怎樣在日益不安全的環境中保護數據

Myles Suer

保護數據只會變得越來越困難。首席信息官們準備好保護最重要的企業資產了嗎？

如果數據是企業的生命線，那么企業應怎樣保護它呢。Michelle Finneran Dennedy在其著作《隱私工程師宣言》中描述了信息時代保護數據的五個階段：

1.防火墻

2.內網

3.外網

4.接入

5.智能

問題是，在保護數據的過程中，首席信息官應怎樣定位自己？這是我們最近在每周#CIOChat推特聊天會話中討論的話題。

首席信息官是否應該專注于打造更堅固的堡壘？

首席信息官們顯然有兩種截然不同的觀點。有人認為，堡壘雖然是過去的思維模式，但它仍然很重要。他們認為堡壘代表了第一道防線，但也必須對訪問權限和使用進行限制。

這些首席信息官們斷言，如果只是為了阻止垃圾流量和DDoS數據流，那么不應該完全放棄自己的邊界。他們認為邊界是基礎。這些首席信息官們認為，IT部門在今后要進一步做好數據安全和訪問權限方面的工作。他們接著說，堡壘必須堅固，但在保護企業的整個鏈條上，人員部分是最薄弱的環節。如果有人得到了員工的憑證，特別是如果他們拿到了員工的手機，并且破解了弱密碼，那么他們就能攻破多重身份驗證。堡壘就在這里被摧毀了。

然而，其他首席信息官們則認為堡壘思維類似于“法國馬其諾防線”。這些首席信息官們指出，堡壘式的安全注定要失敗。他們認為傳統的安全模式就像蛋殼。當從兩端按壓時，它們很結實，但擠壓或者拉伸就會破裂。出于這個原因，他們認為歷史上的堡壘已經被證明是失敗的。

這些首席信息官們說，我們不應該再使用堡壘城墻了。盡管他們建議要保持周界干凈，但他們說重點應轉移到基于模式和行為的安全措施上。他們建議，IT領導們從當前的靜態安全方法轉向朝著更積極并且能持續評估的態勢發展。這些首席信息官們認為數據安全與分類和使用特性有關。他們贊成數據所支持的應用程序應該是“設計上安全”。

這些首席信息官們把身份和訪問管理視為邊界代理。他們說，出于這一原因，在掌握了訪問層和外部入口點的情況下，重要的是集中精力保護好數據。同時，他們認為現在不應該只是緊緊抓住數據不放了。他們說，我們不但要保護數據，同時還要通過適當的API為相應的人群提供數據。他們相信，保護措施越是嚴格，越是有更多的數據泄露出去。

顯然很難做好與數據相關的治理和網絡安全工作。而這正是它吸引人并且富有挑戰性的原因。這些首席信息官們認為我們都接受這樣一個事實，即，沒有辦法把所有人一直都擋在外面。因此，在不安全的環境中保護數據，歸根結底就是怎樣控制好具有訪問權限的人的訪問。

鑒于此，相應地管理風險是很重要的。一般來說，首席信息官們對不同層級加密方法以及每層的安全監控/監視措施感到滿意。此外，他們也同意不同的用戶——合作伙伴、用戶或者消費者，應該具有不同的可信級別，按照一定規則去訪問數據。順便提一下，一位首席信息官說，他們聽說有一位首席信息官開始拆除防火墻，而且不采用更復雜的解決方案。他們認為這是違反直覺的，但有點意思。

首席信息官能通過端點監管更好地保護數據嗎？

首席信息官們說，采取零信任的立場非常重要，首先要考慮到一切都可能被攻破，但是，從哪里跌倒就從哪里爬起來。他們認為，像自帶設備這樣的東西，以及能通過不恰當的方式提取數據等，這些都意味著目前的方法是不行的。在每一設計或者策略決策過程中，必須綜合考慮可訪問性和靈活性約束以及安全需求進行設計。

