ISO27001認(rèn)證
熱線：
Q Q：ISO/IEC 27040存儲(chǔ)安全及風(fēng)險(xiǎn)
發(fā)布時(shí)間：2020-06-20 作者：廣匯聯(lián)合 來(lái)源：廣匯聯(lián)合
一、存儲(chǔ)安全簡(jiǎn)介
存儲(chǔ)安全涉及物理、技術(shù)和管理控制，以及與存儲(chǔ)系統(tǒng)和基礎(chǔ)設(shè)施相關(guān)的預(yù)防、檢測(cè)和糾正控制。
A、存儲(chǔ)安全還可以強(qiáng)制引入專門技術(shù)，如： 媒體殺毒； 虛擬化安全 等；
B、為了更好地理解存儲(chǔ)的安全問(wèn)題和含義，我們應(yīng)該知道存儲(chǔ)技術(shù)的使用方式和原因。
C、要確?，F(xiàn)有和新興存儲(chǔ)技術(shù)上存儲(chǔ)和訪問(wèn)的數(shù)據(jù)具有足夠的保密性、完整性和可用性。安全工作將側(cè)重于：
-保護(hù)存儲(chǔ)管理（操作和接口）；
-確保充分的憑證和信任管理；
-保護(hù)數(shù)據(jù)備份和恢復(fù)資源；
-動(dòng)態(tài)數(shù)據(jù)保護(hù)；
-靜止數(shù)據(jù)保護(hù)；
-數(shù)據(jù)可用性保護(hù)；
-數(shù)據(jù)可用性保護(hù)；
-災(zāi)難恢復(fù)和業(yè)務(wù)連續(xù)性支持；
-適當(dāng)?shù)男l(wèi)生處理和處置；
-安全的自主數(shù)據(jù)移動(dòng)；
-確保多租戶。
二、存儲(chǔ)安全風(fēng)險(xiǎn)
1、背景
A、存儲(chǔ)安全風(fēng)險(xiǎn)是由組織對(duì)特定存儲(chǔ)系統(tǒng)或基礎(chǔ)架構(gòu)的使用造成的。
存儲(chǔ)安全風(fēng)險(xiǎn)來(lái)自：
a） 針對(duì)存儲(chǔ)系統(tǒng)和基礎(chǔ)設(shè)施處理的信息的威脅；
b） 脆弱性（技術(shù)性和非技術(shù)性）；以及
c） 通過(guò)威脅成功利用漏洞的影響。
B、風(fēng)險(xiǎn)管理是信息安全的一個(gè)重要概念。
根據(jù)ISO/IEC 27005，“信息安全風(fēng)險(xiǎn)管理“過(guò)程可應(yīng)用于整個(gè)組織、組織的任何離散部分（如部門、物理位置、服務(wù)）、任何信息系統(tǒng)，控制的現(xiàn)有或計(jì)劃的或特定方面（如業(yè)務(wù)連續(xù)性規(guī)劃）。”
C、存儲(chǔ)系統(tǒng)和基礎(chǔ)架構(gòu)面臨的威脅，包括但不限于：
-未經(jīng)授權(quán)使用；
-未經(jīng)授權(quán)的訪問(wèn)；
-監(jiān)管不合規(guī)造成的責(zé)任；
-拒絕服務(wù)（DoS）和分布式拒絕服務(wù)（DDoS）攻擊存儲(chǔ)；
-數(shù)據(jù)的損壞/修改和銷毀；
-數(shù)據(jù)泄漏/泄露；
-媒體被盜或意外丟失；
-惡意軟件攻擊或引入；
-使用結(jié)束后處理或消毒不當(dāng)。
2、數(shù)據(jù)泄露
1)數(shù)據(jù)泄露可能是安全危害的結(jié)果之一。
2)未經(jīng)授權(quán)訪問(wèn)或披露受保護(hù)信息是兩種常見(jiàn)的數(shù)據(jù)泄露形式。
3)數(shù)據(jù)泄露可能使組織面臨因調(diào)查數(shù)據(jù)泄露而產(chǎn)生的重大風(fēng)險(xiǎn)。
3、數(shù)據(jù)損壞或破壞。
4、暫時(shí)或永久性的訪問(wèn)/可用性損失 。
5、 不符合法定、監(jiān)管或法律要求組織可能會(huì)因不遵守法律、法規(guī)或法律要求而招致重大責(zé)任和處罰。
