Компании продолжают нести значительные убытки из-за нарушений, связанных с данными. Потери складываются из юридических затрат, возмещений потребителям и персоналу, снижения стоимости акций и ухудшения репутации компании. По некоторым оценкам, ежегодно финансовые потери достигают миллиардов долларов. В настоящей статье рассматриваются правовые нормы, стандарты защиты данных с помощью шифрования и способы, применяемые корпорацией Microsoft для шифрования конфиденциальных данных в ее системе управления базами данных SQL Server с помощью продукта Encryption Key Management для Microsoft SQL Server 2008-2016 от компании Townsend Security.

Согласно исследованию 2015 Cost of Data Breach Study: United States института Ponemon, средняя стоимость нарушения, связанного с данными, возросла со 145 до 154 долл. для одной записи, а средние потери компании в результате одного нарушения составляют 3,79 млн долл. В финансовые потери входит замена кредитных карт, стоимость услуг кредитного мониторинга и юридического обслуживания, необходимого для защиты компании от исков со стороны клиентов и акционеров. Долгосрочные репутационные потери могут быть еще более серьезными.

При этом стоимость потерь данных неуклонно повышается. Средние компании подвергаются дополнительному экзистенциальному риску. Опрос, проведенный институтом Ponemon при поддержке юридической фирмы Scott and Scott, показал, что 74% компаний потеряли клиентов после нарушений, затрагивающих данные, а у 32% упала стоимость акций. В сложных экономических условиях многие компании могут не пережить финансовых последствий потери данных.

Правовые нормы и шифрование диска для защиты ресурсов

Правовые нормы, такие как Стандарты безопасности данных в сфере платежных карт (PCI DSS), Акт о передаче и защите данных учреждений здравоохранения (HIPAA), Закон о применении медицинских информационных технологий в экономической деятельности и клинической практике (HITECH), Закон Грэмма-Лича-Блайли (GLBA) и законы о конфиденциальности штатов, вынуждают компании внедрять средства надежной защиты данных, в том числе шифрования. В одних случаях нормативы требуют шифрования конфиденциальных данных, а в других шифрование настоятельно рекомендуется. Единственная надежная защита, предусмотренная всеми нормативными актами, — шифрование конфиденциальных данных. Шифрование не единственное средство защиты данных, но это неотъемлемый компонент любого эффективного подхода.

Управление ключами шифрования

Самая важная часть стратегии шифрования данных — защита ключей шифрования. Точно так же, как ключ от вашего дома уникален и не может быть использован больше нигде, используемые вами ключи шифрования должны быть уникальны и известны только в вашей компании. Защита этих ключей — главный вопрос стратегии шифрования данных.

Защитой ключей шифрования от потери занимаются специализированные компании, проектирующие диспетчеры ключей шифрования. Эти системы представляют собой комбинацию аппаратных средств и программного обеспечения, спроектированных специально для создания и управления ключами и ограничения круга их применения разрешенными пользователями и приложениями. В диспетчерах ключей применяются разнообразные приемы для предотвращения несанкционированного доступа, выдаются отчеты о подозрительных действиях и важная информация зеркально отображается на серверах резервного копирования в целях высокой доступности.

Стандарты и рекомендации по управлению ключами

Защита данных невозможна без управления ключами и шифрованием, поэтому Национальный институт стандартов и технологий (NIST) предоставляет рекомендации по управлению ключами и программу проверки модуля шифрования. В публикации NIST Special Publication SP-800-57 содержатся рекомендации по управлению ключами шифрования. Кроме того, NIST публикует стандарты по криптографическим системам в Федеральном стандарте обработки информации 140-2 (FIPS140-2). Решения поставщиков средств управления ключами могут быть проверены институтом NIST на соответствие стандарту FIPS140-2, и федеральные органы требуют выполнять эту проверку.

Решение Alliance Key Manager компании Townsend Security прошло проверку на соответствие FIPS140-2. Хотя выполнить проверку FIPS140-2 в контексте поставщика «облачных» служб невозможно, в Alliance Key Manager используется та же, соответствующая требованиям FIPS140-2 технология управления ключами, что и в HSM компании Townsend Security. А эта технология применяется более чем 3000 клиентов во всем мире.

NIST-совместимые решения

Специалисты в области безопасности и лица, ответственные за соответствие требованиям, в государственных организациях и частных компаниях признают важность проверки FIPS140-2 как свидетельства качества решения управления ключами и настаивают на том, чтобы поставщики проходили эту проверку. Аудиторы также понимают, что грамотное управление ключами шифрования превышает технические возможности большинства компаний, и ориентируются на стандарты и проверки NIST. Процедуры управления ключами в компаниях, использующих нестандартные и несертифицированные решения, часто подвергаются более тщательному исследованию. Средние и малые компании терпят неудачи при прохождении аудита процедур управления ключами. Чтобы исправить последствия такой неудачи, иногда требуется затратить немало денег и времени. Этой проблемы можно избежать, развернув средство управления ключами, способное успешно пройти аудит.

