Jämförelse av datasäkerhet och datasekretess

Ofta hanteras och hanteras personuppgifter inte på det sätt det borde, särskilt när det gäller säkerheten. Det finns allvarliga farhågor kring hur olika former av känsliga personuppgifter, såsom ekonomiska uppgifter, hälsouppgifter etc., är säkrade i grunden. Utan lämpliga säkerhetsåtgärder och processer på plats skulle obehöriga aktörer eller cyberbrottslingar få tillgång till stora mängder känsliga personuppgifter, vilket skulle leda till fullständigt kaos i datahanteringen. För att hantera denna kritiska och massiva mängd data måste vi förstå den tunna linjen mellan datasäkerhet och datasekretess, som ofta används synonymt.

Idag ska vi diskutera den skillnadsfaktor som skiljer datasäkerhet och datasekretess och de olika faktorerna som kryptering, tokenization, & maskering som påverkar dem båda.

Datasäkerhet kontra datasekretess

Den faktiska skillnaden mellan datasekretess och datasäkerhet ligger i vilka data som skyddas och hur de skyddas. Datasäkerhet handlar om att skydda data från skadliga hot och obehöriga aktörer, medan datasekretess handlar om att använda data ansvarsfullt.
Datasäkerhet handlar om att säkra känsliga och kritiska data. Datasäkerhet fokuserar främst på att avskräcka obehörig och olaglig åtkomst till data, via komprometter, dataintrång eller läckor, oavsett vem den obehöriga parten är. Företag använder IT-verktyg och teknik som brandväggar, åtkomstkontroll, användarautentisering och identifiering, nätverksåtkomstkontroll och interna säkerhetsåtgärder för att förhindra sådan åtkomst. Detta inkluderar även den senaste säkerhetstekniken som kryptering, tokenisering och maskering för att ytterligare förbättra dataskyddet genom att göra det oläsligt, vilket i händelse av ett dataintrång kan blockera cyberbrottslingar från att exponera den enorma mängden känslig data.
Å andra sidan handlar dataskydd om hur känsliga personuppgifter konsumeras, tas in, överförs eller behandlas i enlighet med dataägarens samtycke. Dataskydd handlar alltid om att informera individer i förväg om vilken typ av data som kommer att samlas in för vilket ändamål och med vem den kommer att delas under specifika omständigheter. När organisationen väl har infört dessa ansvarsfriskrivningar måste användaren godkänna användarvillkoren, vilket tillåter organisationen att använda informationen i enlighet med efterlevnadsstandarderna för det angivna ändamålet.
Datasekretess handlar mer om ansvarsfull användning av data med specifika ansvarsfriskrivningar för att undvika missbruk och mindre om att skydda själva data från obehöriga aktörer. Användningsfallet för datasekretess skiljer sig något från datasäkerhet; sekretess kompletteras dock med datasäkerhetsåtgärder som avidentifiering av personuppgifter (länkning av personuppgifter till dess ursprungliga subjekt), obfuskation och många fler.
Det är vanligt att orden "datasäkerhet och datasekretess" används synonymt, även om de är mycket olika i sin tillämpning.

Det är vanligt att ord som datasäkerhet och datasekretess används synonymt, även om de är väldigt olika i sin tillämpning. Datasäkerhet kan implementeras på egen hand, medan datasekretess behöver säkerhet som en pelare för att stå på egna ben. Enkelt uttryckt möjliggör datasekretess begränsad åtkomst, medan datasäkerhet använder olika processer eller metoder för att tillhandahålla den begränsade åtkomsten.

Datasäkerhet och datasekretess kontra efterlevnad

Nu när vi har förstått datasäkerhet och dataintegritet behöver vi fördjupa oss i hur de olika branschreglerna hjälper organisationer att omvandla sitt dataskyddslandskap.

