你好,游客 登录 注册 发布搜索
背景:
阅读新闻

应用“CIA三性”来界定云计算风险和防护措施(二)

[日期:2014-03-27] 来源:TechTarget中国  作者: [字体: ]

  “I”:完整性(Integrity)风险

  这些风险影响了信息的有效性和信息正确性的保证。一些政府法规特别关注保证信息的准确性。如果信息在没有预警,授权或审计线索的情况下改变,其完整性无法保证。

  1)故障

  计算机和存储故障,可能会导致数据损坏。

  防御:请确保你选择的服务提供商拥有内置到它的存储网络的相应的RAID冗余,而对重要数据建立归档是服务的一部分。

  检测:采用那些使用了校验和或者其他方式的数据校验的完整性验证软件。

  阻止:由于数据的特性,和无人交互的原因,我们可以采取的措施很少。

  剩余风险:损坏数据的技术故障可能导致运作和承诺风险(尤其是Sarbanes-Oxley)。

  2)数据删除和数据丢失

  意外或恶意破坏任何数据,包括财务,公司,个人,和审计跟踪信息。由于计算机系统故障或误操作造成的数据破坏。

  防御:在云环境中,请确保对你的关键数据进行备份存储,并将其安置在多个云服务提供商的环境中。

  检测:保持和审查数据删除相关的审计日志。

  阻止:保持对访问和管理数据的个人的教育和警觉方案。确保对数据拥有充分的权利和 控制的合适的数据所有者得到分配。

  剩余风险:一旦关键数据丢失了,它就永远丢失而不能恢复了。

  3)数据损坏和数据篡改

  由于计算机或存储系统损害,或者恶意的人为操作或软件而造成的数据改变。企图诈骗的数据修改。

  防御:利用版本控制软件,在重要数据被修改之前保存归档拷贝。云服务提供了几乎无限的数据存储,这意味着你可以保持对以前的版本的近乎无限的备份。确保所有的虚拟服务器都由防病毒(AV )软件进行保护。保持对基于最小特权原则的数据,和基于“需要了解”原则的角色或工作职能的基于角色的访问控制。

  检测:对关键数据的任何修改,都需要使用完整性检查软件来监控和报告。

  阻止:保持对访问和管理数据的个人的教育和警觉方案。确保对数据拥有充分的权利和控制的适当的数据所有者得到分配。

  剩余风险:损毁或被破坏的数据可能会导致重大的问题,因为有效可靠的数据是任何计算系统的基石。

  4)意外修改

  数据完整性的损失也许是最常见的原因,数据改变要么是因为个人,尽管他可能是在修改其它的信息,要么就是因为不正确的输入。

  防御:利用版本控制软件,在重要数据被修改之前保存归档拷贝。云服务提供了几乎无限的数据存储,这意味着你可以保持对以前的版本的近乎无限的备份。确保所有的虚拟服务器是由防病毒(AV )软件进行保护。保持对基于最小特权原则,根据“需要知道”的工作职能的数据的访问控制。

  检测:对关键数据的任何修改,都需要使用完整性检查软件来监控和报告。

  阻止:保持对访问和管理数据的个人的教育和警觉方案。确保对数据拥有充分的权利和控制的适当的数据所有者得到分配。

  剩余风险:损毁或被破坏的数据可能会导致重大的问题,因为有效可靠的数据是任何计算系统的基石。

  5)网络钓鱼

  通过电子邮件欺骗受害者透漏个人信息的行为,是“社会工程”的常见策略。例如,发送了一封电子邮件,它看起来像是来自一个指导用户登录并提供信用卡信息的合法公司。

  防御:使用反钓鱼技术,来防御恶意网站,并检测错误的URL。使用面向客户系统的多因素身份验证,来确保用户知道何时他们被重定向到你的网站的假冒副本。定期发送最新资讯和教育材料给客户来解释系统是如何工作的,以及如何避免网络钓鱼。永远不要发送那些包含或者请求有个人资料,包括客户ID或密码的电子邮件。

  检测:使用应用程序防火墙来检测何时远程站点试图复制或冒用你的网站。

  阻止:为使用和存储雇员或客户的个人信息的人维持教育和警觉方案。

  剩余风险:由于公众媒体的暴露或者个人数据丢失的指控,所带来的丢失备份磁盘或者包含客户信息的数据库折衷的商业风险,造成了重大的声誉风险。负面宣传可能导致长期和短期的企业声誉亏损。

收藏 推荐 打印 | 录入:Cstor | 阅读:
本文评论   查看全部评论 (0)
表情: 表情 姓名: 字数
点评:
       
评论声明
  • 尊重网上道德,遵守中华人民共和国的各项有关法律法规
  • 承担一切因您的行为而直接或间接导致的民事或刑事法律责任
  • 本站管理人员有权保留或删除其管辖留言中的任意内容
  • 本站有权在网站内转载或引用您的评论
  • 参与本评论即表明您已经阅读并接受上述条款