Datakryptering og personvern

Velkommen til denne leksjonen om Data Encryption & Privacy! I moderne systemer er det svært viktig å beskytte sensitiv informasjon.

Vi skal se på hvordan data kan holdes sikre, enten de er lagret eller overføres over nettverk, og hvorfor personvernprinsipper er avgjørende.

Datainnbrudd kan føre til økonomiske tap, svekket omdømme og juridiske sanksjoner. Kryptering er Deres viktigste forsvar.

• Beskyttelse: Beskytter mot uautorisert tilgang.
• Etterlevelse: Bidrar til å oppfylle regelverk som GDPR, HIPAA og CCPA.
• Tillit: Styrker brukernes tillit til sikkerheten i systemet.

Kryptering er prosessen med å omforme lesbare data (klartekst) til et uleselig format (kryptert tekst). Disse omformede dataene kan bare konverteres tilbake til klartekst med en hemmelig nøkkel.

Tenk på det som en hemmelig kode som bare de som har nøkkelen, kan tyde.

Symmetrisk kryptering bruker én felles nøkkel til både kryptering og dekryptering av data.

• Hastighet: Den er vanligvis raskere, noe som gjør den egnet til å kryptere store datamengder.
• Nøkkelhåndtering: Utfordringen er å dele den hemmelige nøkkelen sikkert mellom partene.

Et vanlig eksempel er AES (Advanced Encryption Standard).

Asymmetrisk kryptering, også kjent som kryptografi med offentlig nøkkel, bruker et nøkkelpar: en offentlig nøkkel og en privat nøkkel.

• Offentlig nøkkel: Kan deles fritt og brukes til å kryptere data eller bekrefte signaturer.
• Privat nøkkel: Holdes hemmelig og brukes til å dekryptere data eller opprette signaturer.

Denne metoden er tregere, men løser problemet med sikker utveksling av nøkler. RSA er en populær algoritme.

Encryption At Rest (EaR) viser til kryptering av data når de er lagret på et permanent lagringsmedium, for eksempel i en database, på en harddisk eller på et sikkerhetskopibånd.

Dette beskytter dataene selv om lagringsenheten blir fysisk stjålet eller åpnet uten autorisasjon.

Her er vanlige måter å implementere Encryption At Rest på:

• Full diskkryptering: Krypterer en hel lagringsenhet (for eksempel BitLocker eller LUKS).
• Databasekryptering: Bestemte kolonner eller hele databaser kan krypteres (for eksempel Transparent Data Encryption - TDE).
• Kryptering av skylagring: Skyleverandører tilbyr ofte innebygd kryptering for data som er lagret i buckets eller volumer.

Encryption In Transit (EiT) sikrer data mens de overføres over nettverk, for eksempel internett eller interne bedriftsnettverk.

Dette forhindrer avlytting eller manipulering fra ondsinnede aktører som kan fange opp datastrømmen.

Vanlige teknologier som brukes til Encryption In Transit:

• TLS/SSL (HTTPS): Sikrer webtrafikk mellom nettlesere og servere. Den bruker asymmetrisk kryptering til å opprette en sikker kanal, og bytter deretter til raskere symmetrisk kryptering for dataoverføringen.
• VPN-er (Virtual Private Networks): Oppretter en kryptert «tunnel» over et offentlig nettverk og sikrer all trafikk som går gjennom den.

Personvern handler, i tillegg til kryptering, om prinsipper for ansvarlig håndtering av personopplysninger:

• Dataminimering: Samle bare inn dataene som faktisk trengs.
• Formålsbegrensning: Bruk bare dataene til det angitte formålet de ble samlet inn for.
• Brukersamtykke: Innhent tydelig tillatelse fra brukerne før dataene deres samles inn og behandles.
• Retten til å bli glemt: La brukerne be om at dataene deres slettes.

Vi har gått gjennom de viktigste aspektene ved Data Encryption & Privacy. Nå forstår De:

• Hvorfor kryptering er viktig for sikkerhet og etterlevelse.
• Forskjellene mellom symmetrisk og asymmetrisk kryptering.
• Hvordan data sikres i ro (EaR) og under overføring (EiT).
• Viktige personvernprinsipper for ansvarlig håndtering av data.

Ha dette i bakhodet når De bygger robuste og pålitelige systemer!