國有企業(yè)數(shù)據(jù)安全治理體系建設研究

潘 濤，李 勇，王 蓓

(內(nèi)蒙古電力科學研究院，內(nèi)蒙古 呼和浩特 010020)

數(shù)據(jù)安全防護能力不足是國有企業(yè)普遍存在的問題，這個不足體現(xiàn)在數(shù)據(jù)資產(chǎn)存儲管理混亂、數(shù)據(jù)共享和使用缺乏規(guī)范、數(shù)據(jù)傳輸缺少審計管理，總結(jié)起來就是既缺乏制度也缺乏手段。因此，國有企業(yè)需要以數(shù)據(jù)治理核心技術為前提，建設一套完備的數(shù)據(jù)安全管理體系，制定一套可行的數(shù)據(jù)安全管理制度，編制一套有效的工作管理標準，確保自建信息系統(tǒng)、信息內(nèi)外網(wǎng)、個人終端等數(shù)據(jù)安全穩(wěn)定運行。

1 數(shù)據(jù)安全發(fā)展趨勢

當今全球進入數(shù)據(jù)經(jīng)濟時代，數(shù)據(jù)資源成為推動各國產(chǎn)業(yè)發(fā)展和商業(yè)創(chuàng)新的動力源泉。然而與此同時，數(shù)據(jù)資源面臨的安全威脅也日益嚴峻，數(shù)據(jù)開放利用與數(shù)據(jù)安全治理成為“一個硬幣的兩面”，也是各國政策法律的焦點和難點。保護國有企業(yè)數(shù)據(jù)安全不僅關系到國家安全和經(jīng)濟發(fā)展，也關系到國有企業(yè)的切身利益。國有企業(yè)數(shù)據(jù)的非法采集、泄露、濫用等已成為國家安全層面關注的焦點問題，截至目前已頒布多部法律法規(guī)，例如《中華人民共和國數(shù)據(jù)安全法》《中華人民共和國網(wǎng)絡安全法》等。在國家層面，《中華人民共和國國民經(jīng)濟和社會發(fā)展第十四個五年規(guī)劃和2035年遠景目標綱要》明確提出，加強涉及國家利益、商業(yè)秘密的數(shù)據(jù)保護，強化數(shù)據(jù)資源全生命周期安全保護。“數(shù)字化時代意味著一切皆可編程，萬物均要互聯(lián)。整個世界將架構(gòu)在軟件之上，有互聯(lián)網(wǎng)軟件的地方就會存在漏洞，網(wǎng)絡基礎設施將更加復雜，攻擊面將無限擴大。未來的網(wǎng)絡安全攻擊將呈現(xiàn)高級化、大型化特點，所有的金融戰(zhàn)、科技戰(zhàn)歸根結(jié)底都是網(wǎng)絡戰(zhàn)”。數(shù)據(jù)治理是國有企業(yè)的首要戰(zhàn)略，必須確保國有企業(yè)數(shù)據(jù)清晰、準確、可用且安全。

2 數(shù)據(jù)安全治理關鍵點

2.1 核心數(shù)據(jù)難以梳理

數(shù)據(jù)存放在電腦、手機、筆記本、業(yè)務系統(tǒng)、數(shù)據(jù)庫中，大量的結(jié)構(gòu)化、半結(jié)構(gòu)化、非結(jié)構(gòu)化數(shù)據(jù)難于辨識，難以判斷哪些數(shù)據(jù)是重要的，保護難以下手；難以對數(shù)據(jù)標準定義，無法有效對數(shù)據(jù)分類分級；難以明確核心級別的數(shù)據(jù)在國有企業(yè)的整體分布情況；缺乏對核心數(shù)據(jù)生命周期的風險評估，數(shù)據(jù)生命周期安全現(xiàn)狀不明確。

2.2 數(shù)據(jù)治理影響業(yè)務

數(shù)據(jù)安全防護與工作效率相悖，需要考量安全和效率的平衡使得安全防護價值最大化；日常辦公文件與重要文件同時保存于辦公終端，缺乏對數(shù)據(jù)的分類和分級；保護措施難以和數(shù)據(jù)重要級別掛鉤，保護效能和效率較低；難以有效區(qū)分并按照相應價值等級進行管理；以文檔權限管理方式為主的防護方式，用戶主動性無法保障，容易防護失效。

