數(shù)字時代大數(shù)據(jù)安全防范策略的思考與研究

摘要：隨著《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護法》的發(fā)布，數(shù)據(jù)要素的管理及利用面臨著剛性的安全合規(guī)要求。因此，加強數(shù)據(jù)安全保護既是數(shù)據(jù)產(chǎn)業(yè)自身發(fā)展需要，也是國家監(jiān)管的客觀要求。然而，我國數(shù)據(jù)產(chǎn)業(yè)正處于發(fā)展初期，數(shù)據(jù)利用與數(shù)據(jù)安全的協(xié)同發(fā)展在很長一段時間將是我國數(shù)據(jù)產(chǎn)業(yè)發(fā)展的主要矛盾。本文基于以上因素，分析了數(shù)字時代下數(shù)據(jù)安全的特點和痛點，并提出了有針對性的防范措施，以期為數(shù)字時代的數(shù)據(jù)安全保護提供參考。

關(guān)鍵詞：數(shù)字化；數(shù)據(jù)安全；防范措施；計算機網(wǎng)絡(luò)

數(shù)字時代對數(shù)據(jù)安全的管理要求越來越重要。數(shù)據(jù)安全，是指通過采取相應(yīng)的措施，確保數(shù)據(jù)處于有效保護和合法利用的狀態(tài)，并能做到持續(xù)安全狀態(tài)的能力。具體而言，數(shù)據(jù)安全有兩層含義：一是數(shù)據(jù)本身的安全，即通過信息技術(shù)，在可靠的算法邏輯、安全控制技術(shù)的支持下對數(shù)據(jù)進行主動保護，同時在必要的加密處理下提高整體數(shù)據(jù)的完整性，有利于完成雙向身份數(shù)據(jù)的認(rèn)證工作[1]。二是數(shù)據(jù)防護的安全，即借助現(xiàn)代信息存儲手段，開展自動化、高效化、智能化管理對數(shù)據(jù)進行主動防護，如通過磁盤陣列、數(shù)據(jù)備份、異地容災(zāi)技術(shù)保證數(shù)據(jù)的安全[2]?，F(xiàn)實中所稱數(shù)據(jù)安全問題，大部分指的是第一部分的安全。

一、當(dāng)前數(shù)據(jù)安全風(fēng)險態(tài)勢分析

IBM《2022年數(shù)據(jù)泄露成本報告》指出，數(shù)據(jù)泄露主要發(fā)生的行業(yè)包括金融、服務(wù)、工業(yè)、科技、能源、公共部門領(lǐng)域。每次數(shù)據(jù)泄露事件平均會帶來435萬美元的損失，其中大規(guī)模數(shù)據(jù)泄露的平均成本甚至高達(dá)3.87億美元。此外，83%的企業(yè)已不是首次發(fā)生數(shù)據(jù)泄露事件[3]。而據(jù)Verizon《2022年數(shù)據(jù)泄露調(diào)查報告》披露，2022年數(shù)據(jù)泄露的四個關(guān)鍵途徑是未經(jīng)授權(quán)的憑據(jù)、網(wǎng)絡(luò)釣魚、漏洞利用和僵尸網(wǎng)絡(luò)，其中82%為人為因素[4]。

中國軟件測評中心對電信和互聯(lián)網(wǎng)行業(yè)的威脅監(jiān)測和遠(yuǎn)程檢測結(jié)果分析發(fā)現(xiàn)，安全漏洞或問題80%和數(shù)據(jù)安全相關(guān)，其主要包括SQL注入、非授權(quán)訪問、數(shù)據(jù)泄露三大類。其中導(dǎo)致非授權(quán)訪問的原因多樣，包括弱口令、授權(quán)繞過、未進行身份驗證等，數(shù)據(jù)泄露方面甚至存在源代碼泄露等問題[5]。數(shù)據(jù)安全事件的影響已經(jīng)從最初的企業(yè)和個人逐步延伸到國家各個行業(yè)和整個社會。數(shù)據(jù)已經(jīng)成為國家、企業(yè)、個人最重要的資產(chǎn)之一，保護數(shù)據(jù)安全已經(jīng)迫在眉睫。

