25、数据安全与隐私保护的关键要点解析

数据安全与隐私保护的关键要点解析

1. 关键框架介绍

在当今网络犯罪日益猖獗以及企业广泛采用云计算的背景下，多个关键框架被设计出来以降低风险，这些框架大多由非营利组织推出。
- CIS（Center for Internet Security） ：这是一个非营利组织，它发布网络安全最佳实践和威胁信息，并提供工具来强化环境和进行风险管理。CIS 为不同操作系统提供基准，并提供控制措施以保障组织安全。更多详情可访问：https://www.cisecurity.org/cybersecurity-tools/ 。
- NIST Cyber Security Framework (CSF) ：NIST RMF/CSF 聚焦于个人及其对网络安全构成的风险，它取代了 NIST 的风险管理框架（RMF），旨在评估个人对政府机构的风险。CSF 信息可在 https://www.nist.gov/cyberframework 查找，RMF 信息可在 https://csrc.nist.gov/projects/risk - management/rmf - overview 查找。
- ISO（International Organization for Standardization） ：ISO 发布由专家内部商定的标准，以下是信息系统相关标准：
- 27001 - 信息安全管理系统的安全技术：https://www.iso.org/standard/54534.html 。
- 27002 - 信息安全控制实践准则，旨在改进信息管理：https://www.iso.org/standard/54533.html 。
- 27701 - 27001/27002 隐私信息管理的扩展 - 要求和指南：https://www.iso.org/standard/71670.html 。
- 31000 - 关于公司组织和一般管理的风险管理，信息可在其网站查看：https://www.iso.org/standard/65694.html 。
- SSAE（Statements on Standards Attestation Engagements） ：SSAE 18 是一项审计标准，用于提高服务组织控制（SOC）报告的质量和实用性，适用于大型组织如云服务提供商，低端报告成本约为 15,000 美元。
- SOC Type 2/3 ：SOC 报告用于帮助注册公共会计师（CPA）进行审计，增强利益相关者和潜在客户对服务的信心。
- SOC Type 2 Reports：关于用户数据安全、处理和处理内部控制的报告，确保数据保密和隐私。有两种类型，类型 1 涉及控制设计的适用性，类型 2 涉及控制的有效性。这些报告的分发受到限制，因为它们包含被审计公司的大量详细信息。
- SOC Type 3 Reports：通用报告，细节较少，可自由分发。更多 SOC 报告信息可在 https://www.aicpa.org/interestareas/frc/assuranceadvisoryservices/serviceorganization - smanagement.html 查找。

框架名称	主要作用	相关链接
CIS	发布网络安全信息，提供风险管理工具	https://www.cisecurity.org/cybersecurity - tools/
NIST CSF	评估个人对网络安全的风险	https://www.nist.gov/cyberframework
ISO 27001	信息安全管理系统安全技术	https://www.iso.org/standard/54534.html
ISO 27002	信息安全控制实践准则	https://www.iso.org/standard/54533.html
ISO 27701	隐私信息管理扩展	https://www.iso.org/standard/71670.html
ISO 31000	公司组织风险管理	https://www.iso.org/standard/65694.html
SSAE 18	提高 SOC 报告质量和实用性	-
SOC Type 2 Reports	确保用户数据安全和隐私	-
SOC Type 3 Reports	通用报告，可自由分发	https://www.aicpa.org/interestareas/frc/assuranceadvisoryservices/serviceorganization - smanagement.html

• Cloud Security Alliance（CSA） ：这是一个非营利组织，为云服务提供商（CSPs）提供各种资源，如在线培训、网络研讨会、社区讨论组和虚拟峰会。更多信息可访问：https://cloudsecurityalliance.org/online - resources/ 。其包含以下重要内容：
  • CSA CCM：为云供应商和潜在云客户提供安全原则指南，以评估云服务提供商的总体风险：https://cloudsecurityalliance.org/research/working - groups/cloud - controls - matrix/ 。
  • CSA Reference Architecture：包含 CSPs 的最佳安全实践，其使命是“促进围绕安全可信云参考架构的最佳实践和方法的研究、开发和教育”，涉及安全与风险、展示服务、应用服务、信息服务、IT 运营与支持（ITOS）和业务运营与支持服务（BOSS）等主题。

