云安全实用指南--第2章数据资产管理与保护

资产管理分为两种类型:

- 数据资产管理(data asset management)
    - 客户姓名/地址/信用卡号
    - 访问这些数据的凭证
 - 云资产管理(cloud asset management)
    - 服务器/容器等计算资源
    - 对象存储及块存储等存储资源
    - 数据库/消息队列等实例

## 2.1 数据鉴别与分类
CIA triad(三要素):

- 机密性(confidentiality)
 - 完整性(integrity)
 - 可用性(availability)

资源有限，对各类数据排个优先级

## 2.2 示例数据分类等级

- low
    - 即使公开，带给公司的影响也非常小
 - moderate
    - 此类数据只有在需要知道时才会公布(need-to-know)
 - high
    - 一旦泄露就会给公司造成严重损失

---

**tips:**

- 法律和行业条例能有效规定你如何对信息进行分类。GDPR将个人数据归类为**“中”**
 - [Amazon Macie](https://amazonaws-china.com/cn/macie/)能帮你发现S3数据桶中的敏感数据(**机器学习/模式匹配**)
 - [Google Cloud Data Loss Prevention API](https://cloud.google.com/dlp/docs/reference/rest/)(云DLP帮你分类或者脱敏数据)

---

## 2.3 相关行业或监管要求

- 欧盟GDPR(任何能够特殊标识符就被直接或间接识别的自然人信息)
 - 联邦信息安全管理法案/联邦信息和信息系统安全分类(按照**FIPS-199**进行分类分级)
 - 全球支付卡行业数据安全标准(涉及信用卡信息)
 - 美国健康保险便利和责任法案PHI

## 2.4 云中的数据资产管理

可以利用云提供商的相应工具对存储位置建立详细的清单，或者利用云服务商的扫描工具，尝试分类出重要数据的位置。
 
 
## 2.5 给云资源打标签

创建一个标签列表，每个标签附上使用说明，让大家知道应该何时使用这些标签。

- 标签适配各种云
 - 巡检服务，纠正打标签的错误

## 2.6 在云中保护数据
(1)令牌化(例子:使用这些代码代替零售商记录中的信用卡号码)
(2)加密(encryption)
数据可以分为三种状态:

- 传输中(in motion,正在通过网络传输)
 - 使用中(in use,正在计算机CPU中接受处理或停留在内存中)
 - 已落盘(at rest,已位于持久存储中，例如磁盘)
 
密钥管理:
(1)KMS磁盘问题，磁盘可以恢复数据
(2)密钥加密密钥/数据加密密钥
(3)加密擦除，加密后丢弃密钥

---

>**使用中的数据加密:**
 支持内存加密的平台: Intel SGX/AMD SME/IBM Z Pervasive Encryption

>**对已落盘的数据加密：**
引申问题 秘钥管理(硬件安全模块:Cloud HSM,成本较高)

---

信息安全从业人员^_^

导航

最近发表

友情链接