数据泄露防控规则.docxVIP

数据泄露防控规则

总述

我干数据安全相关工作快十年了，见过太多大大小小的数据泄露事件：小到普通员工离职带走整箱客户信息，企业业绩直接砍半；大到上万用户隐私数据被黑客挂在网上倒卖，企业被监管罚款、信誉崩塌，甚至直接关门。很多出事的企业不是没做安全，就是没有一套明确落地的防控规则，要么责任不清互相推锅，要么只做表面功夫不落到实处。数据泄露防控不是喊口号，也不是只靠技术部门就能搞定的事，需要从认知、预防、处置到复盘全流程都有明确的规则，所有人按规则做事，才能把风险降到最低。本文就从实际落地的角度，梳理一套完整可执行的数据泄露防控规则，覆盖从基础到应急的全环节。

1基础认知与责任划分规则

想要做好防控，首先得搞清楚“防什么”和“谁来防”，这是最基础的一步，要是这一步没弄对，后面做得再多都是无用功。

1.1核心防控范围界定规则

首先要明确，不是只有存在数据库里的文档才叫需要防控的数据，只要是和企业经营、用户隐私相关的信息，都在防控范围内，具体可以分为三类：第一类是用户敏感信息，包括个人的姓名、联系方式、住址、消费记录、人脸指纹等生物识别信息、健康信息这些，这类信息是现在监管要求最严的，也是泄露后危害最大的；第二类是企业核心经营数据，包括全量客户名单、未公开的财务数据、核心技术图纸、供应链信息、未发布的产品规划这些，这类数据是企业的命根子，丢了直接影响企业生存；第三类是日常业务产生的过程数