数据治理与数据安全-刘霖.pdf

数据治理与数据安全
Page 1
演讲主题
•数据安全与数据防泄漏的关系
•企业数据治理为何需要数据防泄漏……

•数据防泄漏项目需要涵盖的三个方面

• DLP数据防泄漏项目成功案例

•数据防泄漏项目成功要素
•下一代技术

Page 2
过去二十年间,经济形态发生了很大变化,无形资产(往往呈现为数据资产形态)逐渐超越了物理资产成为了
资产的主体。2015年标准普尔500企业无形资产占到总资产的84%,而15年前仅为32%。
资产向网络空间迁移,犯罪也跟随着这些资产迁移。但他们迁移的动作似乎更敏捷、更迅速,并采取了更有创
意的技术手段,业界普遍认为,网络恶意分子在技术走在了信息安全人员的前面。
Verizon发布的《2013年数据泄露调查报告》分析了全球47000多起数据安全事故,621宗确认的数据泄漏
案例,以及至少4400万份失窃的记录。《报告》指出有高达92%的数据泄露行为来自外部,利用脆弱的或者窃取
到的用户身份访问凭据进行入侵的行为占到了76%,而各种黑客行为和恶意代码依然是主要的信息破坏手段。报告
将包括APT攻击列为信息泄露的主要手段。2015 年报告过去一年的事件调查,影响的组织覆盖95个国家,其中有
61个报告了问题,涉及79790个安全事件(Security Incident),超过2千(2122个)确认的数据泄露(Data Breach)。
2015新增了一个统计模型,用以帮助企业评估到底每笔数据泄露,要损失多少钱。如果泄露1000条记录时,有
95%-。泄露1千万数据记录的花费介于210万到520万美金之间,但最多可能到7390
万美金。发布的《全球2016年数据泄露调查报告》中提到“数据泄露事故比去年同期增长48%,安全事件超过10
万次。在93%的个案中,攻击者平均仅需225秒或更短时间把系统攻陷”;报告显示仅25%的企业能在一天内发现
被入侵或数据外泄,大部分企业可能要数周甚至数月后才发现。
一著名安全专家认为:“世界1000强企业仅分为两类,一类是知道自己数据被窃取,另一类是数据已被窃取
但自己尚不知道。
Page 3
统一内容安全中心
Unified Content Security
SkyGuard SecGator Security SecGator DLP IAS
Cloud Engine Engine
SWG SEG DLP Cloud Mobile
Web安全网关邮件安全网关数据防泄漏接入安全云移动安全
针对高级威胁和数据窃针对混合攻击和定向攻采用深层内容分析,对静对任意地点的 web及
对移动数据特有的有效防
取的最有效防护击的最先进邮件防护态、邮件提供最佳防护,并
护,针对窃取、遗失, 恶意
传输中及使用中的数据进行且拥有最低的总体拥有
app
识别、监控、保护,拥有成本和最轻松的部署
及web威胁
用户及目的地感知的
特色功能
Page 4
1 DLP是APT 攻击最后一道防线
内部信息泄漏的最后一道防线 2
Page 5
概述
对于企业信息安全,若想得到结构性的保障就需要有一个
系统性信息安全支撑体系。无论这个体系采用什么样的参考
框架,都需要考虑四个关键的构成要素,即人员People过程
Process 、、技术Technology和数据Data (PPTD),其中:
•人员是过程执行的资源;
•过程是组织的系统性能力;
•技术是过程有效性的支撑;
•数据是过程执行的驱动。
自动化
方法
过程
Page 6
技术:企业信息安全技术控制框架
企业信息安全需求
行政安全措施
法规依从需求业务安全需求威胁控制需求
技术安全措施是满足企业信息物理安全措施
安全需求的三类安全措施之一,
也是其中最重要、最复杂的,因技术安全措施/(数据化技术安全措施)
此需要通过架构的设计来保证技
术控制之间的协同以及与其它安
全控制的协同。运行管理机制监测/解析机制控制/响应机制
信息安全
技术基础设施
Page 7
技术:有效性评估策略
风险的核心是围绕着业务支撑或业务产生的资产,并取决于资产
自身的脆弱性和已采取的安全措施,因此安全技术有效性评估策略包括:
•面向业务/业务资产的有效性评估
•面向威胁方的有效性评估
•面向脆弱性的有效性评估
•综合加权的有效性评估
Page 8
技术:面向有效性的规划与设计
基于EA的安全需求分析
基于价值链的范围确定
面向攻击语境的威