数据安全管理是一种维护数据完整性的方法，并确保数据不会被未经授权的人访问或容易受影响的人破坏。数据安全是为了确保数据的私密性。数据本身是一种原始形式的信息，它以列和行的形式存储在网络服务器、可能的个人计算机上。这些数据可以是任何东西，从个人文件到知识产权，甚至是最高机密信息。数据可以被认为是任何可以被人类理解和解释的东西。由于越来越多的使用互联网，人们强调保护个人或公司数据，这种保护被称为数据安全，可以通过使用特定的软件解决方案或硬件机制解决。
当今，数据安全变得更加复杂。经过识别的安全管理对于一系列关键任务是至关重要的，包括确保每个用户都能准确地访问数据和应用程序，以及确保敏感数据不会过度公开。
一 保护敏感数据的安全解决方案
新闻中到处都是数据泄露的消息，而且组织都很清楚，即使他们达到了PCI遵从性或SOX遵从性，新的遵从性法规(如GDPR)要求更严格的数据安全控制。为了帮助改善企业的安全性和遵从性状况，我列出了12个常见的数据安全解决方案，用于保护敏感数据和通过审计。
1 数据发现与分类
为了有效地保护您的数据，您需要确切地知道您拥有哪些敏感信息。数据发现和分类解决方案将根据行业标准或您的自定义需求(如PCI DSS数据、GDPR数据和IP)扫描您的数据存储库，找出您认为重要的数据类型，将其分类，并用数字签名清楚地标记其分类。可以使用这些标签来集中您的数据安全资源，并实现根据数据对组织的价值保护数据的控制。如果数据被修改，则可以更新其分类。任何时候，都应采取控制措施，防止用户篡改分类级别;例如，只有经过授权的用户才能降级数据的分类。
2 防火墙
防火墙是网络的第一道防线，因为它将一个网络与另一个网络隔离开来。防火墙将不需要的流量排除在网络之外。另外，通过打开特定的端口，黑客就没有那么大的空间进入或下载数据。根据组织的防火墙策略，防火墙可能完全不允许某些流量或所有流量，或者它可能对部分或全部流量执行验证。
3 备份和恢复
备份和恢复解决方案帮助组织在数据被删除或销毁时保护自己。所有关键业务资产都应该定期备份，以提供冗余，这样，如果出现服务器故障、意外删除或来自勒索软件或其他攻击的恶意破坏，就可以快速恢复数据。
4杀毒
杀毒软件是个人和商业使用中最广泛采用的安全工具之一。市场上有许多不同的杀毒软件供应商，但他们都使用几乎相同的技术来检测恶意代码，即签名和启发式。防病毒解决方案帮助检测和删除木马、rootkit和病毒，这些病毒能够窃取、修改或破坏你的敏感数据。
5 入侵检测和防御系统(IDS/IPS)
传统的入侵检测系统(IDS)和入侵防御系统(IPS)对网络流量进行深度包检测，并记录潜在的恶意活动。可以将IDS配置为评估系统事件日志，查看可疑的网络活动，并发出关于似乎违反安全设置的会话的警报。IPS提供了检测功能，但也可以终止被认为是恶意的会话，但通常仅限于非常粗糙和明显的攻击，如DDoS。警报和行动之间几乎总是有一个分析步骤——安全管理员评估警报是否构成威胁，威胁是否与他们相关，以及他们是否可以对此做些什么。IPS和IDS对数据保护非常有帮助，因为它们可以阻止黑客使用漏洞和恶意软件进入您的文件服务器，但这些解决方案需要在收到警报时做出会话删除决定之前进行良好的调优和分析。
6 安全信息和事件管理(SIEM)
安全信息和事件管理(SIEM)解决方案为网络设备、服务器和软件应用程序记录的安全日志提供实时分析。SIEM解决方案不仅可以聚合和关联传入的事件，而且还可以执行事件重复数据删除:删除同一个实例上的多个报告，然后根据警报和触发器标准采取行动。它通常还提供分析工具，帮助您只找到当前需要的事件，如与数据安全相关的事件。SIEM解决方案对于数据安全调查至关重要。