二、數(shù)字時代大數(shù)據(jù)安全防范處理的痛點

（一）管理層面

1.合規(guī)治理下數(shù)據(jù)安全實施細(xì)則尚不完善

隨著有關(guān)數(shù)據(jù)安全和個人信息保護相關(guān)法律法規(guī)要求發(fā)布，對于數(shù)據(jù)的采集、傳輸、存儲、加工等處理活動及數(shù)據(jù)跨區(qū)域流動，存在數(shù)據(jù)所有權(quán)與使用權(quán)分離的復(fù)雜場景。這是因為實現(xiàn)相關(guān)細(xì)化的數(shù)據(jù)安全監(jiān)測與管控等實施細(xì)則建設(shè)不完善，導(dǎo)致數(shù)據(jù)流動控制與數(shù)據(jù)確權(quán)困難。

2.傳統(tǒng)網(wǎng)絡(luò)安全風(fēng)險評估應(yīng)對數(shù)據(jù)安全適應(yīng)度不足

《數(shù)據(jù)安全法》《個人信息保護法》等數(shù)據(jù)安全相關(guān)法律要求落地數(shù)據(jù)安全風(fēng)險評估，并對數(shù)據(jù)資產(chǎn)進行保護。然而，數(shù)據(jù)資產(chǎn)具有流動性，會在不同的載體和場景下流動。傳統(tǒng)的網(wǎng)絡(luò)信息安全風(fēng)險評估主要面向的是網(wǎng)絡(luò)環(huán)境下基于某個標(biāo)準(zhǔn)作為評估項的載體資產(chǎn)，具有相對靜態(tài)、固化特性，無法順應(yīng)數(shù)據(jù)流動過程中不同環(huán)境、不同目標(biāo)下的安全評估要求。

3.數(shù)據(jù)安全防護和網(wǎng)絡(luò)安全防護體系未有效融合

企業(yè)在網(wǎng)絡(luò)安全管理上，通常已按照等保合規(guī)要求建立了較為完備的網(wǎng)絡(luò)安全防護體系，形成了面向終端、主機、網(wǎng)絡(luò)、系統(tǒng)等載體的安全防護能力。在數(shù)據(jù)安全防護層面開展針對數(shù)據(jù)本身的數(shù)據(jù)分類分級、訪問控制、數(shù)據(jù)加密、數(shù)據(jù)脫敏等單點數(shù)據(jù)安全防護能力建設(shè)。面向數(shù)據(jù)本身的數(shù)據(jù)安全防護與面向數(shù)據(jù)載體的網(wǎng)絡(luò)安全防護體系尚未形成有機融合，缺乏整體化防護能力，難以全面保障數(shù)據(jù)在生命周期流轉(zhuǎn)過程中的安全性。

（二）技術(shù)層面

1.數(shù)據(jù)資產(chǎn)與分類分級實施難度大

隨著化信息、網(wǎng)絡(luò)化和智能化水平的不斷提高，系統(tǒng)業(yè)務(wù)數(shù)據(jù)規(guī)模日漸龐大。在技術(shù)維度方面，企業(yè)數(shù)據(jù)往往存在數(shù)據(jù)量大、結(jié)構(gòu)復(fù)雜的問題，一方面海量原始數(shù)據(jù)量難以對每一條數(shù)據(jù)進行分類分級管理；另一方面在數(shù)據(jù)交換、共享過程中，數(shù)據(jù)不可避免要脫離原有載體。這就需要在數(shù)據(jù)傳輸過程中再次進行數(shù)據(jù)分類分級，并設(shè)置安全防護策略，以保證數(shù)據(jù)的安全性。

2.數(shù)據(jù)所有權(quán)與使用權(quán)分離導(dǎo)致數(shù)據(jù)開放共享困境

在現(xiàn)實中，數(shù)據(jù)作為特殊資產(chǎn)，其所有權(quán)和使用權(quán)存在分離的情況。當(dāng)數(shù)據(jù)被共享、交換后，其跟蹤和溯源問題變得異常困難。從法律層面講，當(dāng)前與數(shù)據(jù)權(quán)屬相關(guān)的法律法規(guī)尚未頒布，在此前提下作為數(shù)據(jù)使用者如何向數(shù)據(jù)所有者落實數(shù)據(jù)管理義務(wù)是難點。從落地層面講，經(jīng)交換、共享等處理活動，數(shù)據(jù)已流出了數(shù)據(jù)所有者的可控范圍。所以，在數(shù)據(jù)使用過程中，如何落實數(shù)據(jù)所有者要求的安全管理義務(wù)，并提供合規(guī)性檢測證明以及事后取證、責(zé)任認(rèn)定等，也是難點。

