1.了解数据技术和数据库。
在过去的几十年中，数据库变得越来越复杂。关系数据库是最常见的。该技术允许根据用户或管理员的需要以动态方式查看数据。用于与数据库通信的最常用语言是结构化查询语言(SQL)。SQL允许用户将查询实时传递到数据库服务器。这种灵活性在未安全实施时会导致重大漏洞。不要将语言SQL与Microsoft的数据库产品SQLServer混淆，不过，与大多数数据库一样，SQLServer使用结构化查询语言。
早期的数据库系统通过应用程序将最终用户直接连接到数据。在专用网络中，通常只需要物理安全来保护数据。现在，为了提高数据库的性能和安全性，公司选择了以下模型之一：
一层模型。在单层或单层模型中，数据库和应用程序存在于单个系统上。这在运行独立数据库的桌面系统上很常见。早期的Unix实现也以这种方式工作。每个用户都将登录终端并运行访问数据的专用应用程序。
两层模型。在两层模型中，客户端工作站或系统运行与运行在不同服务器上的数据库通信的应用程序。这是一个常见的实现，它适用于许多应用程序。
三层模型。三层模型通过引入中间层服务器有效地将最终用户与数据库隔离。该服务器接受来自客户端的请求，评估它们并将它们发送到数据库服务器进行处理。数据库服务器将数据发送回中间层服务器，然后中间层服务器将数据发送到客户端系统。这种方法在今天变得很普遍。中间服务器还可以控制对数据库的访问并提供额外的安全性。
NoSQL
NoSQL是一个相对较新的概念。如上所述，大多数商业关系数据库管理系统（Oracle、MicrosoftSQLServer、MySQL、PostGres等）都使用SQL。NoSQL数据库不是关系数据库，也不使用SQL。这些数据库不像关系数据库那么常见，但通常在扩展很重要的地方使用。以下是一些主要区别：
大数据
一些组织存储大量数据，通常为数TB。这种“大数据”通常无法放在单个服务器上，因此它存储在存储区域网络(SAN)上。SAN是一个单独的网络，被设置为主要组织网络的服务器。例如，多个服务器和网络存储设备可能被配置为一个具有一个目的的小型网络：存储数TB的数据。它连接到主网络，因此用户可以访问SAN中的数据，而不必担心其中涉及的复杂性。SAN通常具有冗余服务器，它们通过高速光纤连接或在铜线上运行的iSCSI连接。大数据的问题之一是它可能达到难以搜索、存储、共享、备份和管理它的大小。
文件系统
文件系统是另一种存储非结构化数据并控制其检索方式的方式。如果没有文件系统，存储介质中的信息将是一大堆数据，无法分辨一条信息在哪里停止，下一条信息从哪里开始。将数据分成多个片段并为每个片段命名，可以轻松隔离和识别信息。
文件系统可用于多种不同类型的介质，例如SSD、磁带和光盘。文件系统类型取决于所使用的操作系统；例如，Linux使用extfamily、xfs和jfs等文件系统；Windows操作系统使用fat、fat32和ntfs；MacOS使用apfs和hfs+。
2.识别和分类敏感数据。
为了有效地保护数据，您需要准确了解您拥有的数据类型。数据发现技术将扫描您的数据存储库并报告调查结果。然后，您可以使用数据分类过程将数据组织成类别。数据发现引擎通常使用正则表达式进行搜索，这是一个非常灵活但创建起来相当复杂的东西。
使用数据发现和分类技术可帮助您控制用户对关键数据的访问，避免将其存储在不安全的位置，从而降低不当数据暴露和数据丢失的风险。所有关键或敏感数据都应使用表示其分类的数字签名清楚地标记，以便您可以根据其对组织的价值对其进行保护。第三方工具，例如NetwrixDataClassification，可以使数据发现和分类更容易、更准确。
随着数据的创建、修改、存储或传输，可以更新分类。但是，应采取控制措施以防止用户伪造分类级别。例如，只有特权用户才能降级数据的分类。
请遵循这些准则来创建强大的数据分类策略。并且不要忘记将数据发现和分类作为IT风险评估过程的一部分。
3.创建数据使用策略。
当然，仅靠数据分类是不够的；您需要创建一个策略，指定访问类型、基于分类的数据访问条件、谁可以访问数据、什么构成数据的正确使用等等。不要忘记所有违反*策的行为都应该有明确的后果。
4.控制对敏感数据的访问。
您还需要对您的数据应用适当的访问控制。访问控制应根据最小权限原则限制对信息的访问：用户必须仅获得执行其预期功能所必需的那些权限。这有助于确保只有适当的人员才能访问数据。访问控制可以是物理的、技术的或管理的，如下所述。
行*控制
管理访问控制是所有员工必须遵守的程序和*策。安全策略可以列出被认为可以接受的行动、公司愿意承担的风险级别、违规情况下的处罚等。该策略通常由了解业务目标和适用合规法规的专家编制。
监督结构是行*控制的重要组成部分。几乎所有组织都让管理者对其员工的活动负责；如果员工违反行*控制，主管也将被追究责任。
人员教育和意识
