《实用云安全》，第二版

第 2 章. 数据资产管理和保护

本作品已使用人工智能进行翻译。欢迎您提供反馈和意见：[e-mail]

既然第 1 章已经让您了解了云提供商的责任和您的责任，那么保护云环境安全的第一步就是弄清楚您的数据在哪里，或者将要在哪里，以及您将如何保护这些数据。对于 "资产管理 "一词，人们往往会感到困惑。 我们的资产到底是什么，我们需要如何管理它们？显而易见（但却无益）的答案是，资产就是你所拥有的任何有价值的东西。让我们从细节入手。

在本书中，我将资产管理分为两个部分：数据资产管理和云资产管理。数据资产是您拥有的重要信息，如客户姓名和地址、信用卡信息、银行账户信息或访问这些数据的凭证。 云资产是您拥有的存储和处理数据的东西--服务器或容器等计算资源、对象存储或块存储等存储以及数据库或队列等平台实例。 下一章将介绍如何管理这些资产。您可以从数据资产或云资产入手，可能需要来回走动一下才能全面了解情况，但我觉得从数据资产入手更容易。

在云中管理数据资产在理论上与内部部署没有什么不同，但在实践中，有一些云技术可以提供帮助。

数据识别和分类

如果您至少已经创建了上一章所述的 "草图背面 "图表和威胁模型，那么您就会对重要数据、您需要担心的威胁行为者及其可能的目标有一定的了解。让我们来看看威胁方攻击数据的不同方式。

比较流行的信息安全模式之一是CIA 三元组：保密性、完整性和可用性。 试图破坏数据保密性的威胁者想要窃取数据，通常是为了卖钱或让你难堪。 试图破坏数据完整性的威胁者想要更改数据，例如更改银行余额。 (请注意，即使攻击者无法读取银行余额，这样做也是有效的；我很乐意让我的银行余额成为比尔-盖茨的副本，即使我不知道这个值是多少）。 试图破坏您的数据可用性的威胁行为者想让您离线以获得乐趣或利润，或者使用勒索软件来加密您的文件。¹

我们大多数人的资源有限，必须确定工作的优先次序。²数据分类系统可以帮助我们做到这一点，但切勿将其复杂化。

数据分类级别示例

每个组织的情况都不尽相同，但以下规则为评估数据价值以及数据被泄露的风险提供了一个良好而简单的起点：

低级或公共

虽然这类信息不一定打算公开发布，但如果公开发布，对组织的影响将非常小或可以忽略不计。 下面是一些例子：

• 您服务器的公共 IP 地址

• 不含任何个人数据、机密或对攻击者有价值的应用日志数据

• 软件安装材料不含任何机密或其他对攻击者有价值的物品

中等或私人

在没有签订适当保密协议的情况下，不得向组织外部披露这些信息。在许多情况下（尤其是在较大的组织中），这类数据只能在组织内部根据需要进行披露。在大多数组织中，大部分信息都属于这一类。下面是一些例子：

• 有关信息系统设计方式的详细信息，这些信息可能对攻击者有用

• 有关您的人员的信息，这些信息可能会为攻击者提供用于网络钓鱼或借口攻击的信息

• 例行财务信息，如采购订单或差旅费报销单，可用于推断收购的可能性等

高度或机密

这些信息对组织至关重要，泄露可能会造成重大损害。对这些数据的访问应受到严格控制，并采取多重保障措施。在一些组织中，这类数据被称为 "皇冠上的宝石"。下面是一些例子：

• 有关未来战略的信息，或会给竞争对手带来重大优势的财务信息

• 商业秘密，例如您的畅销软饮料或炸鸡的配方

• 提供 "通往王国的钥匙 "的秘密，例如云基础设施的完整访问凭证

• 交由您保管的敏感信息，如客户的财务数据

• 任何其他可能具有新闻价值的违规信息

请注意，法律和行业规则可能会有效地规定您如何对某些信息进行分类。例如，欧盟的《通用数据保护条例》（GDPR）对个人数据的处理有许多不同的要求，因此在使用该系统时，您可能会选择将所有个人数据归类为 ...