搜索

[15548] 2020-06-29_浅谈数据安全运营的一亩三分地

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-06-29_浅谈数据安全运营的一亩三分地 浅 谈 数 据 安 全 运 营 的 一 亩 三 分 地 三 味 书 屋   F r e e B u f   2 0 2 0 - 0 6 - 2 9 一 、 定 位 与 目 标 一 、 定 位 与 目 标 近 几 年 互 联 网 公 司 数 据 安 全 已 从 单 兵 作 战 逐 步 发 到 到 团 队 作 战 ， 分 工 上 也 朝 着 精 细 化 运 营 、 风 险 模 型 建 设 、 数 近 几 年 互 联 网 公 司 数 据 安 全 已 从 单 兵 作 战 逐 步 发 到 到 团 队 作 战 ， 分 工 上 也 朝 着 精 细 化 运 营 、 风 险 模 型 建 设 、 数 据 安 全 平 台 建 设 等 细 分 方 向 专 业 化 演 进 。 据 安 全 平 台 建 设 等 细 分 方 向 专 业 化 演 进 。 其 中 数 据 安 全 运 营 定 位 ： 数 据 分 析 （ 掌 握 核 心 技 术 ） — 数 据 安 全 运 营 （ 背 锅 + 其 它 ） —   业 务 （ 价 值 方 ） ， 数 据 安 全 运 营 渐 渐 成 为 公 司 数 据 安 全 团 队 与 业 务 沟 通 、 项 目 推 进 及 价 值 输 出 （ 赋 能 ） 的 窗 口 ， 数 据 安 全 的 核 心 在 运 营 能 力 ， 数 据 、 模 型 、 工 具 都 是 手 段 ， 通 过 运 营 实 现 对 业 务 的 价 值 输 出 目 标 ， 运 营 不 仅 仅 要 懂 技 术 ， 还 要 做 到 既 要 、 还 要 的 更 高 要 求 。 我 理 解 的 数 据 安 全 运 营 ： 1 、 风 险 管 控 能 力 ： 识 别 、 治 理 、 收 敛 ， 在 过 程 中 结 合 业 务 特 征 提 炼 真 实 的 风 险 场 景 、 及 隐 私 要 求 通 过 技 术 手 段 实 现 对 法 律 法 规 的 遵 从 性 — 来 自 业 界 大 佬 语 录 （ 一 般 管 理 手 段 与 安 全 管 理 、 合 规 团 队 联 合 推 进 ） ， 并 建 立 匹 配 的 治 理 方 案 及 工 具 、 方 法 论 ； 2 、 运 营 赋 能 业 务 ： a .   关 键 数 据 支 撑 业 务 决 策 ， 影 响 业 务 在 风 险 环 节 的 资 源 投 入 ； b . 基 础 工 具 、 组 件 服 务 支 持 ， 安 全 能 力 左 移 （ 前 置 ） ， 降 低 业 务 安 全 上 的 成 本 。 二 、 工 作 方 法 二 、 工 作 方 法 1 、 目 标 设 定 、 目 标 设 定 起 步 阶 段 ， 找 业 界 同 行 T o p 1 - 2 家 公 司 这 方 面 的 目 标 设 定 作 为 参 考 ， 根 据 不 同 业 务 、 数 据 安 全 的 发 展 阶 段 ， 设 定 目 标 ； 发 展 阶 段 ， 对 比 自 己 的 历 史 数 据 ， 参 考 业 界 指 标 ， 设 定 目 标 ； 特 殊 时 期 的 阶 段 性 目 标 ， 如 疫 情 期 间 数 据 安 全 目 标 的 设 定 。 2 、 技 术 手 段 、 技 术 手 段 数 据 全 生 命 周 期 管 理 图 片 来 源 ： a y a z e r o 《 企 业 数 据 安 全 体 系 建 设 》 这 里 暂 不 涉 及 具 体 数 据 安 全 措 施 在 业 务 的 建 设 内 容 ， 这 些 措 施 在 不 同 行 业 、 公 司 文 化 、 及 业 务 不 同 发 展 阶 段 的 建 设 方 向 和 次 第 需 要 讲 究 和 考 量 的 。