2. 基准与安全配置指南

每家公司都面临着保护服务器和计算机免受日益增多的网络安全威胁的挑战。由于服务器类型多样，如 Web 服务器、电子邮件服务器和数据库服务器，每种服务器的配置和服务不同，因此基线也不同。供应商和制造商提供平台/供应商指南，以确保产品按最佳实践配置。
- 平台/供应商特定指南 ：随新产品推出，使产品尽可能安全设置，降低被攻击的脆弱性。
- Web 服务器 ：商业公司主要使用两种 Web 服务器，微软的 Internet Information Server 和 Apache。Web 服务器为公众提供网页，是黑客的主要目标。微软和 Apache 都提供安全指南，帮助安全团队减少攻击面，提高安全性。例如，微软的《Best Practice to Protect Internet Facing Web Servers》可在 https://social.technet.microsoft.com/wiki/contents/articles/13974.microsoft - security - best - practices - to - protect - internet - facing - web - servers.aspx 找到。Web 服务器安全指南依赖于最新更新、关闭不必要的服务以及强化操作系统。
- 操作系统 ：大多数供应商（如微软）提供安装操作系统的最佳实践指南，以确保其安全可靠。
- 应用服务器 ：供应商提供设置应用服务器（如电子邮件服务器或数据库服务器）的指南，降低被攻击的风险。
- 网络基础设施设备 ：思科为高端网络设备提供基础设施升级指南，公司可在升级网络设备时遵循最佳实践：https://www.cisco.com/c/en/us/support/ios - nx - os - software/ios - 15 - 4m - t/products - installation - and - configuration - guides - list.html 。

graph LR
    A[服务器类型] --> B[Web 服务器]
    A --> C[电子邮件服务器]
    A --> D[数据库服务器]
    B --> E[微软 IIS]
    B --> F[Apache]
    E --> G[微软安全指南]
    F --> H[Apache 安全指南]
    C --> I[应用服务器指南]
    D --> J[应用服务器指南]

3. 隐私和敏感数据概念

3.1 隐私泄露的组织后果

如果公司遭遇数据泄露，可能会产生以下后果：
- 声誉损害 ：数据泄露公开后，公司品牌可能受损，失去公众信任，导致销售额下降。
- 身份盗窃 ：客户数据被盗用于身份盗窃，公司可能会被起诉要求赔偿。
- 罚款 ：数据泄露可能导致监管罚款，如欧盟 GDPR，最高罚款为 2000 万欧元或公司全球年营业额的 4%，取两者中较高者。
- IP 盗窃 ：竞争对手可能窃取版权材料、商业秘密和专利，导致公司收入损失，且在某些国家可能无法通过法律途径追回数据。

3.2 违规通知

国家法律和法规规定了数据泄露的报告方式和报告对象。数据泄露通常指数据被盗或意外泄露，表明现有政策无效。发现违规后，需采取以下行动：
- 升级 ：任何数据泄露，无论大小，都应立即报告给 CEO，因为公司可能面临法律诉讼，不遵守规定可能会被罚款。
- 公开通知和披露 ：可能需要联系警方、监管机构、客户和受影响的个人。欧盟 GDPR 法律允许公司在 72 小时内通知相关方。在英国，必须遵守 1988 年《数据保护法》；在美国，如果是医疗数据，必须遵守 HIPAA。

3.3 数据类型

有多种类型的数据，了解每种数据的特点对于正确处理数据至关重要。以下是不同的数据分类：
- 公共数据 ：任何人都可访问的数据，如昨天的新闻、传单或宣传册。
- 私人数据 ：个人不想披露的数据，也可归类为敏感数据。
- 敏感数据 ：个人相关的私密数据，如性取向、政治、宗教、种族或健康相关数据：https://ec.europa.eu/info/law/law - topic/data - protection/reform/rules - business - and - organisations/legal - grounds - processing - data/sensitive - data/what - personal - data - considered - sensitive_en 。
- 机密数据 ：研发（R&D）和法律数据，披露会对公司造成损害，也可称为机密数据。
- 关键数据 ：公司不想披露的数据，可能会进行分类和加密以防止他人读取。
- 专有数据 ：公司生成的数据，如商业秘密或研发部门的工作成果。
- 个人身份信息（PII） ：可识别个人的信息，如出生日期、生物特征信息或社会安全号码。
- 受保护的健康信息（PHI） ：存储在个人医疗记录中的信息。
- 财务信息 ：公司银行账户、股本和投资等数据，也可能是信用卡信息和工资数据。
- 政府数据 ：政府机构收集的数据，共享规则严格，通常仅在内部共享。与政府合作的承包商在合同结束和处理合同中使用的数据时需遵循严格规则。
- 客户数据 ：组织持有的关于每个客户的数据，不得泄露，处理客户的账户经理数据也归类为客户数据。

