趁著國慶假期閑暇之余，進(jìn)行了這階段的總結(jié)梳理。也希望各位小伙伴能夠和我多多交流，多提寶貴意見。那么，按照標(biāo)準(zhǔn)內(nèi)容及數(shù)據(jù)安全生命周期的階段，今天介紹DSMM另一階段的具體內(nèi)容——數(shù)據(jù)存儲安全。
一、背景
在開篇交流一文中介紹了DSMM針對數(shù)據(jù)安全不同生命周期提出了不同的安全要求，數(shù)據(jù)安全生命周期分為采集、傳輸、存儲、處理、交換、銷毀。那么今天聊的重點(diǎn)內(nèi)容就是數(shù)據(jù)存儲安全的相關(guān)要求和實(shí)現(xiàn)目標(biāo)。
我們知道DSMM分為5個成熟度等級分別為：非正式執(zhí)行、計劃跟蹤、充分定義、量化控制、持續(xù)優(yōu)化;安全能力的維度包括組織建設(shè)、制度流程、技術(shù)工具、人員能力。我們在落地執(zhí)行的時候一般按照等級3即充分定義級進(jìn)行相關(guān)的工作，因?yàn)樵诔浞侄x級里面完整的包含了安全能力維度的四個方面，而等級1和等級2是沒有覆蓋完全的，至于等級4和等級5就是進(jìn)行一些量化細(xì)化和持續(xù)改進(jìn)的，可以在DSMM體系建設(shè)完成后進(jìn)行拔高。每個過程域都是按照這樣的思路進(jìn)行要求的，所以接下來介紹的數(shù)據(jù)存儲安全的各過程域都是按照這個思路進(jìn)行建設(shè)的。
二、定義
數(shù)據(jù)存儲安全是數(shù)據(jù)中心安全和組織安全的一部分，這是數(shù)據(jù)安全重要的階段，也是數(shù)據(jù)完整性、保密性和可用性三個方面都涉及的過程，所以該階段的重要性不言而喻。該過程包含三個過程域，分別為：存儲介質(zhì)安全、邏輯存儲安全、數(shù)據(jù)備份和恢復(fù)。
2.1存儲介質(zhì)安全
官方描述為針對組織機(jī)構(gòu)內(nèi)需要對數(shù)據(jù)存儲介質(zhì)進(jìn)行訪問和使用的場景，提供有效的技術(shù)和管理手段，防止對介質(zhì)的不當(dāng)使用而可能引發(fā)的數(shù)據(jù)泄露風(fēng)險。
數(shù)據(jù)存儲在介質(zhì)上，比如物理實(shí)體介質(zhì)(磁盤、硬盤)，虛擬存儲介質(zhì)(容器、虛擬盤)等，對介質(zhì)的不當(dāng)使用及其容易引發(fā)數(shù)據(jù)泄露風(fēng)險，此安全域更加注重物理安全層面的數(shù)據(jù)保護(hù)。
DSMM標(biāo)準(zhǔn)在充分定義級要求如下：
組織建設(shè)：
組織機(jī)構(gòu)設(shè)立統(tǒng)一負(fù)責(zé)存儲介質(zhì)使用管理的崗位和人員。
在DSMM的要求中這個幾乎都是一樣的，每個過程域都需要指定專人和專崗負(fù)責(zé)該項工作，并能夠勝任此工作。在實(shí)際工作中，可能所有的過程域在這個維度上都是同樣的一個或多個人，可以單獨(dú)任命，也可以在相應(yīng)的制度章節(jié)中進(jìn)行說明。
制度流程：
制定存儲介質(zhì)訪問和使用安全策略和管理規(guī)范，建立介質(zhì)使用的審批和記錄流程。
建立購買或存儲介質(zhì)的規(guī)范流程，要求通過可信渠道購買或獲取存儲介質(zhì)，并針對各類存儲介質(zhì)建立標(biāo)準(zhǔn)的存儲介質(zhì)凈化規(guī)程。
對存儲介質(zhì)進(jìn)行標(biāo)記，明確介質(zhì)存儲的數(shù)據(jù)對象。
