什么是数据安全？

数据安全是保护公司数据并防止因未经授权的访问而丢失数据的过程。这包括保护您的数据免受可能加密或破坏数据的攻击（例如勒索软件）以及可能修改或损坏数据的攻击。数据安全还确保组织中有权访问数据的任何人都可以使用数据。

一些行业需要高水平的数据安全性以遵守数据保护法规。例如，处理支付卡信息的组织必须安全地使用和存储支付卡数据，美国的医疗保健组织必须根据 HIPAA 标准保护私人健康信息 (PHI )。

但即使您的组织不受法规或合规标准的约束，现代企业的生存也取决于数据安全，这可能会影响组织的关键资产和属于其客户的私人数据。

白皮书：应对数字化转型时代的数据安全挑战。

为什么数据安全很重要？

Ponemon Institute 的数据泄露成本研究发现，美国一次数据泄露造成的平均损失为 800 万美元。平均有 25,575 个用户帐户在数据事件中受到影响，这意味着除了财务损失之外，大多数事件还会导致客户信任丧失和声誉受损。

美国的数据泄露平均成本最高。

随着许多政府针对数据隐私出台了更严格的法规，与数据泄露相关的诉讼、和解和罚款也在增加。随着GDPR、CCPA、APP 和 CSP234的引入，消费者拥有更广泛的权利，尤其是在欧盟、加利福尼亚和澳大利亚。

在受监管行业运营的公司受到其他标准的影响，例如针对美国医疗保健组织的HIPAA以及针对处理信用卡数据的组织的PCI/DSS 。

在过去的十年中，社会工程、勒索软件和高级持续性威胁(APT) 呈上升趋势。这些威胁难以防御，并且可能对组织的数据造成灾难性损坏。

数据安全没有简单的解决方案——仅仅添加另一个安全解决方案并不能解决问题。IT 和信息安全团队必须积极、创造性地考虑他们的数据保护挑战，并合作改善他们的安全状况。评估当前安全措施的成本、它们对数据安全的贡献以及额外投资的预期投资回报也至关重要。

数据安全与数据隐私

数据隐私是计算机系统中可以与第三方共享的数据（非私有数据）和不能与第三方共享的数据（私有数据）之间的区别。执行数据隐私有两个主要方面：

• 访问控制——确保任何试图访问数据的人都经过身份验证以确认其身份，并被授权仅访问他们有权访问的数据。
• 数据保护——确保即使未经授权的各方设法访问数据，他们也无法查看数据或对其造成损坏。数据保护方法可确保加密，防止任何人在没有私有加密密钥的情况下查看数据，并确保数据丢失防护机制，防止用户将敏感数据传输到组织外部。

数据安全与数据隐私有很多重叠之处。用于确保数据隐私的相同机制也是组织数据安全策略的一部分。

主要区别在于，数据隐私主要侧重于保持数据机密，而数据安全主要侧重于防止恶意活动。例如，加密可能是保护隐私的充分措施，但可能不足以作为数据安全措施。攻击者仍然可能通过擦除数据或双重加密数据以防止授权方访问来造成损害。

请参阅我们的数据隐私详细指南了解更多信息

数据安全风险

以下是各种规模的组织在尝试保护敏感数据时面临的几个常见问题。

意外接触

很大一部分数据泄露并不是恶意攻击造成的，而是由于疏忽或意外泄露敏感数据造成的。组织的员工经常会无意中或因为不了解安全策略而共享、授予访问权限、丢失或错误处理有价值的数据。

这一主要问题可以通过员工培训来解决，也可以通过其他措施来解决，例如数据丢失防护(DLP) 技术和改进的访问控制。

网络钓鱼和其他社会工程攻击

社会工程攻击是攻击者用来访问敏感数据的主要途径。它们涉及操纵或欺骗个人提供私人信息或访问特权帐户。

网络钓鱼是社会工程的一种常见形式。它涉及看似来自受信任来源的消息，但实际上是由攻击者发送的。当受害者遵守规定（例如提供私人信息或单击恶意链接）时，攻击者就可以破坏其设备或获得对公司网络的访问权限。