首席信息官堅信不能忽視端點的安全。他們說，工作要堅持下去，但應該建立在損失可承受的策略基礎上。他們說，從保護源端數據開始，然后回到傳送和設備級別上。IT部門應做好端點安全基礎工作（管好管理密碼，把它們放在單獨的VLAN上，等等），但除此之外的“監管”工作成本可能會非常高，特別是對于小企業。

首席信息官認為，端點安全（以及傳輸中的加密）是必須的。檢查SaaS和COTS，看看端點上的數據具有哪些高速緩存/保存/安全措施，這應該是該過程的一部分。一位首席信息官建議，傳統的監管做不到這些，積極主動的監管是更好的解決方案。一位首席信息官說，從最小權限開始，但一定要驗證數據流的真實性。

還有的首席信息官指出，除非所有的客戶群、技術供應商和應用程序都在同一防火墻后面，否則端點監管本身無法阻止出現泄露事件。應采取數字權限管理、加密和訪問控制措施。但是，要清楚在屏幕上是否能看到數據，實際上只需一部智能手機就可以捕獲數據。

首席信息官們說，目前大部分成功的攻擊都來自網絡釣魚和社會工程攻擊，而不是由于技術漏洞造成的。因此，這需要新的方法。首席信息官們說，端點監管并不能防止社會工程攻擊。所以，越來越重要的是能夠通過加密和使用可以匯集和細分風險的工具來進行保護。一位教育行業的首席信息官表示，在企業中，對用戶設備有很多的控制措施，但在高校，大部分終端設備都是自帶設備。出于這個原因，他們說應在訪問/權限層進行保護。總之，首席信息官說的是端點監管，而保護數據不同于此。

首席信息官應該怎樣進行數據治理才能真正保護數據？

首席信息官們說，數據治理是其核心所在。他們還說，最困難的可能是怎樣得到一個持久可行的解決方案。然而，有了數據治理，就可以確定需求，使設計和架構正常工作。

首席信息官們認為，對IT領導來說，重要的是了解企業各部門。他們應定期評估部門需求，具備應變能力。這涉及到計劃、執行和評估。首席信息官們歡迎的是能夠加強和改進治理和管理工作的領導。此外，他們還應該知道數據治理并非一蹴而就，實際需要很長的時間。重要的是，首席信息官們認為企業必須擁有數據治理和管理權。否則，首席信息官將因此而失敗。

開始對話的最好方法是讓業務部門定義什么是最關鍵的，什么不重要，以及他們希望IT部門保護數據多長時間。IT部門不應該自己決定。此外，首席信息官們指出，IT領導應該讓業務部門承擔數據管理角色，并構建流程，以產生質量良好的數據。首席信息官們可以通過對數據進行智能分析來展示自己的價值。

在適當的情形下，優先級清理過程就是一個很好的例子。首席信息官們說，除了批準的業務流程外，其他所有業務流程都要刪除社保號碼，而且每年都要對這些號碼進行審查。他們建議IT領導們應尋找機會來優化舊的流程。同時，暴露數據問題、選擇數據所有者，然后實施數據治理也是非常重要的。

一般來說，首席信息官們認為，討論數據治理會涉及很多技術術語。如果你想讓業務領導參與進來，就必須避免這種情況。首席信息官們說，只有讓合適的人參與進來才能確定哪些是需要的，哪些是已經存在的。這包括法律部門、記錄管理、DBA、產品所有者和人力資源等。首席信息官們認為，重要的是要有了解數據和內容的信息治理專業人員，帶領部門完成識別和保護數據資產的過程。

首席信息官們表示，數據檢查非常重要，特別是當領導層要求他們的數據倉庫必須井然有序時——因為有人可能會隱藏數據。鑒于此，首席信息官們應該與業務部門開展有關數據定義、類型和風險概況的對話。首席信息官們歡迎對這些問題有一些基本了解的業務領導。

一位首席信息官講了一些令人驚訝的事情。他說，在很多行業中，很少有私有數據。考慮到這一點，他認為，把業務重點放在需要保護的事項上非常重要。首席信息官們也表示，IT領導應該記住，數據保護不是二元的——要么有要么沒有。數據治理過程中總是要考慮到其他的行、字段、層次結構或者使用情景。

