pamamahala ng katutubong pag-encrypt

Ang pamamahala ng katutubong pag-encrypt ay nangangahulugang pagkontrol sa mga tampok ng pag-encrypt na nakapaloob na sa mga operating system, device, at platform. Para sa karamihan ng mga organisasyon, kabilang dito ang Windows BitLocker, macOS FileVault, file-based encryption ng Android, data protection ng iOS, mga recovery key, patakaran sa device, at pag-uulat.

Simple ang layunin: tiyaking nananatiling protektado ang sensitibong data kapag nawala, ninakaw, kinumpuni, ni-retire, o na-access nang walang pahintulot ang isang laptop, telepono, tablet, o naaalis na drive.

Makapangyarihan ang katutubong pag-encrypt dahil bahagi na ito ng platform. Ngunit kailangan pa rin itong pamahalaan. Kung walang malinaw na mga patakaran, pag-iimbak ng recovery key, pagsusuri sa pagsunod, at gabay sa user, maaaring maging hindi pare-pareho ang nakapaloob na pag-encrypt o mahirap i-recover kapag may nangyaring mali.

Ang Gawaing Pangseguridad na Dapat Gawin ng Katutubong Pag-encrypt

Pinoprotektahan ng katutubong pag-encrypt ang data na nakaimbak. Ibig sabihin, nananatiling hindi mababasa ang data na nakaimbak sa isang device maliban kung available ang tamang authentication, recovery key, o paraan ng pag-unlock.

Inilalarawan ng NIST ang storage encryption bilang paraan upang paghigpitan ang access sa nakaimbak na impormasyon sa mga device ng end user gaya ng mga laptop, mobile device, at naaalis na media. Ang gabay nito sa storage encryption ↗ ay matibay na panimulang punto para maunawaan ang full-disk encryption, volume encryption, at file-level encryption.

Nagbibigay ang CISA ng katulad na praktikal na gabay sa pahina nito tungkol sa pagprotekta sa nakaimbak na data ng device ↗, lalo na para sa mga nawawalang device, naaalis na drive, at pagpaplano ng recovery.

Sa praktika, nakatutulong ang katutubong pag-encrypt sa apat na panganib:

• Isang nawawalang laptop na naglalantad ng mga file ng negosyo.
• Isang ninakaw na telepono na nagbibigay ng access sa data sa trabaho.
• Isang ni-retire na drive na nababasa pa rin pagkatapos itapon.
• Isang user na nakalimot ng mga kredensyal at nangangailangan ng ligtas na recovery.

Isang bahagi lamang ang pag-encrypt mismo. Ang layer ng pamamahala ang nagpapasya kung pare-pareho ang proteksyon.

Mapa ng Mga Kontrol sa Pamamahala ng Katutubong Pag-encrypt

Ang pinakamadaling paraan upang isipin ang pamamahala ng katutubong pag-encrypt ay bilang isang hanay ng mga kontrol, hindi isang switch lamang.

Ang talahanayang ito ang kaibahan sa pagitan ng “available ang pag-encrypt” at “talagang pinamamahalaan ang pag-encrypt.”

Windows: Pamahalaan ang BitLocker at Device Encryption

Sa Windows, karaniwang tumutukoy ang katutubong pag-encrypt sa BitLocker o awtomatikong device encryption.

Ipinaliliwanag ng pangkalahatang-ideya ng BitLocker ng Microsoft ↗ na pinoprotektahan ng BitLocker ang mga volume laban sa offline access, lalo na kapag nawala, ninakaw, o inalis na sa serbisyo ang mga device. Para sa mga pinamamahalaang kapaligiran, ang mahalagang bahagi ay hindi lamang ang pag-on ng BitLocker. Ito ay ang pagtiyak na nakalagay ang tamang patakaran, paraan ng recovery, at proseso ng pag-uulat.

Dapat tukuyin ng praktikal na patakaran sa pag-encrypt sa Windows ang:

• kung aling mga drive ang kailangang ma-encrypt;
• kung sapat ang TPM-only protection;
• kung kinakailangan ang mga PIN para sa mga user na mas mataas ang panganib;
• kung saan bina-back up ang mga recovery key;
• kung sino ang maaaring kumuha ng mga recovery key;
• kung paano iniuulat ang bigo o nasuspindeng pag-encrypt.

