Наскільки безпечне хмарне сховище? Перелік для оцінювання провайдерів

Хмарне сховище надає вашій команді єдине місце для доступу, синхронізації та спільного доступу до файлів. Але безпека залежить від постачальника та засобів контролю, якими фактично користується ваша команда. Перш ніж зробити вибір, погляньте далі за перелік функцій і порівняйте повсякденні засоби захисту: дозволи, параметри відновлення, шифрування та параметри адміністратора.

Поставте більш практичне запитання: чи здатна служба Protect файли, якими ваша команда ділиться, які редагує, створює резервні копії та відновлює під час щоденної роботи?

Вам потрібно більше, ніж загальна обіцянка щодо безпеки ваших файлів, якщо ви зберігаєте такі дані, як:

• договори;
• Фінансові документи
• Інформація про клієнта
• Творчі ресурси
• Внутрішні тарифні плани

Цей посібник розповідає про функції безпеки хмарного сховища, які варто порівняти: від шифрування й дозволів до підтримки відповідності вимогам, параметрів відновлення та адміністраторських засобів керування. Щоб дізнатися, як Dropbox реалізує ці засоби захисту, ознайомтеся з функціями безпеки Dropbox або порівняйте тарифні плани.

Наскільки безпечним є хмарне сховище для конфіденційних Business-даних?

Хмарне сховище може бути достатньо безпечним для конфіденційних бізнес-даних, але постачальник послуг повинен добре виконувати чотири речі:

• Protect файли під час зберігання та передачі
• Дозволяє контролювати, хто може переглядати, редагувати, поділитися та завантажувати файли
• Надайте адміністраторам можливість відстежувати ризиковане надання доступу чи дії з файлами
• Дає змогу швидко відновити дані після випадкового видалення, перезапису або атак

Ризик полягає в припущенні, що ці базові функції працюють однаково всюди. Надійне шифрування не завжди супроводжується надійним керуванням спільним доступом, а зручна співпраця не завжди забезпечує корисну видимість для адміністратора. Підтримка відповідності стандартам також не скаже вам, наскільки швидко ви зможете відновити видалений, перезаписаний або скомпрометований файл.

Скористайтеся переліком, щоб порівняти шифрування, засоби контролю доступу, видимість для адміністратора, підтримку відповідності вимогам і варіанти відновлення в кожного постачальника, перш ніж довіряти йому конфіденційні дані.

Чому зберігання файлів онлайн може бути ризикованим?

Інциденти з хмарним сховищем не завжди є наслідком зловмисних дій — насправді багато з них починаються з того, що звичайні користувачі припускаються дрібних людських помилок. Ось кілька способів, як звичайні дії можуть вплинути на безпеку в командах:

• Посилання на спільний доступ залишається відкритим довше, ніж слід
• Колишній підрядник досі має доступ до папки
• Конфіденційний файл завантажено на втрачений портативний комп'ютер
• Учасник команди перезаписує остаточну версію документа
• Адміністратору потрібен контрольний журнал, але він не може його знайти

Ділитися файлами просто, але не менш важливо переконатися, що ви зможете керувати доступом надалі, щоб захистити свій вміст.

Захист вашого вмісту передбачає не лише шифрування. Дозволи, видимість, відновлення та контроль політик — усе це відіграє ключову роль у забезпеченні безпеки файлів і зручності керування ними.

Коли всі елементи працюють злагоджено, ви можете бути впевнені, що ваші файли залишаються в надійних руках.

Як оцінити, чи достатньо безпечний постачальник хмарного сховища для конфіденційних бізнес-даних?

Не покладайтеся на інтуїцію. Скористайтеся цим переліком, перш ніж підписати договір або розширити обліковку:

1. Перевірте, як постачальник шифрує дані

Щонайменше зверніть увагу на шифрування збережених даних і шифрування даних під час передавання. Збережені файли мають бути захищені в інфраструктурі провайдера, а файли, що передаються, — під час руху між користувачами, програмами та серверами.

Якщо постачальник не може пояснити це простою мовою, продовжуйте з’ясовувати. Захист, який важко описати, зазвичай важко й оцінити.

