精华内容
下载资源
问答
  • 最近调研了一下研发资产安全保护方案,简单地说就是,如何避免开发人员把核心代码和核心资料据为己有,离职时偷偷带走!网上有好多人认为这个东西没有必要做,或者根本不能根本杜绝。认为现在的软件产品拼的是业务和...

    最近调研了一下研发资产安全保护方案,简单地说就是,如何避免开发人员把核心代码和核心资料据为己有,离职时偷偷带走!网上有好多人认为这个东西没有必要做,或者根本不能根本杜绝。认为现在的软件产品拼的是业务和运营,代码真心不重要,即使把微信的源码给某某公司,又能怎么样呢?你能防住手抄写或者拍照吗?其实想想是这个道理,光有源码没有用户有何用啊!有同学认为,源码泄漏出去也没关系,自带混淆不说,搞懂的effort远大于再造一套新的代码的effort!更有同学表示大多数软件公司是依靠程序员的自尊心…泄露出去了实在特么丢人啊!

     

    在这里我先不讨论对研发资产保护的必要性,我仅把自己调研的一些方法share给大家,希望能给大家一点点帮助!目前业界的主要方案包括:云桌面、公司自建安全体系制度监管、购买第三方软件产品监管

    BAT等大厂

    每个人的电脑中都装有自己开发的监控软件(限制上网行为,封闭U口,不能传输文件,限制使用软件)、工作中进行视频监控、网络监控等。当然这些公司钱多人牛逼,有能力开发出适合公司自己的产品,但是对于绝大多数公司来说该方案的投入与回报是不成正比的!

    云桌面方案

    云桌面又称桌面虚拟化、云电脑,是替代传统电脑的一种新模式。采用云桌面后,用户无需再购买电脑主机,主机所包含的CPU、内存、硬盘等组件全部在后端的服务器中虚拟出来。前端设备主流的是采用瘦客户机(与电视机顶盒类似的设备)连接显示器和键鼠,用户安装客户端后通过特有的通信协议访问后端服务器上的虚拟机主机来实现交互式操作,达到与电脑一致的体验效果。具体如下图所示,传统的机箱变成了类似机顶盒的东东

    优点:

    1.数据安全:数据存放在服务器后端,跨磁盘、服务器备份,有效防止数据损坏、丢失;同时可对云终端实施USB设备权限控制,防止数据泄露。

    2.局域网安全:每台虚拟机均独立运行,一台发生故障或中毒,不会影响其他虚拟机。

    3.电力费用节省、IT费用低。

    缺点:

    1.改造影响范围大,通常是公司级别(个人觉得不适合技术类公司)

    2.会有网络延迟。

    3.改造费用较高 。

    公司自己构建安全体系

    主要包括签保密协议、日常教育、代码权限控制、封闭u口、视频监控、网络监控、入职背景调查,这是一系列的行为管理方法。这个体系个人觉得最重要的就是签保密协议,一旦发现员工有泄漏公司源码资产的行为,直接告!在员工入职时重点强调,相信会有很强的警示作用。

    购买第三方软件产品保护文件

    目前该类别第三方软件产品都是以收费为主的主要技术手段包括数据安全隔离和文件加密解密两种。

    •数据安全隔离(DSA)

    不做复杂的监控,构建安全区域保障敏感数据安全,在实现安全保障的同时,不影响效率,不改变操作习惯,安全性最高,具体产商这里就不提及了。关于安全区的概念如下所示:

     

    该方案主要优点包括:

    1、不影响编译、调试性能:调试过程中不用先解 密再调试再加密;

    2、不破坏文件:虚拟文件磁盘加密技术;

    3、难破解:多重隔离(内核)、网络通信加密;

    5、不需要配置复杂的安全策略;

    6、特别适合源代码(多文件)和设计图纸(大文 件)等企业核心智慧资产的安全保护

    7、不影响使用者对网络资源的访问应用

    该方案更适合研发类文件加密,因为工程中涉及的源码文件数目众多,频繁对文件加密解密势必会影响客户端性能,而研发人员对于电脑卡顿这件事是灰常灰常介意的,你可以加密,但是你不能让我卡啊!但目前该方案对于终端是mac的本本没有解决方案,这点是比较遗憾的。

    •文件加密解密

    该方案简单地说就是,利用加密算法对文件进行加密,授权的客户端可以打开加密的文件,这样即使文件被拷贝走,也无法在其他的客户端中查看。主要加解密技术包括透明和半透明两种。

    透明:对企业内部所有涉密文档进行强制加密处理,从文件创建开始即可自动加密保护

    半透明:本地自己生成的文件都不加密,而能打开公司内部的加密文件,并确保这些加密文件去编辑保存还是处于加密状态。

    该方案需要频繁对文件加解密,会对客户段的性能有一定的损失,安全性不如DSA。同样的,具体产商这里就不提及了。

    展开全文
  • 信息安全发展的三个阶段:通信保密,信息安全,信息保障 Wind River的安全专家则针对IoT设备安全提出了如下建议: 安全启动 设备首次开机时,理应采用数字证书对运行的系统和软件作认证; 访问控制 采用不同...

    信息安全发展的三个阶段:通信保密,信息安全,信息保障

    Wind River的安全专家则针对IoT设备安全提出了如下建议:

    安全启动

    设备首次开机时,理应采用数字证书对运行的系统和软件作认证;

    访问控制

    采用不同的访问和资源控制方式,限制应用对设备的访问,即便产生攻击也能够让攻击影响最小化;

    设备认证在传输和接收数据前,IoT设备应该与连接网络进行认证;

    防火墙/IPS

    企业环境内的IoT设备需要DPI(深度包检查)或防火墙的防护,以便于流量控制;

    实时安全升级

    及时进行最新安全补丁的更新。

    威胁防御滞后性

    防御方

    针对威胁(攻击/漏洞),通过漏洞修复、威胁检测、威胁情报发现并消除威胁!

    攻击方

    攻击链(洛克希德·马丁):围绕脆弱性的攻击,只要系统存在漏洞,漏洞被发现、利用,攻击就一定能成功!

    滞后性

    时间不对称

    数量不对称

    结果不对称

    难度不对称

    攻防趋势

    成本失衡

    用户业务模式

    千差万别

    攻防趋势

    成本失衡

    当前安全技术的投资没能遏制攻击威胁的增长,存在不对称现象,信息系统易攻难守。

    安全架构是一种统一的安全设计,可以解决特定场景或环境中涉及的必要和潜在风险。

    安全架构正从威胁防御,向风险治理/业务韧性演进。

    业务的安全韧性:在威胁条件下快速恢复核心业务安全水平的能力。

    保证韧性的过程:Plan-Absorb-Consequence- Recover-Adapt.

    NIST:IPDRR,以可信与韧性为目标的通用安全架构。

    可以通过下列技术来支撑安全韧性目标:

    业务安全规划(计划/吸收:I.P)——针对业务制定风险管理计划;建立“系统环境”的安全设计基线;

    威胁防御能力(威胁检测与应急响应:P.D.R)——被动安全,威胁检测/应急响应,消除破坏性后果;

    快速恢复能力(恢复/自适应:P.D.R.R)——主动安全,态势感知/持续响应,快速恢复业务安全性;

    信息韧性

    能够预测,承受,恢复和适应包含信息资源的系统上的不利条件,压力,攻击或韧性。此定义可应用于信息系统;运行机制,组件或系统元素;共享服务,通用基础设施或使用任务或业务功能识别的系统系统;组织;关键基础设施部门或区域;关键基础设施部门或子部门的系统系统和国家。

    建立安全环境

    风险管理计划&安全加固技术。

    基于业务的安全架构设计

    安全定级/设计基线。

    NIST CCS CSC:风险控制项

     

    华为主动安全

    持续监控所有数据

    自适应安全架构

    关联分析

    自动处置

    五种关系,坚持六项基本管理原则

    安全与危险并存

    • 安全与危险在同一事物的运动中是相互对立的,相互依赖而存在的。因为有危险,才要进行安全管理,以防止危险。安全与危险并非是等量并存、平静相处。随着事物的运动变化,安全与危险每时每刻都在变化着,进行着此消彼长的斗争。事物的状态将向斗争的胜方倾斜。可见,在事物的运动中,都不会存在绝对的安全或危险。
    • 保持生产的安全状态,必须采取多种措施,以预防为主,危险因素是完全可以控制的。
    • 危险因素是客观的存在于事物运动之中的,自然是可知的,也是可控的。

