Information LifeCycle Security Cerutti – IES 2014-b.

Apresentação em tema: "Information LifeCycle Security Cerutti – IES 2014-b."— Transcrição da apresentação:

1 Information LifeCycle Security Cerutti – IES 2014-b

2 Security & Information Lifecycle Management (ILM) É ridículo fazer previsões, principalmente a respeito do futuro

3

4 ILM- conceitos iniciais Information Lifecycle Management (ILM) é um processo de gestão da informação por meio de seu ciclo de vida, desde a concepção até o descarte, de uma forma que otimiza o armazenamento e o acesso com menor custo, E a maior segurança possível.

5 ILM e Valor $$ ILM não é só hardware ou software, que inclui processos e políticas para gerenciar o informações. O ILM foi concebido mediante o reconhecimento de que Prever os requisitos de armazenamento e controle de custos pode ser especialmente difícil conforme o negócio ganha espaço e aumenta. diferentes tipos de informação podem ter diferentes valores em diferentes pontos no seu ciclo de vida.

6 ILM-Security Os objetivos gerais da gestão da informação com a Information Lifecycle Management são: – ajudar a reduzir o custo total de propriedade (TCO) – ajudar a implementar a retenção de dados – Ajustar os locais de armazenamento – E ajustar os dados as políticas de conformidade.

7 IMPLEMENTAÇÃO EXIGE ANÁLISE DE REQUISITOS A fim de implementar efetivamente E COM SEGURANÇA a ILM, os proprietários dos dados devem determinar: como a informação é criada, como ele define os tempos, A quantidade de acessos por unidade de tempo como esses parâmetros são alterados, e se / quando se pode, com segurança, ser excluído. como a informação é criada, como ele define os tempos, A quantidade de acessos por unidade de tempo como esses parâmetros são alterados, e se / quando se pode, com segurança, ser excluído.

8 – ILM segmenta os dados de acordo com o valor, o que pode ajudar a criar: um equilíbrio econômico e estratégia sustentável para alinhar os custos de armazenamento com objetivos de negócio e valor da informação. – A adoção de tecnologias e processos de ILM, como mostrado na Figura 1-1, a seguir, transforma essa estratégia em realidade de negócios.

9 O CICLO ILM é o processo de gerenciamento da informacao-desde sua criação até o descarte seguro- de forma a alinhar os custos em conjunto com a alteração do VALOR DA INFORMAÇÃO

10 Porque ILM é necessária A fim de executar o seu negócio de forma eficiente, você precisa de acesso rápido aos seus dados armazenados. mas em ambiente empresarial de hoje, você enfrenta desafios crescentes: A explosão da pura volume de informação digital, o aumento do custo de gerenciamento de armazenamento, apertado regulamentar requisitos para a retenção de dados e business manual e processos de TI que estão cada vez mais complexo e sujeito a erros.

11 VALOR Embora o valor total das informações armazenadas aumentou numa visão recente historicamente, nem todos os dados criados são iguais, ou do mesmo tipo/grupo e o valor dos dados das operações e processos de negócios varia ao longo do tempo. Isso é geralmente denominado “ciclo de vida dos dados”. A existência desse ciclo de vida significa que todos os dados não podem ser tratados da mesma forma.

12 Alteração do valor no ciclo

13 Figure 1-2 mostra os valores de diferentes tipos de dados, mapeados ao longo do tempo de dados típicos. mais frequentemente, o valor dos dados diminui ao longo do tempo, embora a diferentes taxas de declínio. No entanto, raramente acessado ou dados inativos podem tornar-se de repente valioso novamente como os eventos ocorrem, ou como novas iniciativas de negócios ou projetos são tomadas. Historicamente, a exigência de conservar informação resultou em uma "comprar mais espaço de armazenamento" mentalidade. No entanto, esta abordagem tem somente serviu para aumentar os custos globais de gerenciamento de armazenamento e complexidade, e aumentou o demanda de pessoal de difícil encontrar qualificados.

