1. Широкое распространение данных на Enterprise-уровне, рост доступности данных для эффективности бизнеса
2. Внешние и внутренние регулятивные требования (compliance)
3. Традиционный фокус на защите периметра, меньше внимания происходящему внутри
4. Data Governance “на бумаге” и не поддерживается технологиями

1. Определение правил и управление политиками
2. Выявление, классификация и понимание конфиденциальных данных
3. Связывание сущностей и понимание потоков распространения данных
4. Анализ рисков, создание механизмов защиты
5. Защита данных, управление правами доступа и согласованиями
6. Измерение и визуализация

В современном мире, где цифровизация проникает во все сферы жизнедеятельности, вопросы защиты информации становятся всё более актуальными. С каждым днём увеличивается количество данных, которые нуждаются в надёжной защите от несанкционированного доступа, утечек и взлома. В этой связи, методы обеспечения информационной безопасности постоянно совершенствуются и развиваются. Один из таких методов — маскирование данных — представляет собой эффективный способ защиты, позволяющий минимизировать риски при обработке и хранении чувствительной информации.

Маскирование данных — это процесс скрытия исходной информации путём преобразования данных в формат, который сохраняет полезность для определённых процессов или тестирований, но делает эти данные бесполезными для злоумышленников. Таким образом, даже в случае несанкционированного доступа к данным, конфиденциальная информация остаётся защищённой. Применение данного метода позволяет организациям не только обезопасить себя от потенциальных угроз, но и соответствовать существующим стандартам и требованиям в области информационной безопасности. Иными словами, это метод защиты конфиденциальной информации, при котором исходные данные изменяются необратимо, сохраняя при этом важные для работы характеристики. Такой подход позволяет использовать реалистичные данные в тестовых, разработческих или обучающих целях, не подвергая риску оригинальную информацию. Процесс маскирования может включать в себя различные техники, такие как замена значений на случайные данные, сдвиг дат, обфускацию текста и многие другие, которые делают идентификацию исходных данных невозможной. В отличие от методов шифрования, где оригинальную информацию можно восстановить с использованием ключа, маскированные данные не могут быть преобразованы обратно. Это обеспечивает дополнительный слой защиты, особенно когда необходимо делиться данными с внешними разработчиками или тестировщиками, при этом соблюдая гарантии того, что конфиденциальность сохраняется. Это позволяет защитить данные, даже если они окажутся в недобросовестных руках.

Существует несколько причин, почему маскирование данных становится обязательной практикой для организаций:

1. Защита личных данных: Одной из основных целей маскирования является защита личных идентифицируемых данных (PII) от несанкционированного доступа или утечек. В том числе имён, адресов, номеров кредитных карт и другой важной информации.
2. Соблюдение законодательно-правовых норм: Многие отрасли, такие как здравоохранение и финансы требуют соблюдения строгих правил по защите конфиденциальной информации. Маскирование данных помогает организациям выполнять эти требования и избегать штрафов за нарушения.
3. Снижение рисков при разработке и тестировании: При разработке программного обеспечения и проведении тестирования часто используется реальная информация, которая может содержать чувствительные данные. Маскирование данных позволяет работать с безопасными версиями этих данных, минимизируя риски.
4. Улучшение бизнес-процессов: Использование маскированных данных позволяет организации проводить более эффективные аналитические исследования, без необходимости рисковать конфиденциальностью информации.
5. Доверие клиентов: Компании, которые активно защищают личные данные и соблюдают правила конфиденциальности, снижают вероятность утечек и укрепляют доверие со стороны своих клиентов.

В основе маскирования лежит применение алгоритмов, которые могут изменять данные таким образом, чтобы их оригинальное значение было невозможно восстановить без специального ключа. Например, имена могут быть изменены на бессмысленный набор символов, номера телефонов – на случайный набор чисел, а адреса электронной почты – на произвольные строки символов. В то же время, структура данных остается неизменной, что позволяет использовать их для тестирования программных приложений или тренировки машинных алгоритмов, не подвергая рискам реальную информацию. Маскирование данных может осуществляться различными методами, каждый из которых имеет свои особенности и области применения. Основные техники маскирования включают:

1. Замена (Substitution): В этой технике реальные данные заменяются на случайные, сохраняя при этом ту же структуру данных. Например, реальные имена могут быть заменены имена из набора случайных имен.
2. Шифрование (Encryption): Данные преобразуются в недоступный для чтения формат с использованием криптографических алгоритмов. Однако необходимо помнить, что при шифровании оригинальные данные могут быть восстановлены с использованием ключа.
3. Масштабирование (Scaling): Эта техника заключается в изменении числовых данных, сохраняя при этом относительные значения. Например, если оригинальные данные – это зарплаты сотрудников, можно умножить их на определенный коэффициент, чтобы скрыть фактические суммы.
4. Сторона (Nulling Out): В этом методе данные просто удаляются или заменяются на “нулевые” значения. Например, адреса клиентов могут быть заменены на “Неизвестен”.
5. Требования по анонимизации: В некоторых случаях, особенно в медицинских или социальных исследованиях, может потребоваться анонимизация данных, что предполагает удаление всех личных идентифицируемых данных, чтобы сделать невозможным восстановление исходной информации.
6. Псевдонимизация: Этот метод заменяет информацию псевдонимами, которые не позволяют идентифицировать субъект. Однако данные остаются связными и могут быть восстановлены в определённых условиях.

Разработка и внедрение процесса маскирования данных включает в себя не только выбор подходящей техники, но и ответственность за выбор приведенных в ней данных, чтобы, во-первых, избежать сокрытия критически важной информации, а, во-вторых, избежать проблемных ситуаций, которые могут быть возникнуть, если будут нарушены правила маскирования данных.

Маскирование данных включает в себя разнообразные подходы и техники, позволяющие скрыть реальную информацию, при этом сохраняя функциональность и значение данных для процессов обработки.

1. Медицинская сфера: В рамках клинических испытаний и исследований часто требуется использовать информацию о пациентах. Маскирование позволяет использовать данные о здоровье, такие как диагнозы и процедуры, без риска раскрытия личности пациентов.
2. Финансовый сектор: Банки и финансовые учреждения используют маскирование для защиты данных клиентов, сохраняя при этом возможность анализа и работы с этими данными, например, в процессе кредитования и верификации.
3. ИТ и разработка ПО: При тестировании программного обеспечения важно использовать данные, похожие на реальные, но не содержащие конфиденциальной информации. Маскирование данных пользователей позволяет разработчикам и тестировщикам действовать более эффективно, избегая рисков утечек.
4. Коммерческие организации: В розничной торговле компании могут использовать маскированные данные о покупках, чтобы анализировать поведение клиентов и предлагать персонализированные предложения, не раскрывая их личных сведений.
5. Государственные структуры: В государственных учреждениях, работающих с данными граждан, маскирование может применяться для защиты информации о налогоплательщиках, социальных престижах и многом другом.

