關於DSMM之資料儲存安全的詳細介紹

定義

資料儲存安全性是資料中心安全性和組織安全性的一部分，這是資料安全性重要的階段，也是資料完整性、保密性和可用性三個面向都涉及的過程，所以該階段的重要性不言而喻。此過程包含三個過程域，分別為：儲存媒體安全性、邏輯儲存安全性、資料備份和復原。

儲存媒體安全性

官方描述為針對組織機構內需要對資料儲存媒體進行存取和使用的場景，提供有效的技術和管理手段，防止對媒體的不當使用而可能引發的資料外洩風險。

資料儲存在媒體上，例如實體實體媒體（磁碟、硬碟），虛擬儲存媒體（容器、虛擬磁碟）等，對媒體的不當使用及其容易引發資料外洩風險，此安全性域更加注重實體安全層面的資料保護。

DSMM標準在充分定義級要求如下：

組織建置：

組織機構設立統一負責儲存媒體使用管理的職位和人員。

在DSMM的要求中這個幾乎都是一樣的，每個過程域都需要指定專人和專職負責該項工作，並且能夠勝任此工作。在實際工作中，可能所有的過程域在這個維度上都是同樣的一個或多個人，可以單獨任命，也可以在相應的製度章節中進行說明。

制度流程：

制定儲存媒體存取和使用安全性策略和管理規範，建立媒體使用的核准和記錄流程。

建立購買或儲存媒體的規範流程，要求透過可信任管道購買或取得儲存介質，並針對各類儲存媒體建立標準的儲存媒體淨化規程。

對儲存媒體進行標記，明確媒體儲存的資料物件。

對儲存媒體進行常規和隨機檢查流程，確保儲存媒體的使用符合機構公佈的關於媒體使用的規格。

技術工具：

組織機構採取有效的媒體淨化工具對儲存媒體進行淨化處理。

對媒體存取和使用行為進行記錄和稽核。

人員能力：

負責該項工作的人員熟悉媒體使用的相關合規要求，熟悉不同儲存媒體存取和使用的差異性，能夠主動根據政策變化更新管理要求。

以下是在儲存媒體安全過程中具體落地應該重點關注的內容。

1.明確組織機構對資料儲存媒體進行存取和使用的場景，建立儲存媒體安全管理規定/規範，明確儲存媒體和分類的定義，常見儲存媒體為磁帶、磁碟、光碟、內存等，依據資料分類分級內容確定資料儲存媒體的要求。

2.明確儲存媒體的採購和和核准要求，建立可信任的管道，並確保儲存媒體的可靠。

3.將儲存媒體標記，如分類（可依類型、材質等分類）、標籤（對儲存媒體進行打標籤處理，明確儲存資料的內容、歸屬、大小、儲存期限、保密程度等）。

4.明確媒體的存放環境管理需求，主要包括儲存的區域位置、防塵、防潮、防靜電、防盜、分類識別、出入庫登記等內容。

5.明確儲存媒體的使用規範，包括申請單、登記表等一系列存取控制要求及資料清理（永久刪除、暫時刪除等）及銷毀報廢（銷毀方式、銷毀記錄）要求。

6.明確儲存媒體測試和維修規範，包括測試儲存硬體的性能、可靠性和容量等以及如何返廠、操作人、時間和場地等內容。

7.明確常規和隨機審查要求，定期對儲存媒體進行檢查，以防資訊遺失。

簡單總結就是，有專人專職負責媒體安全這件事情，而且熟悉介質使用的相關合規要求。建立制度規範包含媒體的使用審核和記錄流程、購買的可信任管道及初始化（淨化）的相關規程、儲存媒體的分類標識標記、定期對儲存媒體進行常規檢查等。提供能夠對媒體進行淨化的相關工具和對媒體進行存取和使用的記錄審計工具。

