自愿性合规框架的作用

数据安全入门

Angeline Corvaglia

Founder & Digital Transformation Specialist

自愿框架 vs. 强制框架

自愿性合规框架

• 不具法律约束力
• 为组织提供更广泛支持
• 指南更灵活
• 满足特定数据安全需求

强制性合规规则与法规

• 具有法律约束力
• 规定性强
• 侧重实现特定结果

常见合规框架

• 信息技术控制目标（COBIT）
• ISO 27001
• 美国国家标准与技术研究院网络安全框架（NIST CSF）

用于管理网络安全风险并保护数据的框架

什么是 NIST CSF？

• 管理网络安全风险
• 推荐最佳实践
• 提供通用语言与方法
• 五大职能：识别、保护、发现、响应、恢复

职能 1：识别

识别组织的最关键资产并理解潜在风险

开展全面风险评估以发现：

• 漏洞
• 潜在威胁

这些威胁示例：

• 数据泄露
• 恶意软件攻击
• 未授权访问尝试

职能 2：保护

为关键数据及相关风险落实适当的防护措施

示例：

• 用户访问控制
• 加密技术
• 数据泄露防护（DLP）

职能 3：发现

实施持续监控以发现潜在的网络威胁和入侵

安全工具与技术监控：

• 网络流量
• 用户活动
• 系统性能

职能 4：响应

在网络安全事件中启用明确定义的事件响应计划

计划应包含清晰流程：

• 识别
• 控制
• 根除
• 透明的沟通机制

职能 5：恢复

快速高效地恢复系统、数据与能力

依赖充分测试的备份与恢复流程

自愿性框架是对抗网络威胁的利器

• 提升意识
• 帮助规划防御
• 指导资源分配
• 确保合规
• 促进持续改进

选择最佳框架取决于组织的具体需求、风险状况和行业

• 组织规模
• 处理的数据类型
• 监管要求
• 预算

Ayo berlatih!

数据安全入门