14 ILM entry points Figure 1-3 represents the different starting points or entry points to create an ILM environment

15 Os executivos de hoje têm a tarefa de reduzir a despesa global, apoiando uma vez aumento do número de serviços e aplicações demandas. Embora o apoio e gestão tarefas aumento, os departamentos de TI estão sendo feitas para justificar a sua posição, demonstrando valor de negócio para a empresa. Deve também desenvolver e melhorar a infra-estrutura, a fim apoiar iniciativas de negócios, enquanto enfrenta algumas ou todas estas questões de armazenamento de dados:

16 Os custos associados ao gerenciamento de e-mail pode reduzir a produtividade dos funcionários em muitos empresas. Backup e recuperação do Windows continuam a se expandir como volumes de dados crescem não gerenciado. Dados inativos consome valioso, o espaço de armazenamento em disco de alto desempenho. Cópias de dados duplicados estão consumindo espaço de armazenamento adicional. Como os dados continua a crescer e os custos de gestão aumentam, os orçamentos continuam sob pressão.

17 Este diagrama apresenta os componentes, ou pontos de entrada, que tem instalações para o edifício uma infra-estrutura ILM. Estes representam diferentes pontos de partida. Uma vantagem dessa abordagem é que as instalações têm a flexibilidade de começar em qualquer lugar e começar a obter resultados. Instalações não tem que se preocupar com todos esses aspectos - apenas alguns deles, dependendo do que resulta que estão procurando. Instalações que estão procurando maneiras mais fáceis para reduzir os custos tendem a concentrar-se no ponto de entrada de otimização de armazenamento ou a virtualização ponto de partida. Instalações que estão à procura de grandes peças de eficiência são mais propensos a concentrar-se nas ILM e / ou pontos de partida integrados para a melhoria e automação do processo de gestão da informação. Outras instalações, especialmente aqueles que são preocupado com o cumprimento, está realmente olhando para arquivamento e retenção - embora arquivamento e retenção também pode ser considerado por instalações que estão olhando para o posição do "fáceis", onde eles podem reduzir os seus custos. Múltiplos pontos de entrada oferecem uma abordagem flexível para a implantação de uma estratégia de ILM multi-ano. As instalações podem se concentrar em outros projetos de TI táticas para obter retornos imediatos enquanto incrementalmente a transição para uma estratégia de ILM empresa. Com uma solução de ILM, em vez de gerenciar cegamente bits e bytes, as instalações podem entender a importância da informação para o negócio em cada fase do seu ciclo de vida, permitindo, assim, los para alinhar o valor das informações com a TI mais adequado e rentável infra-estrutura. Instalações também pode experimentar o desempenho dos sistemas reforçada, tanto no sentido tradicional e por meio de aplicativos mais rápidos, tais como SAP ou e-mail, bem como de seus sistemas de infra-estrutura e armazenamento.

18

19 Este diagrama mapeia os pontos de partida e mostra que as melhores práticas sejam alinhados com os pontos de partida. É uma representação grosseira, e não um ajuste perfeito. Por exemplo, na Figura 1-4, você vê que a racionalização de dados, como uma iniciativa do outro lado que melhor prática, pode caber em três dos nossos pontos de partida: ? reduzir custos ? aumentar a flexibilidade ? maximizar a eficiência Iniciativas de racionalização de dados são muitas vezes um precursor para projetos de gestão de identidade mais ampla nas áreas de provisionamento, autenticação e controle de acesso. A virtualização é muito relevante para todos os pontos de partida. Armazenamento em camadas tende a se encaixar em virtualização, mas também a ILM integrada e os processos automatizados avançados. A virtualização é mais comumente aplicada a servidores, armazenamento e redes. Pode também ser aplicado a recursos não-físicos, incluindo aplicativos, middleware, sistemas distribuídos, e até mesmo os próprios recursos virtuais - por exemplo, a virtualização de um cluster de servidores virtuais. Embora a virtualização de recursos tradicional continua a ser um componente importante na IBM em estratégia de demanda, para a IBM para continuar seu impulso para a "Inovação através da virtualização", mais capacidade de virtualização é necessária para a criação de sistemas virtuais de múltiplos menor sistemas e para a gestão destes sistemas em plataforma e fornecedores limites em um forma simplificada, coesa. Gestão da informação descreve a programas, processos, estrutura de arquitetura, normas e diretrizes que a organização BT / CIO destinadas a alcançar eficaz gestão de dados como um ativo de grande empresa que atende aos requisitos da nossa externo e clientes internos. O principal objectivo da ILM é apoiar as informações corporativas em todo o e gerenciamento de dados, incluindo a gestão do armazém de informações. informações gestão não definitivamente desempenhar um papel na virtualização, mas realmente também se estende para integrada ILM ea melhoria e automação dos processos de gestão da informação.

