freeBuf
企业如何破解数据合规压力;公有云边界设备能选择第三方厂商吗 | FB甲方群话题讨论
2023-09-15 10:44:06
所属地 上海
各位 Buffer 晚上好,FreeBuf 甲方群话题讨论第 223期来了!FB甲方社群不定期围绕安全热点事件、前沿技术、运营体系建设等话题展开讨论,Kiki 群助手每周整理精华、干货讨论内容,为您提供一手价值信息。

话题抢先看

1. 数据安全法规越来越多,数据合规的压力越来越大,企业面对这一困难该如何解决?

2. 如何通过向上管理,加大企业对数据安全的投入?

3. 业务在公有云上,像防火墙WAF这种边界设备,能不用公有云厂商产品,而采购其他安全厂商的安全设备吗?架构上有可能吗?

话题一:现在有种声音,觉得“数据合规太严了”,面对数据安全法规越来越多,企业数据合规的压力越来越大,这一困难该如何解决?

A1:

其实我作为一个非行业内人员,觉得事后处罚力度太轻,在处理数据合规问题上,大家容易逃避或者规避问题。

A2:

我觉得这个优先应该搞大头,抓大放小,我这些小公司,根本就摸不着头脑,数据分类分级的样板也没有,参考也没有。

A3:

这个说法不对,容易双标,双标的结果就是谁也不想做大,然后怎么发展国家经济?

A4:

我觉得本质不是数据合规太严格了,监管本身就需要对行业起到一定推定作用,要不然发布那么多法规干嘛,毫无意义,本质还是企业和监管之间需要取一个平衡,如何平衡各种不同业务/规模的企业在安全所投入的价值能否满足法规要求,以及企业法人/CEO对于安全的价值理解看待。

A5:

所以企业内控很重要,如果企业原本的内控机制有问题,这些只是虱子多了痒不痒的小问题,如果原本内控闭环机制运营良好,这些只是新加的风控条款,问题也不大。

A6:

如果出了事,涉案企业合规从宽算是弥补措施。

Q:企业数据合规往往也面临“开过了会、提了需求、给了方案、知道了风险”,但到底能执行到哪种程度、有没有效果,却是不知道或是不清楚,那企业究竟该如何保证数据合规的有效实施?

A7:

监管查,抓典型,令企业“不合规”成本变大,权衡之下,就会实施了。

A8:

我观察的结果,大概这样几个方面:
1.设置组织、分配职责、授权,大部分企业把数据安全合规放在IT,其实是不对的;
2.开展数据分级分类,更多的是系统BIA分级分类(含数据层);
3.开展核心系统、重要系统保护,比如等保、数据保护、数据防泄露、签署供应商保密协议、人员补充签署各种安全协议等;
4.建立制度;
5.技术方面,数据安全管理提升、网络安全能力提升,数据防泄漏系统、数据加密、传输保护、权限控制、身份管理 、零信任等;
6.开展自查自评估、数据保护等工作。

A9:

我再补充一下,既然要开展业务,那就考虑的更全面一些,因此:
1.员工培训方面:确保所有员工都能够理解海外业务中的安全风险,并知道如何遵守公司的安全政策和海外相关法律法规;定期组织培训,一定不能断;
2.物理安全方面:对于一些敏感的业务、数据、设备等,需要采取适当的物理安全措施,如访问控制、视频监控、安全锁等;
3.信息共享方面:在海外业务拓展过程中,可能需要与其他企业或机构进行合作和信息共享,需要谨慎处理,并与合作伙伴签订相关的保密协议和合同;
4.应急响应方面:在海外业务中,给自己留条后路,知道怎么全身而退;应该制定应急响应计划,以便在出现安全事件时能够及时应对,并采取必要的措施减少损失。

Q:大家觉得该如何通过向上管理,加大企业对数据安全的投入?

A10:

要向上管理只能借外部压力,上海这次亮剑浦江就很好。

A11:

一些特别的企业,加大投入也是国家法律法规要求, 向上管理=国家要求、证监会要求。

A12:

1.结合企业的实际业务,比如金融、外贸,就需要详细说明与生产的直接关联,不做可能产生巨额罚款,是影响企业生存的大事;一般企事业单位,就将一把手责任制,不做可能连带追责;中小企业就将现实的监管要求,某某上级单位多次强调XX,不做可能不给对方面子;
2.结合实际分析差距,那些需要具体的投入,最低投入多少,建议多少等等;
3.最好有兄弟单位、行业的最佳实践,参考着来。

A13:

看行业,通过政策合规,就像国央企那样,作为一把手的绩效,不用向上管理。

A14:

别的国家我不知道,现在我国央企、国企、政府机关、事业单位在推进一件事情,就是信息安全责任纳入高层绩效和政治考评。

A15:

以什么为评判标准呢?做了并通过了XX(比如等保,密评,关基)就算OK?或者是出事也行,到时请第三方进驻评估,看是没做好还是不做?以责任归属判断?

A16:

简单点说:

1.经济方面,要留一部分用于信息安全,比如30% 的收入与信息安全挂钩;

2.职位、政治方面,出小事罚款,出中事下课,出大事坐牢。

至于过不过等保、密评、关基,从影响度和范围来评估到底是1还是2还是1+2。

话题二:业务在公有云上,像防火墙WAF这种边界设备,能不用公有云厂商产品,而采购其他安全厂商的安全设备吗?架构上有可能吗?

