《数据安全能力成熟度模型》过程域07：存储介质安全

2019年8月30日，《信息安全技术 数据安全能力成熟度模型》（GB/T 37988-2019）简称DSMM（Data Security Maturity Model）正式成为国标对外发布，并已于2020年3月起正式实施。

DSMM将数据按照其生命周期分阶段采用不同的能力评估等级，分为数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全六个阶段。DSMM从组织建设、制度流程、技术工具、人员能力四个安全能力维度的建设进行综合考量。DSMM将数据安全成熟度划分成了1-5个等级，依次为非正式执行级、计划跟踪级、充分定义级、量化控制级、持续优化级，形成一个三维立体模型，全方面对数据安全进行能力建设。

在此基础上，DSMM将上述6个生命周期进一步细分，划分出30个过程域。这30个过程域分别分布在数据生命周期的6个阶段，部分过程域贯穿于整个数据生命周期。

本系列文将以DSMM数据安全治理思路为依托，针对上述各过程域，基于充分定义级视角（3级），提供数据安全建设实践建议，本文作为本系列第七篇文章，将介绍数据存储安全阶段的存储介质安全过程域（PA07）。

一、定义

存储介质安全，DSMM官方描述定义为针对组织内需要对数据存储媒体进行访问利使用的场景，提供有效的技术和管理手段，防止对媒体的不当使用而可能引发的数据泄漏风险。存储媒体包括终端设备及网络存储。
DSMM标准在充分定义级对存储介质安全要求如下：
（1）组织建设
建议组织应设立统一负责存储媒体安全管理的岗位和人员。
（2）制度流程
●应明确存储媒体访问利使用的安全管理规范，建立存储媒体使用的审批和记录流程；
●应明确购买或获取存储媒体的流程，要求通过可信渠道购买或获取存储媒体，并针对各类存储媒体建立格式化规程；
●应建立存储媒体资产标识，明确存储媒体存储的数据；
●应对存储媒体进行常规和随机检查，确保存储媒体的使用符合机构公布的关于存储媒体使用的制度。
（3）技术工具
●组织应使用技术工具对存储媒体性能进行监控，包括存储媒体的使用历史、性能指标、错误或损坏情况，对超过安全阈值的存储媒体进行预警；
●应对存储媒体访问和使用行为进行记录和审计。
（4）人员能力
负责该项工作的人员应熟悉存储媒体安全管理的相关合规要求，熟悉不同存储媒体访问和使用的差异性。
二、实践指南
（1）组织建设
组织结构在条件允许的情况下应该设立一个数据存储安全管理部门以及招募相关的人员负责管理公司整体的存储介质安全，包括学习市面上普遍的数据存储介质安全管理思想，数据安全管理思想，结合公司的实际情况，为公司制定整体的数据存储安全管理方案和标准，建立存储介质的使用、审批、记录流程等，对公司的存储介质状态、存储介质流程进行常规和随机相结合的方式进行检查，考察其是否符合介质存储规范、介质使用规范等，并考察其是否存在其他的风险薄弱点。
（2）人员能力
针对数据存储安全管理部门的相关人员，必须具备良好的数据安全风险意识，熟悉国家网络安全法律法规以及组织机构所属行业的政策和监管要求，在进行存储介质管理的时候主要依据《网络安全法》中的相关要求，进行存储介质使用的时候也要符合相关合规要求，对公司的存储介质做好管理与保护，除此之外，还需要相关人员熟悉不同存储介质访问和使用的差异性，能够主动根据政策变化更新管理要求，熟悉公司的实际情况，能够明确组织机构对数据存储介质进行存储、访问、使用的实际场景，能够依据数据分类分级的结果来确定数据存储介质的要求，制定出有效的、符合公司实际情况的数据存储介质安全管理制度，并推动相关要求确实有效的落地执行。
（3）落地执行性确认
针对数据存储安全管理人员能力的实际落地执行性确认，建议通过内部审计、外部审计等形式以调研访谈、问卷调查、流程观察、文件调阅、技术检测等多种方式实现。
（4）制度流程
●存储介质安全管理目的
数据存储在介质上，比如物理实体介质（磁盘/硬盘），虚拟存储介质（容器/虚拟盘）等，防止对介质的不当使用而可能引发的数据泄露风险。
●存储介质定义
存储介质是指存储数据的载体，包括文件档案、计算机硬盘、U盘、移动硬盘、存贮卡、光盘、闪存和打印的媒体等。
●存储介质采购规范
①存储介质由存储介质安全管理部门进行统一采购。
②存储介质采购时遵循申报、审批、采购、标识、入账的流程。
③存储介质的采购应选择可靠的品牌，确保产品质量。
④存储介质采购中应进行防病毒等安全性检测，在确保安全的情况下入账。
●存储介质存放规范
①数据存储介质由存储介质安全管理部门进行统一管理；
