数据大泄漏：隐私保护危机与数据安全机遇_[美] 雪莉·大卫杜夫（Sherri Davidoff）著，马多贺，陈凯，周川译_9787111682271

数据泄漏会影响组织的经济、浪费资源、破坏组织的声誉。世界上的每个组织都有遭受数据泄漏的风险，因此开发出有效的、可扩展的策略来管理数据泄漏是至关重要的。本书介绍了真实的企业数据泄漏案例，读者在了解这些案例的过程中，会深刻地明白，为什么数据等于风险，影响数据泄漏的五个因素，数据泄漏为何是危机也是机遇，数据泄漏响应模型DRAMA的含义，常见的数据泄漏，针对特定行业的数据泄漏的响应策略，以及技术供应链上的风险转移。

本书的目标读者本书对参与数据泄漏响应的以下人员非常有价值：高管和担心数据泄漏的IT人员。遭受数据泄漏的组织的员工。涉及数据泄漏准备、响应的数字取证研究人员和事件响应团队成员。信息安全专业人员。负责网络安全事件预防和响应的IT顾问。学习数据泄漏管理课程的学生。任何担心被入侵或受到数据泄漏影响的人。本书的组织方式本书为数据泄漏管理和响应提供了坚实而实用的知识基础。

以下是各章的摘要：

第1章　实际报告的数据泄漏事件的数量仅占实际发生的数据泄漏事件数量的一小部分，受管辖权、行业和其他因素的影响，即使是数据泄漏的定义也悬而未决。在该章中，我们将建立数据泄漏的通用术语，并探讨检测和衡量问题所涉及的挑战。

第2章　数据是有害材料。存储、处理或传输数据会给组织带来风险。为了有效地管理风险，安全专业人员必须了解导致数据泄漏风险的特定因素。在这里，我们将介绍五个数据泄漏风险因素，并讨论现代数据经济的崛起如何导致数据泄漏风险急剧上升。最后，我们将提供通过最小化和控制数据来降低风险的高级技巧。

第3章　数据泄漏是危机，应进行相应的处理。当数据泄漏使人头疼时，传统的NIST事件响应模型的价值就很有限了。因此，我们引入了危机管理模型，并展示了如何将其应用于数据泄漏响应中。我们将以易速传真公司的数据泄漏事件为例，说明危机沟通的重要性，并讨论在数据泄漏情况下最小化声誉损失的策略。最后，我们将以优步公司的泄漏事件为例，研究与通知相关的问题，最后给出一份便利的危机沟通技巧清单。

第4章　“数据泄漏”一词诞生于2005年，当时臭名昭著的ChoicePoint公司泄漏事件成为大众关注的焦点。在该章中，以ChoicePoint公司泄漏事件为例，我们介绍了一个数据泄漏响应模型，称为DRAMA。这为数据泄漏响应提供了一个灵活、易于记忆的框架。

第5章　为了有效地防止和应对数据泄漏，安全专业人员需要了解犯罪分子寻求的数据类型以及原因。欺诈和转售（通过暗网）助长了早期的数据泄漏，并催生了现在仍然影响着我们的法规的建立。在该章中，我们将探讨暗网的内部工作原理，包括公钥加密、洋葱路由和加密货币等。我们将介绍在暗网上进行买卖的热门数据，包括个人身份信息、支付卡卡号、医疗记录、密码等。

第6章　支付卡泄漏事件可能非常复杂，并可能导致长达数年的诉讼。它的影响通常是广泛的，涉及商家、消费者、银行、支付处理商、信用卡品牌等。在该章中，我们将以TJX泄漏事件为例探索支付卡泄漏的责任和影响，并讨论支付卡行业（PCI）标准的影响。

第7章　美国塔吉特（Target）公司泄漏事件是历史上著名的数据泄漏事件之一，这很大程度上是因为它是数据泄漏响应最佳实践的典范。当时，支付卡泄漏事件很普遍，零售商处于困境之中。犯罪分子已经开发出精密的工具来攻击网络和目标零售商，以便从销售点系统中窃取支付卡数据。在该章中，我们将从技术层面和危机沟通方面研究从塔吉特公司泄漏事件中吸取的教训。最后，我们将探讨其影响，包括随后推出的加密芯片（EMV）卡。

第8章　科技是全社会各个方面的基础，它通过庞大、复杂的网络将供应商与其客户联系在一起。供应商的安全风险可能会扩散到客户身上，有时会导致广泛的数据泄漏。在该章中，我们将讨论由于服务提供商访问客户的IT资源和数据而导致的风险转移。然后，我们将分析整个技术供应链（包括软件和硬件供应商）中引入的风险，并提供使数据泄漏风险最小化的技巧。

