Ochrana dat

Rizika nedostatečné ochrany dat

Vysoká hodnota dat znamená i dalekosáhlé následky jejich případného zničení, odcizení nebo kompromitování. Mezi nejvýznamnější hrozby patří kybernetické útoky jako phishing, malware nebo ransomware, které mohou vést ke zničení či úniku citlivých informací, finančním ztrátám a poškození reputace.

Dalším zásadním rizikem je také lidský faktor. Může dojít k neúmyslnému sdílení citlivých informací, ke ztrátě zařízení obsahujících důležitá data nebo ke zničení dat neopatrností či omylem. Zapomínat nemůžeme ani na rizika spojená s nedodržováním legislativy a dalších regulací upravujících ochranu osobních údajů a ostatních citlivých nebo utajovaných informací. V tomto případě mohou být následkem vysoké pokuty či jiný právní postih.

Metody ochrany dat

Ochrana dat zahrnuje techniky a nástroje pro zajištění jejich důvěrnosti, integrity a dostupnosti. První řešení na ochranu dat v podobě zálohovacích systémů a šifrování vznikala už v počátku používání osobních počítačů. Moderní ochrana dat představuje implementaci komplexní strategie zahrnující hned několik způsobů jejich zabezpečení:

• Zálohování dat je kriticky důležitou součástí strategie ochrany dat. Pravidelné vytváření kopií důležitých informací a jejich ukládání na bezpečném místě zajišťuje, že bude v případě ztráty nebo poškození původních dat možná jejich obnova.
• Šifrování dat představuje další z hlavních pilířů ochrany. Zašifrováním jsou data a informace převedeny do nečitelné podoby a k jejich opětovnému dešifrování je nezbytné použít správný klíč.
• Řízení přístupu zajišťuje, že k datům získají přístup pouze oprávněné osoby. Zahrnuje používání silných hesel a vícefaktorové autentizace i pravidelnou revizi přístupových práv (při odchodu zaměstnance, změně jeho pracovního zařazení atd.).
• Pravidelné aktualizace operačních systémů i dalšího softwaru pomáhají ošetřit známé bezpečnostní zranitelnosti.
• Firewally a antivirové programy tvoří další vrstvu ochrany, která brání neoprávněnému přístupu k datům a detekuje škodlivý software.
• Vzdělávání a školení zaměstnanců v oblasti bezpečnosti a ochrany dat souvisí s rizikem lidského faktoru a je rovněž klíčovým aspektem ochrany informací.

Účinná ochrana vyžaduje kombinaci všech uvedených nástrojů a technik, penetrační testování pro ověření a posílení zabezpečení dat, stejně jako pravidelný trénink schopnosti obnovit data ze záloh.

Prevence ztráty dat

Důležitou součástí strategie komplexní ochrany dat jsou systémy na prevenci ztráty dat, označované zkratkou DLP (Data Loss Prevention). DLP systémy jsou softwarové nástroje a technologie navržené k detekci a prevenci neoprávněného použití, přenosu nebo úniku citlivých informací mimo organizaci. Jejich hlavní funkce jsou následující:

• Identifikace citlivých dat: DLP systémy na základě předem definovaných pravidel a vzorů rozpoznávají citlivé informace, jako jsou osobní údaje, finanční data nebo data související s duševním vlastnictvím.
• Monitorování datových toků: Sledování pohybu dat v rámci sítě, na koncových zařízeních i při přenosu mimo organizaci.
• Kontrola a blokování: Upozornění na pokusy o neoprávněný přenos citlivých dat a případně i jejich automatické zablokování.
• Šifrování: Některé DLP systémy nabízejí možnost automatického šifrování citlivých dat při jejich přenosu nebo ukládání.
• Reportování a forenzní analýza: Poskytování detailního přehledu o pohybu dat, jejich použití a také o případných incidentech pro účely auditu nebo vyšetřování.

DLP systémy se typicky nasazují na úrovni podnikové sítě, kde monitorují datové toky, na jednotlivých koncových bodech, kde chrání data, a také přímo v úložištích, kde zajišťují bezpečnost dat uložených v databázích, na serverech nebo v cloudu.

Legislativa spojená s ochranou dat

Ochrana dat má také své právní a regulační aspekty. Přísné požadavky na zpracování a ochranu osobních údajů stanovuje v rámci Evropské unie především obecné nařízení o ochraně osobních údajů (GDPR). Podobné předpisy pak existují i v dalších částech světa. Organizace jsou povinny zavést odpovídající technická a organizační opatření k zajištění souladu s těmito předpisy včetně získávání informovaného souhlasu, umožnění přístupu subjektů údajů k jejich datům a hlášení případných úniků dat příslušným úřadům.

Ochraně dat se věnuje rovněž technická norma ISO/IEC 27001, která specifikuje požadavky na systém řízení bezpečnosti informací (Information Security Management System – ISMS).