    安全与生产统一

    • 生产是人类社会存在和发展的基础。如果生产中人、物、环境都处于危险状态,则生产无法顺利进行。因此,安全是生产的客观要求,自然,当生产完全停止,安全也就失去意义。就生产的目的性来说,组织好安全生产就是对国家、人民和社会最大的负责。
    • 生产有了安全保障,才能持续、稳定发展。生产活动中事故层出不穷,生产势必陷于混乱、甚至瘫痪状态。当生产与安全发生矛盾、危及职工生命或国家财产时,生产活动停下来整治、消除危险因素以后,生产形势会变得更好。"安全第一"的提法,决非把安全摆到生产之上;忽视安全自然是一种错误。

    安全与质量包涵

    • 从广义上看,质量包涵安全工作质量,安全概念也内涵着质量,交互作用,互为因果。安全第一,质量第一,两个第一并不矛盾。安全第一是从保护生产因素的角度提出的,而质量第一则是从关心产品成果的角度而强调的。安全为质量服务,质量需要安全保证。生产过程丢掉哪一头,都要陷于失控状态。

    安全与速度互保

    • 速度应以安全做保障,安全就是速度。我们应追求安全加速度,竭力避免安全减速度。
    • 安全与速度成正比例关系。一味强调速度,置安全于不顾的做法、是极其有害的。当速度与安全发生矛盾时,暂时减缓速度,保证安全才是正确的做法。

    安全与效益兼顾

    • 安全技术措施的实施,定会改善劳动条件,调动职工的积极性,焕发劳动热性,带来经济效益,足以使原来的投入得以补偿。从这个意义上说,安全与效益完全是一致的,安全促进了效益的增长。
    • 在安全管理中,投入要适度、适当,精打细算,统筹安排。既要保证安全生产,又要经济合理,还要考虑力所能及。单纯为了省钱而忽视安全生产,或单纯追求不惜资金的盲目高标准,都不可取。

    管生产同时管安全

    • 安全寓于生产之中,并对生产发挥促进与保证作用。因此,安全与生产虽有时会出现矛盾,但从安全、生产管理的目标、目的,表现出高度的一致和完全的统一。
    • 安全管理是生产管理的重要组成部分,安全与生产在实施过程,两者存在着密切的联系,存在着进行共同管理的基础。

    坚持安全管理的目的性

    • 安全管理的内容是对生产中的人、物、环境因素状态的管理,有效的控制人的不安全行为和物的不安全状态,消除或避免事故。达到保护劳动者的安全与健康的目的。
    • 没有明确目的安全管理是一种盲目行为。盲目的安全管理,充其量只能算作花架子,劳民伤财,危险因素依然存在。在一定意义上,盲目的安全管理,只能纵容危胁人的安全与健康的状态,向更为严重的方向发展或转化。

    贯彻预防为主的方针

    • 安全生产的方针是 "安全第一、预防为主"。安全第一是从保护生产力的角度和高度,表明在生产范围内,安全与生产的关系,肯定安全在生产活动中的位置和重要性。
    • 进行安全管理不是处理事故,而是在生产活动申,针对生产的特点,对生产因素采取管理措施,有效的控制不安全因素的发展与扩大,把可能发生的事故,消灭在萌芽状态,以保证生产活动中,人的安全与健康。
    • 贯彻预防为主,首先要端正对生产中不安全因素的认识,端正消除不安全因素的态度,选准消除不安全因素的时机。在安排与布置生产内容的时候,针对施工生产中可能出现的危险因素。采取措施予以消除是最佳选择。在生产活动过程中,经常检查、及时发现不安全因素,采取措施,明确责任,尽快的、坚决的予以消除,是安全管理应有的鲜明态度。

    坚持"四全"动态管理

    • 安全管理不是少数人和安全机构的事,而是一切与生产有关的人共同的事。缺乏全员的参与,安全管理不会有生气、不会出现好的管理效果。当然,这并非否定安全管理第一责任人和安全机构的作用。生产组织者在安全管理中的作用固然重要,全员性参与管理也十分重要。

    安全管理重在控制

    • 进行安全管理的目的是预防、消灭事故,防止或消除事故伤害,保护劳动者的安全与健康。在安全管理的四项主要内容中,虽然都是为了达到安全管理的目的,但是对生产因素状态的控制,与安全管理目的关系更直接,显得更为突出。因此,对生产中人的不安全行为和物的不安全状态的控制,必须看做是动态的安全管理的重点。事故的发生,是由于人的不安全行为运动轨迹与物的不安全状态运动轨迹的交叉。从事故发生的原理,也说明了对生产因素状态的控制,应该当做安全管理重点,而不能把约束当做安全管理的重点,是因为约束缺乏带有强制性的手段。

    在管理中发展、提高

    • 既然安全管理是在变化着的生产活动中的管理,是一种动态。其管理就意味着是不断发展的、不断变化的,以适应变化的生产活动,消除新的危险因素。然而更为需要的是不间断的摸索新的规律,总结管理、控制的办法与经验,指导新的变化后的管理,从而使安全管理不断的上升到新的高度。

     

    信息系统安全管理包括信息系统相关的安全管理信息系统管理安全两方面。这两方面有包含技术性管理法律性管理两类。信息安全管理是支持与控制通信安全所必需的。

    技术性管理

    以OSI安全机制和安全服务的管理及对物理环境的技术监控为主。

    法律性管理

    以法律法规遵从性管理为主。

    策略原则

    工程原则

    1. 以安全保发展,在发展中求安全

    1. 基本保证

    2. 受保护资源的价值与保护成本平衡

    2. 适度安全

    3. 明确国家、企业和个人对信息安全的职责和可确认性

    3. 实用标准化

    4. 信息安全需要积极防御和综合防范

    4. 保护层次化和系统

    5. 定期评估信息系统的残留风险

    5. 降低复杂度

    6. 综合考虑社会因素对信息安全的制约

    6. 安全设计机构化

    7. 信息安全管理体现以人为本

     

     

    信息安全管理体系

    信息安全管理体系(ISMS)是一个组织内部建立的信息安全方针与目标的总称,并包括为实现这些方针和目标所制定的文件体系与方法。

    ISMS在实施过程中,采用了“规划(Plan)-实施(Do)-检查(Check)-处置(Act)”(PDCA)模型,该模型可应用于所有的ISMS过程。

    ISMS的规划和设计

     

    ISMS建立

    准备工作

    建立ISMS管理机构、召开启动会、制定工作计划、实施基础知识培训、准备相关工具

    确定ISMS范围

    部门、资产、办公场所

    确定ISMS方针和目标

    成立信息安全管理委员会、参照等保要求加强技术和管理措施、对所有信息资产进行有效管理、明确相关人员角色和责任、保证系统物理安全、重要数据进行备份、检测恶意代码和未授权代码、严格管理用户权限、控制外网访问权限、控制内部和外部信息访问、建立信息系统监控程序、严格控制敏感数据访问、定期进行风险评估、建立事故处理流程并执行、制定和实施业务连续性计划、识别并满足相关法律法规、与第三方协议要涵盖所有安全要求,并采取措施保证执行

    实施风险评估

    风险评估模型:实施过程中可以参考ISO 17799、OCTAVE、CSE、《信息安全风险评估指南》等标准,主要是针对资产、威胁、脆弱性和安全措施有效性的评估。

    • 资产评估:对资产进行相对估价,其估价准则依赖于对其影响的分析,主要从保密性、完整性和可用性三方面进行影响分析。
    • 威胁评估:对资产所受威胁发生可能性的评估,主要从威胁的能力和动机两个方面进行分析。
    • 脆弱性评估:是对资产脆弱程度的评估,主要从脆弱性被利用的难易度、被成功利用后的严重性两方面进行分析。

