大数据时代,如何为敏感数据的安全提供全方位的保障?

beplay 15 2020-05-09 23:48:15

对许多人来说,大数据不是一个陌生的词,它是新一代信息技术之一。它的应用不仅能促进企业的发展,还能使企业营销更加准确。然而,通知数据的安全性也是一个亟待解决的问题。

在大数据时代,数据泄漏事件层出不穷。数据安全已经成为阻碍大数据发展的主要因素之一。因此,在大数据时代,确保敏感数据的安全尤为重要。针对大数据安全面临的挑战,提出了一种以数据安全治理为中心的安全保护方案。从数据的整个生命周期角度阐述了数据流各个环节的安全风险和保护措施,为大数据环境下敏感数据的安全提供了全方位的保障。

介绍

目前,大数据已经融入社会各行各业。它给社会经济、教育、医疗、金融,甚至人们的消费习惯和思维习惯带来了巨大的变化。它充分体现了“世界是平的,通信是瞬间的”,实现了“存储云共享和通信全息”。然而,我们也需要看到,大数据是一把双刃剑,给我们带来各种便利的同时,也伴随着越来越多的信息安全问题。例如,我们经常接到保险销售电话、房屋销售电话、贷款电话、早期教育课程、咨询和培训课程等。这些例子不胜枚举,给我们的生活带来了很多麻烦。根据IBM Security and Ponemon Institute发布的《2018年数据泄露成本分析报告》(如图1所示),数据泄露的平均成本从2017年的362万美元上升至386万美元,每条被盗记录的平均成本从141美元上升至148美元。数据泄漏的成本和数量不断上升。

图1单个数据泄漏的成本分析

我们不禁要问这些敏感数据是如何泄露的。特别是近年来,资产的价值已经从有形的实物资产转移到无形的数据资产,数据的重要性不断提高。这些重要数据和个人信息在收集、存储、传输、使用、共享和销毁过程的每一个环节都暴露出来。一旦暴露,将造成不可估量的损失,尤其是对政府职能部门而言,从骚扰电话和电信欺诈造成的个人经济损失,到国家政策和宏观调控的影响,造成国家利益的损害。

国家也越来越重视重要数据的安全性。一方面,相关的法律法规越来越多。例如,《网络安全法》规定,个人信息是指“以电子方式或其他方式记录的各种信息,能够单独或与其他信息结合识别自然人的个人身份”,并规定了网络运营商处理个人信息的规则。《互联网个人信息安全保护指南》,本指南是公安部领导下发布的第一份文件,目前有效,专门针对个人信息安全。它包括网络安全级别保护系列标准中的一些管理和技术要求。它适用于通过互联网提供服务的企业,以及使用私有或非网络环境控制和处理个人信息的组织或个人。《数据安全管理办法》(征求意见稿)明确要求网络运营商通过网站、应用和其他产品收集和使用个人信息,并另行制定和公开收集和使用规则。另一方面,国家不断加强监督。公安部召开320会议发布《关于紧急排查整改重要数据和公民个人信息泄露安全隐患的通知》,要求各单位做好数据安全保护工作,防止数据泄露。

1数据安全挑战

数据流的复杂性增加了数据泄漏的风险。

在大数据环境中,数据生命周期增加了共享和交易等环节。数据流是“正常的”,而数据的静态存储是“异常的”。多链接信息的隐藏保留使得跟踪和控制数据流变得困难。因此,在复杂的流通环境中,对数据安全的首要要求是如何保证重要的国家数据、企业机密数据和用户个人数据等敏感数据的安全。实施和推广信息系统集成与共享、海量数据的进一步共享与融合等一系列措施

大数据存储、计算、分析等技术的发展催生了许多新的先进网络攻击方法,暴露了传统检测和防御技术的严重不足,无法有效抵御外部入侵攻击。传统保护通过流量分析提供保护,并通过在网络边界部署防火墙、入侵防御系统、入侵检测系统和其他安全设备提供边界保护。然而,大数据环境下的高级可持续攻击(APT)通常具有高隐蔽性和难以感知的特点,传统的安全措施难以防御。传统的保护系统侧重于单点保护,而大数据环境中大量的网络攻击方法和攻击过程导致了传统安全保护系统无法应对的诸多问题,企业面临的风险也越来越大。

