DAMA数据管理知识体系指南之数据安全管理
第7章 数据安全管理
7.1 简介
数据安全管理是计划、制定、执行相关安全策略和规程，确保数据和信息资产在使用过程中有恰当的认证、授权、访问和审计等措施。
7.2 概念与活动
数据安全管理的最终目标是保护信息资产符合隐私及保密法规要求，并与业务要求相一致。这些要求来自于如下几个非常重要的不同方面。
①利益相关者的关注——组织必须认识到利益相关者的隐私及保密需要，包括客户、病人、学生、市民、供应商及商业伙伴等。利益相关者是其相关数据的最终拥有者，组织中的每个人都应是对该数据负责的托管人。
②政府法规——政府法规保护一些利益相关者的安全利益。一些法规限制信息的访问，而其他一些法规要求信息公开、透明和认责机制。
③特定业务关注——每个组织都有自己需要保护的特定数据。知识产权确保了企业的竞争优势，掌握客户的真实需求和业务伙伴关系是各种商业计划的基石。
④合法访问需求—一数据安全实施者还必须了解数据访问的法律要求。业务战略、规则和流程要求特定角色的人承担某些数据的访问和维护职责。
数据安全要求和相关规程，可归纳为4个A。
①认证(Authentication)一一验证用户是他们所声称的那个人。
②授权(Authorization)——正确识别用户并在具体、适当的数据视图上赋予权限。
③访问（Access) 及时激活这些用户以及其权限。
④审计（Audit)——通过评审安全活动和用户行为，确保遵从法规要求并符合相关策略和标准。
7.2.1理解数据安全需要和监管要求
重要的是要区分业务规则和程序，以及应用软件产品的规则。当应用系统作为工具执行业务规则和程序时，这些系统通常具有高于业务流程所需的、独特的一系列数据安全要求。这些独特的要求也随着套装软件和现成系统变得更加普遍。
①业务要求
②法规要求
7.2.2定义数据安全策略
基于数据安全要求定义的数据安全策略工作，需要IT安全管理员、数据管理专员、内部和外部审计小组及法律部的协同努力。数据安全专家有时会采取僵化的办式解决安全问题，这个过程可能会为数据消费者带来不便。应创建遵从比违规更容易的数据安全策略。数据治理委员会应评审和批准高层次的数据安全策略。
企业IT战略和标准通常确定了访问企业数据资产的高级策略。
通常IT安全策略和数据安全策略同属于企业综合安全策略，但是倾向于将它们分开。因为，相比IT安全策略，数据安全策略是以数据为中心的，其性质更为精细。定义目录结构和身份管理框架可以是IT安全策略的组成部分，而定义个别应用程序、数据库角色、用户组和密码标准可以成为数据安全策略的一部分。
7.2.3定义数据安全标准
目前并没有国际上统一的数据安全标准，组织需要设计自己的安全控制措施。这些安全措施需要符合法律法规要求，同时记录这些措施的执行情况。
组织在制定安全标准时应注重实用性和可执行性，安全标准的工作重点应当是策略的质量和一致性，以同一格式呈现，便于相关方访问。策略执行需要满足4A要求。
数据治理委员会评审和批准这些策略，数据安全策略由数据管理执行官和IT安全管理员负责。
7.2.4定义数据安全控制及措施
实施和管理数据安全策略主要是安全管理员的职责。数据库安全往往是数据库管理员DBA的职责。组织可通过实施控制流程实现数据安全控制。
组织必须实施适当的控制，这种控制需要实施一个流程，结合跟踪所有用户权限请求的变更管理系统，用以验证分配权限。可能还需要以工作流审批或签署文件的形式、记录和归档每一个请求。
7.2.5管理用户、密码和用户组成员
通过角色（角色组、岗位等）把访问和更新权限等数据安全控制权限进行分类，授予一类用户。可以通过子角色进一步进行复杂的权限控制管理，如下图：
需要注意的是安全管理员也需要按照一定级别来设定权限，执行不同的管理职能。整个过程需要通过变更管理系统进行跟踪。在异构系统中，用户和角色组等管理的一致性难度较大，容易形成数据孤岛，造成冲突，可以采用集中管理用户身份和角色数据的方式。
密码标准和规程：
包含至少8个字符。
包含大写字母和数字。
不能与用户名相同。
不得与之前5次使用过的密码相同。
不包含在任何语言中完整的辞典文字。
不得出现增量规律（如password1、password2等）。
不能有两个字符按顺序重复。
避免使用键盘相邻的字符。
如果系统密码支持空格键，密码中可以包含空格。
7.2.6管理数据访问视图和权限
数据安全管理不仅涉及防止不适当的数据访问，还应有助于有效和适当的数据存取。大部分数据集不应有限制访问的要求。通过授予权限控制用户对敏感数据访问，则没有权限的用户无法执行任何操作。
