在如何避免數(shù)據(jù)的潛在危險(一)中，我們討論了一些威脅公司數(shù)據(jù)的信息，在這篇文章中，我們將繼續(xù)討論。
角色和責(zé)任：必須明確部門角色和責(zé)任，劃分工作職能。在許多公司，職能界線模糊，責(zé)任交叉。例如，由誰負責(zé)主機總線適配器的安裝——服務(wù)器團隊還是存儲團隊?另外，在備份服務(wù)器和備份LAN的所有權(quán)上，備份團隊和生產(chǎn)團隊的職能也不明確。責(zé)任劃分不清會導(dǎo)致一些重要活動受到忽略，不能有效保護數(shù)據(jù)。
許多公司可能會在同一時間內(nèi)需要各種各樣的IT服務(wù)，這就不可避免地要求員工了解跨功能工作流、輸入、輸出、切換以及控制點。跨功能要求有個典型例子，即流程管理改變控制和配置。必須記錄和了解這些流程的相互作用、角色、責(zé)任及功能轉(zhuǎn)換，需要記錄流程中所有的購置情況。不了解角色、責(zé)任和職能界線，就不會產(chǎn)生效益。
人事和公司：人事安排能保證責(zé)任明確，但是通常會引起IT人員和財政預(yù)算人員之間的摩擦。由于IT人員很難根據(jù)經(jīng)驗來安排，這種摩擦就可能加劇。以前往往采用“每1000GB分配X個管理人員”，但是這種方式太過寬泛，并不實用。必須根據(jù)實體如警報器、配置要求和變量計算每項任務(wù)的工作負荷，做出******的人事安排決定。這能保證工作負荷得到合理分配，不會因為啟用經(jīng)驗不足人員承擔重要存儲任務(wù)而使服務(wù)或公司遭受危險。
規(guī)程：制定標準操作規(guī)程(SOP)是緩解威脅的重要因素。需要制定合適的規(guī)程，保證數(shù)據(jù)的一致性和質(zhì)量。SOP能提供基準線，告知審計員已執(zhí)行明確的流程，并且展示法規(guī)遵從、完成情況和質(zhì)量度量標準。SOP能以相對較低的技巧保證流程的可重復(fù)性。沒有SOP，就不能保證結(jié)果的一致性。
數(shù)據(jù)價值：另外還存在一項威脅，即不能保證你所管理數(shù)據(jù)的價值。如果不能保證數(shù)據(jù)的價值，就不可能正確管理數(shù)據(jù)，不可能在需要的時候及時獲取數(shù)據(jù)。數(shù)據(jù)與訪問數(shù)據(jù)的商業(yè)程序具有同等價值。
在許多公司，一旦應(yīng)用程序得到部署，相關(guān)數(shù)據(jù)就已明確，并且放入各種備份設(shè)備的復(fù)雜命令行中。隨著時間的流逝，各種所有權(quán)丟失，沒人知道哪個應(yīng)用程序擁有哪個特定的文件。將數(shù)據(jù)與應(yīng)用程序綁定，將應(yīng)用程序與它所服務(wù)的部門綁定，這點很重要。
***重要的是要明確數(shù)據(jù)對應(yīng)的應(yīng)用程序和企業(yè)中相關(guān)的負責(zé)人，這一點必須做到和資產(chǎn)注冊那樣確切。應(yīng)該包括數(shù)據(jù)的相互依賴性，無論是與父數(shù)據(jù)還是與子數(shù)據(jù)。不了解數(shù)據(jù)的來源和去向，就不能確定應(yīng)用程序的相互依賴性。不了解應(yīng)用程序的相互依賴性，就很難甚至不可能找到合適的數(shù)據(jù)恢復(fù)點。這就意味著應(yīng)用程序和數(shù)據(jù)可能得到恢復(fù)，但相關(guān)的程序功能就會失效，因為恢復(fù)過程沒有配合和管理依賴性。
存檔意識：為了強調(diào)信息生命周期管理和法規(guī)遵從，許多公司將數(shù)據(jù)從高成本的初始存儲層遷移到低成本存儲層，甚至采用離線存儲。如果遷移過程是移動數(shù)據(jù)而不是復(fù)制數(shù)據(jù)，那么應(yīng)用程序需要具有存檔意識。如果數(shù)據(jù)從應(yīng)用程序移動到該程序無法訪問的架構(gòu)中，就很難及時恢復(fù)為滿足法規(guī)遵從而存檔的數(shù)據(jù)。
