保護(hù)數(shù)據(jù)變得越來越困難。CIO是否已經(jīng)為保護(hù)重要的企業(yè)資產(chǎn)做好了準(zhǔn)備?

[[271011]]

如果數(shù)據(jù)是企業(yè)的生命之源，那么企業(yè)如何保護(hù)它。Michelle Finneran Dennedy在其著作《隱私工程師的宣言》中描述了信息時代保護(hù)數(shù)據(jù)的五個階段：

1.防火墻

2.網(wǎng)絡(luò)

3.外聯(lián)網(wǎng)

4.訪問

5.智能

問題是，在保護(hù)數(shù)據(jù)的過程中，CIO扮演什么角色?

CIO應(yīng)該專注于創(chuàng)造更安全的堡壘嗎?或者保護(hù)數(shù)據(jù)以及設(shè)置誰可以訪問它?

在CIO中顯然有兩種截然不同的觀點。有些人認(rèn)為，雖然堡壘是過去的心態(tài)，但它仍然非常重要。他們認(rèn)為堡壘代表了第一道防線，但對訪問權(quán)和使用的限制需要成為整體方案的一部分。

這些首席信息官斷言，如果只是為了防止垃圾流量和DDoS攻擊，你不應(yīng)該完全放棄你的界限。他們認(rèn)為邊界是非常重要的。這些CIO認(rèn)為數(shù)據(jù)安全和訪問權(quán)是IT組織需要下一步做得更好的事情。他們繼續(xù)說，雖然要塞必須堅不可摧，但是人為因素是保護(hù)企業(yè)安全最薄弱的環(huán)節(jié)。如果有人獲得了員工的憑證，特別是如果他們有了員工的電話并破解了安全性較弱的密碼，他們就可以控制多重因素授權(quán)。這樣安全堡壘就被攻破了。

然而，其他CIO認(rèn)為堡壘式思維與“法國馬其諾防線”類似。這些首席信息官表示堡壘式安全注定要失敗。他們認(rèn)為傳統(tǒng)的安全模式就像蛋殼。從末端擠壓時它們很堅固，但它們會因擠壓或拉伸而破碎。由于這個原因，他們認(rèn)為歷史上的堡壘已被證明是失敗的。

這些首席信息官表示我們不應(yīng)該停留在關(guān)注堡壘的階段。雖然他們建議要創(chuàng)造良好的周邊安全環(huán)境，但他們同時表示，重點需要轉(zhuǎn)向基于模式和行為的安全。他們建議IT領(lǐng)導(dǎo)者丟棄目前的靜態(tài)安全方法，逐步向更加積極和持續(xù)評估的階段發(fā)展。這些CIO認(rèn)為數(shù)據(jù)安全與分類及使用特征有關(guān)。他們贊成有數(shù)據(jù)支持的應(yīng)用程序的“設(shè)計安全”。

這些CIO將身份和訪問管理視為邊界守護(hù)者。他們表示，出于這個原因，通過了解訪問層和外部入口點來保護(hù)數(shù)據(jù)非常重要。與此同時，他們認(rèn)為現(xiàn)在是時候超越抓住數(shù)據(jù)牢牢不放的階段了。他們說，我們需要在保護(hù)數(shù)據(jù)的同時，使其通過適當(dāng)?shù)腁PI提供給適當(dāng)?shù)娜恕Ｋ麄冎赋鋈绻銓?shù)據(jù)抓得越緊，數(shù)據(jù)將會溜走得越多。

做好與數(shù)據(jù)相關(guān)的治理和網(wǎng)絡(luò)安全顯然很難。但這就是它如此有趣和具有挑戰(zhàn)性的原因。這些首席信息官認(rèn)為我們都承認(rèn)沒有辦法把所有人隔在外面。因此，在不安全的環(huán)境中做好數(shù)據(jù)保護(hù)，其關(guān)鍵是控制好具有訪問憑據(jù)的人員的訪問權(quán)限。

鑒于此，適當(dāng)?shù)毓芾盹L(fēng)險非常重要。一般而言，首席信息官表示，他們對不同的層級加密方法以及每層的安全警察/監(jiān)控人員感到滿意。此外，他們同意不同的用戶 - 合作伙伴，用戶或消費者 - 應(yīng)具有不同的信任級別和數(shù)據(jù)參與規(guī)則。順便說一下，一位CIO說他們聽說過另一位CIO開始拆除防火墻來替代更復(fù)雜的解決方案。他們認(rèn)為這樣做是違反常規(guī)的，但很有趣。

CIO可以通過監(jiān)管終端來更好地保護(hù)數(shù)據(jù)嗎?