2.3 內(nèi)部泄密難以管控

雖然網(wǎng)絡、業(yè)務系統(tǒng)、終端、存儲多個維度都在管理，但是防護難以實現(xiàn)數(shù)據(jù)安全管理緊耦合；各單位間存在文件交換的需要，外發(fā)的文件存在一次性復制、終身擁有、無限泄密風險；數(shù)據(jù)以刻錄光盤和內(nèi)網(wǎng)郵件等方式傳輸，文件接收人可以在任意環(huán)境使用文件，存在文件失控擴散風險；在日常工作中，不可避免地要通過打印、刻錄、IM傳輸、網(wǎng)絡發(fā)送、郵件等方式發(fā)送敏感數(shù)據(jù)，無法有效的管理和控制這些行為，很難防止重要文件的非受控擴散。

2.4 泄密事件難以溯源

重要的核心數(shù)據(jù)缺乏整個流通通路的監(jiān)控審計，難以追責到人；數(shù)據(jù)可以通過移動存儲介質(zhì)輕易地從國有企業(yè)電腦拿走，內(nèi)部專用介質(zhì)無法有效限制使用范圍，介質(zhì)濫用無法追溯審計；安全事件發(fā)生后，如果沒有一套完善的行為審計系統(tǒng)，仍然無法進行及時告警響應、準確定位事件源頭，給企業(yè)帶來極大的困擾和嚴重的信息安全隱患。

3 數(shù)據(jù)資產(chǎn)梳理研究

采集數(shù)據(jù)安全管控對象中各類安全數(shù)據(jù)，建立數(shù)據(jù)資產(chǎn)名錄，為安全業(yè)務支撐體系提供必要的數(shù)據(jù)支撐。具體采集方法包括。

3.1 信息系統(tǒng)流量數(shù)據(jù)監(jiān)測

信息系統(tǒng)的安全監(jiān)測，對內(nèi)容是否發(fā)生泄露等情況進行監(jiān)控。

3.2 關鍵節(jié)點流量數(shù)據(jù)監(jiān)測

采用流量分析技術可對關鍵節(jié)點流量進行快速抓包協(xié)議還原，深度解析各種傳播數(shù)據(jù)，發(fā)現(xiàn)異常流量分析在內(nèi)的各類威脅監(jiān)測，感知全流量網(wǎng)絡安全態(tài)勢。

3.3 威脅情報數(shù)據(jù)采集

對接安全企業(yè)提供的安全數(shù)據(jù)，通過長時間的基于海量的數(shù)據(jù)，對數(shù)據(jù)進行建模和學習，從而構(gòu)建出在不同場景中的異常狀態(tài)并形成基線數(shù)據(jù)，而這些數(shù)據(jù)剛好可以完善威脅情報數(shù)據(jù)來源，便于數(shù)據(jù)安全事件溯源取證管理。

3.4 安全設備日志數(shù)據(jù)采集

通過對安全數(shù)據(jù)管控的網(wǎng)絡、主機、安全設備、數(shù)據(jù)庫等數(shù)據(jù)采集，及時發(fā)現(xiàn)各種安全威脅、異常行為事件。

4 數(shù)據(jù)安全治理核心技術研究

4.1 海量數(shù)據(jù)風險智能識別技術

海量數(shù)據(jù)風險識別系統(tǒng)可用于HTTP/HTTPS協(xié)議檢查，可審計或禁止含有機密數(shù)據(jù)的傳送，主動防止丟失機密數(shù)據(jù)。涵蓋范圍包括WEB郵件傳送(例如163或QQ)、網(wǎng)站POST、博客或BBS文章等通信。系統(tǒng)會根據(jù)關鍵字、正則表達式等規(guī)則來檢查數(shù)據(jù)，以判定數(shù)據(jù)是否違反數(shù)據(jù)丟失策略。

系統(tǒng)會掃描所有通過WEB界面離開大數(shù)據(jù)中心的數(shù)據(jù)，以查看是否含有敏感信息。系統(tǒng)將會對于通過HTTP或HTTPS加密協(xié)議向外發(fā)送的數(shù)據(jù)進行敏感信息檢測，并根據(jù)配置的策略進行審計或阻斷等方式進行處理。

系統(tǒng)采用多線程高并發(fā)設計，充分發(fā)揮CPU的計算能力，并在程序設計時應用了動態(tài)的資源分配算法，使得系統(tǒng)的資源利用更高效，計算能力顯著提升。另外，在網(wǎng)絡應用解析處理和SSL數(shù)據(jù)解密環(huán)節(jié)采用了DPDK技術，使得業(yè)務處理性能提升了80%，而且性能提升與資源配置形成了線性關系。實現(xiàn)了單機萬兆處理能力，并可在增加運算資源的情況下可進一步提升性能。