首席信息官們認為，是可用性和便利性推動了行為模式。如果很難保證數據安全，他們說會出現替代方法。從一開始就要確保數據所有者是解決方案的一部分，這一點很重要。對于一些首席信息官來說，遷移到云端是改變局面的好機會。他們認為，這是一個能更充分地使用越來越內置的安全功能和加密的機會。他們還認為這也是一個通過設計創造更好的端到端安全的機會。

同時，過程透明也很重要。很多部門發現了數據保護問題而不報告。一位首席信息官憤怒地指出，在最近進行的每一次安全審查中，他們都發現了由IT部門悄悄修復的漏洞，而業務領導對此毫不知情。

首席信息官怎樣保證隱私受到保護？

首席信息官們說，作為數據治理的一部分，通常需要圍繞使用數據的系統和應用程序開展設計。這需要政策、良好的意識和培訓，才能投入戰斗。一位首席信息官在此表示，如果我們在美國有像樣的隱私法就好了。

首席信息官們堅持應該把隱私保護設計到應用體驗中。雖然GDPR是語義上的，但它獨立于數據本身，并且與數據的使用、存儲和可用性關系更密切。因此，隱私存在于方法、過程和技術中，而不是在數據本身中。首席信息官們認為應用程序有一個安全模型很重要。一位首席信息官表示，他們雖然很欣賞GDPR的意圖和概念，但實施起來卻很難。它要求對任何新功能都要進行解決方案設計，以方便管理。

首席信息官們認為，重要的是從一種理念開始，即，如果不需要，就不要去收集，并始終為用戶提供一種查看和刪除自己數據的方法。顯然，如果你周圍沒有成堆的數據，那么就比較容易管理隱私。同時，首席信息官們表示，在應用程序設計中做好基于角色的設計工作是很重要的。應該逐步把內部可信角色轉移給合作伙伴，然后轉移給消費者或者外部。最困難的是確保你的合作伙伴隱私符合你自己的策略。這可能涉及與合作伙伴的合同管理和審計。

同時，你不應該允許DBA（數據庫管理員）持有所有的密鑰，這樣做太草率。黑客們變得聰明起來，開始針對這些人進行社會工程攻擊。我們應改變默認情況下使用安全框架來實現數據保護和隱私的思維模式。總之，如果不需要，就不要去收集和保存數據。

首席信息官應該優先將哪10件事列入數據保護投資清單？

首席信息官的清單上有很多事項。以下列出了前10個事項：

1. 員工教育和培訓。

2. 對數據進行保存和審計，知道怎樣訪問數據，并對風險進行評估。

3. 高管贊成、擁護和所有權。

4. 良好的內部溝通。

5. 評估哪些工作做的不錯，包括治理、政策和部門員工技能。

6. 負責合并和應用持續變化和風險的治理主管。

7. 關注外部隱私。

8. 將風險匯集在一起以縮小響應和支出焦點的好工具。

9. 很好的數據保護工具（數據加密、網絡模式分析、設備保護、威脅檢測、網絡邊緣惡意軟件刪除、端點保護和多重身份驗證登錄等）。

10.為員工提供安全編程培訓，讓他們保持零信任的姿態。

首席信息官們清楚地認識到需要通過優秀的人員、流程和技術來保護數據。但他們也意識到僅憑自己無法做到這一點。這要求所有人的配合，包括業務領導和所有員工。記住這些，并且還有良好的政策和治理措施，IT部門可以幫助業務部門在越來越不安全的環境中更好地保護數據。

據LeadTails，Myles Suer是排名第9的最有影響力的首席信息官。他也是CIOChat的推動者，CIOChat有來自世界各地的銀行、保險、教育和政府等行業的高管參與其中。

原文網址

https：//www.cio.com/article/3407846/protecting-data-in-an-increasingly-insecure-world.html