首席信息官表示，采取零信任立場并擁有一切都可能受到損害的想法是很重要的。他們認(rèn)為像BYOD一樣，通過不恰當(dāng)?shù)姆绞教崛?shù)據(jù)的能力意味著目前的方法只能延伸到目前為止。在進(jìn)行每個設(shè)計或策略決策時，你必須圍繞可訪問性和靈活性約束與安全性要求進(jìn)行設(shè)計。

CIO們認(rèn)為你不能忽視終端安全。他們說需要堅持不懈地努力，但應(yīng)該建立在你能負(fù)擔(dān)得起的戰(zhàn)略基礎(chǔ)之上。他們說首先要保護(hù)源頭的數(shù)據(jù)，然后再回到傳輸和設(shè)備級別。IT組織需要堅守終端安全基礎(chǔ)(覆蓋管理密碼，將它們放在不同的VLAN上等)，但除此之外的“監(jiān)管”可能會變得更加昂貴，尤其是對于較小的組織來說。

首席信息官表示，終端安全(以及傳輸中的加密)是必須要做到的。審核SaaS和COTS以查看數(shù)據(jù)在終端上可以擁有的緩存/保存/保護(hù)應(yīng)該是該過程的一部分。一位CIO認(rèn)為傳統(tǒng)的監(jiān)管收效甚微，主動監(jiān)管是一種更好的解決方案。一位首席信息官表示，從最低權(quán)限開始，但始終要確認(rèn)流量的多少。

其他CIO表示，除非100%的客戶群，技術(shù)供應(yīng)商和應(yīng)用程序都在同一防火墻后面，否則監(jiān)管終端本身不會阻止違規(guī)行為。你需要數(shù)字權(quán)限管理，加密和訪問控制。但是，要清楚是否可以在屏幕上查看數(shù)據(jù)，是否可以使用智能手機(jī)捕獲數(shù)據(jù)。

首席信息官表示，如今大多數(shù)危害都來自網(wǎng)絡(luò)釣魚和社交工程，而非技術(shù)漏洞。因此，需要新的方法。首席信息官表示，終端策略不會阻止社交工程攻擊。因此，，通過加密進(jìn)行保護(hù)的能力，聚合和改進(jìn)風(fēng)險的工具變得越來越重要。一位教育行業(yè)的CIO表示，可能對用戶設(shè)備進(jìn)行更多控制，但在高等教育中，大多數(shù)終端設(shè)備都是BYOD。因此，他們表示要在訪問層進(jìn)行保護(hù)?？傊?，CIO們說要監(jiān)管終端，但保護(hù)數(shù)據(jù)是與此分開的。

CIO應(yīng)該如何實現(xiàn)數(shù)據(jù)治理以真正保護(hù)數(shù)據(jù)?

CIO們表示，數(shù)據(jù)治理是其中的核心，這可能是獲得持久可行解決方案的最困難的領(lǐng)域之一。然而，通過治理，可以設(shè)置設(shè)計和架構(gòu)工作的要求。

CIO們認(rèn)為，IT領(lǐng)導(dǎo)者必須了解他們的組織。他們需要擁有定期評估組織的需求和處理變化的能力。這涉及計劃，執(zhí)行和評估。首席信息官應(yīng)該為領(lǐng)導(dǎo)加強(qiáng)和改善治理和管理而高興。他們還需要明白數(shù)據(jù)治理不是一朝一夕的事情，而是一個漫長的旅程。CIO們認(rèn)為企業(yè)必須擁有數(shù)據(jù)治理和管理權(quán)。否則，CIO將遭遇失敗。