三、數(shù)字時代大數(shù)據(jù)安全防范處理策略

（一）建立“以數(shù)據(jù)為中心、以數(shù)據(jù)管理組織為單位、以管理和技術(shù)為基本抓手”的指導(dǎo)思想

以數(shù)據(jù)為中心保護數(shù)據(jù)安全是數(shù)據(jù)安全治理的重要理念和發(fā)展趨勢。在數(shù)據(jù)管理過程中，應(yīng)充分考慮到數(shù)據(jù)處理活動的所有細(xì)節(jié)。在數(shù)據(jù)管理生命周期的各個時期，針對安全威脅暴露的情況所采取的安全策略、手段很有可能完全不一樣。綜合考慮在不同階段所面臨的風(fēng)險，強調(diào)建立整體而不是某個環(huán)節(jié)數(shù)據(jù)安全防護的能力，是以數(shù)據(jù)為中心的安全管理核心思想理念。

建立一個常設(shè)的數(shù)據(jù)安全治理小組是以數(shù)據(jù)管理組織為單位的重要體現(xiàn)。該團隊的職責(zé)是制定對數(shù)據(jù)開展分級分類、保護、使用和管理。架構(gòu)確定后，則需開展定員定崗，定崗的本質(zhì)是分工，定員的核心是明確職責(zé)，二者被共同用于在分工基礎(chǔ)上為企業(yè)實現(xiàn)降低成本、提高效率的終極目標(biāo)，定員定崗、專業(yè)化分工是解決問題、實現(xiàn)目標(biāo)的基本方法。

數(shù)據(jù)安全管理的實現(xiàn)，毫無疑問離不開有效的管理和先進的數(shù)據(jù)安全防護工具。一方面，高效的管理體系需要以網(wǎng)絡(luò)安全體系等合規(guī)建設(shè)成果為基礎(chǔ)，依托現(xiàn)有的網(wǎng)絡(luò)安全組織、安全管理制度及流程、運維保障機制，擴展以數(shù)據(jù)為中心，圍繞數(shù)據(jù)處理活動的場景手段，將數(shù)據(jù)安全和網(wǎng)絡(luò)安全充分融合，整體保障數(shù)據(jù)安全建設(shè)。另一方面，先進適用的數(shù)據(jù)安全治理平臺能提高自動化數(shù)據(jù)識別能力，并基于行業(yè)級，精細(xì)化的分類分級標(biāo)準(zhǔn)，實現(xiàn)智能化、快速的分類分級，進一步開展數(shù)據(jù)安全評估與動態(tài)防護策略設(shè)置，還能加強數(shù)據(jù)流動監(jiān)測與數(shù)據(jù)泄露風(fēng)險分析，實現(xiàn)數(shù)據(jù)資產(chǎn)梳理、安全防護、行為審計、數(shù)據(jù)脫敏、數(shù)據(jù)加密，保障數(shù)據(jù)流動和開放的安全性。

（二）建立數(shù)據(jù)安全管理體系

建立數(shù)據(jù)安全管理體系，首先應(yīng)深入調(diào)研和解讀國家及本行業(yè)在數(shù)據(jù)安全方面的合規(guī)性要求，建立數(shù)據(jù)安全管理制度四級文件，最終形成一級方針文件，二級制度規(guī)范文件，三級細(xì)則指引文件，四級表單、模板和記錄文件。值得注意的是，數(shù)據(jù)安全管理體系要求并不是摒棄原有組織內(nèi)部建設(shè)以網(wǎng)絡(luò)為中心的安全管理規(guī)范，而是在此基礎(chǔ)上融合數(shù)據(jù)安全管理要求，形成更全面的數(shù)據(jù)安全管理規(guī)范。

