П’ять проблем із шифруванням електронної пошти в хмарі: якщо електронні листи на сервері незашифровані, уся інформація може бути скопійована та прочитана зловмисниками.
Програмне забезпечення як послуга (SaaS) полегшує життя компаніям багатьма способами: постачальники не лише гарантують наявність достатньої обчислювальної потужності. Вони також імпортують оновлення та виправлення для таких програм, як Office або служби електронної пошти, і таким чином швидко усувають прогалини в безпеці. Особливо після критичних уразливостей у Microsoft Exchange Server на початку березня, цей аспект підвищує привабливість Microsoft 365 (M365) як рішення SaaS.
Однак компанії не можуть покладатися на те, що вони повністю захищені. Інколи може пройти кілька днів, перш ніж патч стане доступним, протягом якого зловмисники зможуть отримати доступ до електронних листів, що зберігаються на сервері. Якщо вони незашифровані, всю інформацію можна скопіювати та прочитати. Але це ще не все. Компанії повинні враховувати наступні п’ять викликів хмарної інфраструктури електронної пошти.
1. Необхідно забезпечити захист даних
Загальний регламент ЄС про захист даних (GDPR) передбачає захист персональних даних – також в електронній пошті. Компанії завжди повинні надсилати їх у зашифрованому вигляді. Таким чином вони забезпечують відповідність і захищають особисті дані або комерційну таємницю.
Було б надто одностороннім розглядати локальну систему як безпечну за своєю суттю, а хмару — як фундаментально незахищену. Таким чином, шифрування має важливе значення як для електронної пошти, яка знаходиться в хмарі, так і для локальної інфраструктури. Якщо хмара є єдиним сховищем для всіх електронних листів, додаткові заходи захисту даних стають ще більш важливими. Тоді існуючі засоби безпеки для фізично обмеженої зони доступу компанії більше не застосовуються.
2. Компанії потребують суверенітету над своїми даними
M365 інтегрував власну технологію шифрування. Завдяки цьому компанії спочатку захищають електронну пошту та документи, але відмовляються від суверенітету над своїми даними в середньостроковій та довгостроковій перспективі. Це все одно, що довірити комусь замкнену касу і прикріпити ключ до дна скотчем.
Майкрософт, ймовірно, не використовуватиме цей ключ для себе. Але «Хмарний закон» 2018 року дозволяє владі США отримувати доступ до даних, що зберігаються на серверах американських компаній — також за кордоном і заднім числом. Тому безпечніше, якщо контроль над ключами залишається в компанії.
3. Шифрування має бути зручним для користувача
Шифрування – непроста тема. Взяти це у свої руки, наприклад, із сертифікатами S/MIME, потребує технічно дуже досвідчених працівників і часто є ненайкращим підходом.
Щоб уникнути збою шифрування через опір співробітників, воно має бути зручним для користувача. В ідеалі шифрування виконується автоматично та у фоновому режимі. Тоді користувачам не доведеться турбуватися про керування ключами та сертифікатами чи реєстрацію користувачів – вони можуть зосередитися на своїх фактичних завданнях.
Марсель Мок, технічний директор і співзасновник totemo (Зображення: totemo)
4. Електронні листи мають бути розбірливими для одержувача
Коли компанії шифрують електронну пошту, партнери по спілкуванню повинні бути залучені. Існують різні стандарти шифрування, такі як S/MIME та (Open)PGP, які несумісні один з одним. Крім того, багато малих і середніх підприємств і більшість домашніх користувачів не мають технології чи ноу-хау для розшифровки повідомлень.
Компанії повинні адаптуватися до різноманітних стандартів шифрування та мати можливість гнучко адаптуватися до стандартів своїх партнерів. Це також означає пропонувати альтернативу, якщо вони не використовують шифрування, щоб зашифровані електронні листи не залишалися непрочитаними.
5. Що відбувається зі старими незашифрованими електронними листами?
Коли організації переносять свою інфраструктуру електронної пошти на M365, шифрування застосовується лише до нових повідомлень. Що відбувається з незашифрованими електронними листами, які переміщуються з локального сервера в хмару? Їх не можна залишати у вигляді звичайного тексту, оскільки це дозволяє зловмисникам їх прочитати.
Як компанії долають виклики
З одного боку, компанії повинні забезпечити більшу безпеку та захист даних, шифруючи свою електронну пошту. З іншого боку, вони хочуть зберегти суверенітет над своїми даними, захистити застарілі активи та запропонувати зручне рішення як для партнерів, так і для співробітників.
Для цього необхідні незалежні рішення для шифрування електронної пошти. Вони автоматизують керування ключами та сертифікатами та шифрують наявні поштові скриньки перед міграцією. При виборі компанії, орієнтовані на послуги, можуть переконатися, що рішення підтримує якомога більше стандартів шифрування та пропонує альтернативний метод для одержувачів електронної пошти, які не мають потрібного обладнання. Саме це робить Microsoft 365 безпечним сховищем електронної пошти в хмарі.
Більше на totemo.com
Про тотемо
Швейцарський виробник програмного забезпечення totemo ag пропонує рішення для безпечного обміну бізнес-інформацією. totemo захищає електронну пошту та передачу даних за допомогою шифрування та приділяє особливу увагу оптимальній зручності для користувача - в тому числі на мобільних пристроях, звичайно.
Запатентована та підтверджена FIPS 140-2 платформа безпеки totemo забезпечує швидку та просту інтеграцію в будь-яку існуючу ІТ-інфраструктуру.