根據DAMA的定義，數據安全指定義、規劃、開發、執行安全策略和規程，以提供對數據和信息資產的適當驗證、授權、訪問和審計。數據安全的目標有三個：

啟用對企業數據資產的適當訪問，并防止不適當的訪問

理解并遵守所有有關隱私、保護和保密的法規和政策

確保所有利益相關方的隱私和保密需求得到執行和審計

在《數據治理：一文講透數據安全》一文中，我對如何實施數據安全進行了相對宏觀的介紹。本文將從微觀入手，對104個數據安全基本概念和專業詞匯進行詳細解釋。為了方便理解，這里提供了一個關于數據安全基本概念全面且系統的分類框架，如下所示：

本框架包括戰略層、管理層、操作層和技術層四個層次11個分類，共44個基本概念；同時提供一個常用詞匯集，包括4A、數字證書、數字簽名、加密、脫敏、多方安全計算、隱私計算等60個專業詞匯，每個概念和詞匯都會輔以案例說明。

一、戰略層

1、核心三原則數據安全的CIA三元組（Confidentiality, Integrity, and Availability）是指確保信息安全的三個基本原則。它們是構建任何有效數據保護策略的基礎。

（1）機密性（Confidentiality）定義：確保信息只能被授權人員訪問，防止未授權訪問。

實施方法：使用密碼、加密、訪問控制列表（ACLs）和雙因素認證等技術來保護數據的私密性。

目的：保護敏感信息免受泄露，包括個人數據、商業秘密、政府文件等。（

2）完整性（Integrity）定義：確保信息在存儲、傳輸和處理過程中的準確性和完整性，防止未授權的修改。

實施方法：使用校驗和、數字簽名、版本控制和審計日志來監控數據的改動和確保數據的正確性。

目的：確保數據是真實可信的，未經篡改，用戶和系統都能依賴它的準確性。

（3）可用性（Availability）定義：

確保數據和資源在需要時是可用的，防止服務中斷。

實施方法：使用冗余系統、備份、故障轉移和維護良好的硬件來確保系統和數據始終可訪問。

目的：確保授權用戶可以及時、可靠地訪問信息和資源，支持業務連續性和操作效率。

2、安全政策和程序

指的是組織為了保護其信息資產而制定的正式規定、指導方針和行動指南。它們為如何管理、保護和分配資源提供了清晰的框架，并確保所有成員了解其在維護數據安全中的角色和責任。

