铁路单位采购业务相关数据安全治理探讨

董玉乐

（中国铁路北京局集团有限公司 调度所，北京 100036）

数字化已成为社会经济发展的新引擎[1]。在5G移动通信技术、云计算、物联网、大数据、移动互联、区块链等新兴科技的加持下，我国众多行业均迎来了一场数字化转型升级的变革。

铁路企事业单位（简称：铁路单位）的数字化发展对其网络安全和信息安全提出了更高的要求。远程办公、内外业务协同、组织分支互联等需求的变化，让组织边界逐渐泛化，安全防护风险增大。过往粗放型的数据使用和管理体系已很难适应当下的数字化业务系统。如何防护敏感数据泄露，让数字化建设与网络安全保障双强化，成为铁路单位急需解决的问题[2]。随着信息安全形势的变化和发展，数据的重要性逐渐凸显，相关的法律法规、标准要求、行业指南层出不穷，各监管机构对如何保护组织和个人的敏感数据均提出了对应的监管要求。其对数据保护的要求越来越细化，监管也越来越严格且具有强制性[3]。如何对与采购业务相关的数据进行安全治理，从而满足不同监管机构的数据安全保护要求，是铁路单位亟待解决的重要问题。

1 数据安全治理必要性

铁路单位每年都有大量资金用于物资采购，对采购业务相关数据保密也是其采购部门的重点工作之一。采购业务相关数据泄密风险防控工作面临“点多、面广、战线长、参与人员多”的情况，且涉密信息受到投标人及利益相关方的高度关注。铁路单位的信息安全面临严峻挑战，仅依靠相关人员安全意识的提升和制度的完善，难以实现对泄密事件的事前预防和事后追溯，必须依靠相应的技术和管理手段，对采购业务领域涉密资料的全过程进行监督和管控，才能有效开展保密工作。管理者亟需通过相关措施建立单位内部整体数据安全治理体系，有效支撑采购业务核心资料的保密工作。

2 数据安全治理探讨

相较于传统的网络安全建设，数据安全治理对“科学性”“系统性”提出更高要求，由于数据与业务相伴相生，关系密切，所以对铁路单位采购业务相关数据的安全治理必须采取业务场景与数据流转深度绑定的措施[4]。通过组织建设、现状摸底、数据分类分级、风险评估、体系建设、员工培训等方式科学地进行。

2.1 组织建设

《中华人民共和国数据安全法》和《关键信息基础设施安全保护条例》均要求要有专门的组织和人员负责数据安全治理，并定岗定责。因此，在铁路单位采购业务相关数据安全治理的过程中，要成立专门的数据安全治理机构或工作小组[5]，制定符合自身的数据安全治理政策，并落实和监督政策的有效执行。

2.2 现状摸底

需要对数据资产现状进行清查摸底，即通过多种方式来发现数据所有者、存储位置、整体业务架构等信息。对铁路单位进行前期摸底调研的主要内容包括：（1）单位的数据安全治理战略方针；（2）业务及相应的业务系统情况，业务系统的开放形式、访问方式、交互方式，业务系统相关数据是否涉及个人隐私信息；（3）业务数据存储的形式、位置及访问的方式，数据的重要性、影响范围和影响程度；（4）现有信息系统建设及数据安全建设情况。还需参考《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律中的相关规定要求，合法合规管控涉密资料的流转。

2.3 数据分类分级

基于现行行业标准与安全实践经验制定合理、有效的数据分类分级规则，对铁路单位采购业务相关数据资产进行全盘梳理，为实现“核心数据安全优先，其余效率优先”的差异化防护打下基础。通过访谈、文件审核、查看系统、查看数据库等方式，梳理现有铁路单位采购业务相关数据覆盖的数据范围及预测未来可能覆盖的数据范围，形成数据目录结构；依据国家相关的法律法规及行业规范，考虑数据对国家安全、社会稳定和公民安全的重要程度，结合以往项目实践经验，完成对铁路单位采购业务相关数据的分类分级指导规范；依据数据分类分级指南，通过分类分级工具，结合人工的方式，对铁路单位的采购业务相关数据进行标签管理，明确数据的类别级别；同时随着政策变化，并基于日常实际运营情况，及时对数据的分类分级指南等进行调整和更新。

2.3.1 结构化数据

通过部署数据库扫描监控系统，实现对铁路单位采购业务相关数据的自动发现、分析和梳理，按照内置或自定义策略进行分类分级，确保铁路单位用户对大数据平台内数据资产的可视化管理，为用户对采购业务相关数据的使用和管理提供依据。同时，通过数据库扫描监控系统的风险扫描和监控功能，确保提前发现、提前处置数据库漏洞和不稳定因素，保障数据库安全稳定运行。

