预防企业数据丢失的6种最佳实践

最新推荐文章于 2024-11-03 09:30:00 发布

jinzhai

最新推荐文章于 2024-11-03 09:30:00 发布

阅读量800

点赞数

文章标签：数据库金融存储服务器防火墙产品

本文链接：https://blog.csdn.net/jinzhai/article/details/4262981

版权

根据“私有权清算中心”(一家非赢利性消费者信息和倡导组织)的统计，自2005年1月以来，有将近2200万条记录遭到破坏。

　　数据失窃和丢失案件数量惊人，这不仅是因为安全入侵事件正在以惊人的速度持续增长，数据丢失引发的财产损失事件也同样在飞速增加。根据美国政府的估计，所谓的“企业数据丢失”在去年使商业界损失了近1050亿美元。根据波尼蒙研究所(Ponemon Institute)的统计，仅仅内部人士导致的数据受损一项，每年给商业界造成的损失为平均每家公司3-4百万美元。产业分析公司Gartner集团估计，恢复数据的开销可以达到每条破坏记录150美元之高——这一数字还没有包括重拾客户信任和重建品牌价值、可能的罚款以及法律诉讼代理费的资金投入。

　　在企业数据丢失案件有增无减的同时，公司也正在不断搜集更多数据，以求优化商业流程，改善客户服务，以及提升与合作伙伴的关系。更多的数据转化为相关数据在整个企业中数量不断增多的信息系统之间更广泛的传播。其结果就是——随着公司内外越来越多的用户获得接入系统的权限，敏感数据遭到破坏的风险也在不断增大。

　　除了这一问题以外，传统的安全基础设施主要用于防范外部威胁。然而如今，安全所面临的较为突出的威胁来自于企业内部。身份信息失窃、欺诈以及其他金融非法获益所需的信息黑市正在不断成长壮大，对安全的关注视线已经转向了可以广泛接触到敏感数据的内部人士——他们知道系统所在的位置，彼此之间的交互方式，以及各个系统上存有哪些数据。

　　当前威胁与传统安全基础设施之间的不匹配导致了更多的数据受损，规范级别提升，操作开销增大。核心商业流程也相应地受到负面影响——这就是信息时代所带来的反作用。

　　那么，公司应该如何保护自己免受数据丢失之害呢?

　　本白皮书为公司列出了预防企业数据丢失的6条最佳操作方法，以保护收入，限制客户内耗，满足政府规范需求。

　　预防企业数据丢失的最佳操作方法

　　根据在安全产业领域超过25年的经验，RSA对于帮助企业预防数据丢失的最佳操作方法已经有了很深的理解。通过遵照这些最佳方法操作，公司不仅可以改善保护敏感客户数据的能力，还可以保护收入，确保客户的信任，建立品牌价值，满足政府规范。这些最佳操作方法包括：

　　·理解对客户商业组织最敏感的数据类型

　　·了解最敏感数据的所在位置

　　·理解商业组织所面对的风险的源头和本质

　　·根据政策、风险和敏感数据所在位置，选择适当的控制方案

　　·以集中化方式管理安全问题

　　·对安全进行审计以求不断改善

　　最佳操作方法1：理解对客户商业组织最敏感的数据类型

　　从安全的角度看，并非所有数据都是同等重要的。预防企业数据丢失的第一步就是确定哪些数据对您的商业组织而言是最敏感的——或者说风险最高的。然后，您需要为自己的工作分出优先级，确定采用适当的政策。但是，您如何判断哪些数据对您的商业组织而言是最敏感的呢?

　　为了回答这个问题，您需要理解自己商业组织的结构，仔细研究商业组织中的各个部门及其商业职能，为各个部门确定规范型和非规范型的安全驱动因素。例如，您的金融部门可能需要符合萨班斯-奥克斯利(Sarbanes-Oxley)和美国金融服务(格雷姆-里奇-比利雷，Gramm-Leach-Bliley)法案以及SAS 70，而您的零售职能集团则需要关注SB 1386和PCI。与此同时，您的国际职能部门必须符合欧盟数据保护指示以及一系列与各国相关的规范，比如日本隐私法案、加拿大的PIPEDA以及澳大利亚隐私法案，凡此种种，不一而足。

　　一旦理解了庞杂的规范和企业合规要求，您就可以将信息分成不同的“类别”，对数据分出优先级别。例如，您可以创建三类信息，从限制最严和最敏感的信息(例如与公司未经发布的金融结果有关的数据)，到敏感程度最小的信息(例如与供应商运输费有关的数据)。

　　下一步就是确定数据类别、要素和各类信息的所有者。例如，加利福尼亚州SB 1386合规条例规定，非公共个人信息(例如政府识别号和国籍身份信息)是合规的关键一环。您可以将此信息归类为“限制级”。然后，您需要确定信息的哪些要素是最关键的，公司内部的哪些部门或商业单元拥有此类数据。

　　最后，在为数据分类后，您必须确定政策(即适当处理数据的规范)，其中包括哪些员工和应用有权接入这些数据以及接入的方式、时间和发起接入的所在地。例如，您可以允许R&D部门的所有员工接入与公司产品有关的信息，但只有某些员工可以查看尚未发布的最新产品的相关数据——而且只能在特定时段，在公司内部的防火墙内查看。

最佳操作方法2：了解最敏感数据的所在位置

　　初看之下，“我公司最敏感的数据保存在哪里?”这个问题的答案似乎是显而易见的。最有可能的回答就是——“当然在数据库里了!”但是，数据库真的只是冰山一角，在今天的高度合作化的移动环境中更是如此。如果数据存储在数据库里，那么它还存储在硬盘里，硬盘很可能还有其他硬盘或磁带媒体做备份。此外，您的数据很可能是通过各种应用和各类设备接入的，在桌面计算机、笔记本电脑和无线手提电话上进行格式转化，电邮给其他用户，然后存储在更多的文件服务器或合作站点上。

　　这个问题的正确答案并不是显而易见的——不过关键的问题还是预防企业数据丢失。然而，大多数公司并不会花时间进行全面彻底的数据发现，这样就只剩下以下三种选择(这三种选择简单但不可行)：

　　·保全所有数据。这很可能相当昂贵，需要在安全上投入无法估算的大笔资金，这根本就不现实。

　　·不保全任何数据。大多数产业的政府规范规定了对某些数据类别进行某种形式的保护。其他的风险包括收入损失、客户忠诚度下降，以及公司品牌形象受损。与此战略相伴而生的风险是大多数公司都不愿接受的。

　　·只保全部分数据。此方案的具体实施过程通常是相当危险的，公司采取的措施会给他们自己造成一种数据安全的假象，而忽视了潜在的风险。

　　为预防企业数据丢失，找到开销和风险之间的平衡点，您必须不仅仅确定哪些数据库驻留着您的关键数据。您应该采用一套完整的数据发现流程，这套流程需要解答一些关于您的基础设施的基本问题，其中包括：

　　·您是否在数据库中存有敏感数据?如果是，数据存在了哪些数据库表中?存在哪些列或区域中?

　　·您是否在文件共享区域存有敏感数据?如果是，数据存在了哪些文件夹中?存在哪些文件中?

　　·您是否在笔记本电脑中存有敏感数据?如果是，数据存在了谁的笔记本电脑中?

　　接下来，您还需要回到数据类型和用法方面的问题，比如：

　　·您的知识产权是否在无意间通过定制应用外泄?

　　·您尚未发布的公司金融报告是否非法地存入笔记本电脑、PDA和USB存储器中?

　　·您客户的信用卡信息是否从数据库转移到了不安全的文件服务器，使用户可以创建表格和报告?