數字時代大數據安全防范策略的思考與研究

摘要：隨著《網絡安全法》《數據安全法》《個人信息保護法》的發布，數據要素的管理及利用面臨著剛性的安全合規要求。因此，加強數據安全保護既是數據產業自身發展需要，也是國家監管的客觀要求。然而，我國數據產業正處于發展初期，數據利用與數據安全的協同發展在很長一段時間將是我國數據產業發展的主要矛盾。本文基于以上因素，分析了數字時代下數據安全的特點和痛點，并提出了有針對性的防范措施，以期為數字時代的數據安全保護提供參考。

關鍵詞：數字化；數據安全；防范措施；計算機網絡

數字時代對數據安全的管理要求越來越重要。數據安全，是指通過采取相應的措施，確保數據處于有效保護和合法利用的狀態，并能做到持續安全狀態的能力。具體而言，數據安全有兩層含義：一是數據本身的安全，即通過信息技術，在可靠的算法邏輯、安全控制技術的支持下對數據進行主動保護，同時在必要的加密處理下提高整體數據的完整性，有利于完成雙向身份數據的認證工作[1]。二是數據防護的安全，即借助現代信息存儲手段，開展自動化、高效化、智能化管理對數據進行主動防護，如通過磁盤陣列、數據備份、異地容災技術保證數據的安全[2]?，F實中所稱數據安全問題，大部分指的是第一部分的安全。

一、當前數據安全風險態勢分析

IBM《2022年數據泄露成本報告》指出，數據泄露主要發生的行業包括金融、服務、工業、科技、能源、公共部門領域。每次數據泄露事件平均會帶來435萬美元的損失，其中大規模數據泄露的平均成本甚至高達3.87億美元。此外，83%的企業已不是首次發生數據泄露事件[3]。而據Verizon《2022年數據泄露調查報告》披露，2022年數據泄露的四個關鍵途徑是未經授權的憑據、網絡釣魚、漏洞利用和僵尸網絡，其中82%為人為因素[4]。

中國軟件測評中心對電信和互聯網行業的威脅監測和遠程檢測結果分析發現，安全漏洞或問題80%和數據安全相關，其主要包括SQL注入、非授權訪問、數據泄露三大類。其中導致非授權訪問的原因多樣，包括弱口令、授權繞過、未進行身份驗證等，數據泄露方面甚至存在源代碼泄露等問題[5]。數據安全事件的影響已經從最初的企業和個人逐步延伸到國家各個行業和整個社會。數據已經成為國家、企業、個人最重要的資產之一，保護數據安全已經迫在眉睫。

二、數字時代大數據安全防范處理的痛點

（一）管理層面

1.合規治理下數據安全實施細則尚不完善

隨著有關數據安全和個人信息保護相關法律法規要求發布，對于數據的采集、傳輸、存儲、加工等處理活動及數據跨區域流動，存在數據所有權與使用權分離的復雜場景。這是因為實現相關細化的數據安全監測與管控等實施細則建設不完善，導致數據流動控制與數據確權困難。

2.傳統網絡安全風險評估應對數據安全適應度不足

《數據安全法》《個人信息保護法》等數據安全相關法律要求落地數據安全風險評估，并對數據資產進行保護。然而，數據資產具有流動性，會在不同的載體和場景下流動。傳統的網絡信息安全風險評估主要面向的是網絡環境下基于某個標準作為評估項的載體資產，具有相對靜態、固化特性，無法順應數據流動過程中不同環境、不同目標下的安全評估要求。

3.數據安全防護和網絡安全防護體系未有效融合

企業在網絡安全管理上，通常已按照等保合規要求建立了較為完備的網絡安全防護體系，形成了面向終端、主機、網絡、系統等載體的安全防護能力。在數據安全防護層面開展針對數據本身的數據分類分級、訪問控制、數據加密、數據脫敏等單點數據安全防護能力建設。面向數據本身的數據安全防護與面向數據載體的網絡安全防護體系尚未形成有機融合，缺乏整體化防護能力，難以全面保障數據在生命周期流轉過程中的安全性。

（二）技術層面

1.數據資產與分類分級實施難度大

隨著化信息、網絡化和智能化水平的不斷提高，系統業務數據規模日漸龐大。在技術維度方面，企業數據往往存在數據量大、結構復雜的問題，一方面海量原始數據量難以對每一條數據進行分類分級管理；另一方面在數據交換、共享過程中，數據不可避免要脫離原有載體。這就需要在數據傳輸過程中再次進行數據分類分級，并設置安全防護策略，以保證數據的安全性。

2.數據所有權與使用權分離導致數據開放共享困境

在現實中，數據作為特殊資產，其所有權和使用權存在分離的情況。當數據被共享、交換后，其跟蹤和溯源問題變得異常困難。從法律層面講，當前與數據權屬相關的法律法規尚未頒布，在此前提下作為數據使用者如何向數據所有者落實數據管理義務是難點。從落地層面講，經交換、共享等處理活動，數據已流出了數據所有者的可控范圍。所以，在數據使用過程中，如何落實數據所有者要求的安全管理義務，并提供合規性檢測證明以及事后取證、責任認定等，也是難點。

