技术发展日新月异，但管理的政策往往不够灵活，跟不上时代的步伐。就IT安全策略而言，新技术并不是使您的标准保护方法过时的唯一因素:业务结构、法规、数据价值、数据收集速度的变化以及恶意活动的增加也会降低其有效性。所有这些都让最具创新性的大公司处于危险之中。

保护美好蓝底2560x1463.gif

更新IT安全策略:您的数据销毁方法可能已经过时

总的来说，当今许多公司都有某种形式的策略来管理不同阶段的数据清理和其他数据保护工作。虽然行业标准鼓励每年更新IT安全策略作为目标，但实际上策略也经常变化缓慢，因此并不总是适合当前的业务需求或技术现实。尤其是对于IT产品生命周期末端的数据销毁策略。

更新信息安全策略的理由

以下是您应该优先更新公司IT安全策略的几个原因:

1. 技术变革—软件和硬件的进步改变了信息的使用、收集、存储、归档和处置方式。如果不考虑这些变化，旧方法可能会应用到您的新技术中，从而导致低效率、无效性和脆弱性的增加。

2. 新的数据保护法规 —自欧盟一般数据保护法规(GDPR)于2018年生效以来，其他几个司法管辖区也实施了类似的数据保护和隐私法律，比如中国出台了【数据安全法】和【个人信息保护法】。GDPR也影响了非欧盟国家的企业，该法律的重点是保护欧洲公民的隐私—无论他们在哪里生活。如果违反了它的规则，它有严厉的惩罚和强制执行的权力。其他法律都有不同程度的实施、处罚和执行，Gartner预测数据保护法律将在2020年继续增加。

3. 数据价值的变化—有两种方式来看待这个问题。第一种情况是当数据对您来说变得没有那么多价值时:也许它已经超过了保留日期，是旧的或冗余的，或者它不再满足您的生意需要。考虑如何处理这些数据很重要，尤其是当这些数据对其他人仍然有价值的时候。这就引出了我们的第二个场景:您收集和关联的数据和数据点越多，你的数据集对黑客的价值就越大。最近，IBM/Ponemon的《2019年数据泄露成本报告》发现，泄露中每条记录的平均损失成本为150美元，数据泄露事件的平均成本约为390万美元。此外，正如2017年的Equifax和2019年的CapitalOne违规事件一样，历史数据可能是黑客访问的主矿脉的一部分，这些数据如果没有被及时销毁掉，极有可能落入黑客之手，结果是公司的品牌和声誉遭受严重伤害。

4. 数据收集的速度和数量—世界每天产生2.5P海量数据，随着数据以更快的速度积累，数据管理变得越来越重要。无论您的服务是否已经扩展，或者您的数据收集机制是否已经发展到包括物联网(IoT)设备、可穿戴设备、在线跟踪机制或其它的数据收集策略，您需要管理和保护的数据越多，一旦遇到泄露事件，您损失的就越多。昂贵的数据存储的需求将持续增长，除非您的IT安全策略涵盖如何淘汰旧数据和重新使用数据存储设备的最佳做法，否则您的泄露成本可能会不必要地几何级数地增加。

5. 恶意活动地增加—2019年上半年以来发生了几起显著的违规事件，暴露了创纪录的数据量。虽然人们越来越关注内部威胁，但大量未经授权的数据访问来自外部的恶意攻击，而且没有迹象表明这种趋势会很快放缓。

6. 不合标准的策略语言 —虽然拥有某种形式的安全策略绝对是朝着正确方向迈出的一步，但许多策略写得很松散，从而带来了潜在的风险。有几个方面往往含糊不清或没有得到解决，尤其是在数据销毁方面: 谁最终拥有数据？谁负责确保满足数据保留的要求，并启动数据处置程序？如果硬件被重复使用或捐赠，谁拥有这些硬件并提供安全性审计和完整数据擦除证明？如果旧数据违规暴露，谁应该负责？

解决IT安全策略中的数据销毁问题

IT安全策略通常需要应对网络和边缘的措施，以保护在整个公司内创建、存储、使用和共享的数据。无论是通过归档还是处置，这些政策还应解决数据和数据资产的生命周期安全性问题。否则，本来要擦除的旧数据或要物理销毁的驱动器可能会成为未授权的人寻找机会的信息源。

