数据的价值体现在数据安全流动性，随着各行业数字化转型建设加速推进，大量数据归集整合和共享流通，使得应用场景复杂，跨域交互频繁，数据结构多样，同时在大数据、云计算、AI等信息技术驱动下，数据的传输共享和关联推理易于实现，也给数据治理和安全防护带来挑战。

1.新兴技术广泛应用，引发新的安全风险

随着云计算、大数据等信息技术的运用和数据中心虚拟化的实现，业务流程趋于整合，应用系统迁移云端，原有安全边界已被突破，传统安全理念和防护技术将被颠覆，加之数据来源多样化，使得数据安全面对更高风险隐患。

2.业务协同要求数据共享流通，同时带来全新安全挑战

在多源跨域业务场景下，传统访问控制技术无法兼顾数据的共享开放和安全流动要求；大数据多路径流转使得安全风险大增，异构网络环境下的数据追踪溯源变得困难。

3.安全管理体系分散，难以形成数据安全监管防护合力

数据作为一种特殊资源，其碎片化和衍生性使传统安全管理策略和制度规范难以适应新场景、新业务的管控要求，传统管控机制缺乏联动，各点安全防护协同独立运行，缺少体系化全覆盖的数据安全监管防护机制。

数字产业的数据与业务高度交织融合，解决数据安全问题很大程度上就是寻求数据开放流通与安全管控之间最佳平衡，数据安全治理成为处理这一矛盾的关键。

面对由新技术、新模式、新场景所频发产生的数据安全事件，强化数据治理，增强安全防护已成业界共识。

//（一）现实问题

在实际数据安全治理中存在以下突出问题：

1. 资产掌握不清：企业用户不知数据存储分布状况，难以厘清数据与业务之间的关系；

2. 数据管控松散：由数据多模多态、缺乏质量管理、缺少相应的法律法规、安全保障机制、数据信任体系和技术手段等原因造成；

3. 价值挖掘困难：企业虽然拥有海量数据，但数据信息与知识体系间尚缺关联，没有业务模型支撑，数据深层价值难以挖掘体现；

4. 安全使用失衡：数据的高效使用与安全合规冲突，缺乏数据安全风险动态监测评估的数据安全持续治理体系。

//（二）应对原则

数据安全治理的关键是让数据安全能力更好地适应业务场景与业务规模，让数据安全成为竞争力而不是成本，使数据安全成为内生需求而非被动合规。因此，在实施中应坚持以下原则：

1.以数据为中心

随着信息化建设不断提升，网络攻击技术也随之演变，在横向移动业务增多，外部未知攻击频繁，内部数据泄露不断的态势下，以网络为边界，以系统为中心的传统安全理念已无法满足数据安全需求。以数据为中心的安全，要求将数据的防窃取、防滥用、防误用作为基准，使得安全边界由网络边界转移至数据资产本身，从而缩小了攻击暴露面，进而对数据对象实施细粒度访问控制。

2.以组织为单位

数据资产化不仅是数据价值的体现，更是对安全责任的明确。数据在网络空间共享流转，在不同业务场景下交易转移，数据安全不取决信息载体，而拥有或使用数据的组织才是承担数据安全责任的主体。建立数据安全治理职能机构，从决策、管理、执行、监督不同层面细化责任、流程及标准，保证数据在该组织内对全生命周期的安全。

图1:数据安全治理职能关系图

图2:数据安全能力成熟度模型

4.以4W1H1D为监管重点

依据数据安全治理框架，构建集中化数据安全管控策略（4W1H1D：WHO-允许谁；Where-在哪种环境下；When什么时候；What对什么信息；How-使用什么方法；Do-做什么操作），依托自动化的监管运营平台提供数据安全智能化运营以及风险的可视化呈现，对数据全生命周期做到“可视化”、“可量化”、“可审计”、“可感知”及“可控制”。      

图3:数据安全治理体系框架图

//（三）解决对策

数据安全治理通过“建组织-先摸底-全管控-重稽核-再优化”实施路径，建立从决策层到技术层，从管理制度到工具支撑，自上而下贯穿整个组织架构的完整链条。

图4:数据安全治理业务逻辑图

面对各类数据安全风险，为减少对业务和数据流动的直接管控，参照Gartner的DCAP（Data-Centric Audit and Protection，以数据为中心的审计和保护）理念，以数据为中心，以合规建设、业务安全、风险控制为驱动，围绕上层建筑、资产梳理、管理控制和技术支撑四个维度展开，构建“发现识别→策略制定→安全防护→响应监控”联动策略，实施动态安全管理和不间断稽核，通过持续优化的闭环运营，实现数据使用效率和安全风险可控的平衡，从而达到数据安全治理的目标。

