此为数据安全能力成熟度模型（DSMM，以下简称DSMM）的续篇…..
前段时间整理了DSMM的一系列内容，已经介绍和分享了三个部分，分别为DSMM开篇的总结与交流、数据采集安全、数据传输安全。
各地址如下：
DSMM开篇总结与交流 DSMM数据采集安全 DSMM数据传输安全
看到大家评论说终于等到了系列，我也很受鼓舞，说明我的一点拙见对大家起到了一定的参考作用，所以我也会继续抽时间对每个阶段都进行总结和分析，及时将自己的心得体会分享出来，供大家参考。这次，趁着国庆假期闲暇之余，进行了这阶段的总结梳理。也希望各位小伙伴能够和我多多交流，多提宝贵意见。那么，按照标准内容及数据安全生命周期的阶段，今天介绍DSMM另一阶段的具体内容——数据存储安全。
一、背景
在开篇交流一文中介绍了DSMM针对数据安全不同生命周期提出了不同的安全要求，数据安全生命周期分为采集、传输、存储、处理、交换、销毁。那么今天聊的重点内容就是数据存储安全的相关要求和实现目标。
我们知道DSMM分为5个成熟度等级分别为：非正式执行、计划跟踪、充分定义、量化控制、持续优化；安全能力的维度包括组织建设、制度流程、技术工具、人员能力。我们在落地执行的时候一般按照等级3即充分定义级进行相关的工作，因为在充分定义级里面完整的包含了安全能力维度的四个方面，而等级1和等级2是没有覆盖完全的，至于等级4和等级5就是进行一些量化细化和持续改进的，可以在DSMM体系建设完成后进行拔高。每个过程域都是按照这样的思路进行要求的，所以接下来介绍的数据存储安全的各过程域都是按照这个思路进行建设的。
二、定义
数据存储安全是数据中心安全和组织安全的一部分，这是数据安全重要的阶段，也是数据完整性、保密性和可用性三个方面都涉及的过程，所以该阶段的重要性不言而喻。该过程包含三个过程域，分别为：存储介质安全、逻辑存储安全、数据备份和恢复。
2.1存储介质安全
官方描述为针对组织机构内需要对数据存储介质进行访问和使用的场景，提供有效的技术和管理手段，防止对介质的不当使用而可能引发的数据泄露风险。
数据存储在介质上，比如物理实体介质（磁盘、硬盘），虚拟存储介质（容器、虚拟盘）等，对介质的不当使用及其容易引发数据泄露风险，此安全域更加注重物理安全层面的数据保护。
DSMM标准在充分定义级要求如下：
组织建设：
组织机构设立统一负责存储介质使用管理的岗位和人员。 在DSMM的要求中这个几乎都是一样的，每个过程域都需要指定专人和专岗负责该项工作，并能够胜任此工作。在实际工作中，可能所有的过程域在这个维度上都是同样的一个或多个人，可以单独任命，也可以在相应的制度章节中进行说明。
制度流程：
制定存储介质访问和使用安全策略和管理规范，建立介质使用的审批和记录流程。 建立购买或存储介质的规范流程，要求通过可信渠道购买或获取存储介质，并针对各类存储介质建立标准的存储介质净化规程。 对存储介质进行标记，明确介质存储的数据对象。 对存储介质进行常规和随机检查流程，确保存储介质的使用符合机构公布的关于介质使用的规范。
技术工具：
组织机构采取有效的介质净化工具对存储介质进行净化处理。 对介质访问和使用行为进行记录和审计。
人员能力：
负责该项工作的人员熟悉介质使用的相关合规要求，熟悉不同存储介质访问和使用的差异性，能够主动根据政策变化更新管理要求。
以下是在存储介质安全过程中具体落地应该重点关注的内容。
1.明确组织机构对数据存储介质进行访问和使用的场景，建立存储介质安全管理规定/规范，明确存储介质和分类的定义，常见存储介质为磁带、磁盘、光盘、内存等，依据数据分类分级内容确定数据存储介质的要求。 2.明确存储介质的采购和和审批要求，建立可信任的渠道，保证存储介质的可靠。 3.对存储介质进行标记，如分类（可按照类型、材质等分类）、标签（对存储介质进行打标签处理，明确存储数据的内容、归属、大小、存储期限、保密程度等）。 4.明确介质的存放环境管理要求，主要包括存储的区域位置、防尘、防潮、防静电、防盗、分类标识、出入库登记等内容。 5.明确存储介质的使用规范，包括申请单、登记表等一系列访问控制要求及数据清理（永久删除、暂时删除等）和销毁报废（销毁方式、销毁记录）要求。 6.明确存储介质测试和维修规范，包括测试存储硬件的性能、可靠性和容量等以及如何返厂、操作人、时间和场地等内容。 7.明确常规和随机审查要求，定期对存储介质进行检查，以防信息丢失。
