Aufbau operativer Datensicherheitskapazitäten aus der Perspektive des DDT-Sicherheitsvorfalls

I. Einleitung 

Am Abend des 9. Dezember 2021 wurde die Apache Log4j2 Remote Code Execution Vulnerability (CVE-2021-44228) in die Welt gesetzt. Die Sicherheitslücke wird als eine epische Sicherheitslücke beschrieben, mit einem CVSS-Score von 10 von 10, die die meisten Internet-Unternehmen der Welt betrifft, einschließlich Baidu, Apple und andere Unternehmen wurden auf die Existenz der Sicherheitslücke ausgesetzt.

Heute ist es fast einen Monat her, dass die Sicherheitslücke bekannt wurde. In diesem Monat gab es zahlreiche Angriffe, bei denen die Sicherheitslücke ausgenutzt wurde. Es werden Mining und Ransomware verbreitet, Botnets aufgebaut und APT-Angriffe zum Datendiebstahl durchgeführt. Abgesehen vom Mining stehen alle anderen Angriffsaktivitäten im Zusammenhang mit Daten vor. Wir müssen also ausrufen: Nach dem epischen Einbruch ist es an der Zeit, sich wieder um den Schutz Ihrer Daten zu kümmern! Daher werden wir in diesem Artikel über Folgendes sprechenDatensicherheitund DatenSicherer BetriebSystemaufbau.

 

Zwei,DatensicherheitNotwendigkeit der Konstruktion

1. übersicht

Wenn es um die Sicherheit von Daten geht, ist das beeindruckendste im Jahr 2021 niemand anderes als DDT:

 

• Am 2. Juli leitete das staatliche Internet-Informationsbüro eine Sicherheitsüberprüfung von "DDT" mit der Begründung ein, dass "nationale Datensicherheitsrisiken, die Wahrung der nationalen Sicherheit und der Schutz des öffentlichen Interesses" gegeben seien, und setzte die Registrierung neuer Nutzer aus;
• Am 4. Juli gab das staatliche Internet-Informationsbüro (SIIO) ein Rundschreiben heraus, in dem es feststellte, dass die "DDT"-App schwerwiegende Probleme mit der Sammlung und Verwendung persönlicher Daten hat, was gegen das Gesetz verstößt, und wies die App-Shops an, ihre Apps zu entfernen;
• Am 9. Juli erließ das staatliche Internet-Informationsbüro erneut ein Rundschreiben, in dem es die Herabstufung von 25 APPs, darunter die Unternehmensversion von DDT, forderte;
• Am 16. Juli teilte das Staatliche Internet-Informationsbüro (SNIO) mit, dass das SNIO gemeinsam mit dem Ministerium für öffentliche Sicherheit, dem Ministerium für nationale Sicherheit, dem Ministerium für natürliche Ressourcen, dem Verkehrsministerium, der Generalverwaltung für Steuern, der Generalverwaltung für Marktaufsicht und anderen Abteilungen bei der Firma DDT Travelling Technology Co.NetzwerksicherheitRückblick.

In der Zwischenzeit wurden am 5. Juli "Luck full", "truck gang" und "BOSS ZhiJian" einer Cybersicherheitsüberprüfung unterzogen, bei der die Registrierung neuer Nutzer gestoppt wurde. Das Netzinformationsbüro veröffentlichte die "Maßnahmen zur Überprüfung der Netzsicherheit (Entwurf zur Stellungnahme)" (die Maßnahmen wurden auf der 20. Kammerversammlung des Staatlichen Internetinformationsbüros am 16. November 2021 erörtert und angenommen und werden am 15. Februar 2022 in Kraft treten), wonach Betreiber mit persönlichen Daten von mehr als einer Million Nutzern verpflichtet sind, dem Netzsicherheitsüberprüfungsbüro mitzuteilen, wenn sie im Ausland an die Öffentlichkeit gehen. Überprüfung der Cybersicherheit.

Hinter dieser Reihe von Ereignissen steht die Existenz von Datensicherheitslücken, Datenmissbrauch und anderen chaotischen Phänomenen auf inländischen Internetplattformen in den letzten Jahren. Derzeit ist die Datensicherheit das dringendste und grundlegendste Sicherheitsproblem in der Ära der digitalen Wirtschaft, und die Stärkung der Datensicherheitsverwaltung ist zu einer strategischen Notwendigkeit geworden, um die nationale Sicherheit und die nationale Wettbewerbsfähigkeit zu schützen. In den letzten Jahren hat dieCybersicherheitsgesetzDas Übereinkommen zur Beseitigung jeder Form von Diskriminierung der Frau.Datensicherheitsgesetzund das Aktionsprogramm der Internationalen Konferenz über Entwicklungsfinanzierung (ICFD).Gesetz zum Schutz persönlicher DatenDurch die Verabschiedung oder Verkündung von Rechtsvorschriften zum Schutz der Datensicherheit, wie z. B. das "Gesetz zum Schutz der Datensicherheit", wurde der Schutz der Datensicherheit institutionell und rechtlich unterstützt.

Die Bedeutung von Daten für die wirtschaftliche Entwicklung spiegelt sich zunehmend in der Governance des Landes im Bereich der Datensicherheit und in der Einführung entsprechender Gesetze wider. Als zentraler und wertvollster Produktionsfaktor im Zeitalter der digitalen Wirtschaft werden Daten immer schneller zur neuen treibenden Kraft und zum Motor des globalen Wirtschaftswachstums.

Tatsächlich wurde am 9. April 2020 in den Stellungnahmen des Zentralkomitees der Kommunistischen Partei Chinas und des Staatsrats zum Aufbau eines perfekteren institutionellen Mechanismus für die marktorientierte Allokation von Faktoren "Daten" als neue Art von Produktionsfaktor in das Dokument aufgenommen, und "Daten" wurden neben Land aufgeführt, Daten" wurden in dem Dokument neben Boden, Arbeit, Kapital und Technologie aufgeführt.

5G, künstliche Intelligenz, Cloud Computing, Blockchain und andere neue IKT-Technologien, neue Modi und neue Anwendungen beruhen alle auf massiven Daten, und auch das Datenvolumen wächst explosionsartig. Laut der IDC-Prognose wird das weltweite Datenvolumen im Jahr 2025 bei 175 ZB liegen, wovon Chinas Datenvolumen im Jahr 2025 auf 48,6 ZB ansteigen wird, was 27,8 Prozent des weltweiten Datenvolumens ausmacht, und China wird zum größten Datenvolumen der Welt werden.

