余梁

隨著《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》等多部法律的落地實(shí)施，我國(guó)迎來(lái)數(shù)據(jù)安全和數(shù)據(jù)合規(guī)的新紀(jì)元。數(shù)據(jù)安全和個(gè)人隱私方面的監(jiān)管日益完善，企業(yè)對(duì)此的重視程度不斷提升，數(shù)據(jù)安全與合規(guī)成為了企業(yè)的“必答題”。

席卷全球的新冠疫情已經(jīng)到了“春天就在前方”的階段。但是即使進(jìn)入后疫情時(shí)代，企業(yè)的辦公和協(xié)作方式也在過(guò)去幾年的磨合中發(fā)生了深遠(yuǎn)而不可逆轉(zhuǎn)的變化。遠(yuǎn)程辦公、異地協(xié)作等辦公場(chǎng)景成為常態(tài)，跨分支跨企業(yè)等跨域的數(shù)據(jù)交換需求不斷增多，傳統(tǒng)數(shù)據(jù)安全防護(hù)手段面臨更多挑戰(zhàn)。為了更深層次地了解企業(yè)用戶在數(shù)據(jù)安全層面的痛點(diǎn)問(wèn)題，我們以金融行業(yè)為例展開(kāi)探討。

金融行業(yè)機(jī)構(gòu)的重要數(shù)據(jù)主要分為結(jié)構(gòu)化數(shù)據(jù)和非結(jié)構(gòu)化數(shù)據(jù)兩部分。其中結(jié)構(gòu)化數(shù)據(jù)主要是業(yè)務(wù)數(shù)據(jù)和數(shù)據(jù)庫(kù)，其存儲(chǔ)和使用相對(duì)較為集中，目前基于數(shù)據(jù)庫(kù)的結(jié)構(gòu)化數(shù)據(jù)防護(hù)體系已相對(duì)比較成熟，需要加強(qiáng)的主要是數(shù)據(jù)治理和數(shù)據(jù)的合規(guī)使用，更好地挖掘和發(fā)揮數(shù)據(jù)的價(jià)值。

而相對(duì)于結(jié)構(gòu)化數(shù)據(jù)，非結(jié)構(gòu)化數(shù)據(jù)形式和載體比較多，比如文字、圖片、音頻、視頻等。非結(jié)構(gòu)化數(shù)據(jù)的安全管理相對(duì)更具有挑戰(zhàn)。在日常的辦公、開(kāi)發(fā)、測(cè)試、運(yùn)維過(guò)程中，經(jīng)常需要從生產(chǎn)數(shù)據(jù)中提取相關(guān)信息，例如測(cè)試數(shù)據(jù)脫敏提取、分行數(shù)據(jù)下發(fā)、業(yè)務(wù)數(shù)據(jù)分析、內(nèi)部數(shù)據(jù)交換等，場(chǎng)景分散、流程多樣、技術(shù)投入不足，環(huán)節(jié)下的數(shù)據(jù)逐漸成為管理黑洞。

面對(duì)非結(jié)構(gòu)化數(shù)據(jù)的交換需求，用戶往往采用的交換方式主要包括3種，而每種都面臨著不同的安全風(fēng)險(xiǎn)。

方式1，通過(guò)FTP和文件服務(wù)器進(jìn)行數(shù)據(jù)交換。該方式往往需要對(duì)網(wǎng)絡(luò)進(jìn)行打通，其服務(wù)維護(hù)成本較高，且存在弱口令的安全風(fēng)險(xiǎn)。在數(shù)據(jù)交換過(guò)程中缺乏管控、無(wú)審批環(huán)節(jié)，合規(guī)性也難以保障，而且數(shù)據(jù)分散在各個(gè)服務(wù)器，容易形成管理黑洞，大大增加了數(shù)據(jù)泄露的風(fēng)險(xiǎn)。

方式2，通過(guò)U盤(pán)/安全U盤(pán)進(jìn)行數(shù)據(jù)交換。通過(guò)U盤(pán)等物理介質(zhì)交換的方式，其效率較低，文件及內(nèi)容無(wú)法進(jìn)行合規(guī)審計(jì)。在文件拷貝過(guò)程中也存在感染病毒的風(fēng)險(xiǎn)，而且介質(zhì)難以管理，U盤(pán)丟失就會(huì)導(dǎo)致數(shù)據(jù)泄露。

方式3，文件共享方式進(jìn)行數(shù)據(jù)交換。利用該種手段進(jìn)行數(shù)據(jù)交換，效率不高，且文件及內(nèi)容無(wú)法進(jìn)行合規(guī)審計(jì)，而且文件共享一般比較隱蔽、難以管理，存在弱口令風(fēng)險(xiǎn)。此外，文件共享后必須及時(shí)關(guān)閉服務(wù)，否則很容易造成數(shù)據(jù)泄露。

總的來(lái)說(shuō)，以上傳統(tǒng)的數(shù)據(jù)交換方式都難以很好地滿足用戶的安全與合規(guī)要求。通過(guò)與金融企業(yè)的實(shí)際交流了解到，對(duì)數(shù)據(jù)安全交換的需求無(wú)外乎以下幾點(diǎn)。

