數(shù)據(jù)泄漏 CIO如何收?qǐng)?/h1>
2009-04-27 12:20:20AndrewDonoghue
中國(guó)計(jì)算機(jī)報(bào) 2009年31期 關(guān)鍵詞：報(bào)告
Andrew Donoghue
當(dāng)壞消息最終來臨,CIO必須意識(shí)到在最恰當(dāng)?shù)臅r(shí)刻做最恰當(dāng)?shù)氖虑楦匾男孤┠且豢唐?一周的時(shí)間該如何安排?
倫敦,2008年12月11日凌晨5:30,黑莓手機(jī)的振動(dòng)聲打破了清晨的寧?kù)o。沒有任何一個(gè)CIO愿意在這個(gè)時(shí)候聽到這個(gè)聲音,因?yàn)檫@意味著壞消息的來臨。
首席安全官(CSO)為打擾道歉,但可以明顯看出她的激動(dòng)和不安。她剛剛被招來做數(shù)據(jù)審計(jì)的安全顧問吵醒。小組成員昨天晚上加班,在主要的客戶數(shù)據(jù)庫(kù)中發(fā)現(xiàn)了一些異常的數(shù)據(jù)。當(dāng)她結(jié)結(jié)巴巴地說“這可能沒什么”的時(shí)候,首席安全官也不能掩飾她的恐慌。但是你們雙方都知道,如果她真的是這么想,你們現(xiàn)在也不會(huì)這么談話。
自從HM稅收和海關(guān)(HMRC)發(fā)生安全漏洞至今,許多公司都沒能從這些事情中吸取經(jīng)驗(yàn)教訓(xùn)。在HMRC事件后,信息委員會(huì)(ICO)已經(jīng)通過公開、私密和第三組織公布了將近100個(gè)數(shù)據(jù)漏洞。法律公司Browne Jacobsen 的CIO Peter Birley在他的私人CIO博客上說:“數(shù)據(jù)是許多公司的血液,但卻常常沒有受到很好的關(guān)注?！?/p>
雖然公司聲稱這僅僅影響了一小部分客戶,無(wú)論真實(shí)的數(shù)據(jù)是怎樣的,Best Western已經(jīng)承受了損害其品牌的后果。如果其他的公司對(duì)安全數(shù)據(jù)不采取必需的預(yù)防性措施,并且對(duì)數(shù)據(jù)泄露的后果不正確處理,那么,他們也會(huì)面臨一樣的惡果。
不要恐慌。“事實(shí)證明,一個(gè)專業(yè)積極的方法比起躲在一個(gè)小角落里逃避更能保護(hù)你?！必?cái)經(jīng)服務(wù)專家社BDO Stoy Hayward技術(shù)咨詢機(jī)構(gòu)的主管Peter Chada這樣說道。
黃金第一小時(shí)
專家說,在安全數(shù)據(jù)泄露發(fā)生后的黃金第一小時(shí)內(nèi)做影響及結(jié)果的評(píng)估至關(guān)重要。例如,需要推斷出誰(shuí)會(huì)對(duì)這些數(shù)據(jù)感興趣,在個(gè)體和其他方面會(huì)帶來哪些影響。比如說,在最近監(jiān)獄服務(wù)的突發(fā)事件中,如果數(shù)據(jù)落到了罪犯的手中,那么監(jiān)獄官員家人的安全就可能面臨危險(xiǎn)。
Geoff Donson之前是高科技犯罪部的偵探,現(xiàn)在是TelecityGroup數(shù)據(jù)中心的安全經(jīng)理,他問道:“你在發(fā)現(xiàn)了數(shù)據(jù)泄露之后的黃金時(shí)間會(huì)怎么做呢?”