數(shù)據(jù)保留：制定保留策略時通常不會與業(yè)務(wù)部門進行詳細協(xié)商，而是為了滿足基本的法規(guī)遵從需求。公司通常會制定******的保留策略。過去幾年，數(shù)據(jù)量不是太大，保留策略沒有多大差異，除了IRS保留規(guī)則以外，也沒有其它的法規(guī)遵從要求。今天，數(shù)據(jù)以每年50%以上的速度增長，公司律師不斷要求******保留數(shù)據(jù)，避免出現(xiàn)違背法規(guī)的局面。在這種情況下，就需要制定服務(wù)保留策略，明確各種法律措施的保留期限，以及數(shù)據(jù)的不可更改性、渲染性、完整性和安全性。解決這些服務(wù)框架之外的復(fù)雜問題很麻煩，會影響管理成本，給保留、檢索和安全法規(guī)遵從等問他帶來遺留威脅。
恢復(fù)目標：不切實際的恢復(fù)點目標(RPO)和恢復(fù)時間目標(RTO)是重要威脅。為了滿足公司需求，沒有充分考慮物流和技術(shù)的實際情況，就制定RPO和RTO。從物流角度講，RTO小于12小時就可能導(dǎo)致自動故障。希望人們在12小時內(nèi)評估和發(fā)布災(zāi)難，啟動災(zāi)難恢復(fù)(DR)計劃，通知DR團隊，執(zhí)行恢復(fù)，再同步重啟應(yīng)用程序，這是不切實際的。
從技術(shù)角度講，支持1小時RTO需要的架構(gòu)和4小時或者8小時RTO的架構(gòu)毫無差別。只是當RTO達到24小時，需要的支持架構(gòu)就截然不同了，除非是服務(wù)器數(shù)量非常有限的小公司。讓DR團隊抵達輪流站點很難，依次帶回大量服務(wù)器也很難。一旦完成了物理恢復(fù)，就需要在其他方面做出努力，使得邏輯上能同步完成***符合實際的恢復(fù)目標。在24小時測試期內(nèi)，DR測試采用Dev/Test/QA 架構(gòu)，使應(yīng)用程序返回實際生產(chǎn)模式(如由用戶操作)，此時也會遭受威脅。
數(shù)據(jù)完整性：在調(diào)查法規(guī)遵從時，你必須證明數(shù)據(jù)沒有被未授權(quán)人員/功能更改，沒有受到有意或無意的損壞。支持數(shù)據(jù)完整性保護的策略和SOP必須包括審計同意的檢查點和控制點。將數(shù)據(jù)存檔在WORM介質(zhì)中還不夠。你的SOP和相關(guān)控制策略必須指明保管鏈，保護數(shù)據(jù)一直不受更改。舉個例子，應(yīng)明確何時接收不可更改的數(shù)據(jù)復(fù)本，何時發(fā)送郵件。當然，必須具有刪除和修改功能，SOP必須通過完成情況、法規(guī)遵從和質(zhì)量度量展示數(shù)據(jù)的一致性。
數(shù)據(jù)渲染：數(shù)據(jù)存檔后，制定檢索要求能防止數(shù)據(jù)渲染。如果數(shù)據(jù)需要給信息渲染，而原始的平臺程序已不可用，就會發(fā)生危險。例如，發(fā)票數(shù)據(jù)存檔后，應(yīng)用程序能否將數(shù)據(jù)返回到發(fā)票等信息中?這是公司的法律團隊需要解決的關(guān)鍵問題。如果數(shù)據(jù)不能渲染，就必須以XML等可更改的格式存儲。
數(shù)據(jù)安全：安全是任何一家公司的大問題，但是公司一般都注重訪問控制、入侵檢測和防范。控制對服務(wù)器的訪問就會限制對數(shù)據(jù)的訪問，不過還有許多途徑可以訪問數(shù)據(jù)。光纖通道和以太網(wǎng)中有許多管理設(shè)備，都能入侵者進行防范。如果這些設(shè)備沒有謹慎管理，生產(chǎn)數(shù)據(jù)就可能受到威脅。閑置數(shù)據(jù)也會受到威脅，***近許多報告指出丟失的備份磁帶中包含敏感數(shù)據(jù)，正是證明了這一點。加密技術(shù)被認為可以緩解威脅，但是保留、保護、訪問加密鑰匙也會帶來危險。在存儲環(huán)境中，應(yīng)該注意保護數(shù)據(jù)遷移過程的安全，如通過LAN、WAN、備份網(wǎng)絡(luò)和專用、高速、點對點網(wǎng)絡(luò)時。問題顯而易見，數(shù)據(jù)在通過網(wǎng)絡(luò)時能否被讀取。另外，允許開發(fā)人員和測試人員自由訪問可能包含敏感信息的數(shù)據(jù)也會帶來威脅。
減少數(shù)據(jù)威脅，意識首當其沖。認真考慮本文列舉的內(nèi)部威脅，你就可以制定出合適的威脅分析書和遷移計劃。分享你的威脅分析和遷移計劃(包括業(yè)務(wù)影響問題)，宣傳責(zé)任。同時為CFO和CEO的投資策略提供經(jīng)驗支持。
中文字幕在线精品不卡_正在播放露脸一区_久久综合欧美_www.男人天堂