對存儲介質(zhì)進(jìn)行常規(guī)和隨機(jī)檢查流程，確保存儲介質(zhì)的使用符合機(jī)構(gòu)公布的關(guān)于介質(zhì)使用的規(guī)范。
技術(shù)工具：
組織機(jī)構(gòu)采取有效的介質(zhì)凈化工具對存儲介質(zhì)進(jìn)行凈化處理。
對介質(zhì)訪問和使用行為進(jìn)行記錄和審計。
人員能力：
負(fù)責(zé)該項工作的人員熟悉介質(zhì)使用的相關(guān)合規(guī)要求，熟悉不同存儲介質(zhì)訪問和使用的差異性，能夠主動根據(jù)政策變化更新管理要求。
以下是在存儲介質(zhì)安全過程中具體落地應(yīng)該重點(diǎn)關(guān)注的內(nèi)容。
1.明確組織機(jī)構(gòu)對數(shù)據(jù)存儲介質(zhì)進(jìn)行訪問和使用的場景，建立存儲介質(zhì)安全管理規(guī)定/規(guī)范，明確存儲介質(zhì)和分類的定義，常見存儲介質(zhì)為磁帶、磁盤、光盤、內(nèi)存等，依據(jù)數(shù)據(jù)分類分級內(nèi)容確定數(shù)據(jù)存儲介質(zhì)的要求。
2.明確存儲介質(zhì)的采購和和審批要求，建立可信任的渠道，保證存儲介質(zhì)的可靠。
3.對存儲介質(zhì)進(jìn)行標(biāo)記，如分類(可按照類型、材質(zhì)等分類)、標(biāo)簽(對存儲介質(zhì)進(jìn)行打標(biāo)簽處理，明確存儲數(shù)據(jù)的內(nèi)容、歸屬、大小、存儲期限、保密程度等)。
4.明確介質(zhì)的存放環(huán)境管理要求，主要包括存儲的區(qū)域位置、防塵、防潮、防靜電、防盜、分類標(biāo)識、出入庫登記等內(nèi)容。
5.明確存儲介質(zhì)的使用規(guī)范，包括申請單、登記表等一系列訪問控制要求及數(shù)據(jù)清理(永久刪除、暫時刪除等)和銷毀報廢(銷毀方式、銷毀記錄)要求。
6.明確存儲介質(zhì)測試和維修規(guī)范，包括測試存儲硬件的性能、可靠性和容量等以及如何返廠、操作人、時間和場地等內(nèi)容。
7.明確常規(guī)和隨機(jī)審查要求，定期對存儲介質(zhì)進(jìn)行檢查，以防信息丟失。
簡單總結(jié)就是，有專人專職負(fù)責(zé)介質(zhì)安全這件事情，而且熟悉介質(zhì)使用的相關(guān)合規(guī)要求。建立制度規(guī)范包含介質(zhì)的使用審批和記錄流程、購買的可信渠道及初始化(凈化)的相關(guān)規(guī)程、存儲介質(zhì)的分類標(biāo)識標(biāo)記、定期對存儲介質(zhì)進(jìn)行常規(guī)檢查等。提供能夠?qū)橘|(zhì)進(jìn)行凈化的相關(guān)工具和對介質(zhì)進(jìn)行訪問和使用的記錄審計工具。
2.2邏輯存儲安全
官方描述為基于機(jī)構(gòu)內(nèi)部的業(yè)務(wù)特性和數(shù)據(jù)存儲安全要求，建立針對數(shù)據(jù)邏輯存儲、存儲容器和架構(gòu)的有效安全控制。
針對存儲容器和存儲架構(gòu)的安全要求，比如認(rèn)證鑒權(quán)、訪問控制、日志管理、通信舉證、文件防病毒等安全配置，以及安全配置策略，以保證數(shù)據(jù)存儲安全。
DSMM標(biāo)準(zhǔn)在充分定義級要求如下：
組織建設(shè)：
組織結(jié)構(gòu)層面設(shè)立統(tǒng)一負(fù)責(zé)數(shù)據(jù)邏輯存儲安全管理的崗位和人員，負(fù)責(zé)明確整體的數(shù)據(jù)邏輯存儲系統(tǒng)安全管理要求，并推進(jìn)相關(guān)要求的落地實(shí)施。
