数据空间
您当前的位置: 首页 /数据知识

数据治理:一文讲透数据安全

发布时间:[2024-01-08] 来源:网络 点击量:

数据安全是数据治理的核心内容之一,随着数据治理的深入,我们不断的碰到数据安全中的金发姑娘问题(指安全和效率的平衡)。

DAMA说,降低风险和促进业务增长是数据安全活动的主要驱动因素,数据安全是一种资产,这是很好的观点。

本文在DAMA、DCMM、相关书籍中的数据安全内容的基础上,尝试用更系统化、通俗化、案例化的方式讲清楚数据安全到底是什么,希望带给大家新的启示。

一、数据安全是什么

1、数据安全的定义

数据安全是指保护数字数据免受未授权访问、泄露、破坏或丢失的过程和技术。这包括一系列的措施、策略和程序,旨在保护数据的保密性、完整性和可用性。如果数据是家中的珍贵物品,数据安全就像是锁门、安装报警系统和保险,确保宝贵的东西不被偷走或损坏,同时确保你在需要时能够使用它们。

2、数据安全的原则DAMA给出了数据安全的原则,共包括6个方面:

协同合作。数据安全是一项需要协同的工作,涉及IT安全管理员、数据管理专员/数据治理、内部和外部审计团队以及法律部门。

企业统筹。运用数据安全标准和策略时,必须保证组织的一致性。

主动管理。数据安全管理的成功取决于主动性和动态性、所有利益相关方的关注、管理变更以及克服组织或文化瓶颈,如信息安全、 信息技术、数据管理以及业务利益相关方之间的传统职责分离。

明确责任。必须明确界定角色和职责,包括跨组织和角色的数据“监管链”。

元数据驱动。数据安全分类分级是数据定义的重要组成部分。

减少接触以降低风险。最大限度地减少敏感/机密数据的扩散, 尤其是在非生产环境中。

如果侧重于数据本身的安全属性,数据安全的原则应包括保密性完整性可用性,统称为CIA三元组。

保密性:确保数据只对授权用户可见和可访问。

完整性:保护数据免受未授权的修改,确保数据的准确性和可靠性。

可用:确保在需要时,授权用户能够访问和使用数据。

想象一个团队运动,比如足球,每个球员(数据用户)需要知道如何保护球(数据)不被对手(威胁)夺走,传球(处理数据)要精确,而且整个队伍(组织)需要一起努力保持球的控制(数据安全)。

3、数据安全活动的目标

根据DAMA定义,数据安全活动目标,主要包括以下三个方面:

支持适当访问并防止对企业数据资产的不当访问。

支持对隐私、保护和保密制度、法规的遵从。

确保满足利益相关方对隐私和保密的要求。

二、数据安全的主要活动

数据安全包括六个阶段的活动,涉及34项活动内容,如下图所示:

 

image1.jpg 

 

1、识别数据安全需求

降低风险和促进业务增长是数据安全活动的主要驱动因素。确保组织数据安全,可降低风险并增加竞争优势。安全本身就是宝贵的资产。数据安全需求的来源如下图所示:

 

image2.jpg 

来源于DAMA数据管理知识体系指南(第2版)

 

1)业务需求

在组织内实施数据安全的第一步是全面了解组织的业务需求。组织的业务需求、使命、战略和规模以及所属行业,决定了所需数据安全的严格程度。

比如一家在线零售商需要保护其客户的支付信息和个人资料,以支持其在线交易处理的业务目标,同时保护客户隐私。

通过分析业务规则和流程,确定安全接触点。业务工作流中的每个事件都可能有自己的安全需求。在进行这些需求与数据安全角色组、参数和权限定义之间的映射时,数据-流程矩阵数据-角色关系矩阵是非常有效的工具。

数据-流程矩阵示例:

假设一家在线零售商需要管理客户的支付信息和个人资料。下面是一个简化的数据-流程矩阵示例:

 

image3.jpg 

 

数据-角色关系矩阵示例:

继续以上的在线零售商例子,以下是一个简化的数据-角色关系矩阵示例:

 

image4.jpg 

 

2)监管要求

当今全球环境瞬息万变,组织需遵从的法律法规愈来愈多。信息时代的道德法律问题促使各国政府制定新的法律和标准,这些都对组织信息管理施加了严格的安全控制。创建一份完整的清单,其中包含所有相关数据法规以及受每项法规影响的数据主题域,在为法规遵从而制定的相关安全策略和实施的控制措施之间建立链接关系。法规、策略、所需行动和受影响的数据将随时间推移而变化,因此采用的清单格式应易于管理和维护。下面是一个清单列表的示意:

 

image5.jpg 

 

2、制定数据安全政策

数据安全政策是组织为保护其数据资产而制定的一系列正式文档。这些政策定义了组织如何管理、保护和处理数据,包括对员工的行为规范、技术控制措施、以及对违反政策行为的处理方式。数据安全政策的制定步骤和内容如下:

