第七章数据安全

定义：

定义、规划、开发、执行安全策略和规程，以提供对数据和信息资产的适当验证、授权、访问、审计。

目标：

1. 启用对企业数据资产的适当访问，并防止不适当的访问

2. 理解并遵守所有有关隐私、保护和保密的法规和政策

3. 确保所有利益相关方的隐私与保密需求得到执行和审计

业务驱动：

1. 降低风险

   1. 识别敏感数据资产并分类分级

   2. 在企业中查找敏感数据

   3. 确保保护每项资产的方法

   4. 识别信息与业务流程如何交互

2. 业务增长

3. 安全性作为资产

原则：

1. 协同合作

2. 企业统筹

3. 主动管理

4. 明确责任

5. 元数据驱动

6. 减少接触降低风险

输入：

业务目标和战略

业务规则和流程

监管要求

企业架构标准

企业数据模型

活动：

1. 识别相关的数据安全需求

2. 定义数据安全策略

3. 定义数据安全标准

4. 评估当前安全风险

5. 实施控制和规程

成果：

数据安全架构

数据安全策略

数据隐私和保密标准

数据安全访问控制

法规遵从的数据访问视图

安全分级记录

身份认证和用户访问历史记录

数据安全审计报告

技术：

CRUD矩阵应用

及时安全补丁部署

元数据中数据安全属性

项目需求中的安全需求

加密数据的搜索

文件清理

工具：

杀毒软件

https

身份管理技术

入侵检测和入侵防御软件

元数据跟踪

数据脱敏与加密

指标：

1. 安全实施指标

2. 安全意识指标

3. 数据保护指标

4. 安全事件指标

5. 机密数据扩散