不幸的是，人们很容易依赖“屡试不爽”的报废数据销毁做法，却没有意识到它们不再适用于当今的技术。保留过时的数据也很有诱惑力，这些做法看似经济高效，但实际上会让您面临更大的风险。

以下是您当前IT政策中可能存在的一些过时的数据销毁做法。请尽快找出并将它们更新为目前最佳做法。

过时数据销毁做法 #1:不适当的物理销毁数据存储设备

值得注意的是，当设备达到使用寿命时，物理销毁数据存储硬件仍然是一个有效的选择。但是，由于数据存储硬件的进步，您当前的策略建议可能不再足以涵盖所有情况。

• 消磁—消磁只对硬盘驱动器(HDD)等磁化存储有效，即使如此，它也有一些弱点。不仅不适用于固态硬盘(SSD)，而且您使用的任何消磁器都必须足以涵盖新HDD的磁力。否则可能会有数据残留。

• 粉碎—再次强调，粉碎非常有效。它可以应用于大多数数据存储技术。但是，由于数据在越来越小的设备上以越来越大的压缩率存储，所以粉碎后的碎片也必须越来越小。美国国家安全局建议使用宽度为2mm或更小的碎片来删除小型内存芯片上的数据。大多数标准工业粉碎机粉碎成的碎片较大，会有信息残留。这些做法的其他缺点包括留下了废弃物，并且失去了再利用、捐赠或回收这些设备的机会。如果使用数据清除软件来清理数据，其最大的好处是，可以不需要物理销毁设备并允许硬盘重复使用。数据清理也可以与物理销毁结合使用，可确保拥有最敏感数据最不愿意承担风险的公司获得绝对的数据保护。

过时数据销毁做法 #2:无效的数据擦除方法

过时的数据擦除政策可能规定删除数据或重新格式化所有驱动器是您业务的最佳标准，但事实并非如此。公司的数据清理策略若允许使用低价格式化或免费软件擦除工具，会出现重大安全风险。人为错误也会给企业带来风险，快速格式化或免费数据擦除工具既不能充分覆盖所有存储介质，也不能提供可供审计的擦除证明。如果没有适当的政策指导，由员工自行决定选择免费软件，一个糟糕的工具可能会作为流程的一部分推出，对任何认真对待数据保护和清理的公司来说这都是一个巨大的危险。自动化软件擦除降低了人为错误的威胁，确保了完整的数据擦除。在淘汰设备或清除旧数据时，您还必须考虑广为认可的数据清理准则和最佳的做法。

过时数据销毁做法 #3:采用旧的擦除标准

有一系列“标准”规定了如何完全擦除数据，您的IT策略应该符合当前的数据保留、管理和处置法规。请记住，除非您通过严格的控制和可验证的审计跟踪来弥合策略和流程之间的差距，否则您正在进行糟糕的数据净化。

• DoD标准–美国国防部的这种三遍方法曾经是最严格的安全和完整数据擦除指南。它可能会出现在您特定的IT数据策略中。然而，超过25年的历史，以及2006年的最后一次更新，DoD标准现在已经过时了。它不考虑SSD等新技术，也不应该成为数据擦除策略的基础。为了满足许多地区的法规合规性要求，您必须拥有防篡改审计跟踪，这是Blancco擦除产品套件中的一个标准，但在DoD5220.22-M的当前版本中没有规定。

• NIST SP 800-88 R1–美国国家标准与技术研究所的指南是一套流行的标准，非常值得您在制定数据擦除IT政策时加以考虑。该标准最近一次更新于2014年，明显比其他标准更新一点。它还成为一个全球性的参考文件，其原则已被纳入著名的国际标准，如国际标准化组织/IEC27040:2015。NIST 800-88考虑到有磁性介质和SSD，形成了一个全面的框架来进行适当的数据清理。它不限定技术的方法意味着NIST清理可以适用于所有数据存储设备，它的擦除验证要求意味着可以确保数据已被充分擦除。

未来数据销毁的IT政策会是什么样的？

如前所述，IT政策必须与其服务的行业一样灵活。

围绕ISO 27001的安全标准化和数据保护立法(如GDPR)的最新发展给政策的更新、相关性和正确实施带来了压力。更多的数据、每日数据泄露和存储技术的变化意味着数据暴露的风险增加，即使是旧数据也是如此。

无论是在您的网络上、存档中还是在要销毁的驱动器上，确保定期全面更新您的IT策略，包括报废数据清理。不要冒不必要的数据泄露风险，那种风险不值得尝试。