客戶數據隱私：保護您的業務的 10 個不可協商的最佳實踐

2020 年 7 月，一名黑客訪問了 Twitter 的內部工具，奪取了埃隆·馬斯克、比爾·蓋茨、巴拉克·奧巴馬和傑夫·貝佐斯等 130 個知名推特賬戶，以實施“雙倍比特幣”騙局。

數以千計的 Twitter 用戶上當受騙，在短短幾個小時內，黑客竊取了價值超過 118,000 美元的比特幣。 從那時起，數以千計的組織遭到破壞，從蘋果和 Facebook 等大型跨國公司到大學、酒店、醫院、政府部門，甚至教堂和籌款網站。

事實上，任何收集、處理或存儲客戶數據的組織都面臨數據洩露的風險——包括您的組織。 這就是您必須立即採取行動保護這些數據的原因。 本文將向您展示如何操作。

目錄

• 數據隱私的重要性
• 要了解的數據隱私法規和標準
• 數據隱私和數據安全的最大威脅
• 保護客戶數據的 10 大最佳實踐

數據隱私的重要性

數據隱私措施和控制有三個主要目標：保護信息的機密性和完整性，建立客戶信任，以及遵守數據隱私法。 未能實施這些控制措施可能會導致違規，從而對個人和組織造成嚴重後果。

對個人的影響

數據被盜的個人可能成為身份盜用或欺詐的受害者。 黑客可能會使用竊取的數據冒充受害者並開設信用額度、申請貸款等。

敏感或私人數據的丟失也可能導致受害者面臨羞辱、歧視、經濟損失或心理傷害。 嚴重時，他們的健康、生命或家庭可能受到威脅。

對組織的影響

數據洩露也會對組織造成傷害，尤其是在財務上。 據 IBM 稱，到 2022 年，違規的平均成本已上升至 435 萬美元。違規成本可能包括攻擊者的贖金要求，以及與違規補救和取證調查相關的“清理成本”。 監管罰款和訴訟也可能增加成本。

違規行為還會損害公司的聲譽、客戶認知度和股票價格。 它可能會失去客戶的信任並難以履行其合同義務，這可能會影響其業務關係和利潤。

要了解的數據隱私法規和標準

近年來發生了一連串數據洩露事件後，許多政府實施了數據隱私法。 這些法律規定了組織如何收集、處理、存儲和丟棄消費者數據。 它們旨在保護消費者數據隱私並保護消費者免受數據洩露的破壞性影響。

通用數據保護條例

GDPR 適用於在任何國家/地區運營並收集歐盟居民信息的任何公司。 它管理公司如何收集、使用、傳輸和保護這些數據。 不遵守法律的組織可能被罰款 20+ 百萬美元或全球總營業額的 4%。

美國數據隱私法

美國沒有單一的聯邦數據隱私法。 相反，許多特定於行業或州的法律規定了組織如何收集、處理或使用消費者數據。 例如，健康保險流通與會計法案 (HIPAA) 旨在維護受保護健康信息 (PHI) 的隱私。 同樣，《加州消費者隱私法》(CCPA) 控制實體如何收集加州居民的個人信息。

圖片來源

行業特定的隱私標準

一些行業機構制定了適用於某些行業組織的隱私標準。 一個例子是 PCI-DSS，它適用於全球所有收集消費者信用卡信息的商家。 儘管該標準未由任何政府強制執行，但由於商家與信用卡公司的合同關係，商家必須遵守該標準。 目標是確保企業實施必要的保護措施來保護持卡人數據並防止信用卡欺詐。

在科技和廣告行業，近年來我們看到了以隱私為名的許多變化。 例如，Google 降低了對搜索詞報告的可見性，而 Facebook 強制要求聚合事件測量。

數據隱私和安​​全的最大威脅

數據隱私涉及控制數據的收集、共享和使用方式，而數據安全涉及保護數據免受外部攻擊者和惡意內部人員的侵害。 儘管存在這些差異，但這些想法之間存在一些重疊。 此外，還有許多威脅會影響數據隱私和安​​全。