“對(duì)我而言,我會(huì)明確地想知道是什么數(shù)據(jù),因?yàn)槟銜?huì)想知道這已經(jīng)帶來了什么間接的損失。如果找回這些數(shù)據(jù)會(huì)有幫助么?大概不會(huì),但當(dāng)數(shù)據(jù)的性質(zhì)決定了誰(shuí)會(huì)對(duì)其感興趣的時(shí)候,這也有可能。你會(huì)想知道有哪些私人數(shù)據(jù)包括在內(nèi),會(huì)不會(huì)是姓名、地址、詳細(xì)的銀行賬戶信息等。”
在第一小時(shí)如何作出反應(yīng)很大程度上取決于你的準(zhǔn)備和計(jì)劃。優(yōu)秀的公司會(huì)早已想到在這種情景下確切地會(huì)發(fā)生什么,并會(huì)提出臨時(shí)費(fèi)用,立即做出無(wú)差錯(cuò)反應(yīng)。
“成功管理任何突發(fā)事件的關(guān)鍵在于通過已有的和測(cè)試的計(jì)劃確保你始終對(duì)任何可能發(fā)生的事件做好準(zhǔn)備。測(cè)試檢驗(yàn)的價(jià)值實(shí)在是太大了。我們勸告公共部門和機(jī)密部門的客戶:經(jīng)驗(yàn)在于通過測(cè)試,去明顯提高計(jì)劃的質(zhì)量。”信息安全專家活動(dòng)組的顧問負(fù)責(zé)人Neil O'Connor說,“你不會(huì)想去在真正的危機(jī)發(fā)生的第一時(shí)間去測(cè)試計(jì)劃?！?/p>
最初的12小時(shí)
如果你可以確定真正丟失的數(shù)據(jù)是什么,那么泄露的結(jié)果就取決于你的公司是否維護(hù)了一個(gè)詳細(xì)精確的數(shù)據(jù)規(guī)劃,接下來需要找出誰(shuí)有可能訪問過這些數(shù)據(jù),是外部的還是內(nèi)部的,他們會(huì)對(duì)這些數(shù)據(jù)信息作些什么。
“一些與計(jì)算機(jī)相關(guān)的法律問題可能會(huì)出現(xiàn)。你當(dāng)然可以觀看日志。” Donson說,“從任何微軟Windows操作系統(tǒng)的日志都可以看出誰(shuí)是最后一個(gè)訪問這個(gè)數(shù)據(jù)的人。你可以看到此數(shù)據(jù)是否已被復(fù)制,當(dāng)然也能看出是否已被打印?！?/p>
作為IT服務(wù)公司Logica的安全管理顧問,Dave Martin認(rèn)為考慮到最壞的情形并對(duì)反應(yīng)作出相應(yīng)調(diào)整也是很重要的。他說:“在開始調(diào)查一個(gè)突發(fā)事件時(shí),我們必須總是假設(shè)最壞的結(jié)果,我們可能不得不在法庭上為我們的行為辯護(hù)?！?/p>
倘若你的公司不僅想為數(shù)據(jù)泄露起訴,并且可能潛在地面臨自身被訴訟風(fēng)險(xiǎn),那么保存好任何可能的證據(jù)都非常重要?！半S著一個(gè)突發(fā)事件嚴(yán)重性的快速升級(jí),公司必須靠‘冷凍體系來保證證據(jù)被保留。保存證據(jù)則必須由訓(xùn)練有素的計(jì)算機(jī)法庭服務(wù)人員通過非常特別的設(shè)備來處理。” Martin建議。
為了保證數(shù)據(jù)可以被用于法庭分析并最終被法庭采納,保證任何計(jì)算機(jī)和媒介的物理安全,確?！白C據(jù)的連貫性”至關(guān)重要,他解釋道,最早采取的方法是物理鎖上所有的服務(wù)器、計(jì)算機(jī)或者其他的可能與數(shù)據(jù)泄露有關(guān)的硬件。
除了以上的方法,遏制安全漏洞的新聞的擴(kuò)散也很重要。Martin說:“只需要將這項(xiàng)調(diào)查通知一個(gè)或兩個(gè)人,否則你可能會(huì)向一個(gè)罪人泄露秘密,那么他可能去毀壞這些證據(jù)?！?/p>
接下來的24小時(shí)
確定了泄露數(shù)據(jù),接下來面臨的問題就是“這會(huì)對(duì)公司會(huì)帶來什么影響,以及誰(shuí)有可能對(duì)此負(fù)責(zé),是否需要報(bào)告此次事件?！币灰獔?bào)告源于好幾個(gè)因素,并不只是取決于什么樣的數(shù)據(jù)泄露。
