企业数据安全怎么做 | 架构篇

2024-10-31

前言

在当前的数据时代，随着云计算、大数据、AI等技术的不断发展，“数据”已经渗透到当今每一个行业和业务职能领域，成为重要的生产因素。数据的计量单位至少是PB级别计算。这个时代不仅给“数据”赋予了“价值”属性，也同步赋予了“法律”属性，这些都推动着国家和企业重视数据，重视数据安全。

也欢迎大家关注我的专栏，查看更多数据安全建设相关内容。

数据安全形势

据IBM《2019年全球数据泄露成本报告》显示，恶意数据泄露平均给调研中的受访企业带来 445 万美元的损失。CNCERT 在2019年全年累计发现我国重要数据泄露风险与事件 3000 余起。数据泄漏对企业来说不仅是经济损失，还有国家层面的巨额罚款；比如Facebook的8700万用户数据的不当泄漏被罚款50亿美金，英国航空公司的50万乘客数据的不当泄漏被罚款2.3亿美元；国内大量企业都号称自己有百万、千万甚至过亿的用户量，但你们是否有相应的数据安全能力来保证用户数据不外泄，或者你们是否有能力应对合规层面的巨额罚款。

数据安全标准

国际层面，各国出台了如GDPR、CCPA、COPPA、LGPD等。

国内层面，近期相继出台了《网络安全法》、《儿童个人信息网络保护规定》、《APP违法违规收集使用个人信息行为认定方法》、《数据安全管理办法》（征求意见稿）、《网络数据安全标准体系建设指南》（征求意见稿）和《中华人民共和国数据安全法（草案）》等。

数据安全相关定义

数据的定义：

任何以电子或者非电子形式对信息的记录。

理解数据的类型：

a、按照数据性质区分

结构化数据：即行数据,存储在数据库里,可以用二维表结构来逻辑表达实现的数据

非结构化数据：包括所有格式的工作文档、文本、图片、XML、HTML、各类报表、图像和音频/视频信息等等

半结构化数据：就是介于完全结构化数据（如关系型数据库、面向对象数据库中的数据）和完全无结构的数据（如声音、图像文件等）之间的数据，HTML文档就属于半结构化数据

b、按照数据状态区分

静态数据：存储在磁盘、硬盘、SAN等介质上的任何数据

动态数据：通过网络传输的任何数据

使用中的数据：应用程序使用内存或临时缓冲区中的数据

数据活动的定义：

数据的收集、存储、加工、使用、提供、交易、公开等行为。

数据安全的定义：

通过采取必要措施,保障数据得到有效保护和合法利用,并持续处于安全状态的能力。

数据安全的挑战

1、业务系统的灵活多变、需求复杂

互联网+的时代，市场的快速变化，企业业务的极速调整，企业每天都有可能出现系统上线、功能调整、接口的三方接入、数据的线上和线下外发等。面对这些变化和场景，我们如何应对？

2、新技术新挑战

新技术带来新风险。云、物联网、大数据和AI等新技术的广泛应用给企业带来了巨大生产力的同时，也改变了传统网络的数据防护思路，新型的网络威胁我们如何应用？

3、数据量大

大数据的兴起，数据的起始计量单位变成至少是PB级，甚至是EB级，在如此庞大的数据量面前，如何有效管理，如果做数据的快速识别、监控、检测、处置、响应？

4、安全威胁增多

数据价值的提升，导致外部威胁的目的性、隐蔽性、破坏性都成上升趋势。如何降低威胁暴露面和何种体系防护应对？

数据安全的目标

目标：满足合规，贴合业务，将数据风险降低至可接受水平，让数据使用更安全。

办法总比困难多，面对各位数据安全挑战，数据安全从业者要有自己的数据安全防护体系思路，善于学习新技术新经验的能力，总结自己的套路和打法，以终为始，不断更新和进步。

业务面前，安全不是他们的对立面，要采取双赢思维，建立信任关系。业务的目的是盈利，而安全是保证业务稳定盈利，规避风险最佳帮手，彼此相辅相成，相互依存。

数据安全模型框架

数据安全的执行和管理需要以数据为中心，宏观层，在满足合规的基础上，依托组织建设，采取技术和管理的手段，实施层，采取“识别”、“保护”、“监视”、“检测”、“响应”和“恢复”六大安全功能，保证数据全证明周期的安全。