对于功能实现与技术支撑，数据安全治理的重要阶段包括如下：

//阶段一：数据安全状况梳理

重点实现：

①数据使用对象梳理，掌握数据安全治理中不同受众的分工、权利和职责；

②数据的存储梳理，掌握敏感数据的存储与分布情况；

③数据的使用状况梳理，掌握敏感信息允许被什么业务系统和用户所访问。

技术支撑：

（1）静态梳理

对敏感数据的存储分布状况的摸底，以获取数据库资产清单。对于结构化数据的梳理：

①通过端口扫描和特征发现；

②根据敏感数据的特征以及类、级别的预先定义，对表中的数据进行采样匹配，获得不同的列、表和库中的数据所对应的级别和类别。

对于非结构化数据的梳理，通过磁盘扫描和文档内容扫描，获得文件中敏感信息的类别和级别。

（2）动态梳理

基于对网络流量的扫描，实现对系统中的敏感数据的访问状况的梳理，包括：敏感数据的存储分布、系统访问状况、批量访问状况及访问风险等。

（3）数据状况的可视化呈现

以可视化的形式呈现数据状况，如：敏感数据的访问热度、资产分布、系统的账号和权限图、敏感数据的范围权限图。

（4）数据资产存储系统的安全现状评估

对数据库资产的口令和账户、弱安全策略、权限宽泛、权限提升漏洞、日志、补丁升级等现状进行全面评估，以便提升数据库使用安全系数，降低数据库被黑客攻击风险，并满足政策检测要求。

//阶段二：数据访问管控

重点实现：

①对敏感数据访问的审批；

② 防御数据库非法访问；

③使敏感数据兼顾加密存储、权限控制和快速检索等功能；

④保持业务逻辑后的数据脱敏；

⑤对数据提取分发后的持续管控。

技术支撑：

（1）业务系统访问数据时，阻断一切攻击行为；

（2）数据库运维调整数据时，实施数据库运维管控；

（3）BI分析使用数据时，采取可逆和动态脱敏；

（4）开发测试时使用数据，采取静态脱敏；

（5）面向外界分发数据，使用数据水印；

（6）对内部高权限人员使用的数据，对数据加密存储。

//阶段三：数据安全的稽核和风险发现

重点实现：

①定期对账号和权限变化实施追踪；

②全面的数据访问日志审计；

③对异常行为和潜在风险的及时发现与告警处置。

技术支撑：

（1）行为审计与分析

基于敏感数据、安全策略、数据流转基线等多个维度，对数据的生产流转，数据操作进行监控、审计、分析，及时发现异常数据流向、异常数据操作行为，实现事中告警和事后溯源。

（2）权限变化监控

先对现有账号情况进行梳理，形成账号和权限基线，以合规性为标准，通过扫描技术监控所有账号权限的变化情况（包括账号的增加和减少，权限的提高和降低），抵御外部提权攻击，防止内部人员私自调整账号权限进行违规操作。

（3）异常行为分析

对于异常行为，可以通过两种方式，一种是通过人工的分析完成异常行为的定义；一种是对日常行为进行动态的学习和建模，对于不符合日常建模的行为进行告警。

此外，为能全面掌握全域敏感数据资产的分布、流转、访问情况，并对数据安全实施智能化监管运营，可基于知识图谱技术和集中化数据安全管控策略，实现数据安全智能化运营和可视化风险识别。

在经济市场规律和信息技术应用的双重影响下，加强数据资产的价值挖掘、内容治理及安全运营能力成为各行业竞争关键。数据中台集方法论、工具、组织于一体，是全域级可复用的数据资产中心与数据能力中心，提供清洁、透明、智慧的数据资产与高效、易用的数据能力，使能业务数字化运营，为数据安全治理进阶提供了可行技术路径。为适应数字化转型建设需求，提出安全数据中台，架构设计如下：

图5:安全数据中台架构图

（一）多源数据接入层

（二）安全监管运营层

（三）存储计算层

（四）安全态势呈现层

张旗/中孚信息（北京）研究院

本文作者：中孚信息

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/153724.html