中小企業(yè)數據安全建設指南

1、 中小企業(yè)數據安全建設指南目 錄 TOC o 1-3 h z u HYPERLINK l _Toc60751856 二、前言 PAGEREF _Toc60751856 h 3 HYPERLINK l _Toc60751857 三、分析安全威脅，排查致命缺陷 PAGEREF _Toc60751857 h 4 HYPERLINK l _Toc60751858 01 管理者對數據價值認知不足，導致投入少關注少 PAGEREF _Toc60751858 h 4 HYPERLINK l _Toc60751859 02 難以打造縱深防御體系，黑客攻擊更加容易 PAGEREF _Toc60751859 h

2、5 HYPERLINK l _Toc60751860 03 安全知識儲備不足，安全意識仍待提高 PAGEREF _Toc60751860 h 5 HYPERLINK l _Toc60751861 04 開源免費埋下安全“地雷” PAGEREF _Toc60751861 h 6 HYPERLINK l _Toc60751862 四、理清合規(guī)要求，重視戰(zhàn)略部署 PAGEREF _Toc60751862 h 9 HYPERLINK l _Toc60751863 01 個人信息保護 PAGEREF _Toc60751863 h 9 HYPERLINK l _Toc60751864 02 數據共享安全

3、PAGEREF _Toc60751864 h 10 HYPERLINK l _Toc60751865 03 數據出境安全 PAGEREF _Toc60751865 h 10 HYPERLINK l _Toc60751866 五、落地安全戰(zhàn)術，踐行第一舉措 PAGEREF _Toc60751866 h 11 HYPERLINK l _Toc60751867 01 安全意識 PAGEREF _Toc60751867 h 11 HYPERLINK l _Toc60751868 02 安全管理 PAGEREF _Toc60751868 h 12 HYPERLINK l _Toc60751869 03

4、安全技術 PAGEREF _Toc60751869 h 13 HYPERLINK l _Toc60751870 04 專項工作 PAGEREF _Toc60751870 h 14前言從華住酒店集團近6億條數據被暴露，到點評類網站數據造假，再到微盟公司程序員刪庫跑路，無數血淋淋的案例告訴我們：對于今天的商業(yè)組織，數據就是核心資產和命脈；甚至可以說：“企業(yè)經營的本質即數據運營”。與核心數據資產相比，精干的管理人員好像沒那么重要，昂貴的設備好像沒那么重要，華美的辦公樓好像也沒那么重要。同步地，在國家政策不斷明晰和行業(yè)監(jiān)管持續(xù)引導的大背景下，數據安全已經成為網絡安全行業(yè)的投融資熱點，更是全社會焦點話題

5、。但不盡如人意的是，參與數據安全相關法律法規(guī)和行業(yè)標準制定的多是部委機關、科研院所以及行業(yè)寡頭；試點落實數據安全防護技術多是監(jiān)管單位和大型企業(yè)；數據安全保護技術亦呈現出技術壁壘極高，成本造價極高的態(tài)勢。數據安全似乎與中小企業(yè)關系甚少。事實上，一方面，中小企業(yè)是國民經濟的重要組成。根據國家經濟統計局數據，中小企業(yè)占比中國企業(yè)總數90%，GDP貢獻達全國65%，稅收貢獻超過50%，并解決75%以上的城鎮(zhèn)就業(yè)。另一方面，面對數據安全威脅和攻擊，中小企業(yè)風險抵御能力極差。根據卡巴斯基2019年安全報告，全球46%中小企業(yè)遭遇數據泄露。根據2019年Zogby Analytics報告，數據泄露可能導致2