内部威胁

内部威胁是指无意或故意威胁组织数据安全的员工。内部威胁分为三种类型：

• 非恶意内部人员——这些用户可能因疏忽或不了解安全程序而意外造成伤害。
• 恶意内部人员——这些用户为了个人利益而积极尝试窃取数据或对组织造成损害。
• 受损的内部人员——这些用户并不知道自己的帐户或凭据已被外部攻击者泄露。然后，攻击者可以冒充合法用户执行恶意活动。

勒索软件

勒索软件是各种规模公司数据的主要威胁。勒索软件是一种恶意软件，它会感染企业设备并加密数据，使其在没有解密密钥的情况下毫无用处。攻击者会显示勒索信息，要求支付赎金才能释放密钥，但在很多情况下，即使支付赎金也无效，数据也会丢失。

许多类型的勒索软件可以迅速传播，并感染企业网络的大部分。如果组织不维护定期备份，或者勒索软件设法感染备份服务器，则可能无法恢复。

在勒索软件防护详细指南中了解更多信息

云中的数据丢失

许多组织正在将数据转移到云端，以方便共享和协作。然而，当数据转移到云端时，控制和防止数据丢失变得更加困难。用户通过个人设备和不安全的网络访问数据。意外或恶意地与未经授权的各方共享文件太容易了。

SQL注入

SQL 注入 (SQLi) 是攻击者用来非法访问数据库、窃取数据和执行不需要的操作的常用技术。它的工作原理是向看似无辜的数据库查询添加恶意代码。

SQL 注入通过向用户输入添加特殊字符来更改查询上下文来操纵 SQL 代码。数据库期望处理用户输入，但实际上开始处理恶意代码，以推进攻击者的目标。SQL 注入可能会暴露客户数据、知识产权，或者为攻击者提供对数据库的管理访问权限，这可能会造成严重后果。

SQL 注入漏洞通常是不安全的编码实践造成的。如果编码人员使用安全机制来接受用户输入（所有现代数据库系统都可用），那么防止 SQL 注入相对容易。

在SQL 注入详细指南中了解更多信息

常见数据安全解决方案和技术

有多种技术和实践可以提高数据安全性。没有一种技术可以解决问题，但通过结合以下几种技术，组织可以显着改善其安全状况。

数据发现和分类

现代 IT 环境将数据存储在服务器、端点和云系统上。数据流的可见性是了解哪些数据有被盗或滥用风险的重要的第一步。为了正确保护您的数据，您需要了解数据的类型、数据的位置以及数据的用途。数据发现和分类工具可以提供帮助。

数据检测是了解您拥有哪些数据的基础。数据分类允许您通过识别哪些数据敏感且需要保护来创建可扩展的安全解决方案。数据检测和分类解决方案支持在端点、文件服务器和云存储系统上标记文件，让您可视化整个企业的数据，以应用适当的安全策略。

数据脱敏

数据脱敏可让您创建组织数据的合成版本，可将其用于软件测试、培训和其他不需要真实数据的目的。目标是保护数据，同时在需要时提供功能替代方案。

数据屏蔽保留数据类型，但更改值。可以通过多种方式修改数据，包括加密、字符改组以及字符或单词替换。无论您选择哪种方法，都必须以无法进行逆向工程的方式更改值。

博客：在安全武器库中包含静态数据屏蔽的好处。

身份访问管理

身份和访问管理(IAM) 是一种业务流程、策略和技术框架，使组织能够管理数字身份。IAM 解决方案允许 IT 管理员控制用户对组织内敏感信息的访问。

用于 IAM 的系统包括单点登录系统、双因素身份验证、多因素身份验证和特权访问管理。这些技术使组织能够安全地存储身份和配置文件数据，并支持治理，确保将适当的访问策略应用于基础设施的每个部分。

数据加密

数据加密是将数据从可读格式（明文）转换为不可读编码格式（密文）的方法。只有使用解密密钥解密加密数据后，才能读取或处理数据。

在公钥加密技术中，不需要共享解密密钥——发送者和接收者各自拥有自己的密钥，组合起来执行加密操作。这本质上是更安全的。

数据加密可以防止黑客访问敏感信息。它对于大多数安全策略至关重要，并且是许多合规性标准明确要求的。

数据丢失防护 (DLP)