A1:

可以,自己搞出口。但如果是SaaS业务,大概率不行。

A2:

公有云算PaaS服务  主要是云服务器和自建数据库。

A3:

物理上你不知道在哪里,怎么搞自己的防火墙。

A4:

感觉也不可能把设备扛到公有云的机房里去,公有云玩法就得全家桶。

A5:

可以ECS镜像部署,坑蛮多的,建议不要放边界,可以关键节点。

A6:

云服务器有IP吧,仅允许防火墙所在的公网IP访问。

A7:

自建机房放安全设备,域名绑定机房的公网IP,再引流到云上就行了,机房跟公有云用专线打通,就跟内网一模一样。

A8:

题主是不想用公有云的防火墙,想自己搭一个,主要是防止公有云内部各用户之间的串流。

A9:

WAF 可以用软件的。防火墙如果用自己的,会很麻烦而且很局限,基本就是映射 EIP 到墙上,墙控制 NAT 等,但这样不太能高可用。如果考虑高可用用云的 LB,那只能四层映射墙的 80 443,灾备和流量出方向的管控又很难弄,路由要全局的修改。比如 Fortinet 的墙,性能是管够。

A10:

IDC也可以建LB啊,他的意思就是只用人家的服务器,前面的安全设备、LB都用自己的。

A11:

他说的是公有云,公有云我联系测过,改动很大的,网络架构会很复杂。

A12:

我知道是公有云,我上面说的,自建IDC,跟公有云专线打通,就是大内网,跟传统架构基本一样的玩法。

A13:

软件WAF是指自建一台服务服务器安装WAF组件吗?还是那种直接每台Web服务器安装Agent。

A14:

对,不管是反代还是啥的。

本期观点总结

在面对数据安全法规越来越多和企业数据合规压力增大的情况 ,讨论认为,解决这一困难可以从多个方面入手。比如建立完善的内控机制,确保企业原本的内控闭环良好运营,以及通过分类分级、保护重要系统、建立制度、技术提升等方面保证数据合规有效实施。此外,数据安全投入的向上管理,可以通过外部压力、国家法律法规要求、不同行业更细致的监管要求等途径来实现。

在公有云上部署业务时,通常使用公有云厂商提供的安全产品,如果考虑采购其他安全厂商的设备,需要注意复杂性和一些限制性。自建安全设备可能存在部署和访问的问题,因此需谨慎评估。对于SaaS业务,自行搭建安全设备可能不实际。采购安全设备需权衡安全性与可用性,并选择与公有云架构兼容的解决方案。

近期群内答疑解惑

Q:请问网关类产品有没有实际效果比较好的防DDoS、 分片等简单攻击的措施 ?

A1:

自己部署设备,国内做DDoS的考虑某盟的产品。

A2:

我们要在自己设备上搞,只需要能防御简单攻击就行。

A3:

这种附带功能的数通设备,感觉运算性能都不够,只能应付小打小闹,而且攻击流量大于专线带宽时,再好的设备都顶不住,流量在上游就拥塞了。

A4:

买抗D设备+运营商清洗服务,自己配置的那些基本扛不住什么。

A5:

是的,这种功能就是简单防御下,大流量下肯定不行。我们是小型网关,这种成本太高了。

Q:对官方网站(含政府网站)进行远程漏洞扫描,犯法不犯法?

A1:

未经允许违法。

A2:

要授权,未授权就违法。

A3:

追加问题:如果我方系统与对方系统有对接,能否对对方系统进行安全扫描?

A4:

不能,我记得都要授权。

A5:

我记得之前一个白帽子发现了一个地方政府网站的漏洞,报给了CNVD,然后政府还是将这个白帽子给告了,判了。

Q:翻出数据库里的个人信息(敏感信息、隐私信息),生成数据清册,跟踪并记录哪个系统、哪个模块在调用,这个有简化方案吗?

A1:

数据库扫描+分级分类工具。

A2:

敏感数据清单好说,自己定义规则扫描,跟踪记录使用麻烦。

A3:

有行标的。

A4:

行标里也没落地的方案。

A5:

行标里有敏感信息定义,扫出来拉清单,然后结合监管、行业要求、安全保护要求设计方案。

A6:

识别哪些是敏感的没问题,向上溯源整个使用链路很难。

A7:

看系统架构和数据架构,每个系统都有蓝图设计、开发,调用哪些字段、数据很清晰啊。

A8:

要是有现成的话就不这么头疼了。

A9:

每个系统的逻辑不一样,没有现成的。

甲方群最新动态

上期话题回顾:

内外网系统等保如何定级;漏洞风险如何量化

活动回顾:

酱香拿铁刷屏后,我们搞了一场“真香”的网安大会

近期热点资讯

调查称全球多所顶尖高校网站存在网络攻击风险

谷歌应用商店中惊现Telegram间谍软件,下载量超数百万次

面临安全危机!AI聊天机器人领域兴起“越狱潮”

GitHub 曝出漏洞,或导致 4000 多个存储库遭受劫持攻击

CISA、FBI、NSA联合发布深度伪造威胁网络安全报告

FreeBuf甲方社群每周开展不同的话题讨论,快来扫码加入我们吧!

1637910517_61a087f564a8754ee18be.png!small

【申请流程:扫码申请-后台审核(2-5个工作日)-邮件通知-加入社群】

注:目前1群、2群已满,如有疑问,也可添加Kiki群助手微信:freebuf1024,备注:甲方会员

“FreeBuf甲方群”帮会已建立,该帮会以三大甲方社群为基础,连接1200+甲方,持续不断输出、汇总各行业知识干货,打造网安行业甲方专属资料留存地。现“FreeBuf甲方群”帮会限时开放加入端口,让我们一同加入,共同建设帮会内容体系,丰富学习交流地。

本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
文章目录