FreeBuf甲方群话题讨论 | 聊聊企业资产安全管理

admin 2022年4月18日23:04:50评论36 views字数 3305阅读11分1秒阅读模式

资产是企业开展生产经营所需的重要经济物资,其安全的重要性毋庸置疑,不同规模的企业,在保证企业资产的安全时可能需要多方配合与协调,往往涉及多个部门、层级甚至多个时段的监管控制。面对现今资产高度数字化、威胁隐患越来越多的网络环境,越发庞大的资产,安全性也显得越发脆弱,维护好企业资产安全面临着较大挑战。本期话题就围绕企业资产安全管理展开相关讨论:

1.大家的企业资产安全管理目前做的如何?有碰到哪些痛点?

2.如果从数据安全运营角度,对资产识别,尤其是涉敏资产,以哪些方式进行识别效果较好?对其风险的评估应当从哪些方面入手?

3.对数据资产安全治理,除了考虑合规,还可以有哪些需要关注的因素?

FreeBuf甲方群话题讨论 | 聊聊企业资产安全管理

(本文所有ID已做匿名处理)

1.大家的企业资产安全管理目前做的如何?有碰到哪些痛点?

@麦大叔

目前已经有安全团队SOC专门做全网资产管控,平台接入监控。

云上资产,特别是集群、API等云原生新技术资产,相比主机更难管控、难发现、难监控。数据资产,数据量大,处理难度大,合规要求高。

@文艺书生

讨论企业资产安全管理的话,首先需要明确企业资产是什么?

财务方面的资产就是资金和隶属公司所有的物资,行政方面的资产就是办公用品,IT方面的资产就是设备、软硬件。所以,还是要明确这里的资产定义是什么?之前和同事讨论体系建设中关于资产识别的问题,这里的资产定义为所有隶属于企业所有的软件、硬件、系统、资金、办公用品,信息、数据、文档、合同、程序、流程、制度等等。即所有与企业有关联的、所有权为企业的均为企业资产。


不过,上面的定义过于宽泛了,还是聚焦IT资产、制度、软硬件和数据更方便讨论。


目前企业资产安全管理,绝大多数(不低于90%,个人看法)的企业并不重视资产安全管理,亦或者对此没有概念和意识。最常见的痛点就是“这就是一张纸,一条数据,能有什么重要的,能给公司造成损失吗?”此类的员工抱怨和质疑,因此,资产安全管理的核心在于提升企业员工的意识,再辅以规章制度。毕竟使用资产的最终用户就是员工,资产的安全风险大多也来自员工(并非否则技术层面带来的风险,只是认为人的因素更加普遍且更难评估和管理)。

@Keep go

讲道理如果从系统/服务资产识别和确认, 只要能确定定义和特征,技术都能补上去,最大的痛点是负责人更新维护,无论怎么梳理,真正用的时候,最后都是开始拉群找人,组织变更&人员流动太难控制了。

@遇见芳华

资产及资产属性值存在孤岛无法强关联情况(如架构-组件-部署-主机等关联关系)、缺少流程有效优化部门(流程强关联、闭环)。

@浅尝辄止

主要是账外资产不好管理,账内的不用说了,安全措施都比较完备,至少心里有数;账外资产就麻烦多了,因为你自己也不知道,用账外资产的人又不关心安全,极易成为网络安全的盲点,这些账外资产的大部分网络安全措施都是薄弱甚至缺乏的,比如弱口令问题比比皆是,一暴力破解一个准,虽然账外资产可能不是很重要的系统或者设备,但极易成为攻击者的跳板或者通道进入内网,那就相当麻烦。


另外,账内资产的话虽然自己有数,但是数据库、中间件的漏洞一般都不敢打,担心万一因为打补丁业务瘫了,也不敢负责,备份恢复机制一是不确保能正常恢复,再是也的确没有建立起漏洞管理机制,挤压太多漏洞,说白了还是人不够、水平差,为确保业务可用,基本上操作系统、数据库、中间件之类的漏洞都不敢打,除非是级别很高的0day之类的也得看看情况。

2.如果从数据安全运营角度,对资产识别,尤其是涉敏资产,以哪些方式进行识别效果较好?对其风险的评估应当从哪些方面入手?

@文艺书生

从数据安全运营的角度来说,对资产识别应当以数据所有部门为主、安全部门为辅,管理层推动。这样从流程和力度方面会产生较好的效果。至于具体的技术实现,就取决于公司体量、资金和技术实力了。


最简单的,文件分类归档、建立数据围栏、数据标签、访问控制等等,需要结合具体需求和场景来分析。对数据安全的风险评估依然要从业务或数据所有部门入手,数据的价值是为企业创造利润,而业务部门对利润和市场更加敏感,再辅以专业人员的建议。

@Keep go

涉敏资产的标记,也定义和特征的选定,然后做专项后转常规运营,目前除了流量外,主要结合离线库表的清洗,数据血缘等(需要把资产和库表的关联前置梳理)做确认,风险的话,大部分针对的是内部MIS系统,存储和使用都是标准技术要求做限制,目前正在推权限的治理和系统使用行为审计(人是最大的风险)。