为了防止数据丢失，组织可以使用多种保护措施，包括将数据备份到其他位置。物理冗余可以帮助保护数据免受自然灾害、中断或本地服务器攻击的影响。冗余可以在本地数据中心内执行，也可以通过将数据复制到远程站点或云环境来执行。

除了备份等基本措施之外，DLP 软件解决方案还可以帮助保护组织数据。DLP 软件自动分析内容以识别敏感数据，从而实现数据保护策略的集中控制和执行，并在检测到敏感数据的异常使用（例如，在公司网络外部复制大量数据）时实时发出警报。

在DLP详细指南中了解更多信息

治理、风险和合规性 (GRC)

GRC 是一种有助于提高数据安全性和合规性的方法：

• 治理创建在整个组织内强制执行的控制和策略，以确保合规性和数据保护。
• 风险涉及评估潜在的网络安全威胁并确保组织做好应对准备。
• 合规性可确保组织实践在处理、访问和使用数据时符合法规和行业标准。

密码卫生

数据安全最简单的最佳实践之一是确保用户拥有唯一的强密码。如果没有集中管理和强制执行，许多用户将使用容易猜测的密码或对许多不同的服务使用相同的密码。密码喷射和其他暴力攻击很容易破坏密码较弱的帐户。

一个简单的措施是强制使用更长的密码并要求用户经常更改密码。然而，这些措施还不够，组织应该考虑多重身份验证 (MFA) 解决方案，要求用户使用他们拥有的令牌或设备或通过生物识别手段来识别自己的身份。

另一个补充解决方案是企业密码管理器，它以加密形式存储员工密码，减轻记住多个公司系统密码的负担，并使使用更强的密码变得更容易。然而，密码管理器本身就成为组织的安全漏洞。

在无密码身份验证详细指南中了解更多信息

认证与授权

组织必须采用强大的身份验证方法，例如基于 Web 系统的 OAuth。当任何用户（无论是内部还是外部）请求敏感或个人数据时，强烈建议强制执行多重身份验证。

此外，组织必须有一个明确的授权框架，以确保每个用户完全拥有执行功能或使用服务所需的访问权限，仅此而已。应使用定期审查和自动化工具来清理权限并删除不再需要的用户的授权。

数据安全审计

组织应至少每隔几个月进行一次安全审核。这可以识别组织安全态势中的差距和漏洞。最好通过第三方专家执行审核，例如在渗透测试模型中。但是，也可以在内部执行安全审核。最重要的是，当审计暴露安全问题时，组织必须投入时间和资源来解决和修复这些问题。

反恶意软件、防病毒和端点保护

恶意软件是现代网络攻击最常见的载体，因此组织必须确保员工工作站、移动设备、服务器和云系统等端点得到适当的保护。基本措施是防病毒软件，但这已不足以应对无文件攻击和未知零日恶意软件等新威胁。

端点保护平台 (EPP) 采用更全面的方法来确保端点安全。他们将防病毒与基于机器学习的设备异常行为分析结合起来，这可以帮助检测未知的攻击。大多数平台还提供端点检测和响应 (EDR) 功能，帮助安全团队识别端点上发生的违规行为，进行调查，并通过锁定和重新映像受影响的端点来做出响应。

云安全

在企业环境中，云安全应该是组织安全策略的关键部分。有效的策略涉及保护云基础设施、云工作负载和数据本身。

云计算由三种类型的环境组成：公共云（例如基础设施即服务（IaaS））、由单个组织托管的私有云以及两者的混合云。

云安全技术通常分为两种类型：由云提供商（例如 Amazon Web Services (AWS) 和 Microsoft Azure）提供的安全解决方案和最佳实践，以及由客户采购和管理的安全工具。在公有云中，云安全是一项共同的责任。云提供商负责保护基础设施，客户负责保护数据和工作负载。

一些传统的安全工具可以在云环境中使用，例如身份和访问管理（IAM）、数据丢失防护（DLP）、Web应用程序防火墙以及入侵检测和防护（IDS/IPS）。

此外，还有几种特定于云的安全工具：

• 云访问安全代理 (CASB) – 部署在云客户和云服务之间的云资源，充当看门人来执行组织的安全策略并提高云使用情况的可见性。
• 云工作负载保护平台 (CWPP) – 在混合环境中一致地保护虚拟机、应用程序和数据等云工作负载。
• 云安全态势管理 (CSPM) – 一个可以监控云系统安全性和合规性问题的平台，主要是云错误配置，例如权限或身份验证不当。CSPM 不仅可以针对这些问题发出警报，还可以自动修复其中的许多问题。

