Che cos'è la crittografia dei dati?

I database rappresentano un'aggregazione di dati aziendali mission-critical in un'unica posizione centrale (in sede o nel cloud), il che rende i database un obiettivo primario per i criminali informatici.

Molte soluzioni di crittografia del database ignorano le minacce interne e gli attacchi sofisticati in cui gli utenti privilegiati vengono impersonati. Per gli ambienti che richiedono livelli di sicurezza più elevati, i moduli di sicurezza hardware (HSM) offrono la protezione certificata FIPS (Federal Information Processing Standards) per le chiavi del database, salvaguardando le chiavi in una soluzione avanzata.

Molte normative richiedono o suggeriscono la crittografia dei dati inattivi e/o la crittografia dei dati in transito per rimanere conformi. Ad esempio, il Regolamento generale sulla protezione dei dati (General Data Protection Regulation, GDPR) non richiede esplicitamente la crittografia dei dati, ma questa è il modo migliore per dimostrare agli organi di governo che i dati archiviati sono protetti.

Al contrario, l'Health Insurance Portability and Accountability Act (HIPAA) richiede la crittografia delle informazioni sanitarie protette (protected health information, PHI) quando sono a riposo. Ulteriori informazioni sulla prevenzione delle violazioni dei dati nelle strutture sanitarie.

Anche quando la crittografia non è obbligatoria, è una best practice di sicurezza crittografare tutti i dati che includono informazioni di identificazione personale (PII) o proprietà intellettuale aziendale riservata.

Esistono due tipi principali di crittografia dei dati: crittografia simmetrica e crittografia asimmetrica. La crittografia simmetrica protegge i dati con un'unica chiave crittografica. Ciò rende la crittografia più veloce (perché la chiave è più breve) ma anche meno sicura. La crittografia asimmetrica richiede una chiave pubblica e una chiave privata per lavorare in tandem per decrittografare i dati. Questo schema rende la crittografia asimmetrica più sicura. Ulteriori informazioni sulle differenze tra crittografia simmetrica e asimmetrica.

I dati crittografati end-to-end sono un sistema di comunicazione in cui solo il mittente e il destinatario previsto possono crittografare o decrittografare un messaggio. Vengono eseguite sia la crittografia dei dati inattivi che la crittografia dei dati in transito. Ciò impedisce a terzi di intercettare o modificare i dati inviati.

In poche parole, il mascheramento dei dati nasconde le informazioni e la crittografia dei dati codifica le informazioni. Il mascheramento dei dati nasconde informazioni sensibili come numeri di previdenza sociale, numeri di carta di credito e altre informazioni di identificazione personale (PII), consentendo alle informazioni di essere accessibili all'organizzazione, ma non agli hacker. Sebbene i due metodi condividano alcune somiglianze, la crittografia dei dati è molto diversa dal mascheramento dei dati. La crittografia dei dati utilizza un algoritmo di crittografia per nascondere i dati e richiede una chiave di decrittografia per rivelare le informazioni.

Gli standard di crittografia dei dati sono cambiati per stare al passo con hacker e malintenzionati. I moderni algoritmi di crittografia hanno caratteristiche di integrità, autenticazione e non ripudio superiori rispetto all'obsoleto Standard di crittografia dei dati.

Lo standard di crittografia dei dati è stato sviluppato negli anni '70. La sua breve lunghezza della chiave (56 bit) rende lo standard di crittografia dei dati insufficiente per la protezione delle applicazioni, ma ha avuto un impatto significativo sullo sviluppo degli standard di crittografia. Oggi, gli algoritmi di crittografia sono avanzati per contrastare nuovi metodi di attacco, inclusi gli attacchi al canale laterale e la crittoanalisi.

• Crittografa tutti i tipi di dati sensibili, non necessariamente solo i dati che hanno maggiore probabilità di essere trovati.
• Valuta le prestazioni della crittografia per assicurarti che protegga i tuoi dati senza consumare troppo tempo della CPU e troppa memoria.
• Sviluppa strategie per dati inattivi e dati in movimento.
• Prendi in considerazione le normative e i requisiti del settore.
• Valuta le esigenze organizzative per la crittografia simmetrica o asimmetrica.

La scarsa implementazione delle soluzioni di crittografia in passato ha comportato una scarsa percezione della crittografia dei dati. Tuttavia, se implementata correttamente, la crittografia dei dati può essere un fattore abilitante per ottenere la flessibilità, la conformità e la privacy dei dati richieste negli ambienti aziendali odierni. Questi sono i miti principali sulla crittografia dei dati:

• La crittografia degrada le prestazioni del sistema
• La terminologia è troppo difficile da capire
• Gestire tutte le chiavi di crittografia è un incubo
• Le chiavi di crittografia sono facili da perdere
• È difficile da distribuire
• Protegge solo l'applicazione
• La rotazione delle chiavi di crittografia comporta tempi di inattività dell'applicazione
• La crittografia a livello aziendale è costosa
• La crittografia nel cloud non è sicura
• Le soluzioni non funzionano su tutte le piattaforme

Il mondo è sempre più costruito attorno alla virtualizzazione e al cloud. Il cloud offre notevoli vantaggi in termini di costi e flessibilità. Tuttavia, alcuni responsabili IT sono ancora riluttanti ad archiviare i dati sensibili nel cloud, preferendo mantenere il proprio data center, di cui hanno il controllo. La crittografia dei dati consente di sfruttare Cloud e Infrastructure as a Service mantenendo la privacy dei dati. Questi sono i principali vantaggi della crittografia dei dati nel cloud:

• Aiuta le organizzazioni a passare al cloud
• L'organizzazione è proprietaria delle chiavi e può facilmente dismetterle/eseguire il deprovisioning
• Aiuta a ottenere una multi-tenancy sicura nel cloud
• La separazione dei dati dai servizi chiave può impedire ai fornitori di servizi di accedere o di esporre accidentalmente i dati
• Aiuta a rispettare le normative
• Fornisce a un'organizzazione un porto sicuro dalla notifica di violazione
• Può offrire ai fornitori di servizi un vantaggio competitivo
• Infonde fiducia nel fatto che i dati siano al sicuro in un mondo multi-cloud
• Consente alle organizzazioni di proteggere il proprio ufficio remoto

Big data è il termine per raccogliere e analizzare enormi quantità di informazioni da varie fonti per rilevare tendenze e associazioni che possono essere applicate per le previsioni aziendali. Poiché i Big Data provengono da fonti eterogenee, rappresentano una moltitudine di minacce alla sicurezza dei dati rispetto a set di dati più piccoli. La crittografia sicura dei Big Data necessita di un limite certificato FIPS 140-2 livello 3 per proteggere le chiavi di crittografia dei Big Data e l'offload dell'elaborazione crittografica per fornire una crittografia con accelerazione hardware a bassa latenza.