Preservar y gestionar la confidencialidad mas allá de la organización

Preservar y Gestionar la Confidencialidad más allá
de la Organización
José María Sotomayor
Systems Engineer
Content Management and Archiving (CMA) Iberia
EMC Computer Systems Spain
© Copyright 2008 EMC Corporation. All rights reserved.
1
Confidencialidad: necesidad y desafío.
“Pese a las grandes inversiones
realizadas en seguridad y
servicios…
y Protección Propiedad
Intelectual
– Diseño de productos
– Información de competencia
– Robo de propiedad intelectual
– Colaboración segura
82%
18%
y Conformidad
– Normativas
– Auditoría
y Reducción del riesgo
– Acciones legales
…menos de una de cada cinco
compañías consideran que su
información está segura.”
– Pérdida de datos
– Brechas en la privacidad de los
datos.
Fuente: Enterprise Strategy Group Marzo 2006
© Copyright 2008 EMC Corporation. All rights reserved.
22
Algunos datos...
y “Nuestra información más valiosa está vagando por internet”
– Un usuario procesa de media alrededor de 100 emails por día
ƒ El 28% del email generado va fuera de la compañía
ƒ El 20% del email tiene al menos un adjunto
– Gartner – El 84% de incidentes de seguridad con un coste alto son el resultado de empleados que envían
información confidencial fuera de la compañía
y La seguridad basada en el perímetro no resuelve el problema
– Vital para proteger la información pero también para hacerla disponible
– El escaneo de emails y puesta en cuarentena de los correos sospechosos es impracticable
– La encriptación de los documentos antes de su entrega ofrece un cierto control, pero muy limitado
y Idealmente un sistema debería de forma inteligente entregar los
documentos y controlarlos activamente a lo largo de su vida
© Copyright 2008 EMC Corporation. All rights reserved.
3
¿Donde se pierde el control?
Zona de Seguridad
Perimetral
© Copyright 2008 EMC Corporation. All rights reserved.
Firewall Corporativo
Internet
4
Una palabra: “persistente”
Típicamente protegemos nuestros contenidos…
...y nos aseguramos de que
solamente algunas personas puedan usarlo
¿Nuestro control
es
persistente?
Pero una vez que esa persona abre el contenido
no tenemos control sobre qué hace con él!
© Copyright 2008 EMC Corporation. All rights reserved.
5
El reto de asegurar información descentralizada
Múltiples
Múltiples Tipos
Tipos de
de Contenido
Contenido
Cada
Cada uno
uno con
con su:
su:
•• Formato
Formato
•• Sistema
Sistema Servidor
Servidor
•• Centro
Centro Operativo
Operativo
Múltiples
“Silos”
Múltiples
“Silos” de
de Gestión
Gestión
•• Metadatos
Metadatos
Cada
Cada uno
uno con
con sus
sus Servicios
Servicios Únicos::
Únicos::
•• Interfaz
Interfaz de
de usuario
usuario
•• Seguridad
Seguridad
•• Conformidad
Conformidad yy Retención
Retención
“Silos”
“Silos” de
de
•Múltiples
Políticas
•Múltiples
Políticas yy Procesos
Procesos
Los
sistemas
Los Retos
Retos de
de los
los “MÚLTIPLES”
“MÚLTIPLES”
sistemas de
de información
información
Almacenamiento
Almacenamiento
•• MÚLTIPLES
administración
–– difícil
MÚLTIPLES modelos
modelos
administración
difícil de
de soportar
soportar
•• Diferentes
Diferentes Costes
Costes de
de Propiedad
Propiedad
•• MÚLTIPLES
de
–– difícil
MÚLTIPLES interfaces
interfaces
de cliente
cliente
difícil de
de usar,
usar, difícil
difícil de
de encontrar
encontrar
•• Diferentes
Diferentes Rendimientos
Rendimientos
•• MÚLTIPLES
fragmentados
–política
difícil
consistencia
MÚLTIPLES servicios
servicios
fragmentados
difícilde
consistencia
•• Diferentes
oo incluso
Diferentes
incluso sin
sin–política
de
•• MÚLTIPLES
hardware
MÚLTIPLES dispositivos
dispositivos
hardware involucrados
involucrados –– sin
sin optimización
optimización
retención
retención
•• MÚLTIPLES
MÚLTIPLES tipos
tipos de
de contenido
contenido sin
sin gestionar
gestionar –– sin
sin control
control de
de seguridad
seguridad
© Copyright 2008 EMC Corporation. All rights reserved.
