12 ноября состоялся вебинар "Обезличивание данных: как сократить расходы на тестовые среды и повысить безопасность", организованный группой компаний «Гарда». Приглашённым спикером мероприятия стал старший консультант департамента консалтинга Cloud Networks Глеб Гилёв.
Вместе эксперты обсудили последние требования регуляторов в области ИТ и ИБ и объяснили, что представляет собой процесс обезличивания данных, что мешает внедрению этого процесса, чем механика обезличивания отличается от синтезирования и для чего важны эти способы маскирования данных.
Глеб рассказал об основных задачах и вызовах направления консалтинга Data Security Governance в нашей компании, а также о том, как этот подход связан с обезличиванием: «Подход Data Governance нужен в том числе для того, чтобы классифицировать данные, понять, что конкретно требует защиты, что важно для определённой работы или аналитики. И если мы сможем построить архитектуру данных, то сможем сосредоточиться на наиболее важных данных в компании, сделать акцент на обеспечении безопасности конкретных БД или потоков данных и понять, что следует сохранить и обезличить».
Сам по себе процесс обезличивания данных необходим для передачи данных третьим лицам (например, контрагентам или в государственные органы), для обучения ML-сред, тестовых сред, для скрытия лишней информации даже от сотрудников компании для обеспечения безопасности данных, а также для соответствия требованиям регуляторов по обработке и хранению данных. Не для всех компаний обезличивание является обязательным инструментом, но, в любом случае, оно остаётся эффективным средством защиты.
Эксперты рассказали, что существует несколько способов маскирования данных: собственно обезличивание, статическое и динамическое маскирование, токенизация, обфускация, перемешивание данных в рамках одной базы данных и синтез (т.е. генерация новых, замаскированных данных на основе шаблона).
Маскирование различается по способу преобразования, способу применения и по обратимости преобразования данных, и каждая из этих разновидностей используется в определённых условиях.
В некоторых случаях уместен ещё один более сложный с технологической точки зрения способ работы с данными: существуют ключи, благодаря которым данные даже онлайн можно восстанавливать (например, по запросу аналитиков), обрабатывать их, а после этого возвращать в токенизированный вид. Если такая база данных попадёт в руки злоумышленников, они никак не смогут ею воспользоваться.
Среди вопросов, заданных слушателями вебинара, был вопрос о степени доверия в отношении замаскированных данных. Как отметил Глеб, это, скорее, вопрос соответствия выбранной системы маскирования задаче: «Если система маскирования создана и поддерживается как продукт крупной компанией, сохраняет консистентность данных и позволяет выполнять необходимую аналитическую работу, то да, ей можно доверять. В случае изменения потребностей по работе с данными, способ маскирования можно изменить».
Наконец, был затронут вопрос выбора между автоматизированными инструментами маскирования данных (в частности Гарда Data Masking) и собственными скриптами. Как считают эксперты, оба варианта возможны в зависимости от ситуации и необходимого уровня качества работы с данными. Однако стоит помнить о том, что при работе со скриптами снижается скорость обработки информации и повышается риск неправильного маскирования и, следовательно, компрометации данных.
