趁著國慶假期閑暇之余，進行了這階段的總結梳理。也希望各位小伙伴能夠和我多多交流，多提寶貴意見。那么，按照標準內容及數據安全生命周期的階段，今天介紹DSMM另一階段的具體內容——數據存儲安全。
一、背景
在開篇交流一文中介紹了DSMM針對數據安全不同生命周期提出了不同的安全要求，數據安全生命周期分為采集、傳輸、存儲、處理、交換、銷毀。那么今天聊的重點內容就是數據存儲安全的相關要求和實現目標。
我們知道DSMM分為5個成熟度等級分別為：非正式執行、計劃跟蹤、充分定義、量化控制、持續優化;安全能力的維度包括組織建設、制度流程、技術工具、人員能力。我們在落地執行的時候一般按照等級3即充分定義級進行相關的工作，因為在充分定義級里面完整的包含了安全能力維度的四個方面，而等級1和等級2是沒有覆蓋完全的，至于等級4和等級5就是進行一些量化細化和持續改進的，可以在DSMM體系建設完成后進行拔高。每個過程域都是按照這樣的思路進行要求的，所以接下來介紹的數據存儲安全的各過程域都是按照這個思路進行建設的。
二、定義
數據存儲安全是數據中心安全和組織安全的一部分，這是數據安全重要的階段，也是數據完整性、保密性和可用性三個方面都涉及的過程，所以該階段的重要性不言而喻。該過程包含三個過程域，分別為：存儲介質安全、邏輯存儲安全、數據備份和恢復。
2.1存儲介質安全
官方描述為針對組織機構內需要對數據存儲介質進行訪問和使用的場景，提供有效的技術和管理手段，防止對介質的不當使用而可能引發的數據泄露風險。
數據存儲在介質上，比如物理實體介質(磁盤、硬盤)，虛擬存儲介質(容器、虛擬盤)等，對介質的不當使用及其容易引發數據泄露風險，此安全域更加注重物理安全層面的數據保護。
DSMM標準在充分定義級要求如下：
組織建設：
組織機構設立統一負責存儲介質使用管理的崗位和人員。
在DSMM的要求中這個幾乎都是一樣的，每個過程域都需要指定專人和專崗負責該項工作，并能夠勝任此工作。在實際工作中，可能所有的過程域在這個維度上都是同樣的一個或多個人，可以單獨任命，也可以在相應的制度章節中進行說明。
制度流程：
制定存儲介質訪問和使用安全策略和管理規范，建立介質使用的審批和記錄流程。
建立購買或存儲介質的規范流程，要求通過可信渠道購買或獲取存儲介質，并針對各類存儲介質建立標準的存儲介質凈化規程。
對存儲介質進行標記，明確介質存儲的數據對象。
對存儲介質進行常規和隨機檢查流程，確保存儲介質的使用符合機構公布的關于介質使用的規范。
技術工具：
組織機構采取有效的介質凈化工具對存儲介質進行凈化處理。
對介質訪問和使用行為進行記錄和審計。
人員能力：
負責該項工作的人員熟悉介質使用的相關合規要求，熟悉不同存儲介質訪問和使用的差異性，能夠主動根據政策變化更新管理要求。
以下是在存儲介質安全過程中具體落地應該重點關注的內容。
1.明確組織機構對數據存儲介質進行訪問和使用的場景，建立存儲介質安全管理規定/規范，明確存儲介質和分類的定義，常見存儲介質為磁帶、磁盤、光盤、內存等，依據數據分類分級內容確定數據存儲介質的要求。
2.明確存儲介質的采購和和審批要求，建立可信任的渠道，保證存儲介質的可靠。
3.對存儲介質進行標記，如分類(可按照類型、材質等分類)、標簽(對存儲介質進行打標簽處理，明確存儲數據的內容、歸屬、大小、存儲期限、保密程度等)。
4.明確介質的存放環境管理要求，主要包括存儲的區域位置、防塵、防潮、防靜電、防盜、分類標識、出入庫登記等內容。
5.明確存儲介質的使用規范，包括申請單、登記表等一系列訪問控制要求及數據清理(永久刪除、暫時刪除等)和銷毀報廢(銷毀方式、銷毀記錄)要求。
6.明確存儲介質測試和維修規范，包括測試存儲硬件的性能、可靠性和容量等以及如何返廠、操作人、時間和場地等內容。
7.明確常規和隨機審查要求，定期對存儲介質進行檢查，以防信息丟失。
簡單總結就是，有專人專職負責介質安全這件事情，而且熟悉介質使用的相關合規要求。建立制度規范包含介質的使用審批和記錄流程、購買的可信渠道及初始化(凈化)的相關規程、存儲介質的分類標識標記、定期對存儲介質進行常規檢查等。提供能夠對介質進行凈化的相關工具和對介質進行訪問和使用的記錄審計工具。
2.2邏輯存儲安全
官方描述為基于機構內部的業務特性和數據存儲安全要求，建立針對數據邏輯存儲、存儲容器和架構的有效安全控制。
針對存儲容器和存儲架構的安全要求，比如認證鑒權、訪問控制、日志管理、通信舉證、文件防病毒等安全配置，以及安全配置策略，以保證數據存儲安全。