    安全措施有效性评估

    是对保障措施的有效性进行的评估活动,主要对安全措施防范威胁,减少脆弱性的有效状况进行分析。

    风险评估方法

    • 准备阶段:准备阶段完成的工作是确定风险评估范围,进行信息的初步收集,并制定详尽的风险评估实施方案。
    • 识别阶段:识别阶段主要是资产、威胁、脆弱性及安全措施,其结果是形成各自的列表。
    • 资产识别就是对评估信息系统的关键资产进行识别,并合理分类。
    • 威胁识别主要是根据资产所处环境条件和资产以前遭受威胁损害的情况来判断资产所面临的威胁。
    • 脆弱性识别就是对物理环境、组织机构、业务流程、人员、管理、硬件、软件及通信设施等各个方面都存在的脆弱性进行识别。
    • 安全措施识别主要是通过问卷调查、人工检查等方式识别被评估信息系统有效对抗风险的防护措施(包含技术手段和管理手段)。
    • 分析阶段:分析阶段是风险评估的主要阶段,主要包括资产影响分析、威胁分析、脆弱性分析、安全措施有效性分析,以及最终的风险分析。
    • 资产影响分析:即资产量化分析,是在资产识别的基础上,进一步分析被评估信息系统及其关键资产。
    • 威胁分析:是对威胁发生的可能性进行评估,确定威胁的权值。
    • 脆弱性分析:是指依据脆弱性被利用的难易度和被成功利用后所产生的影响来对脆弱性进行赋值量化。
    • 安全措施有效性分析:是根据赋值准则对被评估信息系统的防范措施用有效性来衡量。
    • 综合风险分析:在完成以上各项分析工作后,进一步分析被评估信息系统及其关键资产将面临哪一方面的威胁及其所采用的威胁方法、利用了系统的何种脆弱性,对哪一类资产产生了什么样的影响,同时将风险量化,得到风险的级别。
    • 风险评估实施:依据上述风险评估办法,进行风险评估工作,采用问卷访谈、现场调研、问卷查阅、手工检查、工具检查等手段进行风险评估。

    选择控制措施

    根据风险评估的结果,综合考虑等级保护制度和相关法律法规的要求,针对每一项风险作出应对的控制策略。在确定控制策略后,综合考虑成本、可行性、实施维护难度以及已有安全措施等因素,从ISO/IEC 27001等相关标准中选择相应的安全控制措施。

    形成体系文件

    文件层次:一级文件(信息安全管理手册);二级文件(程序及策略文件);三级文件:(记录文件)。

     

    ISMS的监视和评审

    在ISMS体系运行过程中,需要设立运行监督机制,对体系运转情况进行日常监督,以便及时发现问题。

    需要制定审核的策略,包括:

    内部审核

    启动审核阶段

    需要制定审核计划包括审核目的和范围、审核依据的文件、审核组成员、审核日期及安排等内容。

    首次会议

    需要介绍审核组成员、审核目的范围、审核方法和程序、公布末次会议日期、时间以及参加人员,审核计划中需要说明的细节问题。

    审核实施

    需要按照审计计划进行,通过现场观察、询问、验证等方法来进行内部审核工作。

    审核实施结束后

    召开末次会议,主要公布不符合项内容、提出制定纠正预防措施及改进时限。

    审核结束后起草审核报告

    审核的目的和范围、审核组成员、审核时间和被审核部门;审核中所依据的标准文件资料;审核简况和不符合项状况;纠正预防措施及改进时限;审核评价。

    记录归档

    在限定时间内,对纠正措施的实施情况进行复审,以确认对不符合项的纠正情况并验证其有效性。

    所有记录的文件按照相关程序的要求进行保存归档。

    管理评审

    在管理评审中需要讨论ISMS内部审核结果、相关方的反馈、以前风险评估中没有提出的弱点或者威胁,以及可能影响ISMS的任何更改等,并针对上述问题,提出下一步的工作重点。

    ISMS的保持和改进

    通过ISMS内部审核和管理评审,能够明确体系运行过程中存在的问题。

    在明确了问题之后,便可以确定相应的改进办法。

    相关工作人员也可以采取措施进行处理。

    在处理完毕之后,仍然要继续保持对系统的监控,使得体系得以持续发展,不断满足新的安全需求。

    ISO 27001信息安全管理体系

    国家等级保护制度(GB)

    网络安全等级保护是国家信息安全保障的基本制度、基本策略、基本方法。网络安全等级保护工作是对信息和信息载体按照重要性等级分级别进行保护的一种工作。信息系统运营、使用单位应当选择符合国家要求的测评机构,依据《信息安全技术网络安全等级保护基本要求》等技术标准,定期对信息系统开展测评工作。

    等保2.0

     

     

    ISMS标准与等级保护的共同之处

    都可以加强对信息安全保障工作

    在ISMS建立过程中需要结合等级保护的工作,通过等级测评,对信息系统实施等级保护。一方面可以切实的建立合适的信息安全管理体系,另一方面可以推动等级保护工作的实施,甚至可以建立等级化的信息安全管理体系。

    对安全管理的要求有相同点

    从ISMS和等级测评的实施依据看,都用到了ISO 17799。ISMS实施过程中,ISO 27001的建设过程要求,依据ISO 17799中的控制目标与控制措施来实施风险评估与建立组织的安全策略、措施等。在等级测评过程中,依据DB/T 171-2002中的安全管理测评要求也来自于ISO 17799的各项安全控制目标与控制措施。

    能够相互促进与补充

    通过ISMS建设实践与等级保护实践,建立ISMS与信息系统的等级测评可以是相互促进与补充的作用。ISO 17799的控制措施包含了等级保护安全管理方面的绝大多数要求,而信息安全管理体系实施流程中风险控制的选择,结合信息系统确定的安全等级的要求,从等级保护相关标准中补充选择ISO 17799之外的控制措施,所以完全满足等级保护安全管理的要求。

    ISMS标准和等级保护的区别

    出发点和侧重点不同

    • 等级保护制度作为信息安全保障的一项基本制度,兼顾了技术和管理两个方面,重点在于如何利用现有的资源保护重要的信息系统,主要体现了分级分类,保护重点的思想。
    • ISMS主要从安全管理的角度出发,重点在于组织或其特定范围内建立信息安全方针、政策,安全管理制度和安全管理组织,并使其有效落实,主要体现了安全管理的作用和重要性。

    实施依据不同

    • ISMS的直接标准是ISO27001,其中详细规定了实施ISMS的完整过程与模型,在实施ISMS过程中,间接使用的标准是ISO17799,其中详细介绍了信息安全管理要求。
    • 等级保护主要是为验证信息系统是否达到某一个安全等级的要求,其标准依据主要是GB 17859-1999。

    实施主体不同

    • ISMS的建设主体当前主要是各企业组织
    • 等级测评的主体是经过国家认可的信息安全测评认证组织

    实施对象不同

    • ISMS体系的实施对象主要是各企业单位
    • 等级保护的实施对象主要是有信息系统等级要求的各级党政机关等政府部门

    实施过程不同

    • 等级保护制度的完整实施过程是贯穿信息系统的整个生命周期
    • ISMS的完整实施过程贯穿组织或组织某一特定范围的管理体系的整个生命周期,可以与组织或组织某一特定范围的管理体系同步进行,也可以在其管理体系已建设完成的基础上进行。

    结果不同

    • ISMS的建设结果是为组织建立一套ISMS的体系文件,有力的加强本组织的信息安全
    • 等级测评的结果是给出被测评对象是否达到声明的安全等级要求

    ISMS标准和等级保护的融合

    标准的融合

    ISMS有两个标准(ISO/IEC 27001:2005与ISO/IEC 17700:2005),其中ISO/IEC 27001:2005属于要求标准,是ISMS建立的重要标准;而ISO/IEC 17700:2005属于指南标准,是控制措施的实施指南。在等级保护中,《信息系统安全等级保护基本要求》是实施等级保护制度的基本要求。控制措施是ISMS与等级保护制度中的重要内容。

    结构的融合

    ISMS和等级保护对控制措施的要求可以利用ISMS的结构(控制类别-控制目标-控制措施),加以描述,然后划分不同的等级要求,即二者可以结合成坐标轴结构,横轴为控制措施目标和要求,纵轴则为不同的等级要求。

    内容的融合

    二者都在控制措施上有详细的实施描述,因此可以从内容上加以融合。

    实施过程的融合

    等级保护的实施过程:系统定级-安全规划设计-安全实施-安全运行维护。

    ISMS的实施过程:需要遵循PDCA模型,如上文。

    从等级保护制度的实施过程看,也可以将其归为PDCA模型,系统定级和安全规划设计归为P阶段,安全实施归为D阶段,安全运行维护可以视为C阶段和A阶段。因此二者在实施的时候,可以按照PDCA模型来进行组织。

    隐私

    物理上的隐私:搜查个人住宅或个人财产、搜身、监控或提取生物特征信息等;