3 、 持 续 运 营 、 持 续 运 营 3 . 1 、 基 础 工 作 ： 数 据 分 类 分 级 、 数 据 标 签 ； 建 立 资 产 库 和 资 产 大 盘 ， 掌 握 数 据 资 产 在 业 务 的 分 布 、 风 险 状 态 ； 权 限 管 理 、 关 键 业 务 日 志 等 ； 如 数 据 在 收 集 阶 段 的 涉 敏 资 产 发 现 服 务 ； 数 据 在 存 储 中 的 扫 描 服 务 、 加 密 存 储 服 务 ； 数 据 在 使 用 过 程 中 的 文 件 分 发 平 台 等 ， 这 些 基 础 能 力 的 建 设 坚 持 对 标 业 界 ， 避 免 走 弯 路 的 同 时 提 升 效 率 ； 3 . 2 、 风 险 评 估 ： 一 般 通 过 事 件 发 生 概 率 与 影 响 来 评 估 风 险 值 ， 这 也 是 很 多 咨 询 类 公 司 的 常 见 做 法 ， 或 者 套 用 D R E A D 模 型 的 计 算 方 式 ： 等 级 = 危 害 性 + 复 现 难 度 + 利 用 难 度 + 受 影 响 用 户 + 发 现 难 度 来 进 行 数 据 安 全 风 险 评 估 ， 这 些 方 法 的 使 用 无 可 厚 非 ， 其 最 终 能 与 业 务 达 成 一 致 的 风 险 认 知 很 关 键 。 3 . 3 、 风 险 识 别 ： 在 基 础 工 作 上 利 用 多 维 度 数 据 进 行 风 险 行 为 分 析 ， 如 U E B A 。 风 险 场 景 识 别 ， 除 了 运 营 同 学 深 入 业 务 比 业 务 还 要 了 解 业 务 外 、 还 可 以 将 特 征 数 据 进 行 重 组 或 进 一 步 深 挖 数 据 ， 进 而 发 现 新 风 险 、 另 外 一 个 就 是 内 外 部 情 报 数 据 。 在 风 险 管 控 过 程 中   逐 步 建 立 工 具 和 平 台 ， 实 现 自 动 化 ， 如 建 设 U E B A 平 台 、 安 全 运 营 平 台 （ S O A R - 安 全 编 排 、 自 动 化 及 响 应 ） 。 这 里 假 设 来 自 上 级 的 灵 魂 拷 问 ： 你 的 地 盘 还 有 没 有 不 在 视 野 范 围 内 的 数 据 安 全 风 险 ？ 尝 试 界 定 数 据 安 全 边 界 并 关 注 核 心 风 险 ， 如 数 据 泄 露 、 人 员 舞 弊 ， 加 上 资 源 总 是 稀 缺 的 ， 即 主 要 风 险 应 该 都 在 视 野 内 。 3 . 4 、 安 全 治 理 ： 两 种 自 上 而 下 的 推 进 方 法 单 纯 的 自 上 而 下 ， 本 质 上 利 用 权 力 来 威 慑 业 务 达 到 安 全 目 的 ， 通 常 效 果 有 了 也 隐 藏 了 业 务 的 怨 言 。 利 益 共 同 体 式 的 自 上 而 下 （ 来 自 我 的 领 导 多 年 经 验 ） ， 即 通 过 联 合 作 战 项 目 安 全 牵 头 发 起 、 业 务 主 导 共 同 推 进 安 全 治 理 并 共 享 成 果 。 这 也 是 自 上 而 下 的 模 式 ， 其 实 这 种 是 需 要 更 强 的 组 织 机 制 来 保 障 的 。 技 术 上 实 操 上 结 合 数 据 全 生 命 周 期 管 理 过 程 中 涉 及 到 的 安 全 措 施 ， 可 以 联 合 业 务 方 、 或 安 全 自 研 或 采 购 工 具 进 行 治 理 ， 如 水 印 服 务 、 数 据 加 密 、 漏 洞 扫 描 、 B C 端 涉 敏 根 服 务 调 用 链 治 理 等 ， 通 过 有 序 的 治 理 工 作 ， 有 时 候 会 获 得 较 好 的 安 全 回 报 ， 如 风 险 收 敛 、 勾 搭 上 业 务 M M 又 熟 悉 业 务 了 。 