数据安全解析：挑战与解决方案

数据是任何组织最有价值的资产，无论其规模或行业。财务报表、商业计划和知识产权的丢失或损坏，都可能让即使是全球性企业陷入停摆。此外，广泛的合规法规要求组织根据 data security best practices来保护信息。

本文探讨为何数据安全如今成为组织最关注的议题，并提供能够应对您最迫切的数据安全挑战的解决方案。

什么是数据安全？

数据安全（或信息安全）是指使用各种类型的控制措施，以保护以电子和物理两种形式存在的内容。更详细的数据安全定义包含被称为 CIA triad：

• 机密性 — 组织需要防止对敏感数据的未授权访问。安全措施包括访问控制列表（ACL）、加密、强健的 password policies、多因素认证（MFA）、配置管理，以及监控和告警。
• 完整性 — 数据需要防止被不当删除或篡改。为了验证内容的真实性并保障交易安全，许多组织使用数字签名。
• 可用性 — 信息在需要时必须可用。例如，你的财务数据库必须对会计人员可用，以便他们处理支付交易。可用性包括 data resiliency，这涉及确保在发生网络攻击、硬件故障或其他不利情况时，内容能够被迅速恢复。

为什么数据安全很重要？

确保数据安全对于广泛的关键业务目标至关重要，包括以下内容：

• 确保业务连续性 — 数据安全保护有助于防止因数据机密性、完整性或可用性丧失而导致的业务运营中断。
• 降低财务风险 — 数据泄露 可能带来严重的财务影响，且不仅限于业务中断，包括法律费用、合规罚款以及由于客户信任受损而导致的长期收入损失。
• 履行法律与合规义务 — 未能遵守诸如 GDPR 之类的数据保护法规可能会导致 CCPA 并造成巨额罚款以及长期的声誉损害。
• 保护知识产权（IP） — 强有力的数据安全有助于组织保护其财务计划、设计、商业秘密以及其他有价值的信息，避免落入错误之手。

哪些数据需要保护？

无论是企业还是规模较小的组织，都必须保护两大类数据：

• 业务关键数据 包括维持和运营企业所需的数据资产。示例包括财务计划、与供应商签订的合同、库存，以及如设计和商业秘密等知识产权。
• 私人信息 包括公司的员工人力资源与薪资数据、客户资料、个人医疗信息，以及信用卡或借记卡数据。

然而，组织无法负担在尝试保护每一个文件和文件夹时浪费资源——无论其中包含的是关键的知识产权，还是仅仅是公司郊游的照片。相反，他们需要能够根据信息资产的重要性和敏感性进行保护。

组织如何保护数据？

组织必须采用多种控制措施来保护信息。常见的数据安全措施类型包括：

• 身份验证 — 每个数据安全系统都需要确保访问敏感信息的个人确实是其声称的那个人。尽管密码长期以来一直用于身份验证，但组织正在采用多因素身份验证（MFA），通过要求额外的身份校验方式（例如生物识别），来阻止手握被盗凭据的对手。
• 访问控制 — 经过身份验证的用户应只能访问完成工作所需的数据和其他 IT 资源。访问控制列表（ACL）、基于角色的访问控制（RBAC）以及 privileged access management（PAM）都是访问控制的示例。
• 加密 — 对敏感信息进行加密可确保即使发生未授权访问，数据也无法被读取。加密可以保护传输中的数据以及静态存储的数据。
• 数据清除 — 当数据不再需要时，应以能够防止其被恢复的方式将其删除。在淘汰或重新利用硬件时，彻底的数据清除尤其关键。
• 数据脱敏（Data masking） — 数据脱敏会隐藏特定数据，使数据库可用于测试、分析或其他用途，而不会损害 data privacy。 [SO1] [SO2]

为什么组织会关注数据安全？

如今，数据安全是许多组织的首要行动事项。以下是促使各方将重点放在数据安全上的最常见挑战。

数据泄露成本高昂

数据泄露，或 data leak，是指当关键数据被未授权查看者访问或向其披露时发生的安全事件。数据泄露可能由于以下原因：

• 来自外部对手的网络攻击
• 内部用户的数据盗窃，例如员工、承包商或合作伙伴
• 包含受保护信息的设备被盗或丢失
• 人为错误，例如不小心将敏感数据发送给不当的收件人

在 Netwrix Attack Catalog 中了解更多关于用于凭据盗取和数据受损的对手技术：

数据泄露可能造成显著的财务影响，包括恢复与取证成本、生产力损失、收入减少、法律费用、合规罚款，以及对客户信任和组织声誉造成的持久损害。

严格的合规法规与高额罚款

合规要求也在推动人们对更强的数据安全解决方案产生浓厚兴趣。例如，欧盟的《通用数据保护条例》(GDPR) 和《加州消费者隐私法》(CCPA) 规定了公司如何收集、存储和使用可识别个人身份的信息（PII），而 PCI DSS 则规范支付卡数据的存储与传输。

