数据安全旨在保护数据免受未经授权的访问、损坏和盗窃。它涵盖数据本身以及存储、处理和传输数据的系统。控制措施包括加密、访问管理、网络安全和监控。其目标是确保数据的机密性、完整性和可用性。数据应仅供授权方读取，并且准确无误，在需要时可随时访问。

威胁形势错综复杂。外部攻击者企图窃取或勒索数据。内部人员可能无意或有意泄露数据。配置错误的系统也可能暴露数据。第三方供应商可能会丢失数据。自然灾害也可能摧毁数据。没有任何单一的控制措施能够应对所有这些威胁。纵深防御通过多层控制措施来确保即使某一层控制失效，也不会导致整个系统崩溃。数据分类决定了适用哪些控制措施。公共数据所需的保护低于机密数据。受监管的数据，例如健康记录和支付卡信息，有其特定的保护要求。控制措施应与数据的敏感性相匹配。过度保护低风险数据会浪费资源。保护不足的高风险数据则会带来法律责任。如何平衡风险需要判断。数据安全并非一种可以安装的产品，而是一种需要持续维护的实践。威胁不断演变，系统也在不断变化。去年安全可靠的系统，如今可能已经不堪一击。数据安全工作永无止境。

数据安全控制

• 加密——保护静态数据和传输中的数据。
• 访问管理——限制谁可以查看或修改数据
• 网络安全——防火墙、网络分段、监控
• 备份和恢复——数据丢失或损坏后恢复
• 监控——检测并应对事件

数据安全保护资产。没有数据安全，数据就会成为潜在的隐患。