6、5%的中小企業(yè)破產。如此，破解中小企業(yè)數據安全困局已是勢在必行，更要善建慎行。分析安全威脅，排查致命缺陷針對數據安全風險，以下內容對中小企業(yè)面臨的五個最突出安全威脅進行簡要分析。01 管理者對數據價值認知不足，導致投入少關注少可能的原因：a.數據價值缺乏量化分析。在數據的貨幣化價值探索方面，中小企業(yè)組無法得到直觀的數據價值感知。b.價值數據缺少持續(xù)投入。據統計，中小企業(yè)存活周期的平均壽命只有2.9年，由此帶來的是體系化數據安全建設周期和資金保障不足。c.關鍵業(yè)務數據關注較少。企業(yè)運營過程中，關注點會放在了業(yè)務組織架構和流程，以及業(yè)務模型等，在積累大量的價值數據之前，管理層對數據的價值缺少必要的

7、關注，同時在利用數據驅動企業(yè)數字化能力方面略顯不足。02 難以打造縱深防御體系，黑客攻擊更加容易與大型企業(yè)不同，受限于業(yè)務規(guī)模和安全投入，中小企業(yè)業(yè)務架構簡潔，網絡復雜性低，缺少網絡安全的整體性思考。在面對惡意攻擊時，較短的攻擊路徑使得核心數據更容易暴露。中小企業(yè)由于在安全投入方面較少，因而無法打造一個完整保護體系，如邊界防御、訪問控制、網絡隔離、應用保護、入侵檢測、病毒防御、數據防泄漏等等，缺少層層安全策略，層層操作規(guī)則。根據電信運營商Verizon2019年數據泄露調查報告對于中小企業(yè)，70%數據安全攻擊事件，在3個攻擊步驟內完成攻擊。03 安全知識儲備不足，安全意識仍待提高中小企業(yè)設立1

8、名或多名專職數據管理崗位已然困難；更多，在全社會網絡和數據安全專業(yè)人員缺口達百萬級情況下，中小企業(yè)招聘專業(yè)安全人員多是“郎有情來妾無意”。上述情況，可能導致出現常識性安全誤區(qū)。比如，某中小企業(yè)在意識到數據安全重要性后，特別采購滿足等保三級要求的云服務器；然而，在使用過程中，不修改默認口令，不關閉特權賬號遠程登陸，不進行中間件升級，最終導致黑客輕易控制服務器。對于大型企業(yè)，安全管理和運營是體系化閉環(huán)管理，網絡、平臺、應用、數據等實現了模塊化控制措施部署。安全意識缺乏亦中小企業(yè)重要威脅。傳統地，安全意識提升會占較多精力和資源，而且只有大型企業(yè)才需要定期開展體系化意識提升。事實上，在日常辦公和項目實

9、施中融入意識提升，成本極低，同時得益于規(guī)模小，中小企業(yè)的安全意識提升效果遠超大型企業(yè)。請切記：低級誤操作和安全意識缺乏是數據泄露和網絡攻擊首要原因。04 開源免費埋下安全“地雷”根據Gartner調查報告，99%的組織在IT系統會采用使用開源程序。普遍地，基于技術更新和成本控制等原因，中小企業(yè)使用開源組件亦是常態(tài)。便利與安全相向而行。據統計，2019年開源軟件漏洞較2018年增加50%，平均每1000行代碼存在14個安全漏洞。更多的，安全漏洞暴露后，中小企業(yè)較難通過外圍安全防護設備抑止安全影響，但直接升級程序和加固系統，風險高且難度大?；诖?，中小企業(yè)修復開源漏洞周期平均超過24個月。需要深思

10、的是：開源程序安全隱患到底來自哪里？其一，針對成熟的開源軟件，安全再投入困難。一方面，較早的開源項目少有安全投入；另一方面，開源軟件經過多年版本更新，要不由3、5個工程師，甚至1個工程師獨立開發(fā)，安全加固將極大增加時間成本和精力成本；要不由上萬人共同迭代，新老版本代碼相互調試引用，復盤程序已十分困難，更不提安全構架。種種原因，造成成熟開源軟件安全性提升困難大，且成效一般。其二，新立項目，特別常用互聯網應用開源框架項目，獲得了企業(yè)經費贊助，甚至人力投入（參與核心編碼），安全專家亦大量參與。然而，美中不足的是：為了提升代碼易用性和擴展性，較多安全配置默認“關閉”。對于大型企業(yè)，特別是行業(yè)巨頭對開源