“在有保密部門的公司,報(bào)告的事宜始終是一個(gè)問題,因?yàn)榇耸聲?huì)使客戶和股東之間的信任關(guān)系會(huì)丟掉。另一方面,你有義務(wù)去關(guān)注它,如果你弄丟了你所持有的一份個(gè)人數(shù)據(jù),你必須非常迅速地公開它?！?Telecity Group的Donson這樣說。他在許多部門,如國(guó)家高科技犯罪部、國(guó)家犯罪組和計(jì)算機(jī)犯罪部工作了27年時(shí)間,另外在威斯敏斯特大學(xué)還教授計(jì)算機(jī)法學(xué)和信息安全。
Donson說在他的經(jīng)驗(yàn)看來,許多不包括私人數(shù)據(jù)的數(shù)據(jù)泄露并沒有被報(bào)告。他說:“我想有許多數(shù)據(jù)不是私人的,但也沒有去報(bào)告?！?/p>
然而,法律執(zhí)行中介顯然迫切希望公司報(bào)告任何類型的數(shù)據(jù)泄露——不管是不是受到保護(hù)的數(shù)據(jù)——因?yàn)樗鼘?duì)數(shù)據(jù)信息收集流程有極大幫助,Donson這樣認(rèn)為。而且把漏洞報(bào)告給警察也不等于它就公開化了。“我們已經(jīng)簽署了反泄露協(xié)議,所以我們這樣對(duì)人們說:‘報(bào)告給我們吧,即便你不想采取任何行動(dòng)。”Donson說,“如果公司不希望我們采取任何行動(dòng),我們是不會(huì)行動(dòng)的?！?/p>
City法律公司Speechly Bircham LLP的高級(jí)財(cái)產(chǎn)、技術(shù)和商業(yè)運(yùn)營(yíng)的總管Robert Bond說:“這種法律的缺失并不是忽略適時(shí)的犯罪管理實(shí)踐的理由。保險(xiǎn)行業(yè)的領(lǐng)軍人物如Hiscox和AIG都堅(jiān)持認(rèn)為,如果商業(yè)需要保險(xiǎn),數(shù)據(jù)丟失政策和程序就是強(qiáng)制性的。”
一個(gè)星期之后
在最初的滅火工作結(jié)束以后,注意力會(huì)不可避免地轉(zhuǎn)向“什么出問題了”。
并不僅僅是疏忽,許多近期的數(shù)據(jù)泄露事件都源于對(duì)員工培訓(xùn)的基本缺失——回顧HMRC事件得出的結(jié)論之一?！拔覀円淮斡忠淮蔚匕l(fā)現(xiàn)員工無(wú)能力處理機(jī)密文件。這說明不是技術(shù)而是人的原因產(chǎn)生了錯(cuò)誤?！?Firebrand培訓(xùn)的安全總管Richard Millett說道。
除了培訓(xùn),公司需要思考保證IT安全的其他基本方法,并考慮發(fā)展防邊緣化。例如Jericho論壇這樣的CSO團(tuán)體所支持的方法基于這樣的考慮:不是試圖把公司的IT資產(chǎn)都保護(hù)起來,而是關(guān)注保護(hù)最重要的元素。
“防邊緣化策略能讓我們朝著業(yè)務(wù)運(yùn)轉(zhuǎn)的方向適應(yīng)安全機(jī)制,而不是扔出許多條條框框。”渣打銀行的信息安全總管兼Jericho論壇成員John Meakin說。
然而,所有的專家都一致認(rèn)為,最好的方法首先是讓系統(tǒng)能夠防止數(shù)據(jù)泄露或被竊取。
猜你喜歡
報(bào)告新西部(2022年3期)2022-04-13 22:20:53 UFO目擊報(bào)告小哥白尼(趣味科學(xué))(2020年7期)2020-05-22 06:48:38 寫報(bào)告童話世界(2018年25期)2018-10-10 08:14:52 一圖讀懂十九大報(bào)告浙江共產(chǎn)黨員(2017年11期)2017-11-15 09:22:06 一圖看懂十九大報(bào)告南方人物周刊(2017年32期)2017-10-28 22:48:36 報(bào)告南風(fēng)窗(2016年26期)2016-12-24 21:48:09 體檢報(bào)告未交本人 誰(shuí)擔(dān)責(zé)中國(guó)衛(wèi)生(2016年8期)2016-11-12 13:27:10 報(bào)告南風(fēng)窗(2015年22期)2015-09-10 07:22:44 報(bào)告南風(fēng)窗(2015年14期)2015-09-10 07:22:44 報(bào)告南風(fēng)窗(2015年7期)2015-04-03 01:21:48
Andrew Donoghue
當(dāng)壞消息最終來臨,CIO必須意識(shí)到在最恰當(dāng)?shù)臅r(shí)刻做最恰當(dāng)?shù)氖虑楦匾男孤┠且豢唐?一周的時(shí)間該如何安排?
