基础电信企业数据安全管理体系建设研究

郭建南

中国信息通信研究院 北京 100191

随着国家大数据发展战略的加快实施，数据要素战略价值凸显，但数据泄漏事件和侵害用户权益事件呈现频发态势，国家和社会对数据安全问题的重视程度与日俱增。通信行业作为数据流转的中枢平台，其数据安全管理体系的稳定性和可靠性直接影响国家战略的实施效果。然而，由于初期建设考虑不全面、管理制度不完善等，基础电信企业的传统数据安全管理体系面临覆盖范围不足、资产识别不准确、数据操作审批不严格、数据流动风险监测不到位等问题。积极应对数据安全发展的新形势、新问题，开展数据安全管理体系建设研究，是助力基础电信企业保障数据安全、提升服务能力的基础和关键。

1 数据安全监管思路发展进程

随着信息社会和传统社会的不断交融，数据呈现出爆发性、集中式增长的态势，其重要性越发显著，围绕数据安全的事件风波也在不断增多，保障数据安全成为社会的强烈需求。近几年，国家陆续出台了数据安全的相关监管政策和相关标准。在政策法规方面，《网络安全法》的出台标志着中国已初步建立网络安全及个人信息保护法律框架，中华人民共和国数据安全法的公布实施更凸显了国家对数据安全的高度重视。在标准方面，围绕个人信息安全及数据安全等方向，已陆续发布有关个人信息安全规范、大数据服务安全能力要求、数据安全能力成熟度模型等多项国家标准，为有效落实网络数据安全管理要求提供规范指导。

通信行业作为数据流转的核心中枢，是国家数据安全关注的重点，基于《网络安全法》中对网络运营者提出的服务要求，通信行业主管部门也逐步着手数据安全管理的研究部署，相继发布有关数据对外合作管理、数据安全保护能力提升、数据安全标准体系建设等重要文件，通过滚动规划、迭代部署的方式，逐步指导基础电信企业建设数据生命周期保护能力。在行业标准方面，围绕数据安全标准体系建设指南，陆续发布了电信网和互联网数据安全风险评估实施方法及数据安全通用要求等多项标准为行业数据安全保障能力提升奠定基础。

可以看出，在全球进入信息化引领发展的时代背景下，国家对数据的掌控能力成为衡量国家竞争力的关键因素，数据安全监管成为保障数字经济领域发展的重要基石，基础电信企业作为其中最重要的责任主体，建立完备的数据安全管理体系迫在眉睫。

2 基础电信企业数据安全管理现状

数据安全管理体系的建设应在相关法律法规和标准规范的基础上，结合自身的安全需求及行业实际进行点状强化。基于此目标，基础电信企业也逐步开展了数据安全管理工作，在全局的制度体系建设和具象的技术手段建设上已经取得了一定的成果。

2.1 制度体系建设现状方面

基础电信企业均已明确数据安全管理的组织架构，并结合相关管理要求及自身实际情况，制定了《网络数据安全管理办法》《用户个人信息保护管理办法》《数据安全人才培养管理办法》等管理制度文件，在组织架构、管理制度及人员队伍建设方面都提出了规范，初步形成了数据安全管理思路。但随着数据安全精细化管理需求的不断提高，对基础电信企业数据安全管理制度体系建设提出了更高要求。

1)组织架构及人才培养方面需要强化。基础电信企业需要进一步明确数据安全管理责任部门，负责牵头承担企业内部数据安全管理工作，包括制定数据安全管理整体方针策略，协调相关部门建立数据安全技术保障措施，牵头做好数据安全应急处置，组织开展数据安全评估、教育培训等工作。此外，还可以建立数据安全教育培训制度，针对数据安全管理相关岗位制定相应培训计划，并对培训计划定期审核和更新。数据安全培训内容可覆盖数据安全制度要求和实操规范等内容，如数据安全法律法规、标准制度、管理方法、技术防护、应急演练和相关知识技能。

2)各项管理工作有待进一步细化明确。当前基础电信企业数据安全的相关制度已经实现了对各项工作的明确要求，但缺少细化实施的规范文件，导致企业间、部门间相关工作的落实效果参差不齐。为进一步推进数据安全管理各项工作的落地，配套建立细化数据安全工作的实施细则成为需要解决的问题。

3)数据安全技术手段配套管理机制亟需完善。数据安全技术手段建设落地、相关数据资产纳管、安全系统策略基线要求是基础电信企业数据安全管理制度切实实行的重要步骤，如何细化分解数据安全产品能力建设要求，出台实施指南等文件推动配套技术能力建设实施也是目前需要推进的工作。

2.2 技术手段建设现状方面

目前部分基础电信企业已建设成具备一定管理范围的集中平台，如4A审计系统、大数据分析平台、数据防泄漏系统等。但基础电信企业职能部门多、业务复杂、数据量大等特性，导致在进行技术手段建设时面临精细化管理难度大、整体管控建设与监测分析覆盖面不足等问题，具体可分为以下几点。

1)数据资产识别能力不足。相比于普通的互联网应用系统，基础电信企业业务系统纷繁复杂，各业务平台、网络系统中存在大量分散的数据，包括个人敏感信息、网络运行维护数据、系统规划数据等。基础电信企业中数据多源异构、分散分布的特性使得数据资产识别和差异化管控难以落地。

2)技术手段无法完全匹配业务安全管理需求。基础电信企业初期的技术建设对数据安全需求考虑不全的现状，导致出现能力覆盖范围不全，或系统功能与现有数据安全保护需求不适应的问题，且缺少统一汇集的分析平台，无法实现对数据流转、数据开放、数据泄露等安全风险的监测预警和可视化分析。