②存储介质的存放环境应有防火、防盗、防水、防尘、防震、防腐蚀及防静电等措施，防止其被盗、被毁、被未授权修改以及其信息的非法泄露；
③对于磁带、磁盘等带有磁性的介质应注意其保存环境，保证其长期有效；
④根据数据的容量和重要性合理选择数据存储介质；
⑤数据存储介质必须具有明确的分类标识，标识须包括存储数据的内容、归属、大小、存储期限、保密程度等，并结合数据类型和管理策略统一命名，存储介质的标识必须醒目；
⑥建立数据存储介质保管清单，由存储介质安全管理部门定期根据保管清单对介质的使用现状进行检查，检查内容包括完整性（数据是否损坏或丢失）和可用性（介质是否受到物理破坏）；
⑦任何存储介质盘点出现差异时，必须及时报告给上级领导部门；
⑧根据数据备份的需要确定须异地存储的备份介质；
●存储介质运输规范
①存储介质在运输过程中，必须采取密封处理；
②应选取可靠的速递公司承担介质的传递工作，介质传递时间、安全保障（防火、防震、防潮、防磁、防盗）等方面的要求应在与速递公司的合同中加以约定。速递公司的资质、介质传递流程、速递合同须经存储介质安全管理部门批准；
③当存有敏感业务信息的介质进行异地传输时，应选择本单位可靠人员进行传递，并且使用专用安全箱包进行包装；
④移动存储介质的接收应履行登记、入账等手续；
⑤存储介质安全管理部门需对存储介质的运输过程进行详细记录；
●存储介质使用规范
①新启用的存储介质或使用移动存储介质时，必须进行安全检查和查杀病毒处理；
②存储介质的使用需在受控的办公场所的指定计算机上进行；
③非本单位的移动存储介质一律不得和涉密计算机连接；
④避免在高温、强磁场的环境下使用存储介质；
⑤涉密和非涉密的存储介质禁止交叉使用；
⑥因公务需要携带存储介质外出时，必须经存储介质安全管理部门审批同意并登记；
⑦存储介质由于其体积较小，易于流传，使用时应对其安全保管，防止丢失；
⑧如使用移动介质转移存储敏感数据，需在使用前格式化，并在使用后立即删除敏感数据；
⑨复制移动存储介质中的信息应经过存储介质安全管理部门批准并履行登记手续;复制件应视同原件进行管理；
⑩复制移动存储介质中的信息时，不得改变其知悉范围，并由存储介质安全管理部门进行监督。
●存储介质维修规范
①存储介质维修应经过存储介质安全管理部门审批。
②对送出维修的介质应首先清除介质中的敏感数据；
③移动存储介质需要送外维修时，必须到存储介质安全管理部门制定的单位进行维修，由存储介质安全管理部门全程陪同监督；
④存储介质的维修由存储介质安全管理部门负责，并对维修人员、维修对象、维修内容、维修前后状况进行监督和记录；
●存储介质销毁规范
①存储介质销毁应经过存储介质安全管理部门审批，不得自行销毁。
②为防止敏感信息泄露给未经授权的人员，各部门应将需要废弃的存储介质送到存储介质安全管理部门，由存储介质安全管理部门统一进行安全销毁；
③存储介质销毁前，存储介质安全管理部门须对所含信息进行风险评估，确定存储
●介质的处理方式
①任何含有敏感信息的中间存储介质，都需要销毁其中的信息。
②任何存储介质不再用于存储保密信息之前，必须进行格式化。
③存储介质上删除敏感的信息后，必须执行重复写操作防止数据恢复。
④含有硬拷贝形式的敏感信息存储介质的报废处理方式是粉碎或者烧毁。
⑤存储介质安全管理部门需对存储介质的处置做记录、以备审查。
⑥被销毁介质上的备份内容如果未到备份保存期限，要将备份内容复制到较新的介质上，并将复制后的介质归档。
（5）技术工具简述
存储媒体指的就是存储数据的介质，是一种物理载体，不管是本地数据还是网络上的数据，其最终都是存储在这样的物理载体上。组织在访问和使用数据的时候，都会用到存储媒体。常见的存储媒体有硬盘、软盘、内存、光盘、磁带等等，而存储媒体作为一种物理载体，那么就会有损坏、故障、寿命有限等问题，以及安全性的问题。需要利用相应的技术工具来管理存储媒体，保证在存储媒体中的数据能够安全、可靠地运行，避免数据丢失、损坏、泄露等问题，保障数据安全。
目前市面上常见的存储媒体根据介质不同分为三大类，磁介质、半导体介质、光盘介质。
磁介质：也就是磁记录介质材料，是利用磁特性和磁效应实现信息记录和存储的功能的磁性材料。我们日常使用的硬盘其实全称叫硬磁盘，就是利用磁记录技术来实现数据存储的。除了硬盘之外，磁卡也是一种磁记录介质材料，还有早期的软盘（软磁盘）、以及更早的磁带等。
半导体介质：半导体介质使用半导体大规模集成电路作为存储媒体的，可以对数字信息进行随机存取。半导体一般可以分为两类，随机存取存储器（RAM）和只读存储器（ROM）。半导体介质具有体积小、存储速度快、存储密度高、与逻辑电路接口容易等优点，计算机以及各类电子设备中的内存使用的就是半导体介质。