Итак, маскирование данных представляет собой важный инструмент для обеспечения безопасности информации. Он необходим в условиях современного общества с его растущими требованиями к защите личных данных. Внедрение таких технологий становится все более актуальным для организаций, стремящихся укрепить доверие клиентов и защитить свои активы от утечек и кибератак. Именно поэтому маскирование данных становится ключевым элементом в стратегии управления рисками и безопасности. Реализуя современные методы и технологии маскирования, компания может эффективно защищать информацию клиентов и партнёров, минимизируя вероятность утечек и кибератак. Технология помогает определить все чувствительные данные во всех системах компании с помощью каталога данных и блокировать доступ к конфиденциальной информации с помощью технологий маскирования. Это не только укрепляет доверие со стороны клиентов, но и способствует повышению общей эффективности бизнес-процессов, позволяя использовать данные в безопасной среде.

Говоря простыми словами, понятие обезличивания персональных данных означает действия, в результате которых невозможно без дополнительной информации определить принадлежность информации конкретному субъекту персональных данных. В большинстве случаев обезличивание применяют для следующих целей:

• при необходимости предоставления данных внешним участникам процесса внедрения новых систем;
• для ограничения доступа к продуктивным данным, не положенным пользователю по правам.

Персональные данные часто бывают высокой сложности. В качестве примера можно привести адресную информацию, внутренние документы, такие как постановление, приказ, акт. Их не так просто привести в обезличенный вид, не говоря уже о последующей чистке и стандартизации. Статическое обезличивание, что это значит? На основе специальных правил создаётся копия базы данных, которые заменят исходную информацию на похожую, но не соответствующую действительности. Статистическое обезличивание наиболее часто применяется банками, чтобы понять, что происходит: где персональные данные и системы связаны между собой. Благодаря этому виду маскирования, каждая внешняя компания, которой будут доступны конфиденциальные данные, не сможет использовать их в своей работе вне контракта. Это обеспечивает и защиту данных, и возможность пользоваться этими данными при разработке. Обычно маскирование таких данных производится на основе интеграционных инструментов, позволяющих выделять домены: типы и категории данных, которые необходимо обезличить. Помимо этого для персональных данных сразу будет установлен один или несколько методов обезличивания:

• размывание — самый простой метод, при котором данные обобщаются на основе общих признаков или характеристик; применяется в основном для дат или сумм;
• перемешивание — перестановка отдельных записей или целых групп данных; таким образом обезличиваются фамилии, слова, регионы;
• перестановки — перемешивания данных внутри записи, например, цифр номера телефона;
• использование случайных механизмов: этот метод используют для каких-то сумм или дат в определенных пределах;
• шифрование;
• любые другие алгоритмы.

Важная задача при маскировании подобного набора данных — ведение единой модели обезличивания. То есть, если системы разного характера между собой связаны каким-то дополнительным интеграционным механизмом, который использует данные сразу из обеих систем, то при создании тестовых систем необходимо, чтобы значения, которые будут в полях одной системы, соответствовали полям другой. Обычно в подобных решениях используется еще и профилирование, то есть изучение качества данных. Оно дает нам возможность понять, что содержится в этих данных, какого они качества, каким образом распределяется их наполнение и есть ли где-то экстремальные виды значений, на основании которых мы можем предположить, что в тестовую среду нужно заложить дополнительную выборку. Если говорить о динамическом обезличивании данных, то его механизмы совсем другие. Основная задача здесь — не предоставить лишнюю информацию многочисленным пользователям. Для этого инструмент динамического обезличивания перехватывает запросы, поступающие в базу данных или другие системы, а затем оценивает необходимость предоставления запрашиваемых данных конкретному получателю. В случае, если у пользователя отсутствуют права доступа, запрос просто заменяется на другой, содержащий набор данных, который положен именно этому специалисту согласно предоставленным ему правам доступа. Также существует отдельный вид решений, который выполняет категоризацию критичных данных. Оно помогает понять, где во всех системах лежат данные, попадающие под категорию персональных, коммерческой тайны или любого другого типа ограничений и обратить внимание, каким образом эти данные защищены, а также предложить дополнительные варианты по усилению их безопасности. Кроме того, категоризация критичных данных обычно работает в связке с системами класса SIEM. Это системы, которые определяют какой пользователь к каким данным обращался, при том, выявляя аномалии, когда специалист не той категории получил доступ к критичным данным, которые ему не положены по правам. Таким образом, учитывая увеличение числа кибератак, а также растущий объем информации в корпоративных базах данных, компаниям необходимы современные решения, обеспечивающие сохранность конфиденциальной информации, задавая стандарт безопасности для всей корпоративной информации. Обезличивание персональных данных ограничивает использование критических данных внешними поставщиками, позволяя при этом организациям разрабатывать системы с информацией, максимально приближенной к реальным записям. Автор: Олег Гиацинтов, технический директор DIS Group

Какие из этих рекомендаций связаны с Data Security в целом, а какие — с Data Privacy?

Справились? Давайте проверим. Если вы ответили, «data security» на каждый вопрос, вы, скорее всего, правы. НО Если вы везде ответили «data privacy» вы тоже не ошиблись. Да, все сложно.

Data Security часто связана с контролем доступа, тогда как Data Privacy обычно относится к проблеме раскрытия данных. Почему же так?

Data Security

Data Security можно сравнить с замком на двери — это довольно однозначный и категоричный контроль доступа. Например:

• Вы либо можете получить доступ к серверу компании — либо не можете.
• Данные либо находятся в руках доверенных сотрудников — либо были скомпрометированы злоумышленниками (например, иностранным правительством).
• Данные либо зашифрованы и доступны только авторизованным пользователям — либо не зашифрованы и открыты для всех желающих без ограничений.

Data Privacy

С Data Privacy все не так однозначно. Мы ограничиваем раскрытие данных в соответствии с политиками, которые определяют контекст или обстоятельства надлежащего использования данных:

• У меня есть доступ к данным заказчиков, но можно ли использовать их для партнерского маркетинга?
• Данные используются доверенными дата-стюардами, но разрешат ли заказчики предоставлять данные другим лицам?
• Чувствительные данные зашифрованы, но какие элементы можно просматривать для эффективного обслуживания заказчиков?

