企业数据安全治理实践分享

苏振波OPPO数据安全专家 2023年5月 2.数据安全总体框架 3.数据安全关键技术和流程 4.总结 数据安全定义及范围 1.数据：任何以电子或者其他方式对信息的记录。从承载形态上可分为电子数据和非电子数据，从服务对象上可分为个人信息和企业数据等。2.安全：构建信息系统保护能力，使得信息系统免受偶然或恶意原因而遭到破坏、更改、泄露，确保系统连续可靠正常地运行。3.数据安全：通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。 数据安全建设的重要性 1.员工权限过大，有意无意的删除企业重要业务数据而导致的业务中断、客户投诉和客户丢失带来损失成本。2.缺乏有效的数据安全保护措施而导致外部恶意攻击撞库、拖库、获取大量敏感数据带来的合规和业务损失成本。3.不合规、不合法的个人数据处理和利用导致的合规风险和巨大的监管处罚成本和业务损失成本。 •恶意或犯罪攻击（51%）•人为操作失误（24%）•系统设计缺陷（25%） •435/392万美金•单条数据成本150美金•识别和遏制用时：277/279天 数据泄露平均成本 国外法规对于数据安全保护的要求 欧盟GDPR第32条处理的安全 1．控制者和处理者应当适当技术与保障措施，以便具备应对安全风险的安全能力： (a)个人数据的匿名化和加密； (b)保持处理系统与服务的保密性、公正性、有效性以及重新恢复的能力；(c)在遭受物理性或技术性事件的情形中，有能力恢复对个人数据的获取与访问；(d)具有为保证处理安全而常规性地测试、评估与评价技术性与组织性手段有效性的流程。2．安全评估和保障措施需要覆盖如个人数据传输、储存或处理过程中的意外或非法销毁、丢失、篡改、未经授权的披露或访问。3．控制者和处理者应当采取措施，除非接到控制着的指示或欧盟+法律要求进行处理，任何有权访问个人数据的其他人员都不能够处理个人数据。 美国CCPA&CPRA 1798.100(e) 收集消费者个人信息的企业应根据按照个人信息的性质实施合理的安全程序和做法，以保护个人信息免遭未经授权或非法访问、破坏、使用、修改或披露。 新加坡PDPA 企业应该制定必要的安全措施，以保护个人数据控制是在安全范围内的。安全措施需要可以阻止任何未经授权的访问导致的个人数据被收集、使用或披露。如果企业需要将个人数据转移到海外，例如将数据存储在云盘中，需确保数据传送至的国家可以提供与PDPA同等级别的数据保护。 数据生命周期梳理和风险建模 数据安全治理-分类分级 根据企业业务实际情况，制定数据分类分级规范，落实分级管控策略。 一般个人信息-：生日、性别、民族、IP地址、职业、职位、身高、体重、运动信息以及软件安装列表、IMEI、MAC地址等数据；公司业务数据-：业务策略、产品定价、产品统计分析数据、产品运营指标、算法效果等统计信息；经营管理数据-：员工个人电话、个人邮箱、籍贯等员工一般个人信息，以及产品通用运营方案、产品运营信息系-核心项目、产品技术方案、营销活动信息、普通谈判类信息、部分法务类信息、从外部购买用于模型训练的数据、数据标签、自主研发的敏感代码数据等。 一般个人信息-：部分个人常用设备信息OpenID体系中的DUID、OUID、AUID，以及IDFV、UUID等；公司业务数据-：如产品技术信息（发热、耗电、日志等）、产品售前售后服务产生的数据、产品级群体的用户画像与标签；经营管理数据-：员工国际、性别证件类型等一般信息；产品运营信息-非核心项目、部分财务汇总类信息、非涉密项目信息、流程记录类信息、法律合规库等法务相关信息。 数据传输安全要求 数据传输安全，是指通过采取必要措施，确保数据在传输阶段，处于有效保护和合法利用状态，以及具备保障持续安全状态的能力。1.利用加密技术对数据进行加密，保护传输的数据安全； 2.利用身份鉴别技术确认传输节点身份，保证传输的节点安全；3.使用成熟的安全传输协议，保证传输的通道安全；建议用户敏感信息需要通道/内容双加密传输 数据使用合规-脱敏和去标识化 多云场景的数据安全审计 为企业专有云和公有云上的各种关系数据库和NoSQL数据库建立集中且一致的安全保障。细化数据库用户权限，使用审计数据监控用户行为，并提供风险告警和漏洞管理。基于分类分级密级标签，对于业务和人员访问（查询、下载、导出等）敏感数据访问提供安全审计。 数据共享安全要求 2.原则上禁止对外分享敏感数据，特殊业务场景需特殊安全评估，对外分享需遵循最小化原则，非必要明文信息必须脱敏。 3.业务团队应在与第三方签订数据的共享、交互、转让和委托处理合同或协议前，协同安全团队对拟合作第三方进行数据安全能力评估。4.保留与三方分享数据的记录，以供日后追溯，如数据共享日志记录，包括共享的日期、内容、数据情况等，且记录需保留6个月以上。5.涉及对外提供个人信息的，应向用户告知并征得用户同意，对外提供前，应对个人信息进行去标识化或匿名化处理。 软件开发隐私合规 “产品开发阶段落实隐私合规保护要求，强制进行隐私合规测试” 1.产品需求阶段，增加隐私合规评审，产品在个人信息收集与处理、个人数据上报到服务端、敏感权限、隐私政策等方面有变更时，需要进行隐私合规评审，明确了采集个人信息的范围、内容、边界以及采取的安全措施。 2.产品测试阶段，对于安全隐私合规要求进行测试验证，满足安全隐私合规要求的产品才允许发布上线 日志安全要求 服务端日志中需对敏感数据进行脱敏处理。客户端日志打印不能包含明文的敏感数据与错误日志堆栈。 传输用户敏感数据，应对数据本身实施内容加密，个人信息必须脱敏处理。 合规自查 当应用采集了设备/用户的行为信息（如网站浏览记录、软件使用记录与点击记录、行踪轨迹）且上报行为数据时，应不携带原始的个人标识信息个人数据存储要求 非手机端的应用客户端，敏感数据应进行加密存储。绝密数据在服务端应进行加密存储 个人信息使用要求 敏感数据在前端展示应进行掩码处理，如189******88。应用运行期间是否存在将原始个人信息给三方的情况等等… 总结 1.数据安全组织保障，明确的责任分工，数据安全保障能否落地的关键2.数据安全制度流程建设，覆盖数据流动的所有过程，避免关键环节有遗漏。3.数据安全技术保障4.安全责任制，业务需要积极参与数据安全规划的落地和执行5.量化指标考核，促进安全规范要求有效落地6.持续改进和优化，认证、三方评估、内部审计、年度专项 —THANKS— 感谢您的观看