數(shù)據(jù)保護(hù)是安全策略中最易缺失的環(huán)節(jié)

■ 浙江 王勇

編者按：進(jìn)入數(shù)字時(shí)代，數(shù)據(jù)逐漸成為企業(yè)組織的最重要資產(chǎn)，然而對(duì)于數(shù)據(jù)的保護(hù)卻面臨很大程度上的不足。其中部分原因在于，存儲(chǔ)在數(shù)據(jù)庫(kù)中的結(jié)構(gòu)化數(shù)據(jù)保護(hù)相對(duì)容易，但企業(yè)大部分?jǐn)?shù)據(jù)是非結(jié)構(gòu)化的，對(duì)這些數(shù)據(jù)資產(chǎn)的保護(hù)難度相對(duì)更大。

如今，任何企業(yè)組織要想做到完備的網(wǎng)絡(luò)安全防護(hù)是非常困難的。移動(dòng)設(shè)備的問(wèn)世將數(shù)字邊界擴(kuò)展到新的極限，安全邊界變得模糊。并且，“新冠”疫情爆發(fā)以來(lái)，遠(yuǎn)程工作已成為常態(tài)，其帶來(lái)的安全問(wèn)題亦將只增不減。

在評(píng)估對(duì)組織的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)時(shí)，我們通常將用戶、設(shè)備和網(wǎng)絡(luò)視為IT基礎(chǔ)架構(gòu)的重要組成部分，但是攻擊者發(fā)起攻擊的真正目標(biāo)并不是這些設(shè)備或網(wǎng)絡(luò)，而是數(shù)據(jù)。

雖然存儲(chǔ)在數(shù)據(jù)庫(kù)中的那些系統(tǒng)數(shù)據(jù)是有序的、結(jié)構(gòu)化的且易于保護(hù)的，但全球92%的數(shù)據(jù)是非結(jié)構(gòu)化或暗數(shù)據(jù)。

Exonar公司的研究表明，一個(gè)典型組織的非結(jié)構(gòu)化數(shù)據(jù)中，42%為機(jī)密信息，1%為敏感信息，9%為個(gè)人身份信息。

可以設(shè)想一下，我們每天發(fā)送的所有電子郵件和團(tuán)隊(duì)所創(chuàng)建的文檔，還包括SharePoint和OneDrive等文件共享，公司內(nèi)網(wǎng)信息和個(gè)人文件夾數(shù)據(jù)，這些數(shù)據(jù)有沒(méi)有很好地保存在企業(yè)的數(shù)據(jù)庫(kù)中？

要想安全地保存這些非結(jié)構(gòu)化數(shù)據(jù)是一項(xiàng)巨大的挑戰(zhàn)。Exonar公司的研究表明，95%的IT專(zhuān)業(yè)人員表示，要想在其組織的整個(gè)數(shù)據(jù)倉(cāng)庫(kù)中獲得可見(jiàn)性是一項(xiàng)挑戰(zhàn)，但只有39%的組織正在采取積極措施來(lái)獲得對(duì)相關(guān)數(shù)據(jù)的可見(jiàn)性。

但是如果不這樣做，那么隨著時(shí)間的推移，暗數(shù)據(jù)將會(huì)被慢慢遺忘，將會(huì)極易受到內(nèi)部威脅或外部破壞的影響。實(shí)際上，很多企業(yè)將員工的數(shù)據(jù)泄露視為自身面臨的最大風(fēng)險(xiǎn)——Exonar公司的研究表明，40%的受訪企業(yè)將內(nèi)部數(shù)據(jù)泄露列為未來(lái)最大的威脅。

那么如何提高企業(yè)的數(shù)據(jù)安全性呢？

改變關(guān)注點(diǎn)

對(duì)待數(shù)據(jù)保護(hù)需要掌握一種平衡。一方面，企業(yè)必須鎖定敏感數(shù)據(jù)以保護(hù)其不受損害，另一方面，企業(yè)需要開(kāi)放業(yè)務(wù)，以將數(shù)據(jù)提供給更多人訪問(wèn)。

