数据泄漏或罚35亿美元 永信至诚数据安全数字风洞提供测试评估解决方案

  美国新能源汽车龙头企业100GB隐私数据被泄漏,或将面临35亿美元罚款  日本某车企泄露200多万车主敏感数据  澳大利亚第二大电信公司遭黑客攻击可能导致多达980万个账

  美国新能源汽车龙头企业100GB隐私数据被泄漏,或将面临35亿美元罚款

  日本某车企泄露200多万车主敏感数据

  澳大利亚第二大电信公司遭黑客攻击可能导致多达980万个账户的信息外泄

  美国某芯片制造商1TB内部敏感数据失窃后遭勒索……

  近年来,各行业数字化不断推进,全球数据总量呈几何式增长,随之而来的是大规模数据泄漏事件层出不穷,为众多政企用户带来了直接经济罚款、核心商业机密被出售、名誉受损等难以挽回的重大损失。

  立足当前数据安全保护现状,永信至诚基于数据安全“数字风洞”在各行业的实践经验认为,维护数据安全要立足业务场景,开展常态化测试评估,以此持续加强对数据生命周期安全风险的全面掌控,降低数据流动带来的不安全感。

  数据安全保障工作困境凸显

  当前,数据泄漏带来的经济成本不断增加。据Ponemon和IBM Security调研报告显示,2022年全球数据泄露事件的平均成本高达435万美元,创下历史新高。这也意味着数据安全体系建设比以往更加紧迫、也更加有必要性。

  目前业界已经有7大类21小类的数据安全产品以及各种解决方案。然而,面对数据信息量的快速增长、数据应用场景规模的不断扩大以及数据安全风险挑战的持续升级,各行业的数据安全保障工作依然面临诸多难题:

  第一,数据涉及收集、存储、使用、加工、传输、提供、公开多个处理活动,不同的环节有侧重的合规要求及风险处理方式,而按照以往的数据安全建设,许多政企采用点状治理体系,即不同环节可能使用不同厂商的不同安全产品,这就不可避免地带来风险盲区,且为整体风险排查增加难度;

  第二,数据安全不同于网络安全工作,数据要素所有者在业务部门,但使用者分散在业务、职能等众多部门,由此增加了数据在各部门的使用及流转,扩大了数据风险隐患和处理难度;

  第三,政企用户员工的数据安全意识水平普遍存在差异,而数据安全涉及产业链众多,安全意识未拉齐也会直接导致数据分级分类偏差大,致使数据安全工作无法在此基础上高效推进,同时也增加了未知的风险暴露面;

  第四,数据安全治理及迭代优化工作成效往往难以科学评价,导致运维工作看不清、摸不着、难衡量。

  测试评估为数据安全保护提供有力支撑

  针对重重困局,数据安全工作又应该如何推进?为了保障业务连续性,又应该如何在常态化运营中发现并消除安全死角?在Ponemon和IBM Security对全球数据泄漏成本进行调查后发现,拥有测试及应急响应团队的企业平均降低266万美元的泄露成本。这也意味着,通过持续地测试评估和风险处置,将有效降低政企用户网络和数据安全风险,对保障网络和数据安全具有积极作用。

  事实上,对于测试评估的基本要求早已在《数据安全法》《网络数据安全管理条例(征求意见稿)》《工业和信息化部等十六部门关于促进数据安全产业发展的指导意见》等数据安全法律法规中有所体现,例如“促进数据安全检测评估”“定期组织开展数据安全宣传教育培训、风险评估”“建立数据安全检测评估体系”等标准要求被多次并重点提及。进一步说明,测试评估已成为风险管理的关键基础环节。

  《数据安全法》

图片1.jpg

图片2.jpg

  国家互联网信息办公室《网络数据安全管理条例(征求意见稿)》

图片3.jpg

  工业和信息化部与国家互联网信息办公室等十六部门《关于促进数据安全产业发展的指导意见》

图片4.jpg

  数据安全“数字风洞”持续助力安全“证无”

  在法律法规的监管要求下,在数据安全持续面临重大威胁的背景下,作为安全测试评估的基础设施,永信至诚数据安全“数字风洞”基于安全“证无”理念,历经军工、公安、金融、电信、电力、医疗、交通等各关键行业实践,已经形成常态化、数字化、周期性的数据安全测试评估解决方案,覆盖数据收集、存储、使用、加工、传输、提供、公开等数据处理活动,助力各行业提高数据安全保障能力,确保实质合规,保障数字健康

  以下将围绕上述数据安全保障工作方面的种种痛点,从数据生命周期管理、数据安全风险控制、数据安全成效评估、数据安全合规四个维度,分享数据安全“数字风洞”解决思路及产品能力。