（三）建立數(shù)據(jù)安全技術(shù)體系

數(shù)據(jù)安全技術(shù)體系并非單一產(chǎn)品或平臺的構(gòu)建，而是覆蓋數(shù)據(jù)全生命周期，結(jié)合組織自身使用場景的體系建設(shè)。要依照組織數(shù)據(jù)安全建設(shè)的方針原則，圍繞數(shù)據(jù)處理活動各場景的安全要求開展，這里借鑒綜合了Gartner數(shù)據(jù)治理模型、Microsoft的DGPC理念等現(xiàn)有數(shù)據(jù)安全治理模型提出的針對數(shù)據(jù)安全保護的模型，即“識別—防護—監(jiān)測—響應(yīng)”（IPDR）模型，建立與制度流程相配套的技術(shù)和工具，并將這些技術(shù)和工具形成平臺化應(yīng)用，發(fā)揮技術(shù)合力。通過持續(xù)對數(shù)據(jù)生命周期內(nèi)各個使用場景進行風(fēng)險監(jiān)測，評估企業(yè)或組織現(xiàn)有數(shù)據(jù)安全控制措施的有效性及薄弱環(huán)節(jié)，對有問題的風(fēng)險場景及時進行數(shù)據(jù)安全整改，優(yōu)化數(shù)據(jù)安全相關(guān)制度流程，進而持續(xù)提升組織數(shù)據(jù)安全防護能力，下面將分別從模型的4個維度展開討論：

1.識別技術(shù)

此階段對相關(guān)信息系統(tǒng)和業(yè)務(wù)數(shù)據(jù)進行半自動化分析，識別可能產(chǎn)生個人信息安全風(fēng)險的系統(tǒng)、資產(chǎn)和數(shù)據(jù)。

①數(shù)據(jù)資產(chǎn)梳理。其主要工作任務(wù)是針對目標(biāo)環(huán)境中的所有數(shù)據(jù)資產(chǎn)進行全面摸排、清查，通過明確數(shù)據(jù)資產(chǎn)類型、分布、權(quán)限、使用等信息，構(gòu)建數(shù)據(jù)資產(chǎn)目錄的過程。數(shù)據(jù)資產(chǎn)梳理主要包括兩種技術(shù)：一是靜態(tài)梳理技術(shù)，即采用對IP地址段和端口范圍開展掃描的主動嗅探方式發(fā)現(xiàn)數(shù)據(jù)資產(chǎn)，再應(yīng)用數(shù)據(jù)庫字段識別技術(shù)、數(shù)據(jù)樣本特征識別等技術(shù)和元數(shù)據(jù)接口對接形成數(shù)據(jù)資產(chǎn)清單，最終形成靜態(tài)目錄的過程；二是動態(tài)梳理技術(shù)，即通過獲取對數(shù)據(jù)載體的訪問流量并進行解析，采用對網(wǎng)絡(luò)流量進行協(xié)議分析的被動監(jiān)測方式，從中判別出敏感資產(chǎn)的訪問狀況包括訪問源身份與位置、訪問時間、訪問頻次、訪問返回結(jié)果集，用于形成數(shù)據(jù)訪問關(guān)系清單。

②數(shù)據(jù)安全治理。只有做好分類分級，明確保護對象，才能在此基礎(chǔ)上區(qū)分訪問者的權(quán)限邊界，從而制定不同的數(shù)據(jù)安全防護策略。數(shù)據(jù)分類分級涉及的關(guān)鍵技術(shù)如下：一是數(shù)據(jù)特征自動識別引擎，即主動發(fā)起數(shù)據(jù)探測行為，對數(shù)據(jù)源或結(jié)構(gòu)化文件中的數(shù)據(jù)進行分析，加速人工判別過程。二是謂詞切分與語義識別技術(shù)，即對數(shù)據(jù)的業(yè)務(wù)屬性基于文本上下文進行合理、準(zhǔn)確地謂詞劃分，輔助人工進行判斷。三是知識庫與匹配技術(shù)，即對于某個其“專業(yè)術(shù)語”可以被枚舉、收集的特定行業(yè)，在結(jié)合謂詞拆分的基礎(chǔ)上，將該行業(yè)所涉及的謂詞進行充分歸納記錄整理，最終形成行業(yè)知識庫。四是機器建模與匹配等技術(shù)，即引入機器學(xué)習(xí)，數(shù)學(xué)建模等技術(shù)，采用監(jiān)督學(xué)習(xí)模型，對于同樣遵循同樣邏輯構(gòu)造的大量數(shù)據(jù)開展篩選并提交至機器學(xué)習(xí)引擎進行建模，反復(fù)訓(xùn)練達(dá)到較高匹配率后再完成后續(xù)數(shù)據(jù)的智能分級分類匹配。

