数据（完整性）海盗：防止和检测恶意意图
在最近的数据诚信专业人员会议期间，代表许多行业，包括生命科学，a
本集团成员提出了基本问题：“如何防止或检测恶意意图，因为它与信息的变更和对数据完整性的影响有关？”可以说，这个问题植根于信息安全性，由Singh等人定义得很好。（2014）作为保护“信息及其关键要素，包括系统和硬件”。1然而，这个问题的语气是一种恼怒，因为出席会议的一些人最近感到了由于恶意造成的信息安全事件的挫败和破坏。
预防是困难的，但通常是通过基本的安全控制来实现的，这种控制的健壮性与风险(和监管)相称。犯罪者的技能可能会使侦查变得非常困难。在本文中，我们将介绍一些预防和检测恶意意图的基本建议。虽然这些似乎是显而易见的，但数据事件的原因往往纯粹是未能涵盖信息安全中最基本的元素。
基本控制可以成功预防
我们应该通过同意程序控制永无止于的基本指导原则，开始考虑基本控制。涉及人类的地方，会发生错误。人为错误是信息安全漏洞的全部常见原因。根据荷兰顿（2018年）的说法，“5个数据违规原因中的4个是人类或过程错误。”2但是，一些基本控制提供了第一道防线，可以成功地防止一些信息安全事件和对数据完整性的负面影响。
一位现供职于某知名政府机构的前同事举例说明了预防措施可能产生的积极影响。在发现停在停车场的汽车被撬开后，他发现自己的背包不见了，里面装着他的政府提供的笔记本电脑(以及其他重要的职业和个人物品)。在24小时内，背包和所有物品都被放在了当地警长办公室的停车场，没有任何篡改或损坏的证据。我的前同事和当局的假设是，小偷注意到笔记本电脑上政府机构的清晰标记和标识，惊慌失措，归还了被盗的财物。当然，按照常见的信息安全意识做法，携带笔记本电脑的背包一开始就不应该无人看管地留在停放的汽车中。这里的教训是:(1)标记任何设备或媒体因此，在简单检查时，它们可能很容易识别;（2）遵循共同安全意识培训的课程(大多数政府机构所要求的)已经被证明能够成功地改变用户行为(即使在这种情况下不是)。
另一位同事在共享的在线协作空间上为客户项目完成的个人工作，为成功预防措施提供了进一步的例子。客户端上传了客户特定的文档，项目团队在同一个协作空间(在线文档库)中创建和/或贡献了内容。在线文档库是安全的，只有项目团队成员可以访问。在项目接近尾声时，一个团队成员注意到文档库几乎是空的。知道团队成员有能力删除数据，项目团队负责人检查了系统管理员，发现了所有被删除文件的证据，包括删除文件的人以及删除文件的日期/时间戳。被删除的文件位于一个只有管理员才能访问的区域(类似于“回收站”)，这表明客户端的员工已经删除了所有文件。然而，通过适当设计的安全访问，即使删除的文件也可以由具有回收站访问权限的管理员恢复(普通用户无法访问)。这里的教训是，即使有恶意意图，对基于云的协作空间进行适当设计的安全访问，也可以防止灾难发生，并恢复被删除的文件。
恶意意图检测的挑战
法治总是试图跟上恶意和/或犯罪心理的步伐。在美国，计算机欺诈和滥用法案(CFAA)于1986年颁布，以解决网络安全问题。自那时以来，该法案已被修改了至少6次，试图使其与当代风险和其他现行法律(例如，美国爱国者法案和身份盗窃执法和归还法案)保持一致。
此外，还存在针对个别市场和行业的信息安全问题的具体法规和指南。这些包括(但不限于):联邦法规法典第21篇第11部分、210和211，为FDA管理美国境内的食品和药品;的数据完整性和遵守CGMP（草案）行业指导由FDA出版，该FDA旨在“澄清当前良好的良好制造实践（CGMP）对药物的作用”;这 'GXP的数据完整性指南和定义由药品和保健产品管理局(MHRA)发布;欧洲议会公布的《通用数据保护条例》(GDPR);和良好数据和记录管理规范指引(附件5)由世界卫生组织(世卫组织)药物制剂规格专家委员会出版。
