5步將數(shù)據(jù)泄露風(fēng)險(xiǎn)降至最低

豫說(shuō)等保技術(shù)
雖然憑證泄露確實(shí)是造成數(shù)據(jù)泄露的最大威脅,但不是唯一的威脅。攻擊者總是有可能利用軟件缺陷或其他安全漏洞繞過(guò)正常的訪問(wèn)控制方法并訪問(wèn)客戶數(shù)據(jù)。最糟糕的是,此類攻擊既難以檢測(cè),而且一旦發(fā)生就更難阻止。

數(shù)據(jù)依然成為企業(yè)運(yùn)行的血液,其每次互動(dòng)時(shí)從客戶那里收集信息,并以此提高效率、提高敏捷性并提供更高水平的服務(wù)。數(shù)據(jù)收集越多、越重要,大數(shù)據(jù)環(huán)境下,數(shù)據(jù)自然成為黑客眼饞的目標(biāo)。

隨著時(shí)間一天天過(guò)去,證據(jù)越來(lái)越多顯示數(shù)據(jù)越來(lái)越重要,對(duì)數(shù)據(jù)的攻擊越來(lái)越頻繁。根據(jù)國(guó)外有關(guān)報(bào)道,在過(guò)去幾個(gè)月中,我們看到了針對(duì)Neiman Marcus、Facebook和Robinhood股票交易應(yīng)用程序的大規(guī)模數(shù)據(jù)泄露。當(dāng)然,這些都不是孤立安全事件,通觀近年來(lái),全球數(shù)據(jù)泄露事件的數(shù)量平均每天接近3起。

統(tǒng)計(jì)數(shù)據(jù)表明,一般企業(yè)都沒(méi)有時(shí)間對(duì)其數(shù)據(jù)進(jìn)行防御,但是數(shù)據(jù)又非常重要,根據(jù)國(guó)外安全網(wǎng)站總結(jié)的五個(gè)步驟,我們一起看看如何保護(hù)各類規(guī)模企業(yè)的數(shù)據(jù)。

2345截圖20211028093243.png

第一步:審查和調(diào)整數(shù)據(jù)收集標(biāo)準(zhǔn)

企業(yè)提高客戶數(shù)據(jù)安全性,需要采取的第一步是審查自身收集的數(shù)據(jù)類型以及原因。大多數(shù)進(jìn)行這項(xiàng)工作的公司最終都會(huì)發(fā)現(xiàn),隨著時(shí)間的推移,收集到的客戶信息的數(shù)量和種類遠(yuǎn)遠(yuǎn)超出了企業(yè)的原始意圖。

例如,收集客戶姓名和電子郵件地址等信息是相當(dāng)標(biāo)準(zhǔn)的。如果這就是企業(yè)存檔的全部?jī)?nèi)容,基本上就不會(huì)成為攻擊者的有吸引力的目標(biāo)。但是,如果企業(yè)擁有云呼叫中心或任何類型的高接觸銷售周期或客戶支持,可能會(huì)收集家庭住址、財(cái)務(wù)數(shù)據(jù)和人口統(tǒng)計(jì)信息,然后會(huì)收集一個(gè)非常適合身份盜用的數(shù)據(jù)集到野外。

因此,在評(píng)估每個(gè)收集到的數(shù)據(jù)點(diǎn)以確定其價(jià)值時(shí),企業(yè)應(yīng)該問(wèn)自己:這些數(shù)據(jù)促進(jìn)了哪些關(guān)鍵業(yè)務(wù)功能。如果答案是否定的,應(yīng)該清除數(shù)據(jù)并停止收集。如果有一個(gè)有效的答案,但不是關(guān)鍵的功能,企業(yè)應(yīng)該權(quán)衡數(shù)據(jù)創(chuàng)造的好處與如果數(shù)據(jù)在泄露中暴露可能遭受的損害。

2345截圖20211028093243.png

第二步:最小化數(shù)據(jù)訪問(wèn)

減少要保護(hù)的數(shù)據(jù)量后,下一步是通過(guò)最大限度地減少訪問(wèn)數(shù)據(jù)的人員來(lái)減少數(shù)據(jù)的攻擊面。訪問(wèn)控制在數(shù)據(jù)保護(hù)中發(fā)揮著巨大的作用,因?yàn)楦`取用戶憑據(jù)是惡意行為者進(jìn)入受保護(hù)系統(tǒng)的主要方式。出于這個(gè)原因,企業(yè)需要將最小特權(quán)(PoLP)原則應(yīng)用于其數(shù)據(jù)存儲(chǔ)庫(kù)以及連接到系統(tǒng)。

最小化對(duì)數(shù)據(jù)的訪問(wèn)還有另一個(gè)有益的副作用:它有助于防止內(nèi)部威脅導(dǎo)致數(shù)據(jù)泄露。研究公司Forrester預(yù)測(cè),今年有31%的數(shù)據(jù)泄露事件是由內(nèi)部威脅導(dǎo)致的,同時(shí)這一數(shù)字只會(huì)在此之后繼續(xù)增長(zhǎng)。因此,首先通過(guò)將敏感的客戶數(shù)據(jù)從大多數(shù)員工手中排除,企業(yè)可以同時(shí)應(yīng)對(duì)內(nèi)部和外部威脅。

