怎樣在日益不安全的環(huán)境中保護(hù)數(shù)據(jù)

Myles Suer

保護(hù)數(shù)據(jù)只會變得越來越困難。首席信息官們準(zhǔn)備好保護(hù)最重要的企業(yè)資產(chǎn)了嗎？

如果數(shù)據(jù)是企業(yè)的生命線，那么企業(yè)應(yīng)怎樣保護(hù)它呢。Michelle Finneran Dennedy在其著作《隱私工程師宣言》中描述了信息時代保護(hù)數(shù)據(jù)的五個階段：

1.防火墻

2.內(nèi)網(wǎng)

3.外網(wǎng)

4.接入

5.智能

問題是，在保護(hù)數(shù)據(jù)的過程中，首席信息官應(yīng)怎樣定位自己？這是我們最近在每周#CIOChat推特聊天會話中討論的話題。

首席信息官是否應(yīng)該專注于打造更堅固的堡壘？

首席信息官們顯然有兩種截然不同的觀點(diǎn)。有人認(rèn)為，堡壘雖然是過去的思維模式，但它仍然很重要。他們認(rèn)為堡壘代表了第一道防線，但也必須對訪問權(quán)限和使用進(jìn)行限制。

這些首席信息官們斷言，如果只是為了阻止垃圾流量和DDoS數(shù)據(jù)流，那么不應(yīng)該完全放棄自己的邊界。他們認(rèn)為邊界是基礎(chǔ)。這些首席信息官們認(rèn)為，IT部門在今后要進(jìn)一步做好數(shù)據(jù)安全和訪問權(quán)限方面的工作。他們接著說，堡壘必須堅固，但在保護(hù)企業(yè)的整個鏈條上，人員部分是最薄弱的環(huán)節(jié)。如果有人得到了員工的憑證，特別是如果他們拿到了員工的手機(jī)，并且破解了弱密碼，那么他們就能攻破多重身份驗證。堡壘就在這里被摧毀了。

然而，其他首席信息官們則認(rèn)為堡壘思維類似于“法國馬其諾防線”。這些首席信息官們指出，堡壘式的安全注定要失敗。他們認(rèn)為傳統(tǒng)的安全模式就像蛋殼。當(dāng)從兩端按壓時，它們很結(jié)實(shí)，但擠壓或者拉伸就會破裂。出于這個原因，他們認(rèn)為歷史上的堡壘已經(jīng)被證明是失敗的。

這些首席信息官們說，我們不應(yīng)該再使用堡壘城墻了。盡管他們建議要保持周界干凈，但他們說重點(diǎn)應(yīng)轉(zhuǎn)移到基于模式和行為的安全措施上。他們建議，IT領(lǐng)導(dǎo)們從當(dāng)前的靜態(tài)安全方法轉(zhuǎn)向朝著更積極并且能持續(xù)評估的態(tài)勢發(fā)展。這些首席信息官們認(rèn)為數(shù)據(jù)安全與分類和使用特性有關(guān)。他們贊成數(shù)據(jù)所支持的應(yīng)用程序應(yīng)該是“設(shè)計上安全”。

這些首席信息官們把身份和訪問管理視為邊界代理。他們說，出于這一原因，在掌握了訪問層和外部入口點(diǎn)的情況下，重要的是集中精力保護(hù)好數(shù)據(jù)。同時，他們認(rèn)為現(xiàn)在不應(yīng)該只是緊緊抓住數(shù)據(jù)不放了。他們說，我們不但要保護(hù)數(shù)據(jù)，同時還要通過適當(dāng)?shù)腁PI為相應(yīng)的人群提供數(shù)據(jù)。他們相信，保護(hù)措施越是嚴(yán)格，越是有更多的數(shù)據(jù)泄露出去。

顯然很難做好與數(shù)據(jù)相關(guān)的治理和網(wǎng)絡(luò)安全工作。而這正是它吸引人并且富有挑戰(zhàn)性的原因。這些首席信息官們認(rèn)為我們都接受這樣一個事實(shí)，即，沒有辦法把所有人一直都擋在外面。因此，在不安全的環(huán)境中保護(hù)數(shù)據(jù)，歸根結(jié)底就是怎樣控制好具有訪問權(quán)限的人的訪問。

