《通用數據保護條例》(GDRP)或許是迄今最全面的數據隱私標準,任何處理歐盟公民個人數據的機構,無論機構的總部設在何處,都會受GDPR的影響。
GDPR概要
GDPR旨在提高個人數據保護水平并增加機構對數據泄露所應承擔的責任。違規罰款最高可達公司全球收入的4%或2000萬歐元(以較高者為準)。無論你的機構位于何處,只要它處理或控制歐盟居民的個人數據,你都需要了解并做好準備。
具體要求
GDPR包括許多合規要求。若要查看所有內容,請參閱該法規原文。
以下是關鍵條款:
l? 采取技術和機構措施以確保與風險水平相稱的數據安全,其中包括“個人數據的假名化和加密”(第32條)。
l? 建立“定期測試、評價和評估技術和機構措施的有效性以確保處理安全的流程”。(第32條)。
l? “當個人數據泄露有可能給個人的權利和自由帶來高風險時”,“無不當拖延”地將個人數據泄露情況通知數據主體(第34條)。
l? 防止“未經授權披露或訪問個人數據”(第32條)。
根據PCI安全標準委員會的說法,《支付卡行業數據安全標準》(PCI DSS)是一個“強支付卡數據安全流程框架”。
任何從事信用卡和借記卡支付處理的機構都必須依照嚴格的PCI DSS合規要求處理、存儲和傳輸帳戶數據。
針對六大核心原則的逾200項測試
PCI DSS標準涉及通過對代表六大核心原則的12個安全方面進行的200多項測試做出評價。這些PCI DSS測試廣泛涵蓋了常用安全實踐以及加密、密鑰管理等數據保護技術。
與PCI DSS審計和合規相關的風險
l? 不遵守PCI DSS合規要求可能會導致罰款、費用增加,乃至終止你處理支付卡交易的權力。
l? 不能孤立地考慮遵守PCI DSS標準的問題;機構會受多項安全要求和數據泄露披露法律或法規約束。另一方面,涉及面更廣的企業安全方案很容易偏離PCI合規項目。
l? 與PCI DSS要求相關的指南和建議包括可能已經到位的常見做法。但是,某些方面,特別是與加密相關的方面,對于機構來說可能是全新的領域,如果設計不當,執行起來可能會有破壞性,對經營效率產生負面影響。
l? 很容易形成這樣一種局面:從來自多家供應商的專有解決方案和不適的當技術(成本高且操作復雜)衍生出一種零敲碎打的安全方法。
l? 縮小PCI DSS合規義務的范圍,從而降低成本和影響的機會是存在的;但是,機構如果不注意確保新系統和流程確實被接受為達到PCI DSS合規,則可能會浪費時間和金錢。
《信息技術安全評估通用準則》簡稱“通用準則”(CC),是計算機安全認證的一項國際標準(ISO/IEC 15408)。“通用準則”提供保證,所涉IT安全產品已被以一種嚴格且可重復的方式在與目標使用環境相稱的級別上經過評估并得到認可。“通用準則”最初開發時是為了統一和取代來自幾個不同國家(其中包括美國、加拿大、德國、英國、法國、澳大利亞和新西蘭)的國家IT安全認證方案。“通用準則”如今已成為被安全IT產品采用得最廣泛的相互認可標準。
安全標準
世界各地的政府和企業都需要通過經“通用準則”認證的解決方案來保護自己的任務關鍵基礎設施。根據歐盟的數字簽名法律,“通用準則”合規往往是合格數字簽名的先決條件。此外,美國的政府機構常常要求所得到的產品是國家信息保障合作組織(NIAP)清單上的產品,而這份清單上的產品必須經過“通用準則”認證。
“通用準則”標準可為在產品安全的多個不同方面為產品提供保證,這些方面包括:
l? 產品和相關功能規格的開發、高端設計、安全架構和/或執行方案設計。
l? 產品指南和相關手冊,供安全部署和準備產品使用。
l? 文檔的生命周期和產品創建過程中適用的所有相關流程,例如配置管理或安全開發流程,以及通過生命周期設計和交付進程實現的用于部署和退役產品的工具。
l? 支持性安全策略文檔。
l? 產品測試,特別是功能安全要求的覆蓋范圍。
l? 漏洞評價。
認證機構
“通用準則”是一項國際標準(ISO/IEC 15408)。通用準則開發委員會負責管理有關CC文檔集維護和持續開發的技術工作計劃。
“通用準則”含兩個主要認可協議:
1.??????? 通用準則認可組織(CCRA),由各大洲28個國家組成,這28個國家承認“通用準則”對CCRA授權成員國所產達到EAL 2級的安全IT產品的認證。
2.??????? 信息系統安全高級官員組織(SOG-IS),由來自歐洲的15個國家組成,這15個國家承認“通用準則”根據SOG-IS成員的級別對IT產品達到EAL 7級的認證。
世界各國政府都頒布了個人信息丟失后的數據泄露披露法通知要求。這些法規因司法管轄區的不同而異,但幾乎普遍包含了“安全港”條款,這意味著如果被盜數據不可辨識且對竊取者無意義,則受攻擊機構無需報告數據泄露情況。因此,以數據為中心的保護(例如加密)被認為是最佳實踐,因為它會使數據在沒有解密密鑰或去令牌化密鑰的情況下變得毫無意義。
