Symantec - Data Loss Prevention

Transkript

1 Symantec beskyttelse af data/dokumenter Beskrivelsen af Symantecs bud på tekniske løsninger. I beskrivelsen indgår tre følgende løsninger fra Symantec: - Data Loss Prevention - Disk eller ekstern device kryptering - sikkerhed Beskrivelsen omhandler ikke beskyttelsen af pc er, hverken de der måtte være ejet af outsourcingsvirksomheden (og som måske anvendes af rejsende personer) eller pc er, der er under mere eller mindre kontrol hos underleverandøren. Der omtales heller ikke værktøjer til sikring af produktionsmiljøet, hvilket dog ville være relevant nok, forudsat at virksomheden som outsourcer har kontrol med miljøet hos underleverandøren. Ligeledes indgår Digital Rights Management ikke som en komponent i denne besvarelse. Beskrivelsen er delt op i tre skemaer for henholdsvis de tre tekniske løsninger. De indeholder en kort introduktion til de forskellige produktområder, og hermed hvad løsninger er i stand til. Kontakt Symantec for yderligere oplysninger Symantec - Data Loss Prevention Produktbeskrivelse Med Symantecs Data Loss Prevention (DLP) er ideen at undgå, at medarbejderen lækker fortrolige data/dokumenter til udenforstående ved en fejl, misforståelse eller manglende omhyggelighed med at følge sikkerhedspolitikken. DLP er beregnet til at forhindre utilsigtet tab af data DLP er ikke nødvendigvis svaret, hvis organisationen ønsker at sikre sig mod tilsigtede data lækager. Organisationen definerer overfor Symantecs DLP, hvad der er fortrolig information, hvem der må gøre hvad med den, og hvor informationen må ligge henne. Symantec DLP kan finde og kontrollere anvendelsen af data hvad enten de ligger på centrale servere i firmaet, data bevæger sig rundt i firmaets netværk (f.eks. i form af s der skal sendes) eller de ligger på pc er/laptops. Symantec DLP kan dels forhindre, at data utilsigtet lækkes. Men DLP kan også anvendes til at opdrage brugerne til at bruge data korrekt at overholde den vedtagne sikkerhedspolitik. Symantecs erfaring er, at den opdragende virkning er ganske effektiv og dermed hjælper med til at f.eks. de forkerte eller for mange konstruktionstegninger sendes ud til underleverandøren. Læs mere om Symantec Data Loss Prevention:

2 DLP administratoren kan definere hvem der f.eks. må sende bestemte typer data via eller kontrollere at data ligger i de korrekte kataloger på en filserver. Både og. Afhængigt af hvordan DLP ønskes implementeret og hvilke specifikke funktioner DLP en skal have. Eftersom DLP ikke er Digitally Rights Management er der ikke tidsudløb som en funktion i programmet. DLP har ikke en certifikatløsning. DLP kan arbejde sammen med en krypteringsløsning, så f.eks. filer i et bestemt katalog på en bestemt server krypteres hvis det ikke er gjort i forvejen. DLP er beregnet til at stå hos den outsourcende organisation. Der er ikke indbygget kryptering af data i Symantec DLP. Med en DLP løsning er der mulighed for at identificere, overvåge og beskytte fortrolige informationer ligegyldigt om det er mod tab eller misbrug. Det er muligt at købe en løsning, hvor der følger 1, 2 eller 3 års vedligeholdelse med. Det er muligt at integrere DLP med. Selve rettighedsstyringen af f.eks. kataloger og shares skal håndteres andet sted end i DLP. DLP er i stand til at forhindre skærmdumps. Åbent system der findes API er. Organisationen definerer hvem der må håndtere, hvilke data på hvilken måde. DLP holder øje med og skrider ind, hvis det ikke sker korrekt. Dvs. at det er organisationen der skal have styr på det juridiske. Symantec DLP krypterer ikke selv data. Symantec DLP kan starte en funktion med integration til 3. parts produkt, der krypterer en fil som reaktion på en politik, der ikke er fulgt. 2

