CIS Control 3, dispone di un benchmark, che ogni azienda può adottare per proteggere i propri dati, dettagliato e spiegato nelle sezioni che elencheremo di seguito.
- Stabilire e mantenere un processo di gestione dati
Ogni azienda dovrebbe disporre di un processo di gestione dei dati che affronti la conservazione, l’archiviazione, il backup e l’eliminazione dei dati. Esso deve seguire uno standard ben preciso e in linea con le normative a cui è soggetta un’azienda.
- Configurare gli elenchi di controllo dell’accesso ai dati
Per un’ottimale protezione dei dati aziendali ci si dovrebbe assicurare che ogni utente abbia accesso solo ai dati di ha bisogno per svolgere il proprio lavoro. Questo ridurrà il rischio di minacce interne ed esterne e gli utenti avranno meno possibilità di causare una violazione dei dati, visualizzando, ad esempio, in maniera accidentale o deliberatamente dei file che non dovrebbero vedere.
- Stabilire e mantenere un inventario di dati
Identificare quali dati vengono prodotti, quali vengono conservati e quali consumati da un’azienda è fondamentale. Ogni azienda dovrebbe avere un inventario in cui dovrebbero essere inclusi sia i dati non strutturati (come documenti e foto), sia dati strutturati (come i dati archiviati nei database). Un inventario accurato viene aggiornato annualmente e diventa fondamentale per tutti i processi di sicurezza, inclusa la valutazione del rischio.
- Conservazione dei dati
Ogni organizzazione è soggetta a normative di conformità sulla conservazione dei diversi tipi di dati e per quanto tempo questa avviene. Automatizzare il più possibile la conservazione garantirà la conformità.
- Eliminazione sicura dei dati
Il processo e gli strumenti di eliminazione dei dati devono essere allineati alla sensibilità e al formato di ciascun tipo di dati. I servizi di smaltimento dei dati possono aiutare a garantire che i dati della tua azienda non finiscano nelle mani sbagliate.
- Stabilire e mantenere uno schema di classificazione dei dati
La classificazione dei dati con criteri definiti e rigorosi, permette di distinguere i dati sensibili e critici da tutto il resto, come fa CIS Control 3, uno schema di base che consiste nell’etichettare i dati come sensibili, privati o pubblici.
- Crittografia sui dispositivi degli utenti finali
Una buona crittografia dei dati sui dispositivi degli utenti finali è una best practice per la sicurezza, in quanto aiuta a proteggere i dati dall’uso improprio se il dispositivo è compromesso. Gli strumenti di crittografia possono variare in base al sistema operativo; includono Windows BitLocker, Linux dm-crypt e Apple FileVault.
- Crittografare i dati sensibili in transito
I dati critici devono essere crittografati sia quando vengono archiviati che durante il transito. Esistono diverse opzioni per questo tipo di crittografia, tra cui Open Secure Shell (OpenSSH) e Transport Layer Security (TLS).