数据类型	定义
公共数据	任何人可访问的数据
私人数据	个人不想披露的数据
敏感数据	个人私密相关数据
机密数据	研发和法律等数据，披露有损害
关键数据	公司不想披露，可能加密的数据
专有数据	公司生成的商业秘密等数据
个人身份信息（PII）	可识别个人的信息
受保护的健康信息（PHI）	医疗记录信息
财务信息	公司财务相关数据
政府数据	政府机构收集，共享规则严格的数据
客户数据	组织持有的客户相关数据

3.4 隐私增强技术

为增强个人身份信息（PII）存储的安全性，可采用以下技术：
- 数据最小化 ：只收集必要的数据，数据保留应符合法规，并反映在数据保留政策中。
- 数据掩码 ：在数据字段中只保留部分数据，防止原始数据被盗。例如，信用卡号码字段可能只显示最后四位： * 3545 。
- *令牌化 ：用随机生成的令牌替换有意义的数据，原始数据存储在保险库中。这种方法比加密更强，无状态，密钥不存储在本地。
- 匿名化 ：GDPR 第 26 条将匿名化数据定义为“以数据主体无法或不再可识别的方式进行匿名化的数据”。应删除、替换或扭曲个人标识符，可用于保护 PII。例如，查看社会安全号码时，由于姓名已被删除，无法识别所属个人。
- 伪匿名化 ：修改或替换数据，若要恢复原始数据，需依赖与原始数据分离的另一个数据源。欧盟 GDPR 第 4(5) 条规定，伪匿名化是“以一种方式处理个人数据，使得在不使用额外信息的情况下，个人数据无法再归因于特定数据主体，前提是该额外信息单独保存，并采取技术和组织措施确保个人数据不会归因于已识别或可识别的自然人”。

4. 数据角色和责任

处理数据涉及不同的角色和责任，从创建数据的所有者到存储和控制数据的人员，每个角色都有其特定的职责：
- 数据所有者 ：负责对数据进行分类，并决定谁可以访问数据。
- 数据控制器 ：确保所有收集的数据及其存储合法，并遵循合规法规，负责调查数据泄露事件。
- 数据处理器 ：代表数据控制器操作，确保数据的收集、存储和分析符合法规（GDPR 第 30 条）。
- 数据保管人/管理员 ：管理员负责标记数据，保管人负责存储和管理数据，确保数据加密并定期备份。
- 数据隐私官（DPO） ：隐私法或数据保护法禁止披露或滥用个人信息，DPO 的职责是确保个人身份信息（PII）的处理、使用、保留和处置符合国家法律和监管框架。

5. 信息生命周期

信息生命周期包括数据从创建到销毁的整个过程：
- 创建 ：数据可以由某人填写表格生成，也可以通过邮件收集。
- 使用 ：按照最小权限原则访问数据，仅用于预期目的。
- 保留 ：遵守数据保留政策，以符合监管框架，可能需要存档数据多年。
- 处置 ：数据收集目的达成后，必须使用最佳和最有效的数据清理方法，确保没有数据残留。

graph LR
    A[创建] --> B[使用]
    B --> C[保留]
    C --> D[处置]

6. 影响评估

评估收集大量数据的风险，并寻找降低风险的工具。例如，在医院工作时，患者需要提供同意书以便医生进行手术，每周可能收集 1000 份此类表格，可决定使用 SharePoint 服务器存储，确保数据集中管理，避免因文书错误丢失。

