各位 Buffer 晚上好，FreeBuf 甲方群话题讨论第 223期来了！FB甲方社群不定期围绕安全热点事件、前沿技术、运营体系建设等话题展开讨论，Kiki 群助手每周整理精华、干货讨论内容，为您提供一手价值信息。
话题抢先看
1. 数据安全法规越来越多，数据合规的压力越来越大，企业面对这一困难该如何解决？
2. 如何通过向上管理，加大企业对数据安全的投入？
3. 业务在公有云上，像防火墙WAF这种边界设备，能不用公有云厂商产品，而采购其他安全厂商的安全设备吗？架构上有可能吗？
话题一：现在有种声音，觉得“数据合规太严了”，面对数据安全法规越来越多，企业数据合规的压力越来越大，这一困难该如何解决？
A1：
其实我作为一个非行业内人员，觉得事后处罚力度太轻，在处理数据合规问题上，大家容易逃避或者规避问题。
A2：
我觉得这个优先应该搞大头，抓大放小，我这些小公司，根本就摸不着头脑，数据分类分级的样板也没有，参考也没有。
A3：
这个说法不对，容易双标，双标的结果就是谁也不想做大，然后怎么发展国家经济？
A4：
我觉得本质不是数据合规太严格了，监管本身就需要对行业起到一定推定作用，要不然发布那么多法规干嘛，毫无意义，本质还是企业和监管之间需要取一个平衡，如何平衡各种不同业务/规模的企业在安全所投入的价值能否满足法规要求，以及企业法人/CEO对于安全的价值理解看待。
A5：
所以企业内控很重要，如果企业原本的内控机制有问题，这些只是虱子多了痒不痒的小问题，如果原本内控闭环机制运营良好，这些只是新加的风控条款，问题也不大。
A6：
如果出了事，涉案企业合规从宽算是弥补措施。
Q：企业数据合规往往也面临“开过了会、提了需求、给了方案、知道了风险”，但到底能执行到哪种程度、有没有效果，却是不知道或是不清楚，那企业究竟该如何保证数据合规的有效实施？
A7：
监管查，抓典型，令企业“不合规”成本变大，权衡之下，就会实施了。
A8：
我观察的结果，大概这样几个方面：
1.设置组织、分配职责、授权，大部分企业把数据安全合规放在IT，其实是不对的；
2.开展数据分级分类，更多的是系统BIA分级分类（含数据层）；
3.开展核心系统、重要系统保护，比如等保、数据保护、数据防泄露、签署供应商保密协议、人员补充签署各种安全协议等；
4.建立制度;
5.技术方面，数据安全管理提升、网络安全能力提升，数据防泄漏系统、数据加密、传输保护、权限控制、身份管理 、零信任等；
6.开展自查自评估、数据保护等工作。
A9：
我再补充一下，既然要开展业务，那就考虑的更全面一些，因此：
1.员工培训方面：确保所有员工都能够理解海外业务中的安全风险，并知道如何遵守公司的安全政策和海外相关法律法规；定期组织培训，一定不能断；
2.物理安全方面：对于一些敏感的业务、数据、设备等，需要采取适当的物理安全措施，如访问控制、视频监控、安全锁等；
3.信息共享方面：在海外业务拓展过程中，可能需要与其他企业或机构进行合作和信息共享，需要谨慎处理，并与合作伙伴签订相关的保密协议和合同；
4.应急响应方面：在海外业务中，给自己留条后路，知道怎么全身而退；应该制定应急响应计划，以便在出现安全事件时能够及时应对，并采取必要的措施减少损失。
Q：大家觉得该如何通过向上管理，加大企业对数据安全的投入？
A10：
要向上管理只能借外部压力，上海这次亮剑浦江就很好。
A11：
一些特别的企业，加大投入也是国家法律法规要求， 向上管理=国家要求、证监会要求。
A12：
1.结合企业的实际业务，比如金融、外贸，就需要详细说明与生产的直接关联，不做可能产生巨额罚款，是影响企业生存的大事；一般企事业单位，就将一把手责任制，不做可能连带追责；中小企业就将现实的监管要求，某某上级单位多次强调XX，不做可能不给对方面子；
2.结合实际分析差距，那些需要具体的投入，最低投入多少，建议多少等等；
3.最好有兄弟单位、行业的最佳实践，参考着来。
A13：
看行业，通过政策合规，就像国央企那样，作为一把手的绩效，不用向上管理。
A14：
别的国家我不知道，现在我国央企、国企、政府机关、事业单位在推进一件事情，就是信息安全责任纳入高层绩效和政治考评。
A15：
以什么为评判标准呢？做了并通过了XX（比如等保，密评，关基）就算OK？或者是出事也行，到时请第三方进驻评估，看是没做好还是不做？以责任归属判断？
A16：
简单点说：
1.经济方面，要留一部分用于信息安全，比如30% 的收入与信息安全挂钩；
2.职位、政治方面，出小事罚款，出中事下课，出大事坐牢。
至于过不过等保、密评、关基，从影响度和范围来评估到底是1还是2还是1+2。
话题二：业务在公有云上，像防火墙WAF这种边界设备，能不用公有云厂商产品，而采购其他安全厂商的安全设备吗？架构上有可能吗？
A1：