在详细指南中了解更多信息：

• 云安全
• 云备份服务

零信任

零信任是 Forrester 分析师 John Kindervag 提出的一种安全模型，已被美国政府、多个技术标准机构以及许多全球最大的科技公司采用。零信任的基本原则是网络上的任何实体都不应该被信任，无论它是在网络边界之外还是内部。

零信任特别关注数据安全，因为数据是攻击者感兴趣的主要资产。零信任架构旨在通过持续验证所有访问尝试并默认拒绝访问来保护数据免受内部和外部威胁。

零信任安全机制围绕敏感数据构建多个安全层，例如，它们使用微分段来确保网络上的敏感资产与其他资产隔离。在真正的零信任网络中，攻击者对敏感数据的访问非常有限，并且有一些控制措施可以帮助检测和响应对数据的任何异常访问。

在详细指南中了解更多信息：

• [零信任网络]访问。
• 零信任架构

渗透测试

渗透测试，也称为笔测试，是一种通过模拟对计算机系统或网络的攻击来评估计算机系统或网络安全性的方法。笔测试的目标是识别系统中攻击者可能利用的漏洞，并确定系统防御这些漏洞的有效性。

渗透测试人员使用各种工具和技术来测试系统的安全性。这些可能包括网络扫描器、漏洞扫描器和其他专用软件工具。他们还可以使用手动方法，例如社会工程或物理访问系统。

渗透测试是组织整体安全策略的重要组成部分。它可以帮助组织在漏洞被恶意行为者利用之前识别和修复漏洞，并且可以帮助组织提高对未来攻击的防御能力。

在渗透测试详细指南中了解更多信息

数据库安全

数据库安全涉及保护 Oracle、SQL Server 或 MySQL 等数据库管理系统免遭未经授权的使用和恶意网络攻击。数据库安全保护的主要元素是：

• 数据库管理系统（DBMS）。
• 数据存储在数据库中。
• 与 DBMS 相关的应用程序。
• 物理或虚拟数据库服务器以及任何底层硬件。
• 用于访问数据库的任何计算和网络基础设施。

数据库安全策略涉及安全配置和维护数据库环境内部安全性并保护数据库免受入侵、误用和损坏的工具、流程和方法。

大数据安全

大数据安全涉及用于保护大型数据集和数据分析过程的实践和工具。大数据通常采用财务日志、医疗保健数据、数据湖、档案和商业智能数据集的形式。在大数据范围内，存在三个需要保护的主要场景：入站数据传输、出站数据传输和静态数据。

大数据安全旨在防止大量数据的意外和故意破坏、泄露、丢失和泄露。让我们回顾一下流行的大数据服务，并了解保护它们的主要策略。

AWS大数据

AWS 为大数据实施提供分析解决方案。AWS 提供多种服务来自动化数据分析、操作数据集和获取见解，包括 Amazon Simple Storage Service (S3)、Amazon Kinesis、Amazon Elastic Map/Reduce (EMR) 和 Amazon Glue。

AWS 大数据安全最佳实践包括：

• 访问策略选项— 使用访问策略选项来管理对 S3 资源的访问。
• 数据加密策略— 使用 Amazon S3 和 AWS KMS 进行加密管理。
• 使用对象标记管理数据— 使用标签对 S3 数据资产进行分类和管理，并应用标记来指示需要特殊安全措施的敏感数据。

在AWS 大数据详细指南中了解更多信息

Azure 大数据

Microsoft Azure 云提供大数据和分析服务，可以处理大量结构化和非结构化数据。该平台使用 Azure 存储服务、实时分析、数据库服务以及机器学习和数据工程解决方案提供弹性存储。

Azure 大数据安全最佳实践包括：

• 监控尽可能多的进程。
• 利用 Azure Monitor 和 Log Analytics 获得数据流的可见性。
• 定义并执行安全和隐私政策。
• 利用 Azure 服务进行备份、还原和灾难恢复。