7. 协议条款

这是数据收集者与数据被收集者之间的协议，概述了数据收集的目的。

8. 隐私通知

获得同意意味着如果允许收集个人数据，数据只能用于预期目的。例如，提供电子邮件和个人手机号码用于开设账户购买商品，将这些信息发送给营销部门用于定向营销是非法的。

9. 复习问题

以下是一些复习问题，可用于检验对相关知识的掌握程度：
1. 什么是风险管理中的漏洞？
2. BPA 的目的是什么？
3. 多方风险是什么？
4. 什么是 IP 盗窃？
5. MOU 和 MOA 有什么区别？
6. 什么是令牌化，为什么它比加密更强？
7. IT 团队的一名初级成员安装了超过公司购买许可证允许数量的软件副本，他们进行了什么操作？
8. ISA 的目的是什么？
9. 影子 IT 威胁行为者如何操作，哪些类型的攻击可能受益于他们的行动？
10. 什么是固有风险？
11. 信息生命周期的四个阶段是什么？
12. 为什么要使用 STIX\TAXII？
13. 在财务部门引入职责分离有什么好处？
14. 风险登记册的目的是什么？
15. 什么是影响评估？
16. 一家公司屋顶漏水，在修复前遭遇大雨，导致 6 台笔记本电脑被水损坏，这属于哪种类型的灾难？
17. 工作轮换的目的是什么？
18. 隐私通知的目的是什么？
19. 什么是数据掩码？
20. 如果一家公司遭遇数据泄露，若其一名客户遭遇身份欺诈，会有什么影响？
21. 什么是 SOC 类型 2 报告，其分发情况如何？
22. 强制休假的目的是什么？
23. 审计人员为什么要寻找可能导致整个计算机系统故障的单个项目？
24. 风险评估的第一阶段是什么？
25. 恶意软件信息共享项目提供哪种类型的威胁情报？
26. 你的公司进行了桌面演练，随后进行了实地演练，执行了哪种类型的计划？
27. 公司为什么要引入整洁桌面政策？
28. 为什么有人会使用网站 www.virustotal.com？
29. 如果有人自带笔记本电脑在工作中使用，除了入职政策，还应引入什么政策？
30. 离职面谈的目的是什么？
31. MITRE ATT&CK 框架的用途是什么？
32. GDPR 的目的是什么？
33. 哪种类型的黑客可能会参与漏洞赏金计划？
34. 使用暗网工具的黑客如何保持匿名？
35. 夺旗赛的目的是什么？
36. 风险规避的目的是什么？
37. 风险转移的目的是什么？
38. 谁使用 AIS，其分发情况如何？
39. ISO 标准 27701 的目的是什么？
40. 行为规则是什么？
41. IOCs 的目的是什么？
42. 脚本小子的动机是什么？
43. 公司为什么要开展年度安全意识培训计划？
44. 如果我试图出售我的汽车，并使用我的 Gmail 账户向公司的每个人发送相关电子邮件，会发生什么？
45. 为什么要对我的主要供应商之一进行风险评估？
46. BIA 的驱动力是什么？
47. RPO 和 RTO 之间有什么关系？
48. 从 MTTR 可以确定什么信息？
49. 哪种类型的威胁行为者可能会损坏公司的生产系统？
50. 哪种类型的威胁行为者会要求你付款或威胁在社交媒体上公布你持有的客户信息？
51. MTBF 的目的是什么？
52. SSAE 的目的是什么？
53. SLE 的目的是什么，如何计算？
54. 如何计算 ALE？