1. PCI DSS

   Ocuco-landskapet Betalningskortsindustris datasäkerhetsstandard (PCI DSS) tillhandahåller ett ramverk för att skydda betalkortsinformation och kortinnehavardata. PCI DSS är i grunden kopplat till standarder för säkerhetskontroller kring lagring, bearbetning och överföring av betalningsdata, inklusive personuppgifter som namn, adress etc. Denna standard gäller för handlare, banker, alla inblandade tredje parter och alla andra enheter som hanterar kortinnehavardata.

2. CCPA

   Kaliforniens konsumentskyddslag (CCPA) syftar till att konsumenten ska behålla äganderätten, makten och säkerheten för sin personliga information om de är medborgare i delstaten Kalifornien genom att fastställa betydande rättigheter för konsumenter, såsom:

   1. Rätten att veta vilken och var personlig information som samlas in, säljs och lämnas ut om dem
   2. Möjligheten att neka försäljning av personuppgifter.
   3. Rätten att få samma service och pris om man väljer att utöva sin rätt till integritet.
   4. Rätten att kunna få personuppgifter raderade.
3. HIPAA

   Ocuco-landskapet HIPAA-lagen om bärbarhet och ansvarsskyldighet för sjukförsäkring tillhandahåller en uppsättning standarder för att skydda känsliga patienters uppgifter i hela USA. Denna regleringsstandard är komplex eftersom den omfattar en stor mängd hälso- och sjukvårdsuppgifter från amerikanska medborgare. Företag som hanterar skyddad hälsoinformation (PHI) måste ha administrativa, fysiska och tekniska säkerhetsåtgärder för att vara HIPAA-kompatibla. Det finns täckta enheter som tillhandahåller behandling, accepterar betalningar, verkar inom hälso- och sjukvård eller affärspartners, inklusive alla som har patientinformation och ger stöd vid behandling, betalningar eller verksamhet. Allmänna säkerhetsregler kräver att täckta enheter upprätthåller rimliga och lämpliga administrativa, tekniska och fysiska skyddsåtgärder för att skydda PHI.

   1. Säkerställa konfidentialitet, integritet och tillgänglighet för alla PHI-täckta enheter som skapar, tar emot, underhåller eller överför.
   2. Identifiera och skydda mot rimligen förväntade hot mot informationens säkerhet eller integritet.
   3. Skydda mot rimligen förväntad, otillåten användning eller avslöjande.
   4. Säkerställ efterlevnad av de berörda enheternas personal.
4. GDPR

   Ocuco-landskapet Allmänna dataskyddsförordningen (GDPR) är en standard för digital dataskydd för EU-medborgare. GDPR anger de allmänna riktlinjerna för personuppgifter, såsom vilka uppgifter som ska skyddas, vilken typ av personuppgifter det rör sig om och hur uppgifterna ska hanteras och skyddas. GDPR gäller alla företag som samlar in och behandlar uppgifter för EU-invånare. Företag utanför EU skulle behöva utse en GDPR-representant och hållas ansvariga för alla böter och sanktioner.

5. NYDF förlängning

   New York Department of Financial Services (NYDFS) cybersäkerhetsförordning är en uppsättning regler som gäller för de berörda finansinstituten. NYDFS gäller alla finansinstitut som verkar under DFS-licens, registrering eller stadga, eller som är DFS-reglerade. NYDFS cybersäkerhetsförordning anger strikta riktlinjer för cybersäkerhetsregler och en detaljerad cybersäkerhetsplan utformad av CISO, implementering av cybersäkerhetspolicy och ett löpande underhålls- och rapporteringssystem för cybersäkerhetsincidenter.

6. HITECH

   HITECH-lagen (Health Information Technology for Economic and Clinical Health Act) infördes för att omfatta den avsiktliga användningen av elektroniska patientjournaler (EHR) av vårdgivare och deras affärspartners i USA. HITECH innebär att vårdgivare måste visa att de använder certifierad EHR-teknik för att undvika dataintrång i okrypterade EHR-register.

