19-企业数据安全-从概念到解决方案

企业数据安全，从概念到解决方案主讲人：张威背景描述基本概念理解需求分析与目标设定解决方案思路与框架实施方法与过程3力拓案—从国家机密到商业秘密4CSDN泄密门—个人隐私保护再成焦点5韩国农协银行事件—数据安全重中之重6此类案件正与日俱增7数据安全风险实实在在企业数据安全倍受关注原因：数据安全风险实实在在深入分析2008至20011年间全球500+的数据安全案件背景描述基本概念理解需求分析与目标设定解决方案思路与框架实施方法与过程9几个关键词?国家秘密商业秘密个人隐私数据安全信息安全10什么是国家秘密？•所谓国家秘密，是指关系国家的安全和利益，依照法定程序确定，在一定时间内只限一定范围的人员知情的事项•保守国家秘密是中国公民的基本义务之一。《中华人民共和国保守国家秘密法》对有关的问题作了规定。国家秘密的密级分为“绝密”、“机密”、“秘密”•国家秘密涉及范围：–国家事务的重大决策事项。–国防建设和武装力量活动中的秘密事项。–外交或外交活动中的秘密事项以及对外承担保密义务的事项。–国民经济和社会发展中的秘密事项。–科学技术中的秘密事项。–维护国家安全活动和追查刑事犯罪中的秘密事项。–其他经国家保密工作部门确定应当保守的国家秘密事项。•对国家秘密的保护，需要采取针对涉密信息系统的保密措施，加强对涉密机关、单位和涉密人员的保密管理主体是国家11什么是商业秘密？•按照我国《反不正当竞争法》的规定，是指不为公众所知悉、能为权利人带来经济利益，具有实用性并经权利人采取保密措施的技术信息和经营信息•商业秘密包括两部分：技术信息（生产配方、工艺流程、技术诀窍、设计图纸等）和经营信息（如管理方法，产销策略，客户名单、货源情报等）•商业秘密的构成要件有三：–非公开性，即该信息不为公众所知悉，不能从公开渠道直接获取–实用性，即该信息能为权利人带来经济利益–保密性，即权利人对该信息采取了保密措施•合法途径：独立开发获得；合法购买；从公开渠道观察获得；合法接受许可获得及通过反向工程获得等•非法行为：根据《反不正当竞争法》第十条的规定，下列行为属于侵犯他人商业秘密的不正当竞争行为：（1）以盗窃、利诱、胁迫或其它不正当手段获取的权利人的商业秘密；（2）披露、使用或者允许他人使用以前项手段获取的权利人的商业秘密；（3）违反约定或者违反权利人保守商业秘密的要求，披露、使用或者允许他人使用其所掌握的权利人和商业秘密主体是企业12什么是个人隐私？•是指公民个人生活中不愿为他人公开或知悉的秘密，如个人的私生活、日记、照相薄、生活习惯、通信秘密、身体缺陷等•隐私权是自然人享有的对其个人的、与公共利益无关的个人信息、私人活动和私有领域进行支配的一种人格权•侵犯隐私权的行为包括：–未经公民许可，公开其姓名、肖像、住址和电话号码等–非法侵入、搜查他人住宅，或以其他方式破坏他人居住安宁–非法跟踪他人，监视他人住所，安装窃听设备，私拍他人私生活镜头，窥探他人室内情况–非法刺探他人财产状况或未经本人允许公布其财产状况–私拆他人信件，偷看他人日记，刺探他人私人文件内容，以及将他们公开–调查、刺探他人社会关系并非法公诸于众–干扰他人夫妻性生活或对其进行调查、公布–将他人婚外性生活向社会公布–泄露公民的个人材料或公诸于众或扩大公开范围–收集公民不愿向社会公开的纯属个人的情况主体是个人13三者对比共同点：三者都牵涉到特定类型的数据或信息的安全问题主体影响特点管辖法律法规国家秘密国家国家安全依法确认；限定范围；特定期限国安《宪法》《保密法》商业秘密企业经济利益非公开性；非排他性；利益相关；期限保护公安《民事诉讼法》《反不正当竞争法》《关于禁止侵犯商业秘密行为的若干规定》（国家工商局）《中央企业商业秘密保护暂行规定》（国资委）个人隐私个人隐私权可主张精神损失相关机构《刑法》《民法通则》《个人信息保护法》草案14数据vs信息•数据（data），是载荷或记录信息的按一定规则排列组合的物理符号。