 

2. unsere Politik zur Datensicherheit

Mit der zunehmenden Bedeutung von Daten ist die Frage der Datensicherheit zu einer Sicherheitsfrage geworden, die mit der nationalen Sicherheit, der sozialen Sicherheit und der Sicherheit der Bürger zusammenhängt, und die Verwaltung der Datensicherheit wurde allmählich in den strategischen Rang der Verwaltung der nationalen Sicherheit erhoben. Dies zeigt sich darin, dass der Staat in den letzten Jahren wiederholt einschlägige Verordnungen und Gesetze erlassen hat, die dem Schutz der Datensicherheit einen hohen Stellenwert einräumen.

Nachfolgend finden Sie eine Liste einiger Gesetze und Verordnungen zum Thema Datensicherheit, die in den letzten Jahren vom Staat eingeführt wurden.

• Am 1. Juli 2015 wurde das Gesetz über die nationale Sicherheit der Volksrepublik China offiziell veröffentlicht, wodurch die Datensicherheit offiziell in den Bereich der nationalen Sicherheit aufgenommen wurde;
• Am 7. November 2016 wurde das Cybersicherheitsgesetz der Volksrepublik China offiziell veröffentlicht, das die Einhaltung der Vorschriften für Daten und personenbezogene Informationen unter den Gesichtspunkten "Schutz personenbezogener Informationen", "Datenspeicherung und grenzüberschreitende Sicherheit", "Sicherheit von Daten(informations)inhalten" und "Sicherheit von Datensystemen, -plattformen und -einrichtungen" regelt; das Gesetz trat am 1. Juni 2017 in Kraft; das Gesetz ist nun in Kraft. Das Gesetz regelt die Einhaltung der Vorschriften für Daten und personenbezogene Informationen unter den Gesichtspunkten "Schutz personenbezogener Informationen", "Datenspeicherung und grenzüberschreitende Sicherheit", "Sicherheit von Daten(informations)inhalten" und "Sicherheit von Datensystemen, -plattformen und -einrichtungen"; das Gesetz ist am 1. Juni 2017 in Kraft getreten;
• Am 28. Mai 2019 wurden die "Data Security Management Measures (Draft for Public Comments)" (Maßnahmen zur Verwaltung der Datensicherheit (Entwurf für öffentliche Kommentare)) veröffentlicht, die die Probleme der Cybersicherheit in den letzten Jahren verfeinern, einschließlich der Art und Weise, wie sensible persönliche Daten gesammelt werden, der genauen Schaltung von Werbung, der übermäßigen Inanspruchnahme von Rechten durch APPs und der Schwierigkeit, Konten zu löschen;
• Am 13. Juni 2019 wurden die Maßnahmen für die Sicherheitsbewertung von ausgehenden personenbezogenen Daten (Entwurf für öffentliche Kommentare) veröffentlicht, die die wichtigsten Bewertungsinhalte der Sicherheitsbewertung von ausgehenden personenbezogenen Daten klären, festlegen, dass alle ausgehenden personenbezogenen Daten dem Amt für Internet-Informationstechnologie in Übereinstimmung mit dem Gesetz gemeldet werden müssen und eine Sicherheitsbewertung vom Amt für Internet-Informationstechnologie organisiert werden muss; die Garantien für die Erfüllung des Rechts der betroffenen Person auf Information und anderer Rechte im Rahmen der Szenarien des Outbound klären; die Überwachung des Outbound durch eine Reihe von Entwürfen stärken Die Aufsicht über die Empfänger wird durch eine Reihe von Entwürfen gestärkt; und die spezifischen Inhalte von Verträgen zwischen Netzbetreibern und Empfängern personenbezogener Daten werden umfassend festgelegt;
• Am 30. Dezember 2019 wurden die "Methoden zur Bestimmung der Handlungen zur illegalen und unrechtmäßigen Erhebung und Nutzung personenbezogener Daten durch Apps" veröffentlicht, in denen sechs Kategorien von Methoden zur illegalen und unrechtmäßigen Erhebung und Nutzung personenbezogener Daten durch Mobilfunk-Apps definiert und Standards für die Definition vorgeschlagen werden;
• Am 28. Mai 2020 wurde das Zivilgesetzbuch der Volksrepublik China verabschiedet, das die Positionierung sowie die Definition von Privatsphäre und personenbezogenen Daten, den Umfang der Verarbeitung personenbezogener Daten, die Rechte der Betroffenen, die Anforderungen und Grundsätze sowie den Grundsatz der Rechtmäßigkeit, Legitimität und Notwendigkeit, die bei Datentätigkeiten zu beachten sind, klarstellt;
• Am 22. März 2021 wurden die "Bestimmungen über den Umfang notwendiger personenbezogener Daten für gängige Arten von mobilen Internetanwendungen" erlassen, die den Umfang notwendiger personenbezogener Daten für 39 gängige Arten von APPs klarstellten und verlangten, dass ihre Betreiber den Nutzern den Zugang zu den grundlegenden Funktionen der Apps nicht aufgrund der Tatsache verweigern dürfen, dass die Nutzer der Bereitstellung nicht notwendiger personenbezogener Daten nicht zustimmen, mit dem Ziel, das Verhalten der Apps bei der Erhebung und Nutzung personenbezogener Daten wirksam zu regeln und die gesunde Entwicklung der Apps zu fördern. Ziel ist es, die Erhebung und Nutzung personenbezogener Daten durch Apps wirksam zu regeln und die gesunde Entwicklung von Apps zu fördern;
• Am 26. April 2021 wurden die Interim Provisions on the Administration of Personal Information Protection for Mobile Internet Applications (Draft for Public Comments) veröffentlicht. Darin werden zwei wichtige Grundsätze festgelegt: die "informierte Zustimmung" und die "minimale Notwendigkeit"; die Verantwortlichkeiten und Pflichten von fünf Kategorien von Hauptakteuren, einschließlich App-Entwicklern und -Betreibern, Drittanbietern von Diensten, Endgeräteherstellern und Anbietern von Netzzugangsdiensten, präzisiert; und es werden vier Aspekte von Standardanforderungen vorgeschlagen, darunter die Meldung von Beschwerden, Überwachung und Inspektion, Entsorgungsmaßnahmen und Risikohinweise. Er legt die beiden wichtigen Grundsätze der "Einwilligung in Kenntnis der Sachlage" und des "Mindestmaßes an Notwendigkeit" fest, beschreibt die Zuständigkeiten und Pflichten von fünf Arten von Hauptakteuren, darunter App-Entwickler und -Betreiber, Vertriebsplattformen, Anbieter von Drittdiensten, Endgerätehersteller und Anbieter von Netzzugangsdiensten, und schlägt vier Aspekte von normativen Anforderungen vor, darunter Beschwerden und Berichte, Überwachung und Inspektion, Entsorgungsmaßnahmen und Risikohinweise;
• Am 10. Juni 2021 wurde das Datensicherheitsgesetz der Volksrepublik China förmlich verabschiedet, das die grundlegenden Systeme für die Verwaltung der Datensicherheit festlegt, die Verpflichtungen zum Schutz der Datensicherheit und die Zuständigkeiten für ihre Umsetzung spezifiziert, die Bedeutung sowohl der Sicherheit als auch der Entwicklung betont und Maßnahmen zur Förderung der Datensicherheit und der Entwicklung vorsieht; das Gesetz trat am 1. September 2021 in Kraft;
• Am 20. August 2021 wurde das Gesetz der Volksrepublik China über den Schutz personenbezogener Daten förmlich verabschiedet, das die Regeln für den Umgang mit personenbezogenen Daten, die Rechte und Pflichten von Einzelpersonen bei der Verarbeitung personenbezogener Daten und die für den Schutz personenbezogener Daten zuständigen Stellen klarstellt. Das Gesetz ist am 1. November 2021 in Kraft getreten.
• Am 16. November 2021 wurden die Maßnahmen zur Überprüfung der Cybersicherheit förmlich verabschiedet. Danach müssen Betreiber, die über personenbezogene Daten von mehr als einer Million Nutzer verfügen, eine Überprüfung der Cybersicherheit beim Amt für die Überprüfung der Cybersicherheit melden, wenn sie im Ausland an die Öffentlichkeit gehen. Die Maßnahmen werden am 15. Februar 2022 in Kraft treten, wenn sie in Kraft treten werden.