   HITECH-lagen uppmuntrade också till en striktare tillämpning av HIPAA:s sekretess- och säkerhetsregler genom att göra säkerhetsrevisioner av alla vårdgivare obligatoriska. Dessa revisioner utförs för att undersöka och avgöra om vårdgivare uppfyller specificerade minimistandarder, eller för att dra slutsatsen om de följer HIPAA:s sekretess- och säkerhetsregler.

Låt oss diskutera hur datasäkerhet och dataintegritet kan uppnås med hjälp av följande säkerhetstekniker:

• kryptering
• tokenization
• Maskering

• Kryptering för datasäkerhet och datasekretess:

  Kryptering ger datasäkerhet för olika former av konfidentiell data, såsom kortinnehavardata, PHI, personligt identifierbar information (PII) etc., genom att kryptera/dekryptera med en matematiskt härledd nyckel som innehas av en auktoriserad part. Datasäkerhet blir avgörande i dagens miljö när det finns onda aktörer överallt på internet. Många krypteringsprogram skyddar personuppgifter under vilande data och data under överföring; de lämnar dock känsliga uppgifter obevakade. oformatterad text under bearbetning.

  Även om kryptering blev de facto-standarden för alla användningsfall av data under överföring och data i vila, tillhandahåller den fortfarande inte ensam en komplett datasekretesslösning för känsliga data under hela dess livstid.

• Tokenisering för datasäkerhet och datasekretess:

  Tokenisering spelar en viktig och avgörande roll när det gäller datasäkerhet och datasekretess, eftersom den har kapacitet att uppfylla kraven för båda. Eftersom tokeniseringen erbjuder pseudonymiseringens funktionalitet kan den behandlas som en redundant skyddsmekanism för att skydda vid säkerhetsintrång. Med hjälp av denna teknik, även om informationen i organisationens system komprometteras, är den inte särskilt användbar för obehöriga aktörer, eftersom pseudonymisering avkänsliggör informationen genom att avidentifiera den och göra den oanvändbar för cyberbrottslingar.

  Eftersom informationen desensibiliseras i organisationens system motverkas risken förknippad med datasekretess. Det är alltså tydligt att med hjälp av tokenisering får vår datasäkerhet den nödvändiga styrkan, och å andra sidan blir även datasekretessen robust på grund av desensibiliseringen av personuppgifter.

• Maskering för datasäkerhet och datasekretess:

  Datamaskering spelar en avgörande roll i datasekretess genom att skydda konfidentiell information, såsom kreditkortsinformation, PHI, PII etc., genom att ersätta faktiska uppgifter med funktionell fiktiv data som kan användas i scenarier när faktiska uppgifter inte behövs. Gartner beskriver det som en teknik som "dynamiskt eller statistiskt kan skydda känsliga data genom att ersätta dem med fiktiva data som ser realistiska ut för att förhindra dataförlust i olika användningsfall." Datamaskering använder olika mekanismer för att ändra data med hjälp av tecken- eller sifferersättning, teckenblandning eller krypteringsalgoritmer. Så datamaskering, även känd som dataförmörkelse eller datapseudonymisering, hjälper i hög grad till att hantera dataskyddsproblem för personuppgifter.

Slutsats

Datasäkerhet och datasekretess är två olika metoder för att hantera konfidentiella personuppgifter för individer; de förväxlas dock ofta med varandra. Det är uppenbart att datamaskering och tokenisering har ett djupt fokus på att tillhandahålla åtgärder för datasekretess, medan kryptering har som kärnfokus datasäkerhet. Med tanke på fakta från alla tre säkerhetsteknikerna kan vi säga att ingen enskild teknik helt kan säkra personlig information. Alla måste fungera tillsammans för att skydda känsliga personuppgifter från stöld i olika skeden av deras livscykel.

Resurser:

www.gartner.com/en/documents/3153926