数据安全建设框架

基于数据安全模型框架，梳理数据安全建设过程所需的基本功能和重点功能，制定如下数据安全建设框架：

框架说明

整理来看，数据安全建设框架可以分为三个层面。

最下面为组织建设层：

数据治理小组负责整体决策层工作，比如数据安全计划的定位，策略、政策和组织等的制定；数据安全团队负责整体战术层和执行层工作，战术层比如具体安全计划的管理管控，如合规管理、风险管理、计划管理、进度管理和指标管理等等；执行层负责整体数据安全计划的落地工作，人员包括专业的数据安全人员和各业务团队的安全接口人。

中间为能力实现层：

通过“识别”、“保护”、“监视”、“检测”、“响应”和“恢复”六大功能，落地数据安全的合规、管理、技术和运营。

最上面为目标和愿景层：

通过组织建设和数据安全能力实现，保证组织用户数据、业务数据和公司数据，最终实现使数据使用更安全的愿景。

数据安全实施框架

数据安全工作如此繁杂多样，我们如何具体落地和有序建设执行呢，基于数据安全建设框架，制定如下数据安全实施框架：

框架说明

整体来看，每做一件事情，我们都要先做好计划，然后实施，实施中进行复核检测，进而改进，如此反复，阶梯式完成，形成一个PDCA的循环。

Plan：

我们要制定好计划、确定范围和明确目标，识别的重点工作为：范围和边界的识别、账号识别、权限识别、数据识别、系统识别、操作识别、流程识别和数据的分类分级。

Do&Act：

在Plan中的成果进行处置，事前做保护，事中做监视和检测，事后做响应和恢复。重点工作为合规的落地；安全基线的落地；管理制度的建立‘敏感信息在数据生命周期中的管控、处置和审计，如敏感数据打标签、传输的加密、存储的加密或脱敏、使用的脱敏、操作的日志记录等。

注：合规的部分问题可以参考我另两篇文章《数据安全怎么做——合规篇之CCPA》《数据安全怎做——合规篇之数据安全法》

资产梳理的问题可以参考我另一篇文章《企业安全建设之资产库篇》

其他详细内容都在撰写中，后续会一一发出，比如数据安全治理、管理各种子篇、技术各种子篇等等，敬请期待。

Check：

用以对Do的成果的复核检测，提出问题和需求，由Act层跟进解决。

总结

数据安全是企业安全中与业务贴合最近的一项工作，好的落地势必会带来对业务的影响，所以搞定管理层是关键性因素，给数据安全工作戴上数据治理的帽子，

安全牵头，拉上所有数据相关方共同执行和承担责任，这样会大大增加工作开展的效率和有效性。

除此之外，数据安全的工作繁多，数据安全从业者需要为众多事情结合公司业务排好优先级，风险最大的不一定先做，优先做公司业务当前状态最需要的刚需，制定好工作计划，摸清家底，工作有序开展。[来源：FreeBuf]

TAG：

上一篇 : 科技独角兽 Dave 被爆数据安全漏洞,750 万用户遭数据泄露

下一篇 : 邮件服务器安全性：潜在漏洞和保护方法

文章标签

文档加密软件

文档信息安全管理软件

上网行为管理软件

应用程序管控软件

敏感文件管理软件

U盘设备管控软件

文件分发软件

IT资产管理软件

电脑操作记录软件

远程控制软件

聊天管控软件

敏感信息报警

屏幕管控

内网管理

深度行为分析

电脑屏幕录像

实时管控

补丁管理

网络准入控制管理系统

文档加密软件

文档信息安全管理软件

上网行为管理软件

应用程序管控软件

敏感文件管理软件

U盘设备管控软件

文件分发软件

IT资产管理软件

电脑操作记录软件

远程控制软件

聊天管控软件

敏感信息报警

屏幕管控

内网管理

深度行为分析

电脑屏幕录像

实时管控

补丁管理

网络准入控制管理系统

企业数据安全怎么做 | 架构篇

前言

数据安全形势

数据安全标准

数据安全相关定义

数据的定义：

理解数据的类型：

数据活动的定义：

数据安全的定义：

数据安全的挑战

1、业务系统的灵活多变、需求复杂

2、新技术新挑战

3、数据量大

4、安全威胁增多

数据安全的目标

数据安全模型框架

数据安全建设框架

框架说明

数据安全实施框架

框架说明

总结

相关文章

最新文章

热门文章

文章标签