保护用户数据的十大最佳实践（以及为什么它们仍然不够）

过去十年，数据泄露事件的破坏性和频率都显著增加。大规模数据泄露事件频频登上新闻头条，黑客的目标涵盖各个行业、各种规模的企业。正如前联邦调查局局长罗伯特·穆勒所说：“公司只有两种：一种是已经被黑客攻击过的，另一种是即将被攻击的。”

如果您经营任何类型的在线业务，您很可能正在收集用户数据，这些数据对您的公司和用户都至关重要。最简单的用户数据可能只是电子邮件地址和密码，但即使是这样基础的数据，一旦泄露或被盗，也会造成重大影响。

然而，黑客的目标远不止密码：信用卡号、个人信息、电子邮件地址、业务数据，一切都具有价值，此类数据泄露可能对企业造成灾难性后果。为了保护用户数据，从而保护您的业务，以下是您应该遵循的十项安全最佳实践。

增加数据盗窃的难度

1. 使用防火墙和 VPN 来保护公司数据

最显而易见的安全措施或许就是：保护内部网络免受外部访问。设置防火墙来保护数据访问，并设置 VPN 来确保远程访问安全。

2. 制定完善的密码策略

高达 80% 的人会重复使用密码，在工作中使用个人密码，或者使用非常弱的密码，“123456”和“password”仍然是 2018 年最常用的密码^¹。制定完善的内部密码策略对于防止未经授权的访问至关重要。

尽可能使用密码管理器^²并启用双因素身份验证^{³ 。所有密码也应定期更改。}

3. 定期备份数据以避免勒索软件攻击

网络犯罪的最新趋势是获取企业数据，对其进行加密，然后勒索赎金以赎回数据。这被称为勒索软件攻击^⁴，而定期更新备份可以轻松缓解这种攻击。这些备份应该加密并存储在安全的位置。

4. 构建网络安全文化

随着远程办公和自带设备办公（BYOD）模式的日益普及，员工的安全意识也面临着前所未有的压力。因此，对所有员工进行安全风险和问题的培训，并制定完善的安全策略供其遵循，至关重要。

网络钓鱼或社交工程是黑客常用的获取数据或信息的手段。您的员工应该知道如何识别和应对这些攻击。

保护您的网站或应用程序

5. 采用相关的开发实践

发布存在安全漏洞的网站或应用程序可能会导致灾难性的攻击：跨站脚本攻击、SQL注入、账户盗窃^等等。

采用相关的开发实践可以降低出现此类漏洞的风险。您应该确保所有部署到生产环境的代码都经过审查和测试。依赖项应保持最新状态并检查是否存在漏洞。使用工具⁶可以自动检测潜在漏洞。

6. 进行第三方安全审计

虽然自行检查和测试应用程序代码仍然十分必要，但您不应仅仅依赖团队来确保应用程序的安全。您应该聘请外部安全公司定期（至少每年一次）对您的代码和基础设施进行安全审计。

限制未经授权的数据访问的影响

7. 不要以明文形式存储密码

存储用户密码并非易事。许多公司要么直接存储密码，要么使用安全性低或过时的哈希算法。明文密码对任何黑客来说都是唾手可得的，而且会严重损害用户对公司的信任。

^{使用 Argon2 7}等安全哈希算法对存储的任何密码进行哈希处理，或者使用第三方身份验证提供商。

8. 管理员工权限

虽然授予所有员工所有访问权限看似诱人，但这会在安全方面造成巨大漏洞。允许员工访问他们并非必需的敏感数据，会增加内部威胁和外部黑客攻击的风险。

员工应该只被授予完成工作所必需的信息和资源的访问权限。这被称为最小权限原则⁸。

9- 监控网络和操作

如果有人窃取你的数据，你应该能够察觉。你应该监控网络流量并设置自动警报。

用户行为监控解决方案旨在记录员工的每一个操作，并立即检测和调查可疑的用户活动。

10. 使用静态加密

您收集的所有数据都应加密存储。任何云存储服务提供商都应该提供自动加密所有数据的选项。请检查该功能是否已启用。如果您拥有自己的数据库，请使用密钥管理服务 (KMS ⁾来保护所有数据。

这将防止任何获得此数据的黑客在未获得主密钥的情况下利用这些数据（希望这极其困难）。

继续

如果您已经实施了以上所有措施，恭喜您！您在数据安全和隐私方面已跻身一流行列。

然而，所有这些应对措施只是增加了数据泄露和入侵的难度。内部人员作案和精心策划的黑客攻击仍然可能发生，攻击者一旦获得正确的管理员账户访问权限，仍然可以窃取数据库中存储的所有用户数据。

不过，也并非完全没有希望，因为有一种方法可以保障用户的安全和隐私：将数据的所有权交还给他们。通过在每个用户的设备上直接使用端到端加密来保护数据，您可以确保除了合法所有者之外，任何人都无法访问这些数据。这就是应用内​​隐私保护。

在 Tanker，我们过去两年一直在开发开源隐私解决方案，该方案可以集成到您的 Web 或移动应用程序中，并在源头上保护用户数据。

您可以在这里免费注册并试用：https://tanker.io。

PS：本文最初由Aloïs Jobard撰写并发表于Tanker 的 Medium 平台。由于您可能没有 Medium 账号，我们在此转载，以便您有机会在通知栏中看到它。

1. https://www.teamsid.com/splashdatas-top-100-worst-passwords-of-2018  ↩

2. https: //dashlane.com、https : //lastpass.com、https : //1password.com  ↩

3. https://en.wikipedia.org/wiki/Multi-factor_authentication  ↩

4. https://en.wikipedia.org/wiki/WannaCry_ransomware_attack  ↩

5. https://www.owasp.org/index.php/Top_10-2017_Top_10  ↩

6. https://www.sqreen.io  ↩

7. https://en.wikipedia.org/wiki/Argon2  ↩

8. https://en.wikipedia.org/wiki/Principle_of_least_privilege  ↩

9. https://cloud.google.com/kms，https://aws.amazon.com/kms ↩ ​