DSMM框架下高校數據安全治理研究

崔益峰 ，袁先珍，張斌

（廣東輕工職業技術學院，廣東廣州，510300）

1 高校數據安全治理現狀

隨著互聯網、大數據、云計算、人工智能等技術與教育教學深度融合，高校數字化轉型腳步加快，數據已成為高等院校的重要核心軟資產。近幾年來，安全形勢不容樂觀，關于數據過度采集、數據泄露、數據篡改、數據竊取和數據濫用等數據安全事件層出不窮，給事故單位帶來了巨大經濟損失和不良社會影響。而高校普遍存在數據資產缺乏梳理、安全制度缺乏落實、技術防護缺失體系、安全監管缺手段、安全評估缺機制等“五缺”問題。數據安全治理缺乏體系化的建設思路與措施，在管理體系方面，有效的規章制度和數據處理流程規范還未完善，數據安全管理相關工作缺少章法，開展推進艱難。在技術防護體系構建方面，主要是采用文件加密、數據防泄露、數據加密和數據庫審計等技術手段，遠沒有形成體系化、層次化的數據安全防護能力。在數據安全監管方面，尚未形成規范化、流程化的垂直監管體系，無法對數據安全工作進行管理與評價。數據的價值體現在數據安全流動性，隨著各行業數字化轉型建設加速推進，大量數據歸集整合和共享流通，使得應用場景復雜，跨域交互頻繁，數據結構多樣，同時在大數據、云計算、AI等信息技術驅動下，數據的傳輸共享和關聯推理易于實現，也給數據治理和安全防護帶來挑戰。

2 高效數據安全治理思路

隨著智慧校園建設的深入推進，業務系統數量逐漸增多，業務邏輯和數據類型復雜，尤其是教育業務系統上云之后，數據規模呈爆炸式增長，這對教育業務系統數據安全的完整性、機密性保護工作帶來了極大挑戰，數據在生命周期各個環節涉及的部門多、參與過程復雜，數據的安全管理和防護既要考慮工作流程和業務場景，又要結合管理分工。因數據在流動過程中更容易產生價值，所以數據會在各部門、學校內部甚至社會層面等大范圍共享，為了最大程度確保數據的安全共享使用，特別是關鍵性甚至是敏感性數據，其共享、交換或物理存儲都需要特別規范，因此有必要建立健全高校的規章制度和流程規范來約束和規范學校有關數據活動。以人和數據為中心，以數據安全合規、安全防護、安全運行為目標，基于業務場景的核心數據資產梳理與敏感數據分級分類，建立全生命周期全流程全過程的安全訪問控制策略、技術防護措施和相關工作流程，形成數據安全規范機制和數據安全風險稽核策略，解決數據資產掌握不清、數據管控松散、價值挖掘困難、安全使用失衡等問題。基于DSMM成熟度模型，結合學校實際，建立高校的數據安全治理評價機制，從人員、策略、技術三方面建設和提高數據安全核心能力，降低數據資產法規依從性風險、質量風險、安全風險，推進數據安全與高校數據業務持續同步發展。

3 高校數據安全治理路徑

3.1 探索建立高校數據核心資產畫像

高校需要進行核心數據資產的全面梳理，摸清家底，理清數據的神經脈絡，建立學校的關鍵性、敏感性數據資產清單。數據的梳理可采用靜態梳理技術和動態梳理技術相結合的方式。靜態梳理技術完成對敏感數據的存儲分布狀況的摸底，從而幫助安全管理人員掌握各個信息系統的核心數據資產分布狀況。靜態梳理在某一個時刻對結構化數據或非結構化數據進行梳理獲得必要的信息。通過靜態掃描技術掃描結構化數據可以獲得對應數據庫的資產清單；采用磁盤掃描技術，根據預先設定標識的數據特征標簽匹配，對于非結構化數據文檔中的內容進行掃描，獲悉非結構化文件中所包含記錄的數據信息。與靜態梳理技術不同，動態梳理技術是基于對不斷變化的網絡流量進行掃描，在流量數據中實時分析數據，從而實現對信息系統包含的敏感關鍵數據的訪問使用情況進行梳理，包括敏感數據的訪問使用情況、在系統中的存儲分布、訪問是否存在潛在風險。動態梳理同樣要分為對結構化數據訪問網絡流量的掃描，以及非結構化數據訪問的網絡流量的掃描。結構化數據的網絡流量，主要是對數據庫的通訊協議的訪問流量監控；非結構化數據主要是對郵件協議、HTTP和文件傳輸等協議的訪問監控和內容解析。

高校在數據核心資產梳理過程中，需要進行數據產生和使用部門、角色權限的梳理，明晰核心數據的源頭即產生部門，數據被哪些對象使用、數據被如何使用，對于數據資產使用角色的梳理中明確不同受眾的分工、權利和職責。以可視化的形式呈現靜態資產和動態資產梳理技術梳理出的信息，比如敏感數據在不同信息系統的分布、源頭部門分布、系統賬號和數據訪問權限情況、敏感數據使用范圍、訪問頻次熱度情況，進而形成學校的核心關鍵性數據資產的全息畫像、數據地圖。