③數(shù)據(jù)安全評估流程。類似于網(wǎng)絡(luò)安全整體性評估，通常包括資產(chǎn)識別、脆弱性識別、威脅識別、已有安全措施識別、殘余風(fēng)險識別等多個維度的評估分析。

2.防護技術(shù)

身份安全基礎(chǔ)設(shè)施防護，包括IAM身份識別與訪問管理和PKI基礎(chǔ)公鑰設(shè)施。其中IAM身份識別與訪問管理能提供有效安全的IT資源訪問的業(yè)務(wù)流程和管理手段，實現(xiàn)審計、授權(quán)和身份數(shù)據(jù)集中管理與組織信息資產(chǎn)統(tǒng)一的身份認(rèn)證。而PKI（Public Key Infrastructure）是一種遵循既定標(biāo)準(zhǔn)的密鑰管理平臺。它能夠為數(shù)據(jù)生命周期防護涉及的身份認(rèn)證、數(shù)據(jù)傳輸、數(shù)據(jù)存儲、數(shù)據(jù)訪問、數(shù)據(jù)應(yīng)用提供加密和數(shù)字簽名等密碼服務(wù)及所需的密鑰和證書管理體系。

數(shù)據(jù)收集傳輸防護，應(yīng)首先滿足合法性要求，遵循收集的必要性和最小化原則，防止出現(xiàn)超范圍收集用戶數(shù)據(jù)、超權(quán)限使用用戶數(shù)據(jù)、違法違規(guī)交易用戶數(shù)據(jù)及差異化用戶決策等違法行為。這里可以使用支持密碼加密的通信，實現(xiàn)數(shù)據(jù)加密傳輸，防止數(shù)據(jù)泄密、被偵聽或篡改，保障數(shù)據(jù)采集和傳輸過程中的安全。

存儲安全防護應(yīng)用，即應(yīng)用數(shù)據(jù)庫加密技術(shù)保障結(jié)構(gòu)化數(shù)據(jù)存儲安全、數(shù)據(jù)DLP技術(shù)保障非結(jié)構(gòu)化數(shù)據(jù)安全以及數(shù)據(jù)保護技術(shù)保障數(shù)據(jù)的可用性，建立一套完整的數(shù)據(jù)存儲安全機制。數(shù)據(jù)庫加密技術(shù)是基于對稱密碼加密和非對稱密碼加密的保護，其中對稱密碼保護的對象更多是實際應(yīng)用數(shù)據(jù)，非對稱密碼保護的數(shù)據(jù)往往是密鑰數(shù)據(jù)。數(shù)據(jù)DLP技術(shù)則對駐留在電腦終端、服務(wù)器、文件共享和數(shù)據(jù)庫上的敏感信息進行監(jiān)控，在數(shù)據(jù)操作之前進行管控，使企業(yè)或組織能夠最大化加強對關(guān)鍵數(shù)據(jù)的管控。

使用安全防護，主要針對數(shù)據(jù)在使用過程中的流動性，極易導(dǎo)致數(shù)據(jù)泄露事件的發(fā)生情況。因此在數(shù)據(jù)使用階段，應(yīng)從數(shù)據(jù)內(nèi)容識別和數(shù)據(jù)權(quán)限細(xì)粒度兩方面實施數(shù)據(jù)安全防護措施，一方面通過網(wǎng)絡(luò)DLP，在網(wǎng)絡(luò)傳輸過程中精確識別敏感數(shù)據(jù)，及時切斷數(shù)據(jù)傳輸，避免數(shù)據(jù)泄露。另一方面，通過數(shù)據(jù)動態(tài)脫敏和靜態(tài)脫敏技術(shù)，對用戶查詢的數(shù)據(jù)進行數(shù)據(jù)脫敏，實現(xiàn)基于“身份－數(shù)據(jù)”的訪問權(quán)限控制，應(yīng)用數(shù)據(jù)庫安全防護能力對權(quán)限進行細(xì)粒度管控，保障數(shù)據(jù)使用的合規(guī)性。

