CSO怎么做(8)数据防泄漏的体系应该如何运作?

前面几张拉拉杂杂说的都是“七分管理”,该谈点“三分技术”的正事了吧?如果你真的这么想,那赶紧再回去仔细看前面几章,修炼差不多了再来看这章:)

一、从“文档安全”、“数据防泄漏”到“数据安全”

信息安全思想和技术发展至今,现在为互联网、金融界乃至主管部门所广泛接受的“数据安全”,在十几年前并不是这样的,那个时候基本都说“文档安全”,因为有保护价值的信息资产都还是文档为主,大家都在看如何保护文档的机密性;慢慢地思想和技术开始进步,出现了“数据防泄漏”(Data Loss Prevention, DLP)的理念、技术和产品,将保护的对象扩展到分布在终端、网络和存储介质的各类电子化信息,比文档安全进步了许多、但总体上仍偏重对静态数据的保护;慢慢地,大家发现无论文档还是电子化信息都是流动的,DLP的概念不满足实际业务需求,还是“数据安全”似乎更加全面和准确,既兼顾完整性和保密性,又覆盖静态信息和动态数据流,于是这个概念在各类产品、会议上得以大肆宣扬,并得到广泛认同。

本章暂时不讨论这些概念之间的差异。从我个人的工作经验来说,很大比重还是在保护各类信息的机密性,因此本章还是着重讨论数据防泄漏的体系如何运作,包括建立和运营。同时,概念定义上,“防泄漏”强调机密性的保护,“数据”包括需要保护的电子信息和纸件信息,电子信息包括静态和流动的信息;“数据”不仅包括结构化信息,还包括非结构化信息。

 

二、如何建立和运营数据防泄漏的体系

1、定义数据防泄漏的价值和目标

对于绝大多数中小企业和科技创新型企业来说,“数据防泄漏”可能就是“信息安全”工作的全部内容了。所以,首先必须明确数据防泄漏工作的价值和目标,让老板、团队和CSO明白“为什么而战”,并且树立具体、明确和量化的目标。否则,CSO后续的工作可能就只是学习别人的做法、堆砌产品和技术,却始终不知道帮助企业解决了什么问题、提供了什么价值。

 

2、信息资产分类分级

几乎每个公司推行ISO27001的时候,都会提到信息资产分类分级。对于绝大多数中小企业和科技创新型企业来说,这个过程依然适用,而且意义重大、不能省略。其好处在于

(1)可以识别企业内真正有价值的信息资产、应该保护保护的信息资产;

(2)与管理层、业务代表在信息资产的识别上达成共识,避免在后续操作上形成分歧;

(3)与管理层、业务代表、主管形成统一的用词,就词汇的涵义达成一致;

什么叫信息资产、包括哪些信息资产,不再赘述。为便于理解,仅在本章中把“信息资产”等同于“数据资产”。

信息资产的分类分级不是一蹴而就,往往要经过3-4轮才能达到如上效果。所以分类分级之后,一定要持续去用,在使用过程中发现问题;CSO和团队要有足够的耐心,并注意在每一轮梳理完毕之后要积累、记录问题清单,并在下一轮梳理中解决这些认知上的问题。这其实也可以算作“提升安全意识”的工作。如果没有人用,CSO一定要安排检查和审计,用问题来驱动使用,不要怕有矛盾、有冲突,冲突和矛盾正是加深理解和认知的极佳机会。

与分类分级相关的,必然有一个分类分级流程(有时候也叫定密流程),这个流程必须要把老板拉进来,让他作为分歧的最终决策者。切记!