    信息性的隐私:即个人控制、编辑、管理和删除关于自己信息的能力和决定如何与他人沟通自己这些信息的能力。

    个人数据

    指与一个身份已被识别或者身份可被识别的自然人(即“数据主体”)相关的任何信息;身份可识别的自然人,是指其身份可以通过诸如姓名、身份证号、位置数据等识别码,或者通过一个或多个与自然人的身体、生理、精神、经济、文化或者社会身份相关的特定因素来直接或者间接地被识别。个人数据包括:自然人的email地址、电话号码、生物特征(如指纹)、位置数据、IP地址、医疗信息、宗教信仰、社保号、婚姻状态等。”

    敏感个人数据

    敏感个人数据: 指在个人基本权利和自由方面极其敏感,一旦泄露可能会造成人身损害、财务损失、名誉损害、身份盗窃或欺诈、歧视性待遇等的个人数据。

    通常情况下,敏感个人数据包括但不限于可以揭示种族或血统、政治观点、宗教或哲学信仰、工会成员资格的数据,用于唯一识别自然人的基因数据、生物数据(如指纹),与自然人的健康、性取向相关的数据。”

    《一般数据保护条例》(General Data Protection Regulation,简称GDPR)

    GDPR的三种角色

    保护对象:GDPR保护的仅是个人数据personal data,不涉及个人数据以外的其他数据。

    涉及的角色:数据主体(data subject)、数据控制者(controller)、数据处理者(processor

    管辖范围:数据控制着和处理者的业务范围牵涉到欧盟的数据主体的所有企业。

    数据控制者和数据处理者的特点

    数据控制者决定个人数据处理的目的及方式,满足以下任何一项即成为数据控制者:决定了个人数据处理的目的;决定了个人数据处理的方式。

    数据处理者代表数据控制者处理个人数据,同时满足以下两项即成为数据处理者:不决定个人数据的处理目的及方式;按照数据控制者的指示及要求进行处理。

    若数据处理者未能同时满足以上两项要求,则有可能转换为数据控制者而承担相应的责任和义务。

    数据控制者和数据处理者的义务

    我们还将为您介绍数据控制者和数据处理者义务:

    数据控制者的义务

    • 数据控制者应采取适当的技术和组织措施以确保并证明处理行为是按照GDPR的规定进行的。
    • 数据保护的系统保护和默认保护(data protection by design and by default):数据控制者将安全保障融入个人数据处理活动中。默认只处理对于实现业务目的所必须的个人数据
    • 管理数据处理者:数据控制者只可使用符合GDPR要求的处理者;必须与处理者订立个人数据合同
    • 记录数据处理活动:数据控制者以书面方式记录由其负责的数据处理活动。
    • 保证安全性:数据控制者采取适当的技术和组织措施保证与风险匹配的安全性;保证个人数据处理系统和服务的保密性、完整性、可用性和可恢复性能力。
    • 数据泄露通知:数据控制者应做到,发生个人数据泄露事件,在知情后72小时内向主管机构通知;可能给数据主体带来高风险时,及时告知数据主体;存档任何个人数据泄露事件,包括与事件相关的事实、影响及采取的补救措施。
    • 数据保护影响评估(Data protection impact assessment:数据处理活动可能对个人的权利和自由带来高风险时,在处理前必须进行数据保护影响评估。在指定情形下须征求数据保护专员(DPO)的建议,并由其决定是否咨询数据保护机构。

    数据处理者的义务

    • 遵从数据控制者指示:只可按照控制者的书面指示进行数据处理活动;未经授权,不得使用其他处理者
    • 第三方管理:在使用其他处理者实施特定的处理活动时,需提供充分保障以实施适当的技术和组织措施以满足GDPR合规;当其他处理者未能遵守数据保护义务时,原数据处理者应当向数据控制者承担全部责任。
    • 记录数据处理活动:书面记录代表控制者进行的数据处理活动。
    • 保证安全性:保证与风险匹配的安全性;保证个人数据处理系统和服务的保密性、完整性、可用性和可恢复性
    • 对数据控制者通知:得知数据泄露事件时,及时通知控制者
    • 值得注意的是,数据控制者和数据处理者在以下情形下均须任命数据保护官:核心活动包括需要对数据主体进行定期和系统的大规模监测时;核心活动包括大规模处理敏感个人数据时;欧盟成员国法律要求时

    数据主体权利

    GDPR旨在保护自然人的基本权利和自由,尤其是个人数据保护的权利,下面让我们来看看数据主体都有哪些基本权利。

    知情权(Right to be informed

    数据主体有权获得与其个人数据处理相关的信息,这些信息必须以透明、易懂、易于获取的方式提供。

    访问权(Right of access for the data subject)

    数据主体有权访问其个人数据并获取个人数据处理活动的相关信息。

    更正权(Right to rectification

    数据主体有权要求数据控制者修改、补充不准确或不完整的个人数据。

    删除权(被遗忘的权利)(Right to erasure (“right to be forgotten")

    数据主体在特定法律情形下有权要求控制者删除其个人数据。如个人数据与最初的收集/处理目的不再必要相关、数据主体撤回同意或授权等。

    限制处理权(Right to restriction of processing

    在数据主体质疑数据的准确性、数据被非法处理等前提下,数据主体有权要求控制者限制数据处理活动

    反对权(Right to object

    数据主体对以下行为拥有反对权:基于公共利益或他人合法利益处理其个人数据;为了精准营销处理其个人数据;为了科学/历史研究和统计目的进行数据处理。

    数据可携权(Right to data portability

    出于个人目的,数据主体有权在不妨碍可用性的前提下以安全可靠的方式将个人数据在数据控制者之间跨服务转移。

    不受制于自动化决策的权利(The right not subject to a decision based solely on automated processing

    GDPR为数据主体提供了保护措施,防止在没有人为干预的情况下做出可能有破坏性的决定的风险。

    个人数据处理的基本原则

    合法、正当、透明

    指个人数据应当以合法、正当、对数据主体透明的方式被处理。

    目的限制

    指个人数据应当基于具体、明确、合法的目的收集,不应以与此目的不相符的方式作进一步处理。

    数据最小化

    指个人数据应与数据处理目的相关,且是适当、必要的。尽可能对个人数据进行匿名或化名,降低对数据主体的风险。

    准确性

    指个人数据应当是准确的,并在必要的情况下及时更新。根据数据处理的目的,采取合理的措施确保及时删除或修正不准确的个人数据。

    存储期限最小化

    存储个人数据不超过实现数据处理目的所必要的期限。。

    完整性与保密性

    指根据现有技术能力、实施成本、隐私风险程度和概率,采取适度的技术或组织措施,确保个人数据的适度安全,包括防止个人数据被意外或非法毁损、丢失、篡改、未授权访问和披露。

    可归责

    指数据控制者须负责且能够对外展示遵从上述原则。

    个人数据使用过程中的隐私风险

    匿名(匿名化):对个人数据进行“不可逆地去个人化”处理,使数据控制者及其他任何人在合理范围内的时间、成本、技术之下都无法再识别到相关自然人。匿名后的数据不再是个人数据,不需要遵从个人数据处理的基本原则进行处理。

    化名(假名化):对个人数据进行处理,使之在不借助额外信息时不再能识别到特定的数据主体。这些额外信息单独保存,且受到技术和组织措施的保护,以确保化名后的数据不再能识别到特定的自然人。但化名只是降低了个人数据与数据主体之间的关联度,化名后的数据仍然是个人数据,需要遵从个人数据处理的基本原则进行处理。

    GDPR适用范围定义

     将个人数据变为匿名化数据,规避法律风险;

     将合法获取到的个人数据,做假名化处理,降低数据使用或泄露的法律风险及名誉损失;

     匿名化和假名化处理在降低数据隐私风险的同时,将会降低数据可用性。如何在保护用户隐私的同时,确保数据的可用性,是隐私保护匿名化技术的算法精髓所在。

     

    数据屏蔽技术的原理

    数据屏蔽(Data masking),也称为数据脱敏。按照架构可分为两大类:静态数据屏蔽(SDM)和动态数据屏蔽(DDM)

     

