Proteger o armazenamento de documentos corporativos

Question

Um dos argumentos mais interessantes atualmente em torno do escritório é a falta de backup para o laptop da pessoa de RH. Contém uma cópia do contrato e outras informações do tipo HR em cada membro do pessoal que temos trabalhando aqui. É certamente confidencial informações, algumas delas contêm detalhes da NI e da saúde, bem como informações da conta bancária e outros registros pessoais.

Depois que o laptop de um desenvolvedor ficou roubado no mês passado , Eu tive motivos para olhar com mais detalhes no backup (ou falta de) para os vários serviços em todo o escritório.

A gerência acha que o Dropbox seria uma boa solução, já que eles afirmam para ser seguro, mas eu estou decididamente inseguro onde a lei (e dados Protection Act) realmente mentem sobre isso.

Eu estava com a impressão de que você não está autorizado a deixar os documentos em questão deixar o site / país / UE. Então dropbox não seria bom, pois eles são baseados no EUA e, provavelmente, o Amazon S3 apoiado.

Informação rápida:

• Somos do Reino Unido, com operações em a UE (DK)
• O gerenciamento deseja acesso on-line, o mais granular possível, um criador de usuários, somente eles podem acessar esse documento / pasta, uma pasta compartilhada globalmente, bem como listas de acesso baseadas em grupo.
• Eu gostaria de algo que seja devidamente seguro, testado, Hard Cryptography (AES)
• Acesso VPN IPSEC discado seria bom, provavelmente o HTTPS também.
• Uma solução que não nos levará a ser processada pelo Information Commisioner se as coisas ficarem complicadas.

Alguém tem alguma ideia? Feito isso antes? Devo apenas criar um servidor e armazená-lo em algum lugar do escritório ou um servidor dedicado em um datacenter do Reino Unido?

    

Answer 1

Transforme as suposições por um momento - por que os dados confidenciais precisam deixar o site? Por que não apenas criar um servidor de terminal, conectável à web via VPN e ter pessoas conectadas a ele para acessar dados e aplicativos confidenciais?

    

Answer 2

Primeiro, o DropBox não parece estar em conformidade com o Safe Harbor, portanto, armazenar qualquer coisa coberta pelo DPA seria uma violação das responsabilidades do DPA.

Você tem permissão para enviar (alguns tipos de) documentos (eletronicamente) para os EUA, desde que a outra extremidade seja compatível com o Safe Harbor (e registrada). Não sei se isso abrange detalhes da assistência médica, mas certamente é suficiente para "nome, endereço e número de telefone" (ou, quando analisei as regulamentações relevantes em 2006, como o trabalho estava considerando backups off-shoring) para um centro de dados dos EUA).

Suspeito que o que você gostaria de fazer é uma combinação dos seguintes itens:

• Software de backup instalado em todas as "estações de trabalho" (computadores fixos e laptops).
• Disco rígido criptografado em todos os laptops (idealmente também exigindo uma senha da BIOS durante a inicialização).
• Os backups devem estar em pelo menos dois blocos de armazenamento separados, talvez um em um servidor no escritório e outro em um data center remoto (Reino Unido).
• O software de backup exato não importa muito, procure por algo que forneça aproximadamente os requisitos que você tem e pergunte se você pode ter uma licença de demonstração para um teste (servidor único, 2-3 máquinas de teste, limpeza intencional e tente recuperar).