構建計算機終端數據安全防御體系研究

姚斌 余永學

摘要：本文通過梳理數據分類、分級及數據全生命周期管理的關鍵要素，細化完善數據分類、分級標準，并參考數據安全能力成熟度模型，對不同級別和類型的數據制定相應的終端管理及技術防護措施，構建計算機終端數據安全防護體系，以供參考。

關鍵詞：數據分類；數據分級；全生命周期；終端數據

DOI：10.12433/zgkjtz.20231905

近年來，煙草行業網絡和信息系統的安全防護能力得到了大幅提升，隨著數據價值的日益凸顯，數據安全主陣地逐步向易攻難守的計算機終端方面轉移。特別是在《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》于2021年施行后，加強終端數據安全防護已成為各行業網信工作迫切解答的新課題。

一、構建計算機終端數據安全防護意義

行業報告指出，數據安全管理缺乏有效舉措，員工在計算機終端傳送敏感數據渠道眾多，終端數據安全管控難。因此，及時解決計算機終端數據安全防御問題具有重要的現實意義。

（一）規范要求

2021年9月1日起施行的《中華人民共和國數據安全法》對單位實行數據分級分類保護提出了法定要求，數據安全已上升到國家法律層面。當前，行業亟需建立健全數據安全治理體系，提升數據安全風險評估、防范、處置和保障能力。

（二）發展需求

煙草行業信息化建設飛速發展，大量的數據資源累積存放在應用系統和員工電腦終端上，數據種類繁多，包括卷煙營銷、專賣、煙葉、物流、企業管理等各個業務領域，呈現出數據量大、復雜多樣等特點。隨著大數據、人工智能、云計算等新興技術的深入應用，只有解決好數據安全，才能更好地解決數據流通、共享等問題，打破數據孤島，為企業創造價值。

（三）填補數據安全防護空白

目前，數據安全防護更多的是病毒防護、漏洞修復、黑客攻擊等，在個人計算機終端上的數據安全防護較薄弱。通過建立計算機終端數據安全防護體系，可以填補計算機終端數據安全防護空白，減少數據遭受篡改、破壞、泄露、丟失或非法利用的風險。

二、終端數據安全防護存在的問題

（一）數據分級分類管理不完善

1.數據分級標準粗糙

在《煙草行業數據安全管理辦法（試行）》印發后，企業雖已結合具體業務制定本級《數據安全管理規定》，設定了分級的有關條款，但分級原則和方法相對簡單、粗糙，數據分級摻雜較多的主觀判斷，未能建立一套客觀充分的標準。

2.數據分類標準單一

在制定的《數據安全管理規定》中，設定了分類的有關條款，但對數據的分類主要按業務線進行籠統劃分，分類標準設定較單一，未能滿足大數據時代下數據存儲使用管理的需求。

3.敏感數據分類困難

煙草企業各業務系統中存在大量敏感信息，包括職工個人信息、薪資信息、賬戶賬號信息、卷煙庫存及采銷信息、零售戶信息、往來單位信息等。行業要求各省、地市、縣煙草專賣局推進數據分類分級工作，但相關的執行標準和實施參考尚不全面，主要依托管理員自身經驗進行分析和判斷，導致數據分類分級工作難以精準、高效開展。

4.具體執行存在偏差

數據分級分類形成數據資產清單的具體工作主要由各部門臨時安排的人員經辦，相關人員對數據分級分類了解不深、對數據資產認知不全面，容易出現分級分類不準、數據識別缺失等執行偏差。在分級分類標準原已不甚完善的情況下，執行偏差會降低分級分類工作質量。

（二）數據全生命周期安全管理缺失

目前，數據安全管理更多的是數據生命周期中的使用存儲階段，沒有從數據全生命周期上全程管理；數據傳輸、共享、使用等審批流程不完善，特別是一些需要在互聯網上公開信息，如果沒有審批流程，任意傳播，危險性大。

（三）終端數據防泄漏技術缺失

目前，數據安全管控主要依靠制度約束，雖然每臺電腦終端都部署了安全防護軟件，可防范木馬病毒等造成的數據泄露，但在防范員工有意或無意泄漏數據方面缺失技術措施。

三、終端數據安全防護體系構建

針對以上數據安全防護存在的問題，提出的計算機終端數據安全策略是：細化數據分類、分級標準，完善數據全生命周期管理的關鍵要素，對不同級別和類型的數據制定終端管理及技術防護措施，構建計算機終端數據安全防護體系，如圖1所示。

