【安全每日一讲】加强数据安全保护 共享数字化时代便利

• 前言

数据安全是数据治理的核心内容之一，随着数据治理的深入，我不断的碰到数据安全中的金发姑娘问题（指安全和效率的平衡）。

DAMA说，降低风险和促进业务增长是数据安全活动的主要驱动因素，数据安全是一种资产，这是很好的观点。

所以小德决定系统化的去学习一下数据安全知识，因此重新研读了DAMA、DCMM、相关书籍的数据安全内容，在此基础上，尝试用更系统化、通俗化、案例化的方式讲清楚数据安全到底是什么，希望带给大家新的理解。

• 数据安全是什么
  • 数据安全的定义

数据安全是指保护数字数据免受未授权访问、泄露、破坏或丢失的过程和技术。这包括一系列的措施、策略和程序，旨在保护数据的保密性、完整性和可用性。

如果数据是家中的珍贵物品，数据安全就像是锁门、安装报警系统和保险，确保宝贵的东西不被偷走或损坏，同时确保你在需要时能够使用它们。

• • 数据安全的原则

DAMA给出了数据安全的原则，共包括6个方面：

1. 协同合作。数据安全是一项需要协同的工作，涉及IT安全管理员、数据管理专员/数据治理、内部和外部审计团队以及法律部门。
2. 企业统筹。运用数据安全标准和策略时，必须保证组织的一致性。
3. 主动管理。数据安全管理的成功取决于主动性和动态性、所有利益相关方的关注、管理变更以及克服组织或文化瓶颈，如信息安全、信息技术、数据管理以及业务利益相关方之间的传统职责分离。
4. 明确责任。必须明确界定角色和职责，包括跨组织和角色的数据“监管链”。
5. 元数据驱动。数据安全分类分级是数据定义的重要组成部分。
6. 减少接触以降低风险。最大限度地减少敏感/机密数据的扩散，尤其是在非生产环境中。

如果侧重于数据本身的安全属性，数据安全的原则应包括保密性、完整性和可用性，统称为CIA三元组。

1. 保密性：确保数据只对授权用户可见和可访问。
2. 完整性：保护数据免受未授权的修改，确保数据的准确性和可靠性。
3. 可用性：确保在需要时，授权用户能够访问和使用数据。

想象一个团队运动，比如足球，每个球员（数据用户）需要知道如何保护球（数据）不被对手（威胁）夺走，传球（处理数据）要精确，而且整个队伍（组织）需要一起努力保持球的控制（数据安全）。

• • 数据安全活动的目标

根据DAMA定义，数据安全活动目标，主要包括以下三个方面:

1. 支持适当访问并防止对企业数据资产的不当访问。 
2. 支持对隐私、保护和保密制度、法规的遵从。 
3. 确保满足利益相关方对隐私和保密的要求。 

• 数据安全的主要风险

• • 是数据资产梳理不清和分级分类不准带来的安全死角问题

参与流通的数据形态日益丰富，数据资产梳理和分类分级难度加大，极易产生安全死角。传统的数据分析方法和工具难以从非结构化数据中识别信息内容和重要程度，在规则制定方面，各地区各部门对数据分类分级制度的定位和规则存在差异，同时，数据的类别级别需要结合业务场景进行动态调整，在不同场景下的等级认定以及相应的管控或处理技术可能不同，数据分类分级的持续性难以保持。

• • 是数据泄露风险是当今突出的数据安全问题

在数据使用过程中，数据泄露风险是目前重要的数据安全问题。在数据大量流动和使用的过程中，可能会因为网络安全漏洞或人为失误而导致数据泄露。例如，黑客或不法分子可能会通过攻击系统窃取业务数据和用户数据，并用于恶意目的。

• • 是数据滥用风险是急需治理的数据安全问题

数据滥用风险也是当前数字经济发展急需治理的数据安全问题之一。数据滥用风险是数据收集者不当使用所收集的数据的风险。伴随着数字经济逐步渗透至各种生活场景，用户信息被大量收集。

• • 是场景化应用的数据安全风险

场景化业务应用”作为推进数字化变革的重要应用载体，在“场景化”开发过程中常会碰到因为安全因素考虑不够周全或者缺失或者存在业务逻辑缺陷等导致的自身安全风险，同时也会带来诸如恶意破解、核心代码被窃取、恶意代码注入、数据泄露、内容篡改、互动关联、认证风险等一些列安全问题。

