ISO/IEC 27002:2013

Sintesi del regolamento

Tra le migliori prassi previste dalla norma ISO/IEC 27002 troviamo:

• Controlli degli accessi ai dati
• Controllo crittografico dei dati sensibili
• Gestione e protezione delle chiavi crittografiche
• Registrazione e archiviazione "di tutti gli eventi significativi relativi all'utilizzo e alla gestione delle identità degli utenti e delle informazioni segrete di autenticazione", nonché protezione di tali informazioni da "manomissioni e accessi non autorizzati".

1ISO/IEC 27002, Second edition 2013-10-01: Information technology — Security techniques — Code of practice for information security controls. https://www.iso.org/standard/54533.html

Sintesi della conformità

Thales può aiutarti a rispettare gli standard ISO/IEC 27002:2013 tramite:

• Controlli degli accessi che consentono il recupero di dati solo agli utenti con credenziali
• Crittografia o tokenizzazione dei dati in modo che, anche in caso di furto, siano illeggibili e dunque inutili per i criminali informatici
• Gestione centralizzata e archiviazione sicura delle chiavi crittografiche in tutta l'azienda
• Protezione dei registri di security intelligence per identificare pattern di accesso irregolari e violazioni in corso

Controllo degli accessi

La CipherTrust Data Security Platform garantisce un controllo degli accessi utente all'avanguardia.

• Separazione di utenti con accesso privilegiato e dati sensibili Grazie alla CipherTrust Data Security Platform, le aziende possono creare una separazione completa delle responsabilità tra gli amministratori privilegiati e i titolari dei dati. CipherTrust Transparent Encryption crittografa i file lasciando in chiaro i loro metadati. In questo modo gli amministratori IT (inclusi gli amministratori di hypervisor, cloud, archivi e server) possono eseguire le proprie attività di amministrazione del sistema senza ottenere l’accesso ai dati sensibili che si trovano nei sistemi che gestiscono.
• Separazione delle responsabilità amministrative. È possibile implementare solidi criteri di separazione delle responsabilità per garantire che un unico amministratore non detenga il controllo completo su attività di sicurezza dei dati, chiavi di crittografia o amministrazione. Inoltre, CipherTrust Manager supporta un’autenticazione a due fattori per l'accesso amministrativo.
• Controlli granulari degli accessi privilegiati. La soluzione di Thales può implementare criteri di gestione degli accessi molto granulari secondo il principio del privilegio minimo, garantendo la protezione dei dati da utilizzi impropri da parte di utenti privilegiati e minacce persistenti avanzate. I criteri granulari di gestione degli accessi ai dati da parte degli utenti privilegiati possono essere implementati in base a utente, processo, tipo di file, ora del giorno e altri parametri. Le opzioni di implementazione possono controllare non solo il permesso di accesso a dati con testo in chiaro, ma anche i comandi a livello di file system disponibili all'utente.

Sicurezza datacentrica

Thales protegge i dati stessi tramite la CipherTrust Transparent Encryption con una gestione delle chiavi integrata per i dati a riposo, CipherTrust Application Data Protection, CipherTrust Tokenization e altri. Queste tecniche rendono i dati illeggibili e inutili senza gli strumenti per decriptarli.

Gestione unificata delle chiavi

CipherTrust Enterprise Key Management di Thales fornisce una piattaforma solida e basata su standard per gestire chiavi crittografiche da svariate fonti all'interno dell'azienda. Semplifica la gestione e le sfide amministrative rappresentate dalla gestione delle chiavi crittografiche per garantire la loro sicurezza e fornitura ai servizi di crittografia autorizzati.

Registri di security intelligence

Thales consente all'impresa di monitorare e identificare accessi straordinari ai dati. I registri di CipherTrust Security Intelligence specificano nel dettaglio quali processi e utenti hanno avuto accesso ai dati protetti. Specificano:

• Quando gli utenti e i processi hanno avuto accesso a quali dati e secondo quali criteri
• Se le richieste di accesso sono state accettate o rifiutate
• Quando un utente privilegiato invia un comando come "cambia utente" per imitare le credenziali di un altro utente

Condividere questi registri con una piattaforma SIEM (Security Information and Event Management) aiuta a rilevare pattern anomali nei processi e negli accessi utente che possono richiedere indagini successive.