電網業務數據防泄漏平臺建設

劉玉婷 路 勁 瑩 璐 吳 晟 黃家強

（1.云南電網有限責任公司信息中心，云南 昆明650217；2.廣州西麥信息科技有限公司，廣東 廣州510000）

0 引言

數據是企業的核心資產，國內外大量案例表明敏感數據的泄漏會給企業利益帶來巨大損害，包括客戶流失、核心技術丟失、事件曝光而造成聲譽受損／法律問題／經濟賠償等。根據專業數據防護研究機構統計，全球企業平均每年為數據泄漏付出720萬美元的損失。為了降低日益突顯的數據泄漏風險以及危害，如何通過適當的手段對企業敏感數據進行防泄漏保護（Data Loss Prevention）已刻不容緩。

伴隨對信息系統的依賴性的增加，電網企業數據量、數據的重要性日益增加，隨之增加的還有數據泄漏風險。如果是擁有大量關鍵核心數據的電網國企，數據泄漏對于電網公司而言不單單是經濟損失，更有可能影響到國家機密，導致災難性的傷害。因此如何防止敏感信息泄漏已經成為影響電網企業競爭力的重要因素。

1 電網企業數據防泄漏現狀

如何防止數據泄漏已成為大企業、機構的熱門話題，國內外已有眾多成功實施數據安全防護的方案，大量的成功案例標志著數據安全防護的理論和配套的安全產品已步入成熟階段。

電網企業也早已意識到數據防泄漏的重要性，不少電網企業也使用了不同防泄漏設備，但不管是國外數據防泄漏設備還是國內數據防泄漏設備都不能夠完全滿足電網企業需求。一直困惑電網企業的問題有以下幾點：

（1）現有防泄漏設備缺少針對電網企業業務環境的數據防泄漏策略標準及解決方案，在實施數據安全工作的過程中普遍存在數據防泄漏設備策略的制定不夠客觀和充分、誤報漏報情況頻繁發生等問題。

（2）現有數據防泄漏設備部署無法與企業業務流程關聯在一起，所有泄漏事件都是集中統計分類，無從查證泄漏數據來源于對應的某個業務流程點。在這種情況下，一旦累積大量泄漏事件，就無法量化統計哪些業務流程點存在的數據泄漏風險比較大，需要進行嚴控，也無法知道泄漏事件對業務流程的影響程度。

（3）在大型電網企業中，往往還會存在多套數據防泄漏系統，各個系統彼此都是獨立工作，造成泄漏事件日志無法集中進行統計，管理起來也非常不方便。

鑒于電網企業部署的數據防泄漏系統存在種種問題，本文探索集成多套數據防泄漏系統優勢，做到將所有泄漏事件統一在防泄漏平臺展示，并與企業業務流程緊密相聯，做到：誰，在什么時間，做了什么事，違反了什么安全規范，是否被阻止，可能導致什么業務受影響。

圖1 數據防泄漏平臺業務流程

2 基線分析業務數據防泄漏平臺建設方案

2.1 平臺總體建設思路

為解決電網企業部署數據防泄漏系統存在的問題，本文探索提出建設符合電網企業業務環境數據防泄漏平臺的解決思路，此建設方案共分成三大階段進行：前期數據生命周期調研與數據分級分類，中期集成多套數據防泄漏系統與配置跟業務流程同步策略，后期建立統一的數據展示防泄漏平臺。

前期的工作為統計整合電網企業數據，了解所有流轉數據生命周期，應用科學客觀的計算方法將數據分類分級，為電網企業防泄漏系統部署安全策略提供數據等級標準。解決電網企業防泄漏系統因制定策略不夠客觀和充分產生數據泄漏事件漏報與誤報等問題。中期工作為將多套數據防泄漏系統集成在一起，參照數據等級標準配置統一的安全策略，并將所有數據防泄漏系統收集到的泄漏事件信息發送到數據防泄漏平臺。后期工作為根據電網企業業務流程現狀與從防泄漏系統接收到的數據泄漏事件結合，讓數據泄漏事件信息與業務流程點掛鉤，以可以查詢到每一個流程點數據泄漏事件，并能夠統計業務流程點泄密者泄漏事件數量，自動形成周月報發送給相關部門負責人作為個人績效考評的一部分。中期與后期建設思路不但解決了多套數據防泄漏管理不便問題，還可以集合各防泄漏系統優勢功能獲取到數據統一發送給數據防泄漏平臺，結合企業業務流程進行統一展示。

圖1為數據防泄漏平臺管控數據泄漏事件工作流程。

業務部門角色工作主要包括數據資產登記、數據分類、數據分級，并依據數據分類分級管控文檔做好數據生命周期的管控，同時把數據清單和需要防止泄漏的數據提交到信息中心。

管控中心角色根據業務部門角色提交的敏感數據信息制定相應的防泄漏管控策略導入到數據防泄漏產品，做好敏感數據的監控和審計工作。在日常運維中把發現的敏感數據泄漏事件和信息制作成周報、月報下發到相關的業務部門，形成良好的管控流程。為保證數據防泄漏平臺持續有效運轉，還需要執行嚴格管控制度。