鑒于此，相應(yīng)地管理風(fēng)險是很重要的。一般來說，首席信息官們對不同層級加密方法以及每層的安全監(jiān)控/監(jiān)視措施感到滿意。此外，他們也同意不同的用戶——合作伙伴、用戶或者消費(fèi)者，應(yīng)該具有不同的可信級別，按照一定規(guī)則去訪問數(shù)據(jù)。順便提一下，一位首席信息官說，他們聽說有一位首席信息官開始拆除防火墻，而且不采用更復(fù)雜的解決方案。他們認(rèn)為這是違反直覺的，但有點(diǎn)意思。

首席信息官能通過端點(diǎn)監(jiān)管更好地保護(hù)數(shù)據(jù)嗎？

首席信息官們說，采取零信任的立場非常重要，首先要考慮到一切都可能被攻破，但是，從哪里跌倒就從哪里爬起來。他們認(rèn)為，像自帶設(shè)備這樣的東西，以及能通過不恰當(dāng)?shù)姆绞教崛?shù)據(jù)等，這些都意味著目前的方法是不行的。在每一設(shè)計或者策略決策過程中，必須綜合考慮可訪問性和靈活性約束以及安全需求進(jìn)行設(shè)計。

首席信息官堅信不能忽視端點(diǎn)的安全。他們說，工作要堅持下去，但應(yīng)該建立在損失可承受的策略基礎(chǔ)上。他們說，從保護(hù)源端數(shù)據(jù)開始，然后回到傳送和設(shè)備級別上。IT部門應(yīng)做好端點(diǎn)安全基礎(chǔ)工作（管好管理密碼，把它們放在單獨(dú)的VLAN上，等等），但除此之外的“監(jiān)管”工作成本可能會非常高，特別是對于小企業(yè)。

首席信息官認(rèn)為，端點(diǎn)安全（以及傳輸中的加密）是必須的。檢查SaaS和COTS，看看端點(diǎn)上的數(shù)據(jù)具有哪些高速緩存/保存/安全措施，這應(yīng)該是該過程的一部分。一位首席信息官建議，傳統(tǒng)的監(jiān)管做不到這些，積極主動的監(jiān)管是更好的解決方案。一位首席信息官說，從最小權(quán)限開始，但一定要驗證數(shù)據(jù)流的真實(shí)性。

還有的首席信息官指出，除非所有的客戶群、技術(shù)供應(yīng)商和應(yīng)用程序都在同一防火墻后面，否則端點(diǎn)監(jiān)管本身無法阻止出現(xiàn)泄露事件。應(yīng)采取數(shù)字權(quán)限管理、加密和訪問控制措施。但是，要清楚在屏幕上是否能看到數(shù)據(jù)，實(shí)際上只需一部智能手機(jī)就可以捕獲數(shù)據(jù)。

首席信息官們說，目前大部分成功的攻擊都來自網(wǎng)絡(luò)釣魚和社會工程攻擊，而不是由于技術(shù)漏洞造成的。因此，這需要新的方法。首席信息官們說，端點(diǎn)監(jiān)管并不能防止社會工程攻擊。所以，越來越重要的是能夠通過加密和使用可以匯集和細(xì)分風(fēng)險的工具來進(jìn)行保護(hù)。一位教育行業(yè)的首席信息官表示，在企業(yè)中，對用戶設(shè)備有很多的控制措施，但在高校，大部分終端設(shè)備都是自帶設(shè)備。出于這個原因，他們說應(yīng)在訪問/權(quán)限層進(jìn)行保護(hù)?？傊紫畔⒐僬f的是端點(diǎn)監(jiān)管，而保護(hù)數(shù)據(jù)不同于此。

首席信息官應(yīng)該怎樣進(jìn)行數(shù)據(jù)治理才能真正保護(hù)數(shù)據(jù)？

首席信息官們說，數(shù)據(jù)治理是其核心所在。他們還說，最困難的可能是怎樣得到一個持久可行的解決方案。然而，有了數(shù)據(jù)治理，就可以確定需求，使設(shè)計和架構(gòu)正常工作。

首席信息官們認(rèn)為，對IT領(lǐng)導(dǎo)來說，重要的是了解企業(yè)各部門。他們應(yīng)定期評估部門需求，具備應(yīng)變能力。這涉及到計劃、執(zhí)行和評估。首席信息官們歡迎的是能夠加強(qiáng)和改進(jìn)治理和管理工作的領(lǐng)導(dǎo)。此外，他們還應(yīng)該知道數(shù)據(jù)治理并非一蹴而就，實(shí)際需要很長的時間。重要的是，首席信息官們認(rèn)為企業(yè)必須擁有數(shù)據(jù)治理和管理權(quán)。否則，首席信息官將因此而失敗。

