数据安全治理思路（如何让数据安全落地）

来源：公众号“重庆信通设计院 天空实验室”，现在小编就来说说关于数据安全治理思路?下面内容希望能帮助到你，我们来一起看看吧!

数据安全治理思路

来源：公众号“重庆信通设计院 天空实验室”

本 期 摘 要

“数据安全法”已于2021年9月开始实施，全社会各单位都必须满足法律、监管要求，但如何保障数据安全，涉及哪些相关方面，重庆信通设计院 数据安全专家为您答疑解惑。

背景与需求

随着社会数字化发展的广度和深度不断扩展，数据安全的重要性已经成为全社会的共识，2021年6月10日，“数据安全法”由人大常委会正式通过，自2021年9月1日起开始施行。

虽然有了法律依据，但现实状况还难以保障数据安全，存在多方面风险：

1、现有系统平台，难以达到《数据安全法》 《个人信息保护法》对数据安全风险监控要求，存在合规风险；

2、缺乏数据安全统一监控预警分析技术手段，导致敏感数据的违规访问、异常操作等难以实质落地，存在监管风险；

3、国家网信部门、工信部、公安部等对数据安全监控、脱敏、数据防泄漏等提出技术要求，企业现有手段无法满足，存在考核风险。

为应对合规、监管、考核等风险，我们需要一个工具，这个工具：

• 可以帮助我们统一监管数据安全态势；
• 可以把一个个数据孤岛互联互通；
• 可以把安全责任落实到人；
• 可以解决网络、终端、数据库等各种场景的数据安全问题等等。

思路与策略

承建某千亿级大型运营商等数据安全综合治理平台的重庆信通设计院 数据安全专家指出，数据安全的实现，需要建立一个立体安全防护体系，在数据流动下进行安全管控，对关键节点进行安全监测和防护，并对数据安全风险进行及时预警和通报，形成“多维联动、立体防护”的数据安全管控体系。

以数据安全治理平台为基础工具，建立基于业务流转的数据安全管控措施，保障数据来源清晰、流向合规、使用正当，实现从数据归集、存储、交换、利用到销毁的数据全生命周期安全监控。

专家进一步指出，随着大量数字技术的逐渐成熟，以往难以实现的功能逐步落地：

比如，利用机器学习、自然语言处理等技术，可以实现敏感数据识别、数据分类分级、数据脱敏、接口异常检测、审计监测预警、联动分析预警等数据安全能力；

利用隐私计算、区块链、数字签名等技术可以构建安全多方可信度计算平台，在调试环境使用脱敏后的数据训练模型，在执行环境数据全程加密运行，原始数据不出平台，确保敏感数据“可用不可见、可用不可取”，有效促进数据的开发利用。

重庆信通设计院 数据安全专家强调，数据安全治理是一个长期、循序渐进的过程，不可能一蹴而就。

在数据安全治理平台建设前期，我们应该对客户情况做深度调研，具体分析能力建设需求，详细梳理并形成清单。依据各项能力需求的轻重缓急，形成基础能力和增强能力等需求分类，分期建设，优先实现基础能力，后续再不断演进。

平台初期能力建设

以某大型数据运营商为例，根据其业务、系统、监管要求等相关特点，制定定制化解决方案。经过调研后的详细梳理，前期工程将完成一大平台、五大基础功能建设：

• 数据安全治理平台
• 数据资产统一管理
• 数据终端防泄露统一管理
• 数据库审计统一管理
• 数据流量接口统一管理
• 数据脱敏统一管理

其中有六大亮点：

• 数据资产全生命周期梳理
• 基于时空安全事件关联分析
• 安全策略统一下发管理
• 安全产品联动管控
• 完整闭环管控能力
• 可拓展开发式安全平台

数据资产 管理方面

数据资产主动识别

系统支持对结构化、半结构化和非结构化中包含的数据采用关键字、正则表达式、字段名匹配、表名匹配、机器学习、自然语言识别等多种算法进行主动识别。

数据资产分类分级

系统支持用户自定义分类分级规则，也支持用户导入分类分级规则。系统自动对数据资产数据进行分类分级打标。

数据资产多维展示

系统支持对数据资产基于资产类别、资产级别、数据源维度、用户终端维度、数据资产属性等多维度进行展示和统计，并且自动生成和导出数据资产列表。

终端数据 防泄露方面

发现清理

对本地存储的各类文档进行全盘/增量扫描，可发现违规存储的各类涉敏数据，记录日志，并及时对其清理。

外设管控

对计算机通过外设发送及其发送的内容进行监控，支持USB存储、光驱、串口、蓝牙、网卡、红外、打印、1394接口等。

水印管理

支持屏幕水印、打印水印、窗口水印，拍照、截屏、打印可溯源外泄的敏感文件。

网络传输管控

支持对通过终端网页、IM、FTP、邮件、文件共享、P2P、远程传输等手段，外发敏感信息进行管控和审批。

异常行为监控

比如监控终端电脑切换登录用户、安装多个操作系统、开启远程桌面等异常行为。

智能加解密

将深度内容识别与透明加解密技术结合，有效融合两者的优点，可为用户提供灵活的解决方案。

数据访问审计方面

（存储数据防泄露）

单/双向审计

支持对数据库的访问行为进行全方面的监控，实现对数据库往来信息的全面记录，既能记录操作者对数据库的访问行为，又能解析数据库的返回内容，并记录等。

三层审计

可以准确的记录到用户在WEB端的操作行为，结合数据库层的SQL信息，进行精密而准确的分析，最终实现WEB端用户行为和数据库行为的有效关联，从而提供包含Web端用户名、URL和SQL语句等信息的完整审计记录 。