Zusätzlich zu den nationalen Gesetzen, Verordnungen und Richtlinien haben auch lokale Provinzen und Gemeinden eine Reihe von Verordnungen und Richtlinien zum Thema Datensicherheit erlassen, von denen einige im Folgenden aufgeführt sind:

Die People's Bank of China, die China Banking and Insurance Regulatory Commission, das Ministerium für Industrie und Informationstechnologie, das Ministerium für Wissenschaft und Technologie und andere Ministerien haben entsprechende Vorschriften erlassen, um die Verwaltung der Datensicherheit in verschiedenen Branchen zu standardisieren und die Fähigkeit zum Schutz der Datensicherheit zu verbessern. Sie bieten politische Leitlinien für die Klassifizierung und Einstufung von Daten, die Bewertung der Verwaltungskapazitäten, den Sicherheitsschutz und andere damit zusammenhängende Arbeiten. Zum Beispiel:

 

Im Allgemeinen basieren Chinas datenschutzrechtliche Bestimmungen derzeit auf dem Nationalen Sicherheitsgesetz, dem Netzwerksicherheitsgesetz und dem Zivilgesetzbuch, und jede Provinz und Stadt wird für die lokale Situation in die entsprechenden lokalen Gesetze aufgenommen, um die aktuelle Datensicherheit und grenzüberschreitende Datenprobleme aktiv zu erforschen. Als Reaktion auf die breite Palette von Datenanwendungen, hat jede Branche Regulierungsbehörde ihre eigene Rolle bei der Verwaltung und den Schutz von Daten in der Industrie zu spielen.

3. große Länderspiele um Datensicherheit

Die Frage der Datensicherheit ist keineswegs auf China beschränkt, sondern stellt ein weltweites Problem dar. Die Regierungen erkennen allmählich, dass Daten zu einem wichtigen Element geworden sind, das eng mit der nationalen Sicherheit und der internationalen Wettbewerbsfähigkeit verknüpft ist, und die Wahrnehmung der Datensicherheit hat sich vom traditionellen Schutz der persönlichen Privatsphäre zur Aufrechterhaltung der nationalen Sicherheit gewandelt.

Die EU hat am 25. Mai 2018 offiziell die universelledatenschutzDie Verordnung oder GDPR (General Data Protection Regulation), wie wir sie kennen, erfordert einen detaillierteren Schutz der Privatsphäre in Unternehmen, detailliertere Datenschutzvereinbarungen und benutzerfreundlichere und detailliertere Offenlegungen in Bezug auf den Datenschutz und die Datenschutzpraktiken von Unternehmen. Und am 30. Juni 2020 veröffentlichte die Europäische Datenschutzaufsichtsbehörde (EDSB) auch den EDSB-Strategieplan (2020-2024), der darauf abzielt, die Datensicherheit und den Datenschutz weiter zu stärken, um das Recht des Einzelnen auf Privatsphäre in drei Bereichen zu schützen: vorausschauend, handlungsorientiert und koordiniert.

Neben Europa hat auch das Office of Management and Budget (OMB) des Weißen Hauses in den Vereinigten Staaten am 23. Dezember 2019 seine Federal Data Strategy and 2020 Action Plan veröffentlicht, in dem die Grundprinzipien für den Schutz der Datenintegrität, die Gewährleistung der Authentizität zirkulierender Daten und die Sicherheit der Datenspeicherung festgelegt sind.

Da sich die Datensicherheit allmählich auf die nationale Ebene verlagert hat, wurde auch der Datenwettbewerb zwischen den Ländern ernst genommen. Die Überprüfung der DDT birgt die Möglichkeit eines Datenlecks auf nationaler Ebene. Nach dem Gesetz der Vereinigten Staaten muss ein Teil der Daten, die durch Prüfungsprotokolle, Nutzerdaten und Stadtpläne repräsentiert werden, gemäß dem Holding Foreign Companies Accountable Act (HFCAA) übermittelt werden, bei denen es sich um die Kerndaten im Zusammenhang mit der Souveränität nationaler Daten handelt. Diese Daten sind das Herzstück der nationalen Datensouveränität und können direkte Auswirkungen auf die nationale Sicherheit, das öffentliche Interesse und die soziale Stabilität haben.

In einer Zeit, in der sich das Spiel der Großmächte weiter verschärft, birgt der immer häufigere grenzüberschreitende Datenfluss als wichtiger nationaler Produktionsfaktor und strategische Ressource potenzielle Risiken für die nationale Sicherheit. Erstens sind nachrichtendienstliche Daten, die außerhalb des Landes fließen, für ausländische Regierungen leichter zugänglich. Zweitens sind unsere strategischen Schritte leicht vorhersehbar und fallen in die politische Passivität, wie z. B. die von den USA energisch vorangetriebene Aggregation und Analyse von Mikrodaten, die uns unter der Prämisse, Chinas Finanzdaten zu erfassen, einen Vorsprung im internationalen Finanzspiel verschaffen wird. Drittens ist unser Wettbewerbsvorteil im Bereich der datengesteuerten neuen Technologien allmählich geschwächt worden. So verfügt China beispielsweise über das weltweit führende Gesichtserkennungsunternehmen Shangtang Technology, und sobald dessen Daten von anderen Ländern erworben werden, wird dies unseren Wettbewerbsvorteil in diesem Bereich erheblich schwächen.