第9章　健康信息是高度敏感的，也受到了罪犯的重视，犯罪分子可以使用它们进行身份盗窃、保险欺诈、药品欺诈、勒索和许多其他犯罪。因此，医疗保健提供者和业务伙伴必须遵守最严格的数据泄漏法规，包括健康保险可携性与责任法案（HIPAA）。在该章中，我们将深入研究美国HIPAA法规的相关部分，这些法规定义了针对某些与健康信息相关的泄漏行为的预防和响应要求。然后，我们将分析仅限于医疗保健环境的挑战，并讨论数据如何“逃脱”HIPAA/HITECH法规或“绕过”它们。最后，我们将列举数据泄漏的负面影响，并说明从处理医疗事故中吸取的经验教训也可以帮助我们解决数据泄漏问题。

第10章　数据曝光已成为各种组织的主要风险。出于各种目的，比如黑客行为、举报等，失窃数据被有意地公开了。在该章中，我们将讨论与曝光有关的关键策略和技术。特别是，我们将展示维基解密（WikiLeaks）是如何引入一种用于托管和分发大量泄漏数据的新模型的，该模型引发了“大解密”。我们还将概述关键的响应策略，包括验证、调查、数据删除和公共关系。

第11章　网络勒索十分普遍。世界各地的犯罪分子都会威胁破坏信息的完整性或可用性，以获取金钱或其他想要的结果。在该章中，我们将讨论网络勒索的四种类型（拒绝服务、修改、曝光和伪装），并提供应对技巧。

第12章　网络空间保险已经成为一个重要的新市场，但是它给保险公司和消费者都带来了挑战。尤其是泄漏响应保险已经从根本上改变了行业最佳实践，赋予了保险人重要的（通常是非常有益的）角色。该章的目的是给出对不同类型的网络空间保险覆盖范围的清晰描述，为选择网络空间保险提供指导，并讨论使组织保单价值最da化的策略。

第13章　云是数据泄漏的新兴场景。各个组织机构正在将敏感数据快速迁移到云中，而可见性和调查资源则没有得到重视。在该章中，我们将概述造成云泄漏的常见原因，包括安全漏洞、权限错误、缺乏控制和认证问题。我们以商务电子邮件泄漏事件为例，研究了诸如缺乏可见性之类的关键响应问题。好消息是，如果云提供商提高可见性和对数字证据的访问权限，基于云的监视和泄漏响应就有可能变得高度可扩展和高效。

这是一场噩梦：有一天，IT团队发现你们被黑客入侵了。到底数据已经被泄漏出去多久了呢？几天？几周？实际上可能已经泄漏好几年了。你们所有的敏感数据（包括人事信息数据库、大量的电子邮件、财务详细信息）都被偷盗了，而这只是开始。接下来会发生什么？你们会怎么做？要在发现数据泄漏的头几个小时内做出决定绝非易事，但这却会影响你们的组织好多年。

数据已经成为现代社会的“命脉”，同时它也担负着巨大的责任。不管是大公司还是小公司，政府部门还是非营利组织，通常都会收集并产生越来越多的敏感信息，这些信息通常只是日常运营的副产品。一段时间以来，除了存储和处理数据的开销外，收集大量的数据看起来并没有什么坏处—数据越多越好，为什么要费尽心思处理掉它呢？

随着时间的推移，收集数据的真实成本就会显现出来。信用卡被盗会使商家感到尴尬，使顾客感到沮丧。被入侵的医院泄漏了医疗记录，会使病人感到恐惧。大量的电子数据泄漏会曝光政府机密。首席执行官会因为有关安全措施的问题引咎辞职、名誉受损，并面临持续数年的诉讼。

整个行业都在应对数据泄漏的挑战，因此出现了身份盗窃保护公司、数字取证公司、数据泄漏律师、信用监控服务，等等。新的规范也如雨后春笋般涌现，进而对工作职责和泄漏事件的报告提出了新的要求。全世界的IT员工都在通宵打补丁并担心系统漏洞。在各种可以想象的组织中，数据泄漏已在董事会、首席执行官、审计师、立法者、选民和消费者的头脑之中打上了深深的烙印并被提上了议程。

为什么有些组织可以毫发无损地从数据泄漏事件中脱身，而另一些却受到了严重破坏甚至倒闭呢？所有人如何在数据泄漏之前和之后都做出明智的选择呢？

这本书的目的是提供点亮数据泄漏世界的一盏明灯，并且给如何管理和响应数据泄漏打下切实可行的基础。“数据泄漏”不仅仅是一个新的研究领域，甚至这个词在2005年之前根本就不存在。就像科学家看着火山从海洋中升起一样，我们面临的挑战是，既要理解所看到的新环境，又要管理新环境给社会带来的潜在的破坏性后果。

幸运的是，降低数据泄漏风险的有效方法还是存在的。回顾具有代表性的案例，我们可以清楚地找出那些减少数据泄漏行为造成的损害的策略。从书中也能看到一些会致使数据泄漏失控的常见错误。我们的案例研究包括已发布的数据泄漏事件，例如影响易速传真（Equifax）、塔吉特（Target）、谷歌（Google）、雅虎（Yahoo）等公司的数据泄漏事件，以及花费了多年时间来处理数据泄漏事件的隐私保护专家的故事和见解。顺便我们会提出一个数据泄漏响应的新框架，并且用著名的数据泄漏实例来说明关键的转折点和经验教训。

你还可能感兴趣

我要评论