Mahalaga ang pagpaplano ng recovery. Ipinaliliwanag ng pangkalahatang-ideya ng BitLocker recovery ng Microsoft ↗ ang iba't ibang opsyon sa recovery, kabilang ang mga recovery password, recovery key, key package, at data recovery agent. Dapat idokumento ng mga team kung aling opsyon ang pinapayagan bago mangyari ang aktuwal na lockout.

macOS at Mga Apple Device: Pamahalaan ang FileVault at Data Protection

Sa macOS, nakasentro ang katutubong pag-encrypt sa FileVault. Ipinaliliwanag ng gabay ng Apple sa pamamahala ng FileVault gamit ang device management ↗ kung paano maipapatupad ng mga organisasyon ang FileVault, makokontrol ang mga pagpapaliban ng user, mapapamahalaan kung ipinapakita ang mga recovery key sa mga user, at mai-escrow ang mga personal recovery key sa pamamagitan ng device management.

Para sa iPhone, iPad, at mas bagong Apple platform, malapit na nauugnay ang pag-encrypt sa Data Protection. Ipinaliliwanag ng pangkalahatang-ideya ng Encryption at Data Protection ng Apple ↗ kung paano pinoprotektahan ng mga Apple device ang data ng user at kumpanya kapag nawala, ninakaw, o nakompromiso ang isang device.

Para sa mga kapaligiran ng Apple, dapat tumuon ang pamamahala sa:

• pagpapatupad ng FileVault sa panahon ng setup kung naaangkop;
• pag-e-escrow ng mga recovery key sa aprubadong sistema ng pamamahala;
• pag-rotate ng mga recovery key pagkatapos gamitin;
• pagkumpirma kung aling mga user ang maaaring mag-unlock ng mga naka-encrypt na volume;
• pagdodokumento ng mangyayari sa panahon ng device migration o muling pagtatalaga.

Ang pangunahing panganib ay ang pag-aakalang ang “naka-encrypt ang mga Apple device” ay nangangahulugang kontrolado na ng organisasyon ang recovery at pag-uulat. Magkahiwalay na tanong ang mga iyon.

Android: Pamahalaan ang Pag-encrypt sa Pamamagitan ng Patakaran sa Device

May katutubong pag-encrypt din ang mga Android device. Pinapayagan ng file-based encryption ng Android na ma-encrypt ang iba't ibang file gamit ang iba't ibang key, at ipinaliliwanag ng Android Open Source Project ang modelo sa dokumentasyon nito sa file-based encryption ↗.

Para sa mga device ng negosyo, karaniwang pinangangasiwaan ang pamamahala ng pag-encrypt sa pamamagitan ng Android Enterprise. Ipinaliliwanag ng gabay ng Google sa pamamahala ng Android ↗ na maaaring magpatupad ang mga organisasyon ng mga patakaran sa seguridad gaya ng screen lock at storage encryption sa pamamagitan ng solusyon sa pamamahala.

Dapat tukuyin ng pamamahala ng pag-encrypt sa Android ang:

• kung aling mga device ang pinapayagan para sa paggamit sa trabaho;
• kung ganap na pinamamahalaan ang device o BYOD na may work profile;
• anong lakas ng screen lock ang kinakailangan;
• kung paano nilo-lock o wini-wipe ang mga nawawalang device;
• kung paano sinusubaybayan ang status ng pagsunod;
• kung natutugunan pa rin ng mga lumang device ang mga kinakailangan sa seguridad.

Pinakamalakas ang pag-encrypt sa Android kapag ipinares sa pagpapatala ng device, patakaran sa lock screen, mga kinakailangan sa update, at remote wipe.

Ang Pamamahala ng Key ang Tunay na Problema sa Pamamahala

Umaasa ang pag-encrypt sa mga key. Mukhang malinaw iyon, ngunit maraming programa sa pag-encrypt ang nabibigo dahil mahina ang pamamahala ng key.

Sinasaklaw ng mga gabay sa pamamahala ng key ng NIST ↗ ang pagpaplano, proteksyon, lifecycle, at pamamahala ng cryptographic keying material. Para sa katutubong pag-encrypt, karaniwang praktikal na tanong ay: saan nakaimbak ang mga recovery key, at sino ang maaaring gumamit ng mga ito?

Dapat sagutin ng mahusay na proseso para sa recovery key ang:

1. Saan naka-escrow ang key? 2. Awtomatiko o manu-manong nakaimbak ang key? 3. Sino ang maaaring kumuha nito? 4. Naka-log ba ang pagkuha? 5. Ni-ro-rotate ba ang key pagkatapos gamitin? 6. Ano ang mangyayari kapag ni-retire ang device? 7. Ano ang mangyayari kung magbago ang sistema ng pamamahala?

Huwag iwan ang mga recovery key sa mga screenshot, spreadsheet, shared drive, o personal na tala. Dapat kontrolado, naka-log, at limitado ang access sa recovery.

Isang Praktikal na Pagkakasunod-sunod ng Pagpapatupad

Mas madali ang pamamahala ng katutubong pag-encrypt kapag ipinatutupad ito nang paunti-unti.

