浅谈-数据安全

1、数据安全背景     

       Facebook近期遭遇的数据泄露导致多达8700 万Facebook 用户的信息数据已泄露，这让所有用户包括政府感觉到不安。每个月全球使用Facebook人数超过20 亿，每天使用Facebook 人数达到14 亿，Facebook 有着难以置信的影响力，而现在Facebook 平台出现了信任危机。在这个互联网高速发展的列车上，信息数据作为车票理应受到安全的保护，稍有不慎就会对个人信息造成无法想象的损失。Facebook事件对数据安全拉起了全方位的警钟，这一系列的事件也导致美国国会议员正呼吁更广泛的隐私监管，这也将把谷歌等科技公司包括在内。

2、数据安全

      国际标准化组织（ISO）对计算机系统安全的定义是：为数据处理系统建立和采用的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄露。

       数据安全包括了数据的物理安全和逻辑安全。 
      1） 数据的物理安全是数据安全的一个重要环节，其含义是指用于存储和保存数据的机器、磁盘等设备物理上的安全。比如人为的错误和不可抗拒的灾难，需要数据储存备份、容灾等手段的保护。 
      2） 数据的逻辑安全包括文档保护和数据删除安全两个方面。比如防止病毒的破坏、黑客入侵等，需要系统的安全维护。

     数据安全有对立的两方面的含义：

      1）是数据本身的安全。  

     主要是指采用现代密码算法对数据进行主动保护，如数据保密、数据完整性、双向强身份认证等；

      2）是数据防护的安全。

     主要是采用现代信息存储手段对数据进行主动防护，如通过磁盘阵列、数据备份、异地容灾等手段保证数据的安全，数据安全是一种主动的包含措施，数据本身的安全必须基于可靠的加密算法与安全体系，主要是有对称算法与公开密钥密码体系两种。

3、数据安全基本特性

机密性（Confidentiality）

保密性（secrecy），又称机密性，是指个人或团体的信息不为其他不应获得者获得。在电脑中，许多软件包括邮件软件、网络浏览器等，都有保密性相关的设定，用以维护用户资讯的保密性，另外间谍档案或黑客有可能会造成保密性的问题。

完整性（Integrity）

数据完整性是信息安全的三个基本要点之一，指在传输、存储信息或数据的过程中，确保信息或数据不被未授权的篡改或在篡改后能够被迅速发现。在信息安全领域使用过程中，常常和保密性边界混淆。以普通RSA对数值信息加密为例，黑客或恶意用户在没有获得密钥破解密文的情况下，可以通过对密文进行线性运算，相应改变数值信息的值。例如交易金额为X元，通过对密文乘2，可以使交易金额成为2X。也称为可延展性（malleably）。为解决以上问题，通常使用数字签名或散列函数对密文进行保护。数据安全VLAN一例

可用性（Availability）

数据可用性是一种以使用者为中心的设计概念，易用性设计的重点在于让产品的设计能够符合使用者的习惯与需求。以互联网网站的设计为例，希望让使用者在浏览的过程中不会产生压力或感到挫折，并能让使用者在使用网站功能时，能用最少的努力发挥最大的效能。

基于这个原因，任何有违信息的“可用性”都算是违反信息安全的规定。因此，世上不少国家，不论是美国还是中国都有要求保持信息可以不受规限地流通的运动举行。对信息安全的认识经历了的数据安全阶段（强调保密通信）、网络信息安全时代（强调网络环境）和信息保障时代（强调不能被动地保护，需要有保护——检测——反应——恢复四个环节。

4、影响数据安全的因素

      盘驱动器毁坏：由于一个系统或电器的物理损坏使你的文件丢失；   

      人为错误：偶然地删除一个文件或重新格式化一个磁盘；  

      黑客：有人在你的计算机上远程侵入并损害信息； 

      病毒：你的硬盘驱动器或磁盘被感染。  

      盗窃：有人从你的计算机上复制或删除信息或侵占整个单元系统。 

      自然灾害：火灾或洪水破坏你的计算机和硬盘驱动器。   

      磁干扰抹除：你的软盘接触到有磁性的物质，比如有人用曲别针盒，使文件被清除。  

      目前影响数据安全最主要的三种因素：黑客、病毒、盗窃。对于其他的因素，大小可以通过备份等其他方法使得数据保存下来并防止泄露。

5、如何保证数据安全

      相对于计算机内部，为了保证数据的安全，我们可以从三个层面入手：操作系统；应用系统；数据库；比较常用的是：应用系统和数据库层面的安全保障措施。

1）操作系统层面：根据防火墙的强中弱进行防火墙的设置。

2）应用系统层面：  如：登陆拦截；拦截访问请求；cookies定时删除。

      一般金融项目会对敏感数据信息（如：身份证号，照片）进行加密。
      三监会（保监会，银监会，证监会）、银行等特殊机构，有的必须插入专用的U盾才能输入密码登录。

3）数据库层面：如Oracle、Microsoft SQL Server、Microsoft Access

     另一方面，对于人员来讲制度安全指计算机拥有单位，为了保证其计算机以及计算机内存储的数据安全而制定的一套约束各工作人员和非工作的规章制度。参考计算机制度安全条例示例。

一、认真贯彻执行<中华人民共和国保守国家秘密法>和<中华人民共和国保守国家秘密法实施办法>。

二、工作人员要熟悉国家相关部门规定的计算机安全保密制度并认真贯彻实施。

三、不得随意复制保密数据和扩大涉密范围，如有确需复制的数据、文件、材料，应征得部门领导同意后方可复制。

四、不准在私人交往和通讯中泄露本单位秘密，不准在公共场所谈论本单位秘密，不准通过其他方式传递本单位秘密。

五、坚持涉密计算机及系统不得入网，和外网进行物理隔断。不得插用非本办公室的u盘、移动硬盘、光盘、软盘。

六、凡入网的计算机不得涉密，即不得存储、处理、传递国家机密和工作机密。

七、笔记本电脑因工作原因经常带出，不得存储保密数据及信息。如确需存储保密信息，需经部门领导同意并记录。

八、涉密机器要配备必要的保密措施，尽量采用成熟的、经有关部门认可的综合技术防范手段。

九、在国际互联网上发布信息需经领导同意并记录。

十、树立保密意识，定期检查各项安全保密措施，发现隐患及时报告、及时采取措施。

 

在这个互联网巨变的时代了，为了保护我们的个人信息，为了保护我们工作的保密性，加强数据安全意识是必不可少的！

 

  参考文献：https://blog.csdn.net/fk_d_st/article/details/78283165

转载于:https://www.cnblogs.com/Wang-6080/p/8874834.html