合规标准往往难以落实，失败的成本也可能非常高。 GDPR 罚款最高可达 2000 万欧元，或相当于上一财政年度公司全球年营业额的 4%；此外，主管机构还可以发出谴责，甚至禁止该组织处理受监管的数据。违反 PCI DSS 可能导致被禁止处理支付卡交易。

满足合规要求是实现成功的数据安全策略所必需的，但在合规审计中逐项“打勾”并不足以达标。法规通常只关注数据安全问题的特定方面（例如数据隐私），而现实世界中的安全威胁演变速度往往快于立法进程。保护敏感数据应被视为一项长期、持续的承诺。

IT 复杂性增加与云技术的快速采用

近年来，云采用量激增，尤其是疫情迫使组织让员工在家办公。 但云计算颠覆了传统的数据保护策略：这些策略的重点在于阻止恶意入侵者进入存储敏感数据的系统。 如今，数据存储在传统边界之外的系统中，并且可以在任何地方自由流动。 这意味着组织需要一种 以数据为中心的安全 策略，将其最敏感的信息置于首位。

更广泛地说，IT 环境正变得越来越复杂，新的技术和方法论不断涌现。尽管技术进步带来了更强的能力，但也会引入新的漏洞。对于许多组织而言，在多样化的 IT 生态系统中保持进度，并确保数据安全的一致性，是一项严峻的挑战。

资源有限与预算约束

对经验丰富的网络安全专业人员的需求急剧上升，导致全球范围内出现网络安全技能短缺。许多组织正努力在资源和预算有限的情况下，平衡数据安全要求的各项组成部分。

日益复杂的 数据安全威胁

组织也意识到网络威胁正在迅速演变。今天最受关注的问题包括：

• SQL 注入 — 攻击者通过在网页应用中注入恶意 SQL 代码来利用漏洞，从而访问并操纵数据库中的内容。
• 勒索软件 — 对手使用恶意软件对组织的文件进行加密，并索要用于解密密钥的赎金（他们可能会提供，也可能不会提供）。一些勒索软件攻击者现在还会制作数据副本，并威胁将其曝光，以提高他们获得赎金的概率。
• 网络钓鱼 — 网络犯罪分子会使用欺骗性的电子邮件、短信或网站，诱骗个人泄露机密数据，例如登录凭据。通过关注数据安全，组织旨在对员工进行教育，并实施与部署主动措施，以应对网络钓鱼威胁、降低潜在数据泄露的风险。

构建稳固数据安全战略的框架

组织不必从零开始制定数据保护战略。相反，他们可以利用诸如 NIST Cybersecurity Framework（CSF）之类的成熟工具。NIST CSF 包含五项主要功能：

• 识别 — 理解并记录对数据、系统、人员及能力所带来的网络安全风险。
• 保护 — 实施恰当的安全控制，以防范网络威胁并保护最关键的资产。
• 检测 — 确保你能够快速发现可能对数据安全构成风险的操作和事件。
• 响应 — 准备好经过测试的流程，以便能够迅速应对网络安全事件。
• 恢复 — 确保你能够快速恢复因安全事件而受影响的数据和服务。

哪些技术有助于数据保护？

全面的数据安全策略需要多种保护措施，例如：

• 数据发现与分类 — 数据发现技术会扫描数据存储库，并报告扫描结果，从而帮助你避免将敏感数据存放在缺乏安全保障的位置；这些位置更容易遭到入侵。 数据分类 是指使用标签对敏感数据进行标注的过程，以便你可以依据数据的价值以及适用的监管要求来保护数据。
• 数据加密 — 对关键信息进行编码可以使其对恶意行为者不可读且毫无用处。基于软件的数据加密由软件解决方案执行，用于在将数字数据写入 SSD 之前对其进行保护。基于硬件的加密则会使用专用处理器，负责在便携设备（例如笔记本电脑或 USB 驱动器）上对敏感数据进行加密和解密，从而实现保护。
• 动态数据脱敏（DDM） — 这种数据安全技术会实时对敏感数据进行遮蔽，从而在不发生未经授权的访问的情况下也能使用这些数据。
• 用户与实体行为分析（UEBA） — UEBA 技术旨在发现可能表明存在威胁的、偏离正常活动的行为。它尤其有助于检测 内部威胁 和被入侵的账户。
• 变更管理与审计 — 对 IT 系统进行不当的更改（无论是意外还是恶意）都可能导致停机和数据泄露。建立正式的变更管理流程，并对实际变更进行审计，有助于你及时发现配置错误。
• 身份与访问管理（IAM） — IAM 帮助组织管理普通用户账户和特权用户账户，并控制用户对数据与系统的访问。
• 备份与恢复 — 组织需要能够及时恢复数据与业务，无论是用户误删了他们现在急需的单个文件、服务器发生故障，还是自然灾害或定向攻击使整个网络瘫痪。完善的数据备份与恢复策略应明确列出用于找回丢失数据以及管理事件响应的步骤，以最大化数据的韧性。
• 数据丢失防护（DLP） — 数据丢失防护 解决方案会监控并控制敏感数据在网络、终端与云环境中的流动。通过检测并防止对敏感信息的未授权访问、使用或传输，组织可以主动防范数据泄露。
• 电子邮件安全过滤系统 — 这些工具会过滤掉不需要且危险的消息（包括网络钓鱼邮件），确保用户从未看到这些内容，因此也不会成为其受害者。

