企业落地和建设数据安全最佳实践.docx

?

?

企业落地和建设数据安全最佳实践

?

?

来自twt社区同行交流，供大家参考

企业如何落地和建设数据安全？

最近数据安全法出台发布了，但是在建设和落地的过程中缺少经验，期待共同讨论数据安全的建设和落地。

问题来自社区会员，欢迎大家来探讨。

其实信息化安全也好。数据安全也好。都存在一个问题。那就是每个企业的实际环境不同。虽然同行业的成功案例可以作为参考。但仍然难以作为本企业的一个执行标准。所谓的经验。其实更多的时候不能像其他行业一样照搬。比如同样是金融行业。但有的规模大。有的规模小。在信息化和数据安全上的投入差异巨大。业务的重要性也不同。导致最终在实际落地中可能采用完全不同的技术方案。

对于企业自身要实际落地建设数据安全系统。我觉得首先就是对自己整体信息化的完全了解并作出一个长期的规划，在有限的资金支持下逐步执行，资金紧张就先对整个数据架构进行规整，便于后期的防护，审计，有了好的架构才能让后期数据安全建设时可以灵活的插入各种设备而对整体业务影响最少。

数据安全不仅仅是吧数据保护起来，监控起来，还要结合实际业务，实际的信息化架构，进行整体的设计，做到既是一个独立的系统。又能够和整体的架构完美的匹配。

JanXCnec系统架构师：

数据安全主要包括四个部分：数据安全的基本特性、数据保护、数据库安全和其他数据安全等。

（1）与信息安全的五大特性（完整性、必威体育官网网址性、可用性、不可否认性、可控性）相配合，数据安全的三大特性为，可用性、完整性和必威体育官网网址性：

①数据的可用性是指经授权的合法用户必须得到系统和网络提供的正常服务。不可因为保护数据泄露而拒合法使用者于千里之外。数据安全必须为合法使用者提供便捷的服务。

②数据的完整性是指数据未经授权不得进行修改，确保数据在存储和传输过程中不被篡改、破坏、盗用、丢失。这需要在加密的基础上，运用多种方案和技术来实现。完整性是数据安全的核心。要保障数据的完整性，必须设置部门人员权限和文件密级。这样可以严格控制文件的流向，监控文件访问人员的操作行为，从源头上控制数据泄露。此外，鉴于黑客攻击的目标通常是高权限账户，系统建立了完善的日志审计体系。全面记录对文件的操作行为，特别是高权限账户。通过监控和分析，实时呈现整体安全态势，并及时识别威胁行为，杜绝数据泄露的发生。

③数据的必威体育官网网址性是指对数据进行加密，只有授权者方可使用，并保证数据在流通环节不被窃取。这包括网络传输必威体育官网网址和数据存储必威体育官网网址。这一特性，要求加密技术必须自动、实时、精确、可靠。

（2）围绕数据安全基本特性即数据安全的基本要求，进行数据保护。实际上数据保护可以细分为防误删、防篡改、防泄漏以及配合的数据加解密手段。

①防误删。应当通过安全设备、安全策略或系统自身功能防止数据被恶意删除。防止数据被恶意删除有三个层面值得防护：应用系统层面、操作系统层面和数据库层面。对这三个层面的操作权限进行严格的控制，并且杜绝物理删除，只允许逻辑删除，并且保留日志记录，日志应当详细的记录整个删除操作，包括删除时间、删除人员、删除对象、删除前内容等。另外对于防误删，应当制定相应的备份策略，并且对备份集严加管控，确保数据即使被删，也快通过技术手段进行挽回。

②防篡改。应当通过安全设备、安全策略或系统自身提供的功能，防止数据被恶意篡改。防止数据被恶意篡改包括数据传输过程中的被恶意篡改和数据存储使用过程中被恶意篡改。与数据防误删一致，应当在不同的层面进行权限控制、日志记录和制定备份策略等方式，防止数据被恶意篡改。另外防止数据被恶意篡改，还应提供数据加密、数据水印、数据校验等手段进行检测和防护。

③防泄漏。数据泄漏的渠道非常多，应当针对不同的渠道采用科学、合理、完善的措施防止数据被泄露。常用的安全设备有：终端DLP、网络DLP、硬盘加密、文件加密、移动介质加密、水印、github监控gitminer等，其中尤其注意gitminer，可以帮忙监控企业在github是是否由泄露敏感代码或数据信息等。对于数据防泄漏这一块，要做到两点，第一是防止数据被泄露出去，第二就是当数据泄露出去时，应当快速的调查出是由谁、什么时间、什么方式、什么终端泄露至什么地方等关键信息，同时配套的网络安全管理方面应当有管理制度和惩罚机制。

（3）数据库安全

数据库作为承载数据最重要的载体之一，数据库的安全防护至关重要。对于数据库的安全防护可从三个方面进行：数据库高可用及灾备、数据库防火墙、数据库审计等。

首先应当通过数据库的高可用架构保障数据库能够稳定的运行，避免单点故障，与高可用架构想配合的有灾备方案，包括数据中心灾备、存储灾备等，数据库的高可用方案也有多种选择，如主从同步（如Oracle的DG、MySQL的replication等）、集群（如Oracle的Rac、MySQL的Cluste