（1）安全政策定義：組織的高層策略性文件，定義了對于數據安全的總體目標和方向。

特點：指導性：提供了關于組織應如何管理和保護其信息資產的高層指導。

規范性：定義了員工、合作伙伴和其他利益相關者在數據安全方面的角色和責任。

全面性：涵蓋從數據分類和訪問控制到員工行為和應急響應的多個方面。

例子：數據分類政策：一家公司可能有一個安全政策，規定所有數據必須根據敏感性進行分類（如公開、內部、機密和機密）。每個類別都有明確的處理和存儲要求。

訪問控制政策：定義哪些員工可以訪問公司的特定信息系統，以及他們如何獲得訪問權限。這可能包括對用戶進行身份驗證、授予權限和定期審查訪問權限。

（2）操作程序定義：是組織為確保安全政策和標準得到一致執行而制定的詳細指導。它們是具體的、步驟明確的指令，用來描述如何完成特定的任務和操作。

特點：詳細性：提供了詳細的步驟和指令，確保操作的一致性和準確性。

易于遵循：通常格式化和結構化，易于理解和執行。

可衡量：明確的步驟和預期結果使得執行情況易于監控和評估。

例子：數據備份程序：IT部門可能有一個詳細的操作程序，描述如何定期備份公司數據，包括何時執行備份、如何驗證備份的完整性以及備份數據應存儲在哪里。

用戶訪問管理流程：詳細說明當員工加入、轉崗或離開公司時如何添加、更改或撤銷其對信息系統的訪問權限。（

3）安全標準和指導方針定義：組織用來確保其安全措施和程序遵循特定規則和最佳實踐的文檔。

特點：權威性（標準）：安全標準通常有法律或合同約束力，必須遵守。

靈活性（指導方針）：安全指導方針提供了一定的靈活性，允許根據組織的具體需要進行調整。

實用性：這些文檔提供了實際可行的方法，幫助組織實施和維護有效的安全措施。

例子：安全標準：ISO/IEC 27001 是一個國際標準，規定了建立、實施、維持和持續改進信息安全管理系統的要求。

安全指導方針：一家公司可能制定了使用密碼的指導方針，建議如何創建強密碼、多久更換一次密碼以及在何種情況下應該使用多因素認證。

3、法律和合規

指的是組織為了確保其數據處理活動符合相關法律、法規和行業標準而采取的措施。這包括理解并遵守保護數據安全、隱私和數據保護的法律要求，以及任何特定于行業的標準。

（1）數據保護法律定義：數據保護法律是由國家或地區政府制定的法律規定，旨在保護個人數據的安全和隱私，防止數據濫用和泄露。例子：歐盟的通用數據保護條例（GDPR）要求所有處理歐盟公民數據的組織采取適當的技術和組織措施來保護數據。例如，一家全球運營的在線零售商必須確保其數據處理活動符合GDPR的規定，包括數據主體的同意、數據最小化原則、數據傳輸的安全性等。

（2）合規標準定義：由行業組織或國際機構制定的標準，定義了在數據安全方面應遵循的最佳實踐和要求，以幫助組織評估和提高其安全水平。例子：支付卡行業數據安全標準（PCI DSS）適用于所有存儲、處理或傳輸持卡人數據的組織。一家提供在線支付服務的公司必須遵守PCI DSS，包括加密傳輸持卡人數據、定期進行安全測試、維護安全策略等（3）合規性審計和評估定義：合規性審計和評估是指定期進行的活動，通過檢查和評估組織的數據處理活動，確保它們符合適用的法律、法規和行業標準。例子：一家醫療保健提供商定期進行HIPAA合規性審計，以確保其處理患者健康信息的方式符合法規要求。這可能包括評估其物理和技術安全措施、審查員工培訓記錄、檢查患者數據訪問控制等。審計結果將幫助該提供商識別任何合規性差距，并采取相應的改正措施。

二、管理層

1、安全監控和響應指持續監控組織的網絡和系統以便及時識別和響應安全威脅和事件的策略、程序和技術。這包括檢測異常行為、記錄安全事件，并在發現潛在的安全威脅時迅速采取行動。

（1）安全信息和事件管理（SIEM）定義：是一個軟件解決方案，它結合了安全信息管理（SIM）和安全事件管理（SEM）的功能。它為組織提供實時監控、事件記錄、日志管理、和安全事件的分析功能，以便及時識別、記錄和響應安全威脅。特點：實時監控：提供對組織網絡和系統的持續監視，幫助及時發現異常行為或潛在的安全威脅。事件記錄與管理：收集和存儲安全相關的數據，如日志文件和事件通知，以便于分析和報告。警告和響應：在檢測到可疑活動或已知威脅時，發出警告并支持快速響應。例子：入侵檢測：一個公司的SIEM系統監測到來自未知外部來源的異常流量模式，可能是一次入侵嘗試。系統立即發出警告，并記錄相關活動供以后分析。合規報告：為了滿足監管要求，公司使用SIEM系統來收集和整理訪問控制日志，以證明他們正在遵守數據保護法規。

（2）入侵檢測系統/入侵防御系統（IDS/IPS）定義：入侵檢測系統（IDS）是一種監控網絡和系統活動的技術，用于識別可疑的模式或行為，可能表明了安全威脅。它主要用于檢測和報告潛在的入侵。入侵防御系統（IPS）在IDS的基礎上，不僅檢測威脅，還能自動采取措施以阻止或減輕這些威脅的影響。

（3）安全事件響應定義：指的是當一個安全事件（如數據泄露、未授權訪問、病毒感染等）被檢測到時，組織內部安全團隊或外部服務提供商所采取的行動。這些行動包括但不限于通知、調查、隔離、根除威脅和恢復受影響系統。例子：一名員工點擊了一個釣魚郵件鏈接，導致其計算機感染惡意軟件。安全團隊接到報告后，立即將該計算機與網絡隔離（隔離問題），運行安全軟件確定并刪除惡意軟件（根除問題），然后恢復計算機的正常操作并對員工進行安全培訓（恢復和預防）。

2、審計和監控指使用各種工具和流程記錄、檢查和分析組織內部的數據訪問和使用情況，以確保遵守數據保護政策和法規要求。這包括檢測未經授權的活動、違規行為和其他潛在的安全風險。

（1）審計策略和計劃定義：是組織為了確保系統和數據安全而設定的規范性文件和程序。它們詳細規定了審計的目標、范圍、頻率和責任分配，確保審計活動的連續性和有效性。例子：一家金融機構可能設立一個審計策略，要求每季度對其網絡安全措施進行一次全面審計，包括檢查防火墻、入侵檢測系統的配置和日志記錄，并由專門的安全團隊負責執行和報告審計結果。