数据安全与隐私保护的关键要点解析

10. 关键框架总结与对比

为了更清晰地理解各个关键框架的特点和适用场景，我们对前面介绍的框架进行总结和对比。

框架名称	适用对象	主要功能	报告特点	成本
CIS	各类组织	发布网络安全最佳实践和威胁信息，提供风险管理工具和操作系统基准	无特定报告	免费资源为主
NIST CSF	关注个人对网络安全风险的场景，包括政府机构	评估个人对网络安全的风险	无特定报告	无明确成本
ISO 27001	需要建立信息安全管理体系的组织	提供信息安全管理系统的安全技术标准	无特定报告	认证费用因组织规模和复杂程度而异
ISO 27002	注重信息安全控制的组织	提供信息安全控制实践准则	无特定报告	认证费用因组织规模和复杂程度而异
ISO 27701	涉及隐私信息管理的组织	作为 27001/27002 的扩展，提供隐私信息管理要求和指南	无特定报告	认证费用因组织规模和复杂程度而异
ISO 31000	各类公司组织	提供公司组织风险管理标准	无特定报告	认证费用因组织规模和复杂程度而异
SSAE 18	大型组织如云服务提供商	提高服务组织控制（SOC）报告的质量和实用性	基于 SOC 报告	低端报告成本约 15,000 美元
SOC Type 2 Reports	需要详细评估内部控制的组织	评估用户数据安全、处理和处理内部控制的有效性	详细，分发受限	与 SSAE 18 相关成本
SOC Type 3 Reports	需要通用报告的组织	通用报告，用于增强利益相关者信心	简略，可自由分发	与 SSAE 18 相关成本
CSA CCM	云服务提供商和潜在云客户	为云供应商和潜在云客户提供安全原则指南，评估云服务提供商总体风险	无特定报告	无明确成本
CSA Reference Architecture	云服务提供商	提供云服务提供商的最佳安全实践，涉及多个安全相关主题	无特定报告	无明确成本

通过这个表格，我们可以更直观地看到各个框架在适用对象、主要功能、报告特点和成本方面的差异，有助于组织根据自身需求选择合适的框架。

11. 数据安全措施的综合应用

在实际应用中，组织需要综合运用各种数据安全措施，以构建全面的数据安全防护体系。以下是一个示例，展示如何结合不同的数据安全措施来保护公司的数据。

假设一家金融科技公司，拥有大量的客户财务信息和交易数据，面临着来自网络攻击、数据泄露等多方面的风险。为了保障数据安全，该公司可以采取以下措施：

• 数据分类与管理 ：

  • 数据所有者对公司的数据进行分类，确定哪些是公共数据、私人数据、敏感数据等。例如，客户的交易记录属于敏感数据，公司的市场调研报告属于机密数据。
  • 数据管理员根据分类结果对数据进行标记，确保数据在存储和传输过程中能够被正确识别和处理。
  • 数据保管人负责存储和备份数据，采用加密技术对敏感数据进行加密，定期进行数据备份，以防止数据丢失。

• 安全框架遵循 ：

  • 遵循 ISO 27001 标准建立信息安全管理体系，确保公司的信息安全管理有章可循。
  • 利用 CSA CCM 评估云服务提供商的安全性，如果公司使用云服务存储数据，确保云服务提供商符合安全要求。
  • 定期进行 SSAE 18 审计，生成 SOC 报告，向客户和合作伙伴展示公司的数据安全控制能力。

• 隐私增强技术应用 ：

  • 在收集客户数据时，采用数据最小化原则，只收集必要的信息。例如，在客户注册时，只要求提供姓名、联系方式和基本身份信息。
  • 对于客户的信用卡信息等敏感数据，采用数据掩码技术，只显示部分信息，如只显示信用卡的最后四位数字。
  • 对客户的个人身份信息进行令牌化处理，将原始数据存储在安全的保险库中，提高数据的安全性。

• 安全意识培训 ：

  • 开展年度安全意识培训计划，提高员工对数据安全和隐私保护的认识。例如，培训员工如何识别钓鱼邮件、如何正确处理敏感数据等。
  • 制定严格的员工行为规则，明确员工在数据处理过程中的责任和义务，对违反规定的行为进行严肃处理。

graph LR
    A[数据分类与管理] --> B[安全框架遵循]
    A --> C[隐私增强技术应用]
    A --> D[安全意识培训]
    B --> E[数据安全防护体系]
    C --> E
    D --> E

12. 数据泄露应急处理流程

尽管采取了各种数据安全措施，但数据泄露事件仍有可能发生。因此，组织需要建立完善的数据泄露应急处理流程，以降低数据泄露带来的损失。以下是一个典型的数据泄露应急处理流程：