可以是数字、文字、图像，也可以是计算机代码•数据是关于自然、社会现象和科学试验的定量或定性的记录，研究数据就是对数据进行采集、分类、录入、储存、统计分析，统计检验等一系列活动的统称。在计算机科学中，数据是指所有能输入到计算机并被计算机程序处理的符号的介质的总称，是用于输入电子计算机进行处理，具有一定意义的数字、字母、符号和模拟量等的通称•信息是信息论中的一个术语，常常把消息中有意义的内容称为信息。在信息安全领域，通常称之为“有价值的内容”•信息是“加工”后的数据，数据是原材料，信息是产品，信息是数据的含义。数据之于不同对象，产生了不同的意义，则衍生出不同的信息15对概念进行逻辑重组有利于全面理解数据信息国家秘密商业秘密个人隐私其他信息价值呈现针对国家针对企业针对个人其他方面物理性定义观念性定义或逻辑性定义社会性定义16数据安全vs信息安全数据安全信息安全保护国家秘密保护商业秘密保护个人隐私强调数据本身的安全性，在未赋予其实际意义前，主要关注整体可用。通常责任归到数据运维部门，通过容灾备份来实现给数据赋予价值，针对数据（狭义）、软件、硬件、人员和服务等各类信息资产。关注CIA。通常责任归到IT，通过ISMS来实现从特定领域看待数据的价值和意义，关注保密性和合规性。通常责任归到业务、法务、人事等部门。通过非IT方式来实现传统意义上的数据安全并不全面，实际上，真正具有现实意义的数据安全，应该是以各种电子或硬介质形式为主的数据类信息资产为对象、纵贯物理性、逻辑性和社会性三个层次、覆盖数据全生命周期的安全保护17充分理解数据安全的特点业务场景、操作流程和场所（Where）创建存储使用变更归档销毁数据生命周期（When）在特定环境中呈现IT人员业务人员用户第三方法务牵涉到各个群体数据操作相关方（Who）结构化数据非结构化数据+数据定义（What）生存状态18认识是基础，实践是关键数据安全信息安全国家秘密、商业秘密、个人隐私ISMS建设PDCA+制度规范（全面性+一般性）业务分析合规遵从技术落地保护信息资产数据软件硬件人员服务（针对性+特殊性）++背景描述基本概念理解需求分析与目标设定解决方案思路与框架实施方法与过程20企业数据安全典型需求人员难管授权混乱泄密管道防不胜防家底不清现状不明法律合规意识薄弱网页邮箱、即时通讯工具、FTP等互联网访问通道未全面管理；USB设备、蓝牙/红外、CD/DVD、CF/SD等外设未全面管理；笔记本、手机、相机、PAD、移动终端、传真机、扫描仪等设备未全面监控；溢出、木马、社交工程、键盘记录、屏幕截获等攻击防范不足不了解有哪些关键的数据，不能全面地评价当前的关键数据面临风险状况；不清楚数据的流转范围，时刻担心数据泄露；不清楚人员哪些数据可以访问，哪些数据不能访问；人员离职回收账号时，不清楚其到底开设了多少账号和权限；不清楚各岗位员工到底掌握多少关键的数据；职位越高，数据防范和监管水平越弱；一些泄密事件往往由于员工的无知造成；不清楚需要遵从哪些数据安全的法规和监管要求，如何遵从；一旦自身数据受到侵犯，不能有效采取有效法律手段；战略策略技术21企业在数据安全保护方面的困惑数据与业务直接相关，数据安全如何跨越IT真正为业务保驾护航？如何将数据安全建设纳入到统一的信息安全体系与合规框架中？数据安全需部署技术产品，但数量多种类杂，如何选择？如何使用？WhyWhat，Where，When，WhoHow22治理入手，管理驱动，技术落地数据安全治理数据安全管理技术控制措施要解决的问题要做的事情期望的结果•数据安全责任如何划分？•数据安全怎样长期发展？•数据有哪些？在哪里？•数据安全风险有哪些？•如何确保数据安全合规？•如何审查验证数据安全成效？•建立数据安全管理组织•委派数据安全管理职责•建立数据分类分级和保护标准•确定数据安全风险评估方法•识别法律合规需求•建立数据安全KPI评价指标•建立数据安全治理框架•让数据安全按规划发展•建立数据安全评价机制•确保数据安全法律合规•数据如何生成？