    数据屏蔽技术的原理 - 算法

    掩码

    将属性值的部分字符替换为固定的特殊字符(例如*)。

    截断

    舍弃属性值的后几位信息来保证数据的模糊性。

    加噪

    对原始数据增加一个随机值。

    偏移

    属于加噪的一种特殊形式,对原始数据增加一个固定值。

    日期偏移取整

    在偏移的基础上进行取整处理,舍弃精度来保证原始数据的安全性。

    置换

    属于加噪的一种特殊形式,将原始值映射为唯一的一个新值。

    枚举

    属于加噪的一种特殊形式,将原始值映射为唯一的一个新值,并且保留顺序。

    保留前缀

    保留数据的n位前缀。

    加密

    通过密钥对数据进行加密。

    哈希

    使用加盐、密钥等哈希函数对数据进行转换。

    标志化

    使用加密、索引函数或随机数生成算法替换ID号。

    泛化技术的原理 - 基本概念

    K-Anonymity(K-匿名化)- 1

    K-Anonymity 的目的是保证公开的数据中包含的个人信息至少 k-1 条不能通过其他个人信息确定出来。也就是公开数据中的任意 Quasi-identifier信息,相同的组合都需要出现至少 k 次。

    K-Anonymity(K-匿名化)- 2

    用户标志假名并不能完全做到匿名化,假名化后的用户标识SUID与原用户标识UID保留了1对1映射关系,仍然可以通过链接攻击、彩虹表攻击等方式还原个体。

    K-Anonymity(K-匿名化)- 3

    删除用户标识,并将AGE、ZIPCODE属性值进行K-匿名(例如K=5)处理,保证每个属性值相同的组(等价类)中至少包含K个记录,从而将链接攻击风险下降为1/K。

    K-匿名化的优势和风险

    未排序匹配攻击 (unsorted matching attack) 

    当公开的数据记录和原始记录的顺序一样的时候,攻击者可以猜出匿名化的记录是属于谁。例如如果攻击者知道在数据中小明是排在小白前面,那么他就可以确认,小明的购买偏好是电子产品,小白是家用电器。解决方法也很简单,在公开数据之前先打乱原始数据的顺序就可以避免这类的攻击。

    补充数据攻击 (complementary release attack) 

    假如公开的数据有多种类型,如果它们的 k-anonymity 方法不同,那么攻击者可以通过关联多种数据推测用户信息。

     

    展开全文
  • 12月3日,由永安在线主办的首届API安全管理论坛在深圳成功举办众多安全领域技术专家以及企业信息安全决策与实践者齐聚一堂,围绕数字化时代下API面临的挑战及如何进行API安全管理进行了分享与探讨,论坛现场座无虚席...

    12月3日,由永安在线主办的首届API安全管理论坛在深圳成功举办众多安全领域技术专家以及企业信息安全决策与实践者齐聚一堂,围绕数字化时代下API面临的挑战及如何进行API安全管理进行了分享与探讨,论坛现场座无虚席,精彩观点不断。

    图片

    对API的保护本质上就是对数据安全的保护

    API 在现代应用程序架构中发挥着非常重要的作用,当创新发展和安全意识发展的不同步发生时,带来的安全风险将加大,目前API面临的十大关键安全风险是哪些?在论坛伊始,OWASP中国广东区域负责人肖文棣以OWASP API Top 10作为基础,结合案例详细解读十大API安全风险。

    他表示,无论线上购物还是进行银行交易都离不开对API的访问和控制,对API的保护实质上就是对数据安全的保护,这是企业必选题。OWASP API Top 10是通过可利用性、弱点普遍性、弱点可检测性、技术影响、业务影响等指标来进行风险评级评出,企业应当针对这些API关键风险进行逐一解决,特别是关注API业务逻辑缺陷和过度数据暴露,在现场,他为参会者分享了预防策略。

    图片

    (OWASP中国广东区域负责人 肖文棣)

    API安全应该独立于Web安全之外

    Web API本身是一个cgi,API安全一直以来都是Web安全中的一类,为什么最近几年偏偏把API安全单独拿出来讨论?API面临哪些安全挑战?该如何来做好防御?腾讯技术工程事业群安全专家胡珀就以《新的安全威胁:API安全的挑战及应对策略》为主题进行了分享。

    他提出,目前企业都拥有大量的API,很多数据安全事件也因为API滥用所致,这是API单独拿出来讨论的直接原因。而API安全形势之所以严峻,主要源于四个原因:外部黑客紧盯、能力沉淀不足、支撑功能未跟上、自身安全机制考虑欠缺。这些除了自身安全意识的提高之外,也更需要针对性的管理工具来辅助。

    图片

    (腾讯技术工程事业群安全专家 胡珀)

    API安全场景下数据安全的管理难点在哪?

    在云原生背景下,微服务架构的API治理与数据安全的保障密切相关,将如何进行应用安全保障?乐信集团信息安全中心总监刘志诚以《API安全解决数据安全问题实践》为主题进行了分享。

    他认为,数据安全疑点主要在三个方面:一是分级分类如何应用,二是数据脱敏的When和Where,三是API访问数据的Who和How。目前大量API的分级分类管理存在困难,因此涉敏数据的暴露不断发生。作为企业安全的设计者、建设者和管理者,解决数据安全问题的首要就是对API的清晰梳理,才能对涉敏数据的分级分类管理,解决数据安全问题。

    图片

    (乐信集团信息安全中心总监 刘志诚)

    API因承载数据和业务逻辑,已成为了新的攻防面

    API因承载数据和业务逻辑,成为了新的攻防面,并且攻击能够隐藏在符合逻辑的合法访问请求中,目前常用的安全工具能否解决这些API安全管理问题?更有效的技术路径又是哪些?永安在线COO邵付东以《API安全管理的更优解:以情报建立API安全基线》为主题对这些问题进行了分析和分享,并发布以永安在线核心技术优势——行业领先的【情报】打造的产品:API安全管控平台。

    图片

    (永安在线COO 邵付东)

    随着企业在整个研发过程中越来越强调敏捷开发和(CI/CD)集成部署,导致整个业务研发节奏加快,很多企业对API的管控处于失控状态,出现了接口未知、攻击未知、阻断未知的挑战。

    邵付东表示,在面对业务快速发展,API快速更迭,攻击流量隐藏在正常的业务流量当中并且更多利用API业务逻辑漏洞进行攻击的现状,市面现有通过WAF和API网关来进行API安全管理的方式存在明显不足。例如不是所有的API流量都会经过WAF,尤其是东西向流量,并且它根据每条流量及时做出判断,无法解决API逻辑攻击;另外,不是所有的API都会到网关注册,业务会存在大量影子API,而且授权和限频等方法无法解决黑产利用海量小号、秒拨代理IP进行的低频攻击。从而导致大量的误判、漏判。接口未知、攻击未知、阻断未知的状态无法很好解决。

    API安全管理的更优解:永安在线API安全管控平台

    对此,永安在线推出了新一代API安全管控平台,以情报建立API安全基线,通过旁路镜像的方式提供API资产梳理、敏感数据管理、API风险感知、API安全缺陷评估等多方面能力。帮助企业构建可预防、可解释、可溯源的API安全管理体系,让企业能够有效实现对API资产的全面盘点、防止敏感数据暴露、预防发现阻断API遭受攻击、提升风险事件的响应速度以及数据合规自查。

    图片

    1、以精准情报建立API安全基线,提高攻防对抗主动权

    通过精准情报为业务建立API安全基线。误判率低,可用性高,风险发现准确达95%,可及时全面感知企业外部API风险,尤其是隐匿在正常业务流量中的黑产攻击。

    2、全面梳理API资产,快速定位攻击点和薄弱点

    自动化实时发现企业内部、外部和第三方API,包括未知(影子)API和失活(僵尸)API,提供完整的实时更新的API清单。

    3、敏感数据的流动管理,实现数据合规自查

    依据《金融数据安全数据安全分级指南》将敏感数据类型分级管理,支持40多种敏感数据的查询,清晰掌握自身敏感数据的流动情况。

    “我们的产品优势在于通过情报能力可以准确描绘出业务风险全景图,站在外部的视角从海量业务流量中过滤出可疑流量,避免了利用规则和频次无法识别的隐藏在合法业务请求中的风险;另一方面情报还能对识别出的风险能给出具体的攻击团伙以及攻击者的攻击方法,这样不仅保障了识别风险的准确度,也让风控变得具备可解释性,也为下一步的打击追责提供有利支撑”邵付东在介绍技术路径选择时表示。

    展开全文
  • 2020 年 3 月 1 日由公安部颁布的《互联网交互式服务安全管理要求》1-5 部分行业标准(以下简称“标准”)正式实施,为互联网交互式服务提供者落实互联网安全管理制度和安全技术措施提供...