明確各數(shù)據(jù)邏輯存儲系統(tǒng)的安全管理員，負(fù)責(zé)執(zhí)行數(shù)據(jù)邏輯存儲系統(tǒng)、存儲設(shè)備的安全管理和運(yùn)維工作。
制度流程：
建立數(shù)據(jù)邏輯存儲管理安全規(guī)范和配置規(guī)則，明確各類數(shù)據(jù)存儲系統(tǒng)的賬號權(quán)限管理、訪問控制、日志管理、加密管理、版本升級等方面的要求。
內(nèi)部的數(shù)據(jù)存儲系統(tǒng)在上線前應(yīng)遵循統(tǒng)一的配置要求進(jìn)行有效的安全配置，對使用的外部數(shù)據(jù)存儲系統(tǒng)也應(yīng)進(jìn)行有效的安全配置。
明確數(shù)據(jù)邏輯存儲隔離授權(quán)與操作規(guī)范，確保具備多租戶數(shù)據(jù)存儲安全隔離能力。
技術(shù)工具：
提供數(shù)據(jù)存儲系統(tǒng)配置掃描工具，定期對主要數(shù)據(jù)存儲系統(tǒng)的安全配置進(jìn)行掃描，以保證符合安全基線要求。
利用技術(shù)工具監(jiān)測邏輯存儲系統(tǒng)的數(shù)據(jù)使用規(guī)范性，確保數(shù)據(jù)存儲符合組織機(jī)構(gòu)的相關(guān)安全策略要求。
具備對個人信息、重要數(shù)據(jù)等敏感數(shù)據(jù)的加密存儲能力。
人員能力：
負(fù)責(zé)該項工作的人員熟悉數(shù)據(jù)存儲系統(tǒng)架構(gòu)，并能夠分析出數(shù)據(jù)存儲面臨的安全風(fēng)險，從而能歐保證對各類存儲系統(tǒng)的有效安全防護(hù)。
以下是在邏輯存儲安全管理階段具體落地應(yīng)該重點(diǎn)關(guān)注的內(nèi)容：
1.定義邏輯存儲系統(tǒng)和設(shè)備，建立數(shù)據(jù)邏輯存儲管理安全規(guī)范/制度和配置規(guī)則，明確各類數(shù)據(jù)存儲系統(tǒng)的賬號管理、認(rèn)證鑒權(quán)、權(quán)限管理、日志管理、加密管理、版本升級等安全要求
2.明確數(shù)據(jù)存儲系統(tǒng)的架構(gòu)設(shè)計和安全要求，提出建議的安全架構(gòu)設(shè)計，規(guī)避常見存在安全隱患的架構(gòu)設(shè)計。
3.明確數(shù)據(jù)存儲系統(tǒng)在上線前的安全配置要求并進(jìn)行統(tǒng)一有效的安全配置，同時采用配置掃描工具和漏洞掃描系統(tǒng)對數(shù)據(jù)存儲系統(tǒng)進(jìn)行定期掃描，以保證符合安全基線要求。
4.建立數(shù)據(jù)邏輯存儲隔離授權(quán)與操作規(guī)范，保證多租戶數(shù)據(jù)存儲安全隔離，避免用戶間數(shù)據(jù)未授權(quán)訪問、修改等。
5.建立數(shù)據(jù)存儲系統(tǒng)和設(shè)備的安全管理規(guī)范和操作規(guī)程，包括但不限于標(biāo)準(zhǔn)操作流程、維護(hù)操作流程、應(yīng)急操作流程等。
6.對數(shù)據(jù)存儲系統(tǒng)的日志記錄進(jìn)行采集和分析，識別賬號和訪問權(quán)限，監(jiān)測數(shù)據(jù)使用規(guī)范性和合理性，同時可對發(fā)生的安全事件進(jìn)行分析和溯源。