  1、数据全生命周期测试评估

  数据安全本质上属于“技术+管理”工作,所以更需要建立贯穿业务、制度、流程的安全管理框架,并围绕数据生命周期进行全面风险评估。数据安全“数字风洞”产品内置多个成熟评价模型,可以帮助用户开展数据安全定性定量评估,全面识别信息系统在技术层面和管理层面存在的不足,通过实网系统风险测评、系统脆弱性测评,发现和验证数据安全问题,对风险进行闭环管理,实现数据安全检测工作及漏洞的全生命周期管理。

  同时,针对数据多元主体、多业务交叉的属性,数据安全“数字风洞”更注重针对数据业务系统及防御措施开展策略性验证评估,通过调用测试评估业务引擎子系统完成业务平行仿真场景的构建,覆盖数据采集、传输、存储、处理、交换、销毁全生命周期的风险测评,及时识别设施防御短板,调整策略或优化安全防护体系,为数据安全能力建设、实施和改进提供数字化、流程化和模型化解决方案

  2、人和系统的全方位风险管理

  从安全风险来源分析,数据安全风险包含内、外部风险。其中外部风险包含勒索病毒、国家级攻击等,内部风险包含管理漏洞、人员安全意识缺乏、安全防护能力不足等等,因此也需要通过持续的测试评估不断发现隐蔽风险,从而进行迭代优化。数据安全“数字风洞”搭建了从意识及技能专项测试到入网安全风险评估,再到赛事演练、应急协同演练、实网攻防演练测试评估环境,立足内外部风险因素,体系化持续助力人、系统等核心要素的风险“证无”。

  人员测试评估:依据《网络安全法》《数据安全法》等法规要求,构建涵盖业务场景和实际案例分析场景的测评内容,打造数据安全专业运维人员进行体系化的实战测评环境,为安全意识提升、实战演练、技能考评提供支撑条件。通过教育培训、实践考核、攻防对抗,发现意识和技能短板,掌握专业化的数据安全运维能力。

  业务系统安全测试评估:业务系统的安全测试评估,贯穿于规划、运营及处置的各个阶段。其中,在系统规划阶段,对上线前、上线后的系统和功能进行全面且高效地测试与漏洞挖掘,并模拟真实网络环境的攻击流量进行性能测试,保证新系统能够安全投入实际运行环境;在运营阶段,经过持续性、场景化测试验证,解决新旧结合的数字化系统共同验证风险难题,避免各系统间因融合可能导致的新的溢出业务级风险。同时,通过赛事演练、攻防演练、应急演练等模式,及时发现系统隐患,提升应急处置能力,保护数字系统安全。

  3、可量化安全成效体系建设

  在持续地数据安全测试评估活动中,成果量化是关键衡量指标,一方面,科学地量化体系能够为安全运维人员工作带来激励效应,促进进一步工作成效提升;另一方面,可以为数据安全工作提供待解决项,收敛风险暴露面。数据安全“数字风洞”在测试评估流程中提供多类智能评估模型,结合风洞载荷时光机系统和多循环测评激励升级模式,科学评价数据安全治理成效,并对持续性风险迭代提供数据和平台支持。

  4、实质合规下数据安全治理成果留痕

  确保实质合规是数据体系建设中的必要性工作。近年来,数据安全制度的建立健全,对合规工作提出了更高要求,除了网络安全等级保护、用户个人信息保护等基础性合规要求,数据资产分类分级、数据安全制度流程、数据安全体系架构等也是重点监管内容。

  数据安全“数字风洞”合规测试评估以推动用户数据安全实质合规为导向,构建涵盖人员能力、技术设施、制度流程建设、组织架构完善程度等方面的多套合规体系,动态加载测评指标及评价模型,同时通过合规性管理的信息聚合工具和数字化测评管控平台,记录合规测评全流程,并进行数据归档及分析,为数据安全业务方日常建设、监管方常态化监督以及测评机构第三方评估提供充足信息。

  当前,数据安全保护已经成为全球议题,但安全问题并不是一劳永逸的单线任务,因此越来越多的政企不仅仅通过完善安全边界来加强防御,同时也在不断贴合业务场景,增加安全测试评估、攻防演练等投入,以此降低整体数据安全风险成本。

  作为网络靶场、人才建设领军者和测试评估专业赛道的领跑者,永信至诚将持续结合多年实践经验,以数据安全“数字风洞”为依托,以保障业务连续性为前提,基于安全“证无”理念,为各行业提供数据安全解决方案,助力政企在持续地测试评估中,看清数据安全建设成效和价值,实现数据安全能力建设的跃迁式提升,获得真实的安全感。

热门文章HOT NEWS
网址导航>>
中文科技资讯 科技魔方 高科技网 财经资讯网 汽车点讯 中国财经消费网 高端金融网 祥房网 中国新闻热线 家电资讯网 财经快讯网 中国财经热线网