从源头打造安全的产品，保障数据安全

风晓 2023-12-30 13:52:41  55001

分类专栏：资讯

无论是进行产品的安全架构设计或评估，还是规划安全技术体系架构的时候，有这样几个需要重点关注的逻辑模块，可以在逻辑上视为安全架构的核心元素。

以应用/产品为例，它们包括：

这5个核心元素，我们将它们称之为安全架构5A（即5个以A开头的单词）。

我们将其进一步扩展：

由此，安全架构5A可用下图来表示：

安全架构的5A方法论将贯穿全书，成为安全架构设计（无论是产品的架构设计，还是安全技术体系的架构设计）、风险评估等安全工作的思维方式（或共同语言）。

其中，资产包括但不限于：

数据：即信息资产，包括结构化数据（数据库、缓存、Key-Value存储系统等）、非结构化数据（文档、图片、音频、视频等），不仅包括存储的数据，也包括使用、传输、流转中的数据。
资源：网络资源、计算资源、存储资源、进程、产品功能、网络服务、系统文件等。

为什么资源也是需要保护的资产呢？让我们来看几个例子：

相关概念：IAM（Identity andAccess Management，身份与访问管理），主要覆盖了安全架构中的身份认证（Authentication）、授权（Authorization）、可审计（Auditable）这三个要素，可称之为3A。

身份认证、授权、访问控制、可审计这4个要素也可称之为4A。

在这几个核心元素中，用户访问资产的主线为：

访问控制的依据是授权，查询授权表或者基于设定的权限规则，拥有访问权限才允许继续访问。

可审计一般是指可供追溯的操作审计记录（操作日志记录等），没有直接体现在上述主线中，但会覆盖到每一个模块：

小结一下，5A，是五个以A开头的单词的简写，是《数据安全架构设计与实战》一书提出的从源头保障一款产品（一般指互联网产品或服务）数据安全的方法。

网站声明：如果转载，请联系本站管理员。否则一切后果自行承担。

赞同 0

评论 0 条