Data at Rest چیست؟ آشنایی با رمزنگاری داده‌های ذخیره‌شده

بسیاری از سازمان‌ها تصور می‌کنند تا زمانی که شبکه آن‌ها توسط فایروال، سامانه تشخیص نفوذ یا آنتی‌ویروس محافظت می‌شود، اطلاعاتشان نیز در امنیت کامل قرار دارد. اما واقعیت این است که هدف نهایی بیشتر حملات سایبری، تجهیزات شبکه نیست؛ بلکه داده‌هایی است که روی سرورها، پایگاه‌های داده، فضای ابری یا نسخه‌های پشتیبان ذخیره شده‌اند. اگر مهاجم بتواند به این اطلاعات دسترسی پیدا کند، نبود رمزنگاری مناسب می‌تواند در مدت کوتاهی به افشای حجم زیادی از داده‌های حساس منجر شود.

به همین دلیل، امنیت اطلاعات تنها به جلوگیری از نفوذ محدود نمی‌شود. حتی اگر مهاجم از لایه‌های دفاعی عبور کند یا به‌صورت فیزیکی به تجهیزات ذخیره‌سازی دسترسی داشته باشد، داده‌ها باید همچنان غیرقابل استفاده باقی بمانند. این دقیقاً همان هدفی است که Data at Rest و رمزنگاری داده‌های ذخیره‌شده دنبال می‌کنند.

Data at Rest چیست؟

Data at Rest به اطلاعاتی گفته می‌شود که روی یک رسانه ذخیره شده‌اند و در آن لحظه نه در حال انتقال هستند و نه توسط یک نرم‌افزار یا کاربر پردازش می‌شوند. این اطلاعات ممکن است روی هارددیسک سرورها، حافظه‌های SSD، پایگاه‌های داده، ماشین‌های مجازی، تجهیزات ذخیره‌سازی تحت شبکه، فضای ابری یا نسخه‌های پشتیبان قرار داشته باشند.

غیرفعال بودن اطلاعات به معنای امن بودن آن‌ها نیست. برعکس، ارزشمندترین دارایی‌های دیجیتال یک سازمان معمولاً در همین وضعیت قرار دارند؛ از اطلاعات مشتریان و اسناد مالی گرفته تا پرونده‌های منابع انسانی، اطلاعات تحقیق و توسعه و قراردادهای محرمانه.

در امنیت اطلاعات، داده‌ها معمولاً در سه وضعیت بررسی می‌شوند:

• Data at Rest: داده‌های ذخیره‌شده
• Data in Transit: داده‌های در حال انتقال
• Data in Use: داده‌های در حال پردازش

هر یک از این وضعیت‌ها به کنترل‌های امنیتی متفاوتی نیاز دارند. برای مثال، پروتکل‌هایی مانند TLS از اطلاعات هنگام انتقال محافظت می‌کنند، اما پس از ذخیره شدن اطلاعات روی سرور یا پایگاه داده، دیگر این پروتکل‌ها نقشی در حفاظت از آن‌ها ندارند و باید از راهکارهای مخصوص رمزنگاری Data at Rest استفاده شود.

از نگاه یک کارشناس امنیت، رمزنگاری تنها برای مخفی کردن اطلاعات نیست؛ بلکه روشی برای کاهش اثر نفوذ است. اگر مهاجم به هر دلیلی به فایل‌ها یا رسانه ذخیره‌سازی دسترسی پیدا کند، بدون کلید رمزنگاری نباید بتواند از اطلاعات استفاده کند. این همان رویکردی است که امروزه در بسیاری از چارچوب‌های امنیتی با عنوان «فرض بر نفوذ» (Assume Breach) شناخته می‌شود.

چه داده‌هایی در دسته Data at Rest قرار می‌گیرند؟

هر اطلاعاتی که روی یک رسانه ذخیره شود، در دسته Data at Rest قرار می‌گیرد؛ اما همه این داده‌ها ارزش یکسانی ندارند و به همین دلیل سطح حفاظت موردنیاز آن‌ها نیز متفاوت است.

