数据是第四次工业革命的驱动力，也是现代数字经济的命脉。它驱动创新，赋能企业，塑造社会，其重要性不断增强。根据国际数据公司（IDC）的数据，到2025年，全球数据圈预计将从2019年的45 zetta字节（ZB）增加到175 ZB。

为了满足因创建如此多的数据而产生的存储需求，IDC预测，从2018年到2025年，超过22ZB的内容以各种媒体格式分布存储着，其中约59%的容量由硬盘驱动器部门提供。图1按技术类别说明了大数据的增长势头。

数据隐私、安全性、风险管理和运营构成了复杂的全球数据生态系统的方方面面，企业应该采用基于研究和最佳实践的解决方案来解决这些问题。

数据隐私和安全

在给予个人对其数据的控制权的同时，对个人数据的适当使用和处理被称为数据隐私。简而言之，数据隐私赋予人们控制谁可以访问和使用其个人信息的权力。

掌握有关数据隐私的术语、法规和立法可能是一项挑战，特别是新的法律旨在确保组织以道德的方式处理用户数据；然而，它是必不可少的。

跨境数据传输

在当今互联世界中，跨境数据传输至关重要，因为它使企业能够跨国界高效、透明地工作；然而，它也提出了重大的隐私和安全挑战。企业必须在支持数据交换和保护数据机密性之间小心行事。帮助企业应对这一困难局面的最佳实践包括：

• 数据加密-安全数据传输的基础是加密。数据从端到端加密，以在传输过程中对其进行保护。想象一下，发送一条放在信封中的秘密消息，直到到达目的地才能打开。即使信封被截取，也只有能够解释内容的授权人员才能访问其中的信息。通过在web流量上运行传输层安全性（TLS）和在远程连接之上使用虚拟专用网络（VPN）来添加安全层也很有帮助。

• 数据驻留映射-不同的司法管辖区有不同的数据驻留法律，必须遵守。想象一幅世界地图，图钉指示必须存储数据的各个位置。不遵守这些法律可能会导致法律后果，并损害企业的声誉。例如，Uber在2016年经历了一次重大数据泄露，泄露了5700万用户的个人信息，这对其声誉造成了重大后果和损害。该事件暴露了Uber未能遵守各个司法管辖区的数据驻留法律，特别是其对事件的延迟和不透明披露。Uber没有及时通知受影响的用户和当局，而是向黑客支付了10万美元的赎金，导致在多个国家进行法律调查和罚款。该事件清楚地提醒了遵守数据驻留法律的重要性，因为不遵守不仅会导致法律后果，还会严重影响组织的声誉和公众信任。

• 标准化协议-企业需要遵循标准协议来促进安全数据传输，例如超文本传输安全协议（HTTPS），它保护web通信。假设这些协议是用于数据交换的口语方言。正如来自不同文化的发言者通过使用一些相互商定的共同语言进行交流一样，标准化协议有助于信息安全地跨越国界而不产生歧义。谷歌、脸书和微软等领先的技术巨头举例说明了标准化协议的使用，特别是HTTPS，以确保全球数据传输的安全。通过将HTTPS视为数据交换的通用语言，这些组织建立了一种通用的、明确的安全通信方法。例如，谷歌采用HTTPS作为其服务的默认连接，确保了加密数据交换，超越了语言和文化障碍。HTTPS Everywhere等倡议所体现的对标准化协议的承诺，不仅支持网络安全，而且有助于跨国界的无缝安全信息流。

• 数据最小化-当涉及跨境数据传输时，越少越好。与其传输整个数据集，从而增加安全漏洞或错误处理的可能性，不如仅传输与特定目的相关的数据。例如，在旅行中，打包所需的最少数量可以减轻行李的重量，并避免贵重物品的丢失。同样，减少传输的数据量可以提高安全性，并更容易满足合规性要求。