3.監(jiān)測技術(shù)

數(shù)據(jù)安全監(jiān)測技術(shù)可以從多個維度抽取數(shù)據(jù)，并進行關(guān)聯(lián)、分析，形成風(fēng)險判斷和違規(guī)告警，并對風(fēng)險趨勢進行預(yù)測，向被監(jiān)管單位發(fā)布數(shù)據(jù)安全風(fēng)險預(yù)警。數(shù)據(jù)安全監(jiān)測技術(shù)往往采用分布式系統(tǒng)架構(gòu)，工作基于監(jiān)測系統(tǒng)和探針，由監(jiān)測系統(tǒng)向探針下發(fā)安全策略，匯總探針上報的安全事件并開展分析，跟蹤被監(jiān)管單位數(shù)據(jù)安全事件處置進度，綜合各監(jiān)管單位的數(shù)據(jù)安全整體情況，預(yù)測某一范圍內(nèi)的數(shù)據(jù)安全風(fēng)險趨勢。探針支持被監(jiān)管單位按標(biāo)準(zhǔn)、規(guī)范進行數(shù)據(jù)分類分級。數(shù)據(jù)流轉(zhuǎn)監(jiān)測、制定數(shù)據(jù)風(fēng)險監(jiān)測與響應(yīng)處置。

4.響應(yīng)技術(shù)

響應(yīng)技術(shù)不得不提響應(yīng)與處置自動化（SOAR），SOAR通過聯(lián)動多個系統(tǒng)和設(shè)備來調(diào)度不同的安全能力，將人、技術(shù)與制度相融合，建立手動與自動相結(jié)合的協(xié)同響應(yīng)與處置機制。SOAR的核心能力包括編排、自動化、安全響應(yīng)和威脅情報，SOAR具備對第三方設(shè)備/系統(tǒng)接口對接能力、劇本編排能力以及任務(wù)管理能力，通過預(yù)定義的劇本形成標(biāo)準(zhǔn)化流程，簡化事件的處置流程，加快事件的響應(yīng)速度，減少處理事件的響應(yīng)時間，對不同類型的安全事件實現(xiàn)自動化響應(yīng)，將組織的安全運營流程數(shù)字化管理，有效提高安全事件響應(yīng)效率。

四、結(jié)束語

本文提出了建立“以數(shù)據(jù)為中心、以安全組織為單位、以管理和技術(shù)為基本抓手”的指導(dǎo)思想的安全框架探索。同時結(jié)合管理與當(dāng)前成熟的數(shù)據(jù)安全技術(shù)出發(fā)展開闡述，為數(shù)據(jù)安全治理提供了有效的實踐方案。

作者單位：彭星 廣州市市場監(jiān)督管理數(shù)據(jù)應(yīng)用中心

參? 考? 文? 獻(xiàn)

[1]彭楠.計算機系統(tǒng)中的大數(shù)據(jù)與信息安全技術(shù)分析[J].電子技術(shù)，2022，51（06）：142-143.

[2]王逢浩.配電自動化運行監(jiān)管系統(tǒng)研究與開發(fā)[D].北京：華北電力大學(xué)（北京），2017.

[3]IBM安全團隊.2022年數(shù)據(jù)泄露成本報告[R] .北京：國際商業(yè)機器（中國）有限公司， 2022.

[4]Editorial Department .2022 Data Breach Investigations Report[R] . New York ： Verizon Communications， Inc. ， 2022.

[5]網(wǎng)絡(luò)空間安全測評工程技術(shù)中心.電信和互聯(lián)網(wǎng)行業(yè)數(shù)據(jù)安全治理白皮書：2020[R] .北京：中國軟件評測中心， 2020.