Bestimmte Länder, insbesondere die Vereinigten Staaten, unternehmen nun Schritte, um Chinas Daten zu unterdrücken, schließen unser Land aus dem globalen Governance-System für Datensicherheit aus und können Regeln für die Überprüfung der Datensicherheit für unser Land formulieren, die eine "Einkreisung" unseres Landes auf dem Gebiet der Datensicherheit bilden. Beispielsweise werden die Vereinigten Staaten, Indien, Australien und andere Länder im Jahr 2020 gemeinsam TikTok aus Gründen der Datensicherheit einkreisen und seine Nutzung und Entwicklung aufgrund von Verstößen gegen die Sicherheitsbestimmungen einschränken.

Nach Angaben der Synergy Research Group werden die 20 weltweit führenden Cloud- und Internetdienstleister bis 2020 597 Hyperscale-Rechenzentren betreiben, wobei die USA mit fast 40% den Rest der Welt weit hinter sich lassen, während China mit nur 10% an zweiter Stelle liegt:

Im Informationszeitalter ist eine solch überwältigende Datenherrschaft äußerst beängstigend. China ist kein "datenzentriertes Land", aber es kann auch nicht auf ein "datenverbundenes Land" reduziert werden, und wir müssen unser Möglichstes tun, um die Datensouveränität zu verteidigen und die Datensicherheit und den Datenschutz zu stärken.

III. häufige Bedrohungen der Datensicherheit

Bedrohungen der Datensicherheit wirken sich auf die nationale Sicherheit, die soziale Sicherheit, die Sicherheit der Bürger und die Sicherheit der Unternehmen aus und stellen eine große Herausforderung für die Sicherheit von Ländern, Unternehmen und Einzelpersonen dar. Bei den datenbezogenen Sicherheitsbedrohungen handelt es sich hauptsächlich um die folgenden Arten:

• (a) Datendiebstahl und Datenlecks sind die häufigsten Probleme im Bereich der Datensicherheit. Nationale und soziale Probleme, die durch Datenlecks verursacht werden, sind weit verbreitet, wie der Snowden-Vorfall und der Huazhu-Vorfall zeigen;
• Daten werden verschlüsselt Lösegeld Ransomware-Virus als die größte Bedrohung im Bereich der Cybersicherheit in den letzten Jahren und für eine lange Zeit zu kommen, sondern auch ein sehr großes Sicherheitsproblem von verschiedenen staatlichen Stellen, kritische Infrastruktur Branchen, Unternehmen und so weiter konfrontiert. Wie im Fall von Wannacry im Jahr 2017 hat es ein Sicherheitsproblem für die gesamte Gesellschaft weltweit ausgelöst.
• Daten werden gelöscht, zerstört "gelöschte Bibliothek laufen" ist ein Wort, das wir oft necken, aber in der Tat, die Löschung der Bibliothek des Vorfalls geschieht auch von Zeit zu Zeit.
• Illegale DatenerfassungDie Bedrohung geht vor allem von Unternehmen oder einzelnen Entwicklern aus, die Apps und andere Programme nutzen, um für das Programm notwendige Daten zu sammeln, z. B. personenbezogene Daten.

Die wichtigsten Möglichkeiten, die Datensicherheit zu gefährden, sind:

• Traditionelle Netzwerkangriffe: [Phishing]: Auskundschaften von Benutzerkonten, einschließlich Rechnern, Domänen, Mailboxen, IM-Tools usw., um sich bei bestimmten Medien (Rechnern, Mailboxen usw.) anzumelden und bestimmte Informationen zu stehlen; [Netzwerkangriffe]: durch Einschleusen eines bösartigen Trojaners, mit dem der Zielrechner manipuliert wird, um vertrauliche Dokumente zu stehlen. Zu den Angriffen gehören Webinfiltration, Supply Chain, Harpoon, APT-Angriffe usw.; [Ransomware]: Nach dem Angriff wird die Ransomware ausgeführt, um die Datendateien auf dem Rechner zu verschlüsseln. Natürlich ist es erwähnenswert, dass die Angreifer vor der Ausführung der Ransomware oft wichtige Dateien auf dem Computer stehlen, bevor sie die Ransomware ausführen. Dadurch wird nicht nur das Lösegeld erpresst, sondern es werden auch die Protokolle der Operationen des Angreifers auf dem Rechner zerstört, so dass dieser nicht mehr zurückverfolgt werden kann.
• Programm-Schwachstelle: [Konfigurationsfehler]: wie die Exposition von sensiblen Datei-Verzeichnis-Adresse, sensiblen Dateizugriff ohne Einstellung Berechtigungen, API-Call-Schnittstelle Berechtigungseinstellungen, etc.; [Schwachstelle]: beliebige Datei lesen Schlupflöcher, kein Konto Login-Schlupflöcher, Aufhebung des Rechts auf Schlupflöcher, etc.; die Verwendung von Konfigurationsfehlern oder Schlupflöcher, um die relevanten Daten zu erhalten, und nutzen Sie dann die Verwendung von nicht tun, den Wind zu kontrollieren, wie die Häufigkeit der Zugriffsbeschränkungen, das Konto abnorme Protokollierung Prompts, etc., um so eine große Menge an Daten durch das Reptil zu stehlen, etc. Weg, eine große Menge von Daten zu stehlen.
• Menschliche Faktoren [Diebstahl]: Insider stehlen direkt sensible Daten innerhalb des Unternehmens, um sie weiterzugeben; [Fahrlässigkeit]: Offenlegung der internen Systemadresse, der Anmeldeinformationen für Konten usw. im Extranet, z. B. auf Github; versehentliche Ausführung von Operationen wie rm -rf.