（2）審計日志收集和管理定義：指收集、存儲、管理和保留系統和用戶活動記錄的過程。這些日志提供了不可篡改的證據，可以用來分析和審查過去的活動，識別潛在的安全事件或不規范行為。例子：一家IT服務公司可能使用日志管理工具來收集其所有服務器和應用的日志。這些日志隨后被傳輸到一個安全的中央存儲位置，并定期進行備份和審核，以支持事后分析和合規性要求。

（3）合規性審計和報告定義：指定期檢查組織是否遵守相關法律、政策和標準的活動。這涉及到收集證據、評估實踐和過程，以及準備正式的審計報告。例子：一家醫療健康公司可能會進行年度HIPAA合規性審計，以確保其數據處理和保護措施符合健康保險便攜和責任法案的要求。審計結果會被詳細記錄并報告給管理層和相關監管機構。（4）審計結果分析和改進定義：指在審計完成后，對發現的問題進行根本原因分析，然后制定和實施改進措施的過程。這有助于組織不斷提升其安全措施，并有效減少未來的風險。例子：一家電子商務公司在審計過程中發現其某個關鍵數據庫未進行適當的加密處理。作為響應，公司進行了根本原因分析，確定了問題產生的原因，并實施了加密措施，同時更新了其安全政策，以防類似問題再次發生。

三、操作層

1、物理安全

物理安全指的是保護計算機硬件、網絡設備、服務器和數據存儲設施等物理資源免受未經授權訪問、破壞、盜竊、火災、自然災害等物理威脅的措施和程序。（1）訪問控制定義：訪問控制是指一系列的安全措施和技術，用于限制和監控人員對物理環境如數據中心、辦公區域等敏感區域的訪問。包括門禁系統、保安人員、生物識別系統等。例子：一家IT公司在其數據中心實施了多層訪問控制系統，包括安全門禁卡、個人識別碼（PIN）以及指紋識別技術，確保只有授權人員能夠進入。（2）環境控制定義：環境控制包括一系列的措施和技術，旨在保護設備和數據免受環境因素如溫度、濕度、火災和水災等造成的損害。例子： 一家大型銀行的數據中心配備了先進的HVAC系統（供暖、通風和空調系統）和自動滅火系統，以維持恒溫和防止火災等災害造成重大損失。（3）監視和監控定義：指利用視頻監控、報警系統和其他檢測技術來實時監視物理設施，以便于及時發現不尋常或非法的行為并采取適當行動。例子：一家珠寶店利用24小時視頻監控系統和運動探測器來監控店內活動。任何可疑行為或未經授權的入侵都會立即觸發警報，并通知店主和警方。

2、網絡安全

指保護計算機網絡及其相關組件，如硬件、軟件和數據，免受未經授權的訪問、攻擊或破壞的措施和過程。網絡安全聚焦于保護網絡邊界以及在網絡內部傳輸的數據，旨在防止來自外部和內部的威脅。

（1）防火墻（Firewalls）定義： 防火墻是一種網絡安全系統，用于監控和控制進出一個網絡的數據流量，根據預定的安全規則允許或阻止數據包。例子：一家企業部署了硬件防火墻來保護其企業網絡，成功阻止了來自未知源的可疑流量和潛在的網絡攻擊，同時確保員工可以安全地訪問互聯網。

（2）入侵檢測系統/入侵防御系統（IDS/IPS）IDS定義：入侵檢測系統是一種監測網絡和系統活動的工具，用于檢測違反安全策略或可疑行為的跡象。IPS定義：入侵防御系統不僅能夠檢測威脅，還能夠在檢測到潛在攻擊時自動采取措施來阻止或緩解攻擊。例子：一家金融機構使用IDS來監控其網絡活動，并通過IPS來自動阻止發現的惡意流量，例如自動斷開與已知惡意服務器的連接。

（3）虛擬私人網絡（VPN）定義：虛擬私人網絡是一種通過公共網絡（如互聯網）創建安全、加密通信隧道的技術，用于連接遠程用戶和私人網絡。例子：一家跨國公司為其遠程員工提供VPN服務，使他們能夠安全地從家中或在旅途中訪問公司的內部資源，就像他們直接連接到公司網絡一樣。

（4）安全配置定義：涉及對網絡設備（如路由器、交換機和防火墻）和網絡服務（如DNS和DHCP）進行適當的設置調整，以保護它們免受攻擊。這包括關閉不必要的服務，設置強密碼，應用最小權限原則，以及定期更新和打補丁。例子：更改默認密碼：許多網絡設備出廠時都有默認的用戶名和密碼，這些通常是公開的且容易被攻擊者利用。安全配置的一個基本步驟是更改這些默認憑證為強密碼。關閉不必要的端口和服務：如果網絡設備上開啟了不需要的服務或端口，它們可能成為攻擊者的入口點。安全配置包括關閉這些不必要的端口和服務，減少潛在的攻擊面。