開始對話的最佳方式是要求企業(yè)定義哪些是關(guān)鍵，哪些不是關(guān)鍵，以及他們希望IT保護(hù)所能達(dá)到的程度。IT組織不應(yīng)該自己做出決定。同樣，CIO們表示，IT領(lǐng)導(dǎo)者應(yīng)該讓企業(yè)扮演好數(shù)據(jù)管理角色并構(gòu)建流程以獲得良好的數(shù)據(jù)質(zhì)量。CIO可以通過提供數(shù)據(jù)智能分析來彰顯其價值。

在適當(dāng)?shù)那闆r下，優(yōu)先適當(dāng)?shù)厍謇磉M(jìn)程通常是一個很好的做法。首席信息官們表示，除了清理批準(zhǔn)的業(yè)務(wù)流程外，還要刪除社交安全號碼，這些應(yīng)該每年進(jìn)行審核。他們建議IT領(lǐng)導(dǎo)者尋找優(yōu)化舊流程的機(jī)會。同時，揭示數(shù)據(jù)問題，選擇數(shù)據(jù)所有者，然后實施數(shù)據(jù)治理至關(guān)重要。

一位在高等教育領(lǐng)域的CIO表示，治理的力量取決于行業(yè)文化。他們羨慕那些可以告訴用戶他們能做什么和不能做什么，以及他們能夠和不能使用什么設(shè)備的企業(yè)，但是他們說，這不是高等教育中的工作方式。另一位首席信息官同時表示，數(shù)據(jù)治理所有權(quán)是他們在其職業(yè)生涯中遇到的最大問題。他們說，不幸的是，如果你主持討論，你最終可能會領(lǐng)導(dǎo)這項計劃。CIO需要制定計劃，讓業(yè)務(wù)部門發(fā)揮領(lǐng)導(dǎo)作用，因為數(shù)據(jù)治理至關(guān)重要。

一般來說，CIO們表示數(shù)據(jù)治理討論可能涉及很多技術(shù)術(shù)語。如果希望獲得業(yè)務(wù)領(lǐng)導(dǎo)者的理解和支持，則需要避免這種情況。首席信息官表示，需要合適的人員來確定存在什么以及需要什么。法律團(tuán)隊，記錄管理，DBA，產(chǎn)品所有者和HR需要參與其中。首席信息官認(rèn)為，確立一個了解數(shù)據(jù)和內(nèi)容的信息治理專業(yè)人員非常重要，這可以引導(dǎo)組織完成識別和保護(hù)數(shù)據(jù)資產(chǎn)的過程。

首席信息官表示，數(shù)據(jù)檢查非常重要，特別是在如果領(lǐng)導(dǎo)層要求他們的數(shù)據(jù)庫處于有序狀態(tài)時，因為有人可能會把東西藏起來。鑒于此，CIO需要促進(jìn)有關(guān)數(shù)據(jù)定義，類型和風(fēng)險概況的業(yè)務(wù)對話。首席信息官需要對這些問題有基本了解的商業(yè)領(lǐng)袖。

關(guān)于這一點，一位CIO說了一些令人驚訝的事情。他表示，在許多行業(yè)中，很少有數(shù)據(jù)是專有的。鑒于此，他表示將業(yè)務(wù)重點放在需要保障的事項上非常重要。IT領(lǐng)導(dǎo)者應(yīng)該記住，數(shù)據(jù)保護(hù)不僅是二進(jìn)制文件。需要時刻在數(shù)據(jù)治理中考慮另一行，字段，層次結(jié)構(gòu)或使用上下文等這些因素。

CIO們表示可用性和便利性往往決定著行為模式。如果數(shù)據(jù)安全太難，他們說會出現(xiàn)其他方法。確保數(shù)據(jù)所有者從一開始就是解決方案的一部分非常重要。對于一些CIO來說，遷移到云代表了一個讓事情變得更好的機(jī)會。他們認(rèn)為這是一個機(jī)會，可以更全面地使用越來越多的安全和加密功能。他們認(rèn)為這也是一個通過設(shè)計創(chuàng)建更好的端到端安全的機(jī)會。

同時，透明的過程也很重要。許多組織發(fā)現(xiàn)數(shù)據(jù)保護(hù)問題而不報告它們。一位首席信息官憤怒地表示，在最近他們所做的每一次安全審查中，他們發(fā)現(xiàn)一些漏洞在業(yè)務(wù)領(lǐng)導(dǎo)不知情的情況下被IT部門默默地解決了。

如何保護(hù)隱私，CIO如何確保對數(shù)據(jù)進(jìn)行保護(hù)和設(shè)計?