網絡釣魚詐騙

在網絡釣魚詐騙中，攻擊者發送看似來自可信來源的電子郵件。 該電子郵件可能包含惡意鏈接或惡意附件。 當用戶點擊鏈接時，他們將被帶到一個網站，在那裡他們將被要求提供他們的私人信息。

然後，攻擊者會竊取此信息，從而造成破壞。 如果用戶打開附件，攻擊者可能會破壞他們的設備。 他們還可能獲得對企業網絡上其他資源的訪問權限並造成廣泛破壞。 因此，確保您投資於適合您企業的反網絡釣魚解決方案非常重要。

圖片來源

惡意軟件和勒索軟件

惡意軟件和勒索軟件是對數據安全和隱私的巨大威脅。 在勒索軟件攻擊中，攻擊者用加密系統並鎖定用戶的惡意軟件感染公司設備。 為了換取解密密鑰，犯罪分子向該組織索要巨額贖金。 許多勒索軟件可以在整個網絡中傳播並洩露大量數據。

內部威脅

內部威脅是對數據隱私的另一個嚴重威脅。 自 2020 年以來，內幕事件的發生頻率增加了 44%，每起事件的成本增加到 1538 萬美元。

一些威脅來自惡意或受損的內部人員，例如員工或第三方供應商。 其他人則來自網絡安全衛生狀況不佳的非惡意或粗心的內部人員。 例如，一個用戶可能會與同事分享他們的密碼，而另一個用戶可能會將敏感數據存儲在公共文件夾中。 此類錯誤可能導致意外的數據洩漏或暴露。

軟件漏洞

設備和應用程序中的安全漏洞為網絡犯罪分子打開了大門。 許多攻擊者利用這些漏洞來攻擊組織並洩露或破壞客戶數據。

保護客戶數據隱私的 10 大最佳實踐

以下是保護您寶貴的客戶數據免受網絡攻擊者和黑客攻擊的十種方法。

1. 知道你在收集什麼數據

只有知道數據是什麼以及存儲在哪裡，才能保護數據。 了解您從客戶那裡收集的數據類型、使用方式以及使用對象。 您還應該知道數據的敏感程度、存儲位置以及共享時間。

進行數據審計以識別整個企業的數據。 然後根據敏感性、用例和可訪問性需求對每種數據類型進行分類。 最後，準備數據清單以了解需要保護哪些數據以及哪些合規性法律適用於您的組織。

圖片來源

以下是一些需要考慮的數據分類：

• 公共數據：新聞稿、使命聲明、目錄列表信息。
• 內部數據：工作時間表、預算、項目計劃、業務流程、戰略、營銷數據。
• 機密數據：個人信息、受保護的健康信息、人事記錄、財務信息。
• 受限數據：密碼、合併/收購計劃、知識產權。

2. 只收集必要的信息

您可以通過收集有限數量的個人數據來最大程度地減少數據洩露的潛在損害。 僅收集您的業務實現特定目標所需的私人或敏感數據，例如，改善客戶體驗和保留率。

要評估哪些數據是必不可少的，請定期進行數據審核。 然後評估您是否真的需要該數據。 如果沒有，請停止收集它。 這樣，您可以降低發生違規時造成損失的可能性。

3. 創建並發布透明的數據使用和隱私政策

定義並實施明確的數據隱私政策，並將其傳達給所有利益相關者。 該策略應指定允許誰訪問數據以及如何訪問數據。 它還應該清楚地說明數據應該如何使用和不應該如何使用。

此外，在您的企業網站上為客戶發布隱私政策。 該政策應說明貴公司如何收集、存儲、使用和保護客戶數據。 如果您對政策進行了更改，請確保讓客戶了解情況。

4.加密所有敏感的用戶數據

未加密、存儲不當的數據為黑客提供了攻擊組織的理由。 加密您的所有數據，包括傳輸中的和靜態的。 使用 256 鍵位長度加密來保護電子郵件中的數據，並使用文件級加密來保護系統和服務器上的數據。