DSMM標準在充分定義級要求如下：
組織建設：
組織結構層面設立統一負責數據邏輯存儲安全管理的崗位和人員，負責明確整體的數據邏輯存儲系統安全管理要求，并推進相關要求的落地實施。
明確各數據邏輯存儲系統的安全管理員，負責執行數據邏輯存儲系統、存儲設備的安全管理和運維工作。
制度流程：
建立數據邏輯存儲管理安全規范和配置規則，明確各類數據存儲系統的賬號權限管理、訪問控制、日志管理、加密管理、版本升級等方面的要求。
內部的數據存儲系統在上線前應遵循統一的配置要求進行有效的安全配置，對使用的外部數據存儲系統也應進行有效的安全配置。
明確數據邏輯存儲隔離授權與操作規范，確保具備多租戶數據存儲安全隔離能力。
技術工具：
提供數據存儲系統配置掃描工具，定期對主要數據存儲系統的安全配置進行掃描，以保證符合安全基線要求。
利用技術工具監測邏輯存儲系統的數據使用規范性，確保數據存儲符合組織機構的相關安全策略要求。
具備對個人信息、重要數據等敏感數據的加密存儲能力。
人員能力：
負責該項工作的人員熟悉數據存儲系統架構，并能夠分析出數據存儲面臨的安全風險，從而能歐保證對各類存儲系統的有效安全防護。
以下是在邏輯存儲安全管理階段具體落地應該重點關注的內容：
1.定義邏輯存儲系統和設備，建立數據邏輯存儲管理安全規范/制度和配置規則，明確各類數據存儲系統的賬號管理、認證鑒權、權限管理、日志管理、加密管理、版本升級等安全要求
2.明確數據存儲系統的架構設計和安全要求，提出建議的安全架構設計，規避常見存在安全隱患的架構設計。
3.明確數據存儲系統在上線前的安全配置要求并進行統一有效的安全配置，同時采用配置掃描工具和漏洞掃描系統對數據存儲系統進行定期掃描，以保證符合安全基線要求。
4.建立數據邏輯存儲隔離授權與操作規范，保證多租戶數據存儲安全隔離，避免用戶間數據未授權訪問、修改等。
5.建立數據存儲系統和設備的安全管理規范和操作規程，包括但不限于標準操作流程、維護操作流程、應急操作流程等。
6.對數據存儲系統的日志記錄進行采集和分析，識別賬號和訪問權限，監測數據使用規范性和合理性，同時可對發生的安全事件進行分析和溯源。
簡單總結就是，有專人專崗統一負責邏輯存儲安全管理，同時要熟悉了解邏輯存儲安全架構和相關運維工作。建立數據邏輯存儲安全管理規范，包含認證授權、賬號和權限管理、日志管理、加密存儲管理、版本升級、上線前統一安全配置、數據隔離等方面的要求。提供相關工具進行配置掃描和漏洞掃描、監測數據使用規范性，對重要數據進行加密的工具或技術。
2.3數據備份和恢復
官方描述為通過執行定期的數據備份和恢復，實現對存儲數據的冗余管理，保護數據的可用性。
備份和恢復是為了提高信息系統的高可用行和災難可恢復性，在數據庫系統崩潰的時候，沒有數據庫備份就沒法找到數據，保證數據可用性是數據安全的基礎。
DSMM標準在充分定義級要求如下：
組織建設：
明確了負責組織機構統一的數據備份和恢復管理工作的崗位和人員，負責建立相應的制度流程并部署相關的安全措施。
制度流程：
建立數據備份與恢復的策略和管理制度，以滿足數據服務可靠性、可用性等安全目標。
建立數據備份與恢復的操作流程，明確定義數據備份和恢復的范圍、頻率、工具、過程、日志記錄規范、數據保存時長等。
建立數據備份與恢復的定期檢查和更新工作程序，包括數據副本的更新頻率、保存期限等，確保數據副本或備份數據的有效性。
依據數據生命周期和業務規范，建立不同階段數據歸檔存儲的操作流程。
建立歸檔數據的壓縮或加密策略，確保歸檔數據存儲空間的有效利用和安全訪問。
建立歸檔數據的安全策略和管控措施，確保非授權用戶不能訪問歸檔數據。
識別組織適用的國內外法律法規要求，確保按照法律規定和監管部門的要求對相關數據予以記錄和保存。
制定數據存儲時效性管理策略和規程，明確數據分享、存儲、使用和清除的有效期、有效期到期時對數據的處理流程、過期存儲數據安全的安全管理策略。
建立過期存儲數據的安全保護機制，對超出有效期的存儲數據應具備再次獲取數據控制者授權的能力。
技術工具：
建立數據備份與恢復的統一技術工具，并將具體的備份策略固化到工具中，保證相關工作的自動化執行。
建立備份和歸檔數據安全的技術手段，包括但不限于對備份和歸檔數據的訪問控制、壓縮或加密管理、完整性和可用性管理，確保對備份和歸檔數據的安全性、存儲空間的有效利用和安全訪問。