2. Перевірте, кому доступні файли, папки та посилання

Збереження повного контролю над доступом до вашого вмісту є надзвичайно важливим під час роботи з хмарним сховищем. Запитайте, чи можна налаштувати безпечні функції дозволів на доступ до файлів та надання спільного доступу за посиланням, як-от:

• Лише перегляд доступ
• Редагування дозволів
• Обмеження завантаження
• Захист паролем
• Дати закінчення терміну дії посилань

Також запитайте, чи можна встановлювати дозволи на рівні файлів, а не лише на рівні папок.

Ці засоби контролю важливі, адже конфіденційні дані рідко розкриваються лише під час зберігання — саме під час надання спільного доступу вони стають вразливими.

3. Перевірте, що можуть бачити й контролювати адміністратори

Безпечна служба хмарного сховища має допомогти швидко відповісти на такі практичні запитання:

• Хто має доступ до цієї папки?
• Які посилання були надані зовнішнім користувачам?
• Чи можна керувати групами й ролями централізовано?
• Чи працює продукт із системою єдиного входу (SSO) або зовнішнім постачальником посвідчень?

Якщо ваші адміністратори не бачать, що відбувається, їм буде важко застосовувати політику.

4. Перевірте відновлення, журнал версій і готовність до програм з вимогою викупу

Іноді файли зникають, чернетки змінюються, а пристрої опиняються не там, де ви їх залишили. Важливо мати рішення, яке допоможе вам бути готовими до будь-яких ситуацій.

Обираючи постачальника послуг, важливо знати, як довго можна відновлювати видалені файли, чи доступний журнал версій для кожного типу файлів і які варіанти пропонуються для масштабного відновлення даних — особливо після непередбачених подій, як-от випадкове редагування чи атаки програм з вимогою викупу.

Швидке та надійне відновлення допомагає захистити вашу інформацію.

5. Визначте, чи є шифрування з нульовим розголошенням обов'язковою вимогою

Деякі команди вважають, що стандартне шифрування в поєднанні з надійним контролем доступу та наглядом адміністратора задовольняє їхні потреби.

Проте інші, зокрема ті, хто працює з конфіденційною інтелектуальною власністю або регульованими даними, можуть розглянути технологію нульового розголошення чи наскрізне шифрування (E2EE) для додаткового спокою.

Найважливіше — розуміти, як працює наскрізне шифрування (E2EE), де воно доречне та які нюанси з ним пов’язані, а не лише те, чи згадує про нього постачальник.

6. Перегляньте сертифікацію та підтримку відповідності стандартам

Шукайте докази того, що постачальник пройшов незалежну перевірку. Сертифікати та звіти не гарантують ідеальної безпеки, але свідчать про те, що засоби контролю було задокументовано, оцінено та підтримується.

Якщо вашій команді потрібно відповідати певним галузевим стандартам, корисно дізнатися, які ресурси доступні на додаток до стандартних сертифікацій. Хоча надійні заходи безпеки важливі, інструменти відповідності, адаптовані до вашої галузі, можуть суттєво змінити ситуацію.

7. Перевірте прозорість, документацію та підтримку

Надійний постачальник допомагає легко орієнтуватися у своїх функціях безпеки. Шукайте такі ресурси, як Центр безпеки, актуальні звіти, докладну інформацію про продукт, інструкції з налаштування та зручні способи отримати підтримку, коли потрібні швидкі відповіді.

Коли інформація про безпеку легко доступна, команди можуть впевнено переглядати й оцінювати рішення — без очікування додаткових дзвінків чи пошуку деталей.

Як щодо шифрування з нульовим розголошенням?

Шифрування з нульовим розголошенням забезпечує додатковий рівень конфіденційності між вашими файлами та хмарною службою. За такого підходу процес шифрування та розшифрування вашого вмісту обробляють лише довірені пристрої, а не все відбувається на серверах компанії.

Dropbox пропонує наскрізно зашифровані папки з нульовим розголошенням для чутливих, конфіденційних або службових даних, де вміст шифрується та розшифровується лише на схвалених пристроях.