3、應用安全

指確保軟件應用安全、可靠且不易受到攻擊的措施、流程和工具。它涉及識別、修復和預防應用程序中的安全漏洞，以保護數據和防止未經授權的訪問或修改。

（1）安全編碼（Secure Coding）定義：開發過程中實施的一系列編程實踐，旨在減少應用程序中的安全漏洞并提高其抵御攻擊的能力。例子：一款流行的在線支付應用實施了安全編碼實踐，包括對用戶輸入的嚴格驗證和清理，以避免SQL注入和跨站腳本（XSS）攻擊。

（2）漏洞掃描和代碼審計定義：通過自動化工具（漏洞掃描）和手動審查（代碼審計）來檢測應用程序中的已知漏洞和潛在安全風險。例子：一個公司定期使用漏洞掃描工具檢查其網站，以確保沒有暴露任何已知的安全漏洞，如過時的軟件版本或不安全的配置。

（3）應用程序防火墻（Application Firewall）定義：一種保護應用程序免受攻擊的安全工具，它監控、過濾和阻止惡意流量。例子：一家電子商務網站部署了應用程序防火墻來保護其網站，成功防止了一系列針對其用戶的跨站腳本（XSS）攻擊。

（4）身份驗證和授權定義：確保用戶是他們聲稱的身份（身份驗證）并給予適當訪問權限（授權）的過程。例子：一家在線課程平臺實現了多因素身份驗證來確認用戶身份，并基于用戶角色（如學生、教師、管理員）授予不同的訪問權限。

（5）安全配置定義：采取措施確保應用程序及其運行環境（服務器、數據庫等）配置得當，以減少安全風險。例子：一家科技公司對其服務器進行了安全配置，包括禁用不必要的服務、應用最新的安全補丁和使用強密碼策略。

（6）依賴和第三方組件管理定義：確保應用程序使用的所有庫、框架和其他依賴項都是安全的，并且及時更新。例子： 一家軟件開發公司使用依賴管理工具來跟蹤和更新其應用中使用的開源庫，確保所有組件都不包含已知的安全漏洞。

四、技術層

1、訪問控制數據安全中的訪問控制是指一系列策略、程序和技術措施，用于確保只有經過授權的個人或系統能夠訪問或修改特定的數據或資源。它是維護數據機密性、完整性和可用性的關鍵組成部分。訪問控制的目的是防止未經授權的訪問，同時允許授權用戶按需訪問信息。

（1）認證（Authentication）定義：確定某個個體或系統的身份的過程，通常通過要求提供某種形式的證明（如密碼或生物識別信息）來完成。包括密碼、生物識別、智能卡、數字證書或多因素認證等。例子：一家銀行要求客戶在進行在線交易時使用密碼和手機接收的一次性驗證碼進行身份認證，確保只有授權的用戶可以訪問其賬戶。

（2）授權（Authorization）定義：一旦個體身份得到認證，決定他們可以訪問哪些資源及執行哪些操作的過程。例子：在一家醫院的信息系統中，醫生被授權訪問他們病人的全部醫療記錄，而護士只能訪問病人的基本信息和護理記錄。

（3）訪問（Access）定義： 用戶或系統對數據或資源進行讀取、寫入、修改或刪除的實際行為。控制誰可以訪問什么數據，以及在什么條件下訪問，是保護敏感信息不被未授權訪問的基礎。例子：一個數據庫管理員擁有對所有客戶數據的完全訪問權限，包括讀取、更新和刪除記錄。

（4）審計（Audit）定義：審計指的是記錄和檢查用戶及系統對資源的訪問和操作歷史。這通常涉及審計日志，記錄誰在什么時候進行了什么操作。審計可以幫助組織監測和分析訪問行為，發現不規則或非法的訪問模式，以及在安全事件發生后進行調查和應對。例子：一家公司的IT部門定期審查安全日志，以監控任何可疑的登錄嘗試或數據訪問模式。

（5）訪問控制策略定義：組織制定的規則和指導原則，決定用戶如何被授權以及在什么條件下可以訪問特定的數據和資源。包括用戶應該如何被授權、在什么情況下可以訪問數據、以及如何處理訪問請求等。例子：一家企業設定了一項策略，規定只有高級管理層才能訪問公司的財務報告和員工薪資信息。

