您还未登录! 登录 | 注册 | 帮助  

您的位置: 首页 > 软件开发专栏 > 网络/安全 > 正文

5分钟掌握商业数据保护的科学方法

发表于:2018-01-30 作者:Carrie 来源:安全牛

一、巴拿马文件泄密

数据泄露无时无刻不在发生。我认为最有意思的是商业数据泄露事件,本文就以2016年巴拿马文件(Panama Papers)泄密案例为切入点。

作为一家网络安全、数据安全厂商,这些事件对我们来说无疑是最好的激励,平日挂在嘴边的风险和威胁变得如此真实。我们的使命就是减少泄露事件的发生,即便发生了,也要将泄露损失降到最低。具体的实现方式有很多,本文主要讨论的是保护关乎企业正常运营的关键数据。

巴拿马文件泄露规模(总量2.6TB)

巴拿马文件泄露规模(总量2.6TB)

Panama Papers披露的泄密数据比维基解密、离岸解密(Offshore Leaks)、 Lux Leaks和Swiss Leaks这几个解密网站披露的数据总和还要多。因此,该事件位居数据泄露规模榜“榜首”。

泄露的数据包括:

  • 2.6TB数据,时间跨度为Mossack Fonseca创立的1977年到2015年12月;
  • 1150万份文件,包括电子邮件通信和法律合同;
  • 12位政府首脑、128政府官员和29位福布斯上榜亿万富翁使用的21.4万个空壳公司名单。

小企业遭遇泄露的事件概率显然更高,他们没有专人保护公司数据,也不会部署大量防护基础设施。小企业最大的优势也是较小的运营规模和较低的运营成本。但是如果在他们成立之初付出一丢丢的努力,形成在商业数据保护方面良好的安全习惯,其存活寿命可能也会更长。

Panama Papers泄露文件类型

Panama Papers泄露文件类型

从上至下为:邮件、数据库格式、PDF、图片、文本文档、其它。

每个企业几乎都在进行着敏感数据的收集、存储以及使用活动。这些数据不仅指信用卡信息,还包括很多商业信息(例如,财务数据、人力数据、员工工资等)。此外,可能还会牵扯到提供某些服务的第三方公司,有时候他们也会获得某些敏感信息的访问权限。

二、数据分类

想要保护自己的数据,首先要对这些数据进行分类。我们把数据分成3种状态:

  • 传输中的数据(动态数据)
  • 使用中的数据
  • 存储中的数据(静态数据)

虽然这些术语已经沿用多年,这里我还是想啰嗦地解释一下。“静态数据”指的是存储在磁盘上的数据,包括本地的和远程的(例如,贵司2014年的财务结算资料)。“使用中的数据”是指正在被频繁访问的数据(例如正在积极实施的战略性文档)。“动态数据”指的是以某种形式移动的数据(比如聊天媒介中的通信信息或在网络表单上捕获到的数据)。

有人可能会认为,我所有的数据都应该受到保护。但这只是理想状态,保护所有数据几乎是永远都不可能实现的状态。并且,在很多情况下,这也是不必要的。

细化数据分类是最重要也是最必要的方法。军队中有普通、秘密、绝密等信息等级。你也可以按敏感数据、非敏感数据这样简单的方式进行分类。

下面是一个数据分类方案的举例:

数据分类方案的举例

三、保护核心商业数据的万全之策——“数据防泄漏”与“数据脱敏”解决方案

运用最新的科学技术解决用户的关键痛点。

数据防泄漏(Data loss prevention,简称:DLP)是以数据内容为核心,一种确保用户在公司网络之外不发送敏感或关键数据的策略。DLP产品通过制定精准的策略对敏感和关键数据进行分类和保护,使未经授权的数据不能意外的或恶意的共享。

数据泄漏防护是一个全局的过程,需要通过对数据进行内容级的发现、分析、管控等处理,防止给用户带来风险的敏感数据被无意或恶意的泄漏,对存储、传输、使用中的敏感数据进行主动防御,实现全生命周期数据泄漏防护,从而大大提升用户在数据层面的 "免疫力"。

  • 以数据内容为核心:中文意义、中文分词、OCR;
  • 防护与部署:终端、网络阻断、网络审计、串联部署、旁路代理;
  • 智能分类;
  • 支持分布式部署;
  • 阈值匹配灵活。

此外,通常来说,核心商业数据(如商业秘密等)在使用过程中要发挥其作用和价值,需要保证数据处于可访问、非加密的状态,然而在非加密状态下如何保护这些数据就比较复杂,传统的解决思路就是采取精细化的访问控制措施,实施“最小特权原则”。

但是这种传统方式会越来越失去吸引力和作用,即使是“最小特权”,一旦这个“特权人”遭到网络攻击,还是会引起泄露。因此,解决数据安全与使用之间的矛盾,用数据脱敏不失为一种良性的解决方案。市面上不乏数据脱敏提供商,而世平数据脱敏系统所具备高度自动化、深度内容识别、脱敏方式丰富、全程可视等特色将能够为用户提供最优化的脱敏解决方案。

四、总结:保护商业数据至关重要

商业数据(如商业秘密等)是企业稳定发展的命脉,希望全球所有的企业都能够重视数据保护。同时,引入专业厂商十分有必要,与其自己埋头研究、承担项目失败的巨大风险,不如合理利用资源,实现共赢。