7 数据丢失预防(DLP)
数据丢失预防系统监视工作站、服务器和网络，以确保敏感数据不被删除、删除、移动或复制。它还监视谁在使用和传输数据，以发现未经授权的使用。
8 访问控制
在大多数情况下，不应允许用户在本地复制或储存敏感数据;相反，他们应该被迫远程操纵数据。此外，理想情况下，敏感数据永远不应该存储在任何类型的便携系统中。所有系统都应该要求某种类型的登录，并且应该设置条件，以便在出现可疑使用时锁定系统。
此外，只有经授权的人员才能查阅敏感文件。用户权限的授予应严格遵循特权最小原则。访问控制列表(ACL)指定了谁可以访问什么资源以及访问的级别。它可以是操作系统或应用程序的内部部分。ACL)l可以基于白名单或黑名单。白名单是允许的项目列表;黑名单列出了禁止的事情。在文件管理过程中，白名单ACL)的使用比较普遍，通常在文件系统级别进行配置。例如，在Microsoft Windows中，您可以配置NTFS权限并从中创建NTFS访问控制列表。您可以在此NTFS权限管理最佳实践列表中找到有关如何正确配置NTFS权限的更多信息。请记住，应该在具有基于角色的访问控制(RBAC)的每个应用程序中实现访问控制;例如Active Directory组和委托。
9 云安全解决方案
个人和企业越来越倾向于收集和存储越来越多的数据。这导致了直接连接存储(DAS)、网络区域存储(NAS)、存储区域网络(SAN)和现在的云存储。云存储使您能够存储越来越多的数据，而不必担心伸缩性问题。
尽管有这些好处，但从安全的角度来看，云存储可能是麻烦的。您需要确保云提供商能够充分保护您的数据，并确保拥有适当的冗余、灾难恢复等。请确保对数据进行加密、备份，并尽可能多地实施控制。
您可以从销售安全即服务(SECaaS)的云安全提供商那里获得帮助，SECaaS是一种基于订阅的业务模型，大型服务提供商将其安全服务集成到企业基础设施中，并在订阅的基础上提供这些服务。订阅者不需要内部硬件，所提供的服务可以包括诸如身份验证、反病毒、反恶意软件/间谍软件和入侵检测等。通过这种方式，SECaaS可以作为许多在线威胁的缓冲。
10 审计
正常保护您的敏感信息,还需要审计系统和试图访问关键数据的变化。例如，任何超过最大登录失败次数的帐户都应该自动报告给信息安全管理员以便调查。能够发现敏感信息和相关权限的更改是至关重要的。通过使用历史信息来了解敏感数据的使用情况、使用人员以及去向，您可以第一时间构建有效和准确的策略，并预测环境中的更改可能如何影响安全性。这个过程还可以帮助您识别以前未知的风险。有一些第三方工具可以简化变更管理和用户活动的审计，比如Netwrix Auditor。
11 数据加密
当你有绝密文件，即使被窃取也不希望被读取时，数据加密是非常重要的。以窃取信息为目标的网络嗅探和其他黑客攻击是如此常见，以至于密码、信用卡号和其他敏感信息可以通过未加密协议被窃取。加密通信协议为这种隐私缺乏提供了一种解决方案。例如，如果没有安全套接字层(SSL)加密，网站上的信用卡交易将非常不方便或不安全。
虽然私人数据可以被加密算法保护，但加密也可以被黑客使用。如果攻击者使用加密的通信通道，设计用于嗅探网络流量以获取攻击签名的昂贵的网络入侵检测系统是无用的。通常，为客户安全提供的加密网络访问被攻击者使用，因为它难以监控。因此，所有关键数据都应该在静止或在网络上传输时进行加密。
便携式系统如果要保存任何类型的重要数据，也应该使用加密磁盘解决方案。对于存储关键或专有信息的桌面系统，加密硬盘驱动器将有助于避免关键信息的丢失。除了基于软件的加密外，还可以应用基于硬件的加密。在某些BIOS配置菜单的高级配置设置中，可以选择启用或禁用TPM (Trusted Platform Module)芯片，该芯片可以存储加密密钥、密码或证书。TPM可用于协助生成哈希键，并帮助保护智能手机和PC之外的其他设备。