此外，定期進行數據備份並將備份存儲在安全位置。 這樣，即使您成為勒索軟件等網絡攻擊的目標，​​您仍然可以訪問數據。 此外，您不必支付贖金。

圖片來源

5. 防範網絡釣魚詐騙

為降低因網絡釣魚攻擊造成損失的風險，請在整個組織中實施垃圾郵件過濾器。 還使用自動更新的防病毒和反惡意軟件軟件更新所有設備，以應對新出現的威脅並持續保護數據。

人們在最大限度地減少網絡釣魚攻擊的影響方面發揮著重要作用。 鼓勵員工向適當的人員或部門報告他們遇到的任何電子郵件詐騙。

6.更新所有軟件

黑客利用設備和軟件中的安全漏洞來攻擊組織並破壞客戶數據。 軟件供應商通常會在檢測到其產品中的漏洞後發布補丁。 實施這些補丁以使您的軟件保持最新狀態並保護您的客戶數據。

7.實施多因素認證

多重身份驗證 (MFA) 為企業帳戶和數據提供更強大的保護。 MFA 需要額外的身份驗證因素，而不僅僅是密碼。 因此，即使黑客竊取了授權用戶的密碼，他們仍然需要第二個因素才能登錄企業帳戶。 通常，此因素仍由授權用戶控制，因此黑客很難破壞或竊取它。

圖片來源

8. 對人們進行網絡安全實踐培訓

網絡安全教育對於消除網絡安全中與人相關的弱點至關重要。 對您的員工進行網絡安全最佳實踐方面的教育。 訓練他們識別網絡釣魚攻擊的跡像以及如何避免社交工程詐騙。

解釋強密碼和 MFA 的重要性。 此外，向他們展示為什麼他們不應使用公共 Wi-Fi 網絡工作並始終遵守組織的安全和隱私政策。

9.限制對數據的訪問

在需要知道的基礎上限制對數據的訪問可以最大限度地減少對數據的內部威脅。 盡可能實施最小權限原則 (PoLP)，以便用戶只能訪問或編輯他們角色所需的數據。 使用身份和訪問管理 (IAM) 工具管理訪問級別和權限。

10.實施全面的數據保護基礎設施

為了保護客戶數據並避免洩露，您需要一個包含所有這些工具的綜合安全基礎設施：

• 防病毒和反惡意軟件
• 反廣告軟件和反間諜軟件
• 下一代網絡防火牆
• 彈出窗口攔截器
• 端點檢測和響應 (EDR) 工具
• 漏洞掃描器
• 密碼管理器
• 藝術碩士

為這些工具預留預算。 它們將幫助保護您的組織免受數據洩露，並且您將很快收回您的投資。

確保您的業務、客戶和數據安全

近年來，數據洩露的數量和頻率顯著增加。 過去五年的情況尤其糟糕，黑客以許多知名組織為目標，影響了數百萬人。

幸運的是，一切都沒有丟失。 您確實對您收集和使用的數據有一定的控制權。 更重要的是，您可以保護這些數據並防止其落入壞人之手。 通過採用此處分享的想法和最佳實踐，您可以降低公司和客戶面臨的風險。

1. 了解您收集的數據
2. 只收集必要的信息
3. 創建並發布透明的數據使用和隱私政策
4. 加密所有敏感的用戶數據
5. 防範網絡釣魚詐騙
6. 更新所有軟件
7. 實施多重身份驗證
8. 對人們進行網絡安全實踐培訓
9. 限制對數據的訪問
10. 實施全面的數據保護基礎架構

關於作者

Irina Maltseva 是 Aura 的增長主管和 ONSAAS 的創始人。 在過去的七年裡，她一直在幫助 SaaS 公司通過集客營銷來增加收入。 在她之前的公司 Hunter，Irina 幫助 3M 營銷人員建立重要的業務聯繫。 現在，在 Aura，Irina 正在致力於她的使命，為每個人創造一個更安全的互聯網。 要取得聯繫，請在 LinkedIn 上關注她。