DAMA数据管理 第7章（数据安全）

DAMA数据管理 第7章（数据安全），包含识别数据安全需求、制定数据安全制度、定义数据安全细则、平局当前安全风险。

Dama数据管理体系

• 第7章 数据安全
  • 7.1引言
    • 7.1.1业务驱动因素
      • 1.降低风险
        • 安全部门不仅负责管理IT合规性要求，还负责管理整个组织的策略、实践、数据分类分级和访问授权规则。
        • 数据安全最好在企业级层面开展。
        • 信息安全管理实施步骤
          • 1）识别敏感数据资产并分类分级。
          • 2）在企业中查找敏感数据。
          • 3）确定保护每项资产的方法。
          • 4）识别信息与业务流程如何交互。
          • 5）还需对外部威胁（如来自黑客和犯罪分子的威胁）和内部威胁（由员工和流程产生）进行评估。
      • 2.促进业务增长
        • 强大的信息安全能够推动交易进行并建立客户的信心。
      • 3.安全性作为资产
        • 元数据是管理敏感数据的方法之一。
    • 7.1.2目标和原则
      • 目标
        • 1）支持适当访问并防止对企业数据资产的不当访问
        • 2）支持对隐私、保护和保密制度、法规的遵从。
        • 3）确保满足利益者相关方对隐私和保密的要求。
      • 原则
        • 1）协同合作
        • 2）企业统筹
        • 3）主动管理
        • 4）明确责任
        • 5）元数据驱动
        • 6）减少接触以降低风险
    • 7.1.3基本概念
      • 1.脆弱性
        • 脆弱性是系统中容易遭受攻击的弱点或缺陷，本质上是组织防御中的漏洞。
      • 2.威胁
        • 威胁是一种可能对组织采取的潜在进攻行动。
        • 威胁包括发送到组织感染病毒的电子邮件附件、使网络服务器不堪重负以致无法执行业务的进程，以及对已知漏洞的利用等。
      • 3.风险
        • 风险既指损失的可能性，也指构成潜在损失的事物或条件。
        • 计算风险的几个方面
          • 1）威胁发生的概论及其可能的频率
          • 2）每次威胁事件可能造成的损害类型和规模，包括声誉损害。
          • 3）损害对收入或业务运营的影响
          • 4）发生损害后的修复成本
          • 5）预防威胁的成本，包括漏洞修复手段
          • 6）攻击者可能的目标或意图
      • 4.风险分类
        • 1）关键风险数据
        • 2）高风险数据
        • 3）中等风险数据
      • 5.数据安全组织
        • 大型企业通常设有向CIO或CEO报告的手席信息安全官CISO。
      • 6.安全过程
        • （1）4A
          • 1）访问ACCESS
            • 使具有授权的个人能够及时访问系统
          • 2）审计Audit
            • 审查安全操作和用户活动，以确保符合法规和遵守公司制度和标准
          • 3）验证Authentication
            • 验证用户的访问权限
          • 4）授权Authorization
            • 授权个人访问与其角色相适应的特定数据视图的权限。
          • 5）权限Entitlement
            • 权限是由单个访问授权决策向用户公开的所有数据元素的总和。
        • （2）监控
          • 系统应包括检测意外事件的监视控制。包含机密信息（如工资或财务数据）的系统通常实施主动、实时的监控。
      • 7.数据完整性
        • 数据完整性是一个整体状态要求，以免于遭受不当增/删改所造成的影响。
      • 8.加密
        • （1）哈希
          • 哈希将任意长度数据转换为固定长度数据表示。
          • 通常用于对传送完整性或身份的验证。
          • 常见的哈希算法有MD5和SHA
        • （2）对称加密
          • 对称加密使用一个密钥来解密数据。发送方和接收方都必须具有读取原始数据的密钥。
          • 可以逐个字符加密数据，也可对数据块加密。
        • （3）非对称加密
          • 发送方和接收方使用不同的密钥。
      • 9.混淆或脱敏
        • 混淆处理指变得模糊或不明确，脱敏指删除、打乱或以其他方式更改数据的外观等。
        • 数据脱敏
          • 静态脱敏
            • 不落地脱敏
              • 不会留下中间文件或带有未脱敏数据的数据库，不落地脱敏方式非常安全。
            • 落地脱敏
              • 从数据源中读取未脱敏数据，进行脱敏操作后直接覆盖原始数据。
          • 动态脱敏
            • 在不更改基础数据的情况下，在最终用户或系统中改变数据的外观。
          • 脱敏方法
            • 1）替换
            • 2）混排
            • 3）时空变异
            • 4）数值变异