12 物理安全
在讨论数据安全性时，物理安全性经常被忽视。较差的物理安全策略可能会导致您的数据完全受损。每个工作站都应该被锁定，以免被移出该区域。此外，应放置一个锁，使机箱不能打开，暴露系统的内部;否则，存储数据的硬盘驱动器或其他敏感组件可能被删除和损坏。实现BIOS密码来防止攻击者使用可移动介质启动到其他操作系统也是一种很好的做法。
另一种企业数据泄露工具是带有摄像头的智能手机，它可以拍摄高分辨率的照片和视频，并录制高质量的声音。要保护你的文件不被使用这些移动设备的内部人士窃取，或者发现有人在对带有敏感数据的监视器或白板拍照，是非常困难的，但你应该制定政策，禁止在大楼内使用摄像头。
通过带有运动传感器和夜视的摄像机监控您公司的所有关键设施，这对于发现未经授权的人试图通过直接访问您的文件服务器、档案或备份窃取您的数据至关重要，以及发现人们在限制区域拍摄敏感数据的照片。
每个人的工作区域和设备在无人看管之前应该是安全的。例如，检查门，抽屉和窗户，不要把文件留在你的桌子上。所有敏感数据的硬拷贝都应该被锁起来，当不再需要它们时，就完全销毁。另外，不要共享或复制钥匙、身份证、锁码等。
在丢弃或回收磁盘驱动器之前，请完全删除磁盘驱动器上的所有信息，并确保数据不再可恢复。包含关键信息的旧硬盘和其他IT设备应物理销毁;指派一个特定的IT工程师亲自控制这个过程。
二 数据安全管理最佳实践
1 数据访问最佳实践
•创建一个完整的用户和资源清单，并保持更新。
•与部门经理和其他企业所有者合作，确定您的敏感数据在哪里以及谁拥有这些数据。
•确定谁有权访问组织中的内容以及谁拥有哪些数据。例如，您可以使用PowerShell脚本或第三方软件导出文件服务器的访问列表。
•通过创建安全组并使用户成为适当组的成员来建立安全结构。
•为每个组分配对共享数据的适当访问权。
•授权数据所有者控制他们自己的数据访问权限。
•审核数据所有者的操作，确保所有操作都得到授权。
•建立访问请求工作流(例如请求门户)，以便用户可以轻松地请求访问其工作所需的数据。
•对敏感数据的访问和变更进行审计和报告。
•运行访问认证程序，使访问与业务需求保持一致。
2 文件服务器权限最佳实践
•让用户使用域用户帐号而不是本地帐号登录。这种方法集中了共享权限的管理。
•创建文件服务器权限策略，明确定义权限管理过程。
•删除除指定用于文件交换的全局文件夹外的所有资源的Everyone权限。
•将权限分配给组，而不是用户帐户。这种方法使您能够在无需重新分配权限的情况下向组中添加用户或从组中删除用户，从而简化了管理并提高了准确性。
•给每一组起一个简洁而有描述性的名字，以避免错误。
•定义反映组织中特定部门或特定角色的访问需求的权限集。
•分配仍然允许用户执行其工作的限制性最强的权限。例如，如果用户只需要 读取文件夹中的信息，而不需要修改、删除、创建文件，则只能设置为“只读”权限。
•配置您的资源，使具有相同安全需求的对象位于相同的文件夹中。例如，如果用户需要对多个应用程序文件夹具有Read权限，请将这些文件夹存储在同一个父文件夹中。然后将Read权限授予父文件夹，而不是单独共享每个单独的应用程序文件夹。
•避免显式拒绝共享资源的权限。通常，只有当您想要覆盖已经分配的特定权限时，才需要显式地拒绝权限;这可能表明权限是直接分配的，而不是通过组成员关系分配的，或者用户属于错误的组。
•仅将“完全控制”权限分配给“管理员”组，并严格限制该组的成员资格。管理应用软件和控制用户权限。
