數(shù)據(jù)安全性是指在數(shù)據(jù)輸入，處理，統(tǒng)計或打印過程中，如何有效地防止由于硬件故障，電源故障，崩潰，人為誤操作，程序缺陷，病毒或黑客而造成的數(shù)據(jù)庫損壞或數(shù)據(jù)丟失。合格的人員或操作員可能無法讀取某些敏感或機密數(shù)據(jù)，從而導(dǎo)致數(shù)據(jù)泄漏和其他后果。那么數(shù)據(jù)安全運營的工作方法是什么？本位主要總結(jié)了5個方面，即目標(biāo)設(shè)定、技術(shù)手段、持續(xù)運營、效果驗證、論與業(yè)務(wù)關(guān)系。

　　數(shù)據(jù)安全運營的工作方法是什么？

　　1. 目標(biāo)設(shè)定

· 起步階段，找業(yè)界同行Top1-2家公司這方面的目標(biāo)設(shè)定作為參考，根據(jù)不同業(yè)務(wù)、數(shù)據(jù)安全的發(fā)展階段，設(shè)定目標(biāo)；

· 發(fā)展階段，對比自己的歷史數(shù)據(jù)，參考業(yè)界指標(biāo)，設(shè)定目標(biāo)；

· 特殊時期的階段性目標(biāo)，如疫情期間數(shù)據(jù)安全目標(biāo)的設(shè)定。

　　2. 技術(shù)手段

　　數(shù)據(jù)全生命周期管理

數(shù)據(jù)采集→前臺業(yè)務(wù)處理→數(shù)據(jù)儲存→訪問和維護(hù)→后臺數(shù)據(jù)分析→展示和使用→共享和再分發(fā)→數(shù)據(jù)營銷

這里暫不涉及具體數(shù)據(jù)安全措施在業(yè)務(wù)的建設(shè)內(nèi)容，這些措施在不同行業(yè)、公司文化、及業(yè)務(wù)不同發(fā)展階段的建設(shè)方向和次第需要講究和考量的。

　　3. 持續(xù)運營

基礎(chǔ)工作：數(shù)據(jù)分類分級、數(shù)據(jù)標(biāo)簽；建立資產(chǎn)庫和資產(chǎn)大盤，掌握數(shù)據(jù)資產(chǎn)在業(yè)務(wù)的分布、風(fēng)險狀態(tài)；權(quán)限管理、關(guān)鍵業(yè)務(wù)日志等；

如數(shù)據(jù)在收集階段的涉敏資產(chǎn)發(fā)現(xiàn)服務(wù)；數(shù)據(jù)在存儲中的掃描服務(wù)、加密存儲服務(wù)；數(shù)據(jù)在使用過程中的文件分發(fā)平臺等，這些基礎(chǔ)能力的建設(shè)堅持對標(biāo)業(yè)界，避免走彎路的同時提升效率；

風(fēng)險評估：一般通過事件發(fā)生概率與影響來評估風(fēng)險值，這也是很多咨詢類公司的常見做法，或者套用DREAD模型的計算方式：等級=危害性+復(fù)現(xiàn)難度+利用難度+受影響用戶+發(fā)現(xiàn)難度來進(jìn)行數(shù)據(jù)安全風(fēng)險評估，這些方法的使用無可厚非，其最終能與業(yè)務(wù)達(dá)成一致的風(fēng)險認(rèn)知很關(guān)鍵。

　　風(fēng)險識別：在基礎(chǔ)工作上利用多維度數(shù)據(jù)進(jìn)行風(fēng)險行為分析，如UEBA。

風(fēng)險場景識別，除了運營同學(xué)深入業(yè)務(wù)比業(yè)務(wù)還要了解業(yè)務(wù)外、還可以將特征數(shù)據(jù)進(jìn)行重組或進(jìn)一步深挖數(shù)據(jù)，進(jìn)而發(fā)現(xiàn)新風(fēng)險、另外一個就是內(nèi)外部情報數(shù)據(jù)。