倫敦,2008年12月11日凌晨5:30,黑莓手機(jī)的振動(dòng)聲打破了清晨的寧?kù)o。沒有任何一個(gè)CIO愿意在這個(gè)時(shí)候聽到這個(gè)聲音,因?yàn)檫@意味著壞消息的來臨。
首席安全官(CSO)為打擾道歉,但可以明顯看出她的激動(dòng)和不安。她剛剛被招來做數(shù)據(jù)審計(jì)的安全顧問吵醒。小組成員昨天晚上加班,在主要的客戶數(shù)據(jù)庫(kù)中發(fā)現(xiàn)了一些異常的數(shù)據(jù)。當(dāng)她結(jié)結(jié)巴巴地說“這可能沒什么”的時(shí)候,首席安全官也不能掩飾她的恐慌。但是你們雙方都知道,如果她真的是這么想,你們現(xiàn)在也不會(huì)這么談話。
自從HM稅收和海關(guān)(HMRC)發(fā)生安全漏洞至今,許多公司都沒能從這些事情中吸取經(jīng)驗(yàn)教訓(xùn)。在HMRC事件后,信息委員會(huì)(ICO)已經(jīng)通過公開、私密和第三組織公布了將近100個(gè)數(shù)據(jù)漏洞。法律公司Browne Jacobsen 的CIO Peter Birley在他的私人CIO博客上說:“數(shù)據(jù)是許多公司的血液,但卻常常沒有受到很好的關(guān)注?！?/p>
雖然公司聲稱這僅僅影響了一小部分客戶,無(wú)論真實(shí)的數(shù)據(jù)是怎樣的,Best Western已經(jīng)承受了損害其品牌的后果。如果其他的公司對(duì)安全數(shù)據(jù)不采取必需的預(yù)防性措施,并且對(duì)數(shù)據(jù)泄露的后果不正確處理,那么,他們也會(huì)面臨一樣的惡果。
不要恐慌。“事實(shí)證明,一個(gè)專業(yè)積極的方法比起躲在一個(gè)小角落里逃避更能保護(hù)你?！必?cái)經(jīng)服務(wù)專家社BDO Stoy Hayward技術(shù)咨詢機(jī)構(gòu)的主管Peter Chada這樣說道。
黃金第一小時(shí)
專家說,在安全數(shù)據(jù)泄露發(fā)生后的黃金第一小時(shí)內(nèi)做影響及結(jié)果的評(píng)估至關(guān)重要。例如,需要推斷出誰(shuí)會(huì)對(duì)這些數(shù)據(jù)感興趣,在個(gè)體和其他方面會(huì)帶來哪些影響。比如說,在最近監(jiān)獄服務(wù)的突發(fā)事件中,如果數(shù)據(jù)落到了罪犯的手中,那么監(jiān)獄官員家人的安全就可能面臨危險(xiǎn)。
Geoff Donson之前是高科技犯罪部的偵探,現(xiàn)在是TelecityGroup數(shù)據(jù)中心的安全經(jīng)理,他問道:“你在發(fā)現(xiàn)了數(shù)據(jù)泄露之后的黃金時(shí)間會(huì)怎么做呢?”