簡單總結(jié)就是，有專人專崗統(tǒng)一負(fù)責(zé)邏輯存儲安全管理，同時要熟悉了解邏輯存儲安全架構(gòu)和相關(guān)運(yùn)維工作。建立數(shù)據(jù)邏輯存儲安全管理規(guī)范，包含認(rèn)證授權(quán)、賬號和權(quán)限管理、日志管理、加密存儲管理、版本升級、上線前統(tǒng)一安全配置、數(shù)據(jù)隔離等方面的要求。提供相關(guān)工具進(jìn)行配置掃描和漏洞掃描、監(jiān)測數(shù)據(jù)使用規(guī)范性，對重要數(shù)據(jù)進(jìn)行加密的工具或技術(shù)。
2.3數(shù)據(jù)備份和恢復(fù)
官方描述為通過執(zhí)行定期的數(shù)據(jù)備份和恢復(fù)，實(shí)現(xiàn)對存儲數(shù)據(jù)的冗余管理，保護(hù)數(shù)據(jù)的可用性。
備份和恢復(fù)是為了提高信息系統(tǒng)的高可用行和災(zāi)難可恢復(fù)性，在數(shù)據(jù)庫系統(tǒng)崩潰的時候，沒有數(shù)據(jù)庫備份就沒法找到數(shù)據(jù)，保證數(shù)據(jù)可用性是數(shù)據(jù)安全的基礎(chǔ)。
DSMM標(biāo)準(zhǔn)在充分定義級要求如下：
組織建設(shè)：
明確了負(fù)責(zé)組織機(jī)構(gòu)統(tǒng)一的數(shù)據(jù)備份和恢復(fù)管理工作的崗位和人員，負(fù)責(zé)建立相應(yīng)的制度流程并部署相關(guān)的安全措施。
制度流程：
建立數(shù)據(jù)備份與恢復(fù)的策略和管理制度，以滿足數(shù)據(jù)服務(wù)可靠性、可用性等安全目標(biāo)。
建立數(shù)據(jù)備份與恢復(fù)的操作流程，明確定義數(shù)據(jù)備份和恢復(fù)的范圍、頻率、工具、過程、日志記錄規(guī)范、數(shù)據(jù)保存時長等。
建立數(shù)據(jù)備份與恢復(fù)的定期檢查和更新工作程序，包括數(shù)據(jù)副本的更新頻率、保存期限等，確保數(shù)據(jù)副本或備份數(shù)據(jù)的有效性。
依據(jù)數(shù)據(jù)生命周期和業(yè)務(wù)規(guī)范，建立不同階段數(shù)據(jù)歸檔存儲的操作流程。
建立歸檔數(shù)據(jù)的壓縮或加密策略，確保歸檔數(shù)據(jù)存儲空間的有效利用和安全訪問。
建立歸檔數(shù)據(jù)的安全策略和管控措施，確保非授權(quán)用戶不能訪問歸檔數(shù)據(jù)。
識別組織適用的國內(nèi)外法律法規(guī)要求，確保按照法律規(guī)定和監(jiān)管部門的要求對相關(guān)數(shù)據(jù)予以記錄和保存。
制定數(shù)據(jù)存儲時效性管理策略和規(guī)程，明確數(shù)據(jù)分享、存儲、使用和清除的有效期、有效期到期時對數(shù)據(jù)的處理流程、過期存儲數(shù)據(jù)安全的安全管理策略。
建立過期存儲數(shù)據(jù)的安全保護(hù)機(jī)制，對超出有效期的存儲數(shù)據(jù)應(yīng)具備再次獲取數(shù)據(jù)控制者授權(quán)的能力。
技術(shù)工具：
建立數(shù)據(jù)備份與恢復(fù)的統(tǒng)一技術(shù)工具，并將具體的備份策略固化到工具中，保證相關(guān)工作的自動化執(zhí)行。
建立備份和歸檔數(shù)據(jù)安全的技術(shù)手段，包括但不限于對備份和歸檔數(shù)據(jù)的訪問控制、壓縮或加密管理、完整性和可用性管理，確保對備份和歸檔數(shù)據(jù)的安全性、存儲空間的有效利用和安全訪問。
定期地采取必要的技術(shù)措施查驗(yàn)備份和歸檔數(shù)據(jù)完整性和可用性。
