Definicja szyfrowania danych
Szyfrowanie danych jest procesem, który polega na przekształcaniu informacji w taki sposób, że stają się niezrozumiałe dla osób nieuprawnionych. Szyfrowanie danych ma na celu zapewnienie poufności, integralności i autentyczności danych, a także zapobieganie ich kradzieży, manipulacji lub utracie.
Szyfrowanie danych w przedsiębiorstwie pozwala zapewnić:
1) Poufność danych – zastosowanie odpowiednich algorytmów szyfrowania pozwala przekształcić dane w taki sposób, żeby były one nieczytelne dla podmiotów (osób lub systemów) nieposiadających odpowiedniego klucza do zdekodowania zasobów;
2) Integralność danych – szyfrowanie pozwala uchronić dane przed modyfikacją podczas ich transmisji bądź przechowywania bez wiedzy i zgody właściciela danych;
3) Uwierzytelnienie – możliwe jest uwierzytelnienie tożsamości strony internetowej, aplikacji bądź użytkownika przy pomocy certyfikatów SSL/TLS, dzięki czemu użytkownik będzie miał pewność, że łączy się z prawdziwym serwerem danej strony czy aplikacji;
4) Ochronę przed atakami – istotne jest szyfrowanie danych w celu zapewnienia ochrony informacji przed różnymi atakami cybernetycznymi, takimi jak Man-in-the-Middle, podsłuchiwanie informacji przepływających w ruchu sieciowym czy wstrzyknięcie danych;
5) Niezaprzeczalność – dzięki odpowiednio skonfigurowanej infrastrukturze kryptograficznej odbiorca może dowieść, że dane zostały przesłane przez danego nadawcę, a nadawca nie może zaprzeczyć wysłania tych danych.
Szyfrowanie jako mechanizm bezpieczeństwa systemów został wprost wymieniony w art. 32 RODO jako przykład rozwiązania służącego ochronie danych osobowych przed ryzykiem naruszenia praw lub wolności osób fizycznych.
Ustawodawca nie przedstawił jednak bardziej szczegółowych wytycznych wskazujących w jakich sytuacjach oraz przy użyciu jakich metod szyfrowanie powinno być stosowane. Administratorowi danych nie pozostaje zatem nic innego, jak odwołać się do „najnowszego stanu wiedzy” oraz norm i standardów w zakresie dostępnych rozwiązań w tym zakresie.
Szyfrowanie powinno być stosowane w szczególności, gdy sytuacja dotyczy następujących zasobów:
1) Aplikacja lub strona WWW dostępna przez sieć Internet – w takim wypadku niewątpliwie należy zastosować szyfrowanie danych przesyłanych pomiędzy serwerem aplikacji a jej użytkownikiem. Wedle obecnych standardów powinno się stosować co najmniej:
· szyfrowanie HTTPS z wykorzystaniem protokołu TLS w wersji 1.2 lub 1.3,
· certyfikat serwera RSA o długości 2048 bitów.
2) Dane w spoczynku (data in rest) dostępne z sieci publicznej – bazy danych, kopie zapasowe lub inne dane, do których dostęp jest możliwy z sieci publicznej także powinny być szyfrowane. Szyfrowanie danych dostępnych za pośrednictwem sieci publicznej może odbywać się np. przy pomocy:
· szyfrowania baz danych – wiele systemów zarządzania bazami danych (DBMS) oferuje mechanizmy szyfrowania, które pozwalają na zabezpieczenie danych przechowywanych w tabelach,
· szyfrowania danych w chmurze (Cloud encryption) – dostawcy usług chmurowych często oferują własne mechanizmy szyfrowania danych przechowywanych na ich serwerach,
· szyfrowania macierzy dyskowych – macierze można m.in. szyfrować na poziomie dysków, woluminów wirtualnych, bloków (SAN – Storage Area Network) bądź plików (NAS – Network Attached Storage).
· szyfrowanie plików na serwerach – pliki na serwerach mogą być szyfrowane na poziomie plików, katalogów bądź szyfrowane mogą być całe dyski.
3) Poczta elektroniczna – wiadomości e-mail są standardowym i często wykorzystywanym środkiem komunikacji, istotne jest zatem dbanie o prywatność i bezpieczeństwo przesyłanych danych. Istnieją dwa główne aspekty szyfrowania w związku z wiadomościami e-mail:
· Szyfrowanie połączenia (zabezpieczenie odpowiednim protokołem TLS) – kiedy komunikują się ze sobą serwery bądź następuje komunikacja nadawca – serwer pocztowy, dane są szyfrowane za pomocą protokołu TLS w czasie rzeczywistym, co minimalizuje ryzyko przechwycenia danych w trakcie przesyłania,
· Szyfrowanie zawartości (szyfrowanie całości wiadomości lub samych załączników):
o szyfrowanie całej wiadomości – stosowane są najczęściej mechanizmy oferowane przez oprogramowanie poczty lub korzysta się z oprogramowania firm trzecich umożliwiające szyfrowanie całych wiadomości poprzez integrację z oprogramowaniem poczty.
o szyfrowanie załączników – stosuje się programy do szyfrowania plików, np. WinZIP. Hasło do odszyfrowania dokumentu powinno zostać przesłane za pomocą innego kanału komunikacyjnego, np. wiadomości SMS. Nigdy nie przesyłam haseł mailem, jeśli dokument także wysłaliśmy mailem.
Istniej także możliwość szyfrowania za pomocą kluczy. Przykładem jest tutaj rozwiązanie PGP (Pretty Good Privacy) lub jego otwarta implementacja GPG (GNU Privacy Guard). W metodzie tej wykorzystywane są pary kluczy (klucz publiczny i klucz prywatny). Obecnie najczęściej wykorzystywanymi są klucze RSA o długości minimalnej 2048 bitów. Szyfrowanie przy pomocy kluczy realizujemy szyfrując wiadomość kluczem publicznym odbiorcy wiadomości. Mając prywatny klucz szyfrujący, odbiorca może ją odszyfrować. Zaletą tej metody jest brak konieczności przesyłania haseł i duże bezpieczeństwo tej metody.
4) Urządzenia mobilne lub przenośne (np. laptopy, dyski przenośne) – ze względu na wysokie ryzyko zgubienia lub kradzieży urządzeń, pamięć powinna być odpowiednio zaszyfrowana. Istnieją różne metody szyfrowania, w tym przede wszystkim:
· Szyfrowanie całego dysku – pamięć wewnętrzna powinna być szyfrowana za pomocą kluczy symetrycznych co najmniej AES-192 lub AES-256.
· Szyfrowanie katalogów lub plików – to rozwiązanie polega na selektywnym zastosowaniu szyfrowania tylko do wybranych danych; poszczególne pliki mogą zostać zaszyfrowane i wymagać odpowiedniego klucza bądź hasła do ich odczytania.