“對(duì)我而言,我會(huì)明確地想知道是什么數(shù)據(jù),因?yàn)槟銜?huì)想知道這已經(jīng)帶來了什么間接的損失。如果找回這些數(shù)據(jù)會(huì)有幫助么?大概不會(huì),但當(dāng)數(shù)據(jù)的性質(zhì)決定了誰(shuí)會(huì)對(duì)其感興趣的時(shí)候,這也有可能。你會(huì)想知道有哪些私人數(shù)據(jù)包括在內(nèi),會(huì)不會(huì)是姓名、地址、詳細(xì)的銀行賬戶信息等。”
在第一小時(shí)如何作出反應(yīng)很大程度上取決于你的準(zhǔn)備和計(jì)劃。優(yōu)秀的公司會(huì)早已想到在這種情景下確切地會(huì)發(fā)生什么,并會(huì)提出臨時(shí)費(fèi)用,立即做出無(wú)差錯(cuò)反應(yīng)。
“成功管理任何突發(fā)事件的關(guān)鍵在于通過已有的和測(cè)試的計(jì)劃確保你始終對(duì)任何可能發(fā)生的事件做好準(zhǔn)備。測(cè)試檢驗(yàn)的價(jià)值實(shí)在是太大了。我們勸告公共部門和機(jī)密部門的客戶:經(jīng)驗(yàn)在于通過測(cè)試,去明顯提高計(jì)劃的質(zhì)量。”信息安全專家活動(dòng)組的顧問負(fù)責(zé)人Neil O'Connor說,“你不會(huì)想去在真正的危機(jī)發(fā)生的第一時(shí)間去測(cè)試計(jì)劃?！?/p>
最初的12小時(shí)
如果你可以確定真正丟失的數(shù)據(jù)是什么,那么泄露的結(jié)果就取決于你的公司是否維護(hù)了一個(gè)詳細(xì)精確的數(shù)據(jù)規(guī)劃,接下來需要找出誰(shuí)有可能訪問過這些數(shù)據(jù),是外部的還是內(nèi)部的,他們會(huì)對(duì)這些數(shù)據(jù)信息作些什么。
“一些與計(jì)算機(jī)相關(guān)的法律問題可能會(huì)出現(xiàn)。你當(dāng)然可以觀看日志。” Donson說,“從任何微軟Windows操作系統(tǒng)的日志都可以看出誰(shuí)是最后一個(gè)訪問這個(gè)數(shù)據(jù)的人。你可以看到此數(shù)據(jù)是否已被復(fù)制,當(dāng)然也能看出是否已被打印?！?/p>
作為IT服務(wù)公司Logica的安全管理顧問,Dave Martin認(rèn)為考慮到最壞的情形并對(duì)反應(yīng)作出相應(yīng)調(diào)整也是很重要的。他說:“在開始調(diào)查一個(gè)突發(fā)事件時(shí),我們必須總是假設(shè)最壞的結(jié)果,我們可能不得不在法庭上為我們的行為辯護(hù)?！?/p>
倘若你的公司不僅想為數(shù)據(jù)泄露起訴,并且可能潛在地面臨自身被訴訟風(fēng)險(xiǎn),那么保存好任何可能的證據(jù)都非常重要?！半S著一個(gè)突發(fā)事件嚴(yán)重性的快速升級(jí),公司必須靠‘冷凍體系來保證證據(jù)被保留。保存證據(jù)則必須由訓(xùn)練有素的計(jì)算機(jī)法庭服務(wù)人員通過非常特別的設(shè)備來處理。” Martin建議。
為了保證數(shù)據(jù)可以被用于法庭分析并最終被法庭采納,保證任何計(jì)算機(jī)和媒介的物理安全,確?！白C據(jù)的連貫性”至關(guān)重要,他解釋道,最早采取的方法是物理鎖上所有的服務(wù)器、計(jì)算機(jī)或者其他的可能與數(shù)據(jù)泄露有關(guān)的硬件。
除了以上的方法,遏制安全漏洞的新聞的擴(kuò)散也很重要。Martin說:“只需要將這項(xiàng)調(diào)查通知一個(gè)或兩個(gè)人,否則你可能會(huì)向一個(gè)罪人泄露秘密,那么他可能去毀壞這些證據(jù)?！?/p>
接下來的24小時(shí)
確定了泄露數(shù)據(jù),接下來面臨的問題就是“這會(huì)對(duì)公司會(huì)帶來什么影響,以及誰(shuí)有可能對(duì)此負(fù)責(zé),是否需要報(bào)告此次事件?！币灰獔?bào)告源于好幾個(gè)因素,并不只是取決于什么樣的數(shù)據(jù)泄露。
