Використання технологiй THALES Використання технологiй THALES

Використання технологiй THALES для захисту даних в медичних закладах

25 мая 2020
  
Оцените материал
(0 голосов)

Діджіталізація нашого життя   спрощує багато аспектів в стосунках громадянина з оточуючим його світом. Просування ІТ технологій в медицині  призвело до багатьох позитивних моментів. Громадянин має можливість самостійно записатися на прийом до лікаря у зручний для нього час, спостерігати за рухом електронної черги, отримати висновок дослідження на електрону пошту. На зміну зошитів-медичних карток громадян,  введення прізвища пацієнта в базі даних дозволяє переглянути історію його хвороб та прискорити висновки по результатам використання ним призначених препаратів.

Водночас на медичний заклад перекладається незвичне для нього завдання–зберігання конфіденційності відомостей про громадянина які стали відомі працівникам закладу під час лікування пацієнта  або діагностиці. Суттєві зміни у кадровій політиці яка здійснюється в Україні протягом останніх шести років, призвели до того що громадяни деколи за кілька років проходять шлях від звичайного громадянина до керівника державної установи, підприємства, стають політичними діячами. В таких умовах у певних бізнес колах і політичних партіях зростає необхідність  в будь-якій конфіденційній інформації  стосовно громадян. При цьому неважливо чи стане він особисто політичним лідером, наявність критичної інформації стосовно його подруги(дружини, дітей), може вплинути на його рейтинг і перспективи росту, не менше ніж якісь дані стосовно нього самого.

Враховуючи наявну судову практику щодо захисту честі та гідності, недостатньо просто наявності інформації стосовно наркозалежності або якоїсь інфекційної хвороби громадянина. Особам які спробують скомпрометувати таку людину потрібна копія медичного документу яка дозволить  посилатися на ці хвороби у своєму ствердженні. Наявність реквізитів установи на такому документі дозволяє висунути проти неї позов у неналежному захисті даних, що може причинити іміджеві та фінансові втрати.

Крім того, окремим чинником, що вимагає спеціальної уваги до проблеми захисту конфіденційної інформації, яка міститься в базах даних, є вимоги загального регламенту по захисту персональних даних – GDPR, що діє з 2018 року на території Європейського Союзу. Дана норма також застосовується і для компаній нерезидентів, які здійснюють збирання, обробку та зберігання інформації про персональні дані громадян Європейського Союзу. Тому під діє регламенту безсумнівно  потрапляють також і українські авіаперевізники та аеропорти. Відповідальність за порушення регламенту передбачає штраф до 20 тис. євро або 4% від річного обороту компанії.

В даній статті розглядаються  варіанти унеможливлення крадіжки критичної інформації для закладу будь-якої чисельності. З врахуванням індивідуальних потреб для замовника буде відпрацьований сприятливий для нього варіант. В наявності також є тестове обладнання на якому можливо  продемонструвати ефективність  рішень що пропонуються.

Організація захисту конфіденційних даних Організація захисту конфіденційних даних: рекомендації та засоби.

Більшість підприємств у свої діяльності стикаються з необхідністю збереження  конфіденційної інформації різних видів, тому безпека корпоративних даних має найважливіше значення для існування та розвитку  бізнесу.

Першочерговими і вже добре всім відомими способами захисту інформації в корпоративній мережі є встановлення надійних паролів, наявність резервних копій, безпечне використання додатків, оновлення системи і зміна налаштувань за замовчуванням. Крім цього, особливу увагу при забезпеченні  безпеки корпоративної мережі слід приділити захисту баз даних. Оскільки інформація, яку вони містять, особливо цінна для компаній і приваблива для конкурентів, бази даних вимагають особливої ​​уваги і додаткового захисту.

Саме тому ми підготували кілька основних порад щодо захисту баз даних підприємств.

Що потрібно зробити?