可以，自己搞出口。但如果是SaaS业务，大概率不行。
A2：
公有云算PaaS服务 主要是云服务器和自建数据库。
A3：
物理上你不知道在哪里，怎么搞自己的防火墙。
A4：
感觉也不可能把设备扛到公有云的机房里去，公有云玩法就得全家桶。
A5：
可以ECS镜像部署，坑蛮多的，建议不要放边界，可以关键节点。
A6：
云服务器有IP吧，仅允许防火墙所在的公网IP访问。
A7：
自建机房放安全设备，域名绑定机房的公网IP，再引流到云上就行了，机房跟公有云用专线打通，就跟内网一模一样。
A8：
题主是不想用公有云的防火墙，想自己搭一个，主要是防止公有云内部各用户之间的串流。
A9：
WAF 可以用软件的。防火墙如果用自己的，会很麻烦而且很局限，基本就是映射 EIP 到墙上，墙控制 NAT 等，但这样不太能高可用。如果考虑高可用用云的 LB，那只能四层映射墙的 80 443，灾备和流量出方向的管控又很难弄，路由要全局的修改。比如 Fortinet 的墙，性能是管够。
A10：
IDC也可以建LB啊，他的意思就是只用人家的服务器，前面的安全设备、LB都用自己的。
A11：
他说的是公有云，公有云我联系测过，改动很大的，网络架构会很复杂。
A12：
我知道是公有云，我上面说的，自建IDC，跟公有云专线打通，就是大内网，跟传统架构基本一样的玩法。
A13：
软件WAF是指自建一台服务服务器安装WAF组件吗？还是那种直接每台Web服务器安装Agent。
A14：
对，不管是反代还是啥的。
本期观点总结
在面对数据安全法规越来越多和企业数据合规压力增大的情况 ，讨论认为，解决这一困难可以从多个方面入手。比如建立完善的内控机制，确保企业原本的内控闭环良好运营，以及通过分类分级、保护重要系统、建立制度、技术提升等方面保证数据合规有效实施。此外，数据安全投入的向上管理，可以通过外部压力、国家法律法规要求、不同行业更细致的监管要求等途径来实现。
在公有云上部署业务时，通常使用公有云厂商提供的安全产品，如果考虑采购其他安全厂商的设备，需要注意复杂性和一些限制性。自建安全设备可能存在部署和访问的问题，因此需谨慎评估。对于SaaS业务，自行搭建安全设备可能不实际。采购安全设备需权衡安全性与可用性，并选择与公有云架构兼容的解决方案。
近期群内答疑解惑
Q：请问网关类产品有没有实际效果比较好的防DDoS、 分片等简单攻击的措施 ？
A1：
自己部署设备，国内做DDoS的考虑某盟的产品。
A2：
我们要在自己设备上搞，只需要能防御简单攻击就行。
A3：
这种附带功能的数通设备，感觉运算性能都不够，只能应付小打小闹，而且攻击流量大于专线带宽时，再好的设备都顶不住，流量在上游就拥塞了。
A4：
买抗D设备+运营商清洗服务，自己配置的那些基本扛不住什么。
A5：
是的，这种功能就是简单防御下，大流量下肯定不行。我们是小型网关，这种成本太高了。
Q：对官方网站（含政府网站）进行远程漏洞扫描，犯法不犯法？
A1：
未经允许违法。
A2：
要授权，未授权就违法。
A3：
追加问题：如果我方系统与对方系统有对接，能否对对方系统进行安全扫描？
A4：
不能，我记得都要授权。
A5：
我记得之前一个白帽子发现了一个地方政府网站的漏洞，报给了CNVD，然后政府还是将这个白帽子给告了，判了。
Q：翻出数据库里的个人信息（敏感信息、隐私信息），生成数据清册，跟踪并记录哪个系统、哪个模块在调用，这个有简化方案吗？
A1：
数据库扫描+分级分类工具。
A2：
敏感数据清单好说，自己定义规则扫描，跟踪记录使用麻烦。
A3：
有行标的。
A4：
行标里也没落地的方案。
A5：
行标里有敏感信息定义，扫出来拉清单，然后结合监管、行业要求、安全保护要求设计方案。
A6：
识别哪些是敏感的没问题，向上溯源整个使用链路很难。
A7：
看系统架构和数据架构，每个系统都有蓝图设计、开发，调用哪些字段、数据很清晰啊。
A8：
要是有现成的话就不这么头疼了。
A9：
每个系统的逻辑不一样，没有现成的。
甲方群最新动态
上期话题回顾：
活动回顾：
近期热点资讯
谷歌应用商店中惊现Telegram间谍软件，下载量超数百万次
FreeBuf甲方社群每周开展不同的话题讨论，快来扫码加入我们吧！
【申请流程：扫码申请-后台审核（2-5个工作日）-邮件通知-加入社群】
注：目前1群、2群已满，如有疑问，也可添加Kiki群助手微信：freebuf1024，备注：甲方会员
“FreeBuf甲方群”帮会已建立，该帮会以三大甲方社群为基础，连接1200+甲方，持续不断输出、汇总各行业知识干货，打造网安行业甲方专属资料留存地。现“FreeBuf甲方群”帮会限时开放加入端口，让我们一同加入，共同建设帮会内容体系，丰富学习交流地。
如有侵权请联系:admin#unsafe.sh