CIO們表示，作為數(shù)據(jù)治理的一部分，你經(jīng)常需要圍繞使用數(shù)據(jù)的系統(tǒng)和應(yīng)用程序進(jìn)行設(shè)計。你需要策略，良好的意識和培訓(xùn)才能有機(jī)會。一位CIO在這里說，只要我們在美國擁有體面的隱私法。

CIO們堅持認(rèn)為隱私應(yīng)該被設(shè)計到應(yīng)用程序體驗中。雖然它是語義上的，但GDPR獨立于數(shù)據(jù)本身，并且與其使用，存儲和可用性更相關(guān)。因此，隱私在方法，流程和技術(shù)中，而不在數(shù)據(jù)本身中。CIO們認(rèn)為應(yīng)用程序具有安全模式非常重要。一位CIO表示他們很欣賞GDPR的意圖和概念，但實施它們一直是一項挑戰(zhàn)。它要求任何新功能的解決方案設(shè)計易于管理。

CIO們認(rèn)為，重要的是從一種理念開始，如果不需要，就不要收集，并始終為用戶提供查看和刪除自己數(shù)據(jù)的方法。顯然，如果你沒有大量的數(shù)據(jù)，隱私是一種更易于管理的事情。與此同時，CIO們表示，在應(yīng)用程序設(shè)計中做好基于角色的設(shè)計是很重要的。你需要越來越多地將內(nèi)部可信任角色轉(zhuǎn)移到合作伙伴，然后轉(zhuǎn)移到消費者或外部。困難的部分是確保你的合作伙伴的隱私與你自己的政策相結(jié)合。這可能涉及與合作伙伴進(jìn)行合同管理和審計。

同時，你不應(yīng)該疏忽大意而允許DBA持有所有密鑰。黑客已經(jīng)變得聰明，并開始針對這些人進(jìn)行社會攻擊。我們需要在默認(rèn)情況下使用安全框架來改變數(shù)據(jù)保護(hù)和隱私的思維模式?？傊绻悴恍枰?，請不要收集/保存它。并分享公開和持久收集關(guān)于“為什么”的知識。

哪10件事應(yīng)該立即成為CIO的數(shù)據(jù)保護(hù)投資清單?

首席信息官的數(shù)據(jù)保護(hù)清單上有很多條，以下是其中最重要的10條：

1. 員工教育和培訓(xùn)

2. 對數(shù)據(jù)進(jìn)行盤點和審核，了解如何訪問數(shù)據(jù)以及評估風(fēng)險

3. 高管支持和所有權(quán)

4. 卓有成效的內(nèi)部溝通

5. 評估哪些方面運作良好，包括治理，政策和團(tuán)隊成員技能

6. 治理主管，負(fù)責(zé)整合和應(yīng)用正在進(jìn)行的變更和風(fēng)險

7. 關(guān)注外部隱私

8. 用于匯總風(fēng)險以縮小響應(yīng)和支出重點的出色工具

9. 保護(hù)數(shù)據(jù)的出色工具(數(shù)據(jù)加密，網(wǎng)絡(luò)模式分析，設(shè)備保護(hù)，威脅檢測，網(wǎng)絡(luò)邊緣的惡意軟件清除，終端保護(hù)，多因素登錄等)

10. 為你的員工提供安全的編碼培訓(xùn)以及零信任態(tài)度

首席信息官明確表示需要通過優(yōu)秀的人員，流程和技術(shù)來保護(hù)數(shù)據(jù)。他們意識到他們不能單靠自己做到這一點。這需要一個包括商業(yè)領(lǐng)袖和所有員工在內(nèi)的良好的環(huán)境和文化。做到這些以及良好的政策和治理，IT組織可以幫助他們的企業(yè)在越來越不安全的環(huán)境中更好地保護(hù)數(shù)據(jù)。