（6）訪問控制列表（ACLs）定義：用于定義哪些用戶或系統可以訪問特定資源的詳細列表，通常指定了不同的訪問級別和權限。例子：一個網絡管理員配置了路由器的ACL，以允許某部門的員工訪問內部網絡，同時阻止外部未經授權的訪問。

（7）用戶管理定義：創建、維護和移除用戶訪問權限的過程，包括賬戶的創建、角色分配、權限調整和賬戶刪除等。例子：一個IT管理員在員工離職時刪除其所有賬戶和訪問權限，確保他們不能再訪問公司的系統和數據。

2、數據保護

指防止數據在存儲、處理和傳輸過程中被未經授權訪問、泄露或竊取的技術和措施。

（1）數據加密（Encryption）定義：一種安全技術，用于將原始數據轉換成只有擁有相應密鑰的人才能解讀的密文，以此保護數據的保密性和完整性。例子：一家金融機構使用高級加密標準（AES）加密客戶的交易數據。即使數據在傳輸過程中被攔截，沒有密鑰的攻擊者也無法解讀這些信息，確保了交易的安全性。

（2）數據脫敏（Data Masking）/數據掩碼（Data Obfuscation）定義：一種數據保護技術，通過隱藏、替換或打亂數據中的敏感信息來防止其在非生產環境中泄露，同時保持數據的格式和邏輯完整性。例子：一家醫院在其測試環境中使用數據脫敏技術處理患者記錄。通過將敏感的個人信息（如姓名和社保號）替換為虛構的數據，他們可以在不暴露真實患者信息的情況下測試新的系統功能。

（3）數據備份（Data Backup）定義：一種保護措施，涉及創建數據的額外副本并將其存儲在安全的位置，以便在原始數據丟失或損壞時可以恢復。例子：一家小型企業定期將其重要文檔和客戶數據庫備份到云存儲服務。最近發生的洪水損壞了他們的主服務器，但他們能夠從云備份中迅速恢復所有關鍵數據，業務幾乎未受影響。

（4）數據恢復（Data Recovery）定義：在數據丟失、損壞或系統故障后，使用先前創建的備份副本恢復數據的過程。例子：一家在線零售商遭受了一次嚴重的網絡攻擊，導致其訂單數據庫受損。幸運的是，他們有一個最近的數據備份，并能夠通過數據恢復服務迅速恢復到攻擊前的狀態，最小化了業務中斷和數據損失。

（5）數據分類定義：是一種數據管理策略，涉及識別、分類和標記數據。它通常基于數據的敏感程度、價值、法律遵從性要求或業務需求，將數據分為不同的類別，如公開、內部使用、機密和高度機密。例子：一家公司可能將其數據分類為“公開”（比如營銷資料）、“內部使用”（比如內部通訊）、“機密”（比如客戶信息）和“高度機密”（比如未公布的財務報表）。每一類數據都有相應的訪問控制和處理規則。

3、惡意軟件防護

指針對惡意軟件（如病毒、蠕蟲、特洛伊木馬、間諜軟件和勒索軟件）的一系列措施和技術。這些措施旨在預防、檢測、隔離和清除惡意軟件，保護計算機系統和網絡免受其破壞和操縱。

（1）防病毒軟件和反惡意軟件（反間諜、防勒索）定義：這是一種安全軟件，旨在檢測、阻止和清除病毒、蠕蟲、特洛伊木馬等惡意軟件。它通常具有實時監控功能，能夠提供自動更新來抵御新出現的威脅。例子：一家小型企業使用某知名防病毒軟件來保護其網絡系統。該軟件每天自動更新惡意軟件數據庫，并在員工的電腦上進行實時監控和定期深度掃描，成功防止了一個勒索軟件攻擊。

（2）定期掃描和清理定義：定期掃描是一種預防措施，通過定期全面檢查系統，發現并清除可能在日常監控中遺漏的惡意軟件。例子：一家醫院的IT部門每周安排一次全面的系統掃描，以檢測和清除任何潛在的惡意軟件。最近的一次掃描發現了一個隱蔽的間諜軟件，并成功將其清除，防止了數據泄露。

（3）定期更新和補丁管理定義：這是一種保護措施，涉及定期檢查和應用軟件更新和安全補丁，以保護系統不受利用已知漏洞的攻擊。例子：一所大學定期審查并應用其計算機實驗室系統的所有更新和安全補丁。最近，他們迅速部署了一個操作系統補丁，有效防止了一個廣泛利用的漏洞攻擊，保護了敏感的學生和研究數據。五、專業詞匯集別二維碼，關注我們吧！數據工程師微信號：sjgc