    2020 年 3 月 1 日由公安部颁布的《互联网交互式服务安全管理要求》1-5 部分行业标准(以下简称“标准”)正式实施,为互联网交互式服务提供者落实互联网安全管理制度和安全技术措施提供了有效依据。

    近日,北京网络行业协会面向全体会员单位召开线上“《互联网交互式服务安全管理要求》宣贯工作会”,邀请了标准起草专家对内容做相关解读,以期解决各单位在“标准”的理解、执行方面仍存在的诸多疑惑和困难,知道创宇作为成员单位参与了此次会议

    作为网络安全企业,知道创宇责无旁贷,积极投身网络强国建设,以安全实战能力践行历史赋予我们的责任与担当。结合此次宣贯会议,知道创宇业务安全大脑团队特别整理、解读了《互联网交互式服务安全管理要求》的重点内容,帮助企业深入理解标准内容,更好地落地执行。

    本文略长,建议先收藏再阅读~

    《互联网交互式服务安全管理要求》宣贯解读

    第1部分:基本要求

    一、《管理要求》的制定背景和基本框架

    1

    制定背景

    根据第47次《中国互联网络发展状况统计报告》,截止2020年12月,我国网民规模达到9.89亿,我国国内市场上监测到的App数量达到345万款。目前,我国个人互联网应用增长较为平稳,其中用户规模增长最为显著的为短视频、网络支付和网络购物,增长率分别为12.9%、11.2%和10.2%;基础类应用中,即时通信、搜索引擎保持平稳增长态势,增长率为9.5%、2.6%;网络娱乐类应用中,网络直播保持快速增长,增长率为10.2%;网络视频、网络音乐的用户规模分别增长9.0%、3.6%。(以上增长对比为2020年3月数据)

    我国网民规模占全球网民的五分之一,网络安全已上升为国家安全的核心内容和重要组成,需要“牵一发而动全身”的基础安全、综合安全和整体安全全面配合。

    2

    基本框架

    GA 1277《互联网交互式服务安全管理要求》按照GB/T 1.1-2009给出的规则起草,代替GA 1277-2015《信息安全技术互联网交互式服务安全保护要求》,与GA 1277-2015相比有部分变化,主要适用于互联网交互式服务提供者落实互联网安全管理制度和安全技术措施,帮助其细化明确法定责任义务,完善信息网络安全管理制度,规范互联网信息服务活动。

    《互联网交互式服务安全管理要求》拟分成多个部分,包括基本要求和具体服务类型中的要求,计划发布的管理内容包括:基本要求、微博客服务、音视频聊天室服务、即时通信服务、论坛服务、移动应用软件发布平台、云服务、电子商务平台、搜索服务、互联网约车服务和互联网短租房服务。目前已由公安部信息系统安全标准化技术委员会制定发布了基本要求、微博客服务、音视频聊天室服务、即时通信服务、论坛服务等五个部分的强制性公共安全行业标准,于2020年3月1日正式开始实施。

    二、细化了网络安全管理制度要求

    互联网交互式服务提供者应建立文件化的安全管理制度,安全管理制度文件应包括:

    1.安全责任制度

    2.安全岗位管理制度

    3.安全培训制度

    4.人员管理制度

    5.安全运维管理制度

    6.安全评估报备制度

    7.用户注册制度

    8.信息发布审核制度

    9.信息巡查制度

    10.个人信息保护制度

    11.用户投诉举报接收处理制度

    12.安全事件监测、预警、通报及应急响应制度

    13.适用的现行法律、法规、规章、标准和行政审批文件

    互联网交互式服务提供者应建立与安全管理制度相配套的操作规程,包括但不限于:网络与系统运行安全、数据安全和备份、日志与用户数据记录、信息发布审核、违法有害信息防范和处置、个人信息保护、破坏性程序防范、分包等。同时,安全管理制度应经过管理层批准并发布执行。

    三、细化了网络安全责任分配

    1. 互联网交互式服务提供者应在安全责任制度中明确主要负责人、网络安全责任人、安全管理负责人及其他责任人员的责任;

    2. 互联网交互式服务提供者应在安全岗位管理制度中明确关键岗位人员及其职责,其中职责应包括保密管理职责。

    四、细化了网络安全防护措施要求

    1

    网络与系统运行安全

    互联网交互式服务提供者应综合考虑系统的安全需求,制定整体的安全防护方案,落实安全防护措施,建立应急响应体系,包括但不限于:

    A.重要系统和数据库具备容灾能力

    B.根据业务需求,及时进行补丁更新

    C.实施计算机病毒等恶意代码的预防、检测和系统被破坏后的恢复措施

    D.实施不间断地网络攻击和网络入侵行为的预防、检测与响应措施

    E.适用时,对重要文件的完整性进行检测,并具备文件完整性受到破坏后的恢复措施

    F.采取技术措施监测、记录网络运行状态、信息安全事件和用户活动行为等

    G.对系统的脆弱性进行评估(包括安全扫描、渗透测试等方式),并采取适当的措施处理相关的风险

    2

    数据安全与备份

    互联网交互式服务提供者应对数据采取备份和保护等措施,保证数据的安全,包括但不限于:

    A.对数据进行分级分类

    B.对重要数据的传输和存储采取加密等安全保护措施

    C.根据数据分类结果建立不同数据的备份策略,提供足够的备份设施,确保必要的信息和软件在灾难或介质故障时可以恢复

    D.建立数据安全备份和恢复流程,必要时对备份和恢复过程进行演练,并对备份数据进行定期校验

    五、细化了网络日志留存期限要求

    互联网交互式服务提供者应留存相关的日志和用户数据,具体保存周期要求如下:

    1. 永久保留用户注册信息及历史变更信息;

    2. 留存网络运行日志和系统维护日志不少于6个月;

    3. 留存网络安全事件日志不少于6个月;

    4. 留存用户活动日志不少于6个月;

    5. 留存用户发布的信息内容不少于6个月。

    六、细化了网络用户实名注册管理要求

    互联网交互式服务提供者应建立用户管理机制,包括但不限于:

    1

    对用户真实身份信息进行有效核验,有效核验方法应能追溯到用户登记的真实身份,如:

    A.身份证与姓名的实名验证服务

    B.有效的银行卡

    C.合法、有效的数字证书

    D.已确认真实身份的网络服务的注册用户

    E.经电信运营商接入实名认证的用户

    F.生物特征

    2

    禁止匿名用户的信息发布权限,仅提供基本的浏览、查看等功能。

    3

    对用户的账号、昵称、头像和备注等信息进行审核,禁止使用以下内容:

    A.违反国家现行法律法规规定的

    B.违背社会公序良俗的

    C.容易引起公众不良反应或误解的

    4

    建立用户黑名单制度,对互联网交互式服务提供者自行发现以及公安机关通报的多次、大量发送传播违法有害信息的用户应纳入黑名单管理。

    七、细化了防范违法有害信息扩散传播的措施要求

    互联网交互式服务提供者应采取技术措施过滤违法有害信息,包括但不限于:

    1. 基于关键词的违法有害文字信息(支持文字的变种、混淆等)的屏蔽过滤;

    2. 基于样本数据特征值的违法有害音视频、图片的屏蔽过滤;

    3. 基于违法有害外域链接的屏蔽过滤。

    互联网交互式服务提供者应采取技术措施对违法有害信息的来源实施控制,防止继续传播。违法有害信息来源控制技术措施包括但不限于:封禁特定账号、禁止新建账号、禁止分享、禁止留言及回复、控制特定发布来源、控制特定区域或指定IP账号登录、禁止客户端推送、切断与第三方应用的互联互通等。

    八、细化了配合公安机关开展涉网违法犯罪案事件协查的措施要求

    互联网交互式服务提供者应建立涉嫌违法犯罪线、异常情况报告、安全提示和案件调查配合机制,包括:

    1.对发现的违法有害信息,立即停止发布传输,保留相关证据(包括用户注册信息、用户登录信息、用户发布信息等记录),并向属地公安机关报告;

    2.对于煽动非法聚集、策划恐怖互动、扬言实施个人极端行为等重要情况或重大紧急事件立即向属地公安机关报告,同时配合公安机关做好调查取证工作;

    3.在不破坏数据完整性、有效性的前提下,将相关电子数据及时传给属地公安机关,通知相应的公安机关进行现场处理;

    4.互联网交互式服务提供者应与公安机关建立全天候的违法有害信息快速处置工作机制,应能及时删除有明确URL的单条违法有害信息,特定文本、图片、视频、链接等信息的源头以及分享中的任一环节,相关的屏蔽过滤措施应能及时生效。