大数据环境下用户个人信息安全问题突出。

近年来,中国的网上购物、共享经济、移动支付等数据经济发展迅速,为广大公众提供了便捷的服务。然而,在用户享受便捷服务的同时,也存在个人信息泄露的风险。例如,淘宝、亚马逊、京东等主要购物网站正在记录用户的购物习惯。QQ、微博、电话记录等。窃听用户的社交网络;监控系统监控用户的电子邮件、聊天记录、在线记录等。个人隐私的披露可能会影响个人情感、身体、财产等方面。然而,在大数据时代,基于大数据的人们状态和行为预测也是当前面临的主要威胁。如上所述,主要购物网站记录人们的购物习惯,然后根据这些数据推断人们的需求,然后推出广告。这些行为经常对人们的日常生活造成骚扰。因此,如何有效保护个人信息的安全是大数据时代面临的巨大挑战之一。

2数据安全治理概念

在高德纳2017安全和风险管理峰会上,数据安全治理的概念首次被提及。数据安全治理的定义不仅是一套与工具相结合的产品级解决方案,而且是一个完整的链条,从决策层到技术层,从管理系统到工具支持,从上到下贯穿整个组织结构。数据安全治理被认为是新形势下有效的数据安全保护方法。

传统的网络安全以多种方式保护信息系统,但相对于系统中的数据,它属于静态保护。由于保护措施不会随着被保护数据本身的变化而变化,因此很难防止系统中的人员泄漏数据,所以是防止外部防止内部。在大数据环境中,针对数据泄露风险(如内部盗窃、滥用和疏忽)进行有效数据安全保护的关键在于确定哪些数据需要保护,以及每个数据需要何种级别的保护。在此基础上,制定了相应的针对性保护策略和着陆措施。如图2所示,数据安全管理思想首先通过数据分类和分类找出需要保护的敏感数据,然后通过一系列技术措施关注敏感数据。无论敏感的数据流和变化是从哪里和哪里导出的,它都可以准确地定位、跟踪、报警、阻止、跟踪到源等。并执行分类和分类监控和保护。因此,数据安全管理后的着陆技术措施是针对敏感数据并动态监控数据流的变化,而不管内部和外部因素,而是跟踪整个网络并防止内部和外部因素。

图2数据安全治理理念

3数据安全治理流程

数据安全治理过程如图3所示。通过梳理相关法律法规,结合业务场景的实际数量,对信息系统中的数据进行安全分类,并制定相应的分类保护策略、数据安全结构和组织体系保证,形成对数据全生命周期的安全控制,定期对控制效果进行检查、审核和评估,建立安全组织结构和体系,将各种安全策略和结构落实为一整套安全技术手段和安全措施

图4数据安全管理的着陆措施

基于全生命周期的数据安全保护

它保护数据生命周期的收集、存储、传输、使用、共享和销毁等环节,对机密、重要、个人隐私、商业秘密和传播违规等敏感数据进行有针对性的监控,实现数据的分类和分类安全保护。

数据采集链接

此链接主要关注收集的数据是否符合国家法律法规和相关行业法规。符合要求吗?收集的数据中是否有各种分类信息、用户信息和商业敏感信息?为了从复杂庞大的数据中发现敏感数据并进行安全保护,对数据进行整理是非常必要的。通过数据分类和分类以及数据识别,可以快速、及时地识别敏感数据,并进行数据跟踪和追踪。

因此,数据收集链接需要执行诸如敏感数据的分类和分类及其源属性的标记、数据源验证等操作。以便在稍后阶段追踪数据泄漏的来源。

数据存储和传输链路

此链接的重点是:数据传输是否合规?是否存在从高安全性域终端向低安全性域终端非法传输和复制机密信息等行为,同时是否存在非法用户获得合法权限向数据中心调用和查看高密度信息的风险;(2)存储在数据库和服务器中的数据是否存在数据泄漏的风险?

数据传输和存储中数据安全保护的技术措施;

(1)敏感数据的自动识别

基于自然语言处理、数据挖掘和机器学习技术的聚类/分类器与机器学习相结合,自动生成规则库,提高敏感内容识别的准确性和可靠性。

(2)敏感数据发现和定位能力

定位敏感数据的战略手段,包括结构化数据和非结构化数据的定位,可以定位敏感信息,如源代码、技术文档、操作数据和政府凭证信息,实现有效的保护控制。

(3)权限控制:根据文档的重要性,按照组织结构(部门、用户、项目组等)对文档进行敏感的分级授权管理。)。例如,文档可以分级授权,并且可以设置诸如只读、打印、修改、重新授权、读取次数和生命周期等权限。授权用户只能按指定权限使用数据,不能通过属性修改、内容复制、复制保存等越权使用数据。