Im Folgenden finden Sie eine Liste der wichtigsten Datensicherheitsvorfälle, die sich in den letzten Jahren ereignet haben:

• Im Mai 2013 veröffentlichte Edward Joseph Snowden, ein ehemaliger Mitarbeiter des US-Geheimdienstes Central Intelligence Agency (CIA) und Outsourcing-Techniker der NSA, eine große Anzahl von als geheim eingestuften Dokumenten der US-Regierung an die britische Zeitung Guardian und die US-amerikanische Washington Post, die NSA-Daten über das Abhörprogramm Prism und andere Materialien von öffentlichem Interesse enthielten. Die durchgesickerten Daten enthielten Material von öffentlichem Interesse, darunter das Prism-Abhörprogramm der NSA. Das Material enthielt eine große Anzahl von Cyberangriffen der US-Regierung sowie die Überwachung von US-Bürgern, die deren persönliche Rechte und Interessen verletzte. Das Leck sorgte für Aufregung, und Snowden selbst wurde von der US-Regierung gesucht;
• Im März 2016 wurde Hillarys Wahlkampfleiter John Podesta Opfer eines E-Mail-Phishing-Angriffs. Nachdem sie das Passwort von Podestas E-Mail-Konto gestohlen hatten, meldeten sich die Angreifer an und stahlen alle E-Mails, einschließlich einer großen Anzahl von Hillarys E-Mails. Die Daten wurden an WikiLeaks weitergegeben und veröffentlicht. Der Vorfall führte zu einer drastischen Wende bei der Wahl von Hillary, die letztlich den Ausgang der US-Wahl und die gesamte Weltlandschaft veränderte;
• Am 12. Mai 2017 brach der Wannacry-Ransomware-Virus aus. Der Ransomware-Virus verbreitete sich durch Ausnutzung der Eternal Blue-Schwachstelle und infizierte in kurzer Zeit mehr als 300.000 Rechner in mindestens 150 Ländern weltweit. Alle Dateien auf den infizierten Rechnern wurden verschlüsselt, und eine Entschlüsselung war nur gegen Zahlung eines Lösegelds möglich. Der Virus legte unter anderem Regierungsstellen, Krankenhäuser, Tankstellen und Produktionsbetriebe lahm und verursachte erhebliche wirtschaftliche Verluste;
• Am 28. August 2018 gab esHacker (Informatik) (Lehnwort)Verkauft Nutzerdaten von Hotelketten der Huazhu-Gruppe im Dark Web für 8 Bitcoins oder 520 Monroe-Münzen (damals etwa 370.000 Yuan). Die Daten enthalten Informationen über die Bewohner von mehr als 10 Hotelmarken von Huazhus Hanting, Xi Yue, Orange und Ibis. Zu den durchgesickerten Informationen gehörten Registrierungsdaten auf der offiziellen Website von Huazhu, Identitätsdaten, die für das Einchecken in ein Hotel registriert wurden, sowie Hotelzimmeraufzeichnungen, Namen, Mobiltelefonnummern, E-Mail-Adressen, Ausweisnummern und Passwörter für Anmeldekonten der Bewohner.
• Am 23. Februar 2020 stürzte das SaaS-Geschäft von Weimeng plötzlich ab, während alle Weimeng-basierten Händler-Applets ausfielen und das Geschäft von 3 Millionen Händlern praktisch zum Erliegen kam. Nach einer Untersuchung wurde festgestellt, dass die wichtigsten Geschäftsdaten auf dem Server von Weimeng böswillig gelöscht worden waren." Das Drama des "Löschens der Bibliothek und Weglaufens" hat sich in der Realität abgespielt. Am Ende ließ der Vorfall den Marktwert von Weimeng um 1 Milliarde sinken. Der Mitarbeiter, der die Datenbank gelöscht hatte und weggelaufen war, wurde zu 6 Jahren Gefängnis verurteilt;
• Am 5. April 2021 wurden die persönlichen Daten von rund 533 Millionen Nutzern des US-amerikanischen sozialen Netzwerks Facebook (Facebook) veröffentlicht, darunter Telefonnummern, E-Mails und andere Informationen. Russische Medien berichteten, dass auch die Telefonnummer von Facebook-Gründer Zuckerberg geleakt wurde.

IV. Datensicherheit und Cybersicherheit

Es gibt drei Begriffe, die in der Sicherheitsbranche häufig zu hören sind:InformationssicherheitCybersicherheit und Datensicherheit. Nach dem Buch "Data Security Architecture Design and Practice" lautet die Reihenfolge der Entwicklung: Informationssicherheit - Netzsicherheit - Datensicherheit.

Der Begriff "Informationssicherheit" wird häufig verwendet, wenn es darum geht, ein Sicherheitsmanagementsystem oder die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und Informationssystemen oder die Einhaltung von Inhaltsvorschriften oder DLP (Verhinderung des internen Abflusses von Informationen) oder den Schutz von ruhenden Informationen (z. B. Informationen auf Speichersystemen, CD-ROMs) hervorzuheben.

Der Begriff "Cybersicherheit" wird meist dann verwendet, wenn es darum geht, Szenarien wie Netzgrenzen und Sicherheitsbereiche oder die Verhinderung von Netzeinbrüchen oder Netzkommunikationssysteme oder Übertragungssicherheit oder den Cyberspace hervorzuheben.

Der Begriff "Datensicherheit" wird häufig verwendet, wenn es darum geht, den Datenschutz während des gesamten Lebenszyklus oder Daten als Produktivität hervorzuheben, oder in Szenarien, in denen die Datensouveränität, die Rechte der betroffenen Personen, die Rechtsprechung mit langen Fristen, der Schutz der Privatsphäre usw. im Vordergrund stehen.

Der Cyberspace bietet die Umgebung für die Datenverarbeitung, während die Daten als Träger der Informationen zum Objekt der Datenverarbeitung werden. Die Cybersicherheit legt den Schwerpunkt auf die Sicherheit der Datenverarbeitungsumgebung (Cyberspace), um die Sicherheit des Datenverarbeitungsobjekts (Daten) zu gewährleisten. Daher ist die Cybersicherheit eine Voraussetzung für die Datensicherheit, und die Datensicherheit ist eine Verkörperung der Cybersicherheit; die Cybersicherheit deckt einen größeren Bereich ab, während die Datensicherheit in ihrem Anwendungsbereich klarer ausgerichtet ist.

In der Praxis ist die Sicherheit der Daten, einschließlich Datendiebstahl, -übertragung, -verschlüsselung, böswillige Löschung usw., das wichtigste Ziel der Netzsicherheit. Das zweite ist der Mining-Virus.

V. Gebäude für Datensicherheit

Datensicherheit als Ableitung oder Ausprägung der Netzsicherheit, Datensicherheitskonstruktion und Netzsicherheitskonstruktion haben viel gemeinsam.

Der ultimative Vermögenswert oder das Ziel der Cybersicherheit ist das Gerät, wie z. B. herkömmliche PCs, Server, IOT-Geräte usw., und der in der Cloud-Ära gesicherte Vermögenswert ist die Arbeitslast, einschließlich virtueller Maschinen, Container, serverloser Cloud-Dienste usw.