在个人或群组层面控制数据访问。规模较小的组织可能会发现，在个人层面上管理数据访问是可行的。较大的组织将极大地受益于基于角色的访问控制，为角色组授予权限，从而为每个组的成员授予权限。无论何种方式，授予权限时需要仔细分析数据需求和托管职责。
关系数据库的视图为数据安全提供了另一个重要机制，能基于数据值将数据表中的数据限制到某些行。视图还可以允许广泛地获取某些列，并对密级更高的列限制访问。
当存在共享或服务账户时，系统访问控制级别会降低。出于方便而设计的管理员账户，往往都具有增强特权，而且难以追查管理员的行为。使用共享或服务账户的企业，存在着极大的数据安全风险。有些组织配置监控系统时，会忽略这些管理员账户有关的任何警报，进一步增强了这种风险的存在。需要仔细评估这些管理员账户的使用情况，不应频繁使用或默认使用这些账户。
7.2.7监控用户身份认证和访问行为
监控认证和访问行为是至关重要的，因为：
①它提供谁在连接和访问信息资产的信息，这是合规审计的基本要求。
②它会提醒安全管理员一些意料之外的状况，弥补数据安全规划、设计和实施中的遗漏之处。
监控是为了检测异常和可疑行为，便于管理类员进一步调查和解决问题。可以是主动行为，也可以是被动行为。自动化监控配合一定的人工检查，是最佳的监控方式。自动监控会增加系统的开销，影响系统性能，所以对于需要监控什么内容，监控多久，以及在报警后采取什么样的行为，需要仔细分析，找到最佳监控配置。
在安排监控工作时，对于财务、工资等保密信息通常采取实时积极的监控措施（主动监控），可以及时提醒安全管理员或数据管理专员。
对于跟踪系统随着时间推移产生的变化，可以定期抓取系统状态快照，对照基准或标准进行趋势分析（被动监控）。
7.2.8划分信息密级
可以根据组织对数据和信息的安全要求不同划分密级，以下是一个典型的密级分类模式：
公众级：信息可以提供给任何人，包括普通公众。这个一般作为默认分类；
内部使用：信息限制在雇员或组织成员中，共享给组织外风险也不大；
机密：资料不应共享至组织外部。客户机密信息不应该共享给其他客户；
受限机密：信息受限，承担某些角色的个人按需知密；
注册机密：这类信息需要接触人员签订一份法律协议才能访问，并承担保密责任；
7.2.9审计数据安全
审计数据也是安全性的控制活动，负责分析、验证、讨论，据以建议数据安全管理政策、标准和活动。审计是基于实际工作细节进行的分析工作，审计工作可以由组织内部和外部的人员来执行，但审计人员必须独立于数据管理工作之外，以确保审计结果的公平性。
数据安全策略声明、标准文档、实施指南、变更请求、访问监控日志、报表，以及其他书面和电子记录都是审计工作的基础。除了评审已有的这些信息外，审计活动还包括执行一些测试和检查。如：
①按照最佳实践和需求，分析数据安全策略和标准；
②分析规程和实际做法的差异，确保数据安全目标、策略、标准、指导方针和预期效果一致；
③评标标准和规程是否恰当，是否满足业务和技术要求；
④验证机构是否符合监管法规要求；
⑤数据安全行为监控的上报规程和通知机制；
⑥评审合同、数据共享协议、确保外包和外部供应商切实履行他们的数据安全义务，同时保证组织自己也要履行自己的义务；
⑦向相关方报告组织内的数据安全状态，以及组织的数据安全实践成熟度；
⑧推荐数据安全的设计、操作和合规改进工作；
审计是一项支持性的、重复性的工作，应该有序、高效、规律持续的执行。
7.3 外包项目的数据安全
对于组织选择外包某些IT职能的（甚至是数据安全管理职能），需要特别关注外包项目的数据安全。因为与这些工作相关的责任是由组织自己承担的。
任何形式的外包都会给组织带来额外的风险和挑战，因此任何数据安全措施和流程都必须考虑到外包厂商的风险，做为内部风险来对待。不仅仅是问责机制，还包括更严格的风险管理和控制机制，比如在外包合同中规定有限责任条款和审计权利等。
在外包环境中，保持和跟踪完整的监管链条很关键，可以建立CRUD（创建、读取、更新和删除）矩阵，该矩阵绘制了跨业务流程、应用、角色、组织的数据职责，跟踪信息流和监管链。RACI矩阵有助于澄清角色职责，把数据安全管理需求中不同角色的责任和义务分开。可以在合同中明确双方责任和所有权，从而为数据安全策略以及实施提供支持。
在外包IT运营中，组织仍然有维护数据的责任，但关键是为外包协议的各方建立适当的履约机制和明确的工作期望。
DAMA数据管理知识体系指南之数据安全管理相关推荐
- DAMA数据管理知识体系指南之数据架构和建模
全网最全大数据面试提升手册! 一.数据架构语境关系图 企业架构包括多种不同类型,如包括业务架构.数据架构.应用架构和技术架构等.其中数据架构的主要目标是有效地管理数据,以及有效地管理存储和使用数据的系 ...