Из стандарта PCI DSS

Надежная криптография: криптография, основанная на испытанных и принятых в отрасли алгоритмах, с ключами достаточно большой длины и надежными методами управления ключами. Криптография представляет собой метод защиты данных и охватывает как шифрование, которое обратимо, так и хеширование, которое необратимо. Примеры прошедших отраслевые испытания и принятых стандартов и алгоритмов шифрования: AES (128 разрядов и больше), TDES (ключи не менее двойной длины), RSA (1024 разряда и больше), ECC (160 разрядов и больше) и ElGamal (1024 разряда и больше). Дополнительные сведения можно найти в публикации NIST Special Publication 800-57 (http://www. csrc.nist.gov/publications/).

Microsoft SQL Server 2008-2016 Extensible Key Management (EKM)

Признавая важность эффективного управления ключами для безопасности данных, компания Microsoft реализовала Extensible Key Management (EKM) в SQL Server 2008. EKM — одновременно архитектура для служб управления ключами шифрования и интерфейс для сторонних диспетчеров ключей, таких как Alliance Key Manager компании Townsend Security. EKM обеспечивает локальное управление ключами шифрования на сервере, но специалисты по безопасности Microsoft и других компаний рекомендуют использовать внешние решения для управления ключами. Программа Alliance Key Manager предназначена для использования с Microsoft SQL Server EKM в качестве аппаратного модуля безопасности, Cloud HSM, виртуальной машины VMware или в «облаке» (AWS и Microsoft Azure).

После активации EKM может предоставить общий интерфейс для сторонних решений управления ключами и HSM для шифрования ключей, используемых для шифрования данных, а также непосредственного шифрования самих данных. После регистрации в EKM эти модули могут быть использованы в SQL Server, чтобы задействовать расширенную функциональность, предоставляемую HSM. Эти решения безупречно работают с базами данных версий SQL Server 2008-2016 и обеспечивают специализированное управление ключами в масштабах компании. Это позволяет передать функции управления ключами от SQL Server специализированным системам. При внедрении EKM помните, что необходимо хранить все ключи отдельно от данных (SQL Server 2008-2016 поддерживает использование HSM для физического отделения ключей от данных).

Прозрачное шифрование данных (TDE)

Прозрачное шифрование данных, или TDE, является частью системы расширенного управления ключами Microsoft SQL Server. TDE шифрует все табличное пространство базы данных, обеспечивая безопасность всей базы данных. Решение для управления ключами содержит главный ключ, который защищает всю таблицу. Многие клиенты Microsoft предпочитают подход TDE к защите данных по нескольким причинам:

  • простота реализации и отсутствие необходимости изменять приложение;
  • ключ, который защищает базу данных, никогда не покидает диспетчер ключей, что повышает безопасность;
  • влияние на производительность меньше, чем при прочих подходах.

Преимущества использования TDE с решением для управления ключами очевидны. Потребители защищают все свои данные и убеждены, что не пропустят важную информацию; метод соответствует рекомендациям специалистов по безопасности и аудиторов; снижение производительности минимально; это самое простое и наименее затратное решение для внедрения.

В техническом документе по безопасности SQL Server специалисты компаний Caturano и ParenteBeard дают следующие рекомендации: «Управлять ключами лучше всего через поставщика EKM. Поставщик EKM может обеспечить раздельное управление ключами, требуя от многочисленных пользователей проходить проверку подлинности при выполнении административных функций в отношении ключей, например изменении разрешений. Однако, разделяя обязанности, помните, что владелец базы данных и/или системный администратор не должен зависеть от администратора EKM. В качестве дополнительного элемента контроля EKM также отделяет ключи от приложения SQL Server, использующего ключи, чтобы те не хранились вместе с данными».

Шифрование на уровне столбцов

Шифрование на уровне столбцов (CLE) также является частью системы расширенного управления ключами Microsoft SQL Server. В этом случае шифруется один столбец таблицы. В отличие от TDE, разработчик должен реализовать шифрование на уровне столбцов с использованием вызовов SQL. Для клиентов Microsoft и независимых поставщиков программных продуктов, использующих приложения прежних версий, выполняющие шифрование, это, вероятно, лучший способ защитить данные в базе данных SQL Server.

Преимущества шифрования с решением управления ключами очевидны:

  • потребители защищают свои конфиденциальные данные от потерь;
  • снижаются или исключаются затраты на уведомления в случае нарушений;
  • данный подход соответствует рекомендациям специалистов по безопасности и аудиторов;
  • снижаются расходы по судебным обязательствам;
  • простота реализации базы данных SQL Server.