通过将这些最佳实践纳入跨境数据传输计划，企业可以利用全球化带来的好处，同时保护机密数据并安全地跨国界发送数据。

数据本地化

旨在维护国家利益和加强数据安全的数据本地化法律要求企业在特定地理区域内存储数据。

遵守数据本地化法规需要仔细考虑和采用最佳实践，例如：

• 合规评估-合规评估是帮助企业在数据本地化立法的迷宫中导航的一种方法。企业应定期检查其经营所在地区的适用法律，以确保其合法。领先的科技公司在通过严格的合规性评估解决复杂的数据本地化立法方面展示了示范做法。例如，组织可以通过进行全面的合规性评估来响应欧盟通用数据保护法规（GDPR），确保与不断发展的全球数据保护法律保持一致。类似地，在实施云计算时，组织应该一致地进行全面评估，以在各种国际运营中遵守数据驻留法律。主动式合规性评估不仅可以确保遵守法律，而且有助于与依赖于这些企业根据现行法规安全处理其数据的用户建立信任。

• 混合云解决方案-混合云解决方案是本地存储或数据中心与高度安全的远程数据存储中心之间的链接。它们使企业能够访问本地数据，同时利用集中数据中心的安全性。这类似于将家庭珠宝和其他无价之宝保存在一个安全的金库中，该金库位于街对面的一个租用的存储单元中。

• 数据加密和标记化-本地加密与标记化(tokenization)相结合增加了安全层。加密将数据包装在一个坚不可摧的盾牌中，而标记化将高度机密的信息转换为没有密钥就无法理解的令牌。加密可以比作锁，标记化是仅由授权用户拥有的秘密密码。

• 数据生命周期管理-数据有一个生命周期，无论存储在何处，无论是内部还是外部，都应该“从摇篮到坟墓”进行管理。这意味着企业必须对数据的整个生命周期拥有管理权，从创建和使用到存档或销毁。数据生命周期管理中的最佳实践包括实施提供数据管理和数据归档工具的客户关系管理平台。这些工具使企业能够定义数据保留策略，并在数据的整个生命周期中高效地管理数据。另一个例子是由数据管理和存储解决方案提供商提供云卷ONTAP等平台，从而能够跨各种环境平滑地管理数据。这些工具可以用于对数据行使权限，确保从创建到处置的合规性和高效治理。

风险管理

全球化打开了一个充满可能性和新挑战的全新世界。要驾驭这种动态局面，全面的风险管理方法至关重要，它应包括：

• 风险评估–持续审查企业所有运营领域的网络安全风险状况非常重要。信息技术领域的最佳实践包括提供全面的安全风险评估服务，如持续评估网络安全风险并确定其优先顺序。这种积极主动的方法类似于指南针，指导企业通过动态和不断变化的威胁环境，确保对潜在漏洞的强大防御，并确保IT运营的完整性。

• 事件响应计划–稳健的事件响应计划概述了在紧急情况下应遵循的程序。在制定（和完善）这些计划时，重要的是考虑全球运营的具体陷阱，包括：

  • 法律和监管变化–考虑全球不同的法律和监管要求。

  • 沟通障碍–解决语言差异和时区挑战。

  • 文化敏感性-考虑事件响应中的文化差异，并提供适用于各种危机应对方法的培训。

  • 数据隐私问题-符合全球数据保护法律。

  • 供应链依赖性-与全球供应商和合作伙伴协调响应。

  • 基础架构差异-使计划适应不同的技术环境。

  • 政治不稳定-为地缘政治挑战造成的中断做好准备。

  • 资源分配-根据劳动力和运营差异调整资源。

  • 不断变化的威胁格局-定制计划以解决区域网络威胁变化。

• 第三方尽职调查-必须对外部服务提供商和合作伙伴进行全面筛选，以确保他们保持与企业遵守的相同的安全和网络安全标准。例如，Equifax 2017年的数据泄露，暴露了1.47亿个人的数据，这是由于第三方软件组件中的漏洞。相反，组织应通过彻底评估其广泛供应商和服务提供商网络的网络安全标准来证明强大的尽职调查的重要性。主动式尽职调查不仅可以降低风险，还可以确保在整个业务生态系统中维持安全标准，强调审查外部合作伙伴在维护数据完整性和声誉方面的关键作用。