定期地采取必要的技術措施查驗備份和歸檔數據完整性和可用性。
建立過期存儲數據及其備份數據徹底刪除或匿名化的方法和機制，能夠驗證數據已被完全消除、無法恢復或無法識別到個人，并告知數據控制者和數據使用者。
通過風險提示和技術手段避免非過期數據的誤刪除，確保在一定的時間窗口內的誤刪除數據可以手動恢復。
確保存儲架構具備數據存儲跨機柜或跨機房容錯部署能力。
人員能力：
負責該項工作的人員了解數據備份介質的性能和相關數據的業務特性，能夠確定有效的數據備份和恢復機制。
負責該項工作的人員充分了解數據存儲時效性相關的合規性要求，并具備基于業務場景對留存合規性要求的解讀能力和落地方案的制定能力。
以下是在數據備份與恢復階段具體落地應該重點關注的內容：
1.建立數據備份與恢復的策略和管理制度，以保證數據服務的可靠性和可用性。
2.建立數據備份與恢復的操作規程，明確定義數據備份和恢復的范圍、頻率、工具、過程、日志記錄規范、數據保存時長等。
3.明確數據備份和恢復的定期檢查和更新工作要求，如數據副本的更新頻率、保存期限等，確保數據副本或備份數據的有效性等。
4.建立備份數據的壓縮、完整性校驗和加密策略要求，確保備份數據存儲空間的有效利用和安全訪問。
5.識別組織適用的國內外法律法規要求，結合自身業務需求，確保按照法律規定和監管部門要求對相關數據予以記錄和保存及滿足備份保存周期要求。
6.建立統一的、自動化執行的備份和恢復工具。
7.對備份數據采取安全管理數據手段，包括但不限于對備份數據的訪問控制、壓縮或加密管理、完整性和可用性管理。
簡單總結就是，專人專崗負責數據備份與恢復，同時具備了解數據備份操作業務流程和滿足相關合規性要求的能力。制定數據備份與恢復的安全管理制度和操作規范，包含備份范圍、頻率、工具、過程、日志記錄、保存時長、恢復測試流程、訪問權限設定、有效期保護、異地容災等各項內容。提供數據備份和恢復的自動化工具和數據加密、完整性校驗的工具及技術手段。
三、總結
DSMM之數據存儲安全其實就是為了保證數據在物理層面和邏輯層面的存儲安全，主要的目標就是實現數據加密、完整性和高可用，實現數據由動態到靜態的存儲安全。
雖然在文中，很多制度和技術工具是分開敘述，但是在實際工作中可能是混在一起的，同時很多具體實現的部分不僅僅只是應用在一個過程域或者一個生命周期階段，甚至可以應用在整個生命周期過程中。比如要求對重要或敏感數據進行加密存儲和完整性校驗，在生命周期各階段都適用。對于大多數單位，這塊工作一般都是運維人員負責。作為安全人員，我認為在數據存儲安全方面，更多的是和運維同事一起配合完成，可以在現在已有的基礎上進行完善和改進。無論是在制度規范方面，還是在工具技術方面及人員方面，不但要滿足DSMM的相關要求，也要和運維人員的工作相結合，不然是不能很好的落地的。在這個階段，安全人員應該起到的作用是提出要求，并且提供安全方面的能力支撐，讓相關運維同事配合完成。
以上就是DSMM數據存儲安全過程的要求以及我們在進行實際落地執行過程中的一點心得和體會，希望能夠給有真正有DSMM需求的組織和人員帶來一點兒啟發，也歡迎大家和我進行溝通交流，并給出一些意見，共同將DSMM做的更好。
中企檢測認證網提供iso體系認證機構查詢，檢驗檢測、認證認可、資質資格、計量校準、知識產權貫標一站式行業企業服務平臺。中企檢測認證網為檢測行業相關檢驗、檢測、認證、計量、校準機構，儀器設備、耗材、配件、試劑、標準品供應商，法規咨詢、標準服務、實驗室軟件提供商提供包括品牌宣傳、產品展示、技術交流、新品推薦等全方位推廣服務。這個問題就給大家解答到這里了，如還需要了解更多專業性問題可以撥打中企檢測認證網在線客服13550333441。為您提供全面檢測、認證、商標、專利、知識產權、版權法律法規知識資訊，包括商標注冊、食品檢測、第三方檢測機構、網絡信息技術檢測、環境檢測、管理體系認證、服務體系認證、產品認證、版權登記、專利申請、知識產權、檢測法、認證標準等信息，中企檢測認證網為檢測認證商標專利從業者提供多種檢測、認證、知識產權、版權、商標、專利的轉讓代理查詢法律法規，咨詢輔導等知識。
本文內容整合網站：百度百科、搜狗百科、360百科、知乎、市場監督總局 、國家認證認可監督管理委員會、質量認證中心
免責聲明：本文部分內容根據網絡信息整理，文章版權歸原作者所有。向原作者致敬！發布旨在積善利他，如涉及作品內容、版權和其它問題，請跟我們聯系刪除并致歉！
