家得寶、JP摩根大通、索尼影業(yè)和美國(guó)第二大醫(yī)療保險(xiǎn)公司Anthem等知名企業(yè)相繼傳出重大的數(shù)據(jù)泄密事件后，各行各業(yè)的公司企業(yè)大力投資于數(shù)據(jù)保護(hù)技術(shù)。知名調(diào)研機(jī)構(gòu)弗雷斯特研究公司預(yù)測(cè)，光在零售業(yè)，安全開(kāi)支有望出現(xiàn)兩位數(shù)的增長(zhǎng)。
在你開(kāi)始投入資金消除網(wǎng)絡(luò)安全憂患之前，不妨運(yùn)用一些常識(shí)性的防范措施，保護(hù)你的云數(shù)據(jù)。這五個(gè)措施結(jié)合明智的云安全策略和工具，就能讓敏感數(shù)據(jù)中招的風(fēng)險(xiǎn)大大降低。
1. 知道數(shù)據(jù)位于何處。
如今的公司企業(yè)經(jīng)常收集和分析數(shù)量異常大的數(shù)據(jù)。它們存儲(chǔ)商業(yè)秘密、產(chǎn)品研究數(shù)據(jù)和財(cái)務(wù)信息，另外還存儲(chǔ)客戶的個(gè)人數(shù)據(jù)。雖然你的安全團(tuán)隊(duì)能夠牢牢保護(hù)本企業(yè)內(nèi)部的數(shù)據(jù)，但是你的云服務(wù)提供商和第三方也在保管你的數(shù)據(jù)。如果業(yè)務(wù)合作伙伴濫用你的數(shù)據(jù)，你將面臨重大的經(jīng)濟(jì)處罰，具體取決于你所在行業(yè)。
一想到你的數(shù)據(jù)可能駐留的所有地方，就會(huì)讓人頭大。它可能駐留在貴企業(yè)場(chǎng)地，可能集中存儲(chǔ)在服務(wù)器上，也可能存放在各部門(mén)孤島里面。數(shù)據(jù)還可能駐留在你云服務(wù)提供商的數(shù)據(jù)中心以及第三方公司的服務(wù)器上。數(shù)據(jù)可能駐留在屬于你員工以及業(yè)務(wù)合作伙伴的員工的移動(dòng)設(shè)備、個(gè)人電腦和USB驅(qū)動(dòng)器。結(jié)論就是，在你保護(hù)云數(shù)據(jù)之前，要確保自己知道能在哪里找到數(shù)據(jù)。
2. 實(shí)施智能訪問(wèn)策略。
據(jù)韋里遜公司的《2014年數(shù)據(jù)泄露調(diào)查報(bào)告》聲稱，三分之二的攻擊涉及企圖竊取員工密碼。如果重要崗位的員工使用安全性很弱的密碼，攻擊者常常可以運(yùn)用蠻力破解密碼，根本不需要操心思竊取密碼。
首先要教員工設(shè)置更智能化的密碼，但是更重要的是限制不必要地訪問(wèn)數(shù)據(jù)。如果攻擊者竊取了登錄資料，但是該人的登錄資料無(wú)法訪問(wèn)寶貴數(shù)據(jù)，你已經(jīng)防止了安全泄密事件。應(yīng)實(shí)施細(xì)粒度策略，將數(shù)據(jù)訪問(wèn)與部門(mén)里面的崗位和部門(mén)間項(xiàng)目里面的角色聯(lián)系起來(lái)。另外，圍繞個(gè)人移動(dòng)設(shè)備使用、USB驅(qū)動(dòng)器以及企業(yè)網(wǎng)絡(luò)的遠(yuǎn)程訪問(wèn)，制定強(qiáng)有力的策略。
此外，經(jīng)常審查員工的驗(yàn)證目錄，確保沒(méi)有人擁有不該擁有的管理員權(quán)限。你還應(yīng)該刪除之前的員工和業(yè)務(wù)合作伙伴的登錄資料。
3. 需要時(shí)加密數(shù)據(jù)。
在醫(yī)療保健業(yè)等一些行業(yè)，將文件上傳到云端之前加密文件沒(méi)有商量余地。即便貴公司僅僅與醫(yī)療保健服務(wù)機(jī)構(gòu)合作，也應(yīng)該對(duì)含有患者個(gè)人身份信息的所有文件進(jìn)行加密。你還應(yīng)該對(duì)所有含有患者信息的往來(lái)電子郵件進(jìn)行加密。雖然加密無(wú)法防止所有的數(shù)據(jù)竊取行為，但是可以保護(hù)醫(yī)療保健機(jī)構(gòu)及業(yè)務(wù)合作伙伴避免遭到《健康保險(xiǎn)可攜性及責(zé)任性法案》(HIPAA)的巨額罰金。
醫(yī)療保健業(yè)并不是應(yīng)加大對(duì)加密技術(shù)的依賴程度的唯一行業(yè)。據(jù)《坦帕灣時(shí)代》報(bào)道，美國(guó)中央司令部的一家供應(yīng)商最近發(fā)現(xiàn)失竊的軍方筆記本電腦居然在電子港灣上兜售。如果作為國(guó)防合同的一項(xiàng)條款，你保管第三方數(shù)據(jù)，就必須對(duì)可能含有軍方數(shù)據(jù)的所有筆記本電腦和移動(dòng)設(shè)備進(jìn)行加密。實(shí)際上，如果你的員工在其個(gè)人設(shè)備上傳輸高度機(jī)密的數(shù)據(jù)，總是需要加密，并設(shè)置遠(yuǎn)程擦除訪問(wèn)機(jī)制。
4. 權(quán)衡公有云和私有云的部署。
許多公司試圖限制潛在的數(shù)據(jù)泄密事件，于是求助于部署私有云，以便隔離數(shù)據(jù)存儲(chǔ)。為了找到平衡點(diǎn)，許多公司將最敏感的數(shù)據(jù)放在托管在自家數(shù)據(jù)中心的私有云里面，然后使用公有云存儲(chǔ)系統(tǒng)來(lái)存儲(chǔ)不大敏感的信息。
雖然使用私有云的公司也可以利用公有云基礎(chǔ)設(shè)施以滿足高容量需求，但公司的私有云與公有云協(xié)同運(yùn)行并非總是易事。Eucalyptus等公司正在開(kāi)發(fā)混合云解決方案，讓用戶很容易搭建還能與亞馬遜網(wǎng)絡(luò)服務(wù)(AWS)協(xié)同運(yùn)行的私有云。
5. 要求提供商做到透明。
作為外部云服務(wù)提供商的客戶，你當(dāng)然有權(quán)知道數(shù)據(jù)中心里面的安全策略。你還有權(quán)知道你的數(shù)據(jù)保存在何處、你的網(wǎng)絡(luò)是不是完全隔離起來(lái)。
如果你的云服務(wù)提供商在數(shù)據(jù)存儲(chǔ)和傳輸方面并不透明，就要毫不猶豫地?fù)Q一家新的云服務(wù)提供商。你不僅有權(quán)知道云服務(wù)提供商將你的數(shù)據(jù)存儲(chǔ)在何處，還有權(quán)知道你的數(shù)據(jù)在傳輸過(guò)程中所出現(xiàn)的情況。
京公網(wǎng)安備 11010502049343號(hào)