數據泄露披露法被規范采用
國家數據泄露披露法包括英國的《數據保護法》、歐盟的《通用數據保護條例》(GDPR)、韓國的《個人信息保護法》、澳大利亞的《隱私法》等。
防止數據泄露是一項復雜的任務
數據泄露保護和預防不像在系統內實施硬件層面硬盤加密或操作系統層面加密那樣簡單。攻擊越來越能在目標無察覺的情況下穿透外圍防御破壞賬戶和挖掘數據。這樣的活動使簡單的加密方案無法防止數據泄露——攻擊者將訪問允許他們解密和提取個人數據的賬戶。推動這一趨勢的動力是犯罪集團愿意并且能夠為具有直接貨幣價值的被盜個人信息付費。
以數據為中心的焦點
遵守數據泄露披露法的以數據為中心的安全策略需要:
1.??????? 隨時隨地加密個人數據——包括文件系統數據庫、Web存儲庫、云環境、大數據環境和虛擬化執行方案。
2.??????? 基于策略的訪問控制可確保只有得到授權的賬號和進程可以查看數據。
3.??????? 監控訪問數據的受權賬號,確保這些賬號沒有被人入侵。
世界上現在有100多個國家制定了數據隱私法律。全球性企業、SaaS供應商和云解決方案供應商都必須清楚,應該怎樣滿足自己環境中的數據駐留要求。
盡管要求之間存在很大差異,但是遵守以下規則可以確保你的機構始終合規:
l? 所有客戶和員工數據不得被本國司法管轄范圍以外的人訪問。
l? 除非每次使用得到明確同意。
應對這一挑戰的解決方案是加密所有靜止數據,并且只允許從數據產生的司法轄區訪問靜止數據。
ISO 27799是一項國際標準,指導機構應該以怎樣的最佳方式保護在衛生部門或其獨特操作環境中工作的任何人的個人健康數據的保密性、完整性和可用性。
法規概要
ISO 27799要求的最佳實踐包括:
l? 數據訪問控制,其中包括特權訪問管理;
l? 敏感數據的密碼控制;
l? 加密密鑰的管理和保護;
l? 記錄并存檔“與用戶身份和秘密認證信息的使用和管理相關的所有重大事件”,保護這些記錄免受“篡改和未經授權訪問”侵擾。
PCI HSM規范定義了一組專門用于支付行業的HSM(硬件安全模塊)的邏輯和物理安全合規標準。合規認證取決于達到這些標準的要求。
認證目標
HSM在保護支付交易方面發揮著關鍵性的作用,因此HSM本身在其(從制造到交付到運行到退役)的整個生命周期中始終保持安全至關重要。PCI HSM合規認證標準為HSM供應商提供了一套嚴格的安全要求和流程,用于據此對平臺做出評價。
范圍
PCI HSM合規認證正日益成為各種支付流程的基本要求,其中包括PIN處理、卡驗證、卡制作、ATM交換、現金卡充值和密鑰生成。
硬件
平臺必須滿足以下物理安全要求才能做到PCI HSM合規:
l? 篡改檢測和響應機制;
l? 對異常環境和操作情況的彈性;
l? 保護設備內的敏感數據;
l? 防止通過外部監控技術泄露敏感信息;
l? 保護設備內部的密碼密鑰,即便安全邊界被攻破。
軟件和設置
HSM的軟件、配置和管理必須滿足以下邏輯安全要求:
l? 對非預期命令序列或操作模式的彈性;
l? 安全固件管理;
l? 運行敏感服務之前進行強身份驗證;
l? 安全的密鑰管理與密鑰分離,以防誤用并消除敏感數據和PIN的明文暴露;
l? 安全審計蹤跡。
?
供應鏈
HSM供應商必須向PCI HSM評估團隊提供證據,證明自己建立了有效的流程,可確保HSM從制造到包裝和交付給最終用戶的整個過程中始終受到保護。
SWIFT即環球銀行間金融電信協會,是金融機構用來通過標準化代碼系統安全傳輸信息和指令的消息傳遞網絡。
SWIFT客戶安全控制(CSC)框架
根據SWIFT的說法:
SWIFT客戶安全控制框架描述了一套針對SWIFT客戶的強制性和建議性安全控制。
強制性安全控制為整個社區建立了一條安全基線,所有用戶都必須在自己的本地SWIFT基礎設施上執行。SWIFT選擇優先考慮這些強制性控制措施,以便為切實的近期安全收益和降低風險設定一個現實的目標。
建議性控制基于SWIFT建議用戶采用的良好實踐規范。隨著時間的推移,強制性控制可能會因不斷變化的威脅形勢而發生變化,一些建議性控制可能會轉變成強制性的。
所有控制都是圍繞著三個總體目標實施的:
l? “保護你的環境”;
l? “知曉并限制訪問”;
l? “檢測和響應”。
這些控制措施是根據SWIFT對網絡威脅情報的分析并結合行業專家和用戶反饋意見制定的。控制的定義也力求符合現行信息安全行業標準。
ISO/IEC 27002是一項國際標準,可在執行信息安全管理制度時用作控制參考,其中包括數據訪問控制、敏感數據的密碼控制和密鑰管理。
法規概要
ISO/IEC 27002要求的最佳實踐包括:
l? 數據訪問控制;
l? 敏感數據的密碼控制;
l? 加密密鑰的管理和保護;
l? 記錄并存檔“與用戶身份和秘密認證信息的使用和管理相關的所有重大事件”,保護這些記錄免受“篡改和未經授權訪問”侵擾。