找钥匙 你是哪个路灯下找钥匙的醉汉吗？

故事剧本

醉汉在路灯下不停地转来转去，寻找着什么。一个路过的警察问他丢了什么。他说他丢了家里的钥匙。

警察一起帮他找到的，但是搜了好几次都没找到。

警察问:“你的钥匙丢在哪里了？”

醉汉回答说:“我离开家的时候发现钥匙丢了。”。

警察大怒，说:“那你为什么看这里？”

酒鬼振振有词地说:“因为这里只有光！”

从数据安全级别进行解释

“醉汉在路灯下找钥匙”的故事，是人们遇到问题时的常规反应。这就是路灯的效果。我们需要找到一个问题的答案，这里有光，所以我们的思维局限在这里。

如今，各大企业或机构的数据泄露事件频繁发生。企业或机构在处理这类网络安全事件时，大多像“醉鬼”在灯下找钥匙:在有灯的地方(明显的坐标)寻找答案，即使地方不对。典型的表现是企业或机构通常专注于输入指标(如网络中的恶意软件和系统漏洞)，而对网络技术以外的输出指标或内容视而不见。

当发生数据泄露时，企业或机构应该有一个衡量指标，这个指标比其他因素更重要，但容易被忽视/忽略；您的敏感数据是否从您的系统或网络泄露给了恶意攻击者(或黑客)？

这是非常值得反思的。考虑到现实环境中，各行业的企业或机构在收集数据时往往会“违反”基本安全规定，像一条贪吃的蛇，试图吞下一只名叫“大数据”的大象。众所周知，这样做也会给自己带来数据泄露的威胁。安全行业对“数据泄露”的普遍解读是，别有用心的攻击者突破企业的网络防线，窃取企业的敏感数据。但实际上，“数据泄露”只是将企业置于危险境地或困境的结果，甚至有时候，企业会跳进自己挖的坑里。

在这里，我想举一个我最近遇到的真实案例。我被要求在假期旅行前预订酒店时提供信用卡信息。在处理流程中有一个不太明显的用户协议，其中有一条声明，该信息将被同步到第三方公司。作为一个在安全行业工作多年的专业人士，我非常了解PCI-DSS(支付卡行业数据安全标准)的相关规范。以这种方式分享敏感信息，明显违反了PCI-DSS标准，所以我就不再订酒店了。如果企业习惯于在实践中忽视数据安全标准，很可能会使公司或个人处于危险之中。因此，行业内的安全专家强调，对于一个组织来说，培训员工知道如何保存或管理可能被滥用的敏感数据是非常重要的。

近年来，企业高管因数据泄露而引咎辞职的情况屡见不鲜。不仅是信息泄露的直接受害者，还涉及到企业的CEO、CIO、CIO。还会侵害大股东利益，甚至产生地缘政治后果。

为了防止数据泄漏的发生，建议企业在传统的网络安全意识培训之外，扩大安全意识的培训范围，积极培养员工的数据安全意识，以“输出”指标为重点，明确企业最有价值数据的确切位置及其可能的泄漏途径。人们通常对自己所拥有的数据不够了解和思考，很难区分哪些是敏感的，哪些是良性的。

解决实际问题时，首先要知道钥匙丢在哪里，而不是在错误的地方寻找答案。