使用“数据安全分析”方法管控数据安全风险的实践思路

企业内部人员每天要操作后台运营系统,以确保blued app用户的注册、申请审核、违规处理等工作正常运行,其中会涉及个人敏感数据的处理。

蓝城兄弟Blued app是一款互联网社交的软件,涵盖兴趣交友、直播、健康、互联网医院、公益等,涉及处理个人敏感信息,由于互联网中存在大量黑灰产、各类攻击者、第三方合作伙伴、甚至可能内部员工与黑灰产有利益关系等,一旦造成敏感数据泄露,将给我司用户造成严重的损失,蓝城兄弟信息安全部基于我司业务现状,需要通过参考相关数据安全标准进行治理,从而降低数据泄露风险,确保blued业务平稳运行;对此,国家标准GB/T 35273-2020 《信息安全技术 个人信息安全规范》、GB/T 37988-2019《信息安全技术 数据安全能力成熟度模型》提供了具体等要求,本文从标准应用角度出发,详解标准内容,展示实践案例,供参考:

01 条款解析

GB/T 35273-2020 《信息安全技术 个人信息安全规范》

3.2 个人敏感信息 一旦泄露、非法提供或滥用可能危害人身和财产安全,极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。注 1:个人信息包括姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、 通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交 易信息等。
条款解析:

组织内部应根据自身业务情况,进行数据分类分级,其中对于个人敏感信息进行识别、记录,如某数据字段能直接明确指向某用户,或泄露后造成用户的权益重大损失,应被定义为个人敏感信息,并加强数据安全保护措施。

GB/T 37988-2019 《信息安全技术 数据安全能力成熟度模型》

12.8.

PA27 监控与审计

针对数据生存周期各阶段开展安全监控和审计,以保证对数据的访问和操作均得到有效的监控和审计,以实现对数据生存周期各阶段中可能存在的未授权访问、数据滥用、数据泄露等安全风险的防控。
条款解析:

组织内部应建立数据安全分析平台,实现安全监控和审计能力。该平台需要分析业务系统中账户行为、敏感数据流出情况、对于高风险数据流出情况进行预警,在后续的安全事件处理中,能够完整记录事件的数据字段、上下文信息,同时该平台储存的审计数据需要进行保护,避免攻击者获取数据后,进行清理违法违规记录。

02 实践案例

场景简介:北京蓝城兄弟信息技术有限公司存在多个业务线,并且存在多个后台运营系统,企业内部人员每天要操作后台运营系统,以确保blued app用户的注册、申请审核、违规处理等工作正常运行,其中会涉及个人敏感数据的处理。

步骤一:敏感数据识别

根据《个人信息安全规范》中已明确的个人敏感信息字段,以及对于blued业务的数据调研,进行敏感数据梳理,敏感数据主要包括:用户真实姓名、手机号、身份证、邮箱、银行账户、密钥口令、隐私相册、角色、感情状况等;

步骤二:敏感数据接口识别

根据第一步已经确定的敏感数据范围,由于我司已将多业务运营后台日志进行收集,并且对于业务访问中respons数据进行记录,利用敏感数据识别引擎规则,每日对吐出敏感数据接口进行统计,准确发现每日敏感数据流出情况,并且对于新增业务接口进行告警。另外可以回溯该接口对应业务后台是否新增加功能模块,是否通过了应用安全审核;

使用“数据安全分析”方法管控数据安全风险的实践思路

步骤三:敏感数据异常行为分析

根据第二步获取的敏感数据接口地址,使用开源自建数据分析平台,建立数据分析规则,规则主要基于频次纬度、非工作时间纬度、http异常统计、高危用户(新入职、离职、降职)、高危IP、非可信区域等纬度,数据安全分析主要侧重于R(read)方向分析,关于W(write)方向分析,业务平台自身进行安全审计,但数据安全分析除了R方向,还应侧重于与黑灰产相关W方向分析,例如 业务平台中存在主播银行卡信息修改、手机号修改、密保邮箱修改等操作,往往黑灰产会针对资金类接口进行利用,修改某用户手机号、密保邮箱后,再将银行卡修改为黑产银行卡,进而骗取平台发放的佣金、奖金进行体现;

使用“数据安全分析”方法管控数据安全风险的实践思路

步骤四:事件调查回溯

根据步骤三获取的敏感异常行为分析、可获取关键人员、可疑IP、可疑操作的原始日志,该数据平台还应与DLP、邮件系统、OA系统进行互通,及时发现异常人员异常行为,触发告警后,及时关闭可疑用户账户权限、踢出账户权限。如在用户终端日志中,有明显数据外发行为,包括微信客户端、微信网页端、外部邮箱上传、内部邮箱转发至外部邮箱、外部网盘、即时通信工具等,第一时间进行约谈、外传数据清理,避免数据泄露,涉及违法犯罪行为的,可根据员工守则、离职保密协议、进行辞退、甚至向公安部门报案处理。

(本文作者:北京蓝城兄弟信息技术有限公司 安全部 李赞)

声明:本文来自CCIA数据安全工作委员会,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。

版权归原作者所有,如若转载,请注明出处:https://www.ciocso.com/article/12026.html

发表评论

登录后才能评论