора.

Задайте более практичный вопрос: может ли Сервис Protect файлы, которыми ваша рабочая группа делится, которые редактирует, копирует и восстанавливает в ходе повседневной работы?

Вам нужно нечто большее, чем общие обещания о сохранности файлов, если вы храните, например:

• контракты;
• Финансовые документы
• Информация о пользователе
• Творческие материалы
• Внутренние планы

В этом руководстве рассматриваются функции безопасности облачных хранилищ, которые стоит сравнить: от шифрования и разрешений до поддержки соответствия требованиям, вариантов восстановления и управления администратором. Чтобы узнать, как Dropbox реализует эти меры защиты, ознакомьтесь с функциями безопасности Dropbox или сравните тарифные планы.

Насколько безопасно облачное хранилище для конфиденциальных бизнес-данных?

Облачное хранилище может быть достаточно безопасным для конфиденциальных бизнес-данных, но провайдер должен качественно выполнять четыре задачи:

• Protect файлов во время хранения и при передаче
• Позволяет контролировать, кто может просматривать, редактировать, поделиться и загружать файлы
• Обеспечьте администраторам контроль над рискованными событиями с файлами и предоставлением доступа
• Позволяют быстро восстановить данные после случайного удаления, перезаписи или атак

Риск заключается в предположении, что эти базовые принципы работают одинаково везде. Надежное шифрование не всегда сопровождается надежным управлением доступом, а удобная совместная работа не всегда обеспечивает полезную видимость для администратора. Поддержка соответствия требованиям также не подскажет, как быстро можно восстановить удаленный, перезаписанный или скомпрометированный файл.

Используйте список дел для сравнения шифрования, средств контроля доступа, видимости для администраторов, поддержки соответствия требованиям и возможностей восстановления у каждого поставщика, прежде чем доверить ему конфиденциальные данные.

Чем опасно хранение файлов онлайн?

Инциденты с облачным хранилищем не всегда являются результатом злонамеренных действий — на самом деле многие из них начинаются с того, что обычные пользователи совершают незначительные человеческие ошибки. Вот несколько примеров того, как обычные события могут повлиять на безопасность в рабочих группах:

• Общая ссылка остается открытой дольше, чем следует
• У бывшего подрядчика по-прежнему есть доступ к папке
• Конфиденциальный файл загружается на потерянный ноутбук
• Участник команды перезаписывает финальную версию документа
• Администратору нужен контрольный журнал, но он не может его найти

Поделиться файлами просто, но не менее важно обеспечить возможность управления доступом в дальнейшем, чтобы сохранить содержимое защищенным.

Для защиты содержимого недостаточно одного шифрования. Разрешения, видимость, восстановление и управление политиками играют ключевую роль в обеспечении безопасности файлов и удобства их управления.

Когда все компоненты работают вместе, вы можете быть уверены, что ваши файлы остаются в надежных руках.

Как оценить, достаточно ли безопасен поставщик облачного хранилища для конфиденциальных Business данных?

Не полагайтесь на интуицию. Используйте этот список дел, прежде чем подписать договор или расширить аккаунт:

1. Проверьте, как поставщик шифрует данные

Как минимум, убедитесь в наличии шифрования данных в состоянии покоя и при передаче. Хранящиеся файлы должны быть защищены в инфраструктуре провайдера, а передаваемые файлы — при перемещении между пользователями, приложениями и серверами.

Если поставщик не может объяснить это простым языком, продолжайте разбираться. Безопасность, которую трудно описать, обычно трудно и оценить.

2. Проверяйте, у кого есть доступ к файлам, папкам и ссылкам

При работе с облачным хранилищем крайне важно сохранять полный контроль над доступом к вашему содержимому. Узнайте, можно ли настроить безопасные функции разрешений для файлов и предоставления доступа по ссылке, такие как:

• Доступ Только просматривать
• Права на редактирование
• Ограничения на скачивание
• Защита при помощи пароля
• Сроки действия для ссылок

Также уточните, можно ли устанавливать разрешения на уровне файла, а не только на уровне папки.

Эти средства управления важны, потому что конфиденциальные данные редко раскрываются только через хранение — именно при совместном доступе они становятся уязвимыми.

3. Проверьте, что могут видеть и чем управлять администраторы

Надежный сервис облачного хранилища должен помогать быстро находить ответы на следующие практические вопросы:

• У кого есть доступ к этой папке?
• Какие ссылки были предоставлены внешним пользователям?
• Можно ли централизованно управлять группами и ролями?
• Работает ли продукт с системой единого входа (SSO) или внешним поставщиком удостоверений?

Если администраторы не видят, что происходит, им будет сложно контролировать соблюдение политики.

4. Проверьте восстановление, журнал версий и готовность к защите от программ-шантажистов

Иногда файлы пропадают, черновики изменяются, а устройства оказываются не там, где вы их оставили. Важно иметь решение, которое поможет вам подготовиться ко всему, что может произойти.

При выборе поставщика услуг важно знать, в течение какого времени можно восстановить удаленные файлы, доступен ли журнал версий для всех типов файлов и какие возможности предлагаются для массового восстановления данных, особенно после непредвиденных ситуаций, таких как случайное редактирование или атака программы-шантажиста.

Быстрое и надежное восстановление помогает защитить вашу информацию.

5. Решите, требуется ли шифрование с нулевым разглашением

Некоторые рабочие группы считают, что стандартное шифрование в сочетании с надежными средствами контроля доступа и надзором со стороны администратора отвечает их потребностям.