圖2 數據防泄漏平臺整體功能架構

2.2 平臺整體功能架構

防泄漏平臺功能可簡化為3個步驟：監控—保護—展示。整個功能架構中，共有四大模塊，分別為終端監控模塊、網關監控模塊、數據保護模塊、統一數據展示（也稱“安全防護平臺”）模塊。終端監控模塊采用多種監控技術組合，可監控終端通過復制、粘貼、拷屏、本地打印、USB存儲設備、刻錄光盤、藍牙紅外傳輸、即時聊天工具、網絡打印機、網絡共享、客戶端本地、特定應用服務器等通道外發的敏感數據。網關監控模塊主要基于技術協議進行數據監控，監控通過Http／Https協議、FTP協議、SMTP協議、即時聊天工具、網絡打印機等外發敏感信息。終端監控與網關監控相比較各有優劣，終端監控注重“點”的防護，也就是基于個人主機進行全方位數據保護；而網關監控更注重“面”防護，是站在整個企業網視角進行數據保護。數據保護模塊主要承擔數據防護職責，通過配置不同策略對終端及網關監控到的敏感信息進行阻擋、隔離、加密、隔離并加密通知告警、確認并辯護、補救與整治等保護動作。數據保護模塊還可支持兼容多套數據防泄漏產品，集成多套數據防泄漏產品優勢監控功能，更全面保護敏感數據。統一數據展示模塊主要將多套數據防泄漏產品攔截或將監控到的敏感信息整合進行數據分類等綜合展示。并與企業業務流程緊密結合，做到讓管理員清楚：誰，在什么時間，做了什么事，違反了什么安全規范，是否被阻止，可能導致什么業務收影響。平臺整體功能架構如圖2所示。

3 平臺建設方案創新點

國內外絕大部分成功實施數據安全防護方案均是采用單一廠商數據防泄漏設備對一般信息進行保護。保護層面廣，但缺乏深度，只是對信息安全方方面面提供基礎保護。同時，只是單一采用廠商數據防泄漏設備進行數據保護，容易忽略業務部門的需求以及企業真正的業務需要，導致信息安全保護效果不足或者過度，影響業務的正常運轉以及企業的利益。

本方案的創新點為著重對電網企業數據進行全方位保護，從數據的價值、業務流程入手，了解業務需求、數據的關鍵性，評估數據面臨的風險與危害，從而構建與業務流程吻合、數據安全管理與數據安全技術雙層面的全面數據分級保護模型。方案還創新性地兼容多套數據防泄漏系統，各系統發揮優勢功能，將收集到的泄漏信息統一在已集成電網業務流程的數據防泄漏平臺上展示。因此本方案不但解決了電網企業數據防泄漏與業務流程關聯難題，還融合多套數據防泄漏系統優勢功能，使得數據防泄漏平臺收集展示的數據泄漏事件更全面、更完整，事件類型更豐富。

4 總結與展望

敏感數據的泄漏會對電網企業利益造成巨大損害，包括客戶流失、核心技術丟失、事件曝光而造成聲譽受損／法律問題／經濟賠償等。為了降低電網企業日益突顯的數據泄漏風險以及危害，針對電網企業數據環境建設一套適用于電網企業業務流程的數據防泄漏平臺，以更好地保護企業敏感數據。

現有數據防泄漏設備基于市場統一標準投產，并不能完全符合企業業務需求，本文設計思路為集合多套數據防泄漏設備，將各設備發揮優勢功能采集到的敏感數據統一發送到防泄漏平臺展示，而防泄漏平臺功能是根據企業業務環境及客戶需求進行構造，實現敏感泄漏數據與業務流程掛鉤，最終達到敏感數據泄漏與個人績評、業務影響范圍相關聯的目的。本文的解決方案充分考慮了企業人員操作和業務應用的需求，為企業數據保護提供了解決思路，具有一定的參考價值和非常重要的現實意義。

［1］路少龍.淺談電力企業計算機數據的安全保護［J］.數字技術與應用，2011（9）：246.

［2］陸海龍.數據安全存儲系統的研究與實現［D］.上海：復旦大學，2010.

［3］彭維平.基于可信平臺的數據泄漏防護關鍵技術研究［D］.北京：北京郵電大學，2011.

［4］馮建云，張月琴.內網安全信息防泄漏系統的開發與實現［J］.電腦開發與應用，2010，23（7）：31－33，39.

［5］張孝，王珊，彭朝暉.基于安全策略的一種數據保護方法及實現技術［J］.計算機科學，2007，34（2）：122－123.

［6］刁俊峰.軟件安全中的若干關鍵技術研究［D］.北京：北京郵電大學，2007.

［7］趙勇，劉吉強，韓臻.信息泄漏防御模型在企業內網安全中的應用［J］.計算機研究與發展，2007（5）：761－767.