三、數字時代大數據安全防范處理策略

（一）建立“以數據為中心、以數據管理組織為單位、以管理和技術為基本抓手”的指導思想

以數據為中心保護數據安全是數據安全治理的重要理念和發展趨勢。在數據管理過程中，應充分考慮到數據處理活動的所有細節。在數據管理生命周期的各個時期，針對安全威脅暴露的情況所采取的安全策略、手段很有可能完全不一樣。綜合考慮在不同階段所面臨的風險，強調建立整體而不是某個環節數據安全防護的能力，是以數據為中心的安全管理核心思想理念。

建立一個常設的數據安全治理小組是以數據管理組織為單位的重要體現。該團隊的職責是制定對數據開展分級分類、保護、使用和管理。架構確定后，則需開展定員定崗，定崗的本質是分工，定員的核心是明確職責，二者被共同用于在分工基礎上為企業實現降低成本、提高效率的終極目標，定員定崗、專業化分工是解決問題、實現目標的基本方法。

數據安全管理的實現，毫無疑問離不開有效的管理和先進的數據安全防護工具。一方面，高效的管理體系需要以網絡安全體系等合規建設成果為基礎，依托現有的網絡安全組織、安全管理制度及流程、運維保障機制，擴展以數據為中心，圍繞數據處理活動的場景手段，將數據安全和網絡安全充分融合，整體保障數據安全建設。另一方面，先進適用的數據安全治理平臺能提高自動化數據識別能力，并基于行業級，精細化的分類分級標準，實現智能化、快速的分類分級，進一步開展數據安全評估與動態防護策略設置，還能加強數據流動監測與數據泄露風險分析，實現數據資產梳理、安全防護、行為審計、數據脫敏、數據加密，保障數據流動和開放的安全性。

（二）建立數據安全管理體系

建立數據安全管理體系，首先應深入調研和解讀國家及本行業在數據安全方面的合規性要求，建立數據安全管理制度四級文件，最終形成一級方針文件，二級制度規范文件，三級細則指引文件，四級表單、模板和記錄文件。值得注意的是，數據安全管理體系要求并不是摒棄原有組織內部建設以網絡為中心的安全管理規范，而是在此基礎上融合數據安全管理要求，形成更全面的數據安全管理規范。

（三）建立數據安全技術體系

數據安全技術體系并非單一產品或平臺的構建，而是覆蓋數據全生命周期，結合組織自身使用場景的體系建設。要依照組織數據安全建設的方針原則，圍繞數據處理活動各場景的安全要求開展，這里借鑒綜合了Gartner數據治理模型、Microsoft的DGPC理念等現有數據安全治理模型提出的針對數據安全保護的模型，即“識別—防護—監測—響應”（IPDR）模型，建立與制度流程相配套的技術和工具，并將這些技術和工具形成平臺化應用，發揮技術合力。通過持續對數據生命周期內各個使用場景進行風險監測，評估企業或組織現有數據安全控制措施的有效性及薄弱環節，對有問題的風險場景及時進行數據安全整改，優化數據安全相關制度流程，進而持續提升組織數據安全防護能力，下面將分別從模型的4個維度展開討論：

1.識別技術

此階段對相關信息系統和業務數據進行半自動化分析，識別可能產生個人信息安全風險的系統、資產和數據。

①數據資產梳理。其主要工作任務是針對目標環境中的所有數據資產進行全面摸排、清查，通過明確數據資產類型、分布、權限、使用等信息，構建數據資產目錄的過程。數據資產梳理主要包括兩種技術：一是靜態梳理技術，即采用對IP地址段和端口范圍開展掃描的主動嗅探方式發現數據資產，再應用數據庫字段識別技術、數據樣本特征識別等技術和元數據接口對接形成數據資產清單，最終形成靜態目錄的過程；二是動態梳理技術，即通過獲取對數據載體的訪問流量并進行解析，采用對網絡流量進行協議分析的被動監測方式，從中判別出敏感資產的訪問狀況包括訪問源身份與位置、訪問時間、訪問頻次、訪問返回結果集，用于形成數據訪問關系清單。

②數據安全治理。只有做好分類分級，明確保護對象，才能在此基礎上區分訪問者的權限邊界，從而制定不同的數據安全防護策略。數據分類分級涉及的關鍵技術如下：一是數據特征自動識別引擎，即主動發起數據探測行為，對數據源或結構化文件中的數據進行分析，加速人工判別過程。二是謂詞切分與語義識別技術，即對數據的業務屬性基于文本上下文進行合理、準確地謂詞劃分，輔助人工進行判斷。三是知識庫與匹配技術，即對于某個其“專業術語”可以被枚舉、收集的特定行業，在結合謂詞拆分的基礎上，將該行業所涉及的謂詞進行充分歸納記錄整理，最終形成行業知識庫。四是機器建模與匹配等技術，即引入機器學習，數學建模等技術，采用監督學習模型，對于同樣遵循同樣邏輯構造的大量數據開展篩選并提交至機器學習引擎進行建模，反復訓練達到較高匹配率后再完成后續數據的智能分級分類匹配。