Эти две области определенно связаны. Data Security подразумевает предоставление или запрет доступа. Однако между этим двумя крайностями существует серая зона — Data Privacy, — в которой мы управляем раскрытием данных и учитываем риски их использования. Data Privacy означает, что если у вас есть доступ к данным, вы должны предоставлять и использовать их в соответствии с политикой владельца данных, пользователя и остальных заинтересованных лиц. Вспомните о нашем опросе. Давайте вернемся к нему и сравним рекомендации по защите данных с мерами по соблюдению Data Privacy. Попробуем понять контекст использования данных, от которого зависит метод обеспечения их конфиденциальности.

Как вы могли увидеть на иллюстрации выше, существует серая зона, тесно связанная с контекстом использования. Именно к этой зоне применяется data privacy. Здесь нет четкого ответа, как было с защитой данных. Все зависит от степени риска:

• Ваши меры по управлению данными достаточно эффективны, чтобы ограничить риск раскрытия данных и в разумной степени сохранить конфиденциальность?
• Ваша политика использования данных соответствуют ожиданиям владельцев данных?
• Все ли заинтересованные лица готовы извлекать ожидаемую ценность из данных, несмотря на риск потенциальной утечки, который может навредить доверительным отношениям?

Сегодня существует множество документов, регулирующих защиту чувствительных данных в разных странах. Предназначенные для защиты конфиденциальности заказчиков, эти документы требуют от организаций защищать персональные данные и получать от субъектов разрешение на те или иные способы использования данных. Компании обязаны не только реализовывать строгие меры защиты данных, но и отчитываться о соблюдении конфиденциальности, информируя о своих методах использования данных, чтобы субъекты данных знали, чего ожидать. Такие меры безопасности, как шифрование или маскирование, конечно, помогают защитить чувствительные данные, но их недостаточно. Компании должны реализовать систему управления защиты data privacy, чтобы принимать взвешенные решения о том, можно ли использовать их в том или ином контексте (и как исправить ситуацию, если использовать их было нельзя).

• Контроль применения политик использования данных по стандартам, согласованным между пользователями и владельцами чувствительных данных, а также другими заинтересованными лицами.
• Классификация и систематизация Data Privacy для определения их объема и применимости к ним соответствующих регламентов (например, для персональных данных).
• Сопоставление идентификаторов пользователя с защищаемыми данными и данными для ответов на стандартные запросы о соблюдении политик конфиденциальности (например, запросы субъекта данных на доступ к своим данным) с целью узнать, чьи данные используются, каким образом и где.
• Анализ рисков с целью определить, можно ли раскрыть те или иные данные в соответствии с применяемыми политиками конфиденциальности.
• Исправление ошибок и недочетов в соблюдении конфиденциальности данных, например принятие мер защиты данных, изменение политик хранения данных или сокращение объема обрабатываемых данных.
• Аудит и отчетность для выявления уязвимых мест в системе мер, обеспечивающих конфиденциальность, усовершенствования политик и реагирования на запросы для подтверждения использования данных в соответствии с ожиданиями субъекта.

Informatica предлагает технологии для обеспечения, как защиты, так и конфиденциальности данных, например статическое и динамическое маскирование данных, а также сопутствующие решения для анонимизации и псевдонимизации данных путем сокращения свойств чувствительных данных, доступных в записях и файлах. Зашифрованные данные и файлы невозможно использовать. Если данные все же нужны для каких-то целей, но необходимо сохранить их конфиденциальность, можно применить маскирование. Решения Informatica по управлению конфиденциальностью информации объединяют политики, обнаружение и классификацию данных, сопоставление идентификаторов, анализ рисков, исправление, аудит и отчетность на единой согласованной платформе. Они позволяют эффективнее реализовывать меры безопасности с помощью автоматизации, искусственного интеллекта и метаданных для достижения определенных целей. С их помощью вы найдете идеальный баланс и сможете использовать весь потенциал данных без лишних рисков.

Вместо того, чтобы полностью блокировать доступ к данным для их защиты от любых рисков, решение по защите Data Privacy использует метаданные и автоматизированные средства контроля, чтобы гарантировать надлежащее использование персональных и чувствительных данных. Такой подход имеет очевидные преимущества. Компании получают больше аналитических данных о заказчиках, чтобы разрабатывать и совершенствовать свои продукты и услуги, повышать лояльность и удержание клиентов. Заказчики, со своей стороны, могут выражать свои предпочтения по использованию конфиденциальной информации, доверяя компании. Организации могут уверенно применять меры безопасности для защиты конфиденциальности, чтобы демократизировать использование данных с минимальными рисками и извлекать бизнес-ценность из данных в соответствии с международными требованиями.

В ИТ-департаментах многих компаний используются ITSM-системы для повышения операционной эффективности и лучшего обслуживания конечных потребителей ИТ-услуг. ITSM-системы играют ключевую роль для успешной цифровой трансформации. Именно их функциональные возможности позволяют внедрить в компании самые эффективные подходы к управлению сервисами из таких методологий, как DevOps, Lean, Agile и ITIL. Даже неглубокое изучение тематики в Google показывает, что на рынке сейчас представлено довольно много ITSM-систем. Рынок этих решений постоянно развивается, появляются новые предложения для разных потребностей компаний и разных уровней зрелости. Сейчас прогнозируется, что рынок ITSM-систем в облаках будет расти на 14,9% ежегодно. Как же выбрать качественное решение среди всего этого многообразия? Давайте рассмотрим основное функциональные возможности ITSM-систем, а также ключевые этапы выбора решения, которое подойдёт именно вашей компании.

Как же не ошибиться при выборе ITSM-систем? Для того, чтобы сделать правильный выбор, необходимо стратегически оценить текущий уровень управления ИТ-услугами. Также нужно понять, что вам может потребоваться в этой области в будущем. Выбор решения должен зависеть от стратегии компании в управлении ИТ-услугами. Нехватка необходимых функциональных возможностей не должна тормозить воплощение вашей стратегии. Найдите слабые места в процессах, определите зрелость компании в области управления ИТ-услугами. Проанализируйте, где вы находитесь сейчас и как выглядит ваше идеальное будущее. Определитесь с тем, как текущее состояние тормозит достижение тех бизнес-результатов, которые вы перед собой ставите. После этого необходимо предметно изучить те ITSM-системы, которые доступны на рынке. Это поможет понять, чего вы действительно хотите от решения и выстроить стратегию по эффективному его использованию. При выборе ITSM-систем принимайте во внимание не только свои текущие потребности, но и потребности, которые могут возникнуть в будущем. Нужно понимать, что требования бизнеса и ИТ к решению будут только расти по мере масштабирования бизнеса. Среди требований, которые обязательно рано или поздно возникнут в вашей компании – необходимость обеспечить автоматизацию отдельных процессов и организовать самообслуживание для пользователей. Не забывайте о том, что для разных компаний могут подходить разные ITSM-системы с разными функциональными возможностями. Для того, чтобы вы могли определиться с тем, что нужно именно вам, ниже я привожу перечень ключевых функциональных возможностей ITSM-систем.

