資料安全旨在保護資料免受未經授權的存取、損壞和盜竊。它涵蓋資料本身以及儲存、處理和傳輸資料的系統。控制措施包括加密、存取管理、網路安全和監控。其目標是確保資料的機密性、完整性和可用性。資料應僅供授權方讀取，且準確無誤，在需要時可隨時存取。

威脅形勢錯綜複雜。外部攻擊者企圖竊取或勒索資料。內部人員可能無意或有意洩漏資料。配置錯誤的系統也可能暴露資料。第三方供應商可能會遺失資料。自然災害也可能摧毀資料。沒有任何單一的控制措施能夠應對所有這些威脅。縱深防禦透過多層控制措施，確保即使某一層控制失效，也不會導致整個系統崩潰。資料分類決定了適用哪些控制措施。公共資料所需的保護低於機密資料。受監管的數據，例如健康記錄和支付卡信息，有其特定的保護要求。控制措施應與數據的敏感度相符。過度保護低風險資料會浪費資源。保護不足的高風險資料則會帶來法律責任。如何平衡風險需要判斷。資料安全並非一種可以安裝的產品，而是一種需要持續維護的實務。威脅不斷演變，系統也在不斷變化。去年安全可靠的系統，如今可能已經不堪一擊。資料安全工作永無止境。

資料安全控制

• 加密－保護靜態資料和傳輸中的資料。
• 存取管理－限制誰可以查看或修改數據
• 網路安全－防火牆、網路分段、監控
• 備份和恢復－資料遺失或損壞後恢復
• 監控－偵測並應對事件

資料安全保護資產。沒有資料安全，資料就會成為潛在的隱憂。