蔣太軍

摘要：大數(shù)據(jù)應用廣泛意味著潛在安全風險系數(shù)的提升，也為安全稽查工作提出更高要求，風險評估過程需要精準到位。本文以大數(shù)據(jù)環(huán)境為背景，首先分析了安全稽查的重要性和存在的問題，探討風險評估的要求，隨后分析一種服務于安全風險評估的系統(tǒng)。

關鍵詞：大數(shù)據(jù);安全稽查;風險評估

引言：在大數(shù)據(jù)成為各行業(yè)重要資源的背景下，加強配套安全稽查力度至關重要;通過稽查工作及時排查大數(shù)據(jù)風險，保證大數(shù)據(jù)環(huán)境安全穩(wěn)定。因此有必要分析一種評估系統(tǒng)，加強對大數(shù)據(jù)風險的稽查評估能力。

一、安全稽查與風險評估分析

1.安全稽查分析。針對大數(shù)據(jù)環(huán)境的安全稽查，需要掌握精度、實時性等多方面的要求，不僅要精準落實數(shù)據(jù)稽查任務，稽查結果也要反映及時。由于各類平臺數(shù)據(jù)資產(chǎn)類型較多，安全稽查前需要對各類數(shù)據(jù)資產(chǎn)進行分類，并根據(jù)分類結果創(chuàng)建接口，保證接口與分類的對應性。數(shù)據(jù)虛擬資產(chǎn)可能應用在存儲、調(diào)度、傳輸、安全等多個領域，安全稽查設計要考慮組件資產(chǎn)的各種類型。關于集群環(huán)境資源，主要涉及到基礎與安全設備兩種類型，進一步細分為CPU、內(nèi)存、防火墻等多種資源。因此大數(shù)據(jù)安全稽查面對的數(shù)據(jù)資產(chǎn)類型非常復雜，根據(jù)全部類型數(shù)據(jù)資產(chǎn)建立統(tǒng)一稽查藍圖，實現(xiàn)安全稽查的統(tǒng)籌效應。

2.風險評估分析。現(xiàn)行大數(shù)據(jù)風險評估機制存在實時性不足、響應能力偏弱的弊端，風險評估的依據(jù)一般是后臺日志文件、風險告警記錄等內(nèi)容，風險評估過程側(cè)重于數(shù)據(jù)平臺整體，仍然呈現(xiàn)出事后評價的特征，有可能延誤最佳風險處理時機。在確定風險評估檢測屬性的前提下，設置每個屬性的正常閾值區(qū)間，為執(zhí)行基線評估模型提供依據(jù)。按照基線評估模型反饋的結果，提升安全風險檢測的主動性，對大數(shù)據(jù)平臺中所有組件和屬性進行檢測，根據(jù)檢測結果生成風險報告并給出整改建議。對大數(shù)據(jù)平臺組件安全性的評價更加全面，覆蓋運行和防護兩個方面，最大限度發(fā)現(xiàn)平臺組件中存在的安全問題和漏洞。因此在風險評估分析中著重發(fā)揮專業(yè)評估模型的作用，將稽查結果和組件風險評估結果綜合使用;結合大數(shù)據(jù)平臺風險防范的通用標準體系，確定每一類結果的影響和分量，保證風險評估結果的代表性，為制定安全風險等級、擬定安全風險整改方案提供較高參考價值的依據(jù)。

二、系統(tǒng)設計思路

1.平臺對接層。該層次實現(xiàn)系統(tǒng)與大數(shù)據(jù)平臺的對接效果，平臺對接層中提供了數(shù)據(jù)對接需要使用的接口和模板，充分適應當前主流數(shù)據(jù)資源格式以及數(shù)據(jù)資產(chǎn)的采集過程。在平臺對接層中內(nèi)置多套資源模板，盡可能適應更多數(shù)據(jù)平臺的對接場景。

2.數(shù)據(jù)采集管理層。該層次實現(xiàn)大數(shù)據(jù)環(huán)境內(nèi)平臺的檢測和接入功能，對接入到本平臺的大數(shù)據(jù)平臺進行自動檢測，掌握接入平臺的數(shù)據(jù)資產(chǎn)變動狀況，實現(xiàn)平臺數(shù)據(jù)資產(chǎn)管理效果。本系統(tǒng)實現(xiàn)資產(chǎn)數(shù)據(jù)接口的統(tǒng)一效應，對接入平臺的數(shù)據(jù)按照接口標準處理，確保數(shù)據(jù)按照統(tǒng)一標準保存在系統(tǒng)數(shù)據(jù)庫中，為評估數(shù)據(jù)資產(chǎn)的安全風險狀況奠定基礎。因此安全稽查層包括數(shù)據(jù)資產(chǎn)的發(fā)現(xiàn)、導入、變更管理、模板管理等環(huán)節(jié)。