这些法规和指导文件中的一个共同线程是对通常称为“审计跟踪”的要求和定期审查。审计跟踪尤其是在事务软件和系统中，以记录数据的更改。在某些情况下，存在要求在更改数据中记录“之前”和“之后”值。使用适当配置的审计跟踪，管理员应该能够检测，解释，甚至重建在疑似信息安全事件期间发生的活动。通过现代信息技术，用户在系统中或网络连接环境中的大多数内容都以某种方式记录在某种程度上。即使在销毁物理存储器设备之后，也可以通过数字法医学的先进技术来恢复大量数据。
虽然使用审计跟踪是一种善意的方法和/或要求，但具有特殊技术专业知识的足够恶意的用户可能能够忘记审计跟踪，在系统和软件上执行邪恶的活动，同时对系统管理员和数据持续透明保管人。仅通过意识到数据丢失或者在某些情况下，恶意用户可能甚至可以留下“呼叫卡”以获得宣传和/或令人担忧。
在这些情况下，可能需要使用多个更传统的安全元素来构建对事件的完整理解。这些要素可能包括物理安全、个人安全、操作安全、通信安全和/或网络安全(仅举几例)。
从关键操作系统中发现数据丢失（网站或相关系统的详细信息）时，发生了一个这样的示例。数据不仅缺失，而且持有数据和相关审计跟踪的应用程序被完全删除，以便确保无法恢复任何内容的技术能力。在相关连接系统上使用日期/时间签名，系统管理员能够在可能发生恶意事件时识别可能的机会窗口。在活动的可疑时间期间使用其他安全元素创建用户的配置文件，例如：
- 在活动期间能够进入安全区域的人员
- 在事件发生期间能够远程/网络访问受影响系统的人员
- 在活动的可能时间内出现的相关业务
- 活动期间的公用设施记录和数据审计(如公共互联网)。
通过从这些安全要素中收集的间接证据，确定了可能的嫌疑人。当嫌疑人被质问时，他们的行为表明他们确实是删除数据的恶意用户，他们没有承认信息安全事件。最终，数据无法恢复，但肇事者被邀请(并同意)自愿离开公司。
采取双管齐下的方法
简而言之，防止和检测与信息变化和对数据完整性影响有关的恶意意图的最佳方法是:(1)不要低估采取和加强通用基本安全措施的价值;(2)雇佣一名专业人员来完成其他工作。执行适当的政策和程序，使信息安全和数据完整性成为所有流程的组成部分。将其嵌入到企业运营的各个层面的文化结构中。在当今世界，我们都被相互关联的数据和信息安全风险所困扰。没有人能幸免于此，你的公司里也没有人可以免于理解他们对信息安全的责任。以基本的信息安全要素为基础，例如控制自己的公司身份证/徽章，在工作日结束时保护敏感的文件，不要与家人或朋友讨论机密问题。确保您的信息技术资产被清楚地识别和标记(例如，公司资产标签等)，具有强大的基于用户的安全性(例如，系统密码和媒体加密)，并对用户进行安全意识方面的培训，不仅仅是在他们受雇时，而是在整个雇佣过程中。然后，在采取了常见的基本安全措施之后，聘请信息安全专业人员来评估您所做的工作，并积极主动地改进和采取额外的技术措施。
参考：
- 辛格等人，《计算机科学与软件工程高级研究国际期刊》，2014年1月，第1072-1077页(检索自http://ijarcsse.com/before_august_2017/docs/papers/volume_4/1_january2014/v4i1-0528.pdf.）
- (2018年1月30日)。5大数据泄露原因中有4个是人为或过程错误造成的。从检索https://www.itgovernance.co.uk/blog/4-of-the-5-top-causes-of-data-breaches-are-because-of-human-or-process-error/
关于作者:
基普·沃尔夫(Kip Wolf)是Tunnell Consulting的负责人，负责数据完整性业务。Wolf拥有超过25年的管理顾问经验，在此期间，他也曾在一些世界顶级生命科学公司临时担任各种领导职位。沃尔夫在辉瑞合并前曾在惠氏工作，在先灵合并后在默克工作。在这两个案例中，他都领导了业务流程管理(BPM)小组——在惠氏的制造部门和默克的研发部门。在Tunnell，他利用他的产品开发项目管理经验来提高成功的监管备案和产品发布的概率。他还就数据完整性和质量系统的主题进行咨询、教学、演讲和出版。狼可以到达Kip.Wolf@tunnellconsulting.com．