• • 是数据共享交换的数据安全风险

数据要素市场建设加速推动了数据共享、交易和使用，尤其在数字政府建设过程中，数据来源多样、权属不同，且为了实现“让数据多跑腿、百姓少跑路”的目标，对数据共享的需求十分强烈。这导致在数据采集、共享、传输、应用过程中涉及非常多的主体，容易导致数据安全管理责任不清晰。而且由于各个政府部门，特别是基层单位的防护能力参差不齐，在共享过程中一旦薄弱部位被利用，就可能引发全局渗透风险。同时，由于数据流转链路增长，也进一步加大了数据流向和使用追踪难度。

• • 是数据API化的数据安全风险

在共同建设信息基础设施、融合基础设施及创新基础设施的背景下，需要连通不同类型的设施和应用，使得各类数据、算力和功能够在不同的区间内，形成高效共享，API作为能够支撑线上应用连接和数据传输重任的一种轻量化技术，其应用越来越普遍。由API传输的核心业务数据、个人身份信息等数据的流动性，大大增强，因此这些数据面临着较大的泄漏和滥用风险，成为数据保护的薄弱一环，外部恶意攻击者会利用API接口批量获取敏感数据。从“数字生态”角度看，目前数据的交互、传输、共享等往往有多方参与，涉及到用户、应用方、关联方等多个主体，由此使得数据泄露风险点激增，风险环境愈发复杂。

• • 是新技术应用的数据安全风险

由于AI技术的普及、算法的滥用和深度伪造等新技术带来的大量真假难辨的新闻事件，增加了辨别网络舆情真伪的困难度，增加了侵权案件、隐私泄露事件的发生，降低了恶意攻击成本、增加了隐蔽性，同时，增加了政府管理难度、危害国家社会民众利益。

• 如何加强数据安全保护

1. 强化数据加密是保护网络安全数据的关键措施。通过采用先进的加密技术，对敏感数据进行加密处理，使得即使数据被窃取，攻击者也无法解密和获取有价值的信息。此外，定期更新加密密钥，加强加密算法的安全性，能有效提高数据的保密性。

1. 网络安全数据还可以帮助我们评估网络的安全性。通过对历史安全数据的分析，我们可以了解网络中存在的安全隐患和潜在的风险，从而有针对性地进行安全加固和优化。此外，安全数据还可以为安全审计和合规性检查提供支持，确保企业的网络符合相关的法律法规和行业标准。

1. 定期进行数据备份和恢复演练也是保护网络安全数据的重要手段。及时将重要数据进行备份，并存储在安全的地方，以便在遭受灾害或系统故障时能够快速恢复数据，减少数据损失的风险。

提示建议：企业方面适配裸金属服务器，提供快照服务，支持秒级创建/回滚的极速快照，无人值守的自动化数据备份

1. 定期进行安全审计和风险评估也是保护网络安全数据的重要环节。通过安全审计，及时发现系统中的安全漏洞和潜在风险，并采取相应的措施进行修复和改进。同时，要根据评估结果制定合理的安全策略和应急预案，以应对可能发生的安全事件。

提示建议：德迅云安全风险评估：帮助企业系统分析资产所面临的威胁，及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度。并提出有针对性的抵御威胁的防护对策、整改措施。为防范和化解风险提供科学依据。

德迅云安全-领先云安全服务与解决方案提供商  

以及提供多种审计代码审计（https://www.dexunyun.com/codesj）、日记审计（https://www.dexunyun.com/journal）、数据库审计

（https://www.dexunyun.com/database）

• 综上所述

除了技术措施外，合适的管理和组织措施也是数据安全的关键。敏感数据应分类，并根据敏感程度分配适当的访问权限。只有授权人员才能访问和处理敏感数据。此外，员工教育和培训也是重要的环节。定期进行员工教育和培训，加强他们对数据安全的意识和知识，可以减少人为失误和社会工程攻击的风险。

最后，数据安全需要持续的关注和改进。定期进行安全评估可以帮助发现和修复潜在的安全漏洞。同时，定期进行安全演练可以提高应对安全事件的能力和反应速度。个人和机构应确保遵守适用的数据隐私和保护法规，并采取相应的措施来保护用户的数据隐私。

总之，数据安全是当今数字化时代面临的重要挑战。个人和机构需要采取综合的技术和管理措施来保护数据的完整性、机密性和可用性。通过意识到数据安全的重要性，并采取适当的措施，个人和机构可以有效地保护自己的数据免受潜在的威胁。只有确保数据安全，我们才能更好地利用和共享数字化时代带来的便利和机遇。