《数据安全实践指南》- 数据存储安全实践-存储介质安全

存储介质安全

存储介质安全是数据存储安全中的一个重要部分，对数据的存储介质（如磁盘，硬盘，虚拟容器，虚拟机等）进行管理，可以有效防范因为存储介质的不当使用而引发的数据泄露风险。

建立负责存储介质安全的职能部门

在条件允许的情况下，组织机构应该设立一个数据存储介质安全管理部门，并确定相关人员负责管理公司整体的存储介质安全，包括学习市面上常用的数据存储介质安全管理思想，结合公司的实际情况，为公司制定整体的数据存储介质安全管理方案和标准，建立存储介质的审批，使用和记录等流程，通过常规与随机相结合的方式检查公司存储介质的状态和流程，考查其是否符合介质存储规范和介质使用规范等，以及是否存在其他的风险薄弱点。

明确存储介质安全岗位的能力要求

具备良好的数据安全风险意识。
熟悉国家网络安全法律法规，以及组织机构所属行业的政策和监管要求。
熟悉不同存储介质访问和使用的差异性。
熟悉公司实际情况，根据实际情况明确组织机构对数据存储介质进行存储，访问和使用的实际场景。
能够依据数据分类分级的结果来确定其对数据存储介质的要求。
能够制定出有效的，符合公司实际情况的数据存储介质安全管理制度。

存储介质安全岗位的建设及人员能力的评估方法

调研访谈
- 主要是对数据存储介质安全部门管理人员的访谈。
- 确认是否熟悉常用的数据存储介质管理方案。
- 是否清楚公司内部访问和使用数据存储介质的场景。
- 是否建立了明确的存储介质安全管理制度。
- 是否对存储介质进行了分类分级并全部打上了专属标签。
- 是否明确了存储介质的使用要求，例如：设立了使用规范制度，设立审批机制，设立测试流程等。
- 是否定期或随机审查存储介质的状态，以防出现纰漏。
问卷调查
- 是否制定了可靠且有效的存储介质安全管理制度。
- 是否明确了存储介质的存放环境管理制度。
- 是否对主要存储区域做了划分(比如：防尘，防水，防电等分类标识 )。
- 是否制定了明确的存储介质使用流程。
- 是否能提供诸如申请表单，使用记录，存储介质状态等一系列的书面证明。
- 是否明确了存储介质的购买，维修，测试等规范。
- 是否定期对存储介质进行审查。
- 是否能够提供相关工具对介质进行净化，访问和审计等操作。
流程观察
- 以中立的视角观察数据存储介质安全部门管理人员的工作流程，包括公司制定整体的存储介质安全管理制度，存储介质使用和审批制度，针对存储介质的测试和维修等相关制度时流程是否符合标准，在对存储介质进行常规或随机检查时所选择的检查项是否合理，尤其是相关人员所制定的存储介质安全管理方案能否契合公司内部环境。
技术检测
- 确认其是否能够实时监控存储介质的状态，包括存储介质的使用情况，性能指标，报错信息等等。
- 针对存储介质每一次使用，技术工具需要检测其是否可以收到相应的使用记录和审计信息。
- 针对数据存储环境，技术工具需要检测其存储环境与标签标注的环境是否一致，分类的划分是否符合数据存储介质安全管理制度。

明确存储介质安全管理的目的

数据存储介质可分为物理实体介质（比如：磁盘，硬盘)和虚拟存储介质(比如：虚拟容器，虚拟盘)。针对数据存储介质进行访问和使用的场景，组织机构需要提供有效的技术和管理手段，防止出现因对介质的不当使用而引发数据泄露问题。

存储介质的定义

存储介质是指存储数据的载体，包括文件档案，计算机硬盘，U盘，移动硬盘，存储卡，光盘，闪存和打印的媒体等。

存储介质采购规范

存储介质应由存储介质安全管理部门统一进行采购。
采购存储介质时需要遵循申报，审批，采购，标识，入账的流程。
采购存储介质时应选择可靠的品牌，以确保产品的质量。
采购存储介质时应进行防病毒等安全性检测，在确保存储介质安全的情况下入账。