这里面还会有一个概念上的理解,关于“有价值资产”和“有保护价值的资产”。记得以前华为的孙颖专门讨论过这个问题,此处不展开,后续慢慢再说。

 

3、业务流程梳理

按照传统理论,大多数情况下做完信息资产分类分级就进入风险评估阶段,然后就开始迫不及待地制订方案了。完全理解这种心情和做法:问题其实咱们都知道,赶紧开干吧!但是!但是!但是还不够。磨刀不误砍柴工,再耐心一点。

我把这个环节称为“业务流程梳理”。其核心在于理解业务流程,理解信息资产在业务流程中是如何被创建、评审、发布、授权、归档、销毁,在这些业务流程中分别使用了哪些工具、牵涉到哪些人、在哪些环境里面;尤其是跨行政部门的业务流、数据流往往容易被忽视,越是大公司、大机构就越要重视这个问题。还有一个容易被忽视的是“纸件”,因为往往容易将注意力放在电子信息上,纸件的管控也复杂,所以无论是无意还是有意,都会把“纸件”给忽视了。

业务流程的梳理和优化也需要积累和优化,非一线业务人员一般至少需要2-3年才能足够熟悉业务。因此CSO需要在自己的团队里面有业务专家,要么自己培养,要么从业务部门调人过来。对业务的熟悉将可以保证CSO和信息安全团队建立对业务的独立判断力,而不总是被业务部门忽悠,这样做出的风险评估结果才是有价值而专业的。懂业务、懂流程,又能够解决安全风险的人才是真正的专家。

至于如何梳理和理解业务流程,总结下来其实和“外审”的套路基本一致:学培训文档、看文件记录、访谈走查、实地查看,以及在解决实际业务问题的过程中积累。

 

4、风险评估

这个步骤略,只说一句:这个步骤虽然很学究、但不要省略,静下心来认真做脆弱性分析和风险评估,其实很有价值。

 

5、设计数据防泄漏的架构和路线图

看过前面几篇的读者应该知道我的风格了,当面对一个复杂问题的时候,我特别喜欢用“架构和路线图”这种套路。所以,数据防泄漏问题的解决,我也喜欢设计一个架构。这里介绍一些基本原则方法。

(1)首先要设立1-2个数据防泄漏的稳定评价指标。通常至少要包括:核心类信息不泄漏、如果泄漏则扣分的扣分项。这个指标应在3-5年内保持稳定,形成数据防泄漏工作的主要目标。对于主要防范内部人员泄密的企业,还有一类评价指标,基本都是“不想偷、不能偷、不敢偷”的变种,择优取之吧。

(2)在业务架构层面上,遵循重点业务优先、逐步渗透其他业务的思路,兼顾重点业务场景和通用业务场景;如果投入有限,毫无疑问应该优先保障“重点业务”“重点业务场景”。

(3)在基础架构层面上,分别从制度流程、人、物理环境、终端、网络、主机、数据库和应用服务几个层面建立安全控制措施,确保“管理和技术两手都要硬”。上面(1)(2)(3)的顺序做下来,比较像ESA的方法论,是我所喜欢的套路。

(4)防护类措施可以阻断事件的发生,审计监控类措施主要用于事后追溯;但多数企业容易忽视的是,如果上了审计监控类措施、却没有足够的运营和审计资源投入,基本就是“掩耳盗铃”。防护、运营、审计和响应的资源投入缺一不可,这样才能保证PDCA的循环转起来。

(5)在防泄漏体系建立初期,应想法设法开展审计和违规打击行为,尤其是对典型的、故意违规行为的打击,强化威慑力,为防护措施争取时间和空间,同时也获得老板和业务主管的认可和支持。这是一种规划驱动和事件驱动结合的方法。

(6)要分析、区别对待不同的业务环境:高度信息化还是基本电子化,甚至是电子化和纸件混杂;主管、员工对于信息防泄漏的重点目标、优先顺序、认知认可是怎样的…耐心和决心缺一不可。有老板支持的时候可以一刀切,自身能力不足时可以灵活变通处理。

(7)数据防泄漏的管控措施往往在落实上和业务的现行做法有冲突,改变则必然面临着阻力,因此除非有充足的理由,否则轻易不改变。但这并不意味着业务的现行流程、做法不可改变,需要机缘、更多的是靠事件驱动。

 

6、数据防泄漏体系的运营、审计和响应

在建设数据防泄漏体系的过程中,要尤其重视“运营”和“审计”。前文我说过,不少企业都有这样的经历:安全措施上了不少,工具都买了不少,人好像也不少,但是老板就是觉得问题没解决、效果不满意,核心原因就是缺乏运营和审计。其实我以前的工作经验也没有严格区分运营和审计这两类工作,后来也是学习了互联网企业的安全岗位分工,才领会到“运营”的作用,因此我对运营的理解不一定正确,在此抛砖引玉。