Alliance Key Manager для SQL Server

Alliance Key Manager (http://townsendsecurity.com/products/encryption-key-management-for-SQL-server) — решение для управления ключами общего назначения компании Townsend Security, естественно интегрируемое с Microsoft SQL Server. Данный продукт поставляется в виде аппаратного модуля безопасности (HSM), «облачного» HSM, виртуальной машины VMware или в «облаке» (AWS или Microsoft Azure). Диспетчер ключей создает, хранит и защищает ключи шифрования, используемые SQL Server, и обеспечивает разделение обязанностей и двойной контроль, необходимые в соответствии со стандартом безопасности данных PCI (PCI DSS) и другими правовыми нормами. В дополнение к службам управления ключами для SQL Server, Alliance Key Manager предоставляет ключи шифрования для приложений во всей компании.

Программа Key Connection, поставляемая вместе с Alliance Key Manager, устанавливается на Windows Server, работающем с базой данных SQL Server, чтобы обеспечить соединение между SQL Server и диспетчером ключей. Key Connection хранит информацию о конфигурации, список доступных серверов ключей и сведения о сертификатах, используемых для защиты подключения к диспетчеру ключей. Key Connection — это EKM Provider, регистрируемый в SQL Server администратором базы данных при запуске шифрования базы данных SQL Server. Естественный интерфейс установки, лицензирования и настройки Windows упрощает процедуру развертывания для системных администраторов.

Защита соединений EKM и Key Manager с помощью TLS

В соответствии с рекомендациями по управлению ключами шифрования, они должны быть постоянно защищены и не подвержены потерям при пересылке из диспетчера ключей в приложение SQL Server. Alliance Key Manager использует безопасные соединения Transport Layer Security (TLS) с проверкой подлинности, чтобы обеспечить защиту критической информации при отправке и получении ее сервером ключей. В Alliance Key Manager для TLS используются стандартные методы PKI. Компания может задействовать существующую инфраструктуру для создания необходимых сертификатов X509 и закрытых ключей в целях защиты TLS-сеансов или обратиться к протоколу OpenSSL для формирования необходимых сертификатов и ключей. Независимо от метода создания сертификатов и ключей, Alliance Key Manager всегда защищает ключи шифрования и конфиденциальные данные, пересылаемые между SQL Server и диспетчером ключей.

Устойчивость управления ключами

Системы управления ключами шифрования являются частью критически важной инфраструктуры компании и должны быть устойчивы к обычным воздействиям. В Alliance Key Manager для SQL Server предусмотрены некоторые меры для повышения устойчивости.

  • В серверах ключей используются двойные массивы RAID дисков с возможностью горячей замены для защиты от отказов оборудования (монтаж в стойке высотой 1U).
  • Alliance Key Manager зеркально отображает все ключи шифрования в реальном времени на сервер ключей высокой доступности.
  • Программа Key Connection на Windows Server автоматически переключается на один или несколько серверов ключей высокой доступности.
  • Программа Key Connection автоматически перезапускается как служба в случае сбоя операционной системы.

Масштабируемость управления ключами

Часто компании начинают внедрять шифрование в небольших объемах и постепенно расширяют его применение. Функциональность Alliance Key Manager может масштабироваться по мере увеличения требований к защите ключей шифрования для разнообразных приложений и серверов. Вы можете начать с Alliance Key Manager в «облаке» и использовать диспетчер только с SQL Server, а затем перейти к нескольким серверам ключей или устанавливаемому в стойку аппаратному модулю безопасности (HSM) размера 1U. Можно сочетать физические и виртуальные серверы ключей, строя распределенную среду или точечное решение.

Препятствия к внедрению

Существует немало препятствий для развертывания надежной защиты данных. Это завышенная цена решений управления ключами; сложные решения, требующие много времени на развертывание или дорогостоящих усилий разработчиков; дорогие консультации, необходимые поставщикам; трудности развертывания и установки программ и множество других проблем, замедляющих внедрение надежной защиты данных.

Решение Alliance Key Manager компании Townsend Security позволяет снизить затраты на преодоление этих барьеров в соответствии с вашими запросами. Его легко установить и настроить, оно прошло проверки NIST и FIPS на соответствие требованиям и работает с базой данных Microsoft SQL Server автоматически. Вы можете централизованно управлять несколькими диспетчерами ключей, чтобы сократить затраты на администрирование, а встроенные функции зеркального отображения ключей уменьшают расходы на процедуры резервного копирования и восстановления.

Alliance Key Manager для Microsoft SQL Server

Alliance Key Manager компании Townsend Security — решение для управления ключами, совместимое со стандартом FIPS140-2 и выпускаемое в виде аппаратного модуля безопасности (HSM), «облачного» HSM, виртуальной машины VMware в формате OVA и в «облаке» (AWS и Microsoft Azure). Кроме того, это решение поддерживает шифрование в устройстве и службы шифрования, чтобы ключи шифрования всегда хранились отдельно от данных, которые они защищают.