数据安全要点完整指南

什么是数据安全？

数据安全是保护企业和客户数据免受未经授权的使用和泄露的措施。它涵盖从发现公司拥有的数据到实施旨在限制访问和保护这些数据的安全控制措施的所有内容。

数据安全是许多企业面临的最大网络安全挑战之一。根据 Statista 的数据，2022 年第三季度，全球约有 1500 万条数据记录因数据泄露而被曝光。与上一季度相比，这一数字增加了 37%。最近的数据泄露事件范围从大多数人从未听说过的小事件到像Equifax数据泄露那样的大规模事件，该事件暴露了 1.47 亿人的财务数据。

为什么数据安全是必要的？

投资于数据安全的最大驱动力之一是最大限度地降低数据泄露可能造成的潜在成本和损害。

根据 IBM 和波耐蒙研究所的数据，数据泄露的平均成本为 360 万美元，包括以下几类费用：

1. 检测和升级（28.8%）

2. 修复（6.2%）

3. 事后响应（25.4%）

4. 业务损失成本（39.4%）

在这四类中，数据安全性差给业务带来的最大成本是事件发生后不清理。虽然难以衡量，但失去客户信任和未来业务的损失对公司来说是更大的费用。

数据安全性差的组织也可能面临监管处罚。随着《通用数据保护条例》（GDPR）和《健康保险可携性和责任法案》（HIPAA）等数据保护法规变得更加严格，即使不遵守规定并未导致数据泄露，监管机构也可以对不遵守要求的行为征收巨额罚款。

不遵守其他法规，如《支付卡行业数据安全标准》（PCI-DSS），可能导致失去处理信用卡和借记卡的权利，这极大地影响了组织开展业务的能力。

数据安全的类型

数据安全的目标是通过最大限度地降低敏感数据被泄露或暴露给未经授权用户的可能性来保护敏感数据。

有许多不同的工具可用于实现这一目标，包括：

1. 加密

加密算法使得在没有访问正确解密密钥的情况下无法读取数据。在许多数据保护法律下，如果加密数据被泄露，但攻击者无法访问解密密钥，那么该泄露事件无需报告。

2. 数据擦除

这是从硬盘、U 盘和移动设备等存储设备中安全删除敏感数据的过程。然而，当数据被擦除时，它通常不会完全从设备中被清除，有时可以使用特殊软件进行恢复。数据擦除涉及用随机字符或零覆盖现有数据，使其无法恢复，防止未经授权的各方访问敏感数据，并有助于防范数据安全威胁。数据擦除政策和流程主要应由处理敏感数据的组织实施，以防止数据泄露。

3. 身份访问管理（IAM）

访问控制系统使组织能够将用户对其工作角色所需的访问权限和许可限制在最低限度（最小权限原则）。实施 IAM 可降低数据泄露的可能性和影响，并且是遵守某些数据保护法规（如 PCI-DSS）的要求。

4. 数据丢失防护（DLP）

DLP 解决方案旨在识别、发出警报或阻止从组织网络中尝试的数据外泄。这些系统可以作为防范数据泄露的最后一道防线，但与其他解决方案结合使用时最为有效。

5. 治理、风险和合规

政策和风险评估程序对于强大的数据安全策略至关重要。通过定义关于不同数据的数据分类、访问和保护的政策，组织可以降低数据泄露的风险。

6. 反恶意软件、防病毒和端点保护

许多数据泄露是由恶意软件促成的，包括窃取数据以迫使受害者支付赎金的勒索软件或窃取用户凭证和数据的信息窃取恶意软件。在设备上安装反恶意软件、防病毒和端点保护解决方案可以帮助检测和阻止恶意软件尝试的数据窃取。

虽然存在各种实现数据安全的解决方案，但不同的方法在管理不同风险方面效果更好。例如，丢失或被盗的设备是众多数据泄露的源头。虽然 IAM 和 DLP 解决方案在防止这些类型的事件方面影响很小，但它们可以在携带敏感公司或客户数据的设备上部署全盘加密、设备锁定或远程擦除，以提醒 IT 员工任何未经授权的行为并防止任何数据泄露，这有助于减轻这些威胁。

数据安全威胁

数据在组织网络中无处不在，并且可能以多种不同方式面临风险。一些主要的数据安全威胁包括：

1. 云中的数据丢失：许多组织正在向云迁移，但云安全一直滞后。60% 的云存储包含未加密的数据，并且在过去两年中，93% 的云存储服务中的安全配置错误导致了 200 多次数据泄露。由于这些基于云的资源可直接从公共互联网访问，这使得它们所包含的数据面临风险。

2. 网络钓鱼和其他社会工程攻击：网络钓鱼和社会工程攻击是窃取敏感数据的常见方法。恶意电子邮件、短信、社交媒体消息或电话可能会试图直接窃取敏感信息或窃取用户凭证。然后，这些凭证可以访问包含敏感信息的在线账户，如基于云的电子邮件或数据存储。

3. 意外泄露：并非所有的数据泄露都是故意的。根据 IBM 和波耐蒙研究所的数据，48% 的数据泄露是由系统故障或人为错误引起的。这可以包括从电子邮件中的意外抄送，到错误配置云安全权限，再到将 U 盘或打印件遗留在地铁上的所有情况。

4. 内部威胁：人们普遍认为数据泄露主要是由外部攻击者实施的。然而，约 60% 至 75% 的数据泄露是由内部威胁造成的。这包括恶意内部人员和疏忽的员工，他们会导致意外的数据暴露。