“运营”的核心目标是保障已经实施的安全措施达到甚至超过预期的效果。基于以上理解,运营岗位的工作内容一定是有评价指标的,这些评价指标不一定全面覆盖其所有工作内容,也不一定用于对运营岗位人员的个人绩效评价(虽然我倾向用于个人绩效评价)。运营的动作要有一些标准化动作(比如对策略设置的结果进行检查),也要鼓励创造性的动作(比如根据安全工具、数据的分析发现一些异常和问题,并推动解决);运营的动作既要有安全工具健康度的检查(比如某个安全工具的网络设置是否正确、数据接入是否正常),也要有安全工具有效性的检查和优化(比如经过审批之后、在监督之下做某个违规动作,看看安全检查项是否生效)。

“审计”的核心目标是发现是否还有没覆盖到的安全漏洞、是否有未被发现和应对的威胁,常使用检查各类文件、查看各类日志和记录、访谈走查、实地查阅、渗透测试和逆向、监控等多种手段。但是CSO要切记定义好安全团队人员的分工合作流程,确保发现的问题有记录、有分析、有改进,确保从小问题中发现的系统性、流程性的风险得到解决,使得“运营”和“审计”最终回归到PDCA这个路径中来,形成闭环、形成提升。基于这种管理思想,有的企业会要求审计人员不但发现漏洞和威胁,还要持续跟踪、直到漏洞或威胁被解决为止。

“响应”在科技创新型企业里面的重要性没有那么突出,大多数情况下在发生严重普遍的系统漏洞或者互联网威胁才会运用。针对这类事件,建议要有预案,从人员组成、工作流程、工具权限、具体操作的培训等方面做好准备。如果涉嫌发生严重的数据泄露事件,要从信息分析和危害评估、证据获取和固定方面入手,做严谨、充分的分析和推理。

“运营”、“审计”和“响应”岗位对人员能力的要求都比较高,因此CSO应建立机制、形成运营、审计、响应的经验、方法、工具、流程的沉淀,使得这些工作尽可能减少对人的依赖,尽可能减少人员流动对组织的影响。话说回来,上面这段话好像对无论哪个团队都适用。

 

三、数据防泄漏的外部环境

本段落仅根据自己的经验认知来总结描述,可能有认知偏颇之处。说的不对的地方,请多指教。

因为长期在科技创新型企业工作,与诸多同行交流下来经常觉得无力吐槽。市面上绝大多数用于数据防泄漏的产品,不仅对于“数据安全”的理解都是不一样的,而且严重缺乏对于国内科技创新型企业场景和需求的理解;绝大多数产品不是立足于客户需求,而是立足于产品研发团队的出身和技术能力。导致的局面是,一个企业往往需要2-3个产品才能把数据防泄漏的架构拼凑起来,并且投入较多的资源来解决运营、审计、响应、兼容性、用户体验的冲突。很期待乙方的安全产品能够迅速做出改变。

同时,由于国内外法制环境的差异,长期以来对于国内科技创新型企业的商业秘密、知识产权的保护力度偏弱,所以企业开展信息防泄漏工作的时候、对于内部员工的行为普遍持“不信任”观点,导致需要和各种可能的、无底线的恶意行为进行对抗,于是老板们经常发现“这也防不住”“那也阻止不了”“你防来防去,员工拍个照不就出去了”,就会产生一个普遍的质疑:“CSO的工作没啥用啊”。同时,企业如果一旦发现涉嫌泄密行为之后,想寻求法律武器进行打击的时候,成本也特别高。在此想特别呼吁一下,有关部门能够改变现有的立法、执法标准,降低企业维权成本,显著抬高违法行为的成本,我觉得这才是“保护创新”的最有效之路。

本来还想写一个段落,点评一下市面上的数据防泄漏产品和技术、总结一下实施中遇到的各种坑,考虑下来觉得可能更适合做分享交流,因此暂不写了吧。后面有机会再交流。

发表评论