自從歐盟的《通用數(shù)據(jù)保護條例》生效以來，加州和紐約分別成功地通過了《加州消費者隱私法案》(Capfornia Consumer Privacy Act, CCPA) 和《阻止黑客行為和改進電子數(shù)據(jù)安全法案》(Stop Hacks and Improve Electronic Data Security, SHIELD)。

目前還有 12 個州正在申請批準數(shù)據(jù)保護立法，預計這個數(shù)字還會增長。

隨著美國各地出臺更多不同的法案，企業(yè)為了避免高昂的監(jiān)管罰款需要采取的措施只會變得越來越復雜。

這些問題得到了答案，你晚上就會睡得好一點。

那些有應對攻擊的計劃或者已經在執(zhí)行這些指導方針的人應該抱有信心，他們的企業(yè)將客戶的最佳利益放在心上。

1. 你是否將 “隱私和安全設計” 融合到了你的環(huán)境中?通過設計實現(xiàn)隱私和安全性，是一種一開始就主動整合隱私和數(shù)據(jù)保護的方法。

這種方法遵循七個原則，以在 IT 和業(yè)務環(huán)境中逐步實現(xiàn)目標。

在特定的技術，操作，體系結構和網絡的設計過程中，盡早倡導隱私和安全性將確保你在整個設計生命周期中構建成熟的流程。

2. 敏感數(shù)據(jù)是否在傳輸和靜止期間被加密?加密密鑰對于保護數(shù)據(jù)處理和存儲的數(shù)據(jù)至關重要。

密鑰管理的級別應該與這些密鑰所服務的關鍵功能的級別相對應。

我強烈建議定期更新加密密鑰，并與數(shù)據(jù)分開存儲。

本質上數(shù)據(jù)總在移動，當它跨邊界移動時，保護這些信息需要對其靜止和傳輸過程進行強加密。

3. 是否需要根據(jù)需要訪問數(shù)據(jù)?數(shù)據(jù)始終應該被劃分為敏感數(shù)據(jù)和非敏感數(shù)據(jù)，并且只能由有合法業(yè)務理由的授權員工訪問。

采用基于角色的權限和 “根據(jù)需要” 進行限制將有助于保護你的數(shù)據(jù)。

強烈建議始終使用具有多因素身份驗證的非共享用戶名和密碼，這將會驗證每個用戶。

此外，每年至少應該進行一次訪問審查;這將確保為正確的人提供合適的訪問權限。

4. 是否有災難恢復和備份環(huán)境?在當今的數(shù)字世界中，擁有災難恢復 (DR) 和備份環(huán)境是必須的。

DR 和業(yè)務連續(xù)性 (BC) 計劃必須到位，所有相關人員都應該被告知他們的角色。

DR 和 BC 計劃應該每年進行一次測試，然后總結經驗教訓。

將生產和備份位置分開幾百英里能在發(fā)生自然災害或人為災難時提高數(shù)據(jù)的安全性。

5. 是否進行了漏洞、風險、滲透和其他審計評估?評估工作應該貫穿全年。

你的團隊應該針對環(huán)境中的信息系統(tǒng)和操作區(qū)域進行評估。

對所有資產(內部和外部)進行這些評估非常重要。

你的分析應該分五個步驟完成：·識別資產并確定其優(yōu)先順序·識別威脅·識別漏洞·分析控制了解事件發(fā)生的可能性，并了解該威脅可能對你的系統(tǒng)造成的影響。

6. 是否有刪除或銷毀數(shù)據(jù)的流程?無論是誰在處理你的數(shù)據(jù)，都應該有一個數(shù)據(jù)保留計劃。

制定計劃將確保你在刪除一定時間范圍內的數(shù)據(jù)。

在制定數(shù)據(jù)保留計劃并了解可以刪除哪些內容之后，應該遵循正確刪除和銷毀數(shù)據(jù)的安全最佳實踐。

遵循行業(yè)標準，如國家標準與技術協(xié)會 (NIST)，將確保你的員工知道如何以及何時銷毀和刪除數(shù)據(jù)。

任何符合 NIST 800-88 數(shù)據(jù)清理指南的方法都應該被獲準使用。

7. 你是否建立了事件響應團隊和數(shù)據(jù)泄漏計劃?你的企業(yè)應該有一個強大的事件響應 (IR) 和數(shù)據(jù)泄漏計劃，并且應該每年進行測試。

IR團隊的職責應該是管理IR流程，防范攻擊，并在事件發(fā)生時防止進一步的損失發(fā)生，為了防止攻擊再次發(fā)生做出改進，并報告任何安全事件的結果。

你的內部計劃應基于行業(yè)領導者制定，并涵蓋以下三個階段：

·第一階段：檢測、評估和分類。

·第二階段：遏制、收集證據(jù)、分析和調查以及補救。

·第三階段：修復、恢復和反思。

必須及時通知客戶，這應該在你的協(xié)議中詳細說明。

8. 你在記錄安全事件嗎?應該啟用日志功能，以便為所有對敏感數(shù)據(jù)的訪問建立足夠的審計跟蹤。

日志記錄也應該在應用程序級別執(zhí)行。

應該實現(xiàn)自動審計跟蹤來重構系統(tǒng)事件，并且應該保護它們不被任何方式所更改。

應該采用文件完整性監(jiān)控來確保所有客戶數(shù)據(jù)的機密性、完整性和可用性。

9. 你在持續(xù)更新隱私政策嗎?你的企業(yè)需要預先了解它正在收集的信息。

你應該嚴格遵守最新的安全和隱私規(guī)定，以避免任何法律問題。

如果你的組織機構正在收集有關客戶的任何數(shù)據(jù)(例如，IP 地址、位置等)，那么你的隱私策略必須對所有客戶都適用。

你的隱私政策應該考慮到所有主要的利益相關者、法律團隊、營銷團隊和安全性問題。