Hakbang 1: I-inventory ang mga device

Ilista ang mga laptop, desktop, telepono, tablet, at naaalis na drive na maaaring mag-imbak ng data ng negosyo.

Hakbang 2: Tukuyin ang kinakailangang saklaw

Magpasya kung aling mga uri ng device ang dapat gumamit ng katutubong pag-encrypt at kung aling mga eksepsyon ang pinapayagan.

Hakbang 3: Pumili ng mga patakaran sa platform

Itakda ang mga panuntunan para sa BitLocker, FileVault, Android, at iba pang platform bago ang malawakang pag-deploy.

Hakbang 4: I-configure ang recovery key escrow

Tiyaking nakaimbak ang mga recovery key sa aprubadong sistema bago umasa ang mga user sa mga ito.

Hakbang 5: Mag-pilot gamit ang maliit na grupo

Subukan ang recovery, mga salungatan sa patakaran, device migration, at komunikasyon sa user.

Hakbang 6: Ipatupad nang paunti-unti

Lumipat mula sa mode na pag-uulat lamang patungo sa pagpapatupad pagkatapos malutas ang mga isyu sa pilot.

Hakbang 7: Patuloy na subaybayan

Suriin ang status ng pag-encrypt, nasuspindeng proteksyon, bigong escrow, hindi pinamamahalaang device, at mga event ng recovery.

Iniiwasan ng pagkakasunod-sunod na ito ang pinakakaraniwang pagkakamali: malawakang pag-enable ng pag-encrypt bago masubukan ang recovery.

Ano ang Iuulat sa Pamunuan

Hindi kailangan ng mga lider sa seguridad ang bawat teknikal na setting. Kailangan nila ng malinaw na pagtingin sa saklaw, panganib, at kahandaan.

Dapat ipakita ng kapaki-pakinabang na ulat sa katutubong pag-encrypt ang:

• porsiyento ng mga pinamamahalaang device na naka-encrypt;
• bilang ng mga device na walang recovery key;
• mga device na may nasuspinde o bigong pag-encrypt;
• mga user o team na mataas ang panganib at hindi saklaw;
• mga event ng recovery sa panahon ng pag-uulat;
• mga device na nakabinbin ang pagretiro o pag-wipe;
• mga eksepsyon sa patakaran at mga may-ari nito.

Kung kailangan mong ipaliwanag ang saklaw ng pag-encrypt sa mga executive o kliyente, maaari mong gawing presentasyong handa para sa mga stakeholder ang iyong patakaran sa katutubong pag-encrypt gamit ang Pi ↗. Gamitin ito sa pag-uulat ng saklaw, mga panganib, kahandaan sa recovery, at mga susunod na hakbang nang hindi ginagawang teknikal na tambak ng impormasyon ang deck.

Kapag Hindi Sapat ang Katutubong Pag-encrypt

Pinoprotektahan ng katutubong pag-encrypt ang nakaimbak na data, ngunit hindi nito nalulutas ang bawat problema sa seguridad.

Hindi nito pinapalitan ang:

• pamamahala ng identity at access;
• endpoint detection and response;
• backup at disaster recovery;
• pamamahala ng patch;
• pag-iwas sa pagkawala ng data;
• proteksyon laban sa phishing;
• mga kontrol sa access sa cloud;
• ligtas na pagtatapon ng device.

Hindi rin nito pinoprotektahan ang data pagkatapos i-unlock ng awtorisadong user ang device at karaniwang ma-access ang mga file. Kapag tumatakbo na ang sistema at na-authenticate ang user, kailangan pa rin ang ibang mga kontrol.

Dapat ituring ang katutubong pag-encrypt bilang batayang kontrol, hindi bilang buong estratehiya sa seguridad.

Ang Hatol

Ang pamamahala ng katutubong pag-encrypt ay tungkol sa paggawa ng maaasahan sa nakapaloob na pag-encrypt. Simula pa lamang ang pag-on ng BitLocker, FileVault, pag-encrypt ng Android, o Apple Data Protection.

Tinutukoy ng isang mature na programa ang saklaw, nagpapatupad ng mga patakaran, nag-e-escrow ng mga recovery key, nililimitahan ang access sa recovery, sinusubaybayan ang pagsunod, at sinusubukan ang nangyayari kapag nawala, na-lock, na-migrate, o ni-retire ang isang device.

Ang pinakamahusay na programa sa pag-encrypt ay hindi ang may pinakamalakas na checkbox. Ito ang programang gumagana ang proteksyon, recovery, at pag-uulat kapag talagang kailangan ng organisasyon ang mga ito.