3.安全稽查層。負責數(shù)據(jù)資產(chǎn)的安全稽查任務，系統(tǒng)內(nèi)置數(shù)據(jù)稽查引擎，針對接入系統(tǒng)的平臺數(shù)據(jù)信息進行全面安全稽查。借助安全稽查層建立數(shù)據(jù)安全稽查方案，確保數(shù)據(jù)資產(chǎn)稽查過程的體系化效應。通過安全稽查層實現(xiàn)稽查方案自動生成效果，執(zhí)行數(shù)據(jù)資產(chǎn)稽查任務時，按照稽查方案中的步驟。安全稽查方案中包括需要稽查的數(shù)據(jù)資產(chǎn)信息、身份以及數(shù)據(jù)規(guī)模，確定數(shù)據(jù)資產(chǎn)的狀態(tài)變更風險。借助安全稽查層還能夠完成安全防護能力的驗證任務，驗證過程具有全面性的特征，涉及到認證、加密、脫敏等多個環(huán)節(jié)，綜合評價系統(tǒng)的安全稽查能力。資產(chǎn)安全稽查負責對組件資產(chǎn)、物理資產(chǎn)的身份與狀態(tài)稽查，以及對安全設備的身份、狀態(tài)稽查;安全能力稽查負責對授權、加密、脫敏以及其他安全能力的稽查。

4.風險評估層。系統(tǒng)風險評估體系中包含基線掃描與驗證、安全評估等多個環(huán)節(jié)，提供風險評估過程使用的模板。針對接入數(shù)據(jù)進行安全稽查后，根據(jù)反饋的安全稽查結果形成基線掃描過程中需要使用的模板，將模板與數(shù)據(jù)稽查引擎相結合，形成基線掃描任務;執(zhí)行基線掃描任務就可以對系統(tǒng)組件進行全面掃描，通過掃描能夠確定組件的性能特征，驗證組件是否健壯安全。風險評估過程結合大數(shù)據(jù)技術，風險評估系統(tǒng)正常運行的關鍵在于大數(shù)據(jù)組件的狀態(tài)，及時檢出大數(shù)據(jù)組件可能存在的風險。組件評估與風險評估結果有關，影響評估結果的另外兩個因素則是安全稽查層中涉及到的數(shù)據(jù)資產(chǎn)和安全防護能力的稽查結果，針對三個數(shù)據(jù)結果合理分配權重，計算風險評估最終結果，評價接入平臺存在的安全風險?；€掃描包括手動和定時兩種方式，提供的評估模板包括安全性與合規(guī)性模板，也可以根據(jù)需求定制模板，安全性評估包括非合規(guī)項風險等級計算、組件風險等級評估等環(huán)節(jié)，

5.數(shù)據(jù)應用層。安全風險評估的最終結果需要體現(xiàn)在系統(tǒng)界面，通過數(shù)據(jù)應用層實現(xiàn)評估結果的展示效果。分析評估結果以多種形式通過系統(tǒng)界面展示，為控制大數(shù)據(jù)環(huán)境風險給出依據(jù)。數(shù)據(jù)應用層實現(xiàn)了風險監(jiān)控機制，針對監(jiān)控到的平臺風險發(fā)出警報，提醒用戶及時應對平臺風險。

結束語：安全風險評估系統(tǒng)的應用，顯著提升安全稽查過程的主動性，并為風險評估過程提供有效依據(jù)，更好地排查預防大數(shù)據(jù)環(huán)境的隱患因素。通過對數(shù)據(jù)風險的主動精準防控，確保大數(shù)據(jù)平臺的整體安全性。

參考文獻

[1]馬英. 大數(shù)據(jù)時代的數(shù)據(jù)資產(chǎn)保護[J]. 數(shù)據(jù)通信，2021，（04）：37-41.

[2]楊銳，公偉，王曙光，張明狀，劉金琳. 數(shù)據(jù)安全和隱私保護標準體系研究初探[J]. 大眾標準化，2021，（16）：1-3.

[3]王偉潔，周千荷. 國外數(shù)據(jù)安全保護的最新進展、特點及啟示[J]. 科技中國，2021，（07）：34-36.

[4]卜云，高傳海，李文芳，徐偉剛，周全. 大數(shù)據(jù)架構下電力系統(tǒng)風險評估[J]. 電網(wǎng)與清潔能源，2021，37（01）：77-83.

[5]王靜宇，劉思睿. 大數(shù)據(jù)風險訪問控制研究進展[J]. 計算機科學，2020，47（07）：56-65.