3 . 5 、 业 务 赋 能 ： 数 据 赋 能 ， 对 业 务 输 出 高 质 量 数 据 ， 支 持 业 务 决 策 发 展 ， 安 全 能 力 赋 能 业 务 方 ， 从 服 务 业 务 方 变 成 业 务 的 安 全 伙 伴 ， 给 业 务 以 力 量 ， 自 己 也 硬 气 了 。 4 、 效 果 验 证 、 效 果 验 证 通 过 数 据 指 标 量 化 验 证 ， 数 据 指 标 变 化 应 与 采 取 措 施 的 预 期 一 致 ， 我 们 对 某 个 指 标 采 取 了 措 施 ， 一 种 情 况 是 观 察 一 段 时 间 后 对 指 标 没 有 影 响 ， 很 可 能 是 我 们 没 有 找 到 根 因 ， 另 一 种 情 况 可 能 是 采 取 的 多 种 措 施 对 指 标 都 有 正 向 影 响 ， 此 时 我 们 需 要 选 择 一 个 性 价 比 最 高 的 措 施 ， 考 虑 R O I 。 案 例 A
案 例 B 5 、 论 与 业 务 关 系 、 论 与 业 务 关 系 安 全 运 营 离 不 开 业 务 这 个 衣 食 父 母 ， 要 有 服 务 意 识 ， 这 是 基 础 ， 但 在 笔 者 看 来 ， 怎 么 向 业 务 阐 述 清 楚 业 务 面 临 的 数 据 安 全 风 险 更 为 关 键 ， 这 也 是 运 营 的 基 本 功 之 一 吧 ， 如 果 能 与 业 务 就 风 险 达 成 一 致 的 认 知 ， 以 覆 盖 率 、 收 敛 为 目 标 的 安 全 措 施 、 治 理 项 目 就 更 多 的 变 成 在 业 务 侧 怎 么 协 调 资 源 、 排 期 的 执 行 层 面 的 问 题 了 。 在 运 营 的 过 程 中 ， 除 了 业 务 外 ， 兄 弟 团 队 如 H R 、 合 规 、 内 控 等 也 是 数 据 安 全 运 营 要 协 作 的 ， 其 实 大 家 目 标 都 是 一 致 的 ， 在 实 际 工 作 中 明 确 各 自 的 主 战 场 并 建 立 协 同 作 战 机 制 ， 如 内 部 人 员 舞 弊 需 要 数 据 运 营 团 队 的 数 据 支 持 与 合 规 团 队 的 情 报 线 索 、 线 下 调 查 结 合 才 能 打 一 个 漂 亮 的 组 合 拳 。 三 、 提 炼 总 结 三 、 提 炼 总 结 1 、 根 据 业 务 形 态 不 断 调 整 数 据 安 全 打 法 ： 成 熟 业 务 ， 侧 重 推 进 基 础 安 全 能 力 提 升 ， 典 型 问 题 溯 源 到 底 ， 防 御 为 主 ； 快 速 发 展 业 务 ， 安 全 容 忍 度 适 当 放 宽 ， 抓 典 型 案 例 震 慑 ， 事 前 工 作 做 足 ， 如 S D L 能 力 覆 盖 ； 成 长 业 务 ： 介 于 两 者 之 间 ， 借 业 务 系 统 升 级 、 转 型 接 入 推 进 安 全 能 力 提 升 ， 标 本 兼 治 ； 2 、 通 用 性 数 据 安 全 风 险 要 有 统 一 的 成 熟 技 术 方 案 ， 覆 盖 率 、 风 险 收 敛 作 为 核 心 指 标 ， 涉 敏 数 据 外 发 、 账 号 风 险 治 理 、
反 爬 等 ； 3 、 坚 持 对 标 的 意 义 ： 最 大 化 的 提 升 效 率 ， 避 免 走 弯 路 ， 但 对 标 并 不 能 保 证 风 险 收 敛 ， 因 此 需 要 运 营 的 投 入 ， 与 业 务 做 自 适 应 匹 配 。 * 本 文 作 者 ： 三 味 书 屋 ， 转 载 请 注 明 来 自 本 文 作 者 ： 三 味 书 屋 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理