•创建一个“全局拒绝”组，这样当员工离开公司时，您就可以通过使他们成为组的成员来快速删除他们所有的文件服务器访问。
•审计对文件服务器权限的每次更改，并总是检查这些更改是否经过授权。
3 运营最佳实践
将遵从性需求作为网络安全基础。简单地说，合规法规旨在迫使公司防范重大威胁并保护敏感数据。尽管满足法规遵从性需求还不足以保证完整的数据安全，但它将帮助您走上风险管理和数据保护的正确道路。
•制定明确的网络安全政策。制定一项政策，明确说明敏感数据的处理方式以及违反数据保护的后果。确保所有员工阅读和理解该政策，将减少关键数据因人为行为而受损或丢失的风险。
•构建和测试备份和恢复计划。公司必须为一系列的泄露场景做好准备，从轻微的数据丢失到完全的数据中心破坏。确保关键数据加密、备份和离线存储。设置将加速恢复的角色和过程，并定期测试计划的每个部分。
•实行自带设备政策。允许用户使用其个人设备访问您的网络会增加网络安全风险。因此，创建过程和规则，在安全考虑与便利性之间进行平衡。例如，可以强制用户保持他们的软件是最新的。记住，个人设备比公司设备更难追踪。
•定期提供安全培训。帮助您的员工识别并避免勒索软件攻击、网络钓鱼诈骗和其他对您的数据和IT资源的威胁。
•保留网络安全人才。网络安全专家如今是稀缺商品，所以要采取措施留住人才。投资自动化工具，消除日常任务，这样他们就可以专注于实施强大的数据安全技术，以对抗不断演变的网络威胁。
4 技术最佳实践
•根据数据的值和敏感性进行分类。获取您所拥有的所有数据的全面清单，包括本地数据和云数据，并对其进行分类。与大多数数据安全方法一样，自动进行数据分类是最好的。不要依赖忙碌的员工和容易出错的手工流程，而是寻找一种能够准确可靠地分类敏感数据(如信用卡号码或医疗记录)的解决方案。
•定期进行权限审查。对数据和系统的访问应该基于最低权限原则。由于用户角色、业务需求和IT环境不断变化，因此需要与数据所有者一起定期审查权限。
•运行漏洞评估。主动寻找安全漏洞并采取措施减少受到攻击的风险。
•执行强密码策略。要求用户每季度更改凭证并使用多因素身份验证。由于管理凭证更强大，所以要求至少每月更改一次。此外，不要使用共享的管理员密码，因为这样就不可能追究个人对其行为的责任。
5 非结构化数据的安全最佳实践
•迭代数据发现:问题的本质不断变化，所以对问题的理解需要不断适应。
•集中的权限管理:用户在授予对敏感信息的访问权方面比以往任何时候都要更集中。组织必须确保持续实施正确的数据访问，同时仍然允许用户进行协作。
•用户活动监视:记录对敏感数据的所有访问请求，可以清楚地了解恶意活动，特别是当日志与其他来源的事件相关联时。
•数据安全控制:对静止的、正在使用的和移动中的数据进行加密，使得攻击者以一种可用的形式窃取数据的难度呈指数增长。如果实现得当，加密还可以为许多隐私法规的违反通知要求提供安全港。
•适当使用:“跟踪数据”的能力，并加强用户打印、电子邮件或数据的复制，确保授权用户安全地使用敏感信息。
三 小结
数据安全是保护公司数据和防止数据因未经授权访问而丢失的过程。这包括保护您的数据免受可能加密或破坏数据的攻击，如勒索软件，以及可能修改或破坏数据的攻击。数据安全还确保组织中有权访问数据的任何人都可以使用数据。
一些行业要求高水平的数据安全，以符合数据保护法规。例如，处理支付卡信息的组织必须安全地使用和存储支付卡数据，而美国的医疗保健组织必须按照HIPAA标准保护私有健康信息(PHI)。但是，即使您的组织不受法规或遵从性标准的约束，现代企业的生存也依赖于数据安全性，因为可能会影响组织的关键资产和属于客户的私有数据。
