freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

FreeBuf甲方群话题讨论 | 聊聊“数据安全与数据治理”那些事
2021-04-22 19:12:51


关键词:数据安全与数据治理

@FreeBuf

RSAC创新沙盒大赛可谓网络安全行业创新风向标,2021年RSAC创新沙盒大赛十强名单出炉,其中多家入围企业所属领域皆为数据安全。如今数据泄露事件频发,企业则越来越注重数据安全的防护与治理。本期话题围绕这个主题,可参考但不限于以下三个维度开展讨论:

讨论1:和过去相比,你认为如今企业发生数据泄露安全事件的主要原因有哪些?

1、泄露是一直都泄露的,只是大家现在更关注,而且商业竞争和主权攻击越来越频繁。

2、我们不知道怎么发现,但保密宣传片会告诉我们偷数据是啥下场。能判的,主要是个人信息,以及被认可的涉密信息,大部分商业公司的保密信息,实际上是不被法院认可的。

3、裁判文书网近些年已判决数据泄密案件。

4、我们有监守自盗的,前两年两个人倒卖数据,已经被判了。

5、主要原因我觉得还是内部人员的问题,黑产发展太快,自身安全建设没有跟上,特别是安全意识这块现在在绝大部分企业都是非常落后的,面对黑产的诱惑,很多人有意无意的泄露了数据,另外中小企业还有一部分可能确实是技术问题。

6、根据近10年的法院裁判文书来看,发现数据泄露的主要风险来自内部人员,牟利是主要动机,内部人员占数据泄露角色的8成,其中2/3是在职人员,1/3是离职人员。从几次物流行业数据泄露来看,如果内外勾结数据泄露风险更大。主要动机是为了牟利,占将近6成,其他原因包括不正当竞争、公开/成名、误操作、增加求职砝码和报复原公司。

7、数据泄露主要有两个方面的原因:1.持有数据的人员意识。2. 信息系统自身的脆弱性。从第一方面来看,大部分员工对数据的保密意识很低,而且,很多数据(信息)仅仅是一两句话就能够让有心人推断出足够多的信息量,再加上从不同渠道获取的数据片段进行拼凑,对于企业来说,管理的难度极大。于企业来说,管理的难度极大。从第二个方面来看,“没有绝对安全的信息系统”,这算是行业的一个共识了,因此,未知的信息系统脆弱性,也是企业面临的风险。

8、主要是员工安全意识不足,管理流于形式;技术大跨步太多,基础安全都没有做好做足,没有对应的人力、系统支撑。以上两方面做足功课以后,在考虑数据安全相关的短板进行弥补。

延伸讨论:

@楼主:安全要从CMDB拉数据,CMDB应用大家有什么心得

1、说起CMDB一肚子火,CMDB全是坑。搞资产说起来人人懂,搞起来一堆事,运维还不配合。

2、你们还有CMDB,很多公司都没有这个。

3、除了找运维,我是Arp -a,顺着核心交换机,一个一个查的来找自己公司资产的,边查边扫描,查出来找到责任人,物理位置,登记。

4、运维天天和我说在做在做,结果新上线的资产被打穿了。

5、漏扫找资产比运维还准。

6、互联网资产我就用ARL了。

讨论2:报告显示,Facebook高居“数据丢失耻辱榜”榜首,其他企业如万豪、摩根等也榜上有名。和中小型规模的企业相比,大企业是否更遭黑客"青睐"?

1、之所以觉得大企业更遭青睐,可能只是大企业发现的多而已。

2、大部分商业公司的保密信息,实际上是不被法院认可的,很多时候是因为没法去做司法鉴定,某个东西是公司机密代码,你要去鉴定价值的话,你要找同行或者公开拿出去估算价值。

3、理论上是的,但要看“数据”的价值。有些小企业的“数据价值”不比大企业差。

4、两方面,(1)在价值上来看,肯定大企业更招黑客青睐,一个是大企业的影响力,另一个是数据价值更大。但是大企业的安全建设还是要走得快些,不容易直接攻击获取数据,一般大企业的数据泄露都是员工无意泄露了关键信息,比如技术人员泄露源码、配置文件等。(2)从数据泄露的数据类型来看啊,To C的用户数据、客户数据、源代码、商业机密和政企涉密文件占据主流,大企业比小企业拥有更多客户信息资源和商业秘密,更容易受到数据泄露威胁啊。

5、数据泄露于企业规模无关,说来说去,无非就是“利益”二字。3个方向都涉及利益:(1)黑产对数据的倒买倒卖;(2)竞争对手对企业的打击(例如对品牌形象,营销方案,股票市场,上下游合作等造形成负面影响和损失);(3)企业持有数据对自身的价值(例如行业客户数据对市场营销的价值,To C客户数据对用户画像和广告投放的价值)。

讨论3:如今业界很多关于数据安全的建设方法,大多以数据安全生命周期为核心,但对于中小企业而言,如果完全按照这种方式来建设,团队规模有限,安全需求很多,资源是否会冲突?业务是否会买单?

1、我们的口号是:建设面向“汇聚、传输、存储、访问、共享与销毁”全流程的数据安全保障核心能力————(2000w,够么?)

2、凡是喊出来:以数据安全生命周期为核心的,都是外围人群。如果完全按照这种方式来建设,团队规模有限,安全需求很多,资源会冲突,业务不会买单。

4、数据安全的生命周期管理是以数据的价值链为对象,毕竟数据流动起来才有价值,在各个环节都考虑安全因素,如果是小企业可能并没有那么多的业务场景,也没有那么多的数据安全需求,以防止数据泄露为目标,梳理数据出口,尽可能做好管控就差不多啦,毕竟没人没钱靠理论体系是完成不了高大上的安全目标的。

5、会有冲突,业务不一定会买单。任何建设方法都只是一个指导思想(最佳实践),实际落地还是要结合企业自身的情况进行修正,包括数据安全在内的任何其他的安全建设,都是要为“企业盈利”这一个核心目的服务的,这是一个投入/收益的取舍平衡。特殊情况下,一切安全方案,都需要为“盈利”让路。

6、资源肯定会冲突,而且业务不一定会买单。建议中小企业还是先做好基础安全,健全自身的检测响应能力,不断优化自己的规则告警。如果强制植入数据安全生命周期,会本末倒置。比如有些企业入侵检测都没有健全,漏洞也没修复,监控没人看,规则告警也没有优化,就想着上DLP,甚至“0信任”。

7、一张图让领导知道啥是纵深防御:(自己画的图,有点丑,意思到了就行)

1619155362_608259a21b038961618c9.png!small?1619155363831

FreeBuf甲方交流分享群

纯甲方:囊括金融、政府、运营商、医疗、互联网企业等多行业甲方安全从业人员,具备严格的入群审核机制,非甲方安全从业人员拒绝进群

真实有料:从甲方企业CSO到安全工程师,从安全方案应用到产品技术应用,社群定期组织相关主题话题讨论,共同交流最真实有趣有料的甲方安全建设经验

专属权益:一旦认证成为FreeBuf甲方会员,即可享受FreeBuf报告在线免费阅读权益,同时参与社群话题讨论便有机会获得FVIP月卡奖励。更多权益,期待解锁ing~

FreeBuf甲方群进群方式

扫码填写申请表单,通过审核后即可入群:

本文作者:,转载请注明来自FreeBuf.COM

# 数据安全 # 数据治理 # 甲方群
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
评论 按热度排序

登录/注册后在FreeBuf发布内容哦

相关推荐
\
  • 0文章数
  • 0评论数
  • 0关注者
文章目录
登录/ 注册后在FreeBuf发布内容哦
收入专辑