ИТ-департамент должен хорошо знать, какие аппаратные средства и какое программное обеспечение есть у него в наличии. Всю ИТ-экосистему важно визуализировать и тщательно контролировать. Для этого важно эффективно управлять изменениями, конфигурациями, лицензиями, инцидентами. Также необходимо управлять тем, как происходит обеспечение сотрудников оборудованием и ИТ-решениями, а также как люди пользуются тем и другим. Качественные ITSM-системы помогают ИТ-специалистам принимать решения на основе данных, дают подсказки по управлению всеми активами компании во всех сетях. В то же время они не перегружают сотрудников ИТ-службы большими объёмами бесполезных сведений. При этом качество удалённой поддержки и автоматизированное управление конфигурациями зависит от того, насколько хорошо решение мониторит инциденты и устройства в реальном времени.

Состояние аппаратных средств и программного обеспечения может меняться очень быстро в сложной среде ИТ-инфраструктуры. При этом и конфигурации устройств, и конфигурации ИТ-решений должны соответствовать требованиям пользователей и принятым в организации политикам. Требования эти могут отличаться друг от друга, какие-то из них могут друг другу противоречить. Именно поэтому так важно собирать точную и актуальную информацию о конфигурации всех ИТ-активов в CMDB (базу данных управления конфигурациями). Это позволит управлять изменениями в конфигурациях в реальном времени. Продвинутые ITSM-системы позволяют также мониторить ИТ-активы, их связи между собой в том числе в мультиоблачной среде. Автоматизация таких процессов снижает риски, связанные с изменениями в ИТ, например, риски сбоев в работе и риск перерасхода средств.

Вынужденные простои ИТ могут стоить бизнесу от 5600 до 9000 долларов в минуту, согласно Gartner. ITSM-системы позволяют проактивно, унифицировано и автоматизировано управлять проблемами и инцидентами. Это помогает устранять неполадки до того, как эффект от них станет заметен конечным пользователям. В некоторые инновационных ITSM-системах есть возможность на основе алгоритмов машинного обучения снизить объём шумов в логах и данных о событиях, определять аномальное поведение, находить корневые причины проблем для того, чтобы раз и навсегда эти проблемы устранить. Эффективные ITSM-системы позволяют ИТ точно предсказывать возникновение проблем и заранее принимать меры по их устранению.

Возможности для самообслуживания пользователей особенно важны для компаний, где активно практикуется DevOps и Agile. Такие организации стараются дать своим сотрудникам максимум возможностей по самостоятельному развёртыванию сервисов. Возможность самостоятельно решать свои проблемы делает команды по разработке более независимыми. А нагрузка на команды по поддержке систем при этом снижается. В продвинутых ITSM-системах самообслуживание организовано интуитивно понятно, а портал технической поддержки рассчитан на независимую работу конечных потребителей ИТ-услуг. Оптимально, чтобы портал технической поддержки не просто направлял конечных пользователей к тому или иному ИТ-решению, он должен позволять им справляться со своими проблемами без привлечения ответственных ИТ-специалистов. Например, через порталы самообслуживания не только можно заказать новое аппаратное или программное обеспечение. Также пользователи могут запросить внутри ITSM-системы доступ к конфигурациям для своих устройств и программ, к своему профилю и необходимой информации. При этом важно, чтобы соблюдались все требования к информационной безопасности.

Сбор ключевых знаний и обеспечение доступа к ним – первый этап на пути к самообслуживанию конечных пользователей и более эффективному решению проблем с ИТ в целом. Продвинутые ITSM-системы позволяют легко публиковать постоянно увеличивающиеся объёмы знаний, управлять ими и эффективно их использовать. Это снижает нагрузку на службу ИТ, повышает удовлетворённость сервисами конечных пользователей. Среди важных функций ITSM-систем в области управления знаниями – интеграция с порталом самообслуживания, контекстуальный и кастомизированный поиск, возможность создавать несколько версий одного документа, возможность перевода, возможность создания аналитических дашбордов.

Эффективные ITSM-системы обеспечивают ИТ-специалистов важной информацией, на основе которой те могут активно действовать. Чаще всего никому не нужен большой поток данных о деталях работы систем и выполненных KPI. Нужны готовые контекстуальные инсайты, которые специалист может сразу с пользой применить. ITSM-системы должны давать возможность пользователям создавать полезные для себя дашборды на основе готовых шаблонов. При этом аналитика и подготовка отчётности должны быть нацелены на поиск ответов на ключевые для бизнеса вопросы, помогать постоянно совершенствовать управление ИТ-услугами в компании. Также стоит отдавать предпочтение ITSM-системам с встроенными алгоритмами машинного обучения. Они могут помочь при создании записей об инцидентах и при подготовке отчётности о выполнении KPI. А это, в свою очередь, помогает значительно повысить продуктивность сотрудников.

ИТ-специалистам постоянно приходится управлять инцидентами, конфигурациями и циклами релизов в сложной сети мультиоблачных сред. Делать это непросто, тем более требования по каждому из указанных направлений могут отличаться. Многие ITSM-системы помогают управлять взаимосвязями ИТ-платформ и инфраструктурных моделей. Важно, чтобы при этом была возможность визуализировать и контролировать использование, владельцев, стоимость мультиоблачных приложений и сервисов. Большое значение эффективной работы в мультиоблачных средах будут иметь централизованные дашборды ITSM-систем с точными сведениями. Они помогут оптимизировать ресурсы, которые есть в наличии.

Автоматизация – главный приоритет для ITSM-технологий. Процессы при управлении конфигурациями, инцидентами, проблемами, управлении знаниями и в других областях управления ИТ-услугами должны быть надёжными и воспроизводимыми. Кроме того, интеграция операций ИТ-сервисов и технологий автоматизации DevOps обеспечат командам DevOps возможность самостоятельно использовать функции ITSM-систем. Передовые организации с большой готовностью используют методологию DevOps. При этом рабочие группы и в Dev, и в Ops могут использовать разные ИТ-инструменты для мониторинга и управления ИТ-сервисами. ITSM-системы должны унифицировать, объединять в одной точке все эти команды для того, чтобы снизить разрозненность во взаимодействующих кросс-функциональных DevOps-командах.