丰富的风险模型

系统内置大量的风险识别模型，例如：用户异常行为分析模型、用户高危操作识别模型、SQL注入判别模型、漏洞攻击识别模型、口令攻击识别模型等，可以帮助用户快速精准的识别异常访问。

高性能审计

• 连续处理能力: 10万以上SQL/s；
• 日志检索速度：1亿条记录，带通配符模糊检索，< 30s；
• 日志存储能力：30亿~100亿SQL/TB。

数据访问审计方面

（网络数据防泄露）

网络协议解析

• 支持HTTP、HTTPS、SMTP、SMTPS、POP3、IMAP、FTP 、FTPS等主流协议解析及还原；
• 支持邮件细粒度解析（收发件人、主题、正文、附件、标头等）；
• 提供邮件审批功能

网络风险分析

实时获取敏感数据的查询、下载、网络外发等各类行为特征，对敏感数据获取行为，大批量、非工作时间以及点滴式持续异常获取敏感数据等行为进行关联检测与预警，及时发现数据泄露风险。

用户异常行为监控

针对应用服务器，基于用户访问内容进行用户行为审计（HTTP/HTTPS 协议），包括用户数据过量访问、用户点滴下载/浏览客户数据、用户异常登录、非工作时间违规访问客户数据等情况。

数据流向动态展示

• 实时动态展示敏感数据流向地图，按照数据的分类、分级属性进行统计；
• 支持按部门和业务对网络传输敏感数据进行统计；
• 支持按协议类型对网络传输敏感数据进行统计

数据接口 管理方面

零信任安全访问架构

系统基于“持续验证，永不信任”，默认不信任企业网络内外的任何人、设备和系统，基于身份认证和授权重新构建访问控制的信任基础，从而确保身份可信、设备可信、应用可信和链路可信。确保接口访问的安全性。

综合风险识别模型

系统支持基于用户属性的访问控制（ABAC）模型，从用户属性、设备属性、访问资源属性、环境属性以及操作属性等多维度进行用户访问风险的识别评判，综合得出用户访问的风险级别。

灵活的响应设置

针对系统对接口访问识别出来的风险级别，系统支持对不同的风险级别和接口设置不同的响应设置行为，例如：阻断，审计，脱敏等行为。

精准内容识别

• 内置中文自然语言处理技术、中文分词、语义分析等能力，提升识别准确度；
• 预置数十种数据识别模型（如个人隐私信息、标密文件、政府公文、行业数据模型等）

敏感数据 脱敏方面

基于分类分级智能脱敏

系统脱敏规则依据数据资产分类结果自动匹配需要脱敏的数据内容类别，依据数据资产分级结果自动匹配需要脱敏数据的脱敏算法，依据分类分级管理确保敏感数据共享制定有效进行。

脱敏数据可追溯

系统特有的数据子集功能可以针对不同的共享用户采用不同的数据子集进行脱敏，脱敏后的数据可以用以监控和追溯，确保数据泄露有据可查。

数据高效仿真脱敏

系统内置大量仿真脱敏算法，脱敏后的数据具备以下特征：

• 高度仿真
• 保持数据关联性
• 保持数据的唯一性
• 保证数据的完整性

强大的数据脱敏算法

系统内置以下数据算法模型：

数据仿真、数据遮蔽 、随机字符串、重置固定值HASH(加密）、列关联 、纵向乱序 、关联列计算 、字典映射、随机映射 等等

平台后续演进

在客户总体需求规划思路下，通过数据安全分析建模，对获取的安全事件、操作日志和数据资产进行关联分析，新增关联分析、数据安全态势等功能模块。相关功能要点如下：

关联分析：

• 安全风险情报集中共享
• 安全风险分析智能预警
• 安全事件一键追踪溯源
• 安全事件深度分析挖掘
• 用户行为建模深度分析

安全态势

• 评判安全情况
• 预测安全风险
• 挖掘安全漏洞

数据安全的可持续化

数据安全的实现除了依靠强有力的技术手段，还需要一体化的安全服务。

平台建设前期，全面、科学、合理的咨询设计是开展安全保障建设的必要措施，包括对合规要求的对标梳理，对业务需求的收集汇总，对应用场景的有效划分，对数据资产的分类分级，对存在的风险的分析总结等。

平台建成之后，全天候、全方位、全路径的安全运营是安全防护建设持续发力的保障，安全策略执行、数据安全监测、日常监督检查、合规性安全评估、数据安全培训、应急演练和处置、重大专项保障、数据合作管理等运营服务将对数据安全持续赋能。

常态化数据安全保障支撑贯穿于数据采集、传输、存储、使用、共享、销毁全数据生命周期，需要依据各行业安全需求和面临的风险不同，聚焦客户特性需求，定制解决方案，提供个性化服务。

结 束 语

数据安全的实现并非仅靠技术手段能力建设而一劳永逸，同时需要一支专业、专注、专家的安全团队进行常态化的安全保障支撑服务，以实现数据安全的可持续化。

以需求为导向，合规为牵引，安全工具和安全服务的结合，使数据安全可见、可及、可控，助推数字安全生态共同体的实现，夯实未来数字世界的安全底座！

重庆信通设计院 数据安全中心

出 品

,