20 A organização e tecnologia e modelo de governação processo de armazenamento desempenha todo o caminho em todos estes pontos de entrada. Otimização do armazenamento se concentra em ajudar os clientes a melhorar o eficiência do ambiente de armazenamento. A eficiência melhorada pode incluir tanto um aumento utilização do sistema e / ou a produtividade do pessoal. Técnicas específicas para o sistema de aumento utilização pode incluir a consolidação, virtualização e automação. produtividade pessoal técnicas podem incluir processo, organização, tecnologia e governança. Arquivamento e informações de retenção também pode ser uma dessas boas práticas que as instalações implementar a fim de impulsionar os seus resultados específicos (Figura 1-5). Arquivos de dados são cópias de dados ativos ou inativos de armazenamento on-line, com cópia para o armazenamento off-line. Arquivos são usados ​​para manter point-in-time cópias de dados importantes para os requisitos regulamentares ou contabilidade e para mover dados inativos de armazenamento on-line caro para armazenamento offline menos caro.

21 Gerencia de arquivamento

22 COMO ILM pode ajudar nos desafios da T.I. Há muitos desafios para negócios de hoje os quais fazem as organizações re- pensarem no gerenciamento de suas informações de forma mais eficiente e eficaz. Entre eles estão alguns problemas que podem motivar uma empresa a desenvolver uma estratégia e solução de ILM: Informações e dados estão crescendo mais rápido do que o orçamento de armazenamento. Que dados posso apagar e quando? O que fazer para manter e por quanto tempo? Discos dedicados a aplicações específicas impedem o compartilhamento de recursos.

23 Motivação para ILM Baixa utilização dos ativos existentes: por exemplo, em ambientes abertos, a utilização do armazenamento taxas de cerca de 30 por cento são típicas. Os processos manuais estão causando potencial risco de negócio devido a erros. Os requisitos regulamentares determinam retenção a longo prazo para determinados dados.

24 motivacao O negócio não é capaz de alcançar os objetivos de backup / recovery / acessibilidade para dados críticos. Incapacidade de aumentar o pessoal de apoio para acompanhar a demanda de gerenciamento de armazenamento em um ambiente cada vez mais complexo

25 motivação Existem múltiplos de backup e restaurar abordagens e processos. Requisitos de gestão de armazenamento não estão bem definidos.

26 Respostas Em resposta a estes desafios, é necessário definir objectivos específicos para apoiar e melhorar a gestão da informação: Controlar a demanda por armazenamento e criar políticas (Figura) para a alocação. Reduzir o hardware, software, e os custos com pessoal de armazenamento.

27 Abordagem IBM para ILM

28 Processos Melhorar a eficiência do pessoal, sistema de otimização e produtividade. Definir e aplicar políticas para gerenciar o ciclo de vida dos dados. Definir e implementar a estratégia de armazenamento adequadas para resolver requisitos de negócios atuais e futuros

29 elementos de ILM Para gerenciar o ciclo de vida de dados e fazer seu negócio pronto para On Demand, há quatro principais elementos que podem resolver o seu negócio para um ambiente ILM estruturado, como mostrado na figura a seguir. Eles são: Gerenciamento de armazenamento hierárquico Retenção de dados a longo prazo Gestão do ciclo de vida de dados Gestão de arquivos com base em políticas

30

31 Elementos do ILM As quatro seções seguintes descrevem cada um desses elementos em detalhes: Gestão de armazenamento hierárquico Retenção de dados a longo prazo Gestão do ciclo de vida de dados Gestão de arquivos com base em políticas

32 Gerenciamento de armazenamento hierárquico A maioria das organizações hoje procuram uma solução de armazenamento que podem ajudá-los a gerenciar os dados mais eficientemente. Eles querem reduzir os custos de armazenamento grande e crescente volume de dados e arquivos e manter a continuidade dos negócios. Através de armazenamento em camadas (tiered) você pode reduzir custos de disco de armazenamento, fornecendo benefícios como:

33 Retenção de dados a longo prazo Reduzir os custos globais de disco de armazenamento: – alocando o mais recente e mais crítico volume de dados de negócios para maior desempenho de armazenamento em disco, – enquanto se move os mais antigos e menos críticos para reduzir custos de armazenamento em disco.