• 员工培训-员工是抵御全球网络攻击的第一道防线。员工应接受网络安全教育，并纳入风险管理计划。多样的培训方法和持续学习的文化使员工能够在保护组织免受不断发展的网络安全风险方面发挥积极作用。这些计划可以包括通过模拟练习提高网络钓鱼意识，定期进行涵盖数据保护和事件响应的综合培训，鼓励员工成为网络安全倡导者的计划，使用持续学习框架，以及游戏化培训以提高参与度。

遵循风险管理的最佳实践使企业能够在获得全球化优势的同时减少风险暴露和保护敏感数据。

运营

数据操作涉及数据生命周期的所有阶段，从收集到安全丢弃。保持数据安全和遵守管理制度也依赖于卓越的运营。有效数据操作的最佳实践包括：

• 数据治理框架-与任何结构一样，设计良好的数据治理框架需要一个坚实的基础，该基础清楚地定义角色和职责，并为数据的收集、存储和使用制定规则。正如架构师依赖于蓝图一样，数据治理框架为数据在其存在的每个阶段的适当管理提供了计划。

• 数据审计和监控-审计和监控工具在数据空间内扮演安全监控的角色，提供对异常值和潜在威胁的持续监控。这些工具提供了一些优势，如机器生成数据的实时分析、数据库安全和保护、全面的安全事件监控、跨IT环境变更跟踪的能力、数据库监控活动，以及用于审计文件系统和电子邮件系统的数据安全平台。这些工具共同提供持续监控，使组织能够识别异常情况和潜在威胁，确保积极主动的网络安全措施，并支持事件响应工作。

• 定期安全审计-安全检查类似于数据环境的健康检查。这些广泛的扫描旨在发现敏感性和弱点。Nessus、Qualys Vulnerability Management、OpenVAS、Rapid7 InsightVM、Tenable.io和Security Scorecard等工具可用于执行连续扫描，以识别漏洞和弱点，排定风险优先级并提供补救见解，实施开源漏洞扫描，进行实时审计以快速响应威胁，并实施持续监控和风险评估。这些工具共同使组织能够主动解决漏洞，降低网络威胁的风险，并维护安全的IT环境。

• 数据隐私设计-数据隐私原则，如数据最小化、同意和透明度、安全措施、用户控制和数据生命周期管理，应纳入产品和系统的设计中。通过采取积极主动的方法，可以减少侵犯隐私的可能性，确保个人数据的安全不是事后考虑，而是优先考虑的事项。

将这些最佳实践整合到数据操作中，可以为在数据的整个生命周期中管理数据创造一个安全、合规和高效的环境。就像润滑良好的机器的齿轮一样，这些实践确保数据保持安全，并在遵守隐私和安全标准的同时满足其预期用途。

结论

在不断发展的全球数据环境中，成功取决于采取积极主动的数据管理方法，包括隐私、安全性、风险降低和操作。企业处于关键的十字路口，必须跟上不断发展的法规。这意味着优先考虑数据安全和进行合理的技术投资至关重要。此外，努力促进网络安全意识文化的企业使员工能够成为警惕的前线捍卫者。

通过采用最佳实践并随时了解新的研究和新出现的风险，企业可以在数据驱动的世界中蓬勃发展。就像熟练的船长穿越危险的海洋一样，确保其庞大信息网络安全的企业可以在这一具有挑战性的环境中保护其数据资产。

编者注：本文出自ISACA Journal 2024年第2期。尾注略。文章内容仅代表作者本人观点。

作者：MATHURA PRASAD，CISSP, OSCP, ITIL V3，是治理、风险和合规性流程方面经验丰富的专业人员，专门从事应用程序安全性、渗透测试和编码。

翻译：杨皓然（AdySec），CISSP，CISM，CISA，CDPSE，CRISC，CGEIT，PMP，CCSK，CZTP，CDSP，CCSSP，RHCA，CCNP，ISO27001 Auditor，ISACA微信公众号特邀通讯员，CSA大中华区专家，ISC2北京分会会员，致力于云安全、零信任、数据安全、安全运营等方向。

校对：谭辰菲（William Tan），CISSP，CISA，CDPSE，CRISC，ISACA微信公众号特邀通讯员，华侨银行信息安全和数字化风险经理。