از مهم‌ترین نمونه‌های داده‌های ذخیره‌شده می‌توان به موارد زیر اشاره کرد:

• اطلاعات پایگاه‌های داده
• اطلاعات مشتریان و کاربران
• پرونده‌های مالی و حسابداری
• اسناد قراردادها
• اطلاعات منابع انسانی
• نسخه‌های پشتیبان (Backup)
• آرشیو ایمیل‌ها
• فایل‌های ذخیره‌شده روی سرورها
• اطلاعات ذخیره‌شده در فضای ابری
• ماشین‌های مجازی
• فایل‌های موجود روی لپ‌تاپ یا تجهیزات همراه
• اطلاعات ذخیره‌شده روی حافظه‌های اکسترنال

در بسیاری از سازمان‌ها تمرکز اصلی روی حفاظت از پایگاه داده عملیاتی است، در حالی که نسخه‌های پشتیبان، فایل‌های خروجی (Export) یا اطلاعات ذخیره‌شده روی لپ‌تاپ مدیران با سطح امنیتی پایین‌تری نگهداری می‌شوند. مهاجمان نیز معمولاً همین نقاط را هدف قرار می‌دهند؛ زیرا دستیابی به آن‌ها ساده‌تر است و اغلب همان اطلاعات ارزشمند را در اختیارشان قرار می‌دهد.

همچنین نباید تصور کرد که ذخیره اطلاعات در فضای ابری به‌تنهایی امنیت آن‌ها را تضمین می‌کند. امنیت زیرساخت ابری با امنیت داده‌های داخل آن تفاوت دارد و مسئولیت حفاظت از اطلاعات حساس همچنان بر عهده سازمان است.

چرا داده‌های ذخیره‌شده هدف مهاجمان هستند؟  

از دید مهاجمان، ارزشمندترین دارایی هر سازمان اطلاعات آن است. به همین دلیل، هدف نهایی بسیاری از حملات سایبری، دستیابی به داده‌های ذخیره‌شده است؛ زیرا با دسترسی به این اطلاعات می‌توان حجم زیادی از داده‌های حساس را در مدت کوتاهی استخراج یا منتشر کرد.

برای مثال، در بسیاری از حملات باج‌افزاری، مهاجمان پیش از رمزگذاری فایل‌ها، ابتدا اطلاعات را سرقت می‌کنند. سپس با تهدید به انتشار آن‌ها، سازمان را برای پرداخت باج تحت فشار قرار می‌دهند. به همین دلیل، خسارت چنین حملاتی تنها به از دسترس خارج شدن اطلاعات محدود نمی‌شود، بلکه نشت داده‌های محرمانه نیز به یکی از مهم‌ترین ریسک‌های سازمان تبدیل می‌شود.

فرض کنید لپ‌تاپ مدیر مالی یک شرکت به سرقت می‌رود. اگر هارددیسک دستگاه رمزنگاری نشده باشد، مهاجم تنها با اتصال آن به یک رایانه دیگر می‌تواند به اسناد مالی، اطلاعات مشتریان و قراردادهای محرمانه دسترسی پیدا کند؛ بدون اینکه حتی رمز عبور سیستم‌عامل را بداند.

در سناریویی دیگر، مهاجم پس از نفوذ به شبکه متوجه می‌شود نسخه‌های پشتیبان روی یک فایل‌سرور داخلی ذخیره شده‌اند. اگر این نسخه‌ها رمزنگاری نشده باشند، حتی در صورت بازیابی سامانه‌های اصلی نیز اطلاعات حساس قبلاً از سازمان خارج شده‌اند.

نکته مهم این است که در بسیاری از رخدادهای امنیتی، عامل اصلی موفقیت مهاجم ضعف فناوری نیست، بلکه نبود یک راهبرد جامع برای حفاظت از داده‌های ذخیره‌شده است.