- 《DAMA数据管理知识体系指南》读书笔记-第十二章（元数据管理）
目录 一.前言 二.内容结构 三.主要内容 1.引言 2.活动 3.工具 4.方法 5.实施指南 6.元数据治理 四.思考与总结 一.前言 本文是<DAMA数据管理知识体系指南>第12章的 ...
- 【数仓】DAMA数据管理知识体系指南
[数仓]DAMA数据管理知识体系指南 金融类公司非常爱问数据治理.数据质量.元数据管理等问题. 中金公司笔试也考了 DAMA 数据治理的内容. 金融公司的开发工作较少,更多的是管理类工作 今天分享一本 ...
- dama数据管理知识体系指南第二版pdf_DMBOK数据管理 - CDMP认证培训
专业数据从业者的体系课程和权威认证 1. DAMA和CDMP介绍 DAMA International成立于1988年,是一个由技术和业务专业人员组成的全球领域的非营利的独立于厂商的数据管理专业协 会 ...
- DAMA数据管理知识体系指南之数据管理和数据治理
全网最全大数据面试提升手册! 简介:DAMA:国际数据管理协会,是一个全球性数据管理和业务专业志愿人士组成的非营利协会,是当前国际上在数据治理领域最权威的机构.DMBOK2则是DAMA组织众多数据管理 ...
- dama数据管理知识体系指南_DAMA知识体系解读（6）数据操作管理
数据操作管理是提供从数据获取到数据清理的全过程支持,关联图: 一.概念 数据操作管理是结构化数据的开发.维护和支持活动.包括两个职能:数据库支持和数据技术管理.数据管理员(DBA)在该活动中起着重要的 ...
- DAMA数据管理知识体系指南-读书笔记3
第三章 数据治理 一.引言 职能:指导所有其他数据管理领域的活动: 目的:确保数据管理制度和最佳实践正确地管理数据. 1.1 业务驱动因素 数据治理的驱动因素大多聚焦于减少风险或改进流程. (1)减少 ...
- DAMA数据管理知识体系指南-读书笔记13
第13章 数据质量 一.引言 数据质量管理包括在整个生命周期制定标准,在数据创建.转换和存储过程中完善质量,以及根据标准度量数据来管理数据.数据质量管理不是一个项目,而是一项持续性工作.它包括项目和维 ...
- DAMA数据管理知识体系指南-读书笔记16
第16章 数据管理组织与角色期望 一.了解现有的组织和文化规范 数据管理组织应与公司的组织层级结构和资源保持一致.找到合适的人员,需要了解数据管理在组织内部的功能和政治作用.目标应该是跨职能的不同业务 ...
最新文章
- 一句话实现Mysql查询结果带行号
- 工业用微型计算机（20）-指令系统(15)
- IOCP 浅析与实例
- windows server 2012 初安装体验
- 设计模式入门（策略模式）
- chrome用type=file获取图片路径并转base64字符串
- 作者：钱卫宁（1976-），男，华东师范大学数据科学与工程研究院教授、博士生导师...
- linux 中禁用USB存储
- 自定义Mac睡眠时间，保持运行状态
- Thymeleaf-extras-Spring Security 权限控制
- 稳扎稳打Silverlight(5) - 2.0控件之ListBox, MediaElement, MultiScaleImage, PasswordBox
- 前端页面怎么办啊一条长的信息换行展示_前端入门！不容错过！HTML基本标签知识大盘点...
- 转：管理欲望：领导者的自我觉察与突破
- CISCO 6509 三层交换机配置
- [資源]RAID是什么意思？RAID的应用
- 享学独立站：Logo设计理念
- 小伙利用C++实现U盘热插拨监听程序，走上人生巅峰
- OpenCV-Python击中击不中HITMISS形态变换详解
- android ui设计最新字体,ui用什么字体_安卓ui设计用什么字体
- 机房环境监控系统品牌-深圳计通