•数据如何安全传输？•数据如何安全使用？•数据如何与外部安全分享？•数据如何安全存储？•数据如何安全销毁？•建立数据安全总体方针•编制数据安全管理制度•设定数据安全相关流程•数据安全岗位职责设定•数据安全意识技能培训•数据安全管理制度体系•如何高效地确保数据安全？•包括：•如何防止信息泄漏？•如何确保安全存储？•如何确保数据库安全？•如何访问控制和权限管理？•梳理并分析数据安全需求•设计技术框架和发展路线•制定解决方案•建立项目目录并立项•产品选型、采购、部署•策略配置及持续运维•数据安全技术框架体系•数据安全技术项目目录•数据安全技术解决方案•产品实施相关材料23需要建立明确的目标模型中华人民共和国保守国家秘密法ISO27001标准国家秘密及其密级的确定办法企业数据安全综合控制模型参考参考等级保护管理办法遵照遵照反不正当竞争法参考个人信息保护法示范法草案参考…………遵照遵照24自上而下考虑解决数据安全问题数据防泄漏数据存储数据库安全访问控制数据恢复传输加密问题及需求策略信息分级保护标准信息交换管理规定备份及存储规定访问控制策略权限管理规定日志审计策略帐号管理策略……角色系统/网络/数据管理安全管理安全审计帐号管理技术规范需要满足的功能？部署方式和条件？需要支持的系统？操作管理方式？自身的安全考虑？兼容性如何？可扩展性如何？如何度量？产品方案传统的技术解决方案，只针对单点的问题，无法通盘考虑，并且很难直接满足真实需求并实际解决问题全面的解决方案必须为持续发展提供规划路线自顶向下，从业务需求出发来分析问题，并从制度、组织、流程、技术标准等方面提出解决方案，而技术产品只是解决方案落实的一种手段，并且必须在咨询指导下逐步落实已经存在ISMS的情况下，信息安全后续发展和深化，必须与体系有机融合，作为体系在特定领域落地的机制背景描述基本概念理解需求分析与目标设定解决方案思路与框架实施方法与过程26数据安全解决方案管理要求第三方服务安全产品员工责任安言数据安全解决方案提供解决数据安全的整体控制方法，平衡管理要求、员工责任、安全产品、第三方服务在数据安全管理中的投入和效率。从而实现高效并可控的数据安全。27安言数据安全治理架构治理管理技术评估数据安全管理技术（T）领导监控管理反馈人员管理（P）信息流控制（D）法律责任（L）监督管理（M）数据安全基础技术（B）企业数据安全控制模型企业数据安全控制模型评估、领导和监控G01数据安全组织G03风险管理G04成熟度及度量人员管理信息流控制法律责任监督管理P01入职管理D01创建管理L01合规管理M01告警管理P02意识管理P03角色管理P04转岗管理P05离职管理P06第三方入场管理P07第三方离场管理M02检查与审计M03管理评审D02使用管理D03存储管理D04变更管理D05归档管理D06销毁管理L02事件处理L03调查取证L04媒体应对G02数据等级管理数据安全基础技术数据安全管理技术T02访问控制T03安全审计T04事件响应B01物理B02网络B03主机B04终端B05应用B06数据库T01安全存储中华人民共和国保守国家秘密法遵照遵照反不正当竞争法个人信息保护法示范法草案……遵照遵照ISO27001标准国家秘密及其密级的确定办法参考参考等级保护管理办法参考参考……29实现全方位数据安全防护背景描述基本概念理解需求分析与目标设定解决方案思路与框架实施方法与过程31整体框架及实施方法设计数据安全技术框架保密技术架构规划保密运行架构规划现状调查及需求分析业务分析信息分级风险评估管理制度体系建设制度设计制度编写制度发布技术体系建设/改造加密基础设施数据集中保护技术身份认证技术泄密通道整治意识宣贯制度培训意识宣传意识考核制度执行执行指导保密自查纠正预防成熟度测量成熟度测量成熟度报告设计数据安全模型/框架诊断Analysis设计Blueprint建设Construct执行Do评价Evaluate设计数据安全管理制度