رمزنگاری Data at Rest چگونه کار می‌کند؟

رمزنگاری Data at Rest فرآیندی است که طی آن اطلاعات قابل‌خواندن (Plaintext) با استفاده از الگوریتم‌های رمزنگاری به داده‌هایی غیرقابل فهم (Ciphertext) تبدیل می‌شوند. تنها افرادی که کلید معتبر را در اختیار دارند، می‌توانند اطلاعات را دوباره به حالت اولیه بازگردانند.

این فرآیند می‌تواند در سطوح مختلف انجام شود؛ از رمزنگاری کامل دیسک (Full Disk Encryption) گرفته تا رمزنگاری فایل‌ها، پوشه‌ها، پایگاه‌های داده یا حتی ستون‌های حساس یک دیتابیس.

اگرچه قدرت الگوریتم رمزنگاری اهمیت زیادی دارد، اما تجربه پروژه‌های امنیتی نشان می‌دهد که اثربخشی این فناوری به نحوه پیاده‌سازی آن نیز وابسته است. به همین دلیل، سازمان‌های بزرگ معمولاً کلیدهای رمزنگاری را در سامانه‌های تخصصی مدیریت کلید یا تجهیزات HSM نگهداری می‌کنند و فرآیند تغییر دوره‌ای کلیدها را نیز به‌عنوان بخشی از سیاست‌های امنیتی خود اجرا می‌کنند.

رایج‌ترین الگوریتم‌های رمزنگاری داده‌های ذخیره‌شده

الگوریتم‌های مختلفی برای رمزنگاری Data at Rest وجود دارند، اما تنها برخی از آن‌ها به استانداردهای رایج سازمانی تبدیل شده‌اند. انتخاب الگوریتم مناسب باید بر اساس نوع اطلاعات، زیرساخت سازمان، الزامات قانونی و سطح ریسک انجام شود.

در میان این فناوری‌ها، AES-256 به دلیل ایجاد تعادل مناسب میان امنیت، سرعت پردازش و پشتیبانی گسترده، به انتخاب اصلی بسیاری از سازمان‌ها تبدیل شده است. با این حال، انتخاب الگوریتم مناسب تنها یکی از اجزای راهبرد حفاظت از داده‌هاست و باید در کنار سایر کنترل‌های امنیتی مورد استفاده قرار گیرد.

تفاوت Data at Rest و Data in Transit

یکی از رایج‌ترین سوءبرداشت‌ها در امنیت اطلاعات این است که بسیاری از سازمان‌ها تصور می‌کنند با فعال‌سازی HTTPS یا استفاده از VPN، اطلاعاتشان در همه شرایط ایمن خواهد بود. در حالی که این فناوری‌ها تنها از Data in Transit یا داده‌های در حال انتقال محافظت می‌کنند و پس از ذخیره شدن اطلاعات، دیگر نقشی در امنیت آن‌ها ندارند.

به بیان ساده، زمانی که کاربر اطلاعات خود را در یک وب‌سایت ثبت می‌کند، این اطلاعات هنگام انتقال بین مرورگر و سرور در دسته Data in Transit قرار می‌گیرند و معمولاً با استفاده از پروتکل‌هایی مانند TLS یا IPsec رمزنگاری می‌شوند. اما به محض ذخیره شدن همین اطلاعات در پایگاه داده، فضای ابری یا هارد سرور، به Data at Rest تبدیل می‌شوند و برای حفاظت از آن‌ها باید از مکانیزم‌های رمزنگاری مخصوص داده‌های ذخیره‌شده استفاده شود.

