草庐IT

数据安全框架

Coke Or Pepsi 2023-09-01 原文

参考：

Data Security Governance - IRI

如何理解企业安全能力框架(IPDRR) | XieJava's blog

An Introduction to the 5 Functions of NIST | I.S. Partners, LLC

Data Governance for Privacy, Confidentiality and Compliance: A Holistic Approach

数据安全复合治理与实践白皮书-学习思考 – ASPIRE

Gartner DSG框架

DSG：Data Security Governance数据安全治理框架

2015年提出

定义：“a subset of information governance that deals specifically with protecting corporate data (in both structured database and unstructured file-based forms) through defined data policies and processes.”

数据安全治理是信息治理的一个子集，数据安全治理通过规定的策略和流程保护公司数据（包括结构化数据库和非结构化的文件）。

由客户来定义策略和流程，通过分析企业内哪些数据最重要来划分数据的优先级。

 

第一步：业务需求与风险/威胁/合规性之间的平衡

考虑经营策略、治理、合规、IT策略和风险容忍度五个要素

第二步：数据优先级

应当优先对重要数据进行安全治理工作，依据数据的不同属性对数据进行分级。

第三步：制定策略，降低安全风险

明确数据的访问者（应用用户/数据管理人员）、访问对象、访问行为；基于这些信息制定不同的、有针对性的数据安全策略。

第四步：实施安全工具

Crypto（加密）、DCAP（以数据为中心的审计和保护）、DLP（数据防泄漏）、IAM（身份识别与访问管理）

第五步：策略配置同步

为所有安全能力与产品配置策略并保持策略的一致与同步，策略执行对象包括数据库、大数据系统、文件类数据、云端数据、终端数据等。

微软DGPC框架

DGPC：Data Governance for Privacy, Confidentiality and Compliance

2010年提出

划分了三个核心领域：人员、流程、技术

人员领域：建立内部DGPC团队，负责对数据分类、保护、使用和管理过程中的原则、策略和流程步骤等进行定义。

流程领域：

  1. 从各类权威文件（如法律、法规、标准、组织政策与战略文件等）梳理分析组织必须满足的各类要求，形成合规要求集合。
  2. 定义相应的指导原则和策略以满足这些合规要求。
  3. 识别和分析数据流转中的数据安全、隐私和合规风险，并根据风险控制目标采取必要的安全控制措施。

技术领域：微软围绕DGPC框架开发了一套特定的数据流分析方法，围绕数据生命周期、核心技术领域、数据隐私和机密性原则三个核心元素构建。

生命周期：

应重视数据的转移阶段，并且了解传输工具（内网、互联网、存储介质）。

应当确保数据接收者具备与当前数据保管者拥有相同的安全能力和流程。

核心技术领域：

  1. 安全的设施：保护计算机、存储设备、OS、app、网络免受侵害
  2. 身份和访问控制：(IAM or IdM)保护个人信息免受未经授权的访问
  3. 信息保护：持久保护机密数据
  4. 审计和报告：识别可疑、非法行为

数据隐私和机密性原则：

原则 1：在机密数据生命周期内遵守策略。

原则 2：将未经授权访问或滥用机密数据的风险降至最低。

原则 3：将机密数据丢失的影响降至最低。

原则 4：记录安全控制措施并证明其有效性。

DSMM模型

DSMM：Data Security Maturity Model

2019年8月，全国信息安全标准化技术委员会发布国家标准《信息安全技术 数据安全能力成熟度模型》（GB/T 37988-2019），正式提出数据安全能力成熟度模型（DSMM, Data Security Maturity Model）模型。

划分了五个数据安全能力成熟度：持续优化、量化控制、充分定义、计划跟踪和非正式执行

 

DSMM L1非正式执行：执行非正式过程，随机、无序、被动执行安全过程，依赖个人经验，无法复制。

DSMM L2计划跟踪：在业务系统级别主动实现了安全过程的计划与执行，但没有形成体系化，可验证过程执行与计划一致，跟踪、控制执行的进展。

DSMM L3充分定义：在组织级别实现了安全过程的规范执行，标准过程进行制度化，过程可重复执行，执行结果可核查。

DSMM L4量化控制：建立了量化目标，安全过程可度量。

DSMM L5持续优化：根据组织的整体目标，不断改进和优化组织能力和安全过程有效性。

NIST CSF框架（IPDRR模型）

NIST CS：NIST Cybersecurity Framework

2014年由美国国家标准与技术研究所（NIST）提出。

IPDRR：Identify, Identify, Protect, Detect, Respond, Recover企业安全能力框架

具备五个功能：

Identify识别：

  1. 资产——识别核心业务的人员、数据、设备、系统和设施。
  2. 商业环境——定义组织的目标、使命、利益相关者和一般活动。
  3. 治理——涵盖监控和管理企业的法律、风险、监管、环境和运营要求所必需的政策、程序和流程。
  4. 风险——了解所有组织运作、资产和个人涉及的网络安全风险。
  5. 风险管理策略——明确组织的约束、优先级、风险容忍度。