Не всегда самые популярные ITSM-системы могут идеально подойти к потребностям именно вашей компании. Для компаний, в которых большую роль играет служба технической поддержки, прежде всего нужны будут функции настройки самообслуживания для пользователей. Для компаний с DevOps-средой нужны будут продвинутые возможности на основе машинного обучения по формированию отчётности для того, чтоб определять узкие места процессов и оптимизировать их. Нужна дополнительная консультация при выборе ITSM-системы? Обращайтесь к специалистам DIS Group по почте info@dis-group.ru

Для оценки зрелости ITSM используются модели зрелости, на которых хорошо видны этапы развития компании от начального уровня до максимального. Сопоставление ITSM вашей компании с моделью, это поможет вам правильно оценить текущую ситуацию, свои слабые и сильные стороны. Вы получите объективный взгляд на многие вещи, в частности, на то, как проходит аудит, от каких точек отсчёта стоит отталкиваться, есть ли в данные момент прогресс в области ITSM и какой. Более того, оценив функциональные возможности, которые есть сейчас в компании, вы сможете понять, соответствуют ли улучшения, которые вы предлагаете, потребностям бизнеса.

Есть множество различных моделей развития ITSM, которые можно использовать, чтобы понять, насколько управление ИТ-услугами зрелое в вашей компании. Модели могут значительно отличаться друг от друга, но основе каждой из них лежит одна и та же методология. Все модели нацелена на оценку следующих аспектов:

• организационных целей,
• внешних требований,
• функциональных возможностей;
• других факторов, которые определяют позиции компании с точки зрения ITSM, управления ИТ-сервисами для конечных потребителей.

Стоит помнить, что какие-то из этих аспектов могут быть более развитыми в компании, другие – менее. В одной области компании может преуспевать, в другой – нет.

ITIL-процессы – это любой структурированный набор активностей, созданных для выполнения определённых задач. ITIL-процессы – это управление инцидентами, управление изменениями, управление инцидентами, управление уровнем сервиса и многое другое. При этом ИТ-функции –команды, инструменты, ресурсы, которые используются для того, чтобы выполнить те или иные активности для реализации ITIL-процессов. Хотите эффективно оценить ITIL-процессы, необходимо будет проанализировать данные о вовлечённых сотрудниках, различных характеристиках, интерфейсах, изучить данные на входе и на выходе, которые имеют отношение к этим ITIL-процессам. На основе этого анализа уже можно будет определить уровень зрелости для ITIL-процессов и функций. Всего этих уровней пять.

Первый уровень зрелости ITIL-процессов и функций подразумевает, что и те, и другие дезорганизованы, возможно есть скрытые проблемы, которые нужно как можно скорее обнаружить и решить. На этом уровне распределение ресурсов происходит каждый раз по-разному без учёта заранее подготовленных рекомендаций. ITIL-процессы и функции не играют ключевой роли для бизнеса. Успешная реализация активностей может зависеть только от навыков и экспертизы отдельных специалистов, которые отвечают за ту или иную инициативу.

На этом уровне зрелости компании стремятся применять интуитивный проектно-ориентированный подход, чтобы эффективнее поддерживать ITIL-процессы и функции. Для каждого проекта заранее определяются участники и цели, главной целью при этом становится повышение удовлетворённости ИТ-услугами клиентов. Однако, хотя активности и предопределены заранее, их успешная реализация во многом зависит от сотрудников, которые в неё вовлечены. Компании на втором уровне зрелости всё-таки проводят неформальные тренинги, а каждый работник должен придерживаться определённых схем в своей работе. Однако недостаток внутренней координации и поддержки приводит к ошибкам из-за человеческого фактора, перебоям в работе и неэффективным действиям.

На этом уровне вы скорее всего увидите качественный подход к управлению ИТ-сервисами, всё задокументировано и стандартизировано. Корпоративные знания и внешние требования определяют ITSM-политики. Предпринимаются адекватные меры, чтобы обеспечить эффективную реализацию ITIL-процессов. Проводятся регулярные тренинги, в доступе есть необходимые справочные материалы, от сотрудников ожидается преактивный подход к ITSM-активностям. Функциональные возможности в компании довольно высокого качества, продуктивность высокая, а риски низкие.

На этом уровне ITIL-процессы и функции хорошо управляются, для этого применяется только качественный подход. ИТ-департамент определяет необходимые активности и устанавливает конкретные цели по обеспечению соответствия ИТ бизнес-стратегии компании. Мониторинг соответствующих метрик обеспечивает постоянное улучшение функциональных возможностей ИТ.  Широко применяются инструменты для автоматизации. Поощряется кросс-функциональное сотрудничество и обмен знаниями. ITIL-процессы надёжные, риск сбоя небольшой. Есть дополнительные средства на случай возникновения дополнительных требований и для предотвращения сбоев.

Это самый высокий уровень, которого можно достичь. Он подразумевает, что все активности dв рамках ITIL-процессов подчинены строгому контролю. Используются инструменты для автоматизации и мониторинга, чтобы скоординировать задачи и улучшения во всем цикле предоставления услуг. Петля обратной связи обеспечивает непрерывное улучшение. Во всей организации осуществляется целостный контроль, все активности в рамках ITSM интегрированы с бизнес-целями.

После того, как вы поймёте, насколько ITIL-процессы в вашей организации зрелые, вам будет проще определить стратегию для их улучшения. Сложность зачастую может заключаться даже не в том, чтобы определить, какие ITIL-процессы и функции нуждаются в дополнительных ресурсах, политиках, управлении и контроле. Сложность может быть в том, что неясно, как внедрить лучшие практики в сложный ИТ-ландшафт организации, в котором всё взаимосвязано. Внедрение любых улучшений потребует тщательного стратегического планирования, выделения приоритетных ITIL-процессов. А для оценки финального результата потребуется контекстная информация. Принимая во внимание, что ITSM должно оставаться частью стратегии по управлению ИТ в целом, можно дать следующие 6 рекомендации для повышения уровня зрелости ITIL-процессов и функций.