（一）管理標準構建

1.數據分類標準構建

數據分類以工作實際應用為需求，以存儲有序、查找快速、使用安全為原則，主要從保護要求、應用系統、業務類型等方面進行分類，如表1所示。

2.數據分級標準構建

（1）數據分級原則

為確保數據分級的科學性、合規性和適用性，便于參考實施，應遵循以下原則：

第一，安全屬性原則。數據分級的目的是保護數據安全，數據級別應與數據的安全屬性（保密性、完整性、可用性）密切關聯。

第二，結果導向原則。數據級別應與數據被破壞后的結果相對應，后果越嚴重，數據級別越高。

第三，綜合判定原則。數據級別應充分考慮數據應用場景、數據項組合情況、數據量大小等因素，力求數據分級準確合理。

第四，棄低取高原則。針對數據項的定級，選取該數據項所有判定結果中級別的較高值；針對數據項集合的定級，選取該數據項集合中所有數據項級別的較高值。

（2）數據分級標準

本文將數據級別分為四級，級別越高數據越重要，對安全性要求就越高，如表2所示。

（3）數據分級影響因素

數據級別判定主要取決于數據發生泄漏、篡改、丟失或濫用后的影響對象、影響廣度、 影響深度等因素，各因素及其相關描述如表3所示。

（4）數據級別與影響因素的關系

數據的安全性遭到破壞后，根據影響對象、影響廣度、影響深度的不同，可區分數據的級別，本文采用矩陣法將數據級別與影響因素一一對應，如表4所示。

（5）數據分級防護措施

根據分級好的數據級別，實行不同的管理措施和技術防護策略，如表5所示。

3.數據分級分類標準應用

根據以上數據分級分類標準，本文對部分數據進行實際分級分類，如表6所示。

4.數據生命周期管理標準構建

（1）數據生命周期定義

數據生命周期指數據從產生到銷毀的整個過程，如圖2所示。

數據產生：新的數據產生或現有數據內容發生顯著改變或更新的階段。

數據存儲：非動態數據以任何數字格式進行物理存儲的階段。

數據使用：組織在內部針對動態數據進行的一系列活動的組合。

數據傳輸：數據在組織內部從一個實體通過網絡流動到另一個實體的過程。

數據共享：數據經由組織與外部組織及個人產生交互的階段。

數據銷毀：利用物理或者技術手段使數據永久或臨時性不可用的過程。

（2）數據生命周期管理標準

數據產生階段管理標準：數據在終端產生后，先從系統、業務領用、保護要求等多個維度分類，再根據數據分級標準進行等級劃分，對不同等級按照分級分類標準采取相應的防護措施。

數據存儲階段管理標準：存儲分級分類的數據，根據密級的不同，采取不同的措施，保證數據的完整性和保密性。密級為公開的數據、無需保護，內部、普通和核心商密進行加密存儲，并設置數據權限，無權限不能隨意更改。

數據使用階段管理標準：從多方面管控終端，安裝終端安全軟件，從病毒、漏洞安全、應用程序安全、網絡安全、非法外聯安全、外設使用安全以及基線配置安全等方面，確保數據在終端上使用的安全性。

數據傳輸階段管理標準：針對不同密級數據的文件設置發送規則，例如，公開密級的數據可任意發送，內部密級數據限制內部傳輸，普通商密和核心商密禁止在終端的各個通道發送。同時，建立審計機制，在傳輸已分級分類會產生日志，日志描述了發送人與發送數據的屬性，會在發生數據泄漏時進行溯源。

數據共享管理標準：數據共享建立嚴格的共享權限，優化數據共享的方式，確保數據共享的數據流動可控，數據共享過程有完整的審計方式，劃分權限得當。

數據銷毀管理標準：建立有效的數據銷毀流程，銷毀流程有記錄、可審計，且數據銷毀措施有效，使數據永久不可用。

（二）技術策略構建

1.創建敏感字段策略

創建數據密級特征，根據特征創建數據感知庫組合。

2.創建數據發現策略

應用感知庫組合，掃描終端內數據，列出符合感知庫的數據，審計某文件級別的所有文件，記錄該文件被發現的時間、終端信息、用戶信息、密級和文件名等。

3.創建數據分級分類策略

對終端數據進行實時分級和掃描歷史文件。

實時分級：針對網內正在使用的文件，在關閉文件后，DLP終端根據分類分級配置掃描文件內容，符合分級特征的，標注分級標簽。

掃描歷史文件：針對磁盤已有的歷史文件，DLP終端根據分類分級配置掃描磁盤的文件內容，符合分級特征的，標注分級標簽，然后選擇不同文件級別文件的響應動作，并選擇審計與加密動作。

審計：支持對某文件級別的所有文件進行審計，記錄該文件被發現的時間、終端信息、用戶信息、密級以及文件名等。

加密：選擇需要加密的辦公文檔類進程，支持該進程下某文件級別的所有文件加密。選擇的加密辦公文檔類進程與“分類分級模板”應用的文件類型使用的進程全部一致，支持對某文件級別的所有文件加密。

4.創建水印策略

分別創建打印水印、截屏水印、拍照水印策略，通過水印技術，保護重要數據文件，并對信息泄漏進行有效的信息溯源。

5.創建DLP數據防泄漏策略

應用感知庫組合，對終端外發不同的密級數據進行審計或限制。限制的傳輸通道有HTTP/HTTPS/FTP/SMTP/移動存儲/網絡共享/藍牙/打印，應用終端的應用程序方式限制，包括即時消息應用、文件共享應用、CD－ROW應用。

（三）效果測試

制定相應策略后，本文進行了實際測試，如圖3、圖4所示，被定義的敏感信息通過郵箱、QQ對外發送時被阻斷。

四、結語

綜上所述，終端數據安全是數字化轉型“大安全”的重要環節，通過構建“管理+技術”的計算機終端數據安全防御體系，并運用于實踐，起到較好的防御效果。后續，筆者將在此基礎上探索補充移動終端的數據安全防御，進一步形成更完善的終端數據安全防御體系，為企業網信安全提供更有力的保障。

參考文獻：

[1]宋楠，仇道霞.山東煙草數據安全探索與實踐[J].現代信息科技，2020，04（01）：129-134.

[2]高磊，趙章屆，林野麗，等.基于《數據安全法》的數據分類分級方法研究[J].信息安全研究，2021，07（10）：933-940.

[3]王暢，曾亞.煙草行業數據的分類分級及安全防護方法探討[J].內蒙古科技與經濟，2020（01）：31-32+57.

[4]劉紅，張越今，趙文霞，等.多維度數據分級分類安全管理框架[J].信息網絡安全，2021（10）：48-53.

作者簡介：姚斌（1979），男，瑤族，廣西壯族自治區藤縣人，本科學歷，廣西壯族自治區賀州市煙草專賣局（公司）信息管理科科長，主要研究方向為網絡安全與信息化。