privacy

• effective data handling processes
• he role of encryption and hashing in safeguarding information
• the standard access controls that companies use to authorize and authenticate users.

安全控制

安全控制的定義：

安全控制是旨在減少特定安全風險的保護措施，使用於防止信息被盜取或曝光。

安全控制類型 Security controls types

technical, operational, and managerial.

One of the most common controls is the principle of least privilege,PoLP or least privilege

最小權限原則 (Principle of Least Privilege)

實施最小特權原則能大幅降低數據洩露等昂貴事件的風險

• 通過限制對敏感信息的訪問Limiting access to sensitive information
• 減少意外數據修改或丟失的機會Reducing the chances of accidental data modification, tampering, or loss
• 支持系統監控和管理等方式來實現。Supporting system monitoring and administration

確定訪問權限和授權要素要先確定最低特權

• Who is the user?
• How much access do they need to a specific resource?

設定用戶帳戶類型：

Guest accounts：外部用戶的帳號。
User accounts：根據工作職責分配給員工的帳號。
Service accounts：應用或軟件的帳號。
Privileged accounts：具備提升權限或管理訪問。

三種常見的審計方法：

Usage audits：檢查各帳戶訪問的資源及用戶行為。
Privilege audits：評估用戶角色與其訪問的資源是否一致，防止權限膨脹（privilege creep）。
Account change audits：檢查帳戶更改記錄，以確保更改由授權用戶進行。

數據生命周期 (Data Lifecycle)

• 數據的三種狀態：靜態 (At Rest)、使用中 (In Use)、傳輸中 (In Transit)。
• 數據生命周期包含五個階段：
  • 收集 (Collect)
  • 儲存 (Store)
  • 使用 (Use)
  • 存檔 (Archive)
  • 銷毀 (Destroy)

數據治理 (Data Governance)

• 定義如何管理信息的過程/規則 a set of processes that define how an organization manages information.

怎麼管理？用「班級規則」比喻

📖 統一格式：所有人用藍筆寫、答案寫在格子裡 → 確保資料「整齊一致」
🔒 權限管控：只有班長能修改答案 → 防止「亂改資料」
👀 定期檢查：老師每週檢查筆記 → 確保資料「正確可信」
🚫 隱私保護：禁止寫同學的個人秘密 → 保護「敏感資訊」

現實中的例子

社群軟體：為什麼不能隨便公開別人的照片？→ 數據治理的「隱私規則」
線上遊戲：為什麼駭客偷帳號會被懲罰？→ 數據治理的「安全防護」
學校系統：為什麼老師能看全班成績，學生只能看自己的？→ 數據治理的「權限管理」

主要角色：

數據保護 (Protecting Data)

• 數據治理政策規範如何管理數據。
• 安全專業人員在數據治理中扮演重要角色。

法律保護的信息 (Legally Protected Information)

• 包括個人可識別信息 (Personally Identifiable Information, PII) 和受保護的健康信息 (Protected Health Information, PHI)。
• 對於敏感個人信息 (Sensitive PII, SPII) 要採取嚴格的處理指導原則。

Information privacy: Regulations and compliance

資訊隱私：法規和合規性:

• 安全性與隱私密切相關，個人有權控制其資料的收集和使用。
• 組織需負責保護所收集的資訊不被濫用或泄露

資訊安全 (InfoSec) vs. 資訊隱私 (Privacy)

隱私在安全中的重要性

• 隨著科技發展，資料的收集與使用引發了許多隱私問題。
• 法規尚不健全時，資料保護措施往往不一致。

重要隱私法規

安全評估和審計

• 安全審計security audit：檢查review組織的安全控制與程序符合預期標準。
• 安全評估security assessment：check檢查當前安全實施對威脅的抵禦能力。
• 兩者是確保組織合規與資料保護的重要方式。