在Azure 大数据详细指南中了解更多信息

谷歌云大数据

Google Cloud Platform提供多种支持大数据存储和分析的服务。BigQuery 是一个高性能的 SQL 兼容引擎，可以在几秒钟内对大数据量进行分析。其他服务包括 Dataflow、Dataproc 和 Data Fusion。

Google Cloud 大数据安全最佳实践包括：

• 根据最小权限原则定义 BigQuery 访问控制。
• 使用策略标签或基于类型的分类来识别敏感数据。
• 利用列级安全性来检查用户是否有权在查询时查看特定数据。

雪花

Snowflake 是一个面向企业的云数据仓库，专为高性能大数据分析而构建。Snowflake的架构在物理上分离计算和存储，同时在逻辑上集成它们。Snowflake 提供完整的关系数据库支持，可以处理结构化和半结构化数据。

雪花安全最佳实践包括：

• 通过 IP 允许/阻止列表定义网络和站点访问。
• 使用 SCIM 管理用户身份和组。
• 利用密钥对身份验证和轮换来提高客户端身份验证的安全性。
• 启用多重身份验证。

弹性搜索

Elasticsearch 是一种开源全文搜索和分析引擎，具有高度可扩展性，允许对大数据进行实时搜索和分析。它为具有复杂搜索要求的应用程序提供支持。Elasticsearch 在 Lucene StandardAnalyzer 之上提供了一个分布式系统，用于索引和自动类型预测，并利用基于 JSON 的 REST API 来实现 Lucene 功能。

Elasticsearch 安全最佳实践包括：

• 使用强密码来保护对搜索集群的访问
• 使用 SSL/TLS 加密所有通信
• 利用基于角色的访问控制 (RBAC)
• 对客户端访问使用 IP 过滤
• 定期开启审计和监控日志

在Elasticsearch详细指南中了解更多信息

斯普朗克

Splunk 是一个软件平台，可以对机器数据进行索引、使其可搜索并将其转化为可操作的情报。它从应用程序、服务器、移动设备和网站中提取日志文件，聚合它们，并提供丰富的分析功能。

Splunk 安全最佳实践包括：

• 通过定义 RBAC、数据加密和凭证混淆来防止未经授权的访问。
• 使用 SSL/TLS 加密进行数据摄取和内部 Splunk 通信。
• 通过确保 Splunk 实例的物理安全并且不以明文形式存储机密来强化 Splunk 实例。
• 使用审核事件跟踪 Splunk 系统配置的任何更改。

在Splunk 架构详细指南中了解更多信息

数据湖

数据湖是一个集中式存储库，允许您存储任意规模的所有结构化和非结构化数据。它是一种以原始和粒度形式存储大量数据的方法。数据湖通常用于存储用于大数据分析、机器学习和其他高级分析应用程序的数据。

数据湖旨在以经济高效且可扩展的方式存储大量数据。它们可以存储来自各种来源的数据，例如日志文件、传感器数据和社交媒体源，以及来自关系数据库的结构化数据。数据湖可以以原始形式存储数据，也可以在存储之前对其进行转换和清理。

以下是一些常见的数据湖安全最佳实践：

• 实施访问控制：数据湖应有严格的访问控制，以确保只有授权用户才能访问数据。这可以包括身份验证、授权和数据加密。
• 使用数据屏蔽：数据屏蔽是一种以某种方式隐藏敏感数据的过程，使未经授权的用户无法读取这些数据。这有助于防止数据泄露并确保敏感数据不会意外泄露。
• 监控数据访问：监控谁在访问数据湖中的数据以及他们正在使用数据做什么非常重要。这可以帮助识别任何潜在的安全问题并防止未经授权访问敏感数据。
• 实施数据分类：数据分类是根据数据的敏感性和价值对数据进行分类的过程。这可以帮助组织了解哪些数据对于保护最重要，并相应地优先考虑其安全工作。
• 使用数据加密：数据加密是对数据进行编码的过程，以便只有具有正确解密密钥的人才能访问数据。对数据湖中的数据进行加密有助于防止数据泄露并确保敏感数据的安全。
• 使用数据治理框架：数据治理框架提供了一组用于管理组织内数据的策略和程序。它们可以帮助确保数据得到正确分类、保护和以适当的方式使用。
• 定期审查和更新安全措施：定期审查和更新数据湖安全措施非常重要，以确保它们有效并与最新的安全威胁保持一致。这可能包括实施新技术或修改现有的安全协议。