• Фокусируйтесь на пользе. Измеряйте влияние инициатив по улучшению ITIL-процессов. Отдавайте предпочтение тем активностям, которые обеспечивают постепенное и постоянное развитие ITSM.
• Начните с того, что есть. У вас может не быть ресурсов и достаточного числа сотрудников для того, чтобы совершить очень значимый рывок вперёд. Старайтесь переиспользовать уже существующие сервисы и после внедрения нововведений.
• Внедряйте изменения поэтапно, после каждого собирайте обратную связь. Учитывайте её на последующих этапах. Внимательно оцените цикл жизни сервиса, чтобы определить риски, возможности и участки для потенциальных улучшений в будущем.
• Активно сотрудничайте и продвигаете прозрачность ITIL-процессов и функций. Определите всех, кто так или иначе вовлечён в те ITIL-процессы и функции, которые требуют улучшения.
• Разберитесь в том, какой вклад вносит каждый из них. Покажите, что принимаете решения на основе релевантных данных.
• Придерживайтесь комплексного подхода. Принимайте во внимание интеграции и зависимости между ITIL-процессами. Для того, чтобы принять правильные решения с точки зрения цикла жизни всего сервиса, большое значение будет играть сквозная визуализация всех сервисов. При этом инструменты для автоматизации могут помочь снизить требования к работе, которую приходится делать вручную, а также риск ошибок.
• Всё, что вы делаете должно быть просто устроено и приносить пользу. Сфокусируйтесь на том, что играет наибольшую роль и что проще всего померить, то что в первую очередь поднимет уровень зрелости ITSM в вашей компании. Помните, что улучшения в области ITSM должны приносить ощутимую пользу бизнесу и повышать уровень удовлетворённости клиентов.
• Оптимизируйте и автоматизируйте. Делайте это непрерывно. Зрелость ITSM должна подстраиваться под постоянно меняющиеся потребности в будущем.

У любого подхода есть ограничения. Любая модель – это всего лишь инструмент, который не всегда охватывает все характеристики и даёт на 100% точную оценку. К тому же всесторонне оценить ITIL-процессы и функции может быть очень дорого и сложно. Кроме того, сама по себе оценка бесполезна, если вы не будете сравнивать свою компанию с другими. А правильно выбрать организации для сравнения может быть непросто.

Чтобы работа с данными не повлекла за собой новые риски для компании, переосмыслите свою действующую стратегию управления данными. Для того, чтобы это сделать нужно задать себе правильные вопросы. Список таких правильных вопросов подготовили для вас специалисты Informatica.

Защита данных – дисциплина, о которой обычно задумываются только после хакерской атаки или утечки. Это в природе человека – не задумываться о том, что нельзя увидеть или потрогать. Но новостные сюжеты о новых утечках и штрафах показывают, что такой поход неверен. Любой компании нужна надёжная стратегия защиты данных. Защита данных – комплексное и многоплановое понятие. Прежде всего, необходимо понять, где хранятся ваши данные, где они находятся в зоне риска и как обеспечивается защита данных.

Важно понимать, что информационная безопасность (ИБ) в целом сейчас всё больше становится дата-центричной. Раньше ИБ больше фокусировалось на вопросах доступа: кто и к каким сведениям может получить доступ. Проблема с таким подходом в том, что он не учитывает многие особенности использования данных. Большинство программ по ИБ устарели в мире, где многие компаний используют системы, которыми не управляют (мобильные системы, системы в облаках, SaaS-решения). Также программы информационной безопасности не учитывают разнообразие типов данных, которые генерируются людьми, системами и приложениями. Нужно, чтобы корпоративные стратегии по ИБ перестали так фокусироваться на доступе к информации, больше внимания уделялось использованию данных и их онтологии.

Метаданные – данные о данных. Довольно давно для того, чтобы упростить хранение, поиск и выгрузку информации, было решено добавлять дополнительную информацию для описания данных в файлы данных. Эта дополнительная информация и есть метаданные. По сути своей они никак не отличаются от надписей, которые раньше делались на бумажной документации перед отправкой её в архив. Но с точки зрения защиты данных проблема в том, что метаданные сейчас стали очень обширными. Они могут содержать персональную, закрытую, конфиденциальную информацию и даже может позволять получить доступ к самим данным, которые описывает. Чем полнее метаданные, тем больше риск того, что они станут причиной раскрытия информации.

Ситуация с данными, которые сейчас не используются, находятся в покое, усложнилась с появлением облачных решений и решения SaaS. Ваши данные сейчас могут храниться где-то далеко и туда у вас может не быть доступа. Кроме того, данные часто хранятся во множестве копий. Даже если сами данные будут удалены, они не всегда утеряны. Зачастую их можно заново найти в системе хранения. Данные и метаданные, которые используются приложениями также могут быть связаны с рисками, особенно при их перемещении. Проблемы могут возникнуть при очистке данных (устранение дубликатов и ошибок в информации). Чувствительные корпоративные данные могут попасть в открытый доступ при работе с ними ИТ-специалистов (вы же не хотите, чтобы они увидели финансовую информацию клиентов и другое).

Я советую вам внимательно посмотреть на все данные, которые хранит ваша компания, на протяжении всего их жизненного цикла. Нужно определить риски, связанные с данными. Эти риски могут быть связаны с тем, как данные хранятся, используются, перемещаются, интегрируются, оказываются доступными внутри компании или снаружи и так далее. Как я уже писал, сейчас защита данных – это не только традиционные инструменты информационной безопасности, маскирование и очищение информации. На рынке сейчас есть целый ряд решений, которые позволяют оценить риски в области безопасности данных и определить:

• То, что в последствии может перерасти в значительные проблемы с защитой данных;
• То, где можно автоматизировать процессы для того, чтобы улучшить безопасность до желаемого уровня.

Пример такого решения – Secure@Source. Это решение обеспечивает автоматический анализ сведений компании. Такой анализ позволяет определить риски для того, чтобы снизить их, ввести новые политики и автоматизированные процедуры для подержания желаемого уровня защиты данных.

Защита данных – важная часть стратегии любой компании. Безусловно, стратегия не должна охватывать все аспекты сразу, но она может стать хорошим началом дискуссии в компании по этому поводу. Защита данных должна быть одним из важнейших приоритетов компании. Это убережёт вас от попадания в новости об очередной утечке и штрафов за неё. Также вам может быть интересна статья Защита данных в эру Big Data.

Сбор больших объёмов информации кардинально изменил область защиты данных. О том, как это произошло, размышляет Эрик Букобза. Эрик – старший директор по развитию группы Data Security Informaticа. Он отвечает за технологию динамического маскирования. В первой части статьи Эрик рассказывает, что такое Big Data, почему полиморфизм и метаморфизм играет для них большое значение, как образуются умные слои данных. А также – как на сбор больших данных отреагировали регуляторные органы. Во второй части – что произошло с информационной безопасностью (ИБ) и почему произошло слияние этой области с управлением данными.

