安全隱患不重視，將會上演現實版《隱秘的角落》
發布時間 2020-07-08這個夏天因《隱秘的角落》大火，真相細思極恐。觀眾直呼：上頭，太上頭了~
今天，小編帶你探尋一下數據安全中《隱秘的角落》。再次體驗一下隔著屏幕，瑟瑟發抖、背脊發涼的感腳……
隨著數據規模越來越大、數據種類繁多，數據治理手段也更新越來越快，導致更多企業無法及時更新與數據安全相關的管控策略和規范。對于數據的分級、分類、分權限等也無法進行有效的管理那么數據安全中存在哪些安全隱患問題呢？
1、數據量大且更新迅速，安全管理規范更新不及時
目前我們處于信息時代，企業或單位每天新增業務或數據數不勝數，隨之而來的是業務或數據先行，而與之相匹配的數據安全管理規范仍沿用傳統已有的，發現了問題之后才會進行更新。
2、數據全生命周期管理中的弱項導致信息泄露
在數據的全生命管理中，包含數據的采集、使用、存儲、傳輸、銷毀等過程。在每個過程中都可能存在薄弱項，如采集過程中數據丟失、使用過程中數據未脫敏、數據存儲錯位、傳輸過程中被劫持或者銷毀不全面等都會造成信息泄露。
3、數據管理雜亂，權限劃分不合理
企事業單位在進行安全管理的時候一般采用“三員”管理，沒有設立專門的數據管理員。在數據量大且復雜的前提下，就無法保障數據權限的細粒度劃分，會導致無授權狀態下的數據使用問題。
4、數據未分級分類，安全管控“一刀切”
目前很多企事業單位在進行數據存儲時，考慮到通過數據備份防止數據丟失，但是具備數據操作權限的人員在操作數據庫時，可以查看該數據庫的全部數據，沒有有效合理的安全管控策略對數據的操作及等級劃分進行合理規劃。
啟明星辰數據安全整體思路
它以數據安全運營服務為核心，以數據安全產品為支撐手段，以數據安全管控平臺為產品與服務的統一管理平臺，進而形成數據安全管控閉環。
數據安全運營服務
利用安全服務人員的專業技能，從數據安全摸底、數據安全策略的制定及升級、數據安全風險管理以及數據安全優化等方面對數據安全提供全方位安全服務。
總體而言，數據安全服務的核心即為兩個方面——團隊+服務。
? 數據安全運營服務團隊
1、數據安全咨詢師
? 提供專業的合規性數據安全規范管理制度；
? 提供合理的數據使用場景安全管理體系；
? 提供準確的數據管理策略；
? 提供完整的數據安全運營體系知識轉移。
2、數據安全分析師
? 及時發現已知或未知的數據安全威脅事件并給出相關合理建議；
? 跟蹤、處置事件處理過程；
? 數據安全威脅場景定制和優化；
? 評估企事業單位中存在的數據安全風險；
? 協助制定數據安全風險處置規范。
3、業務數據安全師
? 梳理應用業務中存在的敏感數據；
? 協助制定敏感數據分級分類標準以及針對敏感數據進行分級分類；
? 協助制定動、靜態敏感數據管控策略。
4、數據治理工程師
? 對于數據安全管控平臺輸入數據的接入和規劃；
? 數據庫數據內容細粒度梳理；
? 管理安全數據質量，不斷優化數據可用性；
? 維護數據清單，管理各類數據的用途。
? 數據安全運營服務
1、數據安全梳理服務
? 資產識別一一理清用戶資產信息，用于刻畫數據地圖；
? 敏感數據梳理——識別出哪些為敏感數據；
? 數據資產風險評估——根據業務邏輯識別數據泄露薄弱項；
? 數據安全規范對標分析一一與現有的業務及安全規范合規性對標，發現安全規范的不適用及缺失項；
? 敏感數據分級分類一一將敏感數據按照其所影響級別以及其業務內容進行合理性分級分類；
? 數據權限梳理一一確認最小應用權限。
2、數據安全策略制定和升級
? 數據安全體系建設——根據現有數據安全管理規范及實踐內容進行對標分析，形成一套適用、有效的數據安全管理體系；
? 數據安全管控策略梳理——根據現有數據安全管控措施進行策略梳理，結合數據安全管理體系內容對管控策略優化升級，并聯動相關設備，實現策略下發。
3、數據安全風險管理服務
? 數據安全風險評估服務；