34

35 Multi- Tier Multi- Tier

36 Gerenciamento de armazenamento hierárquico Acelerar os processos de negócios, fornecendo acesso de alto desempenho ao mais recente e mais dados frequentemente acessados. A redução de tarefas administrativas e erros humanos. Dados mais antigos podem ser movidos para um custo mais baixo armazenamento em disco automaticamente e de forma transparente.

37 Ambiente de armazenamento típico Ambientes de armazenamento normalmente têm vários níveis de valor de dados, tais como dados de aplicativo que é necessária diariamente e os dados do arquivo que é acessado com frequência. Mas armazenamento típico configurações oferecem apenas uma única camada de armazenamento, como se mostra na Figura 1-8, que limita o capacidade de otimizar custos e performance.

38 2º. Componente- Long-term data retention Complicacoes legais Período de retencao é critico –gerencia do periodo de retencao

39 Custos

40

41

42

43

44

45

46

47

48

49

50

51 Modelo de maturidade de Governança da Informação

52 Security and privacy From a security and privacy perspective, big data is different from other traditional data, and requires a different approach. Many of the existing methodologies and preferred practices can easily be extended to support the big data paradigm. This chapter describes the data security and privacy landscape and operational models, and how they can be applied to big data. This chapter also highlights usage examples by showing how IBM Software solutions, such as IBM InfoSphere Optim and IBM InfoSphere Guardium, can be used to secure and protect your critical information.

53 7.4 How security and privacy intersect You can have security without privacy, but you cannot have privacy without security. Security is the broad and comprehensive foundation that governs people, process, applications, and users, and privacy is specific to safeguarding the information of individuals. Good security practices support effective privacy practices.

54 7.1 Why big data is different On the surface, big data appears to have similar risks and exposures to traditional data. However, there are several key areas where it is dramatically different: More data translates into higher risk of exposure in the event of a breach. More experimental usage means that the organization's governance and security discipline is less likely to be in place, especially in the initial stages of testing and deployment. New types of data are uncovering new privacy implications, with few privacy laws or guidelines to protect that information. Examples include the connected home and digital meters for monitoring electricity usage (eMeters), cell phone beacons that broadcast physical location, health devices such as medical, fitness and lifestyle trackers, and telematics data that tracks automobile locations. Exposure of other data. There is an increased security risk of revealing not just privacy data, but also data under compliance regulations such as Basel II, Health Insurance Portability and Accountability Act (HIPAA), Payment Card Industry Data Security Standard (PCI DSS), and the Sarbanes-Oxley Act (SOX), and critical internal company information, such as intellectual capital (software programs, algorithms, and so on). Immature markets. Many areas of Hadoop are still evolving. Data linkage and combined sensitive data. The act of combining multiple data sources can create unanticipated sensitive data exposure, often with a lack of awareness. As an example, a study by Dr. Latanya Sweeney in 1997 was able to identify individuals 87% of the time by matching them against the US Census, just by using date of birth, gender, and postal code.1 Anonymizing production data. Much of the value of big data lies in uncovering patterns that do not require identification of the individual. As a result, organizations are increasingly using anonymization and de-identification to remove individual identifiers while still gaining utility from the data.