Im Bereich der Cybersicherheit beginnen die Sicherheitsmaßnahmen in der Regel mit einer Bestandsaufnahme der Anlagen und einer Risikoprüfung der Anlagen, um eine Sicherheitsgrundlage usw. zu schaffen, z. B. Scannen auf Schwachstellen, Ports, schwache Passwörter und andere Erkennungsmerkmale. Danach wird eine Reihe von Regeln aufgestellt oder maschinelles Lernen eingesetzt, um maschinelle Anomalien zu überwachen, z. B. das Auftauchen verdächtiger Dateien, die Ausführung bösartiger Prozesse, verdächtige Netzwerkverbindungen und anormales Verhalten in mehreren Dimensionen von der Cloud-Verwaltungsseite aus.

Und wenn es um die Datensicherheit geht, sind die Daten das zu schützende Gut oder Ziel der Datensicherheit. Daher erfordert die Datensicherheit eine Reihe von Sicherheitsfunktionen, die sich auf die Datenbestände konzentrieren.

Die Kernpunkte für den Aufbau der Datensicherheit sind: welche Daten es gibt, woher die Daten stammen, wo sich die Daten befinden und wer die Daten verwendet. Daher ist es notwendig, sich auf diese vier Kernpunkte zu konzentrieren, um den Aufbau eines Systems für die Datensicherheit zu entwickeln. Die 4 Kernpunkte decken auch den Lebenszyklus der Daten ab:

1. welche Daten verfügbar sind

Ähnlich wie bei einer Bestandsaufnahme im Bereich der Cybersicherheit. Man muss wissen, welche Datenbestände das Unternehmen zu sichern hat. Wie kann man über die Sicherung von Daten sprechen, wenn man nicht einmal weiß, welche Datenbestände vorhanden sind? Sobald man weiß, welche Daten vorhanden sind, müssen sie kategorisiert und eingestuft werden.

Aus der Sicht der betroffenen Person werden die Daten in drei Kategorien unterteilt: öffentliche Daten, persönliche Informationen und Unternehmensdaten:

• (a) Öffentliche Daten: Daten, die von öffentlichen Verwaltungs- und Dienstleistungsstellen bei der Erfüllung ihrer öffentlichen Verwaltungs- und Dienstleistungsaufgaben in Übereinstimmung mit dem Gesetz erhoben und erzeugt werden, sowie Daten von öffentlichem Interesse, die von anderen Organisationen und Einzelpersonen bei der Erbringung öffentlicher Dienstleistungen erhoben und erzeugt werden. Zum Beispiel staatliche Daten und Daten von öffentlichem Interesse bei der Erbringung öffentlicher Dienstleistungen wie Wasserversorgung, Stromversorgung, Gasversorgung, Wärmeversorgung, öffentlicher Verkehr, Renten, Bildung, medizinische Versorgung und Gesundheitsfürsorge, Postdienste usw;
• Personenbezogene Daten: alle elektronisch oder auf andere Weise erfassten Informationen über eine bestimmte oder bestimmbare natürliche Person, mit Ausnahme von Informationen, die nach Anonymisierung verarbeitet werden. Zum Beispiel persönliche Identitätsdaten, persönliche biometrische Daten, persönliche Eigentumsdaten, persönliche Kommunikationsdaten, persönliche Standortdaten, persönliche Gesundheitsdaten und physiologische Daten;
• Daten von juristischen Personen: Daten, die von Organisationen im Laufe der Produktion, des Betriebs und der internen Verwaltung gesammelt und erzeugt werden, wie Geschäftsdaten, Betriebs- und Verwaltungsdaten, Systembetriebs- und Sicherheitsdaten.

Je nach dem Grad der Beeinträchtigung der nationalen Sicherheit, der öffentlichen Interessen oder der legitimen Rechte und Interessen von Einzelpersonen oder Organisationen, wenn Daten manipuliert, vernichtet, durchgesickert oder unrechtmäßig eingesehen oder verwendet werden, werden die Daten in fünf Stufen eingeteilt, von niedrig bis hoch, nämlich öffentliche Stufe (Stufe 1), interne Stufe (Stufe 2), sensible Stufe (Stufe 3), wichtige Stufe (Stufe 4) und Kernstufe (Stufe 5). Darunter gehören wichtige Daten zur wichtigen Ebene (Ebene 4) und nationale Kerndaten zur Kernebene (Ebene 5).

• (a) Öffentliche Ebene (Ebene 1): Daten der öffentlichen Ebene haben das Attribut der öffentlichen Verbreitung und können öffentlich freigegeben, weitergeleitet und verbreitet werden; allerdings sollten die Menge und die Kategorien der zu veröffentlichenden Daten berücksichtigt werden, um zu vermeiden, dass sie aufgrund einer großen Anzahl von Kategorien oder einer großen Anzahl von Daten für Korrelationsanalysen verwendet werden. Werden die Daten auf dieser Ebene manipuliert, vernichtet, weitergegeben oder illegal erworben oder verwendet, kann dies die legitimen Rechte und Interessen von Einzelpersonen und Organisationen leicht beeinträchtigen, gefährdet aber nicht die nationale Sicherheit oder öffentliche Interessen;
• Interne Ebene (Ebene 2): Interne Daten werden in der Regel innerhalb der Organisation von verbundenen Parteien weitergegeben und verwendet und können nach Genehmigung durch die verbundenen Parteien auch außerhalb der Organisation weitergegeben werden. Werden die Daten auf dieser Ebene manipuliert, vernichtet, durchsickern lassen oder wird illegal auf sie zugegriffen bzw. werden sie illegal verwendet, kann dies den legitimen Rechten und Interessen von Einzelpersonen und Organisationen allgemeinen Schaden zufügen oder das öffentliche Interesse geringfügig beeinträchtigen, aber die nationale Sicherheit wird dadurch nicht gefährdet;
• Sensible Daten (Stufe 3): Auf sensible Daten können nur autorisierte interne Organisationen oder Mitarbeiter zugreifen, und wenn die Daten extern weitergegeben werden sollen, müssen die entsprechenden Bedingungen erfüllt und die Genehmigung der betreffenden Parteien eingeholt werden. Werden Daten dieser Stufe manipuliert, vernichtet, weitergegeben oder wird unrechtmäßig auf sie zugegriffen oder sie werden unrechtmäßig verwendet, kann dies die legitimen Rechte und Interessen von Einzelpersonen oder Organisationen ernsthaft beeinträchtigen oder dem öffentlichen Interesse allgemein schaden, aber die nationale Sicherheit wird dadurch nicht gefährdet;
• Wichtige Ebene (Ebene 4): Daten der wichtigen Ebene werden gemäß der genehmigten Genehmigungsliste streng verwaltet und können nur nach strenger Genehmigung und Bewertung innerhalb des kontrollierten Bereichs weitergegeben oder verbreitet werden. Werden Daten dieser Stufe manipuliert, vernichtet, weitergegeben oder wird illegal auf sie zugegriffen oder sie verwendet, können sie den legitimen Rechten und Interessen von Einzelpersonen oder Organisationen besonders schweren Schaden zufügen oder dem öffentlichen Interesse schweren Schaden zufügen oder die nationale Sicherheit leicht oder allgemein beeinträchtigen;
• Hauptstufe (Stufe 5): Daten der Hauptstufe dürfen nicht weitergegeben oder verbreitet werden. Werden die Daten dieser Stufe manipuliert, vernichtet, weitergegeben oder unrechtmäßig zugänglich gemacht oder genutzt, kann dies die nationale Sicherheit oder die öffentlichen Interessen ernsthaft oder besonders ernsthaft beeinträchtigen.