現(xiàn)實(shí)狀況是，在所有結(jié)構(gòu)化和非結(jié)構(gòu)化數(shù)據(jù)受到控制之前，任何企業(yè)都無(wú)法完全確保數(shù)據(jù)不被泄露。企業(yè)首先要做的是查找其中的內(nèi)容、存儲(chǔ)的位置以及其中是否包含敏感數(shù)據(jù)。

這些措施可以讓企業(yè)確定如何保護(hù)這些數(shù)據(jù)?？赡芷髽I(yè)已經(jīng)存在適當(dāng)?shù)目刂贫鵁o(wú)需執(zhí)行任何操作，或者是將這些數(shù)據(jù)進(jìn)行移動(dòng)或刪除。

通過(guò)獲得可見(jiàn)性，企業(yè)可以確定風(fēng)險(xiǎn)的優(yōu)先級(jí)，采取措施保護(hù)源數(shù)據(jù)。

使用正確的方法、技術(shù)和流程來(lái)保護(hù)數(shù)據(jù)

通過(guò)采用正確的方法、技術(shù)和流程，企業(yè)可以在保護(hù)其數(shù)據(jù)的同時(shí)，使員工繼續(xù)正常工作，而不受數(shù)據(jù)保護(hù)程序的影響。

要想實(shí)現(xiàn)有效的數(shù)據(jù)保護(hù)，需要將數(shù)據(jù)置于安全戰(zhàn)略的核心，并遵循以下五個(gè)關(guān)鍵步驟。

1.制定文件化的數(shù)據(jù)策略和流程

闡明企業(yè)保護(hù)數(shù)據(jù)的具體內(nèi)容，并以文件的形式記錄成冊(cè)，而不是淪為口頭上的說(shuō)明，以此為接下來(lái)的數(shù)據(jù)安全治理奠定基礎(chǔ)。

2.加強(qiáng)員工安全意識(shí)的培訓(xùn)

數(shù)據(jù)安全和治理應(yīng)牢牢扎根于人們的思想之中，要想做到這一點(diǎn)，就需要對(duì)員工的安全意識(shí)加強(qiáng)培訓(xùn)，形成相關(guān)的企業(yè)文化。

3.數(shù)據(jù)發(fā)現(xiàn)和分類(lèi)

明確企業(yè)資產(chǎn)中包含哪些數(shù)據(jù)，以便可以采取適當(dāng)?shù)拇胧﹣?lái)對(duì)其進(jìn)行保護(hù)，更好地對(duì)復(fù)雜的數(shù)據(jù)進(jìn)行管理，從而獲得數(shù)據(jù)價(jià)值。

4.實(shí)施具體的技術(shù)將策略落地

通過(guò)部署文檔加密、數(shù)據(jù)防泄露、訪問(wèn)控制、數(shù)據(jù)補(bǔ)救、內(nèi)容管理等安全技術(shù)和產(chǎn)品，或者采取多種方式來(lái)進(jìn)行部署，這需要開(kāi)放API和集成系統(tǒng)。

5.保存運(yùn)營(yíng)流程和記錄

KPI使企業(yè)能夠監(jiān)視和更好地管理其數(shù)據(jù)，以識(shí)別需要持續(xù)改進(jìn)的方面。

結(jié)語(yǔ)

數(shù)據(jù)是企業(yè)最有價(jià)值的資產(chǎn)，同時(shí)又是最具風(fēng)險(xiǎn)的資產(chǎn)。要想保護(hù)這些數(shù)據(jù)的安全，企業(yè)必須知道擁有哪些數(shù)據(jù)資產(chǎn)。因此，企業(yè)必須找出公司資產(chǎn)中的結(jié)構(gòu)化和非結(jié)構(gòu)化數(shù)據(jù)。

一旦企業(yè)了解了其數(shù)據(jù)狀況，就可以通過(guò)減輕數(shù)據(jù)中的風(fēng)險(xiǎn)，并以積極主動(dòng)的方式使用它來(lái)推動(dòng)業(yè)務(wù)發(fā)展，從而更好地保護(hù)企業(yè)業(yè)務(wù)發(fā)展。