開始對話的最好方法是讓業(yè)務(wù)部門定義什么是最關(guān)鍵的，什么不重要，以及他們希望IT部門保護(hù)數(shù)據(jù)多長時間。IT部門不應(yīng)該自己決定。此外，首席信息官們指出，IT領(lǐng)導(dǎo)應(yīng)該讓業(yè)務(wù)部門承擔(dān)數(shù)據(jù)管理角色，并構(gòu)建流程，以產(chǎn)生質(zhì)量良好的數(shù)據(jù)。首席信息官們可以通過對數(shù)據(jù)進(jìn)行智能分析來展示自己的價值。

在適當(dāng)?shù)那樾蜗?，?yōu)先級清理過程就是一個很好的例子。首席信息官們說，除了批準(zhǔn)的業(yè)務(wù)流程外，其他所有業(yè)務(wù)流程都要刪除社保號碼，而且每年都要對這些號碼進(jìn)行審查。他們建議IT領(lǐng)導(dǎo)們應(yīng)尋找機(jī)會來優(yōu)化舊的流程。同時，暴露數(shù)據(jù)問題、選擇數(shù)據(jù)所有者，然后實(shí)施數(shù)據(jù)治理也是非常重要的。

一般來說，首席信息官們認(rèn)為，討論數(shù)據(jù)治理會涉及很多技術(shù)術(shù)語。如果你想讓業(yè)務(wù)領(lǐng)導(dǎo)參與進(jìn)來，就必須避免這種情況。首席信息官們說，只有讓合適的人參與進(jìn)來才能確定哪些是需要的，哪些是已經(jīng)存在的。這包括法律部門、記錄管理、DBA、產(chǎn)品所有者和人力資源等。首席信息官們認(rèn)為，重要的是要有了解數(shù)據(jù)和內(nèi)容的信息治理專業(yè)人員，帶領(lǐng)部門完成識別和保護(hù)數(shù)據(jù)資產(chǎn)的過程。

首席信息官們表示，數(shù)據(jù)檢查非常重要，特別是當(dāng)領(lǐng)導(dǎo)層要求他們的數(shù)據(jù)倉庫必須井然有序時——因為有人可能會隱藏數(shù)據(jù)。鑒于此，首席信息官們應(yīng)該與業(yè)務(wù)部門開展有關(guān)數(shù)據(jù)定義、類型和風(fēng)險概況的對話。首席信息官們歡迎對這些問題有一些基本了解的業(yè)務(wù)領(lǐng)導(dǎo)。

一位首席信息官講了一些令人驚訝的事情。他說，在很多行業(yè)中，很少有私有數(shù)據(jù)?？紤]到這一點(diǎn)，他認(rèn)為，把業(yè)務(wù)重點(diǎn)放在需要保護(hù)的事項上非常重要。首席信息官們也表示，IT領(lǐng)導(dǎo)應(yīng)該記住，數(shù)據(jù)保護(hù)不是二元的——要么有要么沒有。數(shù)據(jù)治理過程中總是要考慮到其他的行、字段、層次結(jié)構(gòu)或者使用情景。

首席信息官們認(rèn)為，是可用性和便利性推動了行為模式。如果很難保證數(shù)據(jù)安全，他們說會出現(xiàn)替代方法。從一開始就要確保數(shù)據(jù)所有者是解決方案的一部分，這一點(diǎn)很重要。對于一些首席信息官來說，遷移到云端是改變局面的好機(jī)會。他們認(rèn)為，這是一個能更充分地使用越來越內(nèi)置的安全功能和加密的機(jī)會。他們還認(rèn)為這也是一個通過設(shè)計創(chuàng)造更好的端到端安全的機(jī)會。

同時，過程透明也很重要。很多部門發(fā)現(xiàn)了數(shù)據(jù)保護(hù)問題而不報告。一位首席信息官憤怒地指出，在最近進(jìn)行的每一次安全審查中，他們都發(fā)現(xiàn)了由IT部門悄悄修復(fù)的漏洞，而業(yè)務(wù)領(lǐng)導(dǎo)對此毫不知情。