“在有保密部門的公司,報(bào)告的事宜始終是一個(gè)問題,因?yàn)榇耸聲?huì)使客戶和股東之間的信任關(guān)系會(huì)丟掉。另一方面,你有義務(wù)去關(guān)注它,如果你弄丟了你所持有的一份個(gè)人數(shù)據(jù),你必須非常迅速地公開它?！?Telecity Group的Donson這樣說。他在許多部門,如國(guó)家高科技犯罪部、國(guó)家犯罪組和計(jì)算機(jī)犯罪部工作了27年時(shí)間,另外在威斯敏斯特大學(xué)還教授計(jì)算機(jī)法學(xué)和信息安全。
Donson說在他的經(jīng)驗(yàn)看來,許多不包括私人數(shù)據(jù)的數(shù)據(jù)泄露并沒有被報(bào)告。他說:“我想有許多數(shù)據(jù)不是私人的,但也沒有去報(bào)告?！?/p>
然而,法律執(zhí)行中介顯然迫切希望公司報(bào)告任何類型的數(shù)據(jù)泄露——不管是不是受到保護(hù)的數(shù)據(jù)——因?yàn)樗鼘?duì)數(shù)據(jù)信息收集流程有極大幫助,Donson這樣認(rèn)為。而且把漏洞報(bào)告給警察也不等于它就公開化了。“我們已經(jīng)簽署了反泄露協(xié)議,所以我們這樣對(duì)人們說:‘報(bào)告給我們吧,即便你不想采取任何行動(dòng)。”Donson說,“如果公司不希望我們采取任何行動(dòng),我們是不會(huì)行動(dòng)的?！?/p>
City法律公司Speechly Bircham LLP的高級(jí)財(cái)產(chǎn)、技術(shù)和商業(yè)運(yùn)營(yíng)的總管Robert Bond說:“這種法律的缺失并不是忽略適時(shí)的犯罪管理實(shí)踐的理由。保險(xiǎn)行業(yè)的領(lǐng)軍人物如Hiscox和AIG都堅(jiān)持認(rèn)為,如果商業(yè)需要保險(xiǎn),數(shù)據(jù)丟失政策和程序就是強(qiáng)制性的。”
一個(gè)星期之后
在最初的滅火工作結(jié)束以后,注意力會(huì)不可避免地轉(zhuǎn)向“什么出問題了”。
并不僅僅是疏忽,許多近期的數(shù)據(jù)泄露事件都源于對(duì)員工培訓(xùn)的基本缺失——回顧HMRC事件得出的結(jié)論之一?！拔覀円淮斡忠淮蔚匕l(fā)現(xiàn)員工無(wú)能力處理機(jī)密文件。這說明不是技術(shù)而是人的原因產(chǎn)生了錯(cuò)誤?！?Firebrand培訓(xùn)的安全總管Richard Millett說道。
除了培訓(xùn),公司需要思考保證IT安全的其他基本方法,并考慮發(fā)展防邊緣化。例如Jericho論壇這樣的CSO團(tuán)體所支持的方法基于這樣的考慮:不是試圖把公司的IT資產(chǎn)都保護(hù)起來,而是關(guān)注保護(hù)最重要的元素。
“防邊緣化策略能讓我們朝著業(yè)務(wù)運(yùn)轉(zhuǎn)的方向適應(yīng)安全機(jī)制,而不是扔出許多條條框框。”渣打銀行的信息安全總管兼Jericho論壇成員John Meakin說。
然而,所有的專家都一致認(rèn)為,最好的方法首先是讓系統(tǒng)能夠防止數(shù)據(jù)泄露或被竊取。
猜你喜歡
新西部(2022年3期)2022-04-13 22:20:53
小哥白尼(趣味科學(xué))(2020年7期)2020-05-22 06:48:38
童話世界(2018年25期)2018-10-10 08:14:52
浙江共產(chǎn)黨員(2017年11期)2017-11-15 09:22:06
南方人物周刊(2017年32期)2017-10-28 22:48:36
南風(fēng)窗(2016年26期)2016-12-24 21:48:09
中國(guó)衛(wèi)生(2016年8期)2016-11-12 13:27:10
南風(fēng)窗(2015年22期)2015-09-10 07:22:44
南風(fēng)窗(2015年14期)2015-09-10 07:22:44
南風(fēng)窗(2015年7期)2015-04-03 01:21:48
