一种数据防扩散平台在企业多业务场景中的应用

【 摘 要 】 数据扩散是企业面临的关键信息安全问题之一，必须采用防护机制与策略保护企业核心数据。由于数据防扩散工作是一项涉及“人”、“计算机”、“数据”等多方面要素的系统性工程，需提出一套整体性的、针对于不同要素的防护机制与策略。基于对开展数据防扩散工作的认识，以将“计算机”设置为安全边界、将“人”设定为可信人员、在安全边界内使用“数据”为方法，组织研发一种数据防扩散平台。经在四种业务场景中的应用，该平台有效保护了业务场景中的数据。

【 关键词 】 计算机；数据防扩散；数据静态存储；数据动态传递

Application of a Data Loss Prevention Platform in Enterprises Multi-Business Scenarios

Wang Jie

（China Petroleum Engineering Co.，Ltd Southwest Company SichuanChengdu 610041）

【 Abstract 】 Data loss is one of the vital information security issues faced by the modern company. Prevention mechanisms and policies are now undoubtedly a necessary to protect companys business-critical data. Since data loss prevention is a systematic engineering project， which normally containing multi-factors （i.e. people， computer and data）， it is important to propose an overviewed but each factor-targeted prevention mechanism with appropriate policies. According to the understanding of data prevention practices， a data loss prevention platform， which defining the computer as the secure boundary and authorizing the staff as the trusted user， proposed and implemented to utilize the data within the secure boundary. By applying the proposed platform in four business scenarios， it is shown that this platform effectively protects the business data.

【 Keywords 】 desktop computer； data loss prevention； data static storing； data dynamic transmission

1 引言

隨着信息化技术的迅猛发展，企业通过开展满足自身需求的信息化建设提升办公手段、提高工作效率，并形成和积累了大量的过程与成果数据。这些数据被视为企业重要的无形资产，是企业的五大核心资源中的一项[1]。若数据被扩散，不仅导致企业在激烈的市场竞争中处于不利的地位，还可能对国家政治、经济、社会和个人造成重大影响[2]。

据统计，92%的数据扩散事件可归入九种基本模式（其中，内部失窃约占19%，物理性损失约占16%。）[3]。为保护数据安全，企业常用技术手段为“数据加密”，但其实质是利用密码技术对数据进行加密隐藏。当加密数据被扩散后，虽能延缓数据被使用的时间、增大数据被使用的成本，但仍存在被破解的风险[4]。而用于防止数据扩散的系统（Data Leakage/Loss Prevention System）往往具备识别、监控和保护敏感数据的能力，并可根据预先定义的安全策略检测误用情况[5]。常见的商用数据防扩散系统包括：McAfee DLP、Check Point DLP、防水墙等。这些系统或机制在应用过程中必须根据企业的业务特征和对数据安全等级的定义进行配置[6]；并以“用户驱动”的方式提高用户的安全意识、告知用户企业的安全策略、在关键数据上打标签，否则，可能导致较高的错误检测率[7]。

笔者参与了所在企业开展的数据防扩散研究工作，基于企业战略和业务需要，梳理了四种业务场景的数据防扩散需求，构建了适用的数据防扩散平台。本文总结了在数据防扩散研究过程中的认识，数据防扩散平台的构建方式，以及数据防扩散平台在四个业务场景中的适应性。

2 对企业开展数据防扩散工作的认识

数据扩散的发生通常由“人”、“计算机”和“数据”三个基本要素构成。企业应结合自身的行业特征与业务特点，对三个基本要素体系化地开展数据防扩散工作，主要包括：（1）识别可能的数据扩散途径；（2）确定合理的数据安全级别；（3）规划、验证、实施可行的安全保护策略。

2.1 关于识别数据扩散途径

图1展示了常见的数据扩散途径样例。在数据的静态存储过程中，数据可以通过数据存储介质被盗用、复制的方式（包括但不限于：窃取计算机硬盘或计算机主机）被扩散；在数据的动态传递过程中，数据可以通过网络传输的方式（包括但不限于：在线聊天工具传输、邮件传输、网盘上传）和使用移动存储介质拷贝数据的方式[8]被扩散；在数据的动态使用过程中，数据可以通过被复制的形式（包括但不限于：相机拍摄、文件复印）被扩散。

2.2 关于数据安全级别与安全保护策略

由数据的拥有者负责确定数据的敏感程度并明确是否需要得到保护，是一种较好的实践方法[9]。但要全面、准确、规范地识别数据对企业生产经营管理的重要性与涉密程度，并定义安全级别，是企业开展基于“数据”的数据防扩散工作的难点。

3 技术方法

本数据防扩散平台的目标，不是根据数据的安全等级对数据精准地执行防扩散措施，而是将“人员”和“计算机”作为管控的对象，构建出一种可控的数据使用环境，以使合法的人员在可控的计算机上存储和使用数据。

