数据安全基础知识.pdfVIP

数据安全基础入门

L什么是数据安全

数据安全是保护企业数据和防止数据因未经授权的访问而丢失的过程。这包

括保护你的数据免受以加密或破坏数据的攻击，例如勒索软件，以及以修改

或破坏你的数据的攻击。数据安全性还确保组织中有权访问数据的任何人都以

使用数据。

目前一些行业需要高水平的数据安全性以符合数据保护法规。例如，处理支

付信息的组织必须安全地使用和存储支付数据，社保局、医保局必须按照我国数

据安全法和个人数据保护法标准保护私人隐私信息。

但是，即使你的组织不受法规或合规标准的约束，现代企业的生存也取决于

数据安全，这能会影响组织的关键资产和属于其客户的私人数据。

2.为什么数据安全很重要

目前很多研究机构通过对数据泄露成本研究发现，数据泄露造成的损失为

50-800万美元左右，平均有2万个用户账号在数据泄漏事件中受到影响，意味着

除了经济损失之外，大多数事件还会导致客户失去信任和声誉受损。

3.数据安全与数据隐私

数据隐私是计算机系统中以与第三方共享的数据（非私有数据）和不能与

第三方共享的数据（私有数据）之间的区别。执行数据隐私有两个主要方面：

＞访问控制一一确保任何试图访问数据的人都经过身份验证以确认其身份，并

被授权仅访问他们被允许访问的数据。

＞数据保护一一确保即使未经授权的方设法访问数据，他们也无法查看或对其

造成损害。数据保护方法确保加密，防止任何人在没有私人加密密钥的情况

下查看数据，以及防止用户将敏感数据传输到组织外部的数据丢失预防机制。

-1-

数据安全与数据隐私有很多重叠之处。用于确保数据隐私的相同机制也是组

织数据安全策略的一部分。

主要区别在于数据隐私主要侧重于对数据保密，而数据安全主要侧重于防止

恶意活动。例如，加密能是保护隐私的充分措施，但能不足以作为数据安全

措施。攻击者仍能通过擦除数据或对其进行双重加密以防止授权方访问来造成

损害。

4.数据安全风险

以下是各种规模的组织在尝试保护敏感数据时面临的几个常见问题。

4.1.意外接触

很大一部分数据泄露不是恶意攻击的结果，而是由于疏忽或意外泄露敏感数

据造成的。企的员工共享、授予访问权限、丢失或错误处理有价值的数据是很

常见的，这可能是偶然的，也可能是因为他们不了解安全策略。

这个主要问题可以通过员工培训来解决，也可以通过其他措施来解决，例如

数据丢失预防(DLP)技术和改进的访问控制。

4.2.网络钓鱼和其他会工程攻击

社会工程学攻击是攻击者用来访问敏感数据的主要载体c它们涉及操纵或诱

骗个人提供私人信息或访问特权帐户。

网络钓鱼是一种常见的社会工程学形式。它涉及的消息看似来自受信任的来

源，但实际上是由攻击者发送的。当受害者遵守时，例如通过提供私人信息或点

击恶意链接，攻击者可以破坏他们的设备或访问公司网络。

4.3.内部威胁

内部威胁是指无意或有意威胁组织数据安全的员工。内部威胁分为三种类型:

(1)非恶意内部人员一一这些用户可能会因疏忽或不了解安全程序而意外造成伤

-2-

害。

(2)恶意内部人员一一这些用户为了个人利益而积极尝试窃取数据或对组织造成

伤害。

(3)被入侵的内部人员一一这些用户不