1. Контролюйте доступ до бази даних. Запобігти атакам кіберзлочинців допоможуть обмеження дозволів і привілеїв. Крім базових системних дозволів, слід застосувати:

Обмеження доступу до конфіденційних даних для певних користувачів і процедур, які можуть робити запити, пов'язані з конфіденційною інформацією.

Обмеження використання основних процедур тільки певними користувачами.

Запобігання використання і доступу до баз даних в неробочий час.

Також для запобігання атакам зловмисників слід відключити всі служби і процедури, які не використовуються. Крім того, базу даних слід розміщувати на сервері, недоступному безпосередньо через Інтернет, щоб запобігти віддалений доступ зловмисників до корпоративної інформації.

2. Визначте критично важливі дані. Першим кроком має стати аналіз важливості захисту конкретної інформації. Для полегшення визначення місця і способу збереження конфіденційних даних слід зрозуміти логіку і архітектуру бази даних. Не всі дані є критично важливими або потребують захисту, тому на них немає сенсу витрачати час і ресурси.

Проведіть інвентаризацію баз даних компанії, обов'язково враховуючи всі відділи. Ефективним способом для запобігання втрати інформації може бути фіксація всіх копій і баз даних компанії. Інвентаризація особливо важлива при виконанні резервного копіювання інформації для обліку всіх критично важливих даних.

3. Шифруйте ​​інформацію. Після ідентифікації критично важливих даних,  потрібно застосувати надійні механізми та алгоритми шифрування конфіденційної інформації. При використанні уразливості додатків або інші механізми несанкціонованого доступу до серверу баз даних, зловмисники в першу  чергу спробують викрасти бази даних, які, як правило, містять багато цінної інформації. Кращий спосіб захистити базу даних - зашифрувати її для осіб, які намагаються отримати доступ без авторизації.

4. Зробіть анонімними непродуктивні бази даних. Багато компаній інвестують час та ресурси на захист своїх продуктивних баз даних, але при розробці проекту або створення тестового середовища вони просто роблять копію вихідної бази даних і починають використовувати її в середовищах з менш жорстким контролем, тим самим розкриваючи всю конфіденційну інформацію.

За допомогою маскування і анонімізації можна створити аналогічну версію з тією ж структурою, що і оригінал, але зі зміненими конфіденційними даними для їх захисту. Дані можна змінювати при збереженні формату за допомогою декількох технологій. Маскування заміщає частина даних спеціальними символами. Токенізація заміщає всі конфіденційні значення аналогічними (токенами), але не мають сенсу. Аналогічним властивістю володіє шифрування зі збереженням формату. Конкретний метод, правила і формати, залежать від вибору адміністратора, але незалежно від вибору, метод повинен забезпечити неможливість отримання вихідних даних за допомогою зворотної інженерії.

Ці методи рекомендуються використовувати для баз даних, які є частиною середовища тестування і розробки, оскільки вони дозволяють зберегти логічну структуру даних, забезпечуючи відсутність доступу до конфіденційної інформації поза виробничого середовища.

5. Проводьте моніторинг активності бази даних. Аудит і відстеження дій всередині бази даних передбачає знання про те, яка інформація була оброблена, коли, як і ким. Знання повної історії транзакцій дозволяє зрозуміти шаблони доступу до даних і модифікацій і, таким чином, допомагає уникати витоку інформації, контролювати небезпечні зміни і виявляти підозрілу активність в режимі реального часу.

Як можна зробити?

А тепер декілька слів про засоби захисту баз даних. На сьогоднішній день існує велика кількість різноманітних рішень, що дозволяють побудувати в організації більш-менш захищену систему зберігання та обробки даних. Але нам би хотілося виділити продукти компанії Thales.

Thales на сьогоднішній день є найбільшим на ринку інформаційної безпеки провайдером засобів багатофакторної аутентифікації, шифрування, комплексних рішень для банківського сектору, збройних сил та правоохоронних органів  та інших структур. Ідеологія, якою керується компанія при створенні своїх продуктів, базується на елементарних поняттях - продукт має бути надійним, зрозумілим та простим у використанні.

