Vad är personligt identifierbar information (PII)?
Dagens digitala tidsålder drivs av kund- och konsumentdata: data är den nya valutan. Förutsatt att de samlas in genom samtycke och transparens är konsumentdata nyckeln för företag att skapa värde för sina konsumenter, till exempel genom personalisering och förändrade upplevelser. Bland de olika attributen hos konsumentdata finns de som kan användas för att unikt identifiera konsumenten – uppsättningen av sådan data kallas PII. Exempel på PII inkluderar namn, e-postadress, telefonnummer, adress och andra attribut relaterade till individens demografiska, ekonomiska, hälsomässiga och andra personuppgifter.
Företagens behov av att skydda personligt identifierbara uppgifter
Med bestämmelser som California Consumer Protection Act (CCPA) i USA, den allmänna dataskyddsförordningen (GDPR) i Europa, och liknande i andra delar av världen, har företag allt större rättsliga skyldigheter att skydda PII-uppgifter. I takt med att konsumenternas medvetenhet ökar orsakar varje dataintrång en betydande skada på konsumenternas förtroende och följaktligen organisationens varumärke och rykte. Det handlar dock inte bara om varumärke och rykte: ny forskning visar att varje dataintrång har en ekonomisk påverkan på 4 miljoner dollar. Med hot och sårbarheter som ständigt ökar är behovet för företag att skydda PII-uppgifter större idag än någonsin tidigare.
Kryptering av PII-data
kryptering är ett av de beprövade sätten att skydda PII-data. När konsumentdata är krypterad kan risken för dataintrång minskas i hög grad, och effekterna av intrånget kan begränsas, eftersom den stulna informationen inte kommer att vara till någon nytta för angriparen i krypterad form. Förutom riskreducering är kryptering av PII-data också nödvändig ur ett efterlevnadsperspektiv, med regler som CCPA och GDPR som nämnts tidigare, som kräver sådan kryptering.
Vad ska krypteras?
Det första steget i PII-datakryptering är att bestämma vilka data som ska krypteras, och dataskyddsregler erbjuder en bra utgångspunkt. Till exempel definierar HIPAA-reglerna (Health Insurance Portability and Accountability Act) i USA vilken patientinformation som behöver krypteras, inklusive behandlingsinformation. En sak att notera är att även om reglerna anger vilka data som ska krypteras, lämnar de valet av krypteringsteknik till företaget.
Lokalisering av data
När de data som ska krypteras har identifierats är nästa steg att lokalisera informationen i hela företaget, som en del av en dataupptäcktsövning. Detta är viktigt eftersom PII-data kan lagras i flera applikationer, databaser och filsystem i hela företaget, eller i molnet. Dataupptäcktsövningen involverar vanligtvis en studie eller bedömning av applikations- och systemportföljer, tillsammans med användning av dataupptäcktsverktyg.
Krypteringstekniker och standarder
Nästa steg är själva krypteringen av informationen. Det finns flera krypteringstekniker och standarder tillgängliga, och låt oss ta en titt på de mest populära.
Advanced Encryption Standard (AES):
AES är ett av de bästa krypteringsalternativen, främst på grund av dess styrka och breda acceptans. Som en av de starkaste krypteringsteknikerna som finns tillgängliga åtnjuter AES bred acceptans inom regelverk, företag, kreditkortsutgivare och myndigheter. AES används också i Pretty Good Privacy (PGP)-standarden, som används av ett stort antal bank- och finansinstitut. National Institute of Standards and Technology (NIST) rekommenderar AES som den högsta standarden för kryptering, med tre olika nyckelstorlekar: 128-bitars, 192-bitars och 256-bitars.
RSA:
Detta är en krypteringsstandard uppkallad efter dess tre uppfinnare: Rivest, Shamir och Adleman. Styrkan hos RSA härrör från det faktum att primtalsfaktorisering av mycket stora tal är beräkningsmässigt extremt svårt med befintlig hårdvara och datorresurser. RSA har blivit populärt eftersom det kan bidra till att säkerställa konfidentialitet, integritet, autenticitet och oavvislighet hos data. Nyckellängderna i RSA är mycket långa, 1024 eller 2048 bitar, och detta är ytterligare en anledning till RSA:s styrka. Med dessa nyckellängder är algoritmen dock relativt långsam, och därför är en tillämpning av RSA att använda den för nyckelkryptering istället för direkt datakryptering. En annan begränsning med RSA är att i takt med att datorer blir kraftfullare måste nyckellängderna bli längre och längre för att ligga steget före brutala försök till primtalsfaktorisering.
Elliptisk kurvkryptering (ECC):
Detta framstår som ett populärt alternativ till RSA på grund av dess fördelar med hastighet, mindre nyckelstorlekar och kryptografisk effektivitet. ECC är också ett bra alternativ för mobila enheter på grund av dess lägre krav på datorkraft och batterianvändning. Algoritmen är baserad på algebraiska ekvationer som representerar elliptiska kurvor. Nycklar som genereras genom denna metod är matematiskt flera storleksordningar starkare än primtallsfaktoriseringsmetoden RSA. Till exempel har en 256-bitars ECC-nyckel samma styrka som en 3072-bitars RSA-nyckel.
SSL/TLS:
Ocuco-landskapet Secure Sockets Layer (SSL) protokollet och dess efterföljare, Transport Layer Security (TLS), har nu blivit vanliga, med webbservrar och webbläsare som ett välkänt exempel på deras användning. Eftersom PII-data ofta skickas över nätverket från klient till server, från en applikation till en annan, och från en server till en annan, är kryptering av kommunikationskanaler med SSL/TLS avgörande för att undvika "man-in-middle"-attacker. Kärnan i SSL/TLS är ett handskakningsprotokoll mellan de två slutpunkterna och säkrat med asymmetrisk kryptografi, som används för att generera en sessionsnyckel som endast är giltig för den kommunikationssessionen. Resten av kommunikationen över kanalen krypteras med en symmetrisk kryptografimetod, där denna sessionsnyckel används av båda slutpunkterna. SSL/TLS-protokollet säkerställer både säkerhet och prestanda och har blivit de facto krypteringsstandarden för data som rör sig, inte bara mellan en webbläsare och en server, utan mellan två slutpunkter.
Nyckelhantering:
Den slutgiltiga framgången för en datakrypteringsteknik beror inte på algoritmer, hårdvara och mjukvara som används: den beror på hur väl de privata nycklarna som används för kryptering hanteras. Det grundläggande kravet för nyckelhantering är att separera den krypterade datan och krypteringsnycklarna på separata fysiska platser. Alternativ för nyckelhantering inkluderar Hårdvarusäkerhetsmoduler (HSM), virtuella apparater och molntjänster för nyckelhantering.
Key Takeaways
Alla företag som hanterar konsumenters personliga integritetsskydd är också ansvariga för att skydda dessa uppgifter. Dataintrång utgör tre betydande affärsrisker för alla organisationer: förlust av konsumentförtroende, direkt ekonomisk påverkan samt juridiska/regulatoriska konsekvenser och påföljder. Krypteringstekniker erbjuder ett beprövat sätt för företag att skydda personliga integritetsskyddade uppgifter och hantera alla tre risker.
