數據泄漏風險：不只是內部威脅
在近幾年，幾乎所有企業，無論行業、規模或者類型，都將大部分數據保護力量放在“內部威脅”上，也就是，那些已經具有訪問權限的員工或者臨時雇員，他們可以誤用或者濫用這些企業給予的特權。這確實是事實，內部威脅需要加以解決和得到重視，但是似乎很多企業太過于關注內部威脅，而根本無視于企業外部的風險。
這里需要考慮的問題時：“自主地發送到外部的關鍵數據資產?”
例如，銀行需要與審計員、監管機構、供應商以及合作伙伴共享信息，與這些外部阻止相關的數據傳輸絕對是影響持續經營的關鍵因素。然而，這種信息共享同時也是相當危險的活動，數據丟失的幾率非常高，如果沒有適當控制的話，將對銀行的聲譽產生很大的負面影響。
信息共享的必要性和數據傳輸的載體和形式的增加，需要考慮的要點包括以下：
必須考慮威脅
什么或者誰讓數據處于危險之中?
當數據從企業環境流到外部環境時，數據將受到各種類型的威脅，包括傳輸過程中可能遇到的中間人攻擊，以及存儲在第三方網絡中時的社會工程學攻擊等。
應該考慮的可能遇到的風險
上述的威脅將對企業的關鍵數據資產造成嚴重威脅，這些風險無疑將造成數據丟失或者保密性破壞。如果公司沒有適當的數據傳輸控制，例如TLS、SSL或者sFTP，中間人威脅將乘機竊取關鍵數據。
這種損失將對企業造成嚴重影響，包括收入損失、負面影響、恢復成本、客戶通知費用和失去客戶信任
必須部署適當的安全控制來解決這些威脅和降低風險
需要考慮部署的控制不僅僅是與電子數據保護有關的控制，例如軟件/硬件加密
這超越了技術的范疇，上升到社交、管理、運營和過程控制，以避免社會工程序攻擊，并確保部署了其他保護因素，例如密碼政策、用戶訪問/權利控制和數據保護意識活動等。
一旦企業信息離開內部環境，你部署的大部分控制都失效了。數據現在位于第三方基礎設施，依賴于第三方的數據安全控制和程序。這不只是關于數據傳輸到第三方過程中的加密，而是關于數據在其整個生命周期進行保護的問題。
以下相關問題可以幫助確保對外部數據流的適當控制：
與接收數據的第三方具有適當的保密協議或者不披露協議?
數據如何被傳輸到這些外部合作伙伴?對于電子傳輸是否有適當的加密(例如SSL、PGP、TLS)以及媒介傳輸具有充足的物理控制(例如加密磁帶、安全車)?
當數據存儲在第三方或者在第三方處理時，會有多少人會訪問你的數據?是哪些人?
你是否知道第三方對只限制環境內有限的必要的人來訪問你的數據的程序?
對于企業外部的人(例如第三方的合作伙伴或者供應商，也就是，你的合作伙伴的合作伙伴)的訪問權限控制時怎樣?第三方是否會審查外部承包商、供應商的安全控制以確保傳輸給他們的數據將會得到很好的控制?
第三方的服務器和防火墻如何?
外部第三方的通信機房和數據中心是否部署了適當的物理控制，包括適當的徽章訪問和環境因素等?
接收數據的第三方是否部署了技術和過程控制以應對和調查數據丟失事件?
部署了哪些技術和過程控制來防止數據從第三方的便攜式媒體、移動設備和電子郵件通信的數據泄漏?
第三方是否進行了內部/外部審計(例如SAS-70、ISO27001認證)?
存儲在第三方的數據當不再需要時，將如何被銷毀或者歸還?
第三方是否有意識培訓和教育計劃以確保其員工遵守協議保護其客戶的敏感信息?
很顯然你對業務合作伙伴的質疑必須從技術、運營和過程控制方面來考慮，讓我們來從一個現實世界實例來說明為什么：
一名銀行業務經理有一天決定通過文本郵件的形式將公司的稅務數據發送給他們的注冊會計師，而不是通過sFTP或者PGP加密電子郵件傳輸。結果是該電子郵件被注冊會計師的ISP電子郵件服務器攔截，注冊會計師方面的電子郵件ISP服務器的惡意管理員看到這封電子郵件具有重要數據，并使用這些數據得到120萬美元。
Open Security Foundation的2011年(到目前為止)DataLossDB數據丟失統計數據顯示：“平均來看，涉及第三方的數據丟失事件比那些不涉及第三方的事件造成的數據丟失損失更大。這可能是因為第三方處理的數據類型的結果，在企業間傳輸數據的過程，或者其他假設，這種趨勢很令人擔憂。”
最后，對于數據而言，最具風險的環境就是沒有受擁有這些數據的企業所控制。具有訪問權限和意圖的內部人員可能造成嚴重破壞，但是數據在企業內部，企業應該能夠部署適當的技術、程序和操作/人員控制來保護自己的數據。當數據離開我們信任的環境時，只有盡可能的借助審計、審訊和測試來緩解風險。
【編輯推薦】