11、程序或軟件安全性重視程度較高。較多企業(yè)建立了引入管理、軟件版本管理、脆弱性檢測、在線告警和補丁測試環(huán)境等體系化的管理。然而，對于中小企業(yè)，在使用開源代碼時，極有可能“一目十行”，根本未關注安全配置。事實上，中小企業(yè)亦通過小行動來強化開源程序安全使用，比如設立安全原則：針對開源程序版本已被CNVD通告存在高風險安全漏洞，則禁止研發(fā)人員任何理由使用。比如，根據CIS建立企業(yè)安全基線，要求開啟開源軟件95%以上安全配置。再比如，針對調用開源程序且是項目核心功能，要求兼容二種以上編碼語言。請切記：開源程序安全漏洞被利用是數據泄露和網絡攻擊第二原因。05云化技術應用：天使魔鬼，結伴同路近五年，云化技術堪

12、稱中小企業(yè)福音。大量中小企業(yè)利用云平臺，在輕量化運營前提下，實現業(yè)務拓展和產能擴容。更多的，在新冠疫情背景下，工信部文件強調：支持數字化和智能化轉型,助力中小企業(yè)復工復產。其中，引導大企業(yè)及專業(yè)服務機構面向中小企業(yè)推出云制造平臺和云服務平臺，推動中小企業(yè)業(yè)務系統云化部署是重要內容。姑且，云化技術有安全驗證，云化架構有安全設計，云服務商金口玉言，再三承諾貼合業(yè)務需求，匹配業(yè)務形態(tài)，提供可選高品質安全保障。但業(yè)務和數據畢竟是自有的，中小企業(yè)極需關注云化技術應用中業(yè)務和數據安全管理。第一，云平臺安全風險是X86和TCP/IP架構客觀，曾記否Slack和CloudFlare安全漏洞泄露數百萬用戶個人信

13、息，曾記否Verizon的Amazon S3服務器錯誤配置，泄露1400多萬美國用戶數據。第二，在認識到風險后，中小企業(yè)可考慮采購國資或知名云服務；同時，根據業(yè)務模式和規(guī)模選購安全服務（注意：云平臺安全服務更加論證了第一點：云平臺存在安全風險）。為了減輕經營成本壓力，筆者建議優(yōu)先選購漏洞掃描、服務器加固等價格低但成本高安全服務。在此基礎上，結合業(yè)務模式，選購業(yè)務風險、數據防泄露檢測等服務。理清合規(guī)要求，重視戰(zhàn)略部署根據網絡安全法、個人信息安全規(guī)范等法律標準要求，網絡運營者、數據控制者需要承擔數據保護義務。針對中小企業(yè)，需要重點關注三個關鍵合規(guī)要求。01 個人信息保護掌握持續(xù)增長的個性化的個人信

14、息可能是中小企業(yè)與行業(yè)寡頭競爭中的“王牌”。這張“王牌”成立的首要前提做好保護義務。a.根據刑法、消費者權益保護法、數據安全管理辦法諸多法規(guī)和國標、行標，個人信息收集、處理、利用受到嚴格約束和管制。b.需要強調，個人信息保護是法律約束，經粗略統計，2019年平均每3天新增1個侵害個人信息判例。02 數據共享安全流轉是數據天然屬性，變現也是數據最終目標，但流轉不代表隨意傳播，變現不等于數據售賣。數據共享要求做好事前預防，事中監(jiān)測，事后審計。03 數據出境安全當下，較多中小企業(yè)業(yè)務涉及跨境交易，同步地，部分數據可能跨境流轉。涉及數據出境業(yè)務，一方面，需要注意數據接收方所在國法律法規(guī)約束，如歐盟GD