建立過期存儲數(shù)據(jù)及其備份數(shù)據(jù)徹底刪除或匿名化的方法和機(jī)制，能夠驗(yàn)證數(shù)據(jù)已被完全消除、無法恢復(fù)或無法識別到個人，并告知數(shù)據(jù)控制者和數(shù)據(jù)使用者。
通過風(fēng)險提示和技術(shù)手段避免非過期數(shù)據(jù)的誤刪除，確保在一定的時間窗口內(nèi)的誤刪除數(shù)據(jù)可以手動恢復(fù)。
確保存儲架構(gòu)具備數(shù)據(jù)存儲跨機(jī)柜或跨機(jī)房容錯部署能力。
人員能力：
負(fù)責(zé)該項工作的人員了解數(shù)據(jù)備份介質(zhì)的性能和相關(guān)數(shù)據(jù)的業(yè)務(wù)特性，能夠確定有效的數(shù)據(jù)備份和恢復(fù)機(jī)制。
負(fù)責(zé)該項工作的人員充分了解數(shù)據(jù)存儲時效性相關(guān)的合規(guī)性要求，并具備基于業(yè)務(wù)場景對留存合規(guī)性要求的解讀能力和落地方案的制定能力。
以下是在數(shù)據(jù)備份與恢復(fù)階段具體落地應(yīng)該重點(diǎn)關(guān)注的內(nèi)容：
1.建立數(shù)據(jù)備份與恢復(fù)的策略和管理制度，以保證數(shù)據(jù)服務(wù)的可靠性和可用性。
2.建立數(shù)據(jù)備份與恢復(fù)的操作規(guī)程，明確定義數(shù)據(jù)備份和恢復(fù)的范圍、頻率、工具、過程、日志記錄規(guī)范、數(shù)據(jù)保存時長等。
3.明確數(shù)據(jù)備份和恢復(fù)的定期檢查和更新工作要求，如數(shù)據(jù)副本的更新頻率、保存期限等，確保數(shù)據(jù)副本或備份數(shù)據(jù)的有效性等。
4.建立備份數(shù)據(jù)的壓縮、完整性校驗(yàn)和加密策略要求，確保備份數(shù)據(jù)存儲空間的有效利用和安全訪問。
5.識別組織適用的國內(nèi)外法律法規(guī)要求，結(jié)合自身業(yè)務(wù)需求，確保按照法律規(guī)定和監(jiān)管部門要求對相關(guān)數(shù)據(jù)予以記錄和保存及滿足備份保存周期要求。
6.建立統(tǒng)一的、自動化執(zhí)行的備份和恢復(fù)工具。
7.對備份數(shù)據(jù)采取安全管理數(shù)據(jù)手段，包括但不限于對備份數(shù)據(jù)的訪問控制、壓縮或加密管理、完整性和可用性管理。
簡單總結(jié)就是，專人專崗負(fù)責(zé)數(shù)據(jù)備份與恢復(fù)，同時具備了解數(shù)據(jù)備份操作業(yè)務(wù)流程和滿足相關(guān)合規(guī)性要求的能力。制定數(shù)據(jù)備份與恢復(fù)的安全管理制度和操作規(guī)范，包含備份范圍、頻率、工具、過程、日志記錄、保存時長、恢復(fù)測試流程、訪問權(quán)限設(shè)定、有效期保護(hù)、異地容災(zāi)等各項內(nèi)容。提供數(shù)據(jù)備份和恢復(fù)的自動化工具和數(shù)據(jù)加密、完整性校驗(yàn)的工具及技術(shù)手段。
三、總結(jié)
DSMM之?dāng)?shù)據(jù)存儲安全其實(shí)就是為了保證數(shù)據(jù)在物理層面和邏輯層面的存儲安全，主要的目標(biāo)就是實(shí)現(xiàn)數(shù)據(jù)加密、完整性和高可用，實(shí)現(xiàn)數(shù)據(jù)由動態(tài)到靜態(tài)的存儲安全。