应提供培训以使用户了解公司的数据使用*策，并强调公司重视安全并将积极执行该*策。此外，应定期对用户进行再教育和测试，以加强和验证他们的理解。安全措施已经到位以限制用户可以做什么，但这些工具并不完美。如果用户打开每封电子邮件中的每个附件，那么您的防病*数据库中未列出的一些零日攻击或其他漏洞利用很可能会危及计算机。因此，需要对用户进行有关正确使用计算机的责任和最佳实践的教育。
员工终止程序
确保每位离职员工都无法访问您的IT基础架构，这对于保护您的系统和数据至关重要。您需要与HR合作制定有效的用户终止程序，以在法律和技术上保护您的组织免受前雇员的影响。遵循这些用户终止最佳实践以实现该目标。
技术控制
在大多数情况下，不应允许用户在本地复制或存储敏感数据。相反，他们应该被迫远程操作数据。在用户注销或会话超时后，应彻底清除客户端和服务器这两个系统的缓存，否则应使用加密的RAM驱动器。理想情况下，敏感数据不应存储在任何类型的便携式系统上。所有系统都应该需要某种登录，并且应该设置条件以在出现可疑使用时锁定系统。
权限
用户权限的授予应严格按照最小权限原则。以下是Microsoft操作系统中的基本文件权限：
完全控制——用户可以读取、执行、修改和删除文件；分配权限；并取得所有权。
修改—用户可以读取、写入和删除文件。
读取和执行—用户可以运行可执行文件。
读取—用户可以读取但不能修改文件。
写入—用户可以读取和修改文件，但不能删除它。
文件夹具有相同的权限，再加上一项-列出文件夹内容，这使用户能够查看文件夹中的内容，但不能读取文件。
访问控制列表
访问控制列表(ACL)是谁可以访问什么资源以及在什么级别的列表。它可以是操作系统或应用程序的内部部分。例如，自定义应用程序可能有一个ACL，其中列出了哪些用户在该系统中具有哪些权限。
ACL可以基于白名单或黑名单。白名单是允许的项目列表，例如允许用户使用公司计算机访问的网站列表，或授权安装在公司计算机上的第三方软件列表。黑名单是被禁止的事物的列表，例如不允许员工访问的特定网站或禁止在客户端计算机上安装的软件。
在文件管理过程中，白名单ACL使用比较多，在文件系统级别进行配置。例如，在MicrosoftWindows中，您可以配置NTFS权限并从中创建NTFS访问控制列表。您可以在此NTFS权限管理最佳实践列表中找到有关如何正确配置NTFS权限的更多信息。请记住，访问控制应在每个具有基于角色的访问控制(RBAC)的应用程序中实施；示例包括ActiveDirectory组和委派。
安全装置和方法
某些设备和系统可帮助您进一步限制对数据的访问。以下是最常实施的列表：
数据丢失防护(DLP)—这些系统监控工作站、服务器和网络，以确保敏感数据不被删除、移除、移动或复制。他们还监控谁在使用和传输数据以发现未经授权的使用。
防火墙——防火墙是网络中的第一道防线之一，因为它将一个网络与另一个网络隔离开来。防火墙可以是独立系统，也可以包含在其他基础设施设备中，例如路由器或服务器。您可以找到硬件和软件防火墙解决方案；一些防火墙可用作设备，用作分隔两个网络的主要设备。防火墙可以阻止不需要的流量进入组织的网络，这有助于防止恶意软件或黑客将数据泄漏到第三方流氓服务器。根据组织的防火墙策略，防火墙可能会完全禁止某些流量或所有流量，或者它可能会对部分或全部流量执行验证。
网络访问控制(NAC)—这涉及将网络资源的可用性限制为符合您的安全策略的端点设备。一些NAC解决方案可以自动修复不合规的节点，以确保在允许访问之前它是安全的。NAC在用户环境相当静态且可以严格控制时最有用，例如企业和*府机构。在具有频繁变化的多样化用户和设备的设置中，它可能不太实用。NAC可以限制未经授权的设备直接从您的网络访问您的数据。
代理服务器——这些设备充当客户端软件请求的协商者，从其他服务器寻求资源。客户端连接到代理服务器，请求某些服务（例如，网站）；代理服务器评估请求，然后允许或拒绝它。在组织中，代理服务器通常用于流量过滤和性能改进。代理设备可以限制从Internet访问您的敏感数据。
物理控制
在有关数据安全的讨论中，物理安全经常被忽视。对物理安全的*策不佳可能会导致您的数据甚至网络受到全面损害。每个工作站都应锁定，使其无法从该区域移走。此外，应放置一个锁，以使机箱无法打开，从而暴露系统内部；否则，硬盘驱动器或其他存储数据的敏感组件可能会被移除和破坏。实施BIOS密码也是一种很好的做法，以防止攻击者使用可移动媒体启动其他操作系统。需要特别注意移动设备，例如智能手机、平板电脑、笔记本电脑、USB闪存驱动器、iPod和蓝牙设备，如下文所述。
笔记本电脑安全
对于笔记本电脑，最大的担忧是丢失和被盗，其中任何一个都可能使恶意方访问硬盘驱动器上的数据。组织内的每台笔记本电脑都应使用全盘加密。此外，除非使用VPN或SSH等安全通信通道，否则使用公共Wi-Fi热点绝不是一个好主意。帐户凭据很容易通过无线攻击被劫持，并可能导致组织网络受到危害。
移动设备安全
移动设备可以将病*或其他恶意软件携带到组织的网络中，并从您的服务器中提取敏感数据。由于这些威胁，需要非常严格地控制移动设备。允许连接的设备应进行病*扫描，可移动设备应加密。为此目的使用NAC非常棒。
重要的是要