2345截圖20211028093243.png

第三步:盡可能消除密碼

即使在減少了可以訪問(wèn)客戶數(shù)據(jù)的人數(shù)之后,企業(yè)仍然可以通過(guò)另一種方式讓黑客更難獲得這些數(shù)據(jù)。為了盡可能避免將密碼作為主要身份驗(yàn)證方法。

根據(jù)2021年Verizon數(shù)據(jù)泄露調(diào)查報(bào)告,去年所有數(shù)據(jù)泄露中有61%涉及使用憑據(jù)、被盜或其他方式。因此,從邏輯上講,需要擔(dān)心的憑據(jù)越少越好。還有一些方法可以減少對(duì)傳統(tǒng)密碼身份驗(yàn)證系統(tǒng)的依賴。

一種是使用雙因素身份驗(yàn)證。這意味著賬戶需要密碼和限時(shí)安全令牌,通常通過(guò)應(yīng)用程序或短信提供。但更好的方法是使用硬件安全密鑰。依靠牢不可破的加密憑證來(lái)控制數(shù)據(jù)訪問(wèn)的物理設(shè)備。雙因素身份驗(yàn)證的使用,網(wǎng)絡(luò)釣魚(yú)和其他社會(huì)工程攻擊的威脅大大減少。雙因素身份認(rèn)證是當(dāng)前最好的安全身份驗(yàn)證方法,至少在像Hushmesh這樣的解決方案成為主流之前是這樣。

數(shù)據(jù)安全

2345截圖20211028093243.png

第四步:加密靜態(tài)和動(dòng)態(tài)數(shù)據(jù)

雖然憑證泄露確實(shí)是造成數(shù)據(jù)泄露的最大威脅,但不是唯一的威脅。攻擊者總是有可能利用軟件缺陷或其他安全漏洞繞過(guò)正常的訪問(wèn)控制方法并訪問(wèn)客戶數(shù)據(jù)。最糟糕的是,此類攻擊既難以檢測(cè),而且一旦發(fā)生就更難阻止。

這就是為什么任何稱職的數(shù)據(jù)保護(hù)計(jì)劃的第四步是確保所有客戶數(shù)據(jù)始終保持加密狀態(tài)。這意味著使用在數(shù)據(jù)通過(guò)時(shí)采用強(qiáng)加密的軟件、采用加密的網(wǎng)絡(luò)硬件和組件,以及允許靜態(tài)數(shù)據(jù)加密的數(shù)據(jù)存儲(chǔ)系統(tǒng)??梢宰畲笙薅鹊販p少攻擊者在沒(méi)有憑據(jù)的情況下可以獲得的數(shù)據(jù)訪問(wèn)權(quán)限,并且可以在確實(shí)發(fā)生違規(guī)時(shí)幫助控制損害。

2345截圖20211028093243.png

第五步:制定數(shù)據(jù)泄露響應(yīng)計(jì)劃

不管你怎么看,這世界從來(lái)都不存在完美的網(wǎng)絡(luò)安全。攻擊者總是在努力尋找可以利用的弱點(diǎn)。做好準(zhǔn)備的企業(yè)將消除或減少其中的許多風(fēng)險(xiǎn)。但這并不意味著數(shù)據(jù)安全固若金湯,沒(méi)有泄露的可能性。

這就是客戶數(shù)據(jù)保護(hù)框架的最后一步是制定數(shù)據(jù)泄露響應(yīng)計(jì)劃的原因。如果攻擊者確實(shí)獲得了對(duì)客戶數(shù)據(jù)的訪問(wèn)權(quán)限,應(yīng)該為企業(yè)提供路線圖以幫助其做出響應(yīng)。該計(jì)劃應(yīng)不遺余力地詳細(xì)說(shuō)明內(nèi)部IT團(tuán)隊(duì)?wèi)?yīng)如何應(yīng)對(duì)、首選的3rd方安全顧問(wèn)是誰(shuí)以及如何將違規(guī)通知客戶通知等所有內(nèi)容。

最后一部分很可能是最重要的。在數(shù)據(jù)泄露之后,企業(yè)如何讓其客戶變得完整可以決定反彈程度(如果有的話)。例如,與消費(fèi)者安全公司合作,在數(shù)據(jù)泄露后為受影響的客戶提供金融欺詐保護(hù)和身份保護(hù)可能是明智之舉。這將降低任何進(jìn)一步損害企業(yè)聲譽(yù)的后續(xù)事件的風(fēng)險(xiǎn)。

2345截圖20211028093243.png

底線

一個(gè)簡(jiǎn)單的事實(shí)是,尚未遭受數(shù)據(jù)泄露的企業(yè)可以說(shuō)是正在用借來(lái)的時(shí)間運(yùn)營(yíng)。而且他們的數(shù)據(jù)泄露的可能性很大。但應(yīng)用框架將大大有助于將賠率轉(zhuǎn)回對(duì)他們有利的局面。將最大程度地降低數(shù)據(jù)泄露的風(fēng)險(xiǎn),限制確實(shí)發(fā)生的損害,并幫助公司處理后果。在網(wǎng)絡(luò)安全這個(gè)不完美的世界中,沒(méi)有任何企業(yè)可以要求更多。

THEEND

最新評(píng)論(評(píng)論僅代表用戶觀點(diǎn))

更多
暫無(wú)評(píng)論