Есть три хорошо известных требования к ИБ: конфиденциальность, целостность и доступность. Для того, чтобы выполнить эти требования, традиционно применяются два сосуществующих подхода: сетевая безопасность и безопасности на уровне приложения. Сетевая – регулирует доступ через внешние границы. Внешними границами может быть компьютер, источник данных или приложение. Во многом это подход «всё или ничего». Ты или можешь получить доступ или нет. Инструменты сетевой безопасности не могут эффективно следить за хитросплетениями моделей информации. Считается, что что более детальное управление доступом можно обеспечить с помощью приложения, с которого осуществляется доступ. На этой идее построен второй подход – обеспечения безопасности на уровне отдельного приложения. Предполагается, что это приложение хорошо знает структуру данных. Но это предположение может оказаться неверным сейчас, когда полиморфизм, разнообразие данных, – ключевой фактор успеха. Такая модель также не может справиться с новыми вызовами, которые возникают из-за быстро развивающейся регуляторной экосистемы.

Возникает новая парадигма. Но не для того, чтобы заменить старую, а для того, чтобы расширить её. Дата-центричная безопасность требует управления ИБ независимо от структуры данных или их использования. Защиту данных нужно обеспечить, где бы они не хранились, в состоянии покоя или в движении, на внутренних серверах или в облаке, внутри периметра или снаружи. Например, чувствительные данные, такие как персональная информация, по которой можно идентифицировать человека (имя клиента) может храниться как поле в базе данных или как файл, или в облачной CRM-системе или даже в электронном письме на мобильном телефоне сотрудника. В любом случае может потребоваться создать специальные правила, чтобы обеспечить конфиденциальность и защиту данных. Новая парадигма требует того, чтобы эксперт по ИБ стал data scientist, разобрался в процессах управления данными, Data Governance. А скоро она потребует и того, чтобы data scientists также стали экспертами по ИБ. Чтобы обеспечить защиту данных на определённом уровне (например, на уровне столбца таблицы или отдельного поля), специалист должен понимать сами данные, а то, куда данные переходят – менее релевантно. Это само по себе переворачивает практику ИБ с ног на голову. Возникнут новые требования к ИБ и защите данных, которые станут дата-центричными. Однако сейчас мы находимся на заре дата-центричной безопасности, эти требования полностью пока не определены. Gartner недавно разработал категорию DCAP (Data-Centric Audit and Protection – дата-центричный аудит и защита данных), которая охватывает некоторые аспекты этих требований, но не все. В больше степени это связано с тем, что несмотря на попытки обобщить понятие доступа во все разрозненные данные, мы всё равно застряли в ориентированный на периметр подход.

Но, чтобы справиться с быстро меняющимися требованиями регуляторов и полиморфизмом данных, необходимо, чтобы защита данных и доступ к ним управлялись на самом мелком из возможных уровней – уровне элемента данных. Для реализации ИБ приходится всё чаще использовать экспертизу в интеграции данных. Расширение требований регуляторов к конфиденциальности данных на уровне отдельной семантики, ещё больше подталкивает процессы Data Governance и ИБ к слиянию. К тому же «умные» слои данных, о которых говорилось в первой части статьи, будут всё больше вычленяться в информации. Они будут включать в себя данные разных форматов, на различных носителях. Дата-центричная безопасность потребует защиты данных во всех этих форматах и на всех носителях. Развитие слоёв данных приведёт к тому, что ИБ скорее всего станет частью того, как данные и их обработка определяются, включит в себя весь жизненный цикл данных. Мы можем ожидать, что области интеграция данных, качество данных, дата-центричная безопасность и Data Governance сольются и станут разными гранями одной и той же экспертизы. Боитесь за свои Big Data? Проверьте, установлены ли у вас все необходимые решения для защиты данных в Apache Hadoop. Если вы до сих пор не разобрались, чем маскирование отличается от шифрования данных, читайте статью Защита данных: маскирование и шифрование не одно и то же!

Сбор больших объёмов информации кардинально изменил область защиты данных. О том, как это произошло, размышляет Эрик Букобза. Эрик – старший директор по развитию группы Data Security Informaticа. Он отвечает за технологию динамического маскирования.

Без сомнения, XXI век – эра данных. А если быть точнее, эра больших данных. Данные везде, и все пытаются извлечь пользу из них. Эффективно реализовать их огромный потенциал пытаются и коммерческие организации, и правительство, и частные лица. Но те возможности Big Data, которые сейчас можно реализовать, – это только вершина айсберга их потенциала. Поэтому сейчас понимание данных постоянно трансформируется. Постепенно возникает новое осознание того, что такое данные и как происходит их сбор. А это в свою очередь меняет области информационной безопасности и защиты данных.

Три главных характеристики больших данных – 3V (Volume – объём, Velocity – скорость поступления, Variety – разнообразие). В последнее время показатели в этих категориях значительно выросли. Данные стали более сложными для обработки. Кроме того, владельцам данных теперь приходится тщательнее работать над их надёжностью – их достоверностью (четвёртое V – Veracity). Кроме того, важно обращать внимание на максимальное использование потенциальной ценности данных – пятое V – Value (ценность).

Когда мы говорим о больших объёмах данных, мы имеем ввиду не хранение. Прежде всего, важно, что возрастают объёмы обработки информации. Такая обработка даже требует применения новых моделей, которые ранее компании не использовали. К счастью, уже есть множество наборов алгоритмов, которые подходят для параллельной, распределённой и рассеянной обработки. К несчастью, большинство этих новых технологий неизвестны многим специалистам.

Разнообразие обычно ассоциируется с широким набором типов данных (изображения, видео и т.д) или данными геолокации. Но этим категория не ограничивается. Разнообразие сущностей, с которыми имеют дело организации, постоянно растёт. Растёт и разнообразие источников информации. Это приводит к тому, что данные могут быть самых различных форматов. Эта характерная черта для Big Data называется полиморфизмом данных. Она уже стала неотъемлемой для них. С другой стороны, увеличивается разнообразие потребителей данных или точнее разнообразие их требований. Для каждого потребителя нужны данные своего формата. Поэтому при извлечении их приходится трансформировать. Это приводит к метаморфизму (изменчивости) данных. Сами по себе понятия метаморфизма и полиморфизма не новы. Новизна в том, что эти характеристики данных стали неотъемлемыми. Новы и разрушительные последствия, которые метаморфизм и полиморфизм имели для структурированного подхода к нашему восприятию данных.