Саме такими характеристиками і володіє сукупність продуктів Thales Data Protection. Відповідність бренду високим сучасним стандартам підтверджується  використанням його рішень в НАТО.

Для вирішення проблем вразливості  пропонуються  наступні  рішення:

Tokenization service/ProtectDB – програмне забезпечення для шифрування даних в базах Oracle, DB2, SQL. Дозволяє шифрувати тільки певні стовпці в базі та створювати гранульовану політику доступу до зашифрованих даних. Відмова від вбудованого «нативного» шифрування, яке найчастіше застосовується для шифрування всієї бази даних або окремих, таблиць, дозволяє значно покращити показники продуктивності системи.

Vormetric Transparent Encryption - програмне забезпечення для шифрування файлів та папок, в тому числі і папок загального доступу (file shares). Не завжди конфіденційні дані можуть зберігатися в SQL базах. Інколи для організації баз використовують, наприклад, звичайні файли Excel. В такому разі зашифрувати дані в такій базі можна за допомогою саме VTE.

ProtectV – програмне забезпечення для шифрування логічних дисків на віртуальних машинах. В разі, коли класифікація конфіденційних даних неможлива або занадто трудоємна та вимагає значного часу, простіше зашифрувати всі дані, що містяться на сервері. Окрім того ProtectV дозволяє ще й захистити віртуальну машину від неавторизованого запуску. Це означає, що для запуску сервера потрібно не тільки ініціювати процес з консолі керування гіпервізора, а ще й отримати дозвіл на запуск з консолі адміністрування ProtectV Manager. Ця опція є абсолютно корисною для організацій, що використовують ресурси різноманітних хостинг-провайдерів для розташування своїх серверів.

зберігання ключів шифрування - Keysecure

Важливим моментом, що вимагає окремої уваги, є те, що всі з вищевказаних програмних засобів використовують окрему апаратну платформу для зберігання ключів шифрування - Keysecure. Таким чином досягається максимальна надійність системи захисту, так як, навіть якщо зашифровані дані і потраплять до рук зловмисників, то ключів шифрування в цих даних не буде.

Якщо в організації вже використовується захист баз даних, то можливо використовувати KeySecure для зберігання ключів шифрування в апаратному пристрої за допомогою протоколу сумісного управління ключами KMIP (Key Management Interoperability Protocol). Такий варіант дозволить обмежити доступ до бази даних неавторизованих користувачів та програм.

Висновок

Збереження конфіденційності інформації є надзвичайно важливим аспектом, який повинні враховувати будь які організації. Нехтування основними принципами інформаційної безпеки загрожує втратою коштів, репутації, а інколи може поставити під сумнів й існування самого бізнесу. Також важливо усвідомлювати що одного шифрування замало, необхідно також забезпечити управління життєвим циклом ключів шифрування (створення, зберігання, ротація, резервне копіювання та видалення). В даній статті ми привели основні рекомендації та засоби щодо організації захисту  конфіденційних даних.

Володимир Нужний, ТОВ ШНЗ
Адрес электронной почты защищен от спам-ботов. Для просмотра адреса в вашем браузере должен быть включен Javascript. Володимир Здор
Thales Regional Sales Manager
Cloud Protection & Licensing
Адрес электронной почты защищен от спам-ботов. Для просмотра адреса в вашем браузере должен быть включен Javascript.

Прочитано 658 раз
Авторизуйтесь, чтобы получить возможность оставлять комментарии

Нам важно ваше мнение!

Какая медицина у вас вызывает большее доверие?

Наши друзья и партнёры

 МБО Международная Медицинская Помощь
 
103tv - Первый Медицинский

Авторизация

Вы можете войти посредством социальных сетей, или используя свой Логин и пароль полученные при регистрации.

Наша страница FaceBook

Наша Группа FaceBook

.