应定期重复这一功能。

Protect保护：

  1. 访问控制——限制对资产和网络的访问。
  2. 数据安全——根据业务风险策略来管理公司的敏感数据。
  3. 信息保护流程和程序——用于维护和管理信息资产、系统的安全政策和流程。
  4. 维护——维修工业控制系统（Industrial control system）组件和信息系统组件。
  5. 保护技术——结合人工和自动化工具。

Detect检测：

  1. 异常和事件——检测所有异常和事件。
  2. 安全持续监控——实时或周期监控资产和信息。
  3. 检测流程——对检测系统进行适当维护。

Respond响应：

  1. 计划响应——及时响应检测到的网络安全事件。
  2. 沟通——组织与内部和外部利益相关者之间进行沟通。
  3. 分析——在响应活动期间进行审查。
  4. 缓解——防止恶化，减轻或消除影响。
  5. 改进——更新响应方案。

Recover恢复：

  1. 计划恢复—按优先级进行恢复。
  2. 改进——在系统重新运行后，反思事件，并记录经验。然后应该改进恢复计划。
  3. 沟通——与内部和外部各方协调，包括互联网服务提供商、受害者、供应商、攻击系统的所有者和协调中心。
数据安全数据text-alignjustifymargin-left网络安全

有关数据安全框架的更多相关文章

  1. ruby - 解析 RDFa、微数据等的最佳方式是什么，使用统一的模式/词汇(例如 schema.org)存储和显示信息 - 2

    我主要使用Ruby来执行此操作，但到目前为止我的攻击计划如下:使用gemsrdf、rdf-rdfa和rdf-microdata或mida来解析给定任何URI的数据。我认为最好映射到像schema.org这样的统一模式，例如使用这个yaml文件，它试图描述数据词汇表和opengraph到schema.org之间的转换:#SchemaXtoschema.orgconversion#data-vocabularyDV:name:namestreet-address:streetAddressregion:addressRegionlocality:addressLocalityphoto:i

  2. ruby - 如何使用 Ruby aws/s3 Gem 生成安全 URL 以从 s3 下载文件 - 2

    我正在编写一个小脚本来定位aws存储桶中的特定文件，并创建一个临时验证的url以发送给同事。(理想情况下，这将创建类似于在控制台上右键单击存储桶中的文件并复制链接地址的结果)。我研究过回形针，它似乎不符合这个标准，但我可能只是不知道它的全部功能。我尝试了以下方法:defauthenticated_url(file_name,bucket)AWS::S3::S3Object.url_for(file_name,bucket,:secure=>true,:expires=>20*60)end产生这种类型的结果:...-1.amazonaws.com/file_path/file.zip.A

  3. ruby - Ruby 有 `Pair` 数据类型吗？ - 2

    有时我需要处理键/值数据。我不喜欢使用数组，因为它们在大小上没有限制(很容易不小心添加超过2个项目，而且您最终需要稍后验证大小)。此外，0和1的索引变成了魔数(MagicNumber)，并且在传达含义方面做得很差(“当我说0时，我的意思是head...”)。散列也不合适，因为可能会不小心添加额外的条目。我写了下面的类来解决这个问题:classPairattr_accessor:head,:taildefinitialize(h,t)@head,@tail=h,tendend它工作得很好并且解决了问题，但我很想知道:Ruby标准库是否已经带有这样一个类？ 最佳

  4. ruby - 如何安全地删除文件？ - 2

    在Ruby中是否有Gem或安全删除文件的方法？我想避免系统上可能不存在的外部程序。“安全删除”指的是覆盖文件内容。 最佳答案 如果您使用的是*nix，一个很好的方法是使用exec/open3/open4调用shred:`shred-fxuz#{filename}`http://www.gnu.org/s/coreutils/manual/html_node/shred-invocation.html检查这个类似的帖子:Writingafileshredderinpythonorruby?

