數(shù)據(jù)安全“學(xué)習(xí)三問”WHAT WHY HOW

來源：湖北國菱編輯部 時間：2019-02-19

數(shù)據(jù)安全指的是用技術(shù)手段識別網(wǎng)絡(luò)上的文件、數(shù)據(jù)庫、帳戶信息等各類數(shù)據(jù)集的相對重要性、敏感性、合規(guī)性等，并采取適當(dāng)?shù)陌踩刂拼胧ζ鋵嵤┍Ｗo等過程。

與邊界安全、文件安全、用戶行為安全等其他安全問題相同，數(shù)據(jù)安全并非是唯一一種能提升信息系統(tǒng)安全性的技術(shù)手段，也不是一種能全面保障信息系統(tǒng)安全的技術(shù)手段。它就是一種能夠合理評估及減少由數(shù)據(jù)存儲所帶來的安全風(fēng)險的技術(shù)方式。

WHY為什么需要數(shù)據(jù)安全?

如果數(shù)據(jù)安全流程只是構(gòu)建單位信息安全體系的眾多技術(shù)手段之一，那么，與其他技術(shù)手段相比，它的優(yōu)點何在?

從廣義上講，大多數(shù)其他安全技術(shù)手段都是以用戶為中心的，它們關(guān)注的是以下這些問題：

某用戶是否能夠訪問某數(shù)據(jù)?

某用戶是否有權(quán)加入某網(wǎng)絡(luò)?

某用戶是否在濫用系統(tǒng)資源?

對于保障信息系統(tǒng)安全而言，上述這些都是非常重要的工作，但在真實信息系統(tǒng)的安全建設(shè)過程中，上述問題的解決卻可能遭遇到大量的現(xiàn)實問題。例如，在一個有上百甚至上千臺服務(wù)器的大型單位網(wǎng)絡(luò)中，實際情況往往是，服務(wù)器使用權(quán)限設(shè)置隨意、大量過期用戶身份存在，要想掌握用戶對資源的訪問情況更是不可思議。

而以數(shù)據(jù)為中心的安全模型則是換一個角度解決上述安全問題的方法。

HOW如何實現(xiàn)數(shù)據(jù)安全?

1. 數(shù)據(jù)安全模型vs用戶安全模型

設(shè)想一種場景，某企業(yè)客服部的一個員工將包含大量客戶個人身份隱私信息(如身份證號、電話號碼等)的Excel文件放在了一個公司所有人均有權(quán)訪問的共享文件夾中。

若以用戶中心模型考慮此問題，得出的結(jié)論會是：問題不大，所有人都有該文件夾的訪問權(quán)。然而，以數(shù)據(jù)安全模型考慮此問題，則會發(fā)現(xiàn)：這是個嚴(yán)重的安全問題，因為包括實習(xí)生、外包運維人員等在內(nèi)的所有人都能獲得這些敏感信息。由此可見，在不少場景下，數(shù)據(jù)安全模型與用戶安全模型的應(yīng)用效果可能產(chǎn)生巨大的差別。

另外，上述場景也表明，數(shù)據(jù)安全模型的應(yīng)用還依賴于一個前提條件——數(shù)據(jù)分類。

2. 如何實施數(shù)據(jù)分類?

數(shù)據(jù)分類是指把具有某種共同屬性或特征的數(shù)據(jù)歸并在一起，并通過其類別的屬性或特征來對數(shù)據(jù)進行區(qū)別的技術(shù)。數(shù)據(jù)分類方法主要有以下兩類：

基于文件類型：采用該方法的原因是由于某些類型的文件(如SSH私鑰、PKI證書等)從安全角度而言本質(zhì)上更為敏感;

基于文件信息：基于文件中包含的實際數(shù)據(jù)進行分類。

迄今為止，在以上兩種方法中，基于文件信息的分類方法的難度仍然較大，因為此方法必須對哪些信息看上去比較敏感作出定義，以便程序?qū)?shù)據(jù)進行分類。

有時，這與在文件中查找某些敏感字符串(如“密碼”、“信用卡”等)一樣簡單，但更為常見的情況是，必須針對特定的文件類型定義與其相匹配的敏感字符串匹配模式。

3. 幾項簡單易實施的數(shù)據(jù)安全技術(shù)措施

在數(shù)據(jù)安全領(lǐng)域，可用于提高數(shù)據(jù)安全性的應(yīng)用技術(shù)還包括：

(1) 結(jié)束收集不必要的數(shù)據(jù)

近十年來，在IT管理領(lǐng)域，我們能夠都看到對數(shù)據(jù)的認知所發(fā)生的巨大改變。以前，幾乎所有的IT管理者都認為，數(shù)據(jù)就是一種資產(chǎn)，多多益善，因為你永遠不知道什么時候可能會用到它們。

今天，越來越嚴(yán)厲的立法和監(jiān)管、數(shù)據(jù)泄露等網(wǎng)絡(luò)安全事件可能導(dǎo)致的單位及個人的聲譽受損等，都使得保障數(shù)據(jù)的安全性越來越成為了IT運維管理人員的一種重責(zé)大任——在必要的數(shù)據(jù)收集范圍外，單位信息系統(tǒng)所收集的任何一點敏感數(shù)據(jù)都是一種不必要的風(fēng)險。

因此，作為單位信息安全管理人員，應(yīng)該立即檢查所有涉及到數(shù)據(jù)收集的業(yè)務(wù)應(yīng)用系統(tǒng)，從單位業(yè)務(wù)的角度出發(fā)，對所收集的每一項數(shù)據(jù)的必要性進行核查。

(2) 清除陳舊數(shù)據(jù)

單位信息系統(tǒng)中不存在的數(shù)據(jù)自然也就不會存在被泄漏的風(fēng)險。經(jīng)過多年的信息化建設(shè)，很多網(wǎng)絡(luò)規(guī)模較大的單位機房網(wǎng)絡(luò)中往往都存在多臺被遺忘的老舊服務(wù)器設(shè)備，這些服務(wù)器往往留存有大量重要數(shù)據(jù)，且長期疏于管理。信息安全管理人員應(yīng)該通過技術(shù)手段跟蹤文件訪問權(quán)限，發(fā)現(xiàn)這些長時間無人訪問的文件及服務(wù)器，并對其實施封存。

(3) 針對數(shù)據(jù)組跟蹤分析用戶訪問行為

在單位內(nèi)部，極易出現(xiàn)一種導(dǎo)致數(shù)據(jù)安全性降低的問題，即“過度使用”。不少單位在網(wǎng)絡(luò)管理中都會出現(xiàn)由于某些臨時性原因賦予某些用戶特殊權(quán)限并且忘記及時將權(quán)限收回的情況，大量此類情況的出現(xiàn)將導(dǎo)致產(chǎn)生一個混亂到無法管理的巴洛克式相互依賴的用戶權(quán)限網(wǎng)絡(luò)，導(dǎo)致用戶在網(wǎng)絡(luò)中的實際權(quán)限遠遠大于其角色的真實需求。

針對此類情況，信息安全管理人員應(yīng)該采取技術(shù)措施分析用戶訪問行為并自動設(shè)置用戶權(quán)限，從而避免給攻擊者留下可利用的漏洞。

當(dāng)然，上述這些建議不僅僅適用于解決數(shù)據(jù)安全問題，也對網(wǎng)絡(luò)安全問題的其他方面有所助益。