如何确保数据隐私和组织安全

Jay Kelley产品营销高级经理 | F5

今天，即1月28日^th，是美国、加拿大、以色列以及欧盟47个国家/地区共同纪念的数据隐私日（在欧盟称为数据保护日）。

隐私，尤其是数据隐私，至关重要。许多国家的宪法都提及“隐私权”，事实上，这类宪法超过150部。《联合国世界人权宣言》也提到了隐私权，《欧洲人权公约》则对其予以保护。许多国家、地区和州已颁布多项隐私法规，包括欧盟《通用数据保护条例》（GDPR）和《加利福尼亚州消费者隐私法案》（CCPA）。

数据隐私日旨在提高企业和消费者对保护用户及其个人信息隐私重要性的认识。它还致力于普及相关知识，并鼓励开发相应工具，帮助企业和消费者更好地管理和控制用户个人信息。此外，数据隐私日也旨在推动各方进一步加强对现有隐私法律法规（如GDPR和CCPA）的遵守。许多国际和国家/地区机构、政府部门和委员会，以及教育机构和行业联盟，都将数据隐私日视为启动或继续探讨如何更好地保护消费者和用户数据隐私的契机。

付诸实践

无论消费者和用户数据处于静态存储还是传输状态，加密都是增强其隐私保护的一种常用且有效的方法。对消费者和用户数据及其传输方式进行加密，对于保护个人身份信息的私密性至关重要。

如今，加密已无处不在。对用户隐私和数据隐私的重视推动了加密流量激增。此外，许多供应商目前提供免费或低成本证书，旨在提升在线安全性，让用户、消费者和企业从中受益。实际上，他们正尝试加密整个Web！据F5 Labs称，86%的网页加载现已使用SSL或TLS加密。高级加密标准（AES）密码算法占当前加密Web流量的96%以上。尽管GDPR、CCPA等上述隐私法规和要求大多并未强制要求加密用户数据和个人数据，但它们正在推动加密技术的采用。不过，许多组织会加密用户数据和通信，以免违反这些法规和要求。

不可避免的弊端

加密技术在保护用户及其数据隐私方面表现出色，但也存在一个问题，给用户和企业都带来了严峻挑战：攻击者和黑客也喜欢利用加密技术来掩盖恶意软件、勒索软件及其他攻击途径。遗憾的是，加密会造成安全盲区。

例如，网络钓鱼和鱼叉式网络钓鱼活动所使用的欺诈网站越来越多地采用HTTPS来伪装成正规网站，诱骗毫无戒心的用户点击感染恶意软件的链接，或在看似可信实则虚假的登录页面中输入用户名和密码。这些网站甚至会欺骗那些认为地址栏中的小锁图标代表网站安全可靠的用户。据F5 Labs称，目前72%的网络钓鱼网站都使用加密。更糟糕的是，攻击者、黑客和其他恶意行为者不仅利用加密来隐藏威胁，还利用加密技术提供的隐私保护来逃避事后取证检测。他们只需针对每位受害者使用一次包含恶意软件和网络钓鱼网站的特定威胁活动，即可达到这一目的。

网络钓鱼利用人类心理，借助社会工程以及错误和虚假信息实施攻击，因此很难防御。网络钓鱼会利用人性和恐惧等情绪，在新冠疫情期间尤其如此。攻击者深知这一点，并加以利用。F5 Labs发现，包含“covid”或“corona”字样的新HTTPS证书数量会随COVID-19病例激增而增加。即使是世界卫生组织（WHO）和美国疾病控制与预防中心（CDC）等知名卫生机构，也曾经并且仍在遭到攻击者冒充。攻击者通过定向网络钓鱼活动，试图诱骗受害者访问恶意域名并下载恶意软件或遭受其他恶意攻击，或诱骗受害者在虚假登录页面中输入用户凭据。

应对措施

那么，当今的组织如何既保护用户和消费者数据及个人信息的隐私，又防范各种攻击和数据泄露？

组织应采用能够大规模解密每日大量入站和出站加密流量的解决方案。鉴于当前的加密流量规模、保护用户和消费者数据隐私的需求，以及解密和重新加密任务对计算资源的高要求，让现有安全解决方案同时承担安全防护以及流量解密和重新加密工作并不可取。安全设备一旦过载，可能会直接绕过加密流量，或无法履行其原本部署的安全职责。

为确保用户和消费者数据的隐私与安全，并避免违反隐私法规和要求，组织应采用能够智能识别隐私流量（如金融或医疗保健数据）并使其绕过解密的解决方案。不过，这类流量也不能直接放行，而应由安全堆栈中的一组有限解决方案进行检查。要实现这一点，安全堆栈中的解决方案不能采用静态串联方式，而应能够加入动态安全服务链，并利用上下文感知策略，将入站加密流量解密后路由至适当的安全服务链。

这称为SSL编排。上述说明有望阐明它为何在当今如此必要：不仅有助于保障组织安全，还可确保用户和消费者信息受到保护并保持私密。

有关F5 SSL Orchestrator的更多信息，请点击此处。

关于作者

Jay Kelley产品营销高级经理 | F5

Jay Kelley 的更多博客文章