  5. ruby - 我如何添加二进制数据来遏制 POST - 2

    我正在尝试使用Curbgem执行以下POST以解析云curl-XPOST\-H"X-Parse-Application-Id:PARSE_APP_ID"\-H"X-Parse-REST-API-Key:PARSE_API_KEY"\-H"Content-Type:image/jpeg"\--data-binary'@myPicture.jpg'\https://api.parse.com/1/files/pic.jpg用这个:curl=Curl::Easy.new("https://api.parse.com/1/files/lion.jpg")curl.multipart_form_

  6. 世界前沿3D开发引擎HOOPS全面讲解——集3D数据读取、3D图形渲染、3D数据发布于一体的全新3D应用开发工具 - 2

    无论您是想搭建桌面端、WEB端或者移动端APP应用，HOOPSPlatform组件都可以为您提供弹性的3D集成架构，同时，由工业领域3D技术专家组成的HOOPS技术团队也能为您提供技术支持服务。如果您的客户期望有一种在多个平台（桌面/WEB/APP，而且某些客户端是“瘦”客户端）快速、方便地将数据接入到3D应用系统的解决方案，并且当访问数据时，在各个平台上的性能和用户体验保持一致，HOOPSPlatform将帮助您完成。利用HOOPSPlatform，您可以开发在任何环境下的3D基础应用架构。HOOPSPlatform可以帮您打造3D创新型产品，HOOPSSDK包含的技术有：快速且准确的CAD

  7. FOHEART H1数据手套驱动Optitrack光学动捕双手运动(Unity3D) - 2

    本教程将在Unity3D中混合Optitrack与数据手套的数据流，在人体运动的基础上，添加双手手指部分的运动。双手手背的角度仍由Optitrack提供，数据手套提供双手手指的角度。 01  客户端软件分别安装MotiveBody与MotionVenus并校准人体与数据手套。MotiveBodyMotionVenus数据手套使用、校准流程参照：https://gitee.com/foheart_1/foheart-h1-data-summary.git02  数据转发打开MotiveBody软件的Streaming，开始向Unity3D广播数据；MotionVenus中设置->选项选择Unit

  8. 使用canal同步MySQL数据到ES - 2

    文章目录一、概述简介原理模块二、配置Mysql使用版本环境要求1.操作系统2.mysql要求三、配置canal-server离线下载在线下载上传解压修改配置单机配置集群配置分库分表配置1.修改全局配置2.实例配置垂直分库水平分库3.修改group-instance.xml4.启动监听四、配置canal-adapter1修改启动配置2配置映射文件3启动ES数据同步查询所有订阅同步数据同步开关启动4.验证五、配置canal-admin一、概述简介canal是Alibaba旗下的一款开源项目，Java开发。基于数据库增量日志解析，提供增量数据订阅&消费。Git地址：https://github.co

  9. ruby-on-rails - 创建 ruby​​ 数据库时惰性符号绑定(bind)失败 - 2

    我正在尝试在Rails上安装ruby​​，到目前为止一切都已安装，但是当我尝试使用rakedb:create创建数据库时，我收到一个奇怪的错误:dyld:lazysymbolbindingfailed:Symbolnotfound:_mysql_get_client_infoReferencedfrom:/Library/Ruby/Gems/1.8/gems/mysql2-0.3.11/lib/mysql2/mysql2.bundleExpectedin:flatnamespacedyld:Symbolnotfound:_mysql_get_client_infoReferencedf

  10. STM32读取串口传感器数据（颗粒物传感器，主动上传） - 2

    文章目录1.开发板选择*用到的资源2.串口通信（个人理解）3.代码分析（注释比较详细）1.主函数2.串口1配置3.串口2配置以及中断函数4.注意问题5.源码链接1.开发板选择我用的是STM32F103RCT6的板子，不过代码大概在F103系列的板子上都可以运行，我试过在野火103的霸道板上也可以，主要看一下串口对应的引脚一不一样就行了，不一样的就更改一下。*用到的资源keil5软件这里用到了两个串口资源，采集数据一个，串口通信一个，板子对应引脚如下：串口1，TX：PA9，RX：PA10串口2，TX：PA2，RX：PA32.串口通信（个人理解）我就从串口采集传感器数据这个过程说一下我自己的理解，

随机推荐