Однако другим пользователям — особенно тем, кто работает с конфиденциальной интеллектуальной собственностью или регулируемыми данными, — стоит рассмотреть шифрование с нулевым разглашением или сквозное шифрование (E2EE) для дополнительного спокойствия.

Важнее всего понимать, как работает сквозное шифрование, где оно применяется и какие нюансы с ним связаны, а не просто то, упоминает ли о нём поставщик услуг.

6. Ознакомьтесь с сертификатами и поддержкой правовых норм

Обратите внимание на то, прошел ли поставщик услуг независимую проверку. Сертификаты и отчеты не гарантируют идеальной защиты, но подтверждают, что средства контроля были задокументированы, оценены и поддерживаются в актуальном состоянии.

Если вашей рабочей группе необходимо соответствовать определенным отраслевым стандартам Standard, полезно узнать, какие ресурсы доступны помимо стандартных сертификаций. Хотя надежные меры безопасности важны, инструменты соответствия, адаптированные к вашей сфере, могут действительно многое изменить.

7. Проверьте прозрачность, документацию и поддержку

Надёжный поставщик услуг помогает легко ориентироваться в своих функциях безопасности. Ищите такие ресурсы, как центр безопасности, актуальные отчёты, подробные сведения о продукте, руководства по настройке и простые способы получить поддержку, когда вам нужны быстрые ответы.

Когда информация о безопасности легко доступна, рабочие группы могут уверенно проверять и оценивать решения — без ожидания дополнительных звонков и поиска деталей.

Как насчет шифрования с нулевым разглашением?

Шифрование с нулевым разглашением обеспечивает дополнительный уровень конфиденциальности между вашими файлами и облачной службой. При таком подходе шифрование и расшифровка вашего содержимого выполняются только на доверенных устройствах, а не на серверах компании.

Dropbox предлагает папки со сквозным шифрованием по технологии с нулевым разглашением для конфиденциальных, секретных или служебных данных, при этом содержимое шифруется и расшифровывается только на утвержденных устройствах.

Это лишь часть общей картины в наборе функций безопасности потенциального инструмента. Шифрование с нулевым разглашением не заменяет средства контроля доступа, возможности аудита, защиту ссылок, защиту устройств и процессы восстановления. Если поставщик делает ставку только на эту функцию, продолжайте оценку.

Какие сертификаты безопасности следует искать в услуге для обмена файлами?

Начните с изучения отчетов о сертификации и соответствии — они дают ценную статистику о том, как поставщик управляет своими практиками безопасности.

Ниже приведен краткий обзор распространенных сертификатов безопасности и того, что они говорят о поставщике услуг:

• SOC 2— демонстрирует продуманный подход к управлению безопасностью, доступностью, целостностью обработки, конфиденциальностью и защитой данных
• ISO 27001— надежная основа для управления информационной безопасностью
• ISO 27017 и ISO 27018— указывают на то, что поставщик способен предоставить ценные рекомендации по безопасности и конфиденциальности в облаке
• CSA STAR— показывает, что сервис обеспечивает независимую оценку безопасности облака, превосходящую минимальные требования

Dropbox имеет сертификаты ISO 27001, ISO 27017, ISO 27018, ISO 27701, SOC 1, SOC 2, SOC 3 и CSA STAR уровня 2 для соответствующих продуктов.

Изучив сертификаты, выберите поставщика услуг, отвечающего Вашим потребностям. Например, если Ваши материалы содержат защищенную медицинскую информацию, проверьте, поддерживают ли они требования HIPAA. Для государственных проектов, связанных с контролируемой информацией, ознакомьтесь с документацией NIST.

Помните, что цель — убедиться, что поставщик может предоставить актуальные и релевантные доказательства для того типа данных, которые вы храните, а не просто набор аббревиатур.

Как Dropbox обеспечивает безопасность облачного хранилища

Теперь, зная, на что обратить внимание, вы можете оценить Dropbox по тому же списку дел.

Для защиты ваших данных в облачном хранилище Dropbox используются следующие меры:

• Файлы, хранящиеся в Dropbox, защищаются системой 256-разрядного шифрования AES во время хранения
• Данные, передаваемые между приложениями и серверами, проходят через защищенное соединение SSL/TLS.

Дополнительные сведения об этих средствах защиты можно найти на странице облачной безопасности Dropbox, где представлен наглядный обзор того, как ваше содержимое остается в безопасности на каждом этапе.

Для безопасного обмена файлами Dropbox предоставляет в поддерживаемых тарифных планах следующее:

• Гибкая настройка разрешений для файлов, включая доступ только для просмотра
• Защита при помощи пароля
• срок действия
• Общие ссылки

Вместе эти функции помогают контролировать, кто может открывать файл и как долго остается активным доступ к нему.

Для восстановления файлов Dropbox может:

• Сохраняет журнал версий для всех типов файлов
• Восстановление старых версий файлов

Некоторые тарифный план включают возможность восстановить удалять файл, обеспечивая дополнительную гибкость и спокойствие. Если устройство пропало, вы можете использовать удаленное стирание данных, чтобы удалить данные Dropbox на этом устройстве, сохранив ваши файлы в безопасности в вашем аккаунте.

Выберите облачное хранилище, надежное в реальной работе

Облачное хранилище обеспечивает высокий уровень безопасности, если поставщик умеет Protect файлы, не замедляя работу вашей рабочей группы. Оно должно делать услугу для обмена файлами безопаснее, восстановление быстрее, а контроль безопасности проще.

Выберите решение, которое не ограничивается упоминанием шифрования, — ищите поставщика, который обеспечивает безопасность работы, даже когда команды работают в быстром темпе. Ознакомьтесь с тарифными планами Dropbox, чтобы узнать подробнее.