數據保護法規只會越來越嚴格。你需要確保始終將顧客的最大利益放在心上。

[[273044]]

自從歐盟的《通用數據保護條例》生效以來，加州和紐約分別成功地通過了《加州消費者隱私法案》(California Consumer Privacy Act, CCPA) 和《阻止黑客行為和改進電子數據安全法案》(Stop Hacks and Improve Electronic Data Security, SHIELD)。目前還有 12 個州正在申請批準數據保護立法，預計這個數字還會增長。

隨著美國各地出臺更多不同的法案，企業為了避免高昂的監管罰款需要采取的措施只會變得越來越復雜。這些問題得到了答案，你晚上就會睡得好一點。那些有應對攻擊的計劃或者已經在執行這些指導方針的人應該抱有信心，他們的企業將客戶的最佳利益放在心上。

1. 你是否將 “隱私和安全設計” 融合到了你的環境中?

通過設計實現隱私和安全性，是一種一開始就主動整合隱私和數據保護的方法。這種方法遵循七個原則，以在 IT 和業務環境中逐步實現目標。在特定的技術，操作，體系結構和網絡的設計過程中，盡早倡導隱私和安全性將確保你在整個設計生命周期中構建成熟的流程。

2. 敏感數據是否在傳輸和靜止期間被加密?

加密密鑰對于保護數據處理和存儲的數據至關重要。密鑰管理的級別應該與這些密鑰所服務的關鍵功能的級別相對應。我強烈建議定期更新加密密鑰，并與數據分開存儲。本質上數據總在移動，當它跨邊界移動時，保護這些信息需要對其靜止和傳輸過程進行強加密。

3. 是否需要根據需要訪問數據?

數據始終應該被劃分為敏感數據和非敏感數據，并且只能由有合法業務理由的授權員工訪問。采用基于角色的權限和 “根據需要” 進行限制將有助于保護你的數據。強烈建議始終使用具有多因素身份驗證的非共享用戶名和密碼，這將會驗證每個用戶。此外，每年至少應該進行一次訪問審查;這將確保為正確的人提供合適的訪問權限。

4. 是否有災難恢復和備份環境?

在當今的數字世界中，擁有災難恢復 (DR) 和備份環境是必須的。DR 和業務連續性 (BC) 計劃必須到位，所有相關人員都應該被告知他們的角色。DR 和 BC 計劃應該每年進行一次測試，然后總結經驗教訓。將生產和備份位置分開幾百英里能在發生自然災害或人為災難時提高數據的安全性。

5. 是否進行了漏洞、風險、滲透和其他審計評估?

評估工作應該貫穿全年。你的團隊應該針對環境中的信息系統和操作區域進行評估。對所有資產(內部和外部)進行這些評估非常重要。你的分析應該分五個步驟完成：

• 識別資產并確定其優先順序
• 識別威脅
• 識別漏洞
• 分析控制

了解事件發生的可能性，并了解該威脅可能對你的系統造成的影響。

6. 是否有刪除或銷毀數據的流程?

無論是誰在處理你的數據，都應該有一個數據保留計劃。制定計劃將確保你在刪除一定時間范圍內的數據。在制定數據保留計劃并了解可以刪除哪些內容之后，應該遵循正確刪除和銷毀數據的安全最佳實踐。遵循行業標準，如國家標準與技術協會 (NIST)，將確保你的員工知道如何以及何時銷毀和刪除數據。任何符合 NIST 800-88 數據清理指南的方法都應該被獲準使用。

7. 你是否建立了事件響應團隊和數據泄漏計劃?

你的企業應該有一個強大的事件響應 (IR) 和數據泄漏計劃，并且應該每年進行測試。IR團隊的職責應該是管理IR流程，防范攻擊，并在事件發生時防止進一步的損失發生，為了防止攻擊再次發生做出改進，并報告任何安全事件的結果。

你的內部計劃應基于行業領導者制定，并涵蓋以下三個階段：

• 第一階段：檢測、評估和分類。
• 第二階段：遏制、收集證據、分析和調查以及補救。
• 第三階段：修復、恢復和反思。必須及時通知客戶，這應該在你的協議中詳細說明。

8. 你在記錄安全事件嗎?

應該啟用日志功能，以便為所有對敏感數據的訪問建立足夠的審計跟蹤。日志記錄也應該在應用程序級別執行。應該實現自動審計跟蹤來重構系統事件，并且應該保護它們不被任何方式所更改。應該采用文件完整性監控來確保所有客戶數據的機密性、完整性和可用性。

9. 你在持續更新隱私政策嗎?

你的企業需要預先了解它正在收集的信息。你應該嚴格遵守最新的安全和隱私規定，以避免任何法律問題。如果你的組織機構正在收集有關客戶的任何數據(例如，IP 地址、位置等)，那么你的隱私策略必須對所有客戶都適用。你的隱私政策應該考慮到所有主要的利益相關者、法律團隊、營銷團隊和安全性問題。

【本文是51CTO專欄作者“李少鵬”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】

戳這里，看該作者更多好文