国有企业数据安全治理体系建设研究

潘 涛，李 勇，王 蓓

(内蒙古电力科学研究院，内蒙古 呼和浩特 010020)

数据安全防护能力不足是国有企业普遍存在的问题，这个不足体现在数据资产存储管理混乱、数据共享和使用缺乏规范、数据传输缺少审计管理，总结起来就是既缺乏制度也缺乏手段。因此，国有企业需要以数据治理核心技术为前提，建设一套完备的数据安全管理体系，制定一套可行的数据安全管理制度，编制一套有效的工作管理标准，确保自建信息系统、信息内外网、个人终端等数据安全稳定运行。

1 数据安全发展趋势

当今全球进入数据经济时代，数据资源成为推动各国产业发展和商业创新的动力源泉。然而与此同时，数据资源面临的安全威胁也日益严峻，数据开放利用与数据安全治理成为“一个硬币的两面”，也是各国政策法律的焦点和难点。保护国有企业数据安全不仅关系到国家安全和经济发展，也关系到国有企业的切身利益。国有企业数据的非法采集、泄露、滥用等已成为国家安全层面关注的焦点问题，截至目前已颁布多部法律法规，例如《中华人民共和国数据安全法》《中华人民共和国网络安全法》等。在国家层面，《中华人民共和国国民经济和社会发展第十四个五年规划和2035年远景目标纲要》明确提出，加强涉及国家利益、商业秘密的数据保护，强化数据资源全生命周期安全保护。“数字化时代意味着一切皆可编程，万物均要互联。整个世界将架构在软件之上，有互联网软件的地方就会存在漏洞，网络基础设施将更加复杂，攻击面将无限扩大。未来的网络安全攻击将呈现高级化、大型化特点，所有的金融战、科技战归根结底都是网络战”。数据治理是国有企业的首要战略，必须确保国有企业数据清晰、准确、可用且安全。

2 数据安全治理关键点

2.1 核心数据难以梳理

数据存放在电脑、手机、笔记本、业务系统、数据库中，大量的结构化、半结构化、非结构化数据难于辨识，难以判断哪些数据是重要的，保护难以下手；难以对数据标准定义，无法有效对数据分类分级；难以明确核心级别的数据在国有企业的整体分布情况；缺乏对核心数据生命周期的风险评估，数据生命周期安全现状不明确。

2.2 数据治理影响业务

数据安全防护与工作效率相悖，需要考量安全和效率的平衡使得安全防护价值最大化；日常办公文件与重要文件同时保存于办公终端，缺乏对数据的分类和分级；保护措施难以和数据重要级别挂钩，保护效能和效率较低；难以有效区分并按照相应价值等级进行管理；以文档权限管理方式为主的防护方式，用户主动性无法保障，容易防护失效。

2.3 内部泄密难以管控

虽然网络、业务系统、终端、存储多个维度都在管理，但是防护难以实现数据安全管理紧耦合；各单位间存在文件交换的需要，外发的文件存在一次性复制、终身拥有、无限泄密风险；数据以刻录光盘和内网邮件等方式传输，文件接收人可以在任意环境使用文件，存在文件失控扩散风险；在日常工作中，不可避免地要通过打印、刻录、IM传输、网络发送、邮件等方式发送敏感数据，无法有效的管理和控制这些行为，很难防止重要文件的非受控扩散。

2.4 泄密事件难以溯源

重要的核心数据缺乏整个流通通路的监控审计，难以追责到人；数据可以通过移动存储介质轻易地从国有企业电脑拿走，内部专用介质无法有效限制使用范围，介质滥用无法追溯审计；安全事件发生后，如果没有一套完善的行为审计系统，仍然无法进行及时告警响应、准确定位事件源头，给企业带来极大的困扰和严重的信息安全隐患。

3 数据资产梳理研究

采集数据安全管控对象中各类安全数据，建立数据资产名录，为安全业务支撑体系提供必要的数据支撑。具体采集方法包括。

3.1 信息系统流量数据监测

信息系统的安全监测，对内容是否发生泄露等情况进行监控。

3.2 关键节点流量数据监测

采用流量分析技术可对关键节点流量进行快速抓包协议还原，深度解析各种传播数据，发现异常流量分析在内的各类威胁监测，感知全流量网络安全态势。

3.3 威胁情报数据采集

对接安全企业提供的安全数据，通过长时间的基于海量的数据，对数据进行建模和学习，从而构建出在不同场景中的异常状态并形成基线数据，而这些数据刚好可以完善威胁情报数据来源，便于数据安全事件溯源取证管理。

3.4 安全设备日志数据采集

通过对安全数据管控的网络、主机、安全设备、数据库等数据采集，及时发现各种安全威胁、异常行为事件。

4 数据安全治理核心技术研究

4.1 海量数据风险智能识别技术

海量数据风险识别系统可用于HTTP/HTTPS协议检查，可审计或禁止含有机密数据的传送，主动防止丢失机密数据。涵盖范围包括WEB邮件传送(例如163或QQ)、网站POST、博客或BBS文章等通信。系统会根据关键字、正则表达式等规则来检查数据，以判定数据是否违反数据丢失策略。

系统会扫描所有通过WEB界面离开大数据中心的数据，以查看是否含有敏感信息。系统将会对于通过HTTP或HTTPS加密协议向外发送的数据进行敏感信息检测，并根据配置的策略进行审计或阻断等方式进行处理。

