Proteger los activos digitales de amenazas internas

  

¿Hay algún mecanismo de seguridad que pueda proteger a una empresa de empleados malintencionados (piense en administradores de bases de datos, administradores de sistemas responsables de la autenticación, etc.) que intentan robar los datos del cliente?

Los administradores de bases de datos, casi por definición, tienen acceso administrativo a una base de datos. Entonces, técnicamente, no, prevenir eso solo funcionaría si los datos de la base de datos estuvieran cifrados, e incluso eso dejaría mucha información que aún podría estar unida (como: Oh, veo una entrada para un pedido de anónimo cliente número 14 cada lunes a la 1 pm, y sé que tenemos una llamada telefónica con clientes "laboratorios de jack" todos los lunes a las 11 am, muuuuuy ...).

Lo único que previene este tipo de cosas sería la política y el monitoreo. Debería haber un registro de acceso a la base de datos que el administrador de la base de datos no pueda deshabilitar, y eso activaría una alarma cada vez que ocurriera un uso no estándar de la base de datos, pero en efecto, eso significaría que necesitaría un segundo administrador de base de datos. solo para entender y monitorear lo que está haciendo el primero.

Lo que tienes es el escenario malvada . Mala suerte.

Sin embargo, tu ejemplo es especialmente fácil. Simplemente deje que el navegador del usuario cifre el archivo con su propia clave antes de subirlo. No hay mucho que ganar robando, entonces. A menos, por supuesto, y eso es algo probable, el usuario usa nombres de archivos realmente útiles como "contract with jack labs.doc" o "oferta de empleo para Troy McLure.pdf".

Es por eso que no almacena datos confidenciales "en la nube" si no puede confiar en los empleados del proveedor de la nube (y también en los empleados y gobiernos de los que ejecutan los servidores de ese proveedor de la nube).

el concepto de bitcoin está orientado exactamente hacia esto. Todas las transacciones se registran, de lo contrario no ocurrieron, y cualquier billetera está protegida criptográficamente con una frase de contraseña.

    

Para evitar el acceso no autorizado a los datos confidenciales por parte de los administradores de TI, incluidos los administradores de bases de datos, un método que he visto en la práctica que funciona es el cifrado de datos . Se puede lograr en la capa lógica de la aplicación o en el nivel de la base de datos (por ejemplo, utilizando una tecnología como Siempre cifrado para las bases de datos MSSQL, aunque esto todavía requiere pequeños cambios en la lógica de la aplicación).

Por supuesto, dependiendo de cómo se implementó el cifrado, un administrador de TI avanzado y malintencionado podría ser capaz de recuperar la clave privada y luego acceder a sus datos, pero esto requeriría un nivel más avanzado de motivación y ataque de sofisticación. considerado como extremadamente improbable por los propietarios de negocios y datos.

También puede ver otros controles de seguridad, como limitar el acceso a muy pocas personas de confianza, limitar el acceso a las credenciales privilegiadas, monitorear sus acciones en tiempo real, imponer acciones de acceso / acción sensibles, etc.

Como segundo nivel de seguridad, también puede agregar capacidades de detección de acceso no autorizado a datos confidenciales, como revisar registros de auditoría, software de prevención de pérdida de datos, etc.