數(shù)據(jù)保護法規(guī)只會越來越嚴格。你需要確保始終將顧客的最大利益放在心上。

[[273044]]

自從歐盟的《通用數(shù)據(jù)保護條例》生效以來，加州和紐約分別成功地通過了《加州消費者隱私法案》(California Consumer Privacy Act, CCPA) 和《阻止黑客行為和改進電子數(shù)據(jù)安全法案》(Stop Hacks and Improve Electronic Data Security, SHIELD)。目前還有 12 個州正在申請批準數(shù)據(jù)保護立法，預計這個數(shù)字還會增長。

隨著美國各地出臺更多不同的法案，企業(yè)為了避免高昂的監(jiān)管罰款需要采取的措施只會變得越來越復雜。這些問題得到了答案，你晚上就會睡得好一點。那些有應對攻擊的計劃或者已經(jīng)在執(zhí)行這些指導方針的人應該抱有信心，他們的企業(yè)將客戶的最佳利益放在心上。

1. 你是否將 “隱私和安全設計” 融合到了你的環(huán)境中?

通過設計實現(xiàn)隱私和安全性，是一種一開始就主動整合隱私和數(shù)據(jù)保護的方法。這種方法遵循七個原則，以在 IT 和業(yè)務環(huán)境中逐步實現(xiàn)目標。在特定的技術(shù)，操作，體系結(jié)構(gòu)和網(wǎng)絡的設計過程中，盡早倡導隱私和安全性將確保你在整個設計生命周期中構(gòu)建成熟的流程。

2. 敏感數(shù)據(jù)是否在傳輸和靜止期間被加密?

加密密鑰對于保護數(shù)據(jù)處理和存儲的數(shù)據(jù)至關(guān)重要。密鑰管理的級別應該與這些密鑰所服務的關(guān)鍵功能的級別相對應。我強烈建議定期更新加密密鑰，并與數(shù)據(jù)分開存儲。本質(zhì)上數(shù)據(jù)總在移動，當它跨邊界移動時，保護這些信息需要對其靜止和傳輸過程進行強加密。

3. 是否需要根據(jù)需要訪問數(shù)據(jù)?

數(shù)據(jù)始終應該被劃分為敏感數(shù)據(jù)和非敏感數(shù)據(jù)，并且只能由有合法業(yè)務理由的授權(quán)員工訪問。采用基于角色的權(quán)限和 “根據(jù)需要” 進行限制將有助于保護你的數(shù)據(jù)。強烈建議始終使用具有多因素身份驗證的非共享用戶名和密碼，這將會驗證每個用戶。此外，每年至少應該進行一次訪問審查;這將確保為正確的人提供合適的訪問權(quán)限。

4. 是否有災難恢復和備份環(huán)境?

在當今的數(shù)字世界中，擁有災難恢復 (DR) 和備份環(huán)境是必須的。DR 和業(yè)務連續(xù)性 (BC) 計劃必須到位，所有相關(guān)人員都應該被告知他們的角色。DR 和 BC 計劃應該每年進行一次測試，然后總結(jié)經(jīng)驗教訓。將生產(chǎn)和備份位置分開幾百英里能在發(fā)生自然災害或人為災難時提高數(shù)據(jù)的安全性。

5. 是否進行了漏洞、風險、滲透和其他審計評估?

評估工作應該貫穿全年。你的團隊應該針對環(huán)境中的信息系統(tǒng)和操作區(qū)域進行評估。對所有資產(chǎn)(內(nèi)部和外部)進行這些評估非常重要。你的分析應該分五個步驟完成：

• 識別資產(chǎn)并確定其優(yōu)先順序
• 識別威脅
• 識別漏洞
• 分析控制

了解事件發(fā)生的可能性，并了解該威脅可能對你的系統(tǒng)造成的影響。

6. 是否有刪除或銷毀數(shù)據(jù)的流程?

無論是誰在處理你的數(shù)據(jù)，都應該有一個數(shù)據(jù)保留計劃。制定計劃將確保你在刪除一定時間范圍內(nèi)的數(shù)據(jù)。在制定數(shù)據(jù)保留計劃并了解可以刪除哪些內(nèi)容之后，應該遵循正確刪除和銷毀數(shù)據(jù)的安全最佳實踐。遵循行業(yè)標準，如國家標準與技術(shù)協(xié)會 (NIST)，將確保你的員工知道如何以及何時銷毀和刪除數(shù)據(jù)。任何符合 NIST 800-88 數(shù)據(jù)清理指南的方法都應該被獲準使用。

7. 你是否建立了事件響應團隊和數(shù)據(jù)泄漏計劃?

你的企業(yè)應該有一個強大的事件響應 (IR) 和數(shù)據(jù)泄漏計劃，并且應該每年進行測試。IR團隊的職責應該是管理IR流程，防范攻擊，并在事件發(fā)生時防止進一步的損失發(fā)生，為了防止攻擊再次發(fā)生做出改進，并報告任何安全事件的結(jié)果。

你的內(nèi)部計劃應基于行業(yè)領導者制定，并涵蓋以下三個階段：

• 第一階段：檢測、評估和分類。
• 第二階段：遏制、收集證據(jù)、分析和調(diào)查以及補救。
• 第三階段：修復、恢復和反思。必須及時通知客戶，這應該在你的協(xié)議中詳細說明。

8. 你在記錄安全事件嗎?

應該啟用日志功能，以便為所有對敏感數(shù)據(jù)的訪問建立足夠的審計跟蹤。日志記錄也應該在應用程序級別執(zhí)行。應該實現(xiàn)自動審計跟蹤來重構(gòu)系統(tǒng)事件，并且應該保護它們不被任何方式所更改。應該采用文件完整性監(jiān)控來確保所有客戶數(shù)據(jù)的機密性、完整性和可用性。

9. 你在持續(xù)更新隱私政策嗎?

你的企業(yè)需要預先了解它正在收集的信息。你應該嚴格遵守最新的安全和隱私規(guī)定，以避免任何法律問題。如果你的組織機構(gòu)正在收集有關(guān)客戶的任何數(shù)據(jù)(例如，IP 地址、位置等)，那么你的隱私策略必須對所有客戶都適用。你的隱私政策應該考慮到所有主要的利益相關(guān)者、法律團隊、營銷團隊和安全性問題。

【本文是51CTO專欄作者“李少鵬”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】

戳這里，看該作者更多好文