存储介质存放规范

数据存储介质由存储介质安全管理部门统一进行管理。
存储介质的存放环境应采取防火，防盗，防水，防尘，防震，防腐蚀及防静电等措施，从而防止存储介质遭到盗窃，损毁，未经授权的修改，以及其中所村信息的非法泄露等。
对于磁带，磁盘等带有磁性的存储介质，应注意保存环境符合要求，以保证其长期有效。
应根据所存储数据的容量和重要性，合理选择相应的数据存储介质。
数据存储介质必须具有明确的分类标识，标识必须包括存储数据的内容，归属，大小，存储期限，保密程度等，并结合数据类型和管理策略统一命名，存储介质的标识必须是醒目的。
建立数据存储介质保管清单，由存储介质安全管理部门根据保管清单对介质的使用现状进行定期检查，检查内容包括完整性(数据是否损坏或丢失)和可用性(介质是否受到物理破坏)。
一旦有存储介质出现问题，就必须及时报告给上级领导部门。
根据数据备份的需求，确定进行异地存储的备份介质。

存储介质运输规范

存储介质在运输过程中，必须采取密封处理。
应选择可靠的速递公司承担介质的传递工作，应在与速递公司的合同中约定介质的传递时间和传递期间的安全保障(防火，防震，防潮，防磁，防盗)等方面的要求。速递公司的资质，介质传递流程和速递合同等须获得存储介质安全管理部门的批准。
对存有敏感业务信息的介质进行异地传输时，应选择本单位的可靠人员进行传递并使用专用的安全箱包进行包装。
移动存储介质的接收应履行登记，入账等手续。
存储介质安全管理部门需要对存储介质的运输过程进行详细的记录。

存储介质使用规范

启用新的存储介质或使用移动存储介质时，必须进行安全检查和查杀病毒处理。
存储介质的使用需要在受控的办公场所的指定计算机连接。
非本单位的移动存储介质一律不得与涉密计算机连接。
应避免在高温，强磁场的环境下使用存储介质。
涉密和非涉密的存储介质禁止交叉使用。
因公务需要而携带存储介质外出时，必须经过存储介质安全管理部门审批同意并登记。
由于存储介质体积小，易于流传，因此在使用时应对其安全保管，防止丢失。
如使用移动介质对敏感数据进行转移存储，则需要在使用前对移动介质进行格式化，并在使用后立即删除敏感数据。
复制移动存储介质中的信息，应经过存储介质安全管理部门的批准，并履行登记手续，复制件应视同原件进行管理。
复制移动存储介质中的信息时，不得改变其知悉范围，并由存储介质安全管理部门进行监督。

存储介质维修规范

存储介质的维修应经过存储介质安全管理部门审批。
对于送外维修的介质，应首选清除介质中的敏感数据。
移动存储介质需要送外维修时，必须到存储介质安全管理部门指定的单位进行维修，由存储介质安全管理部门全程陪同监督。
存储介质的维修应由存储介质安全管理部门负责，并对维修人员，维修对象，维修内容，维修前后的状况进行监督和记录。

存储介质销毁规范

存储介质的销毁应经过存储介质安全管理部门审批，未通过审批不得自行销毁。
为防止敏感信息泄露给未授权的人员，各部门应将需要销毁的存储介质送到存储介质安全管理部门，由存储介质安全管理部门统一进行安全销毁。
存储介质销毁之前，存储介质安全管理部门需要对介质中所含的信息进行风险评估，以确定存储介质的处理方式。
任何含有敏感信息的中间存储介质，都需要销毁其中所存的信息。
任何存储介质，在用于存储保密信息之前，都必须进行格式化。
删除存储介质中的敏感信息后，必须执行重复写操作，以防止因数据恢复而导致的敏感信息泄露。
含有硬复制形式的敏感信息存储介质的报废处理方式是粉粹或烧毁。
存储介质安全管理部门需要记录对存储介质所做的处置，以备审查。
被销毁介质上的备份内容如果未到备份保存期限，则应将备份内容复制到较新的介质上，并将复制后的介质归档。