4.2 敏感數(shù)據(jù)審計與溯源技術

敏感數(shù)據(jù)審計與溯源技術對數(shù)據(jù)庫網(wǎng)絡流量采集，基于數(shù)據(jù)庫協(xié)議解析與還原技術實現(xiàn)對數(shù)據(jù)庫所有訪問行為的監(jiān)控和審計，對其中的危險操作進行多種方式的告警，對數(shù)據(jù)庫訪問行為進行多維度的統(tǒng)計分析。支持多種國內(nèi)外主流數(shù)據(jù)庫類型，采用旁路鏡像或者軟探針方式采集數(shù)據(jù)，經(jīng)過通信協(xié)議解析和SQL語法分析，獲取數(shù)據(jù)庫會話和操作行為相關信息形成記錄，保存信息日志。系統(tǒng)詳細記錄每次操作的發(fā)生時間、數(shù)據(jù)庫類型、源MAC地址、目的MAC地址、源端口、目標端口、數(shù)據(jù)庫名、用戶名、客戶端IP、服務器端IP、操作指令、操作返回狀態(tài)值。

關聯(lián)應用層的訪問和數(shù)據(jù)庫層的訪問操作請求，可以追溯到應用層的最初訪問數(shù)據(jù)及請求信息；突破傳統(tǒng)非精確關聯(lián)的時間關聯(lián)匹配層的最初訪問數(shù)據(jù)及請求信息；突破傳統(tǒng)非精確關聯(lián)的時間關聯(lián)匹配模式，實現(xiàn)精確關聯(lián)匹配。能精確審計到業(yè)務端相關信息，包括應用用戶和終端IP等，支持集中授權、單點登錄場景下的應用用戶關聯(lián)審計。實現(xiàn)泄密風險追責到人。

4.3 數(shù)據(jù)安全事件關聯(lián)分析技術

數(shù)據(jù)安全態(tài)勢感知技術是集中對數(shù)據(jù)安全策略的配置及統(tǒng)一管理中心。采用大數(shù)據(jù)技術架構(gòu)，通過人工智能算法，以全場景數(shù)據(jù)和人員行為分析為主線，探測發(fā)現(xiàn)威脅本單位的數(shù)據(jù)安全事件，并提供完整追溯取證證據(jù)鏈，全面保障客戶數(shù)據(jù)安全。同時能將各個孤立的系統(tǒng)進行資源整合，數(shù)據(jù)集中和關聯(lián)分析以揭示事件背后隱藏的邏輯關系，從而全面監(jiān)控數(shù)據(jù)安全狀況，指導安全管理，有效預防、阻斷或減少安全威脅。

5 國有企業(yè)數(shù)據(jù)全生命周期安全防護體系建設內(nèi)容

5.1 國有企業(yè)數(shù)據(jù)分類分級保障組織建立

組織機構(gòu)主要由領導小組、調(diào)研梳理組、實施分析組、專家咨詢組組成，確立數(shù)據(jù)分類分級保障組中的機構(gòu)、人員、職責、工作分配。

5.2 國有企業(yè)數(shù)據(jù)分類分級標準的制定

安全應用支撐能力建設需遵從數(shù)據(jù)安全和數(shù)據(jù)標準的規(guī)范，并按照數(shù)據(jù)采集、數(shù)據(jù)處理、數(shù)據(jù)治理、數(shù)據(jù)資產(chǎn)、數(shù)據(jù)服務和數(shù)據(jù)運維幾個方面進行有機結(jié)合。建立數(shù)據(jù)安全分類分級標準和規(guī)范，全方位打造集“采集”“融合”“服務”于一體的數(shù)據(jù)管理體系。安全業(yè)務支撐體系架構(gòu)劃分為數(shù)據(jù)源、數(shù)據(jù)采集、數(shù)據(jù)資產(chǎn)、數(shù)據(jù)處理、數(shù)據(jù)治理、數(shù)據(jù)服務、數(shù)據(jù)安全和數(shù)據(jù)保障等內(nèi)容。數(shù)據(jù)采集部分負責多源異構(gòu)安全數(shù)據(jù)的高效、靈活接入。