5. 勒索软件：勒索软件以多种不同方式对组织的数据构成威胁。所有勒索软件变体都执行数据加密，这使得在不支付解密密钥的赎金的情况下无法访问数据。一些勒索软件团体在其恶意软件中添加了数据窃取器，在要求支付赎金时提供了额外的筹码。

6. 物理硬件受损：所有数据都存储在物理硬件上，而物理硬件可能成为攻击目标。通过供应链攻击插入的恶意硬件可能会损害敏感数据，或者攻击者可以在磁盘关闭时尝试直接从磁盘读取内存。

7. 被盗 / 丢失的设备：随处办公可能会导致网络安全风险，因为设备及其敏感数据可能会被盗或丢失。这些设备经常包含私人数据，如果落入坏人之手，未经授权的人可以访问这些数据，包括电子邮件、财务信息、个人文件以及对公司网络和数据库的访问凭证，这可能会导致严重的数据泄露。

如何提高工作场所的数据安全？

许多数据安全决策是由管理层做出的，例如公司政策以及为保护企业而部署的安全解决方案。然而，你可以采取一些简单的步骤来提高自己和企业的数据安全，包括：

1. 使用强大的访问控制：弱密码是对组织及其数据的最大网络安全威胁之一。对所有账户使用强而独特的密码，并在任何可用的地方启用多因素身份验证（MFA）。此外，身份访问管理（IAM）工具有助于确保只有授权用户可以访问特定资源。IAM 工具包括用户身份验证、授权和管理，使管理员能够管理访问、监控用户活动，并在必要时撤销访问权限。企业可以使用 IAM 工具来改进访问控制程序，降低数据泄露的风险，并防止未经授权访问敏感数据。

2. 全盘加密：全盘加密将数据以加密状态存储，没有正确的密码无法读取。随着使用移动设备工作变得越来越普遍，这种针对物理攻击的保护变得更加重要。

3. 安全共享数据：对基于云的文档和数据使用共享链接会使任何拥有该链接的人都可以访问，并且存在专门用于搜索这些链接的工具。发送个人邀请以访问资源，而不是开启链接共享。

4. 定期创建备份：勒索软件是一个严重的威胁，一旦攻击成功可能会导致重大的数据丢失。设置自动备份解决方案，将数据副本存储到只读存储中，以防范这些攻击。

5. 网络安全培训：用户意识对企业数据安全的成功至关重要。

6. 风险评估检查：这是一种主动识别和降低安全风险的方法，这些风险可能导致未经授权访问数据。它涉及审查企业现有的安全措施，寻找弱点，并确定安全漏洞的风险和潜在后果。这个过程有助于组织了解并确定安全措施需要改进的地方。

7. 创建并执行全面的数据安全计划：数据安全策略对于保护敏感信息并确保员工了解他们在安全中的角色至关重要。此策略应包括定期数据备份、加密机制、访问控制规则、事件响应流程以及员工关于安全最佳实践的培训。精心设计的数据安全计划可能有助于防止数据泄露并减少安全事件的影响。

数据安全法规

数据保护法规已经存在多年。然而，在过去几年中，监管环境迅速变得非常复杂。

一个组织必须遵守的确切数据隐私法律取决于其位置和行业。需要了解的一些主要数据安全法规包括：

1. 通用数据保护条例（GDPR）

GDPR 于 2016 年通过，并于 2018 年生效。它保护欧盟公民的个人数据，并适用于任何拥有欧盟客户的组织，无论其位置在哪里。GDPR 引发了最近数据隐私法律的激增，并激励了许多其他法规。

2. 健康保险可携性和责任法案（HIPAA）

HIPAA 是美国的一项法规，保护美国公民的个人健康数据。其数据安全要求适用于医疗保健提供者及其可能访问受法律保护数据的服务供应商。

3. 联邦信息安全管理法案（FISMA）

FISMA 是一项管理美国政府信息安全的法律。它编纂了联邦机构必须制定的网络安全和数据安全保护及政策。

4. 萨班斯 - 奥克斯利法案（SOX）

SOX 是一项旨在保护公司投资者免受欺诈的法律。数据安全是其中的一个重要组成部分，因为数据泄露可能会损害公司股票的价值。在 SolarWinds 被黑客攻击后，针对该公司提起了集体诉讼，声称其在 SOX 文件中关于网络安全的声明是不真实和具有误导性的。

数据安全与数据隐私

数据隐私和数据安全是保护敏感数据的关键组成部分，但它们处理的是不同的问题。

数据安全是保护信息免受未经授权的访问、窃取、破坏或篡改。为了防止不必要的访问并确保数据的保密性、完整性和可用性，需要诸如加密和监控等安全控制措施。

数据隐私是用来描述一个人控制其个人信息如何被收集、使用和共享的权利的术语。它包括防止未经授权的披露或滥用个人的个人信息。

总之，主要区别在于数据隐私侧重于保护个人拥有其个人信息的权利并保持其数据的机密性。相比之下，数据安全采取行动防止对上述数据的不必要访问，保护其免受恶意活动的影响。在处理敏感数据时，两者都是组织需要考虑的关键因素，因为未能做到这一点可能会对品牌产生负面的影响。

总结

数据安全是一个持续的过程，对于个人和组织保持其数据的完整性和保密性至关重要；掌握不断变化的威胁和漏洞需要持续的监控、升级和培训。因此，制定数据安全计划并保持其更新以确保其符合企业不断变化的需求和法律法规，从而防止数据泄露是至关重要的。

数据安全不是一种通用的解决方案。相反，它需要根据每个组织的独特需求、风险和挑战采取定制的方法。每个人都可以通过网络安全习惯为数据安全做出贡献，这包括使用强密码、避免使用公共 Wi-Fi 网络以及对网络钓鱼诈骗保持警惕。