雖然在文中，很多制度和技術(shù)工具是分開敘述，但是在實(shí)際工作中可能是混在一起的，同時很多具體實(shí)現(xiàn)的部分不僅僅只是應(yīng)用在一個過程域或者一個生命周期階段，甚至可以應(yīng)用在整個生命周期過程中。比如要求對重要或敏感數(shù)據(jù)進(jìn)行加密存儲和完整性校驗(yàn)，在生命周期各階段都適用。對于大多數(shù)單位，這塊工作一般都是運(yùn)維人員負(fù)責(zé)。作為安全人員，我認(rèn)為在數(shù)據(jù)存儲安全方面，更多的是和運(yùn)維同事一起配合完成，可以在現(xiàn)在已有的基礎(chǔ)上進(jìn)行完善和改進(jìn)。無論是在制度規(guī)范方面，還是在工具技術(shù)方面及人員方面，不但要滿足DSMM的相關(guān)要求，也要和運(yùn)維人員的工作相結(jié)合，不然是不能很好的落地的。在這個階段，安全人員應(yīng)該起到的作用是提出要求，并且提供安全方面的能力支撐，讓相關(guān)運(yùn)維同事配合完成。
以上就是DSMM數(shù)據(jù)存儲安全過程的要求以及我們在進(jìn)行實(shí)際落地執(zhí)行過程中的一點(diǎn)心得和體會，希望能夠給有真正有DSMM需求的組織和人員帶來一點(diǎn)兒啟發(fā)，也歡迎大家和我進(jìn)行溝通交流，并給出一些意見，共同將DSMM做的更好。
中企檢測認(rèn)證網(wǎng)提供iso體系認(rèn)證機(jī)構(gòu)查詢，檢驗(yàn)檢測、認(rèn)證認(rèn)可、資質(zhì)資格、計量校準(zhǔn)、知識產(chǎn)權(quán)貫標(biāo)一站式行業(yè)企業(yè)服務(wù)平臺。中企檢測認(rèn)證網(wǎng)為檢測行業(yè)相關(guān)檢驗(yàn)、檢測、認(rèn)證、計量、校準(zhǔn)機(jī)構(gòu)，儀器設(shè)備、耗材、配件、試劑、標(biāo)準(zhǔn)品供應(yīng)商，法規(guī)咨詢、標(biāo)準(zhǔn)服務(wù)、實(shí)驗(yàn)室軟件提供商提供包括品牌宣傳、產(chǎn)品展示、技術(shù)交流、新品推薦等全方位推廣服務(wù)。這個問題就給大家解答到這里了，如還需要了解更多專業(yè)性問題可以撥打中企檢測認(rèn)證網(wǎng)在線客服13550333441。為您提供全面檢測、認(rèn)證、商標(biāo)、專利、知識產(chǎn)權(quán)、版權(quán)法律法規(guī)知識資訊，包括商標(biāo)注冊、食品檢測、第三方檢測機(jī)構(gòu)、網(wǎng)絡(luò)信息技術(shù)檢測、環(huán)境檢測、管理體系認(rèn)證、服務(wù)體系認(rèn)證、產(chǎn)品認(rèn)證、版權(quán)登記、專利申請、知識產(chǎn)權(quán)、檢測法、認(rèn)證標(biāo)準(zhǔn)等信息，中企檢測認(rèn)證網(wǎng)為檢測認(rèn)證商標(biāo)專利從業(yè)者提供多種檢測、認(rèn)證、知識產(chǎn)權(quán)、版權(quán)、商標(biāo)、專利的轉(zhuǎn)讓代理查詢法律法規(guī)，咨詢輔導(dǎo)等知識。
本文內(nèi)容整合網(wǎng)站：百度百科、搜狗百科、360百科、知乎、市場監(jiān)督總局 、國家認(rèn)證認(rèn)可監(jiān)督管理委員會、質(zhì)量認(rèn)證中心
免責(zé)聲明：本文部分內(nèi)容根據(jù)網(wǎng)絡(luò)信息整理，文章版權(quán)歸原作者所有。向原作者致敬！發(fā)布旨在積善利他，如涉及作品內(nèi)容、版權(quán)和其它問題，請跟我們聯(lián)系刪除并致歉！