Здесь имеется в виду не только скорость сбора данных. Это и скорость, с которой они эволюционируют. Самая очевидная эволюция данных – эволюция с точки зрения объёмов. Не менее актуальна и скорость, с которой растёт разнообразие данных. Высокая скорость, с которой данные эволюционируют, – главная причина того, почему разработчики приложений и инструментов аналитики больше не хотят ориентироваться на модель «застывших» данных. Разработчики всё больше ориентируются на инструменты внутреннего потребления данных и их интеграции, которые привносят динамику в модели данных, чтобы справиться с высокой скоростью нарастания полиморфизма.

Все эти характеристики Big Data приводят к появлению умных сбалансированных слоёв данных. Эти слои позволяют управлять данными во всех форматах независимо от приложений и/или потребителей, позволяя одинаково справляться со скоростью возрастания полиморфизма и трансформировать данные, чего требует метаморфизм.

Законодательство не остаётся равнодушным к революции, которая происходит в мире данных. Данные оказываются вовлечены во множество аспектов нашей жизни. А законы адаптируются под новые реалии. Использование данных регулируется всё больше, чтобы предотвратить злоупотребления, но при этом не мешать использованию информации. Требования регуляторов охватывает множество аспектов владения данными (от конфиденциальности данных до антитеррористической безопасности и даже требований, связанных с налогами). По мере того, как требований регуляторов становится всё больше, владельцы данных сталкиваются с беспрецедентными вызовами. Один из самых очевидных вызовов – это необходимость постоянно следить за обновлениями законодательства. Особенно за теми, которые обязательны к выполнению. Способность быстро отреагировать на них становится важнейшим фактором. Это также значит, что, если будут сомнения, организация скорее предпочтёт «перестараться», чем «недостараться».

А это уже создаёт совершенно новые проблемы. Требования к конфиденциальности обычно нацелены на защиту данных. А другие – например FATCA (американский закон о налоговой отчётности по зарубежным счетам) или CRS (общий европейский стандарт обмена финансовой информацией) – на раскрытие данных – предоставление регулятору отчётности. Что происходит, когда компания отдаёт большее предпочтение тем или иным требованиям? Например, если перестараться с выполнением FATCA, рискуете ли вы нарушить требования к конфиденциальности, например по GDPR? Быстро эволюционирующая регуляторная экосистема в среднесрочной перспективе изменит то, как мы подстраиваемся под требования регуляторов. Оградительный подход придётся оставить и заменить его более точным подходом. О том, как изменения в данных и новые меняют информационную безопасность и почему она всё больше сливается с управлением данных читайте во второй части статьи Защита данных в эру Big Data. Часть 2. Боитесь за свои Big Data? Проверьте, установлены ли у вас все необходимые решения для защиты данных в Apache Hadoop. Если вы до сих пор не разобрались, чем маскирование отличается от шифрования данных, читайте статью Защита данных: маскирование и шифрование не одно и то же!

Защита данных сейчас – не только антивирусы и DLP-системы. Объёмы Big Data растут. Уже недостаточно охранять информацию от хакерских атак и утечек. Её нужно прятать – шифровать или маскировать, чтобы уберечь от использования злоумышленников. Ришу Гарг, инженер в Informatica, рассказывает о том, зачем нужно прятать данные и чем маскирование отличается от шифрования. Если вы считаете, что защита данных не нужна вашей компании, читайте другую статью блога.

Несомненно, между маскированием и шифрованием много сходства. А оптимальной защиты данных можно добиться, только если использовать их совместно. Часто даже специалисты в области защиты данных считают шифрование разновидностью маскирования. Что ещё хуже, есть те, кто считает, что это одно и то же. Но, по сути, это два разных с технической точки зрения процесса. Для шифрования большую роль играет обратимость процесса. Для маскирования обратимость –недостаток. Ни при каких условиях пользователь не должен видеть первоначальную информацию, которая была замаскирована. Если маскируете данные, процессы редактирования (фрагментирование данных, скрывание или удаление) важных элементов дата-сета необратимы.

Шифрование данных – трансформация информации с помощью шифра в нечитаемый набор знаков. Восстановить её можно, только использовав ключ и соответствующий алгоритм. Этот метод широко применяется, чтобы защитить файлы на локальных дисках, дисках сети или облака, сетевых коммуникаций или для того, чтобы защитить интернет-трафик и почту.

При маскировании информация не шифруется. Элементы данных прячутся не ото всех, а только от пользователей, чьи роли не подразумевают доступа к ним. Эти элементы заменяются искусственно сгенерированными данными. Они выглядят как настоящие и соответствуют требованиям систем тестирования и требованиям работы с маскированными результатами. Гарантируется, что важные части персональной информации (например, номер паспорта или полиса) скрыты совсем или по ним нельзя идентифицировать владельца данных. По сути, формат данных остаётся исходным. Шифровальных ключей не нужно. По мере изменения правил безопасности и должностных обязанностей пользователя, меняются и элементы информации, к которой у него есть доступ. Динамическое маскирование может трансформировать данные «на лету», в реальном времени. Этот метод часто используется для того, чтобы обезопасить транзакционные системы. Он значительно ускоряет скрытие данных. Защита данных с помощью маскирования более надёжна, чем шифрование. Даже самые лучшие системы шифрования можно взломать (качественные – через миллионы лет). Замаскированные данные нельзя размаскировать. Такие данные не содержат никаких отсылок к первоначальной информации, а значит они совершенно бесполезны для злоумышленников. Напоминаю, маскирование не требует обратимости. Мы можем отойти от принципов 1 к 1 и однозначности. А это обеспечивает ещё лучшую защиту данных.

Обе технологии сравнительно просто применять, когда вы знаете, что и как делать. Обе они нужны, чтобы обеспечить защиту данных компании, а значит, и её репутации, и клиентской лояльности. Используйте шифрование, если нужна защита данных в продуктивной среде от неавторизованного доступа, но данные важны в своём текущем контексте. Шифрование часто используется для защиты данных при их трансфере между компьютерами или сетями. Маскируйте – если нужно использовать данные продуктивной среды в тестовой, где реальное содержание данных не имеет значение. Также этот метод подходит, когда чувствительная информация проходит через много рук, если с ней работают сотрудники на аутсорсинге, удалённые сотрудники, подрядчики и так далее. Читайте о том, как ПАО «Вымпелком» маскирует чувствительные данные с помощью Informatica Dynamic Data Masking, а Сбербанк – с помощью Test Data Masking.