加强数据安全的步骤

采取以下步骤将有助于加强您的数据安全：

#1. 识别数据安全风险。

首先要分析并衡量与您的 IT 系统如何处理、存储以及允许访问敏感信息和业务关键性信息相关的安全风险。特别是：

• 制定风险管理策略 — 识别、评估和缓解安全风险是一个健康的数据安全计划的重要组成部分，同时也被许多合规法规所要求。与其从零开始尝试制定风险管理策略，不如考虑基于诸如以下文档中所述的风险评估框架进行构建：NIST SP 800-30。

• 在目录中识别并处理过期的用户账户 — 对黑客而言，找到可供攻击的非活跃账户相对容易；例如，通过 LinkedIn 快速搜索，就能揭示最近谁离开了公司。接管过期账户，是入侵者在不触发任何告警的情况下，悄悄探测你网络的一种极佳方式。因此，务必定期识别所有近期未被使用的用户账户，并与业务相关方协作，判断这些账户是否可以被移除。但同样要务必了解 为什么 这些账户仍然处于激活状态，并修复其背后的流程。例如，你可能需要建立更完善的机制：一旦员工离开公司，或外包承包商的项目完成，就确保 IT 团队能够收到通知。
• 查找并移除不必要的管理员权限 — 绝大多数用户并不需要管理员级别的权限，而一旦给任何人授予超出其所需的权限就可能带来危险。例如，拥有自己电脑的管理员访问权限的用户，可能会有意或无意地下载并执行恶意软件，从而感染你网络中的大量计算机。

• 定期扫描你的环境，查找可能有害的文件 — 你应当定期查找未经授权的可执行文件、安装程序和脚本，并将这些文件移除，避免任何人因疏忽而意外释放勒索软件或其他恶意软件。
• 教育用户 —很难夸大对所有用户进行定期培训的重要性。务必教会他们如何识别网络钓鱼信息、如何上报，以及为什么需要保持警惕。

#2. 进行服务器盘点。

接下来，列出所有服务器，并注明每台服务器的用途以及其中存储的数据。特别是，你应该：

• 检查你的操作系统。 确保没有任何服务器在运行供应商已不再支持的操作系统。由于过时的操作系统不会获得安全修复，它们会成为试图利用系统漏洞的黑客的理想目标。
• 确保已安装并更新防病毒软件。 并非所有类型的网络攻击都能被防病毒软件拦截，但它是至关重要的第一道防线。
• 检查其他程序和服务。 在服务器上安装不必要的软件不仅仅是占用存储空间；这些程序也可能构成安全风险，因为它们可能拥有足够的权限来篡改您的敏感数据。

此清单将帮助您识别并消除重要的安全漏洞。请记住，这不是一次性任务；您需要定期执行。

#3. 了解你的数据。

为了保护关键数据，您需要知道它们位于哪里。使用 data discovery and classification technology 来扫描云端和本地的数据存储，并按类型和用途对敏感或受监管的数据进行标记。然后，您就可以合理地为数据安全工作设定优先级，以提升数据安全并确保符合监管要求。

此外，还要持续留意敏感数据是否出现在不恰当的位置、是否被提供给大量人员，或是否以其他方式被过度暴露。请立即采取行动，降低数据丢失和数据外泄的风险。

#4. 建立并维护最小特权模型（least-privilege）。

将每位用户的访问权限限制为仅满足其工作所需至关重要：这既能限制员工（无论是蓄意还是意外）可能造成的损害，也能削弱一旦攻击者控制了用户账户所拥有的能力。例如，你不希望销售代表的账户能够访问机密的财务文件或代码开发仓库。