3 Symantec Endpoint Encryption Produktbeskrivelse Symantec Endpoint Encryption - Disk er beregnet til at beskytte en pc s harddisk mod at udenforstående kan få adgang til data, hvis pc en er slukket eller i dvale. Alle data på harddisken krypteres inklusiv styresystemet og lign. Brugeren skal validere sig overfor pc en ved boot ellers kan pc en ikke bootes op i Windows. Når først pc en er startet op, vil brugeren ikke se nogen forskel i brugen i forhold til det han/hun er vant til. Der anvendes stærk kryptering (AES 128 eller 256 bit). Læs mere om Symantec Endpoint Encryption: Der kræves en adgangskode/nøgle for at få adgang. Derfor er det muligt at styre og kontrollere, hvem der f.eks. har adgang til data/dokumenter. Løsningen inkluderer begge dele. Der er ikke tidsudløb. Men identificeringsnøgler kan trækkes tilbage. Det er muligt at have et certifikat løsning i forbindelse med programmet. Administrationsdelen af Endpoint Encryption skal stå bag en firewall. Men pc ens harddisk eller USB key er beregnet til at kunne befinde sig i og overleve den fjendtlige verden. Dvs. hos en outsourcingpartner, underleverandør mv. AES 128 eller 256 bit nøgler Med en Endpoint Encryption løsning er der mulighed for at logge brugernes adfærd. Det er muligt at købe en løsning, hvor der følger 1, 2 eller 3 års vedligeholdelse med. Det er muligt at integrere med. F.eks. integration til AD. er ikke relevant i forhold til Endpoint Encryption. Åbent system til en vis grad. Data er krypteret med AES 128 eller 256. Det kræver at de pågældende lande, som dataene skal bruges i, respekterer dette. AES kryptering med kortere nøgler må i dag anses for at være begrænset sikre. 3

4 Hvis man ikke har brugernavn og password til at logge sig ind i Endpoint Encryption, kan man ikke virus-tjekke filer. Dette ville være at have en bagdør i krypteringen, som gør løsningen virkningsløs! gateway sikkerhed Produktbeskrivelse Med Symantecs Brightmail Gateway kan der (foruden spam og virus-tjek, som ikke er relevante i denne sammenhæng) sættes politikker op for hvilke data/dokumenter, der må sendes til hvilke modtagere. Herunder også om disse data skal sendes via en TLS krypteret tunnel eller ej. Det giver flere fordele: Symantec Brightmail Gateway kan hjælpe med at sikre at de forkerte data ikke sendes ud, dels at s til bestemte modtagerorganisationer krypteres med TLS. Læs mere om Symantec Brightmail Gateway: Brightmail Gateway indeholder et subset af Symantecs DLP løsning. Dette muliggør dels, at der kan laves en basal indholdskontrol af udgående s og sammenholde det med hvilke brugere, der må sende hvad til hvem. Dels er det muligt at styre, hvad der må sendes ud af strukturerede data til hvilke modtagere. Det er ydermere muligt på Brightmail Gateway at styre, om disse data skal sendes via TLS krypterede tunneller til modtagere eller ej. Kun en gateway (server) løsning. Ikke relevant for denne løsning. Certifikatløsning for TLS krypteringen. Ikke for indholdsfiltreringen. Kan stå både og. Der er indbygget TLS kryptering i produktet. Det er muligt at identificere og overvåge brugernes adfærd. Det er muligt at opdatere programopdateringer fra Symantecs website. Integration til AD. Det er en stand-alone mail gateway. Beskyttelse mod skærmkopiering er ikke relevant i forhold til dette produkt. 4

5 Begrænset åbenhed. Data er krypteret med TLS men med den styrke TLS en i begge ender af forbindelsen kan forhandle sig frem til. Det kræver at de pågældende lande skal respektere dette. NB: En for kort krypteringsnøgle vil kompromittere løsningens sikkerhed. Brightmail Gateway laver virus tjek af ind- og udgående s. Det er ikke muligt at virus-skanne filer, der er krypteret i en TLS session. 5