3)缺少数据安全技术手段建设整体规划。以往数据安全技术手段多采用单点部署、分散使用、独立扩容的方式，难以实现关联分析，导致部分风险识别困难、无法定位溯源。同时，前期整体规划的缺失，导致后续需求实现面临现有技术改造困难、系统重建费用较高、系统对接困难、数据混乱汇集等问题。

3 数据安全管理体系建设思路及建议

针对目前发展的基础电信企业数据安全管理体系在制度体系建设和技术手段建设方面存在的问题，结合数据安全监管的相关政策和标准对体系建设提出思路和建议[1]。

3.1 制度体系建设方面

结合基础电信企业当前面临的管理工作待细化、管理机制需完善等问题，建议制定数据安全管理制度体系框架，实现管理工作的细化明确和技术手段的规划实施。通过文档化管理，建立和形成包含纲领、制度、流程和指南的数据安全管理制度体系[2]，为基础电信企业数据安全管理工作提供统一的安全策略指引。

如图1所示，是数据安全管理制度体系的四层架构，层级之间相互关联支撑，建议基础电信企业在体系框架基础上，对现有制度进行梳理和归档，并针对当前重要工作及管理需求制定二级文件编制计划，在此基础上，对需要进一步细化明确的工作开展三级、四级文件编制工作。具体如下：

图1 数据安全管理制度体系总体框架

1)一级文件：为纲领性文件，明确数据安全管理总体方针和各项工作目标，具有高度概括性，对数据安全工作具有通用的指导意义。

2)二级文件：根据一级文件，制定各工作模块的管理方法和技术规范性文档，对数据安全工作的落地具有实际指导作用。

3)三级文件：三级文件由实施细则和指南、具体技术要求和配置基线要求组成，用于指导具体的安全运维、操作使用等行为。

4)四级文件：为工作中的各项实操记录性文档，便于问题追溯，在体系中以模板形式呈现，由各类管理计划、表单、配置文件、日志记录、报告等组成。

3.2 技术手段建设方面

针对现有技术手段覆盖面不足、数据难以关联、无法追踪溯源等问题，建议基础电信企业建设“225”数据安全管理防护技术体系(即2级数据安全管理系统、2类数据接口串联、5方面安全能力)，保障数据和服务的可靠性、可用性、真实性和有效性，逐步实现“风险可视、问题可控、安全可管、依法合规”的保障目标。

建设过程中，一是建议根据其网络域划分数据承载系统分布情况，在网络关键汇聚点、网络边界设置合理优化的数据采集节点，保证采集数据的全面覆盖率和实时准确性；二是建议在建设部署数据安全管理系统核心功能模块时，如某项功能企业已具备相关能力，可采用系统对接方式实现能力复用；三是建议制定各网络、各系统的纳管规划，逐步实现基础电信企业的全网能力覆盖，构建统一汇集的防护平台[3]。

“225”数据安全管理防护技术体系架构具体如图2所示，包括以下几个方面。

图2 数据安全管理技术体系框架

1)2级数据安全管理系统

数据安全管理系统建议构建一级系统和二级系统双层架构。一级系统从全局管理的角度关注安全态势监管、数据风险可视、安全策略可调可配；二级系统从具体的数据安全分析层面关注风险可视、问题可控、事件可回溯，包括数据资产管理、数据脱敏、数据访问审计、数据流动监测等。

数据安全管理技术体系双层架构的设计能够为管理侧提供数据安全风险监查能力和处置策略配置能力，实现事前感知分析、事中监测控制、事后审计溯源的全流程监督和管理能力，有效保障电信数据内外双循环安全。

2)2类数据接口

建议建设2类数据接口，一是打通多源数据上报通道，实现网络流量、日志文件、数据类型等基础数据的有效上报，并通过对两类接口的综合管理，提升数据收集过程管控能力；二是打通一二级系统间的指令下发和数据上报路径，实现数据安全监管与基础安全保障的有效融合，提升整体管理效能。

3)5方面安全能力

建议构建以数据资产为核心、覆盖数据生命周期的“预防+监测”的数据安全能力模型，以数据资产管理为基础，融合数据访问审计、数据脱敏、数据流动监测和数据可视化，对基础电信企业网络系统中的多源数据进行汇聚和分析，实现数据安全风险预警、控制拦截、一键处置等能力。

数据资产管理主要实现资产的智能识别、动态登记、分级分类与多维分析，及时掌握数据资产的分布、使用情况及潜在风险，同步配套完善数据差异化管理机制[4]。

数据访问审计通过对网络流量、日志文件的分析实现敏感数据泄露、数据违规共享、越权访问、数据操作审批不严等数据安全事件的告警[5]，并通过数据访问会话重组实现安全事件的全过程回溯，强化基础电信企业的实时数据访问风险监测和事后追溯能力[6]。

数据脱敏针对隐私问题，采用动态或静态脱敏技术，制定面向多样数据的智能化脱敏规则与方案，实现基础电信企业数据的规范脱敏，减少敏感数据的泄漏风险。

数据流动监测基于关键网络节点的流量数据进行数据流转路径和行为分析，实现对数据流转全过程的精确记录，严格监控数据流动过程可能产生的风险，为基础电信企业提供数据资产流动管控能力。

数据可视化基于上述分析结果，采用层次可视化分析方法实现数据安全态势多维度展示，并基于数据联动分析方法提供可视化交互能力。

4 结束语

本次研究结合行业数据安全合规要求与基础电信企业数据安全管理需求，以“管理规范化、风险可视化、防护主动化”为目标，以保障数据安全为核心思路，给出基础电信企业数据安全管理体系整体建设方法，为基础电信企业开展数据安全管理体系建设工作提供参考和借鉴。