简单总结就是，有专人专职负责介质安全这件事情，而且熟悉介质使用的相关合规要求。建立制度规范包含介质的使用审批和记录流程、购买的可信渠道及初始化（净化）的相关规程、存储介质的分类标识标记、定期对存储介质进行常规检查等。提供能够对介质进行净化的相关工具和对介质进行访问和使用的记录审计工具。
2.2逻辑存储安全
官方描述为基于机构内部的业务特性和数据存储安全要求，建立针对数据逻辑存储、存储容器和架构的有效安全控制。
针对存储容器和存储架构的安全要求，比如认证鉴权、访问控制、日志管理、通信举证、文件防病毒等安全配置，以及安全配置策略，以保证数据存储安全。
DSMM标准在充分定义级要求如下：
组织建设：
组织结构层面设立统一负责数据逻辑存储安全管理的岗位和人员，负责明确整体的数据逻辑存储系统安全管理要求，并推进相关要求的落地实施。 明确各数据逻辑存储系统的安全管理员，负责执行数据逻辑存储系统、存储设备的安全管理和运维工作。
制度流程：
建立数据逻辑存储管理安全规范和配置规则，明确各类数据存储系统的账号权限管理、访问控制、日志管理、加密管理、版本升级等方面的要求。 内部的数据存储系统在上线前应遵循统一的配置要求进行有效的安全配置，对使用的外部数据存储系统也应进行有效的安全配置。 明确数据逻辑存储隔离授权与操作规范，确保具备多租户数据存储安全隔离能力。
技术工具：
提供数据存储系统配置扫描工具，定期对主要数据存储系统的安全配置进行扫描，以保证符合安全基线要求。 利用技术工具监测逻辑存储系统的数据使用规范性，确保数据存储符合组织机构的相关安全策略要求。 具备对个人信息、重要数据等敏感数据的加密存储能力。
人员能力：
负责该项工作的人员熟悉数据存储系统架构，并能够分析出数据存储面临的安全风险，从而能欧保证对各类存储系统的有效安全防护。
以下是在逻辑存储安全管理阶段具体落地应该重点关注的内容：
1.定义逻辑存储系统和设备，建立数据逻辑存储管理安全规范/制度和配置规则，明确各类数据存储系统的账号管理、认证鉴权、权限管理、日志管理、加密管理、版本升级等安全要求 2.明确数据存储系统的架构设计和安全要求，提出建议的安全架构设计，规避常见存在安全隐患的架构设计。 3.明确数据存储系统在上线前的安全配置要求并进行统一有效的安全配置，同时采用配置扫描工具和漏洞扫描系统对数据存储系统进行定期扫描，以保证符合安全基线要求。 4.建立数据逻辑存储隔离授权与操作规范，保证多租户数据存储安全隔离，避免用户间数据未授权访问、修改等。 5.建立数据存储系统和设备的安全管理规范和操作规程，包括但不限于标准操作流程、维护操作流程、应急操作流程等。 6.对数据存储系统的日志记录进行采集和分析，识别账号和访问权限，监测数据使用规范性和合理性，同时可对发生的安全事件进行分析和溯源。
简单总结就是，有专人专岗统一负责逻辑存储安全管理，同时要熟悉了解逻辑存储安全架构和相关运维工作。建立数据逻辑存储安全管理规范，包含认证授权、账号和权限管理、日志管理、加密存储管理、版本升级、上线前统一安全配置、数据隔离等方面的要求。提供相关工具进行配置扫描和漏洞扫描、监测数据使用规范性，对重要数据进行加密的工具或技术。
2.3数据备份和恢复
官方描述为通过执行定期的数据备份和恢复，实现对存储数据的冗余管理，保护数据的可用性。
备份和恢复是为了提高信息系统的高可用行和灾难可恢复性，在数据库系统崩溃的时候，没有数据库备份就没法找到数据，保证数据可用性是数据安全的基础。
DSMM标准在充分定义级要求如下：
组织建设：
明确了负责组织机构统一的数据备份和恢复管理工作的岗位和人员，负责建立相应的制度流程并部署相关的安全措施。
制度流程：
