几乎每个组织都认识到数据的力量，可以提升客户和员工体验并推动做出更好的业务决策。然而，随着数据变得更有价值，保护也变得更加困难。各公司继续采用混合模式，形成了更多攻击面，将关键数据分散在云端、第三方和本地位置，而威胁参与者则不断设计新的、有创意的方法来利用漏洞。
为了应对这种情形，许多组织更加关注数据保护，但却发现缺乏正式的指导方针和建议。
虽然每种数据保护策略都是独一无二的，但在为组织制定数据保护策略时，需要考虑以下几个关键组成部分和最佳实践。
数据保护策略是保护各组织的敏感信息免遭数据丢失和损坏的一组措施和流程。其原则与数据保护的原则相同，即保护数据并 支持数据可用性。
为了实现这些原则，数据保护策略通常侧重于以下三个领域：
数据保护强调可访问性和可用性，这是它不同于数据安全的主要原因之一。虽然数据安全的重点是保护数字信息，免受威胁参与者的攻击和未经授权的访问，但数据保护的作用不止于此。它支持与数据安全相同的安全措施，但还涵盖身份验证、数据备份、数据存储和实现法规一致性，如欧盟的通用数据保护条例 (GDPR)。
现在，大多数的数据保护策略都具有传统的数据保护措施（例如数据备份和恢复功能），以及业务连续性和灾难恢复 (BCDR) 计划（例如灾难恢复即服务 (DRaaS)）。总之，这些综合方法不仅可以阻止威胁参与者，还可以标准化敏感数据和企业信息安全的管理，并限制因停机而造成的业务运营损失。
数据为世界经济提供了巨大动力，不幸的是，网络罪犯深知数据的价值。旨在窃取敏感信息的网络攻击持续增加。根据 IBM 的《数据泄露成本报告》，2023 年为补救数据泄露的全球平均成本为 445 万美元，三年内增长了 15%。
这些数据泄露会以多种方式让受害者付出代价。意外停机可能导致业务损失，公司可能会失去客户并遭受重大声誉损失，被盗知识产权可能会损害公司的盈利能力，削弱其竞争优势。
数据泄露受害者还经常面临巨额监管罚款或法律处分。《通用数据保护条例》(GDPR) 等政府法规以及《健康保险流通与责任法案》(HIPAA) 等行业法规，要求公司保护客户的个人数据。
不遵守这些数据保护法可能会导致巨额罚款。2023 年 5 月，爱尔兰数据保护机构对总部位于美国加利福尼亚州的 Meta 公司处以 13 亿美元的罚款，原因是该公司违反了 GDPR 规定（ibm.com 外部链接）。
毫不奇怪，各公司的网络安全计划越来越重视数据保护，他们认识到，稳健的数据保护策略不仅可以防止潜在的数据泄露，还可以确保持续遵守监管法律和标准。更重要的是，良好的数据保护策略可以改善业务运营，最大限度地减少网络攻击后的停机时间，从而节省大量时间和金钱。
虽然每种数据保护策略都是不同的（并且应根据组织的特定需求进行定制），但应该涵盖几种解决方案。
其中一些关键组成部分包括：
数据生命周期管理 (DLM) 是一种有助于在组织从数据录入到数据销毁的整个生命周期中对其进行管理的方法。它根据不同的标准将数据分成不同的阶段，并在完成不同的任务或要求时经历这些阶段。DLM 的各个阶段包括数据创建、数据存储、数据共享和使用、数据存档和数据删除。
良好的 DLM 流程有助于组织和构建关键数据，尤其是当各组织依赖不同类型的数据存储时。它还可以帮助相关组织减少漏洞，确保数据得到有效管理、符合法规，并且避免滥用或丢失的风险。
访问控制可确保只有授权用户才能访问某些类型的数据，从而帮助防止未经授权的访问、使用或传输敏感数据。这样，就能够将威胁参与者拒之门外，同时仍然允许每位员工通过拥有他们需要的确切权限来完成他们的工作，仅此而已。
各组织可以使用基于角色的访问控制 (RBAC)、多重身份验证 (MFA) 或定期审查用户权限。
身份和访问管理 (IAM) 计划对于简化访问控制和保护资产且不中断合法业务流程特别有用。此计划会为所有用户分配一个独特的数字身份，并根据用户的角色、合规需求和其他因素量身定制权限。
数据加密涉及使用加密算法将数据从其初始的可读形式（明文）转换为编码版本（密文）。使用此过程，即使未经授权的个人访问加密数据，也有助于确保他们在没有解密密钥的情况下无法理解或使用加密数据。
加密对于数据安全至关重要。它有助于保护敏感信息，防止在网络传输（传输中）和 存储在设备或服务器上（静止状态）时遭受未经授权的访问。通常，授权用户仅在必要时才执行解密，确保敏感数据始终安全且不可读。
为了保护数据，各组织首先需要了解自己所面临的风险。数据风险管理包括对组织的数据进行全面审计/风险评估，以了解组织拥有哪些类型的数据、存储在何处以及谁有权访问这些数据。
然后，各公司根据此评估结果来识别威胁和漏洞，并实施风险缓解策略。这些策略有助于填补安全漏洞并加强组织的数据安全和网络安全态势。其中包括增加安全措施、更新数据保护政策、进行员工培训或投资新技术。
此外，持续的风险评估可以帮助各组织及早发现新出现的数据风险，让他们能够相应地调整安全措施。
数据备份和灾难恢复涉及定期创建或更新文件的更多副本，将其存储在一个或多个远程位置，并在因文件损坏、数据损坏、网络攻击或自然灾害而导致数据丢失时使用这些副本继续或恢复业务运营。
