Bulut altyapısı ve uyumluluk düzenlemeleri daha karmaşık hale geldikçe şirketler, hassas verilerin daha kapsamlı bir şekilde şifrelenmesini benimseyerek ve anahtar yönetimini tek bir havuzda veya hizmette birleştirerek veri güvenliğini basitleştirmenin yollarını arıyor.

22 Mart'ta e-posta ve dosya güvenliği şirketi Virtru, Google Workspace, Google Cloud ve şirketin diğer ürünleriyle çalışan özel bir anahtar deposunu duyurarak müşterilere anahtar yönetimi için tek bir kasa sunan en son veri koruma şirketi oldu. Ürün, şifreleme anahtarlarını yönetir, ilkeleri yapılandırır ve şifrelenmiş verilere erişim denetimlerine izin verir.

Virtru zaten e-posta ve bulutta depolanan dosyalar için şifreleme sunmuştu, ancak verilerin hassasiyeti ve hükümet gerekliliklerine uyma ihtiyacı, müşterilerin "kendi anahtarını tut" veya HYOK, yeteneği istemesine neden oldu, diyor Kıdemli Başkan Yardımcısı Mike Morper. Virtru'da ürün başkanı.

Morper, "Bize gelen, amaçlanan alıcıdan başka hiçbir varlığın [belirli bir bilgi parçasına] erişemeyeceğini kesinlikle garanti etmek isteyen müşterilerimiz var" diyor. "Bunun kökünü ilk olarak, özellikle Avrupa'daki bazı müşterilerimizle yaptığımız birçok veri egemenliği konuşmasında duymaya başladık... ve kendi özel anahtarlarını yönetebilme becerisine sahip olmaları onlar için çok önemliydi."

Şirketler, verileri yaygın şifreleme ile korumaya giderek daha fazla önem verirken, birleştirilmiş anahtar yönetimi de kendine yer buluyor. 62'de %50'den bu yana şu anda şirketlerin %2021'sinin tutarlı bir şekilde uygulanan bir şifreleme politikası var, ancak şirketlerin yarısından fazlası hala tüm hassas verileri belirlemede sorun yaşıyor ve işletmelerin %59'u anahtar yönetimini çok sancılı buluyor. ile Entrust'un 2022 Küresel Şifreleme Trendleri Çalışması.

Kevin, ayrıca, anahtarların yönetilmesi, verilere kimlerin erişebileceğinin sınırlandırılması ve bu erişimin denetlenmesi gibi bir dizi baş ağrısının, şirketlerin birden çok ülkenin gizlilik düzenlemelerine uyması ve birden çok bulutta verilerin güvenliğini sağlaması gerektiğinden yalnızca daha şiddetli hale geldiğini söylüyor. Entrust'ta veri koruma çözümlerinden sorumlu ürün yönetimi başkan yardımcısı McKeogh.

"Verileri şifrelemek kolaydır — verileri şifrelemek için kullanılan anahtarları yönetmek, operasyonları ölçeklendiren kuruluşlar için giderek daha zor hale gelen şeydir" diyor. "Şu anda dağıtılmış sistemlerde (şirket içi ve çoklu bulut ortamlarında) işlenen artan veri hacmiyle, kuruluşların verilerin korunmasını ve verileri kullanması gereken uygulamalar tarafından kullanılabilir olmasını sağlamak ve uyumlu kalmak için anahtarların kontrolünü elinde tutması gerekiyor. düzenlemelere.”

Anahtar Yönetimi Artı Granüler Erişim Kontrolü

Veri koruma sistemleri için önemli bir operasyonel zorluk olan birden çok buluta geçiş yapın. 2024 yılına kadar, uluslararası veri yerleşimi ve gizlilik gereksinimleri, kuruluşların %40'ından fazlasını, birçok bulut sağlayıcısı tarafından sunulan ısmarlama anahtar yönetimi hizmetlerine güvenmek yerine, üçüncü taraf bir hizmet olarak çoklu bulut anahtar yönetimi (KMaaS) teklifini benimsemeye zorlayacak. KMaaS teklifleri hakkında Gartner raporu veri koruma sağlayıcısı Thales tarafından görevlendirildi.

Birden fazla bulutta ve bunlarla ilişkili anahtar yönetim sistemlerinde şifrelenmiş verileri, izinleri ve erişim listelerini yönetmenin zorluğu, şirketlerin en az yarısının hassas verilerinin %40'tan azını bulutta şifrelemesiyle sonuçlandı.2022 Thales Veri Tehdit Raporu".

