Security企业级数据平台安全：四大维度与 CIA 三元组

企业级数据平台和数据存储库需要在多个层面解决安全问题。本视频将介绍与数据平台和数据生命周期管理相关的各个安全方面，包括：

• 物理基础设施安全
• 网络安全
• 应用安全
• 数据安全

---

一、信息安全策略的基础：CIA 三元组

在探讨具体安全层面之前，我们首先来看构建有效信息安全策略的三个关键组成部分，它们通常被称为 CIA 三元组：

📌 适用性：CIA 三元组适用于所有安全层面，无论是基础设施、网络、应用还是数据安全。

---

二、安全的四大维度/层级

1. 物理基础设施安全 (Physical Infrastructure Security)

IT 系统的关键安全组成部分是对容纳系统的物理基础设施和设施的安全保护。在云计算中，这也延伸到云服务提供商的基础设施和设施。

采取的措施

• 访问控制与监控：基于身份验证限制设施周边的访问；对出入口进行全天候监控。
• 电力供应：来自独立公用事业供应商的多路电源馈电，配备专用发电机和 UPS 电池备用。
• 环境控制：用于管理设施内温度和湿度水平的加热和冷却机制。
• 环境威胁因素：在选址前考虑环境威胁，例如：
  • 设施绝不设在洪泛区。
  • 在易发地震区域，基础设施必须安置在抗震结构中。
• 保护系统：安装多级防雷和接地系统。

2. 网络安全 (Network Security)

网络安全对于维护互连系统和数据的安全至关重要。

网络安全解决方案

• 防火墙 (Firewalls)：防止未经授权访问连接到互联网的私有网络。
• 网络访问控制 (NAC)：通过只允许授权设备连接到网络，确保终端安全（例如，企业网络可能不允许连接服务包过时的设备）。
• 网络分段 (Network Segmentation)：在网络内创建虚拟局域网 (VLAN) 或隔离区，以便根据不同资产所需的安全级别，将资产分隔到单独的隔离区中。
• 安全协议：确保攻击者无法窃听传输中的数据。
• 入侵检测和防御系统 (IDS/IPS)：检查传入流量，以发现入侵企图和漏洞。

3. 应用安全 (Application Security)

应用安全对于保护客户数据隐私以及确保应用快速响应至关重要。

⚠️ 核心原则：安全需要内置于应用的底层基础中，以防止其他应用和服务引入漏洞。

安全工程实践

遵循以下安全工程实践可以确保应用的安全：

• 威胁建模 (Threat Modeling)：识别与应用相关的相对弱点和攻击模式。
• 安全设计 (Secure Design)：减轻风险。
• 安全编码指南和实践 (Secure Coding Guides and Practices)：防止漏洞。
• 安全测试 (Security Testing)：在应用部署前修复问题，并验证其没有已知的安全问题。

4. 数据安全 (Data Security)

数据要么处于静止状态（在存储中），要么处于传输状态（在系统、应用、服务和工作负载之间移动）。无论是静止还是运动状态，数据都需要受到保护。

访问控制

数据安全的首要控制措施之一是通过身份验证 (Authentication) 和授权 (Authorization) 系统来启用数据访问：

• 身份验证：验证您声称的身份，通过使用密码、令牌、生物识别技术或它们的组合来实现。
• 授权：确保用户基于其角色及其分配的权限来访问信息。

数据保护机制

---

实时监控与合规

• 主动监控：主动监控、跟踪和及时应对安全违规行为至关重要。
• 端到端可见性：这需要企业范围内的安全流程和工具的端到端可见性和集成。
• 安全监控与情报系统：创建完整的审计历史记录，用于分类和合规目的，并提供报告和警报，帮助企业及时应对安全违规行为。

企业安全政策

每个企业都需要制定企业级的安全政策，确保业务、IT 和所有利益相关者通过人员、政策、流程、系统和工具共同实现安全目标。