1)评估风险和需求:了解组织面临的具体安全威胁和业务需求,包括考虑法律、法规和合同义务。

2)确定目标和范围:明确政策的目标和适用范围,确保覆盖所有相关的数据和系统。

3)制定政策内容

数据分类和处理:定义不同类别的数据以及对应的处理和保护措施。

访问控制:规定如何管理对数据的访问,包括授权、身份验证和权限管理。

物理和技术安全:确定必要的物理和技术控制措施,如加密、防火墙和安全监控。

数据备份和恢复:指定数据备份和灾难恢复的策略和程序。

员工培训和意识提升:要求定期对员工进行数据安全培训和意识提升。

监控和审计:设定监控和审计的机制,以检测和记录安全事件。

应急响应:制定应对数据泄露或其他安全事件的响应计划。

政策审查和更新:规定定期审查和更新政策的流程,以应对变化的风险和技术。

4)审议和批准:政策草案应由相关的利益相关者审议,并由高级管理层批准。

5)宣传和培训:确保所有相关员工了解政策内容,并接受必要的培训。

6)实施和执行:将政策转化为具体的程序和控制措施,并确保得到有效执行。

7)监控和审计:定期监控政策的执行情况,并进行审计以评估其有效性。下面示例了一个数据安全政策的范例:

 

文档标题:公司数据安全政策

生效日期:2023年1月1日

发布单位:信息安全部门

1.引言

1.1 目的

本政策旨在明确公司对于数据安全的基本要求和措施,确保所有员工理解并遵守数据安全规定,以保护公司和客户的数据资产免受损失、泄露、破坏和滥用。

1.2 范围

本政策适用于公司全体员工、合同工、顾问、合作伙伴和任何直接或间接接触公司数据的个人。

2.数据安全原则

2.1 保密性

确保数据仅对授权用户开放,防止未授权访问。

2.2 完整性

确保数据的完整性和准确性,防止未经授权的修改。

2.3 可用性

确保授权用户可以及时、有效地访问数据。

3.数据分类

3.1 分类标准

根据数据的敏感性和重要性,将数据分为以下类别:

公开数据:可以公开访问的信息。

内部数据:仅供内部使用,泄露可能导致轻微的负面影响。

敏感数据:未经授权访问可能对公司造成中等损害。

机密数据:未经授权访问可能对公司造成严重损害。

3.2 分类责任

数据所有者负责对其负责的数据进行分类,并定期审查分类的准确性。

4.访问控制

4.1 授权访问

只有在获得适当授权并根据工作需要的情况下,员工才能访问特定的数据。

4.2 权限审查

定期审查用户访问权限,确保其符合当前的工作职责和数据分类。

5.数据加密

5.1 传输加密

所有敏感和机密数据的传输必须使用加密技术来保护。

5.2 存储加密

存储敏感和机密数据的所有介质必须加密。

6.数据备份与恢复

6.1 定期备份

定期备份所有关键数据,并在安全的位置存储备份。

6.2 恢复计划

制定并测试数据恢复计划,确保在数据丢失或损坏时能迅速恢复。

7.安全培训

7.1 培训要求

所有员工在入职时必须接受数据安全培训,并且每年至少接受一次安全意识更新培训。

8.违反政策的后果

违反本政策的员工可能面临纪律处分,严重者可能导致解雇。

9.政策审查和更新

本政策将每年至少审查一次,或在相关法律、法规或业务环境发生变化时审查。

批准:[高级管理人员签名]

日期:[批准日期]

 

3、定义数据安全标准

政策指导行为准则,但不可能覆盖所有特殊情况。因此,标准作为政策的补充,为如何达成政策旨趣提供了更具体的说明。比如,某一政策规定密码必须符合强密码指南,那么具体的强密码标准会在另外的文档中详细阐述,并通过技术手段确保只有符合这些强密码标准的密码才能被设定,以此来执行政策。下面示例了一个数据加密标准的范例:

 

标题:XX数据加密标准

版本:1.2

发布日期:2023年1月15日

制定部门:信息安全部门

1.目的和范围

1.1 目的

本标准旨在定义组织内所有敏感数据的加密要求,以保障数据在存储、传输和处理过程中的保密性和完整性。

1.2 范围

适用于组织内所有员工、合同工、以及第三方合作伙伴处理的所有电子形式的敏感数据。

2.加密标准

2.1 数据分类

高度敏感数据:包括财务信息、个人身份信息、客户数据等,必须使用强加密方法。

一般敏感数据:内部通信、员工数据等,应使用适当的加密方法。

2.2 存储加密

所有高度敏感数据存储在任何介质(硬盘、USB、云存储等)时必须加密。

推荐使用AES-256位或更高级别的加密算法。

2.3 传输加密

任何形式的高度敏感数据传输必须使用至少TLS 1.2或更高版本进行端到端加密。

邮件中包含敏感信息时,应使用PGP/GPG加密。

2.4 数据处理加密

在处理敏感数据时,必须确保数据在内存中也被加密。

使用环境应支持最新的加密库和安全补丁。

3.密钥管理

3.1 密钥生成

密钥必须使用强随机数生成器生成。

密钥长度必须符合加密算法推荐的最低标准。

3.2 密钥存储

密钥必须安全存储在密钥库中,如HSM(硬件安全模块)或密钥管理服务。

密钥不得明文存储或传输。

3.3 密钥访问

只有授权人员才能访问密钥库,并且访问必须进行审计。

所有使用密钥的操作都必须有日志记录。

4. 政策和法规遵从

本标准必须符合所有适用的法律法规要求,包括GDPR、HIPAA等。