Thales'in şifreleme ürünlerinden sorumlu başkan yardımcısı Todd Moore, "Tipik bir kuruluşta konuşlandırılmış en az beş farklı anahtar yönetici vardır, bu nedenle anahtar yayılımı bir sorundur," diyor. "Bu, anahtar döndürme ve anahtarları kullanımdan kaldırma gibi şeyleri karmaşık hale getiriyor. En iyi uygulama, anahtar yönetimi operasyonlarınızın büyük çoğunluğunu destekleyebilecek tek bir merkezi anahtar yönetimi platformuna sahip olmaktır."

Hassas anahtarlar için merkezi bir kasa, karmaşık durumları bile basitleştirmeye yardımcı olabilir. Örneğin, bu yıl, şirketlerin en az %81'inin çoklu bulut altyapısı kullanması bekleniyor (60'de bu oran %2022'a yükseldi). Forrester Research'ün "Multicloud'un Operasyonel Potansiyelini Ortaya Çıkarma" raporu sır yönetimi şirketi HashiCorp tarafından görevlendirildi. Bu şirketler için, verileri bulut hizmetleri genelinde şifrelemek ve bu verilere erişimi anahtarlar aracılığıyla yönetmek için merkezi bir kasa kullanmak daha fazla kontrol sağlar.

Ayrıca, tek bir bulut sağlayıcının anahtar yönetim çözümüne güvenen şirketler daha büyük risk altında olabilir. Avrupa Genel Veri Koruma Yönetmeliği (GDPR) veya Ödeme Kartı Endüstrisinin Veri Güvenliği Standardı (PCI-DSS) gibi gizlilik ve veri koruma düzenlemeleri, hassas verilerin şifrelenmesinin gerekli olduğunu ve kendi kendine gözetim altında tutulmasını açıkça gerektirir veya büyük ölçüde ima eder. HashiCorp'ta kriptografi ve güvenlikten sorumlu ana ürün müdürü Andy Manoske, anahtar sayısının tercih edildiğini söylüyor.

"Bu, özellikle bir müşterinin bulut hizmeti altyapısı içindeki ayrıcalıklı bir düşmana karşı koruma sağlamaya çalışan veri egemenliği gereksinimleri söz konusu olduğunda geçerlidir" diyor. "Bir düşman, bu anahtar yönetim sisteminden taviz veremese de, hem veri şifrelemeyi hem de anahtar yönetimini barındıran tek bir bulutta ayrıcalığa sahiplerse, sistemi çalışmaz hale getirebilirler."

Özel Anahtar Deposu mu yoksa Hizmet Olarak Anahtar Yönetimi mi?

Özel anahtar deposu bir çözüm olsa da tek çözüm değildir. HYOK'u sağlayan anahtar yönetimi hizmetleri, şirketlere karmaşık bir görevi yönetmeleri için ihtiyaç duydukları uzmanlığı ve desteği sağlarken devlet düzenlemelerini ve iş güvenliği gereksinimlerini karşılayabilir. Anahtarların korunması gerekir, ancak savunucular, uygun şifreleme teknolojilerini en iyi şekilde seçmek için şirketin tehdit modelini ve ne tür saldırıların olası olduğunu anlamalıdır.

Manoske, şifrelemeyi dağıtmanın ve özel bir anahtar deposunu sürdürmenin bir şirket içinde derin bir uzmanlık gerektirdiğini söylüyor.

Manoske, "Özel anahtar depoları, genellikle anahtarların kriptografi için nasıl alındığı ve kullanıldığı konusunda esneklik sağlar; bu, genellikle önemli otomasyona sahip yüksek performanslı uygulamalarda kriptografiyi dağıtırken gerekli olan bir esnekliktir" diyor. "Bu esneklik, yan kanal saldırılarına (anahtarları kurcalamak veya çalmak için kriptografinin matematiksel korumalarını 'etraf eden' saldırılar) karşı korumada genellikle savunanın daha fazla karmaşıklık gerektirmesi pahasına gelir."

Virtru'dan Morper, bir şirket kritik anahtarların sahipliğini elinde tutabilirken, bazı KMaaS tekliflerinin işletmenin veri güvenliğini basitleştirebileceğini ve erişim kontrolü ve denetlenebilirlik gibi gerekli yetenekleri sağlayabileceğini söylüyor.

"Zor kısım bu ve açıkçası, muhtemelen evlat edinme ve sürtüşmenin üstünlüğünün devreye girdiği yer burası," diyor. “Yani gerçekten organizasyonlar için bir denge haline gelmeye başlıyor. Bu bir güvenlik politikası kararı ve vermeleri gereken bir iş kararı - hangi düzeyde sürtüşme uygun ve hangi derecede riske karşı?"

• SEO Destekli İçerik ve Halkla İlişkiler Dağıtımı. Bugün Gücünüzü Artırın.
• Plato blok zinciri. Web3 Metaverse Zekası. Bilgi Güçlendirildi. Buradan Erişin.
• Kaynak: https://www.darkreading.com/dr-tech/drive-pervasive-encryption-boosts-key-management