操作合規(guī)：不降低網(wǎng)絡(luò)隔離特性，支持審計(jì)，包括行為審計(jì)和內(nèi)容審計(jì)；

使用便捷：不改變用戶使用習(xí)慣，不增加學(xué)習(xí)成本，不影響業(yè)務(wù)效率；

管理需求：嚴(yán)防內(nèi)部數(shù)據(jù)的外泄，做到數(shù)據(jù)交換行為可視、可控、可審；且要求部署運(yùn)維簡(jiǎn)單，能夠平滑對(duì)接現(xiàn)有系統(tǒng)，不增加IT運(yùn)維難度和成本。

針對(duì)金融等行業(yè)用戶數(shù)據(jù)交換的安全與合規(guī)需求，志翔科技推出基于零信任理念的跨域數(shù)據(jù)安全與溯源解決方案。

該方案結(jié)合志翔至銳通ZS-DSE數(shù)據(jù)安全交換和至明臺(tái)ZS-DSA文件安全與溯源產(chǎn)品，融合了志翔自研的數(shù)據(jù)隔離、數(shù)據(jù)分級(jí)分類、數(shù)據(jù)標(biāo)簽溯源、自適應(yīng)策略引擎和UEBA等多項(xiàng)技術(shù)，根據(jù)實(shí)際業(yè)務(wù)需求，可在企業(yè)內(nèi)部建立生產(chǎn)區(qū)、測(cè)試區(qū)、研發(fā)區(qū)、辦公區(qū)、交換區(qū)等多個(gè)區(qū)域。

在統(tǒng)一的數(shù)據(jù)安全治理規(guī)范指引下，明確不同數(shù)據(jù)在不同安全區(qū)域的權(quán)限和管控策略，對(duì)數(shù)據(jù)文件進(jìn)行精細(xì)化、精準(zhǔn)的權(quán)限管控，通過(guò)配置靈活的預(yù)掃描策略實(shí)時(shí)響應(yīng)用戶對(duì)數(shù)據(jù)的操作。另一方面，對(duì)需交換的文件建立自適應(yīng)的交換流程，并對(duì)敏感數(shù)據(jù)文件進(jìn)行全生命周期追蹤，對(duì)異常行為進(jìn)行溯源分析。這些特性可實(shí)現(xiàn)企業(yè)內(nèi)部對(duì)核心數(shù)據(jù)的精準(zhǔn)管控、對(duì)流轉(zhuǎn)數(shù)據(jù)安全交換和追蹤、對(duì)敏感數(shù)據(jù)的全生命周期管控，并為企業(yè)提供全面的數(shù)據(jù)安全保障及全流程合規(guī)化審計(jì)。

此外，改方案在幫助企業(yè)加強(qiáng)數(shù)據(jù)安全與操作合規(guī)性的同時(shí)，對(duì)數(shù)據(jù)流轉(zhuǎn)效率與業(yè)務(wù)辦公體驗(yàn)做了多重優(yōu)化，在安全合規(guī)、高效易用上都大大滿足用戶的實(shí)際需求。

滿足金融機(jī)構(gòu)多場(chǎng)景的數(shù)據(jù)交換和合規(guī)需求，對(duì)重要非結(jié)構(gòu)化數(shù)據(jù)進(jìn)行貼身防護(hù)；

數(shù)據(jù)流轉(zhuǎn)環(huán)境可靠，合規(guī)審批流轉(zhuǎn)，替代文件共享、人工FTP、U盤(pán)等，降低風(fēng)險(xiǎn)，提升數(shù)據(jù)安全水平；

細(xì)粒度權(quán)限管控，在保證數(shù)據(jù)安全交換的基礎(chǔ)下，提升數(shù)據(jù)合規(guī)效率，滿足協(xié)同辦公；

數(shù)據(jù)流轉(zhuǎn)和使用責(zé)權(quán)清晰，過(guò)程可控、事后可查、風(fēng)險(xiǎn)可防、行為可溯；

部署簡(jiǎn)單，無(wú)需系統(tǒng)改造，平滑對(duì)接現(xiàn)有系統(tǒng)，提升運(yùn)維效率，降低操作風(fēng)險(xiǎn)和維護(hù)成本；

除了金融行業(yè)，該方案還可應(yīng)用于其他行業(yè)的相關(guān)場(chǎng)景。

根據(jù)志翔科技官方介紹，目前志翔跨域數(shù)據(jù)安全與溯源解決方案已在如廣聯(lián)達(dá)、昆侖銀行、北京農(nóng)商行等在內(nèi)的高科技軟件開(kāi)發(fā)、金融等多個(gè)領(lǐng)域企業(yè)部署應(yīng)用，并獲得了良好的市場(chǎng)反饋，切實(shí)解決了企業(yè)核心和敏感數(shù)據(jù)防泄漏、跨域數(shù)據(jù)交換合規(guī)管控、外包研發(fā)數(shù)據(jù)業(yè)務(wù)安全、多分支機(jī)構(gòu)一中心統(tǒng)一數(shù)據(jù)業(yè)務(wù)安全管控等場(chǎng)景的數(shù)據(jù)文件全生命周期安全管控、用戶行為合規(guī)等需求。