务必检查所有人员，包括管理员、用户、高管、承包商和合作伙伴。按照固定的时间表定期重复审查，并实施流程以避免过度授权（overprovisioning）。一个常见的漏洞在于：当用户在组织内更换角色时，未能移除他们不再需要的权限。例如，从事账户管理的人员转为技术支持工程师后，就不应再访问包含客户信息的计费（billing）数据库。

#5. 及时掌握可疑活动。

同样至关重要的是，要对 IT 生态系统中的活动进行密切审计，包括所有尝试读取、修改或删除敏感数据的行为。你需要能够识别并评估：用户（包括特权用户）正在访问什么数据、从哪里访问、何时访问以及如何访问。尤其应当：

• 关注用户活动是否出现“激增”。 突然出现的活动爆发行为往往值得怀疑，应立即进行调查。例如，大量文件被迅速删除，完全可能是正在进行的勒索软件攻击，也可能是计划离开组织的心怀不满的员工。
• 留意工作时间之外的活动。 用户有时会把恶意活动安排在正常办公时间之外，因为他们认为此时没有人会注意到他们。

Netwrix 解决方案如何提供帮助

Netwrix 提供一套 数据安全解决方案，帮助组织大幅降低数据泄露风险，并能够迅速检测、响应和从安全事件中恢复。

• Netwrix Auditor 帮助组织检测安全威胁，确保合规性并提升 IT 团队效率。集中式平台可对包括在内的多个关键系统进行审计与报告： Active Directory、Windows Server、Oracle Database 以及 网络设备。针对威胁模式的实时告警可让您快速响应恶意内部人员和被攻破的账户。
• Netwrix Access Analyzer 自动化收集并分析您在管理与保护数十个关键 IT 资产（包括数据、目录和系统）时所面临的最棘手问题所需的数据。Access Analyzer 内置了 40 多个数据采集模块，覆盖从操作系统到 Office 365 的本地与基于云的各类平台。借助无代理（agentless）的架构方式，我们专有的 AnyData 收集器提供易于使用、向导式的界面，用于配置应用程序以精确采集所需数据，从而实现从众多数据源进行快速、精准且尽可能轻量的数据采集。
• Netwrix Data Classification 能够识别本地与云端数据存储中的内容，并通过诸如复合词处理与统计分析等先进技术确保分类结果的准确性。预定义的分类规则可简化对 GDPR 和 HIPAA 等法规的合规要求。该解决方案还提供自动化的风险修复，以及对冗余数据的检测。
• Netwrix Directory Manager 简化在 Active Directory 和 Entra ID 中的用户与组管理。诸如动态组成员资格、自动用户预配以及生命周期策略强制等功能，通过减少手动错误并确保目录保持最新状态来提升安全性。
• Netwrix Password Reset 使用户能够随时随地安全地重置或更改自己的密码，并自行解锁账号。它还提供密码变更通知、多因素认证（MFA）以及全面审计，以在提升安全性的同时节省时间并降低 IT 服务台成本。
• Netwrix Privilege Secure 大幅降低特权帐户（包括服务帐户）被入侵或被滥用的风险。客户可以将高风险的管理员帐户替换为仅在需要时启用的临时帐户，并为当前任务提供“恰好够用”的访问权限。该解决方案还提供实时会话监控和视频录制，以确保问责并便于开展调查。
• Netwrix Threat Manager 通过实时告警、自动化响应、欺骗工具加快威胁检测与响应。并可轻松与其他安全技术集成，同时具备机器学习（ML）能力。

结论

提升数据安全需要采取多方面的方法：包括识别和分类数据、理解并缓解 IT 风险，以及部署恰当的控制措施。

可以从诸如 NIST CSF 这类最佳实践框架入手，然后寻找能够帮助你自动化核心流程并提供所需信息的安全解决方案。请记住：数据安全并不是你“达成”后就结束的目标，而是一个持续的过程。

常见问题

什么是数据安全？

数据安全包括识别、评估并降低与敏感信息相关的风险。

为什么数据安全很重要？

通过防止数据遭到未授权的访问、使用和修改，帮助组织降低运营中断、财务损失、法律问题、合规处罚以及声誉受损的风险。

如何应对数据安全？

如今，保护敏感信息需要的远不止实施杀毒软件和防火墙等基础安全技术。现代策略包括身份与访问管理、数据发现与分类、变更管理以及 Zero Trust 策略，以及用户和实体行为分析。

数据安全的主要要素有哪些？

被称为“CIA triad”的三个基本原则是数据安全的核心。它们是：

• 保密性 — 数据仅对授权用户可访问。
• 完整性 — 数据准确且完整。
• 可用性 — 数据在需要时可被访问。