大家好，我是熱愛安全的老趙。平時喜歡琢磨，不將就，典型的理科男。

我一直特別喜歡安全這個領域，前些年，利用業余時間使用反匯編、 反java做過一些桌面軟件的破解， 其實更主要的目的是從這過程中來反思作為一個Software Developer，我們該怎樣更好的保護咱們的軟件? 直到2017年， 才開始全職的從事安全崗位，其實也算是個嘎嘎新的“老new comer”。 我喜歡和大伙分享自己的學習和心得，也特別期待能和同樣熱愛安全的朋友們一塊交流。

前言

這次的話題是“淺談數據安全和隱私保護”。這是一個看似離我們很遠，但又時刻發生在大伙身邊的問題。每一年都有各種數據泄漏的大事件。其中包括一些互聯網巨頭， 涉及到百萬，千萬級的數據。

這篇文章，主要目的給大家介紹在2018數據安全和隱私大會上的學習心得。 從各個維度簡單介紹當前業內一致認可的整體方案和思路。 一來是給大伙參考，二來如果誰對這個話題感興趣，也歡迎咱們一塊討論、交流。

正文

和大多數人一樣，我也曾經遇到過詐騙電話，至今仍然記得當時從疑惑 -> 緊張 -> 心跳加劇 -> 差一點上當 -> 剎那間幡然醒悟 的難忘經歷。 也和咱們大多數一樣，事情就這樣過去了，好像它從來沒發生過。直到和小伙伴們一塊參加了“2018第三屆數據安全和隱私保護大會”，才對數據安全和隱私有了更深入的認識。

現如今地球人都面臨著數據安全的挑戰，如果宇宙中真的有外星人，我相信他們也會為數據安全和隱私保護而頭疼吧。一句話，從個人到企業，數據安全和隱私保護都是非常非常Big，而且正在越來越Big的挑戰，下面是引用“2018第三屆數據安全和隱私保護大會”公開的數據圖表：

圖1-全球企業數據安全問題報告

圖2-國內數據安全威脅報告

這些問題，遠不是個人和幾個企業所能解決的，我們需要全社會的努力和參與，這是一場持久的“戰爭”，那么怎么才是最有效的解決辦法呢?答案只有一個 – – 使用安全工程的方法，系統的建立從上至下的解決方案。

1. 從數據生命周期著眼進行數據保護

圖3-數據生命周期

2. 建立自上而下的數據保護體系

圖4-自上而下的全面數據保護體系

• 建立治理機制，明確定義角色和職責，以有效地管理和維護數據安全方案。
• 根據全面的數據安全風險評估所發現的差距，加強所有支持性IT流程。
• 采用涵蓋全部三個領域(人員、流程、技術)的技術解決方案，以有效的監控、防止、和響應所有潛在的數據泄漏。

3. 采用適合的數據安全保護技術

??

4. 數據安全能力評估

當采取了相關的數據安全和隱私保護方案，如何評估安全保護效果和能力呢? 《數據安全能力成熟度模型(DSMM)》正是為了解決這個問題而制定的。 它定義了企業數據安全能力評估的國家標準。同時，頒布了與之配套的《數據安全實施指南》為企業實施數據安全和隱私保護提供了可操作的實施方法參考。

圖5 – 數據安全能力成熟度評估

5. 安全法規

從全球來看，世界各國都充分的認識到數據安全和隱私保護的重要性。現如今，大多數國家和地區已經頒布和實施了隱私保護法規。目前最嚴格的法律就要當屬歐盟的GDPR了，大家一定要細心學習一下。下圖列出了當前各國和地區的隱私保護法規

6. 提升個人安全意識

對個人來說，最重要的是提高自己的安全意識。 如果有條件，建議多參加一些相關的安全意識培訓和講座，這樣就可以顯著減少安全事件發生的可能性。

例如：及時更新電腦補丁，及時更新防火墻和反病毒軟件的病毒庫，避免訪問不受信任的網站，知曉如何防范釣魚，誘騙和社會工程等等。

另一方面，大伙也要遵守計算機和互聯網使用的道德規范，你知道嗎?懷有下列目的的任何行為都是不可接受和不道德的：

• 試圖獲得未經授權訪問Internet 資源的權利
• 破壞Internet的正常使用
• 通過這些行為耗費資源(人、容量、計算機)
• 破壞以計算機為基礎的信息的完整性
• 危害用戶的隱私權

小結

有一句話，大家一定熟知的： “道高一尺，魔高一丈”，但我們從未聽說：“魔高一尺，道高一丈”的說法，這也許就是為什么我們確實沒有辦法完全避免數據安全威脅和隱私泄露的原因吧!但是，絕不要灰心，因為有無數的安全工作者一直在為此努力著，相信我們的數據和隱私環境也一定會越來越安全!