③數據安全評估流程。類似于網絡安全整體性評估，通常包括資產識別、脆弱性識別、威脅識別、已有安全措施識別、殘余風險識別等多個維度的評估分析。

2.防護技術

身份安全基礎設施防護，包括IAM身份識別與訪問管理和PKI基礎公鑰設施。其中IAM身份識別與訪問管理能提供有效安全的IT資源訪問的業務流程和管理手段，實現審計、授權和身份數據集中管理與組織信息資產統一的身份認證。而PKI（Public Key Infrastructure）是一種遵循既定標準的密鑰管理平臺。它能夠為數據生命周期防護涉及的身份認證、數據傳輸、數據存儲、數據訪問、數據應用提供加密和數字簽名等密碼服務及所需的密鑰和證書管理體系。

數據收集傳輸防護，應首先滿足合法性要求，遵循收集的必要性和最小化原則，防止出現超范圍收集用戶數據、超權限使用用戶數據、違法違規交易用戶數據及差異化用戶決策等違法行為。這里可以使用支持密碼加密的通信，實現數據加密傳輸，防止數據泄密、被偵聽或篡改，保障數據采集和傳輸過程中的安全。

存儲安全防護應用，即應用數據庫加密技術保障結構化數據存儲安全、數據DLP技術保障非結構化數據安全以及數據保護技術保障數據的可用性，建立一套完整的數據存儲安全機制。數據庫加密技術是基于對稱密碼加密和非對稱密碼加密的保護，其中對稱密碼保護的對象更多是實際應用數據，非對稱密碼保護的數據往往是密鑰數據。數據DLP技術則對駐留在電腦終端、服務器、文件共享和數據庫上的敏感信息進行監控，在數據操作之前進行管控，使企業或組織能夠最大化加強對關鍵數據的管控。

使用安全防護，主要針對數據在使用過程中的流動性，極易導致數據泄露事件的發生情況。因此在數據使用階段，應從數據內容識別和數據權限細粒度兩方面實施數據安全防護措施，一方面通過網絡DLP，在網絡傳輸過程中精確識別敏感數據，及時切斷數據傳輸，避免數據泄露。另一方面，通過數據動態脫敏和靜態脫敏技術，對用戶查詢的數據進行數據脫敏，實現基于“身份－數據”的訪問權限控制，應用數據庫安全防護能力對權限進行細粒度管控，保障數據使用的合規性。

3.監測技術

數據安全監測技術可以從多個維度抽取數據，并進行關聯、分析，形成風險判斷和違規告警，并對風險趨勢進行預測，向被監管單位發布數據安全風險預警。數據安全監測技術往往采用分布式系統架構，工作基于監測系統和探針，由監測系統向探針下發安全策略，匯總探針上報的安全事件并開展分析，跟蹤被監管單位數據安全事件處置進度，綜合各監管單位的數據安全整體情況，預測某一范圍內的數據安全風險趨勢。探針支持被監管單位按標準、規范進行數據分類分級。數據流轉監測、制定數據風險監測與響應處置。

4.響應技術

響應技術不得不提響應與處置自動化（SOAR），SOAR通過聯動多個系統和設備來調度不同的安全能力，將人、技術與制度相融合，建立手動與自動相結合的協同響應與處置機制。SOAR的核心能力包括編排、自動化、安全響應和威脅情報，SOAR具備對第三方設備/系統接口對接能力、劇本編排能力以及任務管理能力，通過預定義的劇本形成標準化流程，簡化事件的處置流程，加快事件的響應速度，減少處理事件的響應時間，對不同類型的安全事件實現自動化響應，將組織的安全運營流程數字化管理，有效提高安全事件響應效率。

四、結束語

本文提出了建立“以數據為中心、以安全組織為單位、以管理和技術為基本抓手”的指導思想的安全框架探索。同時結合管理與當前成熟的數據安全技術出發展開闡述，為數據安全治理提供了有效的實踐方案。

作者單位：彭星 廣州市市場監督管理數據應用中心

參? 考? 文? 獻

[1]彭楠.計算機系統中的大數據與信息安全技術分析[J].電子技術，2022，51（06）：142-143.

[2]王逢浩.配電自動化運行監管系統研究與開發[D].北京：華北電力大學（北京），2017.

[3]IBM安全團隊.2022年數據泄露成本報告[R] .北京：國際商業機器（中國）有限公司， 2022.

[4]Editorial Department .2022 Data Breach Investigations Report[R] . New York ： Verizon Communications， Inc. ， 2022.

[5]網絡空間安全測評工程技術中心.電信和互聯網行業數據安全治理白皮書：2020[R] .北京：中國軟件評測中心， 2020.