在数据湖详细指南中了解更多信息

保护企业应用程序中的数据

企业应用程序为各种规模的组织中的关键任务运营提供支持。企业应用安全旨在保护企业应用免受外部攻击、滥用权限和数据窃取。

电子邮件安全

电子邮件安全是通过保护电子邮件通信免受网络威胁来确保电子邮件通信的可用性、完整性和可靠性的过程。

技术标准机构推荐的电子邮件安全协议包括 SSL/TLS、发件人策略框架 (SPF) 和域名密钥识别邮件 (DKIM)。这些协议由电子邮件客户端和服务器（包括 Microsoft Exchange 和 Google G Suite）实施，以确保电子邮件的安全传送。除了实施安全协议之外，安全电子邮件网关还可以帮助组织和个人保护其电子邮件免受各种威胁。

ERP安全

企业资源计划（ERP）是一种软件，旨在管理财务、人力资源、供应链和库存管理等核心业务流程的功能并将其集成到一个系统中。ERP 系统存储高度敏感的信息，根据定义，它是一个任务关键型系统。

ERP 安全是一组广泛的措施，旨在保护 ERP 系统免遭未经授权的访问，并确保系统数据的可访问性和完整性。信息系统审计与控制协会 (ISACA) 建议定期对 ERP 系统进行安全评估，包括软件漏洞、错误配置、职责分离 (SoD) 冲突以及对供应商安全建议的遵守情况。

达姆安全

数字资产管理 (DAM) 是一个用于组织、存储和获取富媒体以及管理数字版权和许可证的技术平台和业务流程。富媒体资产包括照片、音乐、视频、动画、播客和其他多媒体内容。DAM 系统中存储的数据非常敏感，因为它通常代表公司知识产权，并用于销售、营销以及向观众和网络访问者提供媒体等关键流程。

DAM 的安全最佳实践包括：

• 实施最小特权原则。
• 使用文件目标的允许列表。
• 使用多重身份验证来控制第三方的访问。
• 定期检查自动化脚本，限制所使用命令的权限，并通过日志记录和警报控制自动化过程。

在数字资产管理 (DAM)详细指南中了解更多信息

客户关系管理安全

客户关系管理 (CRM) 是企业用来管理和分析整个客户生命周期中的客户交互和数据的实践、策略和技术的组合。CRM 数据非常敏感，因为它可以暴露组织最有价值的资产——客户关系。CRM 数据也是个人身份信息 (PII)，并受数据隐私法规的约束。

CRM 的安全最佳实践包括：

• 对 CRM 系统进行定期 IT 风险评估审核。
• 执行 CRM 活动监控以识别异常或可疑的使用情况。
• 鼓励 CRM 管理员遵循安全最佳实践。
• 对 CRM 用户进行安全最佳实践教育。
• 如果您将 CRM 作为 SaaS 来运营，请对 SaaS 提供商的安全实践进行尽职调查。

Imperva 的数据安全

Imperva 的数据安全解决方案可以保护您的数据，无论其位于本地、云中还是混合环境中。它还使安全和 IT 团队能够全面了解数据在组织中的访问、使用和移动方式。

我们的综合方法依赖于多层保护，包括：

• 数据库防火墙— 阻止SQL 注入和其他威胁，同时评估已知漏洞。
• 用户权限管理——监控特权用户的数据访问和活动，以识别过多、不适当和未使用的权限。
• 数据脱敏和加密——混淆敏感数据，因此即使以某种方式提取，这些数据对于不良行为者来说也是无用的。
• 数据丢失防护(DLP) — 检查服务器、云存储或端点设备上的动态数据、静态数据。
• 用户行为分析——建立数据访问行为的基线，使用机器学习来检测异常和潜在风险活动并发出警报。
• 数据发现和分类——揭示本地和云中数据的位置、数量和上下文。
• 数据库活动监控——监控关系数据库、数据仓库、大数据和大型机，以生成有关策略违规的实时警报。
• 警报优先级排序——Imperva 使用人工智能和机器学习技术来查看安全事件流，并确定最重要事件的优先级。