55 7.2.1 Security framework Although it is beyond the scope of this book to describe security frameworks in detail, this book can touch on the usage of frameworks in planning your security implementation for big data. A security framework provides a set of preferred practices, operational standards, and controls to guide organizations in assessing vulnerabilities, planning and implementing secure computing, and reducing the risk of data and systems intrusion. These frameworks specify the basis for an Information Security Management System (ISMS). There are several security frameworks in use today, such as Control Objectives for Information and Related Technology (COBIT), NIST, and International Standards Organization (ISO 27000). Of the three, ISO 27000 is the only framework that contains a standard for which companies can be certified. It is also multinational in nature. It is interesting to note that although ISO 27000 specifies standards for Security Policy, Asset Management, Cryptography, and Access Control, it does not specifically address data security itself. Rather, a security framework supports data security through controls such as user authentication and separation of duties. Check with your organization to better understand which framework it uses, and existing standards, policies, and procedures for data security. Also, ensure that you understand your organization's major compliance requirements, such as Basel II, PCI, HIPAA, and SOX. For more information about ISO27000, go to the following website: http://www.27000.org/

56 7.3 Data privacy defined The International Association of Privacy Professionals (IAPP) defines data or information privacy as “The claim of individuals, groups or institutions to determine for themselves when, how and to what extent, information about them is communicated to others.”3 Privacy laws throughout the world are a patchwork of laws and regulations. Most contain a shared set of principles that are known as Fair Information Practice Principles (FIPPs) that govern notice, choice and consent, collection, use, access, disposal, and program management of information. For more information about FIPPs, go to the following website: http://itlaw.wikia.com/wiki/Fair_Information_ Practice_Principles Here are three key principles that big data practitioners of which need to be aware: 1. Choice and Consent means that individuals have a right to opt-in or opt-out of data collection. 2. Collection and Use confines the collection of personal information only for the purposes that are specified. 3. Retention and Disposal (Data minimization) specify that data can be retained only while it is needed, with stipulations for disposal afterward. You can see the potential impact of these three principles for big data in that the information you collect and store should be used only for the purposes that are specified in your privacy notice and retained only while it is needed. Consult with your privacy office or legal counsel to understand your organization's privacy policies because they form the foundation of the decisions that you make about how to manage and secure sensitive data.

57 Privacy Maturity Model A useful tool for assessing your organization's readiness in terms of protecting big data is the AICPA/CICA's Privacy Maturity Model, which aligns closely to the AICPA/CICA privacy framework. The maturity model specifies 73 criteria and five maturity levels, which are organized by each of the 10 framework principles. The five maturity levels range from ad hoc to optimized, with regular review and feedback. The following categories are of particular note and should be considered when implementing your big data privacy controls: 1.2.3: Personal Information Identification and classification 1.2.4: Risk Assessment 1.2.6: Infrastructure and Systems Management 3.2.2: Consent for new Purposes and uses 4.2.4: Information developed About Individuals 8.2.1: Information security Program. For more information about the model, see the following website: http://www.cica.ca/resources-and-member- benefits/privacy-resources-forfirms- and-organizations/docs/item48094.pdf

58 Privacy Maturity Model A useful tool for assessing your organization's readiness in terms of protecting big data is the AICPA/CICA's Privacy Maturity Model, which aligns closely to the AICPA/CICA privacy framework. The maturity model specifies 73 criteria and five maturity levels, which are organized by each of the 10 framework principles. The five maturity levels range from ad hoc to optimized, with regular review and feedback. The following categories are of particular note and should be considered when implementing your big data privacy controls: 1.2.3: Personal Information Identification and classification 1.2.4: Risk Assessment 1.2.6: Infrastructure and Systems Management 3.2.2: Consent for new Purposes and uses 4.2.4: Information developed About Individuals 8.2.1: Information security Program. For more information about the model, see the following website: http://www.cica.ca/resources-and-member- benefits/privacy-resources-forfirms- and-organizations/docs/item48094.pdf

59 Privacy Operational Lifecycle IAPP has defined a Privacy Operational Lifecycle that describes the four major steps for managing data privacy along with the activities under each step.5 This lifecycle, which is shown in Figure 7-1 on page 139, is a useful framework for aligning operational activities to privacy objectives. There are four phases in the lifecycle: Assess, Protect, Sustain, and Respond. Later in the chapter, you see how elements of each phase can be used to guide data protection of critical information. Although some of the steps and activities are implemented at a business and organizational level, it is important for the technical practitioner to understand their role in the process. 5

60

61

62

63

64

65

66

67

68

69

70

71

72

73

74

75

76

77

78

79

80

81

82

83

84

85

86