Darüber hinaus können Daten unter dem Gesichtspunkt der Datenverbreitung auch in öffentlich verbreitete Daten und nicht öffentlich verbreitete Daten unterteilt werden. Öffentlich verbreitete Daten beziehen sich auf Daten mit öffentlichen Verbreitungsattributen, die öffentlich freigegeben und zur Verbreitung weitergeleitet werden können. Öffentlich verfügbare Daten sind öffentliche Verbreitungsdaten. Nicht öffentlich verbreitete Daten sind Daten, die keine Attribute für die öffentliche Verbreitung haben und nur in einem begrenzten Rahmen verbreitet werden oder deren Verbreitung verboten ist, z. B. Staatsgeheimnisse, wichtige Daten, Geschäftsgeheimnisse, personenbezogene Informationen, öffentliche Daten, die nur bedingt oder gar nicht weitergegeben und zugänglich gemacht werden dürfen, sowie Werke des geistigen Eigentums ohne Zustimmung. Interne Daten, sensible Daten, wichtige Daten und Kerndaten sind allesamt nicht öffentlich zugängliche Daten.

Der grundlegende Rahmen für die Datenklassifizierung und -hierarchie ist wie folgt:

 

2. wo man die Daten erhält

Die folgenden Sicherheitsprobleme werden dadurch gelöst, dass man wissen muss, woher die Daten stammen:

• Ist der Erfassungsprozess rechtskonform? Das Datensicherheitsgesetz, die Verordnung über den Umfang notwendiger personenbezogener Daten für gängige Arten mobiler Internetanwendungen, die DSGVO usw. müssen strikt eingehalten werden;
• Sind das Terminal und der Erfassungsprozess sicher? Sicherheitserkennung von Terminals, Sicherheitstastaturen zur Sicherung von Eingaben usw;
• Ist die Übertragung von Daten in die Cloud sicher? Verschlüsselung des Übertragungskanals.

3. wo die Daten sind

Es muss geklärt werden, wo die Daten gespeichert werden und wie die Sicherheit der Speicherumgebung gewährleistet werden kann.

• Speicherung von Daten: Verschlüsselung, Desensibilisierung, Wasserzeichen;
• Sicherheit von Speichermedien: physische Medien, Betriebssysteme usw., die traditionelle Kategorie der Netzwerksicherheit, um Ransomware, Diebstahl von Passwörtern usw. zu vermeiden;
• Sicherung von Daten: mehrere Kopien, mehrere Datenzentren usw. Für eine schnelle Wiederherstellung nach einer Katastrophe.

4. wer die Daten verwendet

Die Sicherheit bei der Nutzung von Daten muss verbessert werden:

• Authentifizierung von Benutzeridentität und Privilegien
• Sicherheit der Daten-API-Schnittstelle
• DLP zur Verhinderung von Datenverlusten
• Szenarien und Häufigkeit des Datenzugriffs
• Wiederaufbereitung von Daten

Ausgehend von den oben genannten Konzepten besteht daher die Notwendigkeit, ein sichtbares, kontrollierbares, bedienbares, rückverfolgbares und wiederherstellbares System für die Datensicherheit zu schaffen. Auf die Einzelheiten wird im nächsten Abschnitt eingegangen.

VI. operativer Rahmen für die Datensicherheit

In diesem Papier wird ein Rahmenwerk für Datensicherheitsoperationen vorgestellt, das sich auf einNull Vertrauenund DataSecOps' Data Security Operations Framework.

Beginnen wir mit Zero Trust. Null-Vertrauen ist ein Sicherheitskonzept oder ein Rahmen, der im Bereich der Cybersicherheit bereits weit verbreitet ist. Dasselbe Konzept des Null-Vertrauens kann nämlich auch im Bereich der Datensicherheit verwendet werden. Der Kern des Konzepts lautet: Vertraue niemals, überprüfe immer. Im Bereich der Datensicherheit bleibt das Grundprinzip des Null-Vertrauens bestehen:

• Identitätsbasierte
• Prinzip der kleinsten Behörde (LAP)
• Dynamik, Validierung von Strategien und Strategien

Tatsächlich werden Daten in der Zero-Trust-Referenzarchitektur des Verteidigungsministeriums (DOD) als eine der Zielsäulen von Zero Trust genannt:

Der Rest umfasst Identität, Gerät, Netzwerk und Anwendung. Daher ist die Sicherung von Daten das ultimative Ziel von Zero Trust.

Der Rahmen des Null-Vertrauens kann also in die folgenden Abläufe und Phasen unterteilt werden:

1, Zero Trust Network Access (ZTNA, Zero Trust Network Access), für die meisten der aktuellen Zero-Trust-Produkte in der Bühne, vor allem verwendet, um Business-Systeme für Zero-Trust-Zugang, vor allem mit der SDP-Architektur zugreifen;

2, Zero Trust Application Access (ZTAA, Zero Trust Application Access ), für die Mehrheit der aktuellen Zero-Trust-Produkte, bei denen die Bühne, die wichtigsten Mikro-Isolierung als den Kern zu bauen;

3, Zero Trust Data Access und Zero Trust Data Protection (ZTDA, Zero Trust Data Access und ZTDP, Zero Trust Data Protection), für den Aufbau der wichtigsten Datensicherheit.