6
Documentum: Plataforma Gestión de Contenidos EMC
Productividad
Personal & de
Equipo
Coste Procesar
Transacciones
Servicio &
Experiencia de
Usuario
Preservación
del Contenido
Aplicaciones de Negocio Combinadas
APLICACIONES RICAS DE CONTENIDO
Colaboración
Transacción
Interacción
Archivado
REPOSITORIO ÚNICO DE CONTENIDOS
MÚLTIPLES PUNTOS DE ACCESO DE CLIENTES
AMPLIO CONJUNTO DE SERVICIOS DE CONTENIDO
TODOS LOS TIPOS DE CONTENIDO
© Copyright 2008 EMC Corporation. All rights reserved.
7
Arquitectura de servicios de EMC Documentum
Servicios de Integración
Servicios de Adecuación a normativas
Servicios comunes
Infraestructura de
repositorio
Servicios de seguridad
Control de acceso
Auditoría
Digital Shredding
Permisos
Cifrado
Rights Management
Servicios de repositorio
Componentes del repositorio
© Copyright 2008 EMC Corporation. All rights reserved.
8
Control persistente = Control de la información.
y Protección del acceso a la información
– Permite o no acceder a un usuario conocido.
– No gestiona el uso de la información que hace el
usuario.
– No gestiona la seguridad más allá del límite de la
compañía o estamento.
VS
y Protección de la información
– Gestiona el uso de la información que hacen
usuarios conocidos y no conocidos.
– Es independiente y complementaria de la
seguridad perimetral.
– Gestiona la seguridad más allá del límite de la
compañía o estamento.
© Copyright 2008 EMC Corporation. All rights reserved.
9
Qué es Information Rights Management?
y Digital Rights Management apareció a finales de los 90 para
proteger video y audio en la industria multimedia.
y Enterprise Rights Management es este mismo concepto
aplicado a la protección de contenido empresarial
no estructurado.
y Características clave:
– Cifrado y protección PERSISTENTE para dotar de confidencialidad e integridad a los
documentos de cada organismo / corporación.
– La seguridad va con el contenido pero se controla independientemente del mismo.
– Es posible variar dinámicamente quién puede ver, imprimir, editar, etc el contenido después
incluso de que haya sido distribuido.
– Todo el uso que se realiza de los contenidos se audita (página a página)
© Copyright 2008 EMC Corporation. All rights reserved.
10
Ejercer derechos sobre la información
El control dinámico de las políticas de seguridad permite mantener el
control de uso de los documentos cuando las circunstancias cambian,
independientemente de su localización.
NEW
Ejemplo:
y Un representante de ventas redacta una oferta para uno de sus clientes y obtiene una
copia del repositorio de la compañía.
y Esta persona envía el documento a dicho cliente.
y 3 días después se renegocian las condiciones y ha de preparar una nueva oferta.
y En ese momento se revocan los permisos existentes sobre la versión anterior con
independencia del número de copias y localización.
y Los permisos se pueden controlar manual o automáticamente (fechas de expiración).
© Copyright 2008 EMC Corporation. All rights reserved.
11
Seguridad: cerrar el círculo.
Protección global
ƒ Protección perimetral e interna del
repositorio.
ƒ Retención e inmutabilidad de la
información declarada registro.
ƒ Información protegida también fuera del
repositorio.
Auditing
Encryption
Authentication
Electronic
signatures
Information
rights
Digital
shredding
© Copyright 2008 EMC Corporation. All rights reserved.
Single
sign-on
12