Це все ще лише частина загальної картини в наборі функцій безпеки потенційного інструмента. Шифрування з нульовим розголошенням не замінює контролю доступу, можливості аудиту, безпеки посилань, захисту пристроїв чи процесів відновлення. Якщо постачальник пропонує лише цю функцію, продовжуйте оцінювання.

Які сертифікати безпеки варто шукати в рішеннях для надання спільного доступу до файлів?

Почніть з ознайомлення зі звітами про сертифікації та звіт про відповідність — вони пропонують цінну аналітику щодо того, як постачальник керує своїми практиками безпеки.

Ось короткий огляд поширених сертифікатів безпеки та того, що вони свідчать про постачальника:

• SOC 2— демонструє продуманий підхід до управління безпекою, доступністю, цілісністю обробки, захистом даних і конфіденційністю
• ISO 27001— забезпечує надійну основу для управління інформаційною безпекою
• ISO 27017 та ISO 27018— свідчить про те, що постачальник може надати цінні рекомендації щодо безпеки та конфіденційності в хмарі
• CSA STAR— свідчить про те, що служба надає незалежну оцінку безпеки хмари‌ понад мінімальні вимоги

Для відповідних продуктів Dropbox має сертифікати ISO 27001, ISO 27017, ISO 27018, ISO 27701, SOC 1, SOC 2, SOC 3 та CSA STAR Level 2.

Переглянувши сертифікати, виберіть постачальника, який відповідає вашим потребам. Наприклад, якщо Ваша робота пов’язана із захищеною медичною інформацією, перевірте, чи підтримуються вимоги HIPAA. Або, для державних Проєктів, що передбачають роботу з контрольованою інформацією, зверніться до документації NIST.

Пам’ятайте, що мета — підтвердити, що постачальник може надати актуальні й доречні докази для того типу даних, який ви зберігаєте, а не лише набір абревіатур.

Як Dropbox забезпечує безпеку хмарного сховища

Тепер, коли ви знаєте, на що звертати увагу, можна оцінити Dropbox за тим самим переліком.

Ось як Dropbox захищає ваші дані в хмарному сховищі:

• Файли, що зберігаються у Dropbox, шифруються «у стані спокою» за 256-бітним стандартом AES
• Дані, що передаються між програмами та серверами, проходять через безпечне з’єднання SSL/TLS.

Щоб дізнатися більше про ці засоби захисту, відвідайте сторінку хмарної безпеки Dropbox, де ви знайдете чіткий огляд того, як ваш вміст залишається захищеним на кожному етапі.

Для безпечного надання спільного доступу до файлів Dropbox пропонує наведені нижче можливості в підтримуваних тарифних планах:

• Гнучкі дозволи для файлів, зокрема доступ лише для перегляду
• Захист паролем
• дата закінчення дії термін дії
• Посилання на спільний доступ

Разом ці функції допомагають контролювати, хто може відкрити файл і як довго доступ залишається активним.

Для відновлення файлів Dropbox може:

• Зберігає журнал версій для всіх типів файлів
• Відновлення попередніх версій файлів

Певні тарифні плани передбачають можливість відновлення видалених файлів, надаючи вам додаткову гнучкість і спокій. Якщо пристрій втрачено, ви можете скористатися дистанційним стиранням, щоб вилучити дані Dropbox із цього пристрою, зберігаючи ваші файли в безпеці у вашій обліковці.

Виберіть хмарне сховище, яке витримає реальні робочі завдання

Хмарне сховище дуже безпечне, якщо ваш постачальник послуг може Protect файли, не сповільнюючи роботу вашої команди. Воно має зробити надання спільного доступу до файлів безпечнішим, відновлення — швидшим, а контроль безпеки — простішим.

Оберіть рішення, яке не лише згадує про шифрування, — шукайте постачальника, який забезпечує безпеку роботи навіть тоді, коли команди працюють у швидкому темпі. Ознайомтеся з тарифними планами Dropbox, щоб Докладніше.