自從歐盟的《通用數據保護條例》生效以來，加州和紐約分别成(chéng)功地通過(guò)了《加州消費者隐私法案》(California Consumer Privacy Act, CCPA) 和《阻止黑客行爲和改進(jìn)電子數據安全法案》(Stop Hacks and Improve Electronic Data Security, SHIELD)。目前還(hái)有 12 個州正在申請批準數據保護立法，預計這(zhè)個數字還(hái)會(huì)增長(cháng)。
随著(zhe)美國(guó)各地出台更多不同的法案，企業爲了避免高昂的監管罰款需要采取的措施隻會(huì)變得越來越複雜。這(zhè)些問題得到了答案，你晚上就(jiù)會(huì)睡得好(hǎo)一點。那些有應對(duì)攻擊的計劃或者已經(jīng)在執行這(zhè)些指導方針的人應該抱有信心，他們的企業將(jiāng)客戶的最佳利益放在心上。
1. 你是否將(jiāng) “隐私和安全設計” 融合到了你的環境中?
通過(guò)設計實現隐私和安全性，是一種(zhǒng)一開(kāi)始就(jiù)主動整合隐私和數據保護的方法。這(zhè)種(zhǒng)方法遵循七個原則，以在 IT 和業務環境中逐步實現目标。在特定的技術，操作，體系結構和網絡的設計過(guò)程中，盡早倡導隐私和安全性將(jiāng)确保你在整個設計生命周期中構建成(chéng)熟的流程。
2. 敏感數據是否在傳輸和靜止期間被(bèi)加密?
加密密鑰對(duì)于保護數據處理和存儲的數據至關重要。密鑰管理的級别應該與這(zhè)些密鑰所服務的關鍵功能(néng)的級别相對(duì)應。我強烈建議定期更新加密密鑰，并與數據分開(kāi)存儲。本質上數據總在移動，當它跨邊界移動時(shí)，保護這(zhè)些信息需要對(duì)其靜止和傳輸過(guò)程進(jìn)行強加密。
3. 是否需要根據需要訪問數據?
數據始終應該被(bèi)劃分爲敏感數據和非敏感數據，并且隻能(néng)由有合法業務理由的授權員工訪問。采用基于角色的權限和 “根據需要” 進(jìn)行限制將(jiāng)有助于保護你的數據。強烈建議始終使用具有多因素身份驗證的非共享用戶名和密碼，這(zhè)將(jiāng)會(huì)驗證每個用戶。此外，每年至少應該進(jìn)行一次訪問審查;這(zhè)將(jiāng)确保爲正确的人提供合适的訪問權限。
4. 是否有災難恢複和備份環境?
在當今的數字世界中，擁有災難恢複 (DR) 和備份環境是必須的。DR 和業務連續性 (BC) 計劃必須到位，所有相關人員都(dōu)應該被(bèi)告知他們的角色。DR 和 BC 計劃應該每年進(jìn)行一次測試，然後(hòu)總結經(jīng)驗教訓。將(jiāng)生産和備份位置分開(kāi)幾百英裡(lǐ)能(néng)在發(fā)生自然災害或人爲災難時(shí)提高數據的安全性。
5. 是否進(jìn)行了漏洞、風險、滲透和其他審計評估?
評估工作應該貫穿全年。你的團隊應該針對(duì)環境中的信息系統和操作區域進(jìn)行評估。對(duì)所有資産(内部和外部)進(jìn)行這(zhè)些評估非常重要。你的分析應該分五個步驟完成(chéng)：
識别資産并确定其優先順序
識别威脅
識别漏洞
分析控制
了解事(shì)件發(fā)生的可能(néng)性，并了解該威脅可能(néng)對(duì)你的系統造成(chéng)的影響。
6. 是否有删除或銷毀數據的流程?
無論是誰在處理你的數據，都(dōu)應該有一個數據保留計劃。制定計劃將(jiāng)确保你在删除一定時(shí)間範圍内的數據。在制定數據保留計劃并了解可以删除哪些内容之後(hòu)，應該遵循正确删除和銷毀數據的安全最佳實踐。遵循行業标準，如國(guó)家标準與技術協會(huì) (NIST)，將(jiāng)确保你的員工知道(dào)如何以及何時(shí)銷毀和删除數據。任何符合 NIST 800-88 數據清理指南的方法都(dōu)應該被(bèi)獲準使用。
7. 你是否建立了事(shì)件響應團隊和數據洩漏計劃?
你的企業應該有一個強大的事(shì)件響應 (IR) 和數據洩漏計劃，并且應該每年進(jìn)行測試。IR團隊的職責應該是管理IR流程，防範攻擊，并在事(shì)件發(fā)生時(shí)防止進(jìn)一步的損失發(fā)生，爲了防止攻擊再次發(fā)生做出改進(jìn)，并報告任何安全事(shì)件的結果。
你的内部計劃應基于行業領導者制定，并涵蓋以下三個階段：
第一階段：檢測、評估和分類。
第二階段：遏制、收集證據、分析和調查以及補救。
第三階段：修複、恢複和反思。必須及時(shí)通知客戶，這(zhè)應該在你的協議中詳細說(shuō)明。
8. 你在記錄安全事(shì)件嗎?
應該啓用日志功能(néng)，以便爲所有對(duì)敏感數據的訪問建立足夠的審計跟蹤。日志記錄也應該在應用程序級别執行。應該實現自動審計跟蹤來重構系統事(shì)件，并且應該保護它們不被(bèi)任何方式所更改。應該采用文件完整性監控來确保所有客戶數據的機密性、完整性和可用性。
9. 你在持續更新隐私政策嗎?
你的企業需要預先了解它正在收集的信息。你應該嚴格遵守最新的安全和隐私規定，以避免任何法律問題。如果你的組織機構正在收集有關客戶的任何數據(例如，IP 地址、位置等)，那麼(me)你的隐私策略必須對(duì)所有客戶都(dōu)适用。你的隐私政策應該考慮到所有主要的利益相關者、法律團隊、營銷團隊和安全性問題。