از دید امنیت سایبری، این دو مفهوم مکمل یکدیگر هستند. اگر تنها یکی از آن‌ها محافظت شود، همچنان مسیر مناسبی برای سوءاستفاده مهاجم باقی خواهد ماند. برای مثال، رمزنگاری ارتباطات شبکه زمانی ارزش واقعی خود را نشان می‌دهد که اطلاعات پس از ذخیره‌سازی نیز با همان دقت محافظت شوند.

مزایا و چالش‌های رمزنگاری Data at Rest

رمزنگاری Data at Rest یکی از مؤثرترین راهکارهای حفاظت از اطلاعات محسوب می‌شود، زیرا حتی در صورت دسترسی غیرمجاز به رسانه ذخیره‌سازی، داده‌ها بدون کلید رمزنگاری قابل استفاده نخواهند بود. به همین دلیل، این فناوری امروزه به یکی از الزامات بسیاری از استانداردهای امنیت اطلاعات تبدیل شده است.

مهم‌ترین مزایای رمزنگاری داده‌های ذخیره‌شده عبارت‌اند از:

• کاهش احتمال افشای اطلاعات در صورت سرقت تجهیزات یا نفوذ به زیرساخت
• محافظت از اطلاعات حساس مشتریان، کارکنان و اسناد سازمانی
• کاهش خسارت ناشی از حملات باج‌افزاری و نشت اطلاعات
• کمک به رعایت الزامات استانداردها و قوانین امنیت اطلاعات
• افزایش اعتماد مشتریان و شرکای تجاری نسبت به نحوه حفاظت از داده‌ها
• کاهش ریسک سوءاستفاده از نسخه‌های پشتیبان یا تجهیزات از رده خارج‌شده

با وجود این مزایا، اجرای موفق رمزنگاری بدون برنامه‌ریزی مناسب امکان‌پذیر نیست و سازمان‌ها معمولاً با چالش‌هایی مانند موارد زیر مواجه می‌شوند:

• مدیریت ایمن کلیدهای رمزنگاری
• احتمال کاهش جزئی کارایی در برخی سامانه‌ها
• پیچیدگی پیاده‌سازی در زیرساخت‌های قدیمی
• طراحی فرآیندهای مطمئن برای بازیابی اطلاعات رمزنگاری‌شده
• مدیریت حجم بالای داده‌ها در محیط‌های بزرگ سازمانی

نکته مهم این است که این چالش‌ها به‌ندرت به ضعف الگوریتم‌های رمزنگاری مربوط می‌شوند. در اغلب پروژه‌های امنیتی، موفقیت یا شکست رمزنگاری به نحوه پیاده‌سازی، سیاست‌های سازمان و میزان بلوغ امنیتی وابسته است

بهترین روش‌های حفاظت از داده‌های ذخیره‌شده

رمزنگاری یکی از ابزارهای مهم حفاظت از Data at Rest است، اما به‌تنهایی کافی نیست. بسیاری از نشت‌های اطلاعاتی به دلیل ضعف در مدیریت دسترسی، نگهداری نامناسب کلیدها یا خطاهای پیکربندی رخ می‌دهند. بنابراین، حفاظت از داده‌ها نیازمند ترکیبی از کنترل‌های فنی و مدیریتی است.

سازمان‌هایی که در برابر حملات سایبری عملکرد موفق‌تری دارند، معمولاً مجموعه‌ای از اقدامات زیر را به‌صورت هم‌زمان اجرا می‌کنند:

• طبقه‌بندی اطلاعات بر اساس میزان حساسیت
• استفاده از الگوریتم‌های استاندارد مانند AES-256
• نگهداری امن کلیدهای رمزنگاری در سامانه‌های مستقل یا تجهیزات HSM
• تغییر دوره‌ای کلیدها (Key Rotation)
• رمزنگاری نسخه‌های پشتیبان و اطلاعات ذخیره‌شده در فضای ابری
• اعمال اصل Least Privilege برای محدود کردن سطح دسترسی کاربران
• بررسی و ثبت فعالیت حساب‌های دارای دسترسی حساس
• آزمایش دوره‌ای فرآیند بازیابی اطلاعات رمزنگاری‌شده
• حذف امن اطلاعات پیش از واگذاری یا امحای تجهیزات ذخیره‌سازی
• بازبینی مستمر سیاست‌های امنیت اطلاعات