    九、细化了个人信息安全保护的措施要求

    网络交互式服务提供者应建立覆盖个人信息处理的各个环节的安全保护制度和技术措施,防止个人信息泄露、损毁、丢失,包括:

    1.采用加密方式保存用户密码等重要信息;

    2.对内部员工涉及个人信息的所有操作进行审计,并对审计结果进行分析,预防内部员工故意泄露;

    3.对个人信息的采集、存储或传输行为进行审计,作为信息是否泄露、毁损、丢失的查询依据;

    4.建立程序来控制对涉及个人信息的系统和服务的访问权的分配,这些程序涵盖用户访问生存周期内的各个阶段。

    第2部分:微博客服务

    一、细化了对发布违法有害信息账号的管控措施

    微博客服务提供商应将制作、复制、发布、传播违法有害信息的、多次被其他用户举报或投诉的以及公安机关通报的涉嫌违法犯罪的用户纳入黑名单管理,并根据情节轻重,采取以下动态管理控制措施:

    1.封禁其账号或限制其账号功能;

    2.控制其微博客功能,直至关闭所有功能;

    3.控制其微博客的粉丝数量,直至关闭粉丝关注功能;

    4.对其微博客发布内容实施先审后发措施;

    5.限制其微博客信息发布频率;

    6.控制其微博客内容被转载范围;

    7.控制其微博客只能给其自身的粉丝用户发送私信;

    8.控制其微博客内容只能被其自身的粉丝用户评论;

    9.控制其微博客推荐给他人或其他用户检索;

    10.控制其在其他用户或热门事件微博客下进行评论。

    二、细化了对微博客群组的管控措施

    微博客服务提供商应对微博客群组进行管理,并满足以下要求:

    1.能够根据公安机关的要求设定微博客群组人数上限;

    2.微博客群组创建者、管理员需经实名认证;

    3.群组头像、群组公告以及群组内发布文件不得包含违法有害信息;

    4.所有群组名称均可被搜索;

    5.至少每90天对群组发布信息进行一次巡查。

    三、细化了对微博客用户发布信息的安全审核措施

    微博客服务提供商应具备微博客信息的发布控制功能,并满足以下要求:

    1.对特定区域、特定IP用户发布的微博客信息(包含文本、图片、音视频、链接等信息)进行审核控制,实行先审后发措施;

    2.对网页、客户端等微博客发布源进行审核控制,具备切断一项甚至多项微博客信息发布来源的功能。

    第3部分:音视频聊天室服务

    一、细化了对发布违法有害信息账号的管控措施

    音视频聊天室服务提供商应将制作、复制、发布、传播违法有害信息的、多次被其他用户举报或投诉的以及公安机关通报的涉嫌违法犯罪的用户纳入黑名单管理,并根据情节轻重,采取以下动态管理控制措施:

    1.控制其聊天室账号推荐给他人或其他用户检索;

    2.对其发布内容实行先审后发措施;

    3.限制其信息发布频率;

    4.控制其聊天室内容被转载范围;

    5.控制其音视频聊天功能和粉丝数量;

    6.停止服务,封停账号;

    7.禁止该身份信息再次注册新账号。

    二、细化了对音视频聊天室的管控措施

    应对音视频聊天室进行管理,并满足一下要求:

    1.能够根据需要设定音视频聊天室人数上限;

    2.音视频聊天室所有者、管理员实名认证;

    3.对音视频聊天室的房间名称、频道进行审核;

    4.所有音视频聊天室名称均可被搜索;

    5.定期对音视频聊天室内发布信息进行巡查。

    三、细化了对音视频聊天室用户发布短视频或直播的安全审核措施

    音视频聊天室服务提供商应具备对音视频直播内容的实时监看措施。对同时在线人数超过500人的音视频聊天室和粉丝数量超过1万人的频道主持开设的音视频频道,应以不少于5秒/帧的频次进行视频监看。

    音视频聊天室服务提供商应审核用户发布信息、评论信息等是否包含违法有害信息。音视频聊天室服务提供商可采取人工监看与音视频技术识别、分析或扫描等相结合的方法进行安全审核,并满足以下要求:

    1.非实时直播内容实行先审后发措施;

    2.实时交互和直播内容应采用安全管理员视频监看审核措施。

    第4部分:即时通信服务

    一、细化了对发布违法有害信息账号的管控措施

    即时通信服务提供者应将制作、复制、发布、传播违法有害信息,多次被其他用户举报或投诉的以及公安机关通报的涉嫌违法犯罪的用户纳入黑名单管理,并根据情节轻重,采取以下动态管理控制措施:

    1.控制其消息发送频率;

    2.控制其消息发送功能;

    3.控制该账号功能、好友数量、加入或创建的群组数量;

    4.控制其IM账号对其他用户可见或被其他用户检索;

    5.强制账号下线,停止服务;

    6.封停账号;

    7.禁止该身份信息再次注册新账号。

    二、细化了对即时通信群组的管控措施

    即时通信服务提供者应对群组进行管理,并满足以下要求:

    1.对即时通信群组名称进行审核,禁止使用下列昵称:违反国家现行法律法规规定的、违背社会公序良俗的、容易引起公众不良反应或误解的;

    2.对每个用户可以参加的群组数量设置上限;

    3.能够根据公安机关的要求设定群组人数上限;

    4.对规模超过500人的大型群组进行专项认证和备案管理,大型群组的群主、管理员应提供有效证件的复印件和真实可达的联系方式,并由运营商对此信息的真实性进行核验;大型群组的群组标识、群组名称、群组类型、群组管理机构、群组成员列表、群组创建时间、创建地IP、终端类型等信息需在运营商处备案;

    5.所有群组名称和群组标识均可被搜索;

    6.至少每90天对群组内的文字、图像、声音等信息进行一次巡查。

    第5部分:论坛服务

    一、细化了对发布违法有害信息账号的管控措施

    论坛服务提供商应将制作、复制、发布,传播违法有害信息的、多次被其他用户举报或投诉的以及公安机关通报的涉嫌违法犯罪的用户纳入黑名单管理,并根据情节轻重,采取以下控制措施:

    1. 对其发布的内容实施逐条审核,坚持先审后发原则;

    2. 控制其网络账号推荐给他人或被其他用户检索;

    3. 控制其账号功能和好友数量;

    4. 控制其站内信发送功能;

    5. 控制其发布的内容被回复;

    6. 控制其发布的内容被转载范围;

    7. 控制其对其他用户发帖进行评论的功能;

    8. 限制其论坛信息发布频率;

    9. 控制其论坛发帖和回复功能;

    10. 禁止发帖;

    11. 封停账号,停止服务;

    12. 禁止该身份信息再次注册新账号。

    二、细化了对论坛群组的管控措施

    论坛服务提供商应对论坛群组进行管理,并满足以下要求:

    1. 能够根据公安机关的要求设定论坛群组人数上限;

    2. 论坛群组创建者、管理员需经实名认证;

    3. 群组头像、群组公告以及群组内发布文件不得包含违法有害信息;

    4. 所有群组名称均可被搜索;

    5. 至少每90天对群组发布信息进行一次巡查。

    三、细化了对论坛用户发布信息的安全审核措施

    论坛服务提供商应具备安全审核功能,并满足以下要求:

    1.对特定的论坛用户和黑名单用户发布的论坛信息进行逐条审核,实行先审后发的措施;

    2.对其他论坛用户发布的论坛信息进行抽查审核,实行边发边抽审的措施。

    论坛服务提供商应审核发布信息、转发信息、评论信息、群组公告以及群组内发布文件等内容是否包含违法有害信息。论坛服务提供商应采取人工或自动化、动态分析或静态扫描等方式进行安全审核。

    知道创宇业务安全应用大脑已为中宣部、人民网等政府门户提供重要保障,是腾讯、京东、今日头条的首选业务安全服务商。以下产品可以助力企业更好落地《互联网交互式服务安全管理要求》执行标准:

    知道创宇互联网认证解决方案,十年互联网认证实战经验,通过主体身份认证、行业资质核验、产品资质核查、品牌商标授权核实、版权/著作权授权核实等方式对企业、机构、组织、个人等主体进行资质认证审核,为互联网平台提供认证体系的搭建咨询和实施服务,从准入规则、认证分级、验证流程到结果应用等方面,帮助平台方有效规避风险。