在風(fēng)險管控過程中 逐步建立工具和平臺，實現(xiàn)自動化，如建設(shè)UEBA平臺、安全運營平臺（SOAR-安全編排、自動化及響應(yīng)）。

這里假設(shè)來自上級的靈魂拷問：你的地盤還有沒有不在視野范圍內(nèi)的數(shù)據(jù)安全風(fēng)險？嘗試界定數(shù)據(jù)安全邊界并關(guān)注核心風(fēng)險，如數(shù)據(jù)泄露、人員舞弊，加上資源總是稀缺的，即主要風(fēng)險應(yīng)該都在視野內(nèi)。

　　安全治理：兩種自上而下的推進(jìn)方法

單純的自上而下，本質(zhì)上利用權(quán)力來威懾業(yè)務(wù)達(dá)到安全目的，通常效果有了也隱藏了業(yè)務(wù)的怨言。

利益共同體式的自上而下，即通過聯(lián)合作戰(zhàn)項目安全牽頭發(fā)起、業(yè)務(wù)主導(dǎo)共同推進(jìn)安全治理并共享成果。這也是自上而下的模式，其實這種是需要更強的組織機制來保障的。

技術(shù)上實操上結(jié)合數(shù)據(jù)全生命周期管理過程中涉及到的安全措施，可以聯(lián)合業(yè)務(wù)方、或安全自研或采購工具進(jìn)行治理，如水印服務(wù)、數(shù)據(jù)加密、漏洞掃描、BC端涉敏根服務(wù)調(diào)用鏈治理等，通過有序的治理工作，有時候會獲得較好的安全回報，如風(fēng)險收斂、勾搭上業(yè)務(wù)MM又熟悉業(yè)務(wù)了。

業(yè)務(wù)賦能：數(shù)據(jù)賦能，對業(yè)務(wù)輸出高質(zhì)量數(shù)據(jù)，支持業(yè)務(wù)決策發(fā)展，安全能力賦能業(yè)務(wù)方，從服務(wù)業(yè)務(wù)方變成業(yè)務(wù)的安全伙伴，給業(yè)務(wù)以力量，自己也硬氣了。

　　4. 效果驗證

通過數(shù)據(jù)指標(biāo)量化驗證，數(shù)據(jù)指標(biāo)變化應(yīng)與采取措施的預(yù)期一致，我們對某個指標(biāo)采取了措施，一種情況是觀察一段時間后對指標(biāo)沒有影響，很可能是我們沒有找到根因，另一種情況可能是采取的多種措施對指標(biāo)都有正向影響，此時我們需要選擇一個性價比最高的措施，考慮ROI。

　　5. 論與業(yè)務(wù)關(guān)系

安全運營離不開業(yè)務(wù)這個衣食父母，要有服務(wù)意識，這是基礎(chǔ)，但在筆者看來，怎么向業(yè)務(wù)闡述清楚業(yè)務(wù)面臨的數(shù)據(jù)安全風(fēng)險更為關(guān)鍵，這也是運營的基本功之一吧，如果能與業(yè)務(wù)就風(fēng)險達(dá)成一致的認(rèn)知，以覆蓋率、收斂為目標(biāo)的安全措施、治理項目就更多的變成在業(yè)務(wù)側(cè)怎么協(xié)調(diào)資源、排期的執(zhí)行層面的問題了。

在運營的過程中，除了業(yè)務(wù)外，兄弟團隊如HR、合規(guī)、內(nèi)控等也是數(shù)據(jù)安全運營要協(xié)作的，其實大家目標(biāo)都是一致的，在實際工作中明確各自的主戰(zhàn)場并建立協(xié)同作戰(zhàn)機制，如內(nèi)部人員舞弊需要數(shù)據(jù)運營團隊的數(shù)據(jù)支持與合規(guī)團隊的情報線索、線下調(diào)查結(jié)合才能打一個漂亮的組合拳。

上述就是關(guān)于數(shù)據(jù)安全運營的工作方法是什么的全部內(nèi)容介紹，想了解更多關(guān)于數(shù)據(jù)安全運營的信息，請繼續(xù)關(guān)注中培偉業(yè)。