Daher ist der Datenzugriff als die nächste Stufe des Netzes und Anwendungen, die entsprechenden Rahmen Diagramm werden kann:

Null Vertrauen 1.0

Null Vertrauen 2.0

Im Folgenden werden mehrere Komponenten aufgeführt:

• Datenzugriffs-Proxy: Alle datenbasierten Zugriffe, ob direkte Datenbankmanipulationen oder API-Schnittstellen, werden nicht direkt aufgerufen und manipuliert. Stattdessen werden sie über einen Proxy weitergeleitet. Die Standardrechte für den Datenbankzugriff und -betrieb sind verboten. Im Proxy werden nach Identität, Berechtigungen und anderen Richtlinien die Zugriffsrechte der Partei überprüft und dann die entsprechenden Datenbankoperationen durchgeführt.
• Entscheidungszentrum: Das Entscheidungszentrum ist das Gehirn des Zero-Trust-Systems und entscheidet, welche Nutzer und welche Anwendungen mit welchen Daten arbeiten dürfen. Das Entscheidungszentrum verwendet ein identitätsbasiertes Kontrollsystem. RBAC, ABAC usw. können für die Zugriffskontrolle verwendet werden. Die Kontrolldimensionen können folgende sein: Identität, Gerät, Netzwerk, APP, Verhalten usw. Dynamische Richtlinien können auch nach Szenario, Zeitspanne usw. angepasst werden.
• Datenzentren: Daten können je nach Kategorie, Ebene usw. der Daten getrennt gespeichert werden. Die einzelnen Daten sind voneinander isoliert. Einschließlich des Speicherkatalogs, des Maschinenraums, der Berechtigungen und so weiter.

Um eine Zero-Trust-Datenschutzlösung zu erreichen, ist natürlich auch eine Kombination mit DataSecOps erforderlich, das eine Erweiterung des DevSecOps-Konzepts im Datenbereich darstellt und ebenfalls die Notwendigkeit betont, Sicherheitsattribute in den Prozess der Datenentwicklung, des Datenbetriebs und der Datenspeicherung einzubetten, anstatt den Datenschutz nachträglich durchzuführen.

Wenn ein gemeinsames Team für die fortlaufende Zusammenarbeit zwischen Sicherheitstechnik, Datentechnik und anderen relevanten Akteuren eingerichtet werden soll, muss das Prinzip der geringsten Berechtigung für die Kontrolle der Berechtigungen auf Einheiten- und Zeilenebene eingeführt werden, um den Datenzugriff unter Wahrung der Sicherheit zu rationalisieren. Zum Beispiel:

Schließlich reicht es nicht aus, über Geräte und Architektur zu verfügen, sondern man braucht auch ein perfektes, cybersicherheitsresistentes Datenbetriebszentrum. Damit Daten sichtbar, kontrollierbar, bedienbar, rückverfolgbar und wiederherstellbar sind.

• Sichtbar: ein gutes Inventar der Datenbestände, klare Datenkategorien und -hierarchien, von den Benutzern benötigte Berechtigungen, Aufzeichnungen über die Datennutzung usw;
• Kontrollierbar: Feinkörnige Identitäts- und Autoritätskontrolle, Daten-Desensibilisierung, Datenverschlüsselung und -speicherung, Überwachung der Sicherheit von Mediennetzwerken (Terminals, Firewalls usw.), DLP usw;
• Operativ: Prüfung von Protokollen, Überwachung von Verhaltensanomalien usw;
• Rückverfolgbarkeit: Die Daten werden mit digitalen Wasserzeichen versehen, z. B. Einfärbung der Daten, unsichtbare/explizite Wasserzeichen für Bilder usw;
• Wiederherstellbar: Maßnahmen zur Wiederherstellung im Katastrophenfall, z. B. Backups.

VII. Zusammenfassung

Gegenwärtig ist das Problem der Datensicherheit immer noch ernst, und der Aufbau eines sicheren Datenzentrums darf keinen Aufschub dulden. Es ist zum Konsens der gesamten Gesellschaft geworden, die Unverletzlichkeit der Datensicherheit des Staates und der Bürger zu gewährleisten.

Es muss darauf hingewiesen werden, dass die Netzsicherheit, der Angriff auf die Datensicherheit und die Verteidigung, am kritischsten ist immer noch der Angriff und die Verteidigung zwischen Menschen, Menschen sind immer das kürzeste Glied in der Kette. Eine Zero-Trust-Architektur kann das System maximieren, um einige der Defizite, die bei den Menschen bestehen, auszugleichen und die allgemeinen Sicherheitsfähigkeiten zu verbessern.

Natürlich muss auch darauf hingewiesen werden, dass Zero Trust kein Allheilmittel ist und noch immer nicht alle Sicherheitsprobleme löst. Daher ist es auch notwendig, ein Datensicherheitszentrum mit einem hohen Reifegrad aufzubauen, um die Datensicherheit besser zu gewährleisten.

Es ist erwähnenswert, dass die Datensicherheit derzeit einer der heißesten Bereiche der Cybersicherheitsfinanzierung ist, mit einer steigenden Anzahl von Start-ups und Sicherheitsprodukten, die sich auf die Datensicherheit konzentrieren:

Wir sind davon überzeugt, dass die Datensicherheit in China mit der zunehmenden Perfektionierung der nationalen Vorschriften und Systeme für die Datensicherheit und der Tatsache, dass die Behörden und Unternehmen der Datensicherheit immer mehr Bedeutung beimessen und immer mehr in die Datensicherheit investieren, definitiv immer besser werden wird.

VIII. referenzierte Links

1. die Eskalation von Datensicherheitsproblemen: Auswirkungen, Reaktionen und Möglichkeiten in Schlüsselbereichen: http://n1.sinaimg.cn/finance/9b213f90/20210826/ShuJuAnQuanBaoGao20210823.pdf

2) Praxisleitfaden für Cybersicherheitsstandards - Leitlinien für die Klassifizierung und Hierarchie von Daten: https://www.tc260.org.cn/upload/2021-09-30/1633014582064034019.pdf

3、中国网络安全产业分析报告（2021年）:http://www.mogesec.com/%e4%b8%ad%e5%9b%bd%e7%bd%91%e7%bb%9c%e5%ae%89%e5%85%a8%e4%ba%a7%e4%b8%9a%e5%88%86%e6%9e%90%e6%8a%a5%e5%91%8a%ef%bc%882021%e5%b9%b4%ef%bc%89/

4、Department of Defense (DOD) Zero Trust Reference Architecture（国防部零信任参考架构）：http://www.mogesec.com/department-of-defense-dod-zero-trust-reference-architecture%ef%bc%88%e5%9b%bd%e9%98%b2%e9%83%a8%e9%9b%b6%e4%bf%a1%e4%bb%bb%e5%8f%82%e8%80%83%e6%9e%b6%e6%9e%84%ef%bc%89/