コストのかかるデータ侵害を防ぎながら従業員のワークフローを可能にする

ユーザーアプリケーション、例えばメールやファイル共有は、コンテンツが組織に出入りする外部の境界を定義します。エンタープライズアプリケーションやストレージリポジトリは、最も機密性が高く価値のあるコンテンツを囲む内部の境界を定義します。これらの境界を通じたアクセスは、拡張されたエンタープライズ全体でシームレスなワークフローを確保するために、シンプルかつ安全であるべきです。しかし、アプリケーションやユーザーワークフローの多様性を考えると、シンプルなアクセスを提供することは実際には非常に複雑な課題です。ユーザーは、内部の上級管理職から信頼できるサプライヤー、外部の消費者まで多岐にわたり、ワークフローは取締役会のプレゼンテーションの配布から顧客契約の署名まで多様です。ワークフローを可能にしながら侵害を防ぐには、強力なデータプライバシーコントロールの実装が必要です：多くのユーザーロールにわたる非常に複雑なアクセス権と特権です。したがって、シングルサインオンとディレクトリサービスを通じたアクセス管理の統合は、安全なコンテンツ共有チャネルを構築するための要件リストの上位に位置付けられるべきです。

CISOは、機密コンテンツの保護とそれを共有する圧倒的な必要性のバランスを取りながら、安全なオンラインコラボレーションを可能にし、アクセスを容易にしながら侵害を防ぎ、透明性を確保しつつプライバシーを守り、効率的なコミュニケーションを妨げることなく複雑な規制に従う必要があります。各トレードオフにはリスクが伴います。このブログシリーズでは、これらのトレードオフを探り、拡張されたエンタープライズ全体での作業を可能にし、最も機密性の高いデジタル資産を保護するための安全なコンテンツ共有チャネルを作成するための6つの指針を提供します。

前回のブログ投稿では、CISOがどのようにして企業の最も貴重なデジタル資産を保護し、企業に出入りするすべてのファイルを管理・監視することができるかを共有しました。今日は、コンテンツへのシンプルでシームレスなアクセスを提供することに関連する落とし穴を探ります。

知的財産の保護は、許可された内部者のための詳細なポリシーコントロールを超えて行う必要があります

許可されたアクセスを確保することは、最初のステップに過ぎません。特に最も機密性の高いコンテンツへの不正アクセスを防ぐことにも同様に注意を払う必要があります。すべてのコンテンツ共有は、出発点から目的地まで暗号化されるべきです。機密性の高いエンタープライズコンテンツは、ストレージでも暗号化され、アクセスは多要素認証でさらに制限されるべきです。包括的なデータ暗号化に加えて、法的文書、健康記録、独自の知的財産などの最も機密性の高いコンテンツは、オンプレミスでのみ保存されるべきです。パブリッククラウドストレージは、未知の第三者による不正アクセスにデータをさらすだけでなく、データの統合が攻撃者にとってのハニーポットを作り、大規模な侵害のリスクを高めます。さらに、2018年の米国連邦クラウド法は、米国法執行機関が技術企業に対して、データが米国内または外国に保存されているかに関わらず、サーバーに保存されているデータを提供するよう召喚状を通じて強制することを許可しています。平たく言えば、私たちの知らないうちに、または承認なしに、機密データが大量に収集される可能性があります。オンプレミスまたはハイブリッドクラウド展開は、本当に機密性の高い情報と知的財産のための標準であるべきです。オンプレミスストレージが不可能でクラウドストレージを使用しなければならない場合、暗号化キーは組織に固有のものであり、別の安全な場所に保存されるべきです。

追加のセキュリティのためにすべてのインバウンドおよびアウトバウンドファイルを分析する

アクセスコントロールは不正ユーザーを締め出すことができますが、不正なコンテンツ、例えば受信した悪意のあるメール添付ファイルや送信された独自の知的財産の漏洩を防ぐことはできません。したがって、セキュリティアーキテクチャは、ユーザーのセキュリティを超えてコンテンツのセキュリティにまで拡張されるべきです。最低限、すべてのインバウンドファイルは、エンタープライズコンテンツリポジトリに保存される前にアンチウイルスソフトウェアによってクリアされるべきです。アウトバウンドファイルは、機密コンテンツの漏洩を防ぐためにデータ損失防止（DLP）ソフトウェアを使用してスキャンされるべきです。インバウンドおよびアウトバウンドのコンテンツスキャンは、アクセスを容易にするために階層化されたアプローチを取ることで加速されることができます。より疑わしいファイルは、高度な脅威対策（ATP）処理のためにキューに入れられ、安全な環境で隔離および実行されることができます。データ分類標準を実装することで、DLPスキャンはオフラインで実行され、共有要求はリアルタイムで処理されることができます。

次回の投稿では、プライバシーと透明性のバランスを取ることの課題について議論します。拡張されたエンタープライズ全体のユーザーは、機密コンテンツへの簡単なアクセスを期待する一方で、完全な機密性も期待しています。

コンテンツへのシンプルでシームレスなアクセスを提供することに関連する落とし穴を避ける方法について詳しく知るには、Kiteworksのカスタムデモを今すぐスケジュールしてください。