建站
咨詢
售后
建站咨詢
新聞中心
前些日子，國外調(diào)查組織的一項調(diào)研發(fā)現(xiàn)，在所有受訪公司中，只有20%的企業(yè)完全符合GDPR標(biāo)準(zhǔn)，53%正處于實施階段，27%尚未開始實施。雖然GDPR合規(guī)之路任重而道遠(yuǎn)，但相比于去年的調(diào)查結(jié)果，過去的十個月已取得了長足的進(jìn)步。
近期沸沸揚揚的Google、Facebook等著名互聯(lián)網(wǎng)大廠被訴案，這些企業(yè)一旦因此新規(guī)被判輸，將面臨超過50億美金的罰款，在許多在歐盟成員國有業(yè)務(wù)的國內(nèi)企業(yè)也因為不能滿足GDPR合規(guī)性而暫停業(yè)務(wù)，而這還只是剛剛開始。不得不說，如今人們對個人隱私數(shù)據(jù)保護(hù)的重視正在成為影響企業(yè)運行發(fā)展的重要因素，筆者也相信，歐盟的GDPR將會成為世界各國互聯(lián)網(wǎng)安全立法學(xué)習(xí)的典范。就國內(nèi)而言，2017年6月1日正式頒布實施的《網(wǎng)絡(luò)安全法》，第四十至五十條闡述了做為數(shù)據(jù)處理者和管理者等角色的責(zé)任和義務(wù)。相信在不遠(yuǎn)的未來，國內(nèi)也會出臺更具體的細(xì)則條例來支撐網(wǎng)安法的落地，提升對數(shù)據(jù)主體的權(quán)益。
在今年的5月25日，GDPR在歐盟地區(qū)正式全面實施，盡管只是一部只在歐盟區(qū)域內(nèi)部實行的法律，卻也在國際范圍內(nèi)引起了廣泛的關(guān)注。國內(nèi)安全圈更不例外，一度興起了半個多月的討論熱潮。
在近兩個多月時間里，也偶爾在一些平臺看到幾篇關(guān)于GDPR的文章，但是絕大多數(shù)的內(nèi)容僅僅停留在討論這部法律的規(guī)定有多么嚴(yán)苛，對企業(yè)提出了哪些新的要求，極少有文章在實際性的探討企業(yè)通過哪些手段去滿足GDPR的合規(guī)性要求(也可能是因為國內(nèi)在做歐洲做生意的企業(yè)不多，很多企業(yè)無需為了GDPR改造優(yōu)化自己的業(yè)務(wù)系統(tǒng)?)。
昨日看到Freebuf在推廣的一個關(guān)于GDPR的視頻，課程的開始簡要的介紹了GDPR的一些背景情況，如果你還不知道GDPR是什么，可以直接去看一看。
企業(yè)組織應(yīng)該為GDPR做哪些技術(shù)措施方面的準(zhǔn)備?
主講人結(jié)合GDPR的合規(guī)性要求，從數(shù)據(jù)流動傳輸?shù)膸讉€主要過程一一闡述他以及IBM對此的認(rèn)知和建議。
對應(yīng)的五個關(guān)鍵技術(shù)措施場景：
場景一：發(fā)現(xiàn)和分類個人數(shù)據(jù)
高爽老師講到，在GDPR出臺前，很多企業(yè)對這些數(shù)據(jù)的梳理已經(jīng)有了一些實踐，但這些實踐大都是一次性的，沒有一個長效的機(jī)制。個人數(shù)據(jù)被采集后，在企業(yè)內(nèi)部的流動性很強(qiáng)，很多的業(yè)務(wù)環(huán)節(jié)都需要這些數(shù)據(jù)的支撐，僅通過梳理記錄文檔的形式不持久，并且沒有辦法動態(tài)的發(fā)現(xiàn)個人數(shù)據(jù)中存在的風(fēng)險。企業(yè)需要一套方案或技術(shù)手段，對數(shù)據(jù)進(jìn)行分類(屬性、標(biāo)簽等)處理，并且應(yīng)用到后續(xù)的各種安全策略中。
場景二：識別、修復(fù)數(shù)據(jù)系統(tǒng)安全風(fēng)險
也即數(shù)據(jù)的周邊環(huán)境安全問題。首先是數(shù)據(jù)所依存的環(huán)境，數(shù)據(jù)庫、大數(shù)據(jù)系統(tǒng)等，企業(yè)需要持續(xù)動態(tài)的發(fā)現(xiàn)這些基礎(chǔ)設(shè)施中的安全漏洞問題。除了胸痛設(shè)施以外，還要對能夠接觸使用到這些數(shù)據(jù)用戶(相關(guān)數(shù)據(jù)庫、應(yīng)用賬戶)的權(quán)限進(jìn)行監(jiān)控，及時發(fā)現(xiàn)越權(quán)賬戶并進(jìn)行規(guī)避處理。
場景三：追蹤數(shù)據(jù)是如何處理的
也即要監(jiān)控數(shù)據(jù)在內(nèi)部各個環(huán)節(jié)流轉(zhuǎn)過程，發(fā)現(xiàn)違規(guī)訪問行為并發(fā)出警報并采取隔離措施。用戶變更、完全刪除個人數(shù)據(jù)滿足與證實。不僅要對主動采集的用戶信息進(jìn)行保護(hù)，對從其他數(shù)據(jù)源中搜集到的數(shù)據(jù)也要進(jìn)行同樣的保護(hù)跟蹤措施。
場景四：追蹤數(shù)據(jù)主體的訪問權(quán)，更正權(quán)，刪除權(quán)等權(quán)利
及時響應(yīng)數(shù)據(jù)主體(個人)的要求(更正、刪除等)。這需要一套標(biāo)準(zhǔn)化的合規(guī)的流程，將需要的信息和流程環(huán)節(jié)整合。
場景五：組織需要具備安全問題管理和通知的能力(包括事件調(diào)查)
即：應(yīng)急響應(yīng)，每家企業(yè)對數(shù)據(jù)泄露后的應(yīng)急處理也是GDPR所關(guān)注的重點，在條文中規(guī)定企業(yè)須在72小時內(nèi)向監(jiān)管機(jī)構(gòu)匯報。
通過這個視頻，筆者對從技術(shù)場景角度滿足GDPR合規(guī)性要求有了一定的了解(稍稍吐槽下，硬廣略多，期待大廠專家能多分享干貨，少賣廣告)，對于不“出?！钡钠髽I(yè)而言似乎用什么實際意義，畢竟國內(nèi)企業(yè)對公眾個人數(shù)據(jù)的處理……當(dāng)然，作為一個大數(shù)據(jù)多年的從業(yè)者，筆者對如何幫助企業(yè)滿足國內(nèi)法律要求也有了大致的技術(shù)思路，能滿足GDPR合規(guī)性要求的一定可以滿足國內(nèi)法律要求，你說呢?
當(dāng)前名稱：淺談GDPR技術(shù)措施中的五個關(guān)鍵場景
鏈接URL：http://www.dlmjj.cn/article/djdpdjc.html