1. 发现与确认 ：通过安全监控系统、员工报告等方式发现数据泄露事件，并进行初步确认。例如，发现数据库中的数据被异常访问，或者收到客户反馈个人信息被泄露。
2. 事件评估 ：评估数据泄露的严重程度，包括泄露的数据类型、数量、影响范围等。例如，判断泄露的数据是敏感数据还是公共数据，是否涉及大量客户信息。
3. 内部通报 ：立即将数据泄露事件通报给相关部门和高层管理人员，包括 IT 部门、法务部门、公关部门等。
4. 调查与溯源 ：IT 部门对数据泄露事件进行调查，找出泄露的原因和源头。例如，确定是由于系统漏洞、员工误操作还是外部攻击导致的数据泄露。
5. 采取措施 ：根据调查结果采取相应的措施，如修复系统漏洞、加强安全控制、暂停相关业务等。例如，如果是系统漏洞导致的数据泄露，及时对系统进行补丁更新。
6. 通知相关方 ：根据法律法规的要求，通知受影响的客户、监管机构和合作伙伴。例如，在欧盟地区，需要在 72 小时内通知相关方。
7. 后续处理 ：对数据泄露事件进行总结和反思，改进数据安全措施，避免类似事件再次发生。例如，加强员工培训、完善安全管理制度等。

graph LR
    A[发现与确认] --> B[事件评估]
    B --> C[内部通报]
    C --> D[调查与溯源]
    D --> E[采取措施]
    E --> F[通知相关方]
    F --> G[后续处理]

13. 数据安全的未来趋势

随着信息技术的不断发展和数据安全威胁的日益增加，数据安全领域也呈现出一些新的趋势。

• 人工智能与机器学习的应用 ：人工智能和机器学习技术将在数据安全领域发挥越来越重要的作用。例如，通过机器学习算法可以实时监测网络流量，识别异常行为和潜在的安全威胁；利用人工智能技术可以自动分析安全事件，提供更准确的风险评估和预警。
• 零信任架构的普及 ：零信任架构基于“默认不信任，始终验证”的原则，将不再信任企业内部网络和外部网络的边界，对任何试图访问企业资源的用户、设备和应用都进行严格的身份验证和授权。这种架构可以有效防止内部人员的违规操作和外部攻击。
• 隐私计算的发展 ：隐私计算技术可以在保护数据隐私的前提下进行数据分析和挖掘。例如，通过多方安全计算、同态加密等技术，不同组织可以在不共享原始数据的情况下进行联合数据分析，实现数据的价值共享。
• 法规和合规要求的加强 ：各国政府对数据安全和隐私保护的法规和合规要求将越来越严格。例如，欧盟的 GDPR 已经对全球的数据安全和隐私保护产生了深远影响，未来可能会有更多的国家和地区出台类似的法规。

14. 复习问题解答示例

为了帮助大家更好地理解和掌握相关知识，以下是部分复习问题的解答示例。

1. 什么是风险管理中的漏洞？
   漏洞是指系统、应用程序或网络中存在的弱点或缺陷，这些弱点可能被攻击者利用，从而导致数据泄露、系统故障或其他安全问题。例如，软件中的缓冲区溢出漏洞、操作系统的配置错误等都可能成为攻击者的突破口。

2. 什么是令牌化，为什么它比加密更强？
   令牌化是用随机生成的令牌替换有意义的数据，原始数据存储在保险库中。与加密相比，令牌化更强的原因在于：

   • 无状态：令牌化不依赖于特定的加密密钥，不需要进行复杂的加密和解密操作，因此更易于管理和维护。
   • 密钥不存储在本地：令牌化的密钥存储在远程的保险库中，即使本地系统被攻击，攻击者也无法获取到原始数据的加密密钥，从而提高了数据的安全性。

3. 信息生命周期的四个阶段是什么？
   信息生命周期包括创建、使用、保留和处置四个阶段。

   • 创建：数据通过填写表格、邮件收集等方式生成。
   • 使用：按照最小权限原则访问数据，仅用于预期目的。
   • 保留：遵守数据保留政策，确保数据在规定的时间内被妥善保存。
   • 处置：在数据收集目的达成后，采用合适的数据清理方法销毁数据，确保没有数据残留。

通过对这些复习问题的解答，我们可以进一步加深对数据安全和隐私保护相关知识的理解。在实际应用中，我们需要不断学习和掌握新的知识和技能，以应对不断变化的数据安全挑战。