3.1 总体架构

数据防扩散平台的总体架构和主要包含的模块如图2所示。

（1）“模版管理模块”：用于管理每个业务场景中使用的操作系统和应用软件镜像。

（2）“安全策略管理模块”：用于定制和管理每个业务场景中的安全策略。

（3）“计算机管理模块”：用于管理每个业务场景中使用的终端计算机。

（4）“用户管理模块”：用于管理每个业务场景中使用终端计算机的人员，包括：人员的使用权限授权、登陆计算机的账号管理。

（5）“管理员管理模块”：用于超级管理员对每个业务场景的二级管理员进行管理。

3.2 部署逻辑

数据防扩散平台是将计算机需要部署的操作系统和应用软件集中到后台服务器，形成统一管理的镜像模板。根据不同业务场景的数据防扩散管控需要，在服务器中针对“人员”和“计算机”配置各业务场景的安全策略（主要包括：计算机的物理层安全策略、计算机的操作系统层安全策略、计算机的部署环境安全策略、人员安全策略）。最后将镜像模板和配套安全策略统一下发至业务场景下的计算机。

下发到计算机的操作系统和应用软件充分利用计算机自身硬件的计算资源实现本地化运算。与此同时，数据防扩散平台与计算机实时进行数据引导，确保计算机在后台服务器的实时检测和统一管理，以保持各项数据防扩散策略的有效性。

4 多业务场景应用

4.1 应用的业务场景

数据防扩散平台在笔者所在企业应用的业务场景如下。

（1）工程设计场景。该业务场景主要采用了AVEVA工程设计软件开展工程设计工作[10]。由于AVEVA工程设计软件是C/S架构模式，其设计数据往往存放于项目专用服务器。但由于AVEVA数据文件存放形式的特殊性，其数据文件可拷贝至计算机本地。另外，为了满足项目设计质量与进度要求，常聘用临时设计团队开展设计工作。该场景需授权临时设计团队使用指定计算机，并在整个设计过程中防止设计数据和设计成果被恶意拷贝或将硬盘移植至其它计算机中使用。

（2）软件外包研发场景。在多个软件外包研发过程中，研发团队所使用的输入参考资料为多年累积形成的关键业务知识；而研发获得的设计文档、软件源代码、软件安装包，也是重要的信息资产。该场景需为软件外包研发团队提供专门的驻场研发环境。

（3）电子图档存档场景。电子图档主要包括历年工程设计项目和科研项目的电子化成果文件，是重要的数据资产和知识积累，具有复用、挖掘的重要价值。在该业务场景中，电子图档存档需由指定工作人员在指定计算机上通过端口导入，并上传至图档系统。该场景需授权唯一的电子图档存档管理人员使用指定的计算机，并对计算机端口使用进行管控。

（4）采购评标场景。采购评标场景中采用了电子化的采购评标方式，评标专家通过专用的计算机评判投标方提交的投标电子文档，并在指定的评标系统中做出投标评判。该场景需严防电子版的投标文档和评标报告在评标结果公布前被扩散。

4.2 策略应用

当数据防扩散平台向业务场景中的计算机推送镜像模板时，应用以下配套安全策略。

（1）802.1x认证配置。阻止用户将未部署数据防扩散平台的计算机接入指定网络环境，避免访问存放有数据的服务器或共享文件夹。

（2）加域及域控配置。仅允许具有合法账号的指定用户登录、使用计算机；且可配套应用其它域控管理策略。

（3）端口配置。管理计算机端口，禁止通过USB、光驱、蓝牙等端口将数据拷贝。

（4）硬盘加密配置。对计算机物理硬盘加密，阻止硬盘移除后在其它计算机中直接读取数据。

（5）快速恢复策略。在计算机出现中病毒、软件遭到破坏等故障后，通过操作系统推送快速将计算机恢复到正常状态。

5 结束语

笔者所在企业基于已有的私有云架构部署数据防扩散平台，有效地保护了多业务场景下业务数据及知识资产的安全，达到了对计算机终端的数据防扩散目的。本平台适应于广泛的数据防扩散场景，对其它业务场景的实用性及配套安全策略尚待探索。

参考文献

[1] 郭成华. 工程公司企业信息化建设的规划方法 [J]. 天然气与石油， 2016.34（2）：78-81.

[2] 吴世忠. 扼住数据扩散高发的势头[J].中国信息安全，2012（2）：2.

[3] 郭瑞. 数据扩散风险的趋势分析[J].信息安全与技术， 2014，5（10）：18-21.

[4] 史殿娟. 浅谈数据防扩散系统在铁路产品安全设计中的应用[J].铁路采购与物流，2015（4）：41-42.

[5] Sultan Alneyadi， Elankayer Sithirasenan， Vallipuram Muthukkumarasamy. A Survey on Data Leakage Prevention Systems [J]. Journal of Network and Computer Applications，2016.

[6] Lior Arbel. Data loss prevention： the business case [J].Computer Fraud & Security， 2015.2015（5）：13-16.

[7] Stephane Charbonneau. The role of user-driven security in data loss prevention [J].Computer Fraud & Security， 2011.2011（11）：5-8.

[8] 何思思，吴一冰，刘新永，等. 浅谈三种移动存储介质中数据交换的防泄密方案[J].中国科技纵横，2014（6）：32-33.

[9] Chen Keke， Liu Ling. Privacy Preserving Data Classification with Rotation Perturbation [C]. 5th IEEE International Conference on Data Mining， 2005.

[10] 宋光紅、刘家洪、彭磊、董君. PDMS三维软件在天然气处理厂设计中的应用[J].天然气与石油， 2014.32（6）：68-71.

作者简介：

王颉（1985-），男，四川成都人，毕业于英国拉夫堡大学，博士，从事计算机应用与信息安全管理工作；主要研究方向与关注领域：计算机应用技术、信息安全、云计算等。