自從歐盟的《通用數(shù)據(jù)保護條例》生效以來，加州和紐約分別成功地通過了《加州消費者隱私法案》(California Consumer Privacy Act, CCPA) 和《阻止黑客行為和改進電子數(shù)據(jù)安全法案》(Stop Hacks and Improve Electronic Data Security, SHIELD)。目前還有 12 個州正在申請批準(zhǔn)數(shù)據(jù)保護立法，預(yù)計這個數(shù)字還會增長。

 

隨著美國各地出臺更多不同的法案，企業(yè)為了避免高昂的監(jiān)管罰款需要采取的措施只會變得越來越復(fù)雜。這些問題得到了答案，你晚上就會睡得好一點。那些有應(yīng)對攻擊的計劃或者已經(jīng)在執(zhí)行這些指導(dǎo)方針的人應(yīng)該抱有信心，他們的企業(yè)將客戶的最佳利益放在心上。

 

1. 你是否將 “隱私和安全設(shè)計” 融合到了你的環(huán)境中?

 

通過設(shè)計實現(xiàn)隱私和安全性，是一種一開始就主動整合隱私和數(shù)據(jù)保護的方法。這種方法遵循七個原則，以在 IT 和業(yè)務(wù)環(huán)境中逐步實現(xiàn)目標(biāo)。在特定的技術(shù)，操作，體系結(jié)構(gòu)和網(wǎng)絡(luò)的設(shè)計過程中，盡早倡導(dǎo)隱私和安全性將確保你在整個設(shè)計生命周期中構(gòu)建成熟的流程。

 

2. 敏感數(shù)據(jù)是否在傳輸和靜止期間被加密?

 

加密密鑰對于保護數(shù)據(jù)處理和存儲的數(shù)據(jù)至關(guān)重要。密鑰管理的級別應(yīng)該與這些密鑰所服務(wù)的關(guān)鍵功能的級別相對應(yīng)。我強烈建議定期更新加密密鑰，并與數(shù)據(jù)分開存儲。本質(zhì)上數(shù)據(jù)總在移動，當(dāng)它跨邊界移動時，保護這些信息需要對其靜止和傳輸過程進行強加密。

 

3. 是否需要根據(jù)需要訪問數(shù)據(jù)?

 

數(shù)據(jù)始終應(yīng)該被劃分為敏感數(shù)據(jù)和非敏感數(shù)據(jù)，并且只能由有合法業(yè)務(wù)理由的授權(quán)員工訪問。采用基于角色的權(quán)限和 “根據(jù)需要” 進行限制將有助于保護你的數(shù)據(jù)。強烈建議始終使用具有多因素身份驗證的非共享用戶名和密碼，這將會驗證每個用戶。此外，每年至少應(yīng)該進行一次訪問審查;這將確保為正確的人提供合適的訪問權(quán)限。

 

4. 是否有災(zāi)難恢復(fù)和備份環(huán)境?

 

在當(dāng)今的數(shù)字世界中，擁有災(zāi)難恢復(fù) (DR) 和備份環(huán)境是必須的。DR 和業(yè)務(wù)連續(xù)性 (BC) 計劃必須到位，所有相關(guān)人員都應(yīng)該被告知他們的角色。DR 和 BC 計劃應(yīng)該每年進行一次測試，然后總結(jié)經(jīng)驗教訓(xùn)。將生產(chǎn)和備份位置分開幾百英里能在發(fā)生自然災(zāi)害或人為災(zāi)難時提高數(shù)據(jù)的安全性。

 

5. 是否進行了漏洞、風(fēng)險、滲透和其他審計評估?

 

評估工作應(yīng)該貫穿全年。你的團隊?wèi)?yīng)該針對環(huán)境中的信息系統(tǒng)和操作區(qū)域進行評估。對所有資產(chǎn)(內(nèi)部和外部)進行這些評估非常重要。你的分析應(yīng)該分五個步驟完成：

 

識別資產(chǎn)并確定其優(yōu)先順序

 

識別威脅

 

識別漏洞

 

分析控制

 

了解事件發(fā)生的可能性，并了解該威脅可能對你的系統(tǒng)造成的影響。

 

6. 是否有刪除或銷毀數(shù)據(jù)的流程?

 

無論是誰在處理你的數(shù)據(jù)，都應(yīng)該有一個數(shù)據(jù)保留計劃。制定計劃將確保你在刪除一定時間范圍內(nèi)的數(shù)據(jù)。在制定數(shù)據(jù)保留計劃并了解可以刪除哪些內(nèi)容之后，應(yīng)該遵循正確刪除和銷毀數(shù)據(jù)的安全最佳實踐。遵循行業(yè)標(biāo)準(zhǔn)，如國家標(biāo)準(zhǔn)與技術(shù)協(xié)會 (NIST)，將確保你的員工知道如何以及何時銷毀和刪除數(shù)據(jù)。任何符合 NIST 800-88 數(shù)據(jù)清理指南的方法都應(yīng)該被獲準(zhǔn)使用。

 

7. 你是否建立了事件響應(yīng)團隊和數(shù)據(jù)泄漏計劃?

 

你的企業(yè)應(yīng)該有一個強大的事件響應(yīng) (IR) 和數(shù)據(jù)泄漏計劃，并且應(yīng)該每年進行測試。IR團隊的職責(zé)應(yīng)該是管理IR流程，防范攻擊，并在事件發(fā)生時防止進一步的損失發(fā)生，為了防止攻擊再次發(fā)生做出改進，并報告任何安全事件的結(jié)果。

 

你的內(nèi)部計劃應(yīng)基于行業(yè)領(lǐng)導(dǎo)者制定，并涵蓋以下三個階段：

 

第一階段：檢測、評估和分類。

 

第二階段：遏制、收集證據(jù)、分析和調(diào)查以及補救。

 

第三階段：修復(fù)、恢復(fù)和反思。必須及時通知客戶，這應(yīng)該在你的協(xié)議中詳細(xì)說明。

 

8. 你在記錄安全事件嗎?

 

應(yīng)該啟用日志功能，以便為所有對敏感數(shù)據(jù)的訪問建立足夠的審計跟蹤。日志記錄也應(yīng)該在應(yīng)用程序級別執(zhí)行。應(yīng)該實現(xiàn)自動審計跟蹤來重構(gòu)系統(tǒng)事件，并且應(yīng)該保護它們不被任何方式所更改。應(yīng)該采用文件完整性監(jiān)控來確保所有客戶數(shù)據(jù)的機密性、完整性和可用性。

 

9. 你在持續(xù)更新隱私政策嗎?

 

你的企業(yè)需要預(yù)先了解它正在收集的信息。你應(yīng)該嚴(yán)格遵守最新的安全和隱私規(guī)定，以避免任何法律問題。如果你的組織機構(gòu)正在收集有關(guān)客戶的任何數(shù)據(jù)(例如，IP 地址、位置等)，那么你的隱私策略必須對所有客戶都適用。你的隱私政策應(yīng)該考慮到所有主要的利益相關(guān)者、法律團隊、營銷團隊和安全性問題。