در مقابل، ذخیره کلیدهای رمزنگاری در کنار داده‌ها، استفاده از الگوریتم‌های منسوخ، بی‌توجهی به امنیت نسخه‌های پشتیبان یا رها کردن اطلاعات روی تجهیزات از رده خارج‌شده، از جمله خطاهایی هستند که می‌توانند اثربخشی این اقدامات را به‌شدت کاهش دهند.

امروزه بسیاری از سازمان‌ها برای تکمیل این لایه حفاظتی، از راهکارهایی استفاده می‌کنند که علاوه بر محافظت از داده‌ها، امکان تحلیل رخدادهای امنیتی، شناسایی رفتارهای غیرعادی و افزایش دید امنیتی در سطح زیرساخت را نیز فراهم می‌کنند. چنین رویکردی باعث می‌شود تهدیدها پیش از تبدیل شدن به یک رخداد جدی، شناسایی و مدیریت شوند.

جمع بندی

حفاظت از رمزنگاری داده‌های ذخیره‌شده، Data at Rest تنها به رمزنگاری اطلاعات محدود نمی‌شود، بلکه زمانی بیشترین اثربخشی را دارد که در کنار مدیریت دسترسی، حفاظت از کلیدهای رمزنگاری و پایش مستمر رویدادهای امنیتی اجرا شود. سازمان‌هایی که این رویکرد را به‌عنوان بخشی از استراتژی مدیریت ریسک خود در نظر می‌گیرند، آمادگی بیشتری برای مقابله با تهدیدات سایبری و کاهش پیامدهای نشت اطلاعات خواهند داشت. اگر قصد دارید امنیت داده‌های ذخیره‌شده را در سازمان خود ارزیابی یا تقویت کنید، کارشناسان راد سکیور می‌توانند با بررسی زیرساخت، نیازهای امنیتی و ریسک‌های موجود، در انتخاب و پیاده‌سازی راهکارهای متناسب با سازمان شما مشاوره تخصصی ارائه دهند.

سوالات متداول

1. آیا داده‌های ذخیره‌شده در فضای ابری نیز باید رمزنگاری شوند؟

بله. امنیت زیرساخت ابری به‌تنهایی به معنای امنیت اطلاعات نیست. داده‌های حساس باید هنگام ذخیره‌سازی با الگوریتم‌های استاندارد رمزنگاری شوند تا حتی در صورت دسترسی غیرمجاز به فضای ذخیره‌سازی، امکان استفاده از آن‌ها وجود نداشته باشد.

2. رایج‌ترین الگوریتم‌های رمزنگاری برای Data at Rest کدام‌اند؟

الگوریتم AES-256 متداول‌ترین استاندارد برای رمزنگاری داده‌های ذخیره‌شده است. علاوه بر آن، فناوری‌هایی مانند Transparent Data Encryption (TDE) برای پایگاه‌های داده، BitLocker در ویندوز و FileVault در سیستم‌عامل macOS نیز کاربرد گسترده‌ای در محیط‌های سازمانی دارند.

3. چه نوع اطلاعاتی باید در حالت ذخیره‌شده رمزنگاری شوند؟

بهترین معیار برای تصمیم‌گیری، میزان خسارتی است که افشای اطلاعات می‌تواند ایجاد کند. هر داده‌ای که انتشار آن موجب آسیب مالی، حقوقی یا اعتباری شود، باید رمزنگاری گردد؛ از جمله اطلاعات مشتریان، پرونده‌های مالی، داده‌های منابع انسانی، اطلاعات پزشکی، اسناد محرمانه، کلیدهای API و نسخه‌های پشتیبان.