(4)透明加密和解密透明加密意味着加密不需要太多的额外管理,主要体现在两个方面:第一,应用程序是透明的,用户或开发者不需要对应用程序做任何修改;其次,加密和解密是透明的。能够访问密文的用户被自动加密和解密,而不能访问密文的用户被拒绝访问。

(5)风险审计记录所有外出数据的行为日志,根据安全规则及时发现异常行为和报警,提高安全人员的反应速度,为事后跟踪审计提供依据。

(6)数据缓慢泄漏保护统计特定时间段内敏感数据的连续累积泄漏行为并做出响应。

数据使用链接

此链接主要关注如何预防和控制因内部人员盗窃、滥用和疏忽而导致的数据泄露风险。如何防止开发、测试、分析和操作人员获取敏感数据。

数据使用安全保护的目标是确保在授权范围内访问和处理数据,并防止数据被盗、泄露或损坏。为了实现这一目标,除了下一代防火墙、DDoS防护、漏洞检测等网络安全防护技术措施外,还需要对数据库访问、数据库操作、数据共享和第三方使用等环节和过程进行安全防护。

敏感数据脱敏技术从保护敏感数据机密性的角度对敏感数据进行模糊化,尤其是对用户的个人敏感信息,如姓名、手机号码和身份证号码。当起源

此链接重点关注如何控制高密度数据流向低密度服务网点。如何将人员和设备的身份权限映射到应用程序、服务和数据的安全级别。

在大数据平台的安全防护系统中,“零信任”身份权限控制是必要的措施。在数据安全分类的基础上建立完整的数据认证机制是当今信息安全防御的首选。在信息共享和传输过程中,需要保证数据的完整性和可追溯性,这可以通过采用电子签名和时间戳等相关技术来实现。另外,数据共享系统需要具备数据脱敏功能,以实现对一些敏感信息的脱敏。此外,脱敏技术需要能够自动扫描和发现大量共享数据中的敏感信息,以实现高效、便捷和准确的信息脱敏。

数据销毁链接

此链接主要关注如何监控数据销毁合规性;如何确保剩余的敏感信息不会留在数据库、服务器和终端上;如何保护隐私数据片段不被挖掘和泄露。

数据销毁应采用数据销毁技术,可完全删除数据库、服务器和终端上的剩余信息,销毁后应进行敏感数据检查,以验证销毁结果,防止部分删除、逻辑删除等现象。

检查和评估措施

敏感信息分类和合规检查

对敏感信息进行保密检查,如保密检查、隐私检查或敏感检测等。检查内容包括保密信息、重要国家数据、商业机密信息、个人隐私信息、禁止传播信息等。并根据相关法律法规审查这些敏感信息的存储、传输或使用的合规性。

风险评估

根据国家有关部门关于重点信息基础设施安全风险评估和信息安全风险评估的有关规定,对信息系统的信息资产、网络威胁、系统漏洞等方面进行测试和赋值,计算信息系统安全风险评估值,监管部门应检查、掌握信息安全风险,及时消除隐患。

动态审计

根据国家相关法律法规的规定,如公共计算机不允许有包含敏感信息的文件,对敏感信息进行实时动态审计,一旦发现异常情况,以预设方式(报警提示、日志记录等)进行响应。),为防止或追踪可能的泄漏提供证据。

情况分析

对各类敏感信息检查和风险评估的结果进行统计分析,直观展现敏感信息和信息安全风险状况的分布和趋势。

安全服务措施

在为用户提供法律和数据安全治理咨询的基础上,提供相关的专业安全服务,包括安全运维、应急响应、安全检查和巡逻、渗透测试、安全情报和安全培训等。

结论

大数据的到来给我们的日常生活和工作带来了极大的便利,同时也在各个领域受到了前所未有的关注。在大数据时代,确保重要数据不被泄露已经成为人们最关心的问题。通过分析大数据环境下的安全挑战,从数据安全治理的角度,提出了基于数据全生命周期的数据安全保护方案及相关技术措施。该方案可以应用于不同行业的数据安全保护需求,保证敏感数据的安全。

(原标题:以数据安全治理为中心的大数据时代的数据安全保护——)

信息化和软件服务网络——助力数字中国建设|

职责:莎莉

上一篇:保险价值确定方式有哪几种
下一篇:旧机动车投保,以新车购置价确定保险金额,发生保险时的保险价值如何确定?
相关文章

 发表评论

暂时没有评论,来抢沙发吧~

返回顶部小火箭