Как обезопасить информацию от утечки и не помешать работе: разбор с экспертом

Один из способов снизить риски — маскирование данных. Сегодня говорим о том, чем оно отличается от шифрования, как его внедряют и какие ошибки при этом совершают.

Наш собеседник — Али Гаджиев, директор по продукту Jay Data в Crosstech Solutions Group.

Чем маскирование отличается от шифрования и анонимизации?

При маскировании исходные значения заменяются на вымышленные, сохраняя при этом структуру и формат. В отличие от шифрования, которое делает информацию нечитаемой, маскирование создает «фальшивые», но правдоподобные данные для нужд разработки, тестирования и анализа.

Например, дата-сайентисты из банковской отрасли должны обучать модели на данных, но не могут использовать конфиденциальную информацию — тогда и применяется такой подход.

Зачем это нужно бизнесу?

По статистике, на каждую производственную базу приходится девять ее копий. Маскирование же позволяет исключить хранение чувствительных данных вне производственного контура и снизить поверхность атаки. Такие данные можно передавать разработке, аналитике и подрядчикам без риска утечки.

Что и как маскируют чаще всего?

Персональные данные (ФИО, адреса, телефоны, номера паспортов), банковские и медицинские сведения. Это чувствительная информация, за раскрытие которой компаниям грозят серьезные штрафы.

Для маскирования применяют скрипты преобразования данных — как самописные, так и в составе специализированных систем. Они могут заменять оригинальные значения на пустые, константы, служебные символы, случайно сгенерированные строки, данные из справочников и т. д.

Отраслевые стандарты влияют на выбор методов и глубину маскирования. В разных сферах свои нюансы:

В банках строгие нормы по защите финансовых данных.
В медицине важно сохранить клиническую значимость данных.
В госсекторе нужно учитывать требования регуляторов и обеспечивать национальную безопасность.

Мы в Jay Data используем все перечисленные методы, а также методы для генерации документов с учетом контрольных сумм. Например, создаем номера банковских карт в соответствии с алгоритмом Луна.

Сложно ли внедрить маскирование?

Нужно провести аудит хранения и обработки чувствительных данных, разработать регламент с учетом законодательства, обучить сотрудников правилам работы с персональными данными и новым решением по маскированию.

Какие ошибки совершают компании?

Недостаточно контролируют передачу данных в непроизводственные среды. Частота, адресаты и формат передачи нередко не регулируются, хотя именно эти каналы становятся источниками утечек.

#гость_канала