5.3 國有企業(yè)數(shù)據(jù)全生命周期安全防護體系建設方案標準

數(shù)據(jù)安全保障方面，在確保基礎設施環(huán)境安全的前提下，改變傳統(tǒng)環(huán)境以承載數(shù)據(jù)的系統(tǒng)為保障核心的思路，直接聚焦數(shù)據(jù)，結(jié)合數(shù)據(jù)的生命周期進行安全技術保障體系的設計，通過集約化、服務化的交付方式，利用從數(shù)據(jù)采集/產(chǎn)生、數(shù)據(jù)傳輸、數(shù)據(jù)存儲、數(shù)據(jù)處理、數(shù)據(jù)交換到數(shù)據(jù)銷毀全生命周期的安全技術控制措施，實現(xiàn)數(shù)據(jù)生命周期的安全保障。

數(shù)據(jù)處理完成數(shù)據(jù)組織中各類安全業(yè)務庫的構(gòu)建，產(chǎn)生數(shù)據(jù)關聯(lián)信息，實現(xiàn)數(shù)據(jù)融合，提升數(shù)據(jù)價值。數(shù)據(jù)治理通過管理安全元數(shù)據(jù)、數(shù)據(jù)質(zhì)量、數(shù)據(jù)標準等信息，規(guī)范數(shù)據(jù)組織形式，強化數(shù)據(jù)資產(chǎn)運營，同時對數(shù)據(jù)質(zhì)量、標準等進行管控，通過運維手段確保數(shù)據(jù)生命周期的運行。數(shù)據(jù)資產(chǎn)作為數(shù)據(jù)資源的載體，規(guī)范了數(shù)據(jù)價值逐步提升過程中數(shù)據(jù)資產(chǎn)的組織、展示形態(tài)、共享權限等信息。

數(shù)據(jù)服務給上層應用提供透明、一致、靈活的數(shù)據(jù)服務。數(shù)據(jù)運維用來全面監(jiān)控安全數(shù)據(jù)處理、數(shù)據(jù)流量、數(shù)據(jù)資源的總體情況和使用情況。數(shù)據(jù)服務作為整個系統(tǒng)的重要基礎工作，它將多源異構(gòu)的數(shù)據(jù)采集匯聚之后，經(jīng)過數(shù)據(jù)處理及數(shù)據(jù)治理等方式，通過數(shù)據(jù)過濾、歸并、去重并按照業(yè)務邏輯關系打上標簽，存入到數(shù)據(jù)資產(chǎn)庫中，以便數(shù)據(jù)服務層進行查詢、比對、統(tǒng)計和數(shù)據(jù)應用支撐。

5.4 國有企業(yè)數(shù)據(jù)安全服務體系建設

加強數(shù)據(jù)安全風險評估與加固、策略動態(tài)優(yōu)化，完善安全防護措施、安全應急處置和信息安全應急預案演練、組織人員安全培訓、建立健全安全標準規(guī)范和管理制度、切實提升信息安全防護能力。

6 預期目標及效益分析

6.1 預期目標

可形成一套“多維聯(lián)動、立體防護”的國有企業(yè)數(shù)據(jù)安全管控體系，統(tǒng)籌對關鍵信息基礎設施的風險評估、安全防護、監(jiān)測監(jiān)管、預警通報、應急處置、標準規(guī)范及安全培訓，逐步形成基于物理、網(wǎng)絡、數(shù)據(jù)、系統(tǒng)、管理的6層立體安全防護體系方案。同時建立覆蓋數(shù)據(jù)產(chǎn)生、歸集、存儲、交換、利用到銷毀的全生命周期安全管控措施，確保每一條數(shù)據(jù)來源清晰、流向合規(guī)、使用正當?shù)臄?shù)據(jù)安全治理流程和規(guī)范。

6.2 效益分析

①建設一套完善的數(shù)據(jù)安全治理防護體系可以使國有企業(yè)更有效地履行國家法律和行業(yè)規(guī)范的要求。②促進國有企業(yè)安全管理體系的建立，使得國有企業(yè)核心業(yè)務所賴以持續(xù)的各項信息資產(chǎn)得到妥善保護，建立有效的業(yè)務持續(xù)性計劃框架，實現(xiàn)數(shù)據(jù)安全風險管理，降低因為潛在安全事件發(fā)生而給國有企業(yè)帶來的損失。③可規(guī)范國有企業(yè)員工信息安全行為，增強內(nèi)部員工的數(shù)據(jù)安全意識，提升其責任感，減少人為原因造成的不必要損失。