            • 5）取消或删除
            • 6）随机选择
            • 7）加密技术
            • 8）表达式脱敏
            • 9）键值脱敏
      • 10.网络安全术语
        • （1）后门：指计算机系统或应用程序的忽略隐藏入口。如软件系统默认密码保持不变，黑客早晚会发现它的存在。
        • （2）机器人或僵尸：指已被恶意黑客使用特洛伊木马、病毒、网络钓鱼或下载受感染文件接管的工作站。
        • （3）Cookie：网站在计算机硬盘上安放的小型数据文件，用于识别老用户并分析其偏好。
        • （4）防火墙：过滤网络流量的软件或硬件，用户保护单个计算机或整个网络免受未经授权的访问和攻击。
        • （5）周界：指组织环境与外部系统之间的边界。
        • （6）DMZ：非军事区的简称，指组织边缘或外围区域。
        • （7）超级用户账户
        • （8）键盘记录器：一种攻击软件，对键盘上键入的所有击键进行记录，然后发送到互联网上的其他地方。
        • （9）渗透测试：来自组织本身或从外部安全公司聘任的“白帽”黑客试图从外部侵入系统，正如恶意黑客一样，试图识别系统漏洞。
        • （10）虚拟专用网络VPN：允许用户和内部网络之间通信，通过使用多重身份验证元素连接到组织环境外围的防火墙。
      • 11.数据安全类型
        • （1）设施安全
          • 设施安全是抵御恶意行为人员的第一道防线。
        • （2）设备安全
          • 设备安全的标准包括
            • 1）使用移动设备连接的访问策略
            • 2）在便携设备上存储数据
            • 3）符合记录管理策略的设备数据擦除和处置
            • 4）反恶意软件和加密软件安装
            • 5）安全漏洞的意识
        • （3）凭据安全
          • 1）身份管理系统
          • 2）电子邮件系统的用户ID标准
          • 3）密码标准
          • 4）多因素识别
        • （4）电子通信安全
          • 不安全的通信方式可被外部读取或拦截。
      • 12.数据安全制约因素
        • 1）保密等级
          • 保密等级取决于谁需要知道某些类型的信息。
        • 2）监管要求
          • 保密要求源自于内部，监管要求则由外部定义。
        • 机密数据
          • 1）对普通受众公开
          • 2）仅内部使用
          • 3）机密
          • 4）受限机密
          • 5）绝密
        • 法规系列举例
          • 个人身份信息
          • 财务敏感数据
          • 医疗敏感数据/个人健康信息
          • 教育记录
        • 行业法规或基于合同的法规
          • 支付卡行业数据安全标准
          • 竞争优势或商业秘密
          • 合同限制
      • 13.系统安全风险
        • （1）滥用特权
        • （2）滥用合法特权
        • （3）未经授权的特权升级
        • （4）服务账户或共享账户滥用
        • （5）平台入侵攻击
        • （6）注入漏洞
        • （7）默认密码
        • （8）备份数据滥用
      • 14.黑客行为/黑客
        • 黑客是在复杂的计算机系统中发现未知操作和路径的人。黑客有好有坏。
      • 15.网络钓鱼/社工威胁
        • 网络钓鱼是指通过电话、即时信息或电子邮件诱使接受方在不知情的情况下提供有价值的信息或个人隐私。
        • 社工威胁通常涉及直接通信，旨在诱使有权访问受保护数据的人提供信息给拟用于犯罪或恶意目的的人。
      • 16.恶意软件
        • 广告软件
        • 间谍软件
        • 特洛伊木马
        • 病毒
        • 计算机蠕虫
        • 恶意软件的来源
          • 即时消息
          • 社交网
          • 垃圾邮件
  • 7.2活动
    • 7.2.1识别数据安全需求
      • 1.业务需求
        • 组织的业务需求、使命、战略和规模以及所属行业，决定了所需数据安全的严格程度。
      • 2.监管要求
        • 建立一份完整的清单，包含所有相关数据法规以及受每项法规影响的数据主题域，为法规遵从而制定的相关安全策略和控制措施之间建立链接关系。
    • 7.2.2制定数据安全制度
      • 企业安全制度
      • IT安全制度
      • 数据安全制度
    • 7.2.3定义数据安全细则
      • 1.定义数据保密等级
        • 保密等级分类是重要的元数据特征，用于指导用户如何获得访问权限。
      • 2.定义数据监管类别
        • 安全分级和监管分类的一项原则是大多数信息可以聚合，从而使其具有更高或更低的敏感性。
      • 3.定义安全角色
        • 角色分配矩阵
        • 角色分配层次结构