“备份”和“灾难恢复”子过程有时会被混淆，或被误认为是整个过程。然而，备份是制作文件副本的过程，而灾难恢复是在中断后使用副本快速重新建立对应用程序、数据和 IT 资源的访问的计划和过程。该计划可能涉及切换到一组冗余的服务器和存储系统，直到主数据中心再次恢复运行。
灾难恢复即服务 (DRaaS)是一种托管的灾难恢复方法。由第三方提供商托管和管理用于灾难恢复的基础设施。某些 DRaaS 产品可能会提供管理灾难恢复过程的工具，或支持组织托管这些灾难恢复过程。
每当各组织移动数据时，他们都需要强大的安全性。否则，将面临数据丢失、网络威胁和潜在数据泄露的风险。
数据存储管理通过减少漏洞来帮助简化此过程，尤其是对于混合存储和云存储。在此过程中，将监督与将生产数据安全地传输到数据存储相关的所有任务，而无论是在本地还是在外部云环境中。这些存储可以满足频繁、高性能的访问需求，或用作非频繁检索的存档存储。
事件响应 (IR) 是指组织用于检测和应对网络威胁、安全漏洞和网络攻击的流程和技术。目标是防患于未然，以及最大限度地减少任何网络攻击造成的成本和业务中断。
将事件响应纳入更广泛的数据保护策略可以帮助各组织采取更主动的网络安全方法，加强对网络罪犯的打击。
根据 2023 年《数据泄露成本报告》，与 IR 对策水平较低或没有 IR 对策的组织相比，实施高水平 IR 对策的组织的数据泄露成本降低了 149 万美元，并且解决事件的速度缩短了 54 天。
数据保护政策可帮助各组织概述他们处理数据安全和数据隐私的方法。这些政策可涵盖一系列主题，包括数据分类、访问控制、加密标准、数据保留和处置实践、事件响应协议以及技术控制，如防火墙、入侵检测系统、防病毒软件和数据丢失预防 (DLP) 软件。
数据保护政策的主要好处是设定了明确的标准。员工知道自己有责任保护敏感信息，并经常接受有关数据安全政策的培训，如识别网络钓鱼企图、安全处理敏感信息和及时报告安全事件。
此外，数据保护策略可以通过为数据相关活动（如访问请求、用户配置、事件报告和执行安全审计）提供清晰的流程来提高运营效率。
政府和其他机构日益认识到数据保护的重要性，并制定了公司在与客户开展业务时必须遵守的标准和数据保护法律。
不遵守这些法规可能会导致巨额罚款，其中包括法律费用。然而，强大的数据保护策略可以通过制定严格的内部政策和程序来帮助确保持续的法规一致性。
最引人注目的法规是欧盟为保护个人数据而颁布的《通用数据保护条例》(GDPR)。GDPR 主要关注个人身份信息，并对数据提供商提出了严格的合规要求。该条例规定，数据收集行为必须透明，并对违规行为处以巨额罚款，最高罚款额为相关组织全球年营业额的 4% 或 2000 万欧元。
另一个重要的数据隐私法是《加州消费者隐私法案》(CCPA)，该法案与 GDPR 一样，强调透明度并赋予个人控制自己的个人信息的权利。根据 CCPA，加州居民可以请求有关自己的数据的详细信息、选择退出销售以及请求删除。
此外，《健康保险流通和责任法案》(HIPAA) 还要求“所涵盖实体”（例如，处理患者个人健康信息 (PHI) 的医疗保健提供方）遵守数据安全和合规标准。
相关信息：了解有关 GDPR 合规性的更多信息
要确保数据安全，首先要了解拥有哪些类型的数据、数据存储在何处以及谁有权访问这些数据。编制一份全面的数据清单，确定组织持有的所有信息并进行分类。确定每种数据类型的敏感度和重要性，以确定保护工作的优先级，然后根据数据使用或存储的任何变化定期更新清单。
与主要利益相关者（如高管、供应商、供货商、客户以及公关和营销人员）保持密切沟通，让他们了解数据保护策略和方法。这种开放的沟通渠道将建立更高的信任度、透明度和对数据安全政策的了解，并让员工和其他人能够做出更好的网络安全决策。
在全体员工中开展有关数据保护策略的安全意识培训。网络攻击经常利用人性弱点，因此，内部威胁是一个值得关注的重大问题，而员工则是抵御网络罪犯的第一道防线。通过演示、网络研讨会、课程等，员工可以学会识别安全威胁并更好地保护关键数据和其他敏感信息。
持续进行风险评估和分析有助于识别潜在威胁并避免数据泄露。通过风险评估，可以评估数据足迹和安全措施，并隔离漏洞，同时维护更新的数据保护政策。此外，一些数据保护法律法规也要求这样做。
在混合 IT 环境中记录敏感数据是一项挑战，但对于任何良好的数据保护策略来说是必要的。为监管机构、高管、供应商和其他人保留严格的记录，以应对审计、调查或其他网络安全事件。更新的文档可提高运营效率，确保透明度、问责制并遵守数据保护法。此外，数据保护政策和程序应始终保持更新，以应对新出现的网络威胁。
监控可提供数据活动的实时可见性，从而快速检测和修复潜在漏洞。某些数据保护法甚至可能要求这样做。即使无此要求，监控也可以帮助确保数据活动符合数据保护政策（如合规性监控）。各组织还可以使用它来测试拟议安全措施的有效性。
虽然策略会因行业、地理位置、客户需求和一系列其他因素的不同而异，但明确这些要点将有助于组织在加强数据保护时选择正确的道路。
深入了解 IBM 的数据保护解决方案