? 數據安全應用業務安全分析；
? 數據安全事件分析；
? 數據安全監測與告警服務；
? 數據安全響應及處置服務。
4、數據安全治理服務
結合摸底服務、數據安全策略以及數據安全風險服務過程中的服務成果，對數據資產管理行使權力和控制。主要包括對數據質量問題、數據命名和定義沖突、數據安全問題等進行整治，進而在此過程中達成數據安全優化目的。
數據安全支撐產品
基于數據采集數據存儲、數據傳輸、數據使用等過程，以數據生命周期的觀點出發，分析數據在數據生命周期的每個活動階段的行為和特征有無異常行為，根據分析與項目實踐，在進行數據安全防護時，需要以下產品提供安全防護及安全數據。
1、數據防泄露（DLP）
該產品可提供數據防泄漏及數據泄露事件追蹤溯源日志，在敏感數據使用時，會先進行數據脫敏，以防止敏感數據外泄。
2、數據安全防護網關（DCAP）
提供數據傳輸過程中的動態加解密管理防止敏感數據泄露。
3、身份識別與訪問管理系統（IAM）
對用戶操作行為進行統一，發現異常的操作，如異常時間點的操作、異常頻次的操作、長期不用賬號的統計、日常賬號操作的統計、重要資產操作行為的統計等。
4、運維審計管理系統
在運維操作過程中使用該產品，記錄以及阻斷未授權的操作人員，可為平臺提供操作日志發現數據操作異常行為。
5、數據庫防火墻
實時監控數據庫操作行為，通過對數據庫協議的解析，發現違規操作進行精確阻斷，為平臺提供數據庫異常違規告警日志。
數據安全管控平臺
該平臺是數安產品及服務人員的橋梁和港灣。數安產品的各類數據在這里匯聚和分發，服務人員通過平臺的數據集中，可以在平臺上一體化運維、分析、處置、響應及優化等服務。
1、數據資產管理
? 利用調研的方式執行該過程，主要是對單位現有存在的數據安全管理規范以及資產進行調研，形成敏感數據定義；
? 根據敏感數據的定義，制定敏感數據發現規則，針對掃描批次、目標、時間、周期等等元素進行管理；
? 根據敏感數據的定義，使用內容識別手段，對于數據進行內容識別和檢測敏感數據，并按照其標記進行敏感數據管理；
? 將掃描的數據按照其不同的定義及標簽屬性分別存儲不同類型的數據庫中。
2、安全策略中心
管理著所有的安全策略，包括細粒度訪問策略、數據加密策略、數據脫敏策略以及數據防泄漏安全策略等。所有的策略可通過人工方式添加，作用于安全設備，并可依據國家或行業分級分類標準以及單位相關數據安全管理制度形成或更新策略，刪除不必要的僵尸策略等。
3、數據風險評估中心
? 將數據安全設備產生的告警日志、操作審計日志、業務審計日志等數據采集到平臺中，使用平臺中的敏感數據策略及數據泄露相關安全場景匹配分析；
? 產生的敏感信息泄露事件或異常數據操作事件等通過平臺與安全設備結合進行溯源分析，確定安全事件的可靠性；
? 根據業務特色及數據規則進行安全模型構建或優化；
? 自動評估數據安全脆弱性、威脅性現狀。
4、數據生命周期管理
數據采集過程、傳輸過程、存儲過程、使用過程及銷毀過程的管理和記錄以及日志管理。
5、數據安全運營
數據安全運營管理中心由數據安全服務人員運營時使用，包括對于數據安全的合規性檢查管理、通報預警管理、指揮決策管理以及日常運維管理等內容。
6、數據安全可視化
數據安全運營不只是一套用工具組合的產品級解決方案，而是從決策層到技術層，從管理制度到工具支撐，自上而下貫穿整個組織架構的完整鏈條。
組織內的各個層級之間需要對數據安全治理的目標和宗旨取得共識，確保采取合理和適當的措施，有效地保護信息資源，并以常態化運營為主導思路，構建數據安全運營體系建設、數據安全防護體系、數據安全管理體系建設等。
數據安全治理并非一朝一夕的任務，治理是一個過程，需不斷調整與優化。啟明星辰北斗安全運營中心以專業的安全技術團隊做技術支撐，幫助企業降低企業運維和運營成本，提供針對性的安全報告為企業做全方位的輔助決策，助力業務穩固提升。
京公網安備11010802024551號