光盘介质：光盘介质是利用光信息作为数据载体的一种记录材料，它是用激光扫描的记录和读出方式保存信息的一种介质。光盘介质作为一种十分重要的存储介质，具有存放大量数据的特性。我们熟知的CD、DVD、VCD等就是光盘存储介质。
●存储介质监控技术
根据存储媒体的不同，在存储媒体的监控和审计上也有不同的相应监控和审计技术。
对于光盘介质来说，需要监控和审计的重要行为那就是刻录了。构建一个光盘刻录和审计系统对于光盘介质的安全管理来说十分重要。一个光盘刻录和审计系统应具备以下功能技术：制作加密光盘，并规定只有使用特定的密钥才可以解开光盘读取和写入数据；只有在系统上注册过的刻录机才能进行光盘刻录作业；支持光盘刻录全生命周期，包括刻录申请发起、审批、刻录资源授权等，均需要相应的管理人员进行审批通过后才能进行最终的刻录作业；全面的日志审计，如用户名称、刻录文件名、文件处理方式、文件密级、任务提交时间、刻录文件份数、文件包含页数、使用刻录机名称、计算机使用人、任务状态等信息等。
磁介质和半导体的介质两个代表分别是硬盘和内存，因为硬盘和内存是每台计算机的基本组成设备。以硬盘和内存为例，在计算机上需要监控和审计的有两方面，一方面是本地存储媒体的监控和审计，另一方面是外来接入存储媒体行为的监控和审计。本地存储的监控审计技术和工具已经十分成熟了，在windows和linux系统下，都自带有系统监控工具，如windows的资源监视器，linux下的top、htop、iotop等都是最基本的监控工具，系统通过存储媒体的驱动程序连接存储媒体设备，可以对存储媒体进行实时监控。另外还有许多优秀的工具可以实现日志审计导出、存储设备管理等更强大的功能，并提供友好地可视化界面，这些工具都是在系统提供的工具之上进行功能叠加和改进的。如Cockpit，Cockpit是一个免费且开源的基于web的管理工具，系统管理员可以执行诸如存储管理、网络配置、检查日志、管理容器等任务。通过Cockpit提供的友好的Web前端界面可以轻松地管理GNU/Linux服务器，非常轻量级，Web界面也非常简单易用。更重要的是通过Cockpit可以实现集中式管理。还有netdata等工具。对于外来接入存储媒体行为的监控和审计，一般是通过监控计算机扩展接口进行实现的，如USB接口等，目前大多数的终端安全管理工具已经具备该技术功能。
●存储介质清除技术
当需要废弃存储媒体使用新的存储媒体，或者需要重新写入存储媒体中的数据时，一般都需要对存储媒体中的数据进行清除，这种操作也被成为介质净化。只有被净化过的存储介质，才允许被废弃或者重新写入数据，依次保证数据的安全可靠，防止存储媒体中的数据损坏和泄露。一般来说，只有可重复使用的、可擦除的存储媒体才能进行清除操作，一次性的、不可擦除的存储媒体是无法进行清除的，需要废弃时只有使用物理手段进行销毁。净化的一个原则就是尽量做到不可恢复，防止净化后的存储媒体被有心之人进行数据恢复。
光盘介质的原理是通过光盘表面深浅不一的凹槽以及对光的反射与否来表示数据的，而光盘记录数据的操作也就是刻录是在光盘表面制造凹槽。所以光盘的数据清除只需要用刻录机进行刻录操作即可，目前的刻录机软件都带有物理完全擦除功能，其原理就是通过重新刻录凹槽覆盖掉原本的凹槽即可达到擦除数据的目的。由于其擦除过程是一种物理过程，所以基本是无法恢复的。
半导体是在常温下导电性能介于导体和绝缘体之间的材料，其导电性是可控的，利用其导电与否就可以表示“0”和“1”，从而就可以记录数据。在半导体存储器的类别中，RAM属于易失性存储器，这种存储器的特点是需要不断加电刷新才能保持数据，完全断电一段时间后，其中的数据就会完全消失且无法恢复，所以RAM通常是用来做电子设备的内存；ROM是非易失性存储器，不能通过断电来进行数据清除，其数据清除过程涉及到较为复杂的物理过程，擦除方法通常是在源极之间加高压，从而形成电场，通过F－N(Fowler-Nordheim)隧道效应实现擦除操作。
磁性存储器是目前最主要的存储介质之一，净化磁介质的方法也比较成熟。以磁盘为例，目前对于磁盘的数据清除手段主要有几种：一种是反复在同一磁扇区上写入无意义的数据，从而把数据还原的可能性减至最低；另外一种是磁盘扇区清零，即把磁盘所有扇区分1-多次全部用0或全部用1写入，之后硬盘上所有数据全部丢失，这种清除方式比较彻底，但耗时稍长；还有一种就是采用直接访问主文件列表找到文件具体存储的位置，并解码二进制文件，从而彻底清除文件，减少了对操作系统的依赖，避免大量盲目填写无效文件的操作。这种方法可以保护磁盘使用寿命。目前使用较多的专业磁盘清除工具有Darik'sBootandNuke、HDShredder等。