15、PR，如新加坡、泰國等國家數據安全保護法令；另一方面，需要注意國內個人信息出境安全評估辦法等要求。特別注意，數據安全和網絡安全是國家針對全行業(yè)國家網絡空間安全可控戰(zhàn)略要求，是無論規(guī)模、形態(tài)的企事業(yè)都必須遵循安全監(jiān)管。遵循安全合規(guī)需要上升到中小企業(yè)主經營管理戰(zhàn)略目標。落地安全戰(zhàn)術，踐行第一舉措中小企業(yè)不適用搭建一個事無巨細的完整數據安全保護框架，宜采用“精準發(fā)力，有的放矢”安全戰(zhàn)術。以下從意識提升、安全管理、安全技術、專項工作等4方面分析提出優(yōu)先安全舉措來推演中小企業(yè)數據安全建設，即從諸多安全舉措中找出最迫切選項（本文會給出兩個項目以供讀者參考）。01 安全意識安全意識提升形式多樣，方法靈活。考

16、慮到，中小企業(yè)經營成本限制和實施便捷要求，建議優(yōu)先開展兩項意識提升工作：a.案例宣貫。整理個人信息侵害判例或同行業(yè)數據泄露事件，在例會前，進行10分鐘案例學習，對照分析本企業(yè)不足，提升企業(yè)主對數據資產價值認識，強化員工違規(guī)思想的威懾。b.知識學習。整理安全運營簡要知識或常見設備和系統默認口令或典型安全漏洞分析，在月度總結中，進行30分鐘集中學習。02 安全管理完整的數據安全管理可能至少覆蓋崗位、人員、制度、流程、監(jiān)管配合等，但對于中小企業(yè)可優(yōu)先嘗試如下兩項工作來開展數據安全管理：a.建章立制。不可因為對制度落地期望低，或實施效果差而拒絕建立制度。制度是現代企業(yè)管理的“神經”。特別地，對于數據安

17、全工作，制度的建立更是正視數據工作第一步，亦可能成為安全事件發(fā)生后，公安機關追責時，相關人員“適當勤奮”第一證明。針對制度執(zhí)行落地難，第一，建議在企業(yè)內部強化安全制度的統一性、權威性和嚴肅性，要做到“令行禁止”；第二，建議企業(yè)減少“家長式”管理，可考慮場景化演練、安全制度專題活動等，增強企業(yè)數據安全文化建設，激發(fā)執(zhí)行層員工參與感。b.聘用兼職顧問。如前文，專職人員培養(yǎng)難、成本高，建議中小企業(yè)，特別員工數量不足150人中小企業(yè)，建議聘用兼職數據安全顧問進行技能指導。03 安全技術大型企業(yè)數據安全防護技術可以覆蓋整個數據活動生命周期，可能從資產識別，覆蓋到分類分級、威脅檢測、安全監(jiān)視等。然而，數據

18、的安全命運可歸納為二種：被破壞、被非法訪問（含泄露）。再結合前面安全威脅分析，建議中小企業(yè)優(yōu)先開展如下兩項工作：a.數據備份。不論是本地數據還是云端數據，備份是抵御攻擊低成本策略，是降低數據被破壞影響最優(yōu)解。b.加密應用。對于非法訪問，大型企業(yè)極有可能采購和部署完備的訪問控制系統，覆蓋網絡邊界、主機服務、應用業(yè)務、甚至指令級的權限管理。不足之處，此類訪問控制會在后續(xù)不斷增加管理成本，如訪問控制策略要頻繁調整，會增加額外人力；如業(yè)務或網絡擴容，引發(fā)訪問控制系統同步擴容，會增加額外成本。建議中小企業(yè)利用加密技術減緩來自非法訪問威脅（加密技術是開放性技術，多數情況下，算法完全公開）。注：加密并不能解決非法訪問，但對于小規(guī)模組織，可以減少數據暴露和傳播。04 專項工作結合威脅分析和合規(guī)要求，建議中小企業(yè)開展如下兩項專項工作。a.個人信息保護。特別是在2020版?zhèn)€人信息保護規(guī)范發(fā)布后，個人信息保護工作是對全行業(yè)剛性要求，中小企業(yè)的個人信息保護專項工作需要至少包含隱私政策管理、數據收集授權同