邏輯儲存安全

官方描述為基於機構內部的業務特性和資料儲存安全要求，建立針對資料邏輯儲存、儲存容器和架構的有效安全控制。

針對儲存容器和儲存架構的安全性需求，例如認證鑑權、存取控制、日誌管理、通訊舉證、檔案防毒等安全性配置，以及安全性配置策略，以確保資料儲存安全。

DSMM標準在充分定義級要求如下：

組織建置：

組織結構層級設立統一負責資料邏輯儲存安全管理的職位和人員，負責明確整體的資料邏輯儲存系統安全管理要求，並推動相關要求的落地實施。

明確各資料邏輯儲存系統的安全管理員，負責執行資料邏輯儲存系統、儲存設備的安全管理及維運工作。

制度流程：

建立資料邏輯儲存管理安全規範與設定規則，明確各類資料儲存系統的帳號權限管理、存取控制、日誌管理、加密管理、版本升級等方面的要求。

內部的資料儲存系統在上線前應遵循統一的配置要求進行有效的安全性配置，對使用的外部資料儲存系統也應進行有效的安全配置。

明確資料邏輯儲存隔離授權與作業規範，確保具備多租用戶資料儲存安全隔離能力。

技術工具：

提供資料儲存系統設定掃描工具，定期對主要資料儲存系統的安全配置進行掃描，以確保符合安全基線要求。

利用技術工具監控邏輯儲存系統的資料使用規範性，確保資料儲存符合組織機構的相關安全策略要求。

具備對個人資訊、重要資料等敏感資料的加密儲存能力。

人員能力：

負責此項工作的人員熟悉資料儲存系統架構，並且能夠分析出資料儲存面臨的安全風險，從而能歐保證對各類儲存系統的有效安全防護。

以下是在邏輯儲存安全管理階段具體落地應該重點關注的內容：

1.定義邏輯儲存系統和設備，建立資料邏輯存儲管理安全規範/制度和配置規則，明確各類資料儲存系統的帳號管理、認證鑑權、權限管理、日誌管理、加密管理、版本升級等安全要求

2.明確資料儲存系統的架構設計與安全要求，提出建議的安全架構設計，避免常見有安全隱患的架構設計。

3.明確資料儲存系統在上線前的安全配置需求並進行統一有效的安全配置，同時採用配置掃描工具和漏洞掃描系統對資料儲存系統進行定期掃描，以確保符合安全基準要求。

4.建立資料邏輯儲存隔離授權與操作規範，確保多租用戶資料儲存安全隔離，避免用戶間資料未授權存取、修改等。

5.建立資料儲存系統和設備的安全管理規範和操作規程，包括但不限於標準作業流程、維護作業流程、緊急操作流程等。

6.對資料儲存系統的日誌記錄進行擷取和分析，識別帳號和存取權限，監控資料使用規範性和合理性，同時可對發生的安全事件進行分析和溯源。

簡單總結就是，有專人專職統一負責邏輯儲存安全管理，同時要熟悉了解邏輯儲存安全架構和相關維運工作。建立資料邏輯儲存安全管理規範，包含認證授權、帳號和權限管理、日誌管理、加密儲存管理、版本升級、上線前統一安全配置、資料隔離等方面的要求。提供相關工具進行配置掃描和漏洞掃描、監測資料使用規範性，對重要資料進行加密的工具或技術。

