數據安全“學習三問”

何靜

何為數據安全

數據安全指的是用技術手段識別網絡上的文件、數據庫和帳戶信息等各類數據集的相對重要性、敏感性與合規性等，并采取適當的安全控制措施對其實施保護的過程。

與邊界安全、文件安全和用戶行為安全等其他安全問題相同，數據安全并非是唯一一種能提升信息系統安全性的技術手段，也不是一種能全面保障信息系統安全的技術手段。它就是一種能夠合理評估及減少由數據存儲所帶來的安全風險的技術方式。

為什么需要數據安全

如果數據安全流程只是構建單位信息安全體系的眾多技術手段之一，那么，與其他技術手段相比，它的優點何在？

從廣義上講，大多數其他安全技術手段都是以用戶為中心的，它們關注的是以下這些問題：

某用戶是否能夠訪問某數據;

某用戶是否有權加入某網絡;

某用戶是否在濫用系統資源。

對于保障信息系統安全而言，上述這些都是非常重要的工作，但在真實信息系統的安全建設過程中，上述問題的解決卻可能遭遇大量的現實問題。例如，在一個有上百甚至上千臺服務器的大型單位網絡中，實際情況往往是服務器使用權限設置隨意、大量過期用戶身份存在，要想掌握用戶對資源的訪問情況更是不可思議。

以數據為中心的安全模型是換一個角度解決上述安全問題的方法。

如何實現數據安全

1.數據安全模型VS用戶安全模型

設想一種場景，某企業客服部的一個員工將包含大量客戶個人身份隱私信息（如身份證號、電話號碼等）的Excel文件放在了一個公司所有人均有權訪問的共享文件夾中。

若以用戶中心模型考慮此問題，得出的結論是：問題不大，所有人都有該文件夾的訪問權。然而，以數據安全模型考慮此問題，則會發現：這是個嚴重的安全問題，因為包括實習生和外包運維人員等在內的所有人都能獲得這些敏感信息。由此可見，在不少場景下，數據安全模型與用戶安全模型的應用效果可能產生巨大的差別。

上述場景也表明，數據安全模型的應用還依賴于一個前提條件——數據分類。

2.如何實施數據分類

數據分類是指把具有某種共同屬性或特征的數據歸并在一起，通過其類別的屬性或特征來對數據進行區別的技術。數據分類方法主要有以下兩類：

基于文件類型：采用該方法的原因是由于某些類型的文件（如SSH私鑰、PKI證書）從安全角度而言本質上更為敏感;

基于文件信息：基于文件中包含的實際數據進行分類。

迄今為止，在以上兩種方法中，基于文件信息的分類方法的難度仍然較大，因為此方法必須對哪些信息看上去比較敏感作出定義，以便程序對數據進行分類。

有時，這與在文件中查找某些敏感字符串（如密碼、信用卡等）一樣簡單，但更為常見的情況是，必須針對特定的文件類型定義與其相匹配的敏感字符串匹配模式。

3.幾項簡單易實施的數據安全技術措施

在數據安全領域，可用于提高數據安全性的應用技術還包括：

結束收集不必要的數據

近年來，在IT管理領域，能夠看到對數據的認知所發生的巨大改變。以前，幾乎所有的IT管理者都認為，數據就是一種資產，多多益善，因為永遠不知道什么時候可能會用到它們。

今天，越來越嚴厲的立法和監管、數據泄露等網絡安全事件可能導致的單位及個人的聲譽受損等，都使得保障數據的安全性越來越成為了IT運維管理人員的一種重責大任——在必要的數據收集范圍外，單位信息系統所收集的任何一點敏感數據都是一種不必要的風險。

因此，作為單位信息安全管理人員，應該立即檢查所有涉及到數據收集的業務應用系統，從單位業務的角度出發，對所收集的每一項數據的必要性進行核查。

清除陳舊數據

單位信息系統中不存在的數據自然也就不存在被泄漏的風險。經過多年的信息化建設，很多網絡規模較大的單位機房網絡中往往都存在多臺被遺忘的老舊服務器設備，這些服務器往往留存有大量重要數據，且長期疏于管理。信息安全管理人員應該通過技術手段跟蹤文件訪問權限，發現這些長時間無人訪問的文件及服務器，并對其實施封存。

針對數據組跟蹤分析用戶訪問行為

在單位內部，極易出現一種導致數據安全性降低的問題，即“過度使用”。不少單位在網絡管理中都會出現由于某些臨時性原因賦予某些用戶特殊權限并且忘記及時將權限收回的情況，大量此類情況的出現將導致產生一個混亂到無法管理的巴洛克式相互依賴的用戶權限網絡，導致用戶在網絡中的實際權限遠遠大于其角色的真實需求。

針對此類情況，信息安全管理人員應該采取技術措施分析用戶訪問行為并自動設置用戶權限，從而避免給攻擊者留下可利用的漏洞。

當然，上述這些建議不僅適用于解決數據安全問題，也對網絡安全問題的其他方面有所助益。