Jak przechowywać dane zgodnie z RODO

Unijne Rozporządzenie o Ochronie Danych Osobowych (tzw. RODO) wymusza wiele zmian w podejściu do informacji cyfrowych przedsiębiorstw. Jednym z podstawowych jego wymogów jest zdolność do szybkiego przywrócenia systemu po awarii. A to ściśle związane jest z wykonywaniem backupu i kopii zapasowych, w czym specjalizuje się firma Advatech, oferująca swoim klientom m.in. rozwiązania IBM Spectrum Protect oraz IBM Spectrum Protect Plus.

Pobierz materiał white paper poświęcony m.in. bezpiecznemu przechowywaniu danych i zasadom tworzenia skutecznych kopii zapasowych.

Jeśli firmy chcą być zgodnie z przepisami RODO, to muszą myśleć o bezpieczeństwie danych. A skoro o bezpieczeństwie, to i o backupie, o dostępnie do danych oraz o ich przechowywaniu.

Trzy kluczowe obszary

Zdaniem Łukasza Durkalca, Dyrektora Technicznego Advatech kontekst RODO to dla branży informatycznej tak naprawdę trzy główne obszary zainteresowań. Pierwszy dotyczy procedur, szkoleń pracowników czy nowych funkcji personalnych (np. administratora). - To domena firm prawniczych, które analizują i weryfikują sytuację w danej firmie, czyli ustalają na przykład jakie dane i jakie procesy tam występują, które osoby mają jakie dostępy, jak wyglądają procedur postępowania na wypadek wycieku danych oraz weryfikują role, które są potrzebne w związku z RODO. My często występujemy w takich przypadkach jako konsultant i fachowa pomoc dla analiz prawnych – opowiada Łukasz Durkalec.

Drugi obszar to bezpieczeństwo dostępu, czyli tzw. cybersecurity. Pod tym hasłem kryją się np. firewalle, IDS i IPS (systemy wykrywania i zapobiegania włamaniom) oraz monitorowanie tego, co się dzieje w sieci. Wszystko po to, żeby zabezpieczyć się przed nieuprawnionym wydobyciem danych (w tym także przez użytkowników wewnętrznych). – Funkcjonujemy również w tym obszarze, proponując naszym klientom wsparcie między innymi rozwiązaniami SIEM (Security Information and Event Management). Na przykład IBM QRadar SIEM wykrywa anomalie, ujawnia zagrożenia i eliminuje fałszywe alarmy – mówi ekspert z Advatech.

Natomiast trzeci obszar to zabezpieczenie samych danych i ograniczenie ich dostępności wewnątrz przedsiębiorstwa. Chodzi tu o: zabezpieczenie danych strukturalnych (czyli baz danych), danych niestrukturalnych (czyli plików), ograniczenie dostępu do serwerów NAS (Network Access Server), serwerów z plikami, bezpieczny obieg dokumentów wewnątrz firmy i zasady tworzenia i przechowywania kopii zapasowych.

Zasady bezpiecznego przechowywania danych

Aby dane w firmie były bezpieczne i przechowywane zgodnie z wymogami RODO należy przede wszystkim:

- szyfrować nośniki z danymi i backupami

- ograniczyć dostępy do zasobów i baz danych

- zapewnić separację backupów od systemów źródłowych.

Jeżeli chodzi o system backupu i ochrony danych, to podstawą jest szyfrowanie nośników, czyli dysków i taśm. - Tym sposobem zabezpieczamy się przed nieautoryzowanym wyniesieniem danych w sposób celowy, ale i nieumyślny. Bo nawet, jeśli nośniki znajdą się poza firmą, nie da się wykorzystać zawartych na nich informacji – tłumaczy Łukasz Durkalec.

Po drugie należy mocno ograniczyć dostępy do danych. – Odchodzi się już od modelu, w którym administrator ma pozwolenia dotyczące wszystkiego i w każdym momencie może otworzyć każdą daną. Weryfikuje się też, którzy użytkownicy rzeczywiście potrzebują dostępu do danych, szczególnie tych osobowych czy finansowych. Jednym z programów dającym takie możliwości jest IBM Guardium – mówi ekspert Advatech.

Trzecia składowa bezpieczeństwa zasobów to rozwiązania czysto architektoniczne, czyli np. odseparowania ośrodka, w którym jest wykonywany backup od ośrodka, w którym są oryginalne dane. - Może to być inne piętro w budynku, ale może to być też zupełnie inna lokalizacja, do której dostęp mają tylko kluczowe i wybrane osoby. Wszystko po to, żeby ograniczyć prawdopodobieństwo sytuacji, w której na przykład pożar czy zalanie serwerowni niszczy zasoby oryginalne a także kopię zapasową. Ale chodzi też o uniknięcie przypadków, w których rozczarowany administrator, który miał nieograniczone dostępy, nagle postanawia wykasować wszystko łącznie z systemem backupu. Jeżeli ktokolwiek jest w stanie wykasować zarówno dane źródłowe jak i kopię zapasową to znaczy, że procedury bezpieczeństwa w firmie są nieprawidłowe. Żeby uniemożliwić takie działanie, odpowiednie obszary odseparowuje się fizycznie, informatycznie i elektronicznie – mówi Łukasz Durkalec.

Rozwiązania IBM wspierające bezpieczeństwo danych

Przykładem rozwiązania IBM stosowanego w firmach do wykonywania bezpiecznych i niezawodnych kopii zapasowych jest IBM Spectrum Protect oraz IBM Spectrum Protect Plus. Pierwszy z nich jest bardzo mocnym rozwiązaniem backupowym działające w trybie incremental forever. Z kolei Spectrum Protect Plus to backup środowisk wirtualnych Vmware i hyper-v – prosty, szybki w implementacji, a na dodatek nie generujący wysokich kosztów.

Firma Advatech, od lat budując bezpieczne bazy danych u klientów, korzysta m.in. z systemu IBM Power, łącząc go z oprogramowaniem tej samej firmy. - Wtedy mamy pewność synergii i tego, że wszystko razem dobrze zadziała. To połączenie sprzętowo-programowe jest najwyższej jakości. Urządzenia są pewne, a producent sprawdzony. Wielu dużych klientów wybiera ten sprzęt, ponieważ daje on gwarancję poprawnego działania, spójność zarządzania i niezawodność – dodaje Łukasz Durkalec.

Rozwiązania IBM Power Systems, pozwalające tworzyć bezawaryjną infrastrukturę lokalną, ulokowały się na pierwszym miejscu w rankingu niezawodności ITIC. Najnowsza odsłona serwerów tej serii – Power 9 – to ultraszybkie urządzenia, których możliwości przejawiają się w wyższej wydajności wspieranych rozwiązań. Procesory Power 9 (zbudowane z myślą o erze zdominowanej przez technologię sztucznej inteligencji) zapewniają nawet 5 - 6 razy wyższą przepustowość we/wy i obsługę dwukrotnie większej liczby wątków niż konkurencyjne serwery x86. Warto o tym pamiętać, bo – jak podkreśla Łukasz Durkalec - system backupu i archiwizacji danych jest tak mocny, jak jego najsłabsze ogniwo. Zatem aby był niezawodny, w żadnej mierze nie może składać się ze słabych podzespołów.

Więcej na ten temat przeczytasz w materiale white paper.