    • 7.2.4评估当前安全风险
      • 1）存储或传送的数据敏感性
      • 2）保护数据的要求
      • 3）现有的安全保护措施
    • 7.2.5实施控制和规程
      • 1）用户如何获取和终止对系统和应用程序的访问权限
      • 2）如何为用户分配角色并从角色中去除
      • 3）如何监控权限级别
      • 4）如何处理和监控访问变更请求
      • 5）如何根据机密性和适用法规对数据进行分类
      • 6）检测到数据泄露后如何处理
  • 7.3工具
    • 7.3.1杀毒软件/安全软件
      • 杀毒软件可保护计算机免受网上病毒的侵扰，要定期更新安全软件。
    • 7.3.2HTTPS
      • 以https://开头的网站表示配备了加密的安全层。
    • 7.3.3身份管理技术
      • 存储分配的凭据，并根据请求与系统共享。
    • 7.3.4入侵侦测和入侵防御软件
      • 入侵检测IDS最好与入侵防御系统连接，IPS系统可对已知攻击和不合逻辑的用户命令自动响应。
    • 7.3.5防火墙
      • 安全且复杂的防火墙应部署在企业网关上，它具有允许高速数据传送的同时还能够执行详细的数据报分析的能力。
    • 7.3.6元数据跟踪
      • 跟踪元数据的工具有助于组织对敏感数据的移动进行跟踪。
    • 7.3.7数据脱敏/加密
      • 进行脱敏或加密的工具对于限制敏感数据的移动很有用。
  • 7.4方法
    • 7.4.1应用CRUD矩阵
      • 创建和使用数据-流程矩阵和数据-角色关系（CRUD-创建、读取、更新、删除）矩阵有助于映射数据访问需求，并指导数据安全角色组、参数和权限的定义。
    • 7.4.2即时安全补丁部署
    • 7.4.3元数据中的数据安全属性
      • 元数据存储库对于确保企业数据模型在跨业务流程使用中的完整性和一致性至关重要。
    • 7.4.4项目需求中的安全要求
      • 对每个涉及数据的项目都必须解决系统和数据安全问题，在分析阶段详细确定数据和应用程序安全要求。
    • 7.4.5加密数据的高效搜索
      • 搜索加密数据需要解密数据，减少解密数据量的方法之一是采用相同的加密方法来加密搜索条件，然后用密文区查找匹配项。
    • 7.4.6文件清理
      • 文件清理是在文件共享之前从中清理元数据（如历史变更记录跟踪）的过程。
  • 7.5实施指南
    • 7.5.1就绪评估/风险评估
      • 组织可通过以下方式提高合规性
        • 1）培训
        • 2）制度的一致性
        • 3）衡量安全性的收益
        • 4）为供应商设置安全要求
        • 5）增强紧迫感
        • 6）持续沟通
    • 7.5.2组织与文化变革
      • 组织需要制定数据相关制度，使其能够实现业务目标，同时保护受监管和敏感信息不被滥用或未经授权的披露。
    • 7.5.3用户数据授权的可见性
      • 必须在系统实施期间审查每个用户的数据授权，以确定是否包含任何受控信息。
    • 7.5.4外包世界中的数据安全
      • 1）服务水平协议SLA
      • 2）外包合同中的有限责任条款
      • 3）合同中的审计权条款
      • 4）明确界定违反合同义务的后果
      • 5）来自服务提供商的定期数据安全报告
      • 6）对供应商系统活动进行独立监控
      • 7）定期且彻底的数据安全审核
      • 8）与服务提供商的持续沟通
      • 9）如果供应商位于另一国家/地区并发生争议时，应了解合同法中的法律差异。
    • 7.5.5云环境中的数据安全
      • 数据安全制度需要考虑跨不同服务模型的数据分布。
  • 7.6数据安全治理
    • 7.6.1数据安全和企业架构
      • 数据安全架构是企业架构的一部分。
      • 数据安全架构涉及
        • 1）用于管理数据安全的工具
        • 2）数据加密标准和机制
        • 3）外部供应商和承包商的数据访问指南
        • 4）通过互联网的数据传送协议
        • 5）文档要求
        • 6）远程访问标准
        • 7）安全漏洞事件报告规程
    • 7.6.2度量指标
      • 1.安全实施指标
        • 1）安装了最新安全补丁程序的企业计算机百分比
        • 2）安装并运行最新反恶意软件的计算机百分比
        • 3）成功通过背景调查的新员工百分比
      • 2.安全意识指标
        • 1）风险评估结果
        • 2）风险事件和配置文件
        • 3）正式的反馈调查和访谈
        • 4）事故复盘、经验教训和受访者访谈
        • 5）补丁有效性审计
      • 3.数据保护指标
        • 1）特定数据类型和信息系统的关键性排名
        • 2）与数据丢失、危害或损坏相关的事故、黑客攻击、盗窃或灾难的年损失预期
        • 3）特定数据丢失的风险与某些类别的受监管信息以及补救优先级排序相关。
        • 4）数据与特定业务流程的风险映射。
      • 4.安全事件指标
        • 1）检测到并组织了入侵尝试数量
        • 2）通过防止入侵节省的安全成本投资回报
      • 5.机密数据扩散