    知道创宇基于十年内容安全审核实战经验,提出基于“AI+引擎 + 安全大数据 + 人工专家”的内容安全解决方案,聚焦内容智能理解核心技术,现已推出护架卫士内容安全审核产品和智能内容审核作业平台。以内容风控为初始应用场景,不断提升核心能力并将核心能力赋能到多个行业,已经成为全球内容智能理解的领导企业。

    站群内容安全云监测可以为客户提供“内容净、监测准、告警全、专项快”的一站式服务,帮助监管单位、政府部门、运营商、集约化平台、互联网企业落实网络信息内容管理,为社交网络、视频直播等新兴互联网平台进行全行业赋能。

    精彩推荐

    云蜜罐VS“经典款”蜜罐

    直降千元!创宇信用网站认证开展初创企业优惠活动

    被黑客“掐断”最大燃油管道,关键基础设施防护更需积极防御体系

    展开全文
  • 相关题目与解析密码是保障网络与信息安全核心技术和基础支撑。关键信息基础设施应当使用()进行保护。...保障信息安全最基本、最核心的技术措施是()。A、数据加密技术B、信息确认技术C、网络控制技术D、反()是...
  • 高职组“信息安全管理与评估”赛项规程 一、赛项名称 赛项名称:信息安全管理与评估 二、竞赛目的 通过赛项检验参赛选手网络组建、安全架构、渗透测试、攻防实战等方面的技术技能,检验参赛队组织和团队协作等...
  • 蓝牙篇之蓝牙核心规范(V5.2)深入详解汇总 目录 3 配对方法 3.1 安全属性 3.2 IO能力 3.3 OOB认证数据 3.4 加密密钥大小 3.5配对算法 3.5.1 选择密钥生成方法 3.5.2 LE传统配对-Just Works 3.5.3 LE传统...
  • 1.( )是将企业作为安全管理的主体,是指经济和生产管理部门以及企事业单位所进行的具体安全管理活动,通俗的说就是关于企业安全管理的学问。 A.微观安全管理 B.宏观安全管理 C.广义的安全管理 D.狭义安全管理 2.造成...
  • 在过去的一个月里,以精准情报为驱动的永安在线API安全管控平台价值全面释放,赋能众多企业实现从API资产自动化管理、API风险主动感知到攻击溯源的闭环安全管控,解除了因API安全侧风险造成的数据安全威胁。...
  • 服务器是IT基础设施的关键,但是网络攻击每天都在发生。IT Governance报告显示,仅在2020年11月就有586,771,602条泄露记录。...而当攻击者绕过安全防线发起攻击时,往往都有行为、进程的足迹可以溯源,有.
  • 网络信息安全管理是指对网络资产采取合适的安全措施,以确保网络资产的可用性、完整性、可控制性和抗抵赖性,不致因网络设备、网络通信协议、网络服务、网络管理受到人为和自然因素的危害,而导致网络中断、信息泄露...
  • 安全生产模拟考试一点通:金属非金属矿山(露天矿山)安全管理人员最新解析考前必练!安全生产模拟考试一点通每个月更新金属非金属矿山(露天矿山)安全管理人员模拟考试题目及答案!多做几遍,其实通过金属非金属...
  • 百度、腾讯、小米、OPPO似乎今年谈起开发安全,不说自己从传统SDL转型到DevSecOps就不能称为创新。 的确,DevSecOps越来越受到周期短、迭代快的互联网业务的欢迎,也成为安全界的流行趋势。但在笔者看来,“正如...
  • Session ManagementSMF的功能 这一篇博文默认您已经了解5GC 的架构与基本NF构造...N3建立起的连接被称为Session(会话),本章重点就是会话管理(Session Management,SM)。 SMF的功能 控制UPF中使用的流量检测规则
  • CISP管理部分-1、信息安全保障

    千次阅读 2021-01-10 16:23:01
    信息安全定义:ISO对信息安全的定义:“为数据处理系统建立和采取技术、管理安全保护,保护计算机硬件、软件、数据不因偶然的或恶意的原因而受到破坏、更改、泄露” 1.1.2信息安全问题根源及特征 信息安全问题的...
  • EHIGH恒高积极利用新一代定位技术UWB,打造化工人员定位安全管理系统,通过智能化、可视化的智慧型生产场景,实时跟进化工人员定位位置信息,保障人员安全和生产安全。 化工厂目前的安全问题 1.缺乏实时监督:未按...
  • 信息安全简答题

    千次阅读 2020-12-28 11:57:49
    一、区块链技术在网络与信息安全领域的应用 1.1区块链概念 在2008年由署名为中本聪的作者在《比特币:一种点对点的电子现金系统》一文提出,指的是一种在对等网络环境下,通过透明和可信规则,构建防伪造、防篡改...
  • (6)代码层面:使用多线程、改善内存管理等手段。 (7)数据库端:索引、缓存、SQL优化等,NoSQL数据库通过优化数据模型、存储结构、伸缩特性等手段提高性能。 二、可用性 标准: 7*24小时可用,4个9的指标,也
  • 本文将详细讲解API网关的基础概念,使用场景和核心功能,以及基于API网关核心引擎做的API全生命周期管理功能扩展等,最后介绍当前主流的开源API网关引擎。 API网关概述 在微服务架构体系里面,我们一般会使用到...
  • 随着各个行业数字化信息化脚步的加快,网络和数据安全越来越深入地影响国家安全和社会稳定,网络、数据安全成为国家立法保障的对象。国家相继推出《网络安全法》,并以此为指导在2021年9月1日开始...
  • 门户安全管理(ssh+jpa)

    千次阅读 2021-11-05 09:36:10
    1为私信信息)、name、receiverName(接收者姓名)、nextMessageTitle(下一个信息标题)、nextId(下一个信息id)、receiveType(接收类型)、encodeId(编码id) .hbm.xml: 文件配置,Hibernate的核心就是对象关系...
  • 常见安全设备总结(IDS、IPS、上网行为管理、网闸、漏扫、日志审计、数据库审计、堡垒机等一、网络结构二、防火墙、IPS1.防火墙2.IPS三、上网行为管理、网闸1.上网行为管理2.网闸四、日志审计、数据库审计、IDS、漏洞...
  • 详解数据治理九大核心领域

    千次阅读 2021-07-27 00:30:49
    01 前言股份制改革对银行业来说只是一个开始,企业在风险管理、创造价值等方面还有很长的路要走。风险管理要求提供精准的数据模型、创造价值要求充分银行数据资产,这是数据治理的外部推动因素。此外...
  • 网络安全从来都不只是漏洞,安全必须要融合企业的业务运营和管理安全必须要进行体系化的建设。网络安全,任重而道远。 安全牛整合多位资深安全顾问的一线咨询经验,首次公开发布《网络安全体系方法论》,旨在给...
  • 信息系统安全技术 信息化发展与应用 信息系统服务管理 信息系统规划 企业首席信息官及其职责   第一节主要介绍基本概念,所以是信息系统与信息化。   对于任何事物来说,创建都是第一步。所以第二节是信息系统...
  • 什么是网络安全等级保护

    千次阅读 2021-09-19 21:24:14
    一、等级保护体系设计的主要工作要求 等级保护体系设计的主要工作要求包括: (1)等级保护体系设计应包含技术和管理两方面的内容;...2021最新整理网络安全/渗透测试/安全学习/100份src技术文档(全套视频、大厂面经
  • 百分百题库提供道食品安全管理员考试试题、食品安全管理员考试预测题、食品安全管理员考试真题、食品安全管理员证考试题库等,提供在线做题刷题,在线模拟考试,助你考试轻松过关。 70.预包装食品营养标签强制...
  • 项目甲方:邯郸市裕泰化工集团有限公司 项目地点:河北磁县煤化工产业园区裕泰化工集团 项目开始时间:2021年7月 ...2020年10月10日,国家工信部和应急管理部联合下发的《“工业互联网+安全生产”行动计划(2021-202
  • 大家好,我是Tom哥~今天来聊聊团队管理,可能你现在还是一线开发,没有带团队,感觉这个话题与你无关,其实不然。程序员的职业生涯曲折,技术更新迭代快,走技术深度,走架构师路线,势必要付出常人的时间和精力。而...
  • 零信任是一种以资源保护为核心的网络安全范式。《零信任网络:在不可信网络中构建安全系统》一书对零信任安全进行了简要归纳和概况:1)网络无时无刻不处于危险的环境中;2)网络中自始至终都存在外部或内部威胁;3...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 518,725
精华内容 207,490
关键字:

安全管理的核心