建立数据备份与恢复的策略和管理制度，以满足数据服务可靠性、可用性等安全目标。 建立数据备份与恢复的操作流程，明确定义数据备份和恢复的范围、频率、工具、过程、日志记录规范、数据保存时长等。 建立数据备份与恢复的定期检查和更新工作程序，包括数据副本的更新频率、保存期限等，确保数据副本或备份数据的有效性。 依据数据生命周期和业务规范，建立不同阶段数据归档存储的操作流程。 建立归档数据的压缩或加密策略，确保归档数据存储空间的有效利用和安全访问。 建立归档数据的安全策略和管控措施，确保非授权用户不能访问归档数据。 识别组织适用的国内外法律法规要求，确保按照法律规定和监管部门的要求对相关数据予以记录和保存。 制定数据存储时效性管理策略和规程，明确数据分享、存储、使用和清除的有效期、有效期到期时对数据的处理流程、过期存储数据安全的安全管理策略。 建立过期存储数据的安全保护机制，对超出有效期的存储数据应具备再次获取数据控制者授权的能力。
技术工具：
建立数据备份与恢复的统一技术工具，并将具体的备份策略固化到工具中，保证相关工作的自动化执行。 建立备份和归档数据安全的技术手段，包括但不限于对备份和归档数据的访问控制、压缩或加密管理、完整性和可用性管理，确保对备份和归档数据的安全性、存储空间的有效利用和安全访问。 定期地采取必要的技术措施查验备份和归档数据完整性和可用性。 建立过期存储数据及其备份数据彻底删除或匿名化的方法和机制，能够验证数据已被完全消除、无法恢复或无法识别到个人，并告知数据控制者和数据使用者。 通过风险提示和技术手段避免非过期数据的误删除，确保在一定的时间窗口内的误删除数据可以手动恢复。 确保存储架构具备数据存储跨机柜或跨机房容错部署能力。
人员能力：
负责该项工作的人员了解数据备份介质的性能和相关数据的业务特性，能够确定有效的数据备份和恢复机制。 负责该项工作的人员充分了解数据存储时效性相关的合规性要求，并具备基于业务场景对留存合规性要求的解读能力和落地方案的制定能力。
以下是在数据备份与恢复阶段具体落地应该重点关注的内容：
1.建立数据备份与恢复的策略和管理制度，以保证数据服务的可靠性和可用性。 2.建立数据备份与恢复的操作规程，明确定义数据备份和恢复的范围、频率、工具、过程、日志记录规范、数据保存时长等。 3.明确数据备份和恢复的定期检查和更新工作要求，如数据副本的更新频率、保存期限等，确保数据副本或备份数据的有效性等。 4.建立备份数据的压缩、完整性校验和加密策略要求，确保备份数据存储空间的有效利用和安全访问。 5.识别组织适用的国内外法律法规要求，结合自身业务需求，确保按照法律规定和监管部门要求对相关数据予以记录和保存及满足备份保存周期要求。 6.建立统一的、自动化执行的备份和恢复工具。 7.对备份数据采取安全管理数据手段，包括但不限于对备份数据的访问控制、压缩或加密管理、完整性和可用性管理。
简单总结就是，专人专岗负责数据备份与恢复，同时具备了解数据备份操作业务流程和满足相关合规性要求的能力。制定数据备份与恢复的安全管理制度和操作规范，包含备份范围、频率、工具、过程、日志记录、保存时长、恢复测试流程、访问权限设定、有效期保护、异地容灾等各项内容。提供数据备份和恢复的自动化工具和数据加密、完整性校验的工具及技术手段。
三、总结
DSMM之数据存储安全其实就是为了保证数据在物理层面和逻辑层面的存储安全，主要的目标就是实现数据加密、完整性和高可用，实现数据由动态到静态的存储安全。
虽然在文中，很多制度和技术工具是分开叙述，但是在实际工作中可能是混在一起的，同时很多具体实现的部分不仅仅只是应用在一个过程域或者一个生命周期阶段，甚至可以应用在整个生命周期过程中。比如要求对重要或敏感数据进行加密存储和完整性校验，在生命周期各阶段都适用。对于大多数单位，这块工作一般都是运维人员负责。作为安全人员，我认为在数据存储安全方面，更多的是和运维同事一起配合完成，可以在现在已有的基础上进行完善和改进。无论是在制度规范方面，还是在工具技术方面及人员方面，不但要满足DSMM的相关要求，也要和运维人员的工作相结合，不然是不能很好的落地的。在这个阶段，安全人员应该起到的作用是提出要求，并且提供安全方面的能力支撑，让相关运维同事配合完成。
以上就是DSMM数据存储安全过程的要求以及我们在进行实际落地执行过程中的一点心得和体会，希望能够给有真正有DSMM需求的组织和人员带来一点儿启发，也欢迎大家和我进行沟通交流，并给出一些意见，共同将DSMM做的更好。
*本文原创作者：LJ_Monica，本文属于FreeBuf原创奖励计划，未经许可禁止转载