首席信息官怎樣保證隱私受到保護(hù)？

首席信息官們說，作為數(shù)據(jù)治理的一部分，通常需要圍繞使用數(shù)據(jù)的系統(tǒng)和應(yīng)用程序開展設(shè)計。這需要政策、良好的意識和培訓(xùn)，才能投入戰(zhàn)斗。一位首席信息官在此表示，如果我們在美國有像樣的隱私法就好了。

首席信息官們堅持應(yīng)該把隱私保護(hù)設(shè)計到應(yīng)用體驗中。雖然GDPR是語義上的，但它獨(dú)立于數(shù)據(jù)本身，并且與數(shù)據(jù)的使用、存儲和可用性關(guān)系更密切。因此，隱私存在于方法、過程和技術(shù)中，而不是在數(shù)據(jù)本身中。首席信息官們認(rèn)為應(yīng)用程序有一個安全模型很重要。一位首席信息官表示，他們雖然很欣賞GDPR的意圖和概念，但實(shí)施起來卻很難。它要求對任何新功能都要進(jìn)行解決方案設(shè)計，以方便管理。

首席信息官們認(rèn)為，重要的是從一種理念開始，即，如果不需要，就不要去收集，并始終為用戶提供一種查看和刪除自己數(shù)據(jù)的方法。顯然，如果你周圍沒有成堆的數(shù)據(jù)，那么就比較容易管理隱私。同時，首席信息官們表示，在應(yīng)用程序設(shè)計中做好基于角色的設(shè)計工作是很重要的。應(yīng)該逐步把內(nèi)部可信角色轉(zhuǎn)移給合作伙伴，然后轉(zhuǎn)移給消費(fèi)者或者外部。最困難的是確保你的合作伙伴隱私符合你自己的策略。這可能涉及與合作伙伴的合同管理和審計。

同時，你不應(yīng)該允許DBA（數(shù)據(jù)庫管理員）持有所有的密鑰，這樣做太草率。黑客們變得聰明起來，開始針對這些人進(jìn)行社會工程攻擊。我們應(yīng)改變默認(rèn)情況下使用安全框架來實(shí)現(xiàn)數(shù)據(jù)保護(hù)和隱私的思維模式?？傊绻恍枰?，就不要去收集和保存數(shù)據(jù)。

首席信息官應(yīng)該優(yōu)先將哪10件事列入數(shù)據(jù)保護(hù)投資清單？

首席信息官的清單上有很多事項。以下列出了前10個事項：

1. 員工教育和培訓(xùn)。

2. 對數(shù)據(jù)進(jìn)行保存和審計，知道怎樣訪問數(shù)據(jù)，并對風(fēng)險進(jìn)行評估。

3. 高管贊成、擁護(hù)和所有權(quán)。

4. 良好的內(nèi)部溝通。

5. 評估哪些工作做的不錯，包括治理、政策和部門員工技能。

6. 負(fù)責(zé)合并和應(yīng)用持續(xù)變化和風(fēng)險的治理主管。

7. 關(guān)注外部隱私。

8. 將風(fēng)險匯集在一起以縮小響應(yīng)和支出焦點(diǎn)的好工具。

9. 很好的數(shù)據(jù)保護(hù)工具（數(shù)據(jù)加密、網(wǎng)絡(luò)模式分析、設(shè)備保護(hù)、威脅檢測、網(wǎng)絡(luò)邊緣惡意軟件刪除、端點(diǎn)保護(hù)和多重身份驗證登錄等）。

10.為員工提供安全編程培訓(xùn)，讓他們保持零信任的姿態(tài)。

首席信息官們清楚地認(rèn)識到需要通過優(yōu)秀的人員、流程和技術(shù)來保護(hù)數(shù)據(jù)。但他們也意識到僅憑自己無法做到這一點(diǎn)。這要求所有人的配合，包括業(yè)務(wù)領(lǐng)導(dǎo)和所有員工。記住這些，并且還有良好的政策和治理措施，IT部門可以幫助業(yè)務(wù)部門在越來越不安全的環(huán)境中更好地保護(hù)數(shù)據(jù)。

據(jù)LeadTails，Myles Suer是排名第9的最有影響力的首席信息官。他也是CIOChat的推動者，CIOChat有來自世界各地的銀行、保險、教育和政府等行業(yè)的高管參與其中。

原文網(wǎng)址

https：//www.cio.com/article/3407846/protecting-data-in-an-increasingly-insecure-world.html