系统采用多线程高并发设计，充分发挥CPU的计算能力，并在程序设计时应用了动态的资源分配算法，使得系统的资源利用更高效，计算能力显著提升。另外，在网络应用解析处理和SSL数据解密环节采用了DPDK技术，使得业务处理性能提升了80%，而且性能提升与资源配置形成了线性关系。实现了单机万兆处理能力，并可在增加运算资源的情况下可进一步提升性能。

4.2 敏感数据审计与溯源技术

敏感数据审计与溯源技术对数据库网络流量采集，基于数据库协议解析与还原技术实现对数据库所有访问行为的监控和审计，对其中的危险操作进行多种方式的告警，对数据库访问行为进行多维度的统计分析。支持多种国内外主流数据库类型，采用旁路镜像或者软探针方式采集数据，经过通信协议解析和SQL语法分析，获取数据库会话和操作行为相关信息形成记录，保存信息日志。系统详细记录每次操作的发生时间、数据库类型、源MAC地址、目的MAC地址、源端口、目标端口、数据库名、用户名、客户端IP、服务器端IP、操作指令、操作返回状态值。

关联应用层的访问和数据库层的访问操作请求，可以追溯到应用层的最初访问数据及请求信息；突破传统非精确关联的时间关联匹配层的最初访问数据及请求信息；突破传统非精确关联的时间关联匹配模式，实现精确关联匹配。能精确审计到业务端相关信息，包括应用用户和终端IP等，支持集中授权、单点登录场景下的应用用户关联审计。实现泄密风险追责到人。

4.3 数据安全事件关联分析技术

数据安全态势感知技术是集中对数据安全策略的配置及统一管理中心。采用大数据技术架构，通过人工智能算法，以全场景数据和人员行为分析为主线，探测发现威胁本单位的数据安全事件，并提供完整追溯取证证据链，全面保障客户数据安全。同时能将各个孤立的系统进行资源整合，数据集中和关联分析以揭示事件背后隐藏的逻辑关系，从而全面监控数据安全状况，指导安全管理，有效预防、阻断或减少安全威胁。

5 国有企业数据全生命周期安全防护体系建设内容

5.1 国有企业数据分类分级保障组织建立

组织机构主要由领导小组、调研梳理组、实施分析组、专家咨询组组成，确立数据分类分级保障组中的机构、人员、职责、工作分配。

5.2 国有企业数据分类分级标准的制定

安全应用支撑能力建设需遵从数据安全和数据标准的规范，并按照数据采集、数据处理、数据治理、数据资产、数据服务和数据运维几个方面进行有机结合。建立数据安全分类分级标准和规范，全方位打造集“采集”“融合”“服务”于一体的数据管理体系。安全业务支撑体系架构划分为数据源、数据采集、数据资产、数据处理、数据治理、数据服务、数据安全和数据保障等内容。数据采集部分负责多源异构安全数据的高效、灵活接入。

5.3 国有企业数据全生命周期安全防护体系建设方案标准

数据安全保障方面，在确保基础设施环境安全的前提下，改变传统环境以承载数据的系统为保障核心的思路，直接聚焦数据，结合数据的生命周期进行安全技术保障体系的设计，通过集约化、服务化的交付方式，利用从数据采集/产生、数据传输、数据存储、数据处理、数据交换到数据销毁全生命周期的安全技术控制措施，实现数据生命周期的安全保障。

数据处理完成数据组织中各类安全业务库的构建，产生数据关联信息，实现数据融合，提升数据价值。数据治理通过管理安全元数据、数据质量、数据标准等信息，规范数据组织形式，强化数据资产运营，同时对数据质量、标准等进行管控，通过运维手段确保数据生命周期的运行。数据资产作为数据资源的载体，规范了数据价值逐步提升过程中数据资产的组织、展示形态、共享权限等信息。

数据服务给上层应用提供透明、一致、灵活的数据服务。数据运维用来全面监控安全数据处理、数据流量、数据资源的总体情况和使用情况。数据服务作为整个系统的重要基础工作，它将多源异构的数据采集汇聚之后，经过数据处理及数据治理等方式，通过数据过滤、归并、去重并按照业务逻辑关系打上标签，存入到数据资产库中，以便数据服务层进行查询、比对、统计和数据应用支撑。

5.4 国有企业数据安全服务体系建设

加强数据安全风险评估与加固、策略动态优化，完善安全防护措施、安全应急处置和信息安全应急预案演练、组织人员安全培训、建立健全安全标准规范和管理制度、切实提升信息安全防护能力。

6 预期目标及效益分析

6.1 预期目标

可形成一套“多维联动、立体防护”的国有企业数据安全管控体系，统筹对关键信息基础设施的风险评估、安全防护、监测监管、预警通报、应急处置、标准规范及安全培训，逐步形成基于物理、网络、数据、系统、管理的6层立体安全防护体系方案。同时建立覆盖数据产生、归集、存储、交换、利用到销毁的全生命周期安全管控措施，确保每一条数据来源清晰、流向合规、使用正当的数据安全治理流程和规范。

6.2 效益分析

①建设一套完善的数据安全治理防护体系可以使国有企业更有效地履行国家法律和行业规范的要求。②促进国有企业安全管理体系的建立，使得国有企业核心业务所赖以持续的各项信息资产得到妥善保护，建立有效的业务持续性计划框架，实现数据安全风险管理，降低因为潜在安全事件发生而给国有企业带来的损失。③可规范国有企业员工信息安全行为，增强内部员工的数据安全意识，提升其责任感，减少人为原因造成的不必要损失。