資料備份和恢復

官方描述為透過執行定期的資料備份和恢復，實現對儲存資料的冗餘管理，保護數據的可用性。

備份和復原是為了提高資訊系統的高可用行和災難可恢復性，在資料庫系統崩潰的時候，沒有資料庫備份就沒法找到數據，保證資料可用性是資料安全的基礎。

DSMM標準在充分定義層級要求如下：

組織建置：

明確了負責組織機構統一的資料備份和復原管理工作的職位和人員，負責建立相應的製度流程並部署相關的安全措施。

制度流程：

建立資料備份與復原的策略與管理制度，以滿足資料服務可靠度、可用性等安全目標。

建立資料備份與復原的作業流程，明確定義資料備份與復原的範圍、頻率、工具、流程、日誌記錄規格、資料保存時長等。

建立資料備份與復原的定期檢查與更新工作程序，包括資料副本的更新頻率、保質期等，確保資料副本或備份資料的有效性。

依據資料生命週期和業務規範，建立不同階段資料歸檔儲存的作業流程。

建立歸檔資料的壓縮或加密策略，確保歸檔資料儲存空間的有效利用和安全存取。

建立歸檔資料的安全策略和管控措施，確保非授權使用者無法存取歸檔資料。

識別組織適用的國內外法律法規要求，確保依照法律規定和監管部門的要求對相關資料予以記錄和保存。

制定資料儲存時效性管理策略和規程，明確資料分享、儲存、使用和清除的有效期限、有效期到期時對資料的處理流程、過期儲存資料安全的安全管理策略。

建立過期儲存資料的安全保護機制，對超出有效期限的儲存資料應具備再次取得資料控制者授權的能力。

技術工具：

建立資料備份與復原的統一技術工具，並將具體的備份策略固化到工具中，確保相關工作的自動化執行。

建立備份和歸檔資料安全的技術手段，包括但不限於備份和歸檔資料的存取控制、壓縮或加密管理、完整性和可用性管理，確保對備份和歸檔資料的安全性、儲存空間的有效利用和安全存取。

定期採取必要的技術措施來查驗備份和歸檔資料完整性和可用性。

建立過期儲存資料及其備份資料徹底刪除或匿名化的方法和機制，能夠驗證資料已完全消除、無法復原或無法識別到個人，並告知資料控制者和資料使用者。

透過風險提示和技術手段避免非過期資料的誤刪除，確保在一定的時間視窗內的誤刪除資料可以手動恢復。

確保儲存架構具備資料儲存跨機櫃或跨機房容錯部署能力。

人員能力：

負責這項工作的人員了解資料備份媒體的效能和相關資料的業務特性，能夠確定有效的資料備份和復原機制。

負責此工作的人員充分了解資料儲存時效性相關的合規性要求，並具備基於業務場景對留存合規性要求的解讀能力和落地方案的製定能力。

以下是在資料備份與復原階段具體落地應該重點關注的內容：

1.建立資料備份與復原的策略與管理制度，以確保資料服務的可靠性和可用性。

2.建立資料備份與復原的作業規程，明確定義資料備份與復原的範圍、頻率、工具、流程、日誌記錄規格、資料保存時長等。

3.明確資料備份和復原的定期檢查和更新工作要求，如資料副本的更新頻率、保存期限等，確保資料副本或備份資料的有效性等。

4.建立備份資料的壓縮、完整性校驗和加密策略要求，確保備份資料儲存空間的有效利用和安全存取。

5.識別組織適用的國內外法律法規要求，結合自身業務需求，確保依照法律規定和監管部門要求對相關資料予以記錄和保存及滿足備份保存週期要求。

6.建立統一的、自動化執行的備份和復原工具。

7.備份資料採取安全管理資料手段，包括但不限於備份資料的存取控制、壓縮或加密管理、完整性和可用性管理。

簡單總結就是，專人專職負責資料備份與恢復，同時具備了解資料備份作業業務流程和滿足相關合規性要求的能力。制定資料備份與復原的安全管理制度與操作規範，包含備份範圍、頻率、工具、流程、日誌記錄、保存時長、復原測試流程、存取權限設定、有效期限保護、異地災難復原等各項內容。提供資料備份和復原的自動化工具和資料加密、完整性校驗的工具及技術手段。

總結：

DSMM之資料儲存安全其實就是為了確保資料在物理層面和邏輯層面的儲存安全，主要的目標就是實現資料加密、完整性和高可用，實現資料由動態到靜態的儲存安全。

雖然在文中，很多製度和技術工具是分開敘述，但是在實際工作中可能是混在一起的，同時很多具體實現的部分不僅僅只是應用在一個過程域或者一個生命週期階段，甚至可以應用在整個生命週期過程中。例如要求對重要或敏感資料進行加密儲存和完整性校驗，在生命週期各階段都適用。對於大多數單位，這塊工作一般都是維運人員負責。

身為安全人員，我認為在資料儲存安全方面，更多的是和維運同事一起配合完成，可以在現在已有的基礎上進行完善和改進。無論是在製度規範方面，或是在工具技術方面及人員方面，不但要滿足DSMM的相關要求，也要和維運人員的工作相結合，不然是不能很好的落地的。在這個階段，安全人員應該扮演的角色是提出要求，並且提供安全方面的能力支撐，讓相關維運同事配合完成。

相關文章教學推薦：web伺服器安全教學

#

以上是關於DSMM之資料儲存安全的詳細介紹的詳細內容。更多資訊請關注PHP中文網其他相關文章！