使用技术工具

存储介质指的是存储数据的介质，是一种物理载体，不管是本地数据还是网络上的数据，最终都是存储在这样的物理载体上，常见的存储介质有硬盘，软盘，内存，光盘，磁带等。而存储介质作为一种物理载体，就会存在损坏，故障，寿命有限，以及安全性等问题。因此需要利用相应的技术工具来管理存储介质，从而保证存储介质中的数据能够安全，可靠地运行，避免出现数据丢失，损坏，泄露等问题。

存储介质的常见类型

磁介质
- 我们日常使用的硬盘其实全称为硬磁盘，除了硬盘之外，还有，磁卡，软盘，磁带。
半导体介质
- 半导体一般分为两大类，即随机存取存储器（RAM）和只读存储器（ROM），半导体介质具有体积小，存储速度快，存储密度高，与逻辑电路对接方便等优点。
光盘介质
- 一种利用光信息作为数据载体的记录材料，它利用激光扫描的原理进行读写，光盘作为一种十分重要的存储介质，具有可以存放大量数据的特性，常见的有CD，DVD，VCD。

存储介质的监控技术

对于光盘介质，需要监控和审计的重要行为就是刻录。
制作加密光盘，并规定只有使用特定的密钥才可以读取光盘的写入数据。
只有在系统上注册过的刻录机才能进行光盘刻录作业。
在光盘刻录全生命周期(包括刻录申请发起，审批了，刻录资源授权等)中，均需要有相应的管理人员进行审批，并只有审批通过后才能进行最终的刻录作业。
支持全面的日志审计，如用户名称，刻录文件名，文件处理方式，文件密级，任务提交时间，刻录文件分数，文件包含页数，使用刻录机名称，实际操作人，任务状态等信息。
磁介质和半导体介质的典型代表分别是硬盘和内存。
本地存储介质的监控和审计技术已经十分成熟了，Windows有资源监视器，Linux有top,htop,iotop等。
Linux上提供友好可视化界面的工具，例如：开源Cockpit，基于Web的管理工具。

基于数据擦除的介质净化技术

对存储介质中的数据执行清除操作，这种操作也称为介质净化。
一般来说，只有可重复使用的，可擦除的存储介质才能进行清除操作，一次性的，不可擦除的存储介质是无法进行清除操作的，需要废弃时只有使用物理手段进行销毁，净化的原则之一就是尽量做到不可恢复，以防止净化后的存储介质被有心人利用进行数据恢复。
光盘的数据清除操作只需要用刻录机对光盘进行刻录操作即可，目前的刻录机软件都带有物理完全擦除功能，其原理就是通过重新刻录凹槽覆盖原本的凹槽，从而达到擦除数据的目的，擦除光盘的过程是一种物理过程，所以光盘上的数据基本上是无法恢复的。
半导体存储器的类别包含RAM和ROM两大类。
- RAM属于易失性存储器，这种存储器的特点是需要不断加电刷新才能保持数据，完全断电一段时间后，其中的数据就会完全小时且无法恢复，所以RAM通常用于作为电子设备的内存。
- ROM则是非易失性存储器，不能通过断电来进行数据清除，其数据清除过程涉及较为复杂的物理过程，擦除方法通常是在源极之间加高压，从而形成电场，通过F-N(Fowler-Nordheim)隧道效应实现擦除操作。
磁盘存储器是最主要的存储介质之一，对于磁盘数据的清除手段主要包含如下：
- 反复对同一磁盘扇区写入无意义的数据，从而把数据还原的可能性降至最低。
- 磁盘扇区清零操作，即多次(至少一次)对磁盘的所有扇区全部用0或全部用1写入，使得磁盘上的所有数据全部丢失，这种清除方式比较彻底，但耗时稍长。
- 直接访问主文件列表，找到文件的具体存储位置，并解码二进制文件，从而彻底清除文件，这种方法减少了对操作系统的依赖，避免了大量盲目填写无效文件的操作，同时，这种方法还可以保护磁盘，延长其使用寿命。
- 目前使用较多的专业磁盘清除工具有：Darik's Boot and Nuke, HDShredder等