@遇见芳华

标准化敏感元数据,数据库架构团队合作输出对应数据标准、提供元标准模板并维护。

@浅尝辄止

我们一般没有分涉敏资产,涉密的好像有,其他的不管是工控系统还是办公系统就是按等保要求去做,现在要求内网/互联网不允许有账外信息资产,就是有WEB登录界面的那种信息系统。一般内网的就找安全厂家的资产探测工具定期扫描发现,互联网侧的也是找安全服务厂家提供相关报告。发现了通报,尽量不用关停,集团管理的也比较严格,目的还是收敛暴露面。

至于再细化的数据安全层面,我们还没做很多工作,这块目前还是由保密管理部门牵头开展,涉密的按国家法律法规、集团保密管理规定执行,涉及敏感信息的还没有全面开展数据分类分级相关工作,我们初步开展过数据泄露防护策略相关的研究工作,部署了一套DLP监测设备,有一些敏感数据的策略模型,但是保护的还是文件,数据层面的还没做到。

在目前数据已作为生产要素以及企业数字化转型的大趋势下,企业敏感数据的分类分级、泄露防护等数据安全工作应该是势在必行的。建议的话还得是企业高层重视,业务数据的ower部门来牵头,保密、科技信息部门配合比较好。

3.对数据资产安全治理,除了考虑合规,还可以有哪些需要关注的因素?

@文艺书生

除了合规,自然是数据资产产生的收益(利润),企业的一切发展需求来自于创造利润。不负责任的说,企业的合规只是为了降低利润风险,某种实际场景下,企业很可能忽略合规带来的风险,而强行推动某些事情


其次就是数据的存储和销毁,避免企业数据资产外泄,造成社会影响和品牌损失。

@Keep go

数据资产安全治理,太过宽泛,具体到对数据治理的话, 围绕的除了合规,就只有防泄密(不是防泄密产品)的内需了,对授权人员的管控需求。

@旧街凉风

数据安全最终目标就是数据不泄密,在猹的理解围绕这个话题大阶段分为三个:数据安全架构建设、数据合规建设、实战驱动审计。


数据架构建设:是实现数据安全的前提,分为三大块考虑:

1.API网关互联网数据安全(目的是不被外网轻易爬走数据。考虑做好统一权限、密钥管理、防篡改技术、接口订阅管理、前端代码混淆等);

2.数字化办公安全(考虑文档加密、明暗水印、监控、文档分级分类、认证授权、零信任大框架等);

3.数据网关平台(需要有大数据部门主导建设人的统一数据作业通道,将数据操作统一到这个平台)。


数据合规建设,二个方面:

1.通道安全(依托数据网关平台收紧作业通道,建立标准制度,统一审批,收紧授权人员等);

2.生命周期安全(采集、传输、存储、处理、销毁等)。


实战驱动审计:

内防:针对数据平台通道、高权限通道(例如堡垒机)监控高敏感字段,数据违规导出,结合桌管形成人员UEBA,建设告警机制,发现违规泄密行为等;

外防:没干也没想好。

@遇见芳华

数据价值(量化)=值多少钱,差异性成本投入。

@浅尝辄止

数据治理建议不要闭门造车,遵循成熟的标准体系框架比如DSMM,参考优秀实践,结合企业实际与业务需求去做。区别与网络安全,可能数据安全在数据防泄露、防勒索破坏、加密保护、访问控制等方面有特别关注的因素。

本期精彩观点到此结束啦~此外,FreeBuf会定期开展不同的精彩话题讨论,想了解更多话题和观点,快来扫码免费申请加入FreeBuf甲方群吧!

加入即可获得FreeBuf月刊专辑,还有更多精彩内容尽在FreeBuf甲方会员专属社群,小助手周周送福利,社群周周有惊喜,还不赶快行动?

FreeBuf甲方群话题讨论 | 聊聊企业资产安全管理

申请流程:扫码申请-后台审核(2-5个工作日)-邮件通知-加入会员俱乐部

如有疑问,也可扫码添加小助手微信哦!

FreeBuf甲方群话题讨论 | 聊聊企业资产安全管理

FreeBuf甲方群话题讨论 | 聊聊企业资产安全管理



精彩推荐






FreeBuf甲方群话题讨论 | 聊聊企业资产安全管理

FreeBuf甲方群话题讨论 | 聊聊企业资产安全管理
FreeBuf甲方群话题讨论 | 聊聊企业资产安全管理
FreeBuf甲方群话题讨论 | 聊聊企业资产安全管理

原文始发于微信公众号(FreeBuf):FreeBuf甲方群话题讨论 | 聊聊企业资产安全管理

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年4月18日23:04:50
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   FreeBuf甲方群话题讨论 | 聊聊企业资产安全管理http://cn-sec.com/archives/924617.html

发表评论

匿名网友 填写信息