3.2 構建基于業務場景的數據安全分類、分級模型

基于已經梳理出的關鍵數據畫像和地圖，結合數據的業務場景，有的放矢，對數據進行科學合理的分類和分級，這也是數據安全治理的基礎性工作。按照不同類別和級別的數據其安全控制方式和保護要求程度也不盡相同，防止對所有關鍵數據實施最嚴格的無差別保護、采用一致的數據安全措施，而是通過對關鍵性數據依據分類分級不同采取精準化個性化的安全防控措施，避免過度防護，從而降低數據安全治理整體成本。建議根據學校的實際情況，基于業務場景數據來確定數據的分類、分級標準。數據的分類可以跟進數據的源頭部門、業務性質、信息內容和數據用途進行劃分；數據的重要級別則以數據敏感程度、分發范圍、影響面、數據的價值等等因素進行級別界定。數據的分類、分級的操作可通過自動化工具輔以加人工標注等方式來進行，通過系統化的方式建立關鍵數據分布、使用訪問、授權報告與分級分類的關聯。為相應的數據打上敏感度標識標簽，根據業務場景和重要程度分為機密數據、關鍵敏感數據、一般敏感數據、校內開放數據、完全公開數據，并更新帶來的影響、源頭等多個維度管理劃分，最終形成學校的數據安全分類、分級明細表，為建立相應的安全控制模型奠定基礎。

3.3 建立全生命周期數據安全技術防護體系

數據安全治理需要有的放矢，因“數”而異，不能采用一刀切的策略保護，需要根據不同的業務需求做精細化的安全策略，對不同類別級別數據執行不同的數據安全防護策略，才能實現安全與使用的平衡。基于數據安全分類分級模型，在不同的數據結合使用場景進行適度的數據安全控制防護策略。在數據處理的不同環節采用不同的技術手段數據的使用安全控制（如圖2所示），比如在數據分發環節，合理利用數據水印技術保持對分發后的數據的追蹤，在分發的數據中加入不影響運算和使用的水印數據，當發現數據泄露或惡意使用后，通過水印技術對造成的源頭進行追查和回溯，因水印數據記錄了分發人的信息，拿到了泄密數據的樣本，可快速追溯數據分發源頭。根據業務訪問、數據分析、數據共享、數據分發、數據維護、開發測試等相關數據應用場景采用必要安全技術措施，構建高校安全技術防護體系。

圖1 數據在不同環節的安全技術防護

數據安全防護策略覆蓋數據全生命周期全流程全過程，并建立數據安全智能管控平臺（如圖2），展現數據安全治理狀態。對安全規范的落地，則通過數據安全稽核的技術支撐，數據安全稽核保障數據治理的策略和規范被有效執行和落地，快速發現潛在的風險和行為。包括通過數據審計技術，基于網絡流量分析技術、高性能入庫技術、大數據分析技術和可視化展現技術實現審計，作為判定工作人員數據操作行為是否合規的關鍵；采用賬戶和權限變化追蹤技術，通過靜態的掃描技術和可視化技術完成賬號和權限的變化稽核，快速了解在已完成的賬號和權限基線上增加了哪些賬號，賬號權限是否變化，變化是否遵循合規性保證。

圖2 數據安全智能管控平臺

3.4 建立全流程數據安全治理能力評價機制

高校數據安全治理能力與水平需要通過數據安全治理能力評估來客觀衡量，只有建立數據安全治理評估機制才能常態化檢查數據安全治理的效果，評估機制的核心主要包括評價措施和診斷改進提升措施兩個方面。DSMM標準提煉出的安全過程域涵蓋了數據安全的全過程和全流程，各個高校可參考標準建立適合自身的數據安全評估機制，對數據采集、數據存儲、數據傳輸、數據交換、數據共享和數據銷毀安全提出全面合理的要求，對學校在數據全流程各環節的安全規范，以及降低安全風險的能力進行評估。評估的策略主要包括：一是明確評估的對象（目標數據、應用系統和涉及人員），核查數據全生命周期所采用的安全技術與管理相關措施，檢查數據流轉環節中數據安全防護措施是否有效，并輸出評估分析報告。二是在數據安全評估的基礎上，采用評價措施對治理能力進行相關評價，在評估與評價中發現的不足要及時采取改進提升機制，要確定改進提升的相關責任人，形成數據安全改進提升工作方案及實施計劃，提煉關鍵問題，分析當前差距，計劃進一步改進的方向，對于改進后的提升效果進行分析總結，在改進過程中推動數據安全治理能力和水平的不斷提升。

4 結語

針對高校數據安全治理普遍存在的數據資產缺乏梳理、安全技術防護缺乏體系、安全評估缺機制、安全監管缺手段等一系列問題，以數據安全治理能力評估為抓手，基于DSG數據安全治理框架和DSMM數據安全能力成熟度模型，結合網絡安全等級保護制度2.0要求，對數據安全治理相關技術和評估方法進行研究探索。以“人”和數據為中心，以數據自查梳理為始，以數據的分級分類為核心，建立集管理、技術、評估和運營為一體的數據安全治理架構，強化所涵蓋的業務系統的核心關鍵數據運維管理安全，推進數據安全治理與數據業務持續同步發展。樹立全面數據合規理念，建立全生命周期全流程的安全控制策略、流程規范和技術防護措施，形成數據安全規范機制和數據安全風險稽核策略，基于DSMM能力模型來建立健全高等院校的數據安全治理機制和體系，提升人員、策略、技術三方面的核心能力，降低數據資產法規依從性風險、質量風險、安全風險，推進數據安全治理能力可持續提升。