2.3.2 非结构化数据

采用基于语义特征的自然语言处理内容识别技术对铁路单位采购业务相关数据进行实时、精准分类。该技术通过无监督机器学习引擎分析大量未经标注的原始文档集，自动按照内容进行主题梳理，并通过人工干预，灵活调整语义相似度，获得满意的聚类结果；将聚类结果作为标注样本，实施有监督机器学习，提取短句或长组合词作为语义特征，自动生成分类规则库。在此过程中，用户亦可人工干预特征选择，进行漏报及误报样本的提取及规则优化，使用反向对照样本加强训练，进而提升工作效率及分类准确性。将文本分类规则推送至部署在业务系统中端点、服务器和网络等处的轻量化分布式分类器，即可实时感知关键数据的分布和使用状况。

2.4 风险评估

完成数据分类分级后，结合《GB/T 37 988-2019信息安全技术数据安全能力成熟度模型》中对数据安全能力成熟度等级及数据生存周期安全过程域划分的定义，可发现铁路单位采购业务相关数据全生命周期安全管控能力在技术与管理方面的脆弱性，从而发现自身数据安全问题和短板，明确数据安全保护需求，为数据安全治理的建设指明方向[6]。

2.5 体系建设

为遵循同步规划、同步建设、同步运行的思想，有序落地数据安全防护措施，铁路单位需建立采购业务相关数据安全治理体系，本文提出的体系建设包括数据安全制度规范、数据安全技术防护、数据安全运行管理和数据安全监查与应急4个部分。

2.5.1 数据安全制度规范

采购业务数据安全管理制度规范主要包含以下4个方面内容。

（1）保护方针策略。根据铁路单位采购业务数据安全保护需求，包括数据安全管理相关方的要求，建立采购业务数据安全保护方针策略。

（2）保护目标。根据数据安全保护策略，针对采购申请、采购订货、进料检验、仓库收料、供应商、价格及供货信息等数据，确定每类数据的数据安全保护目标，形成采购业务数据安全保护目标文件。

（3）保护计划。由数据安全保护责任人对实现数据安全保护目标进行策划，并依据策划文件，制定采购业务数据安全保护计划。

（4）人力资源与保障。确定采购部门为承担数据安全保护职责的主要部门，采购需求部门和仓库部门协助落实保护措施，采购业务的数据安全责任人对数据安全负直接责任。

2.5.2 数据安全技术防护

以现有的安全基础设施、网络安全等级保护措施为基础，有针对性地对采购申请、采购订单、采购审核、采购到货、采购入库等采购业务全生命周期数据实行数据加密、数据访问控制、数据防泄漏、数据脱敏、容灾备份等多种数据安全技术措施，与现有安全防护手段相结合，构建全方位的采购业务相关数据防护体系[7-8]。还可结合大数据分析技术，建立采购业务相关数据的安全治理平台，实现数据安全态势感知，全面提升数据安全防护能力，筑牢数据安全防线。

以数据泄露防护系统为例。该系统由统一管理平台和终端组成，采用人工智能引擎，可处理采购业务中的采购订单数据、采购合同数据、供应商数据及财务数据等，依靠数据识别与内容标记，区分不同类型的数据价值。通过无监督聚类及有监督的机器学习算法，快速、准确地实现不同类型采购合同、采购物料信息数据的梳理和分类。同时，该系统可依靠网络发送者的IP追溯到风险事件的发起源，审计网络泄露行为的来源、目的地、传输内容、文件等，监控终端部分应用程序后台违规传输数据及采购合同类敏感数据的拷贝、打印、截屏，采购清单类数据的网络发送、网络共享、微信发送、QQ发送等行为。

2.5.3 数据安全运营管理

为使采购业务数据安全运行管理得到有效执行和落实，需采取以下3方面的数据安全运行管理措施。

（1）采购数据使用过程管理。采购业务数据的使用是数据全生命周期中最重要的部分，主要分为：外部获得（如采购发票、合同、税单、罚单、各类银行票据、银行结算单等）；内部自制（如入库单、送货单、存货库存期报表等）。需对这些环节采取相应的安全管控措施，包括使用授权、自动决策、信息公开和展示等方面。

（2）采购数据委托处理、共享、转让管理。对供应商、采购招标书、招标公告等数据委托处理、共享、转让的合规性和风险性进行管理，确保共享、转让和委托处理时的数据安全。

（3）采购数据第三方应用接入管理。当采购业务系统接入财务系统、资产管理系统或其他第三方产品时，应对接入和涉及的产品和服务进行管理，明确数据读取权限及内容，确保不因第三方应用的接入而危害采购业务的数据安全。

2.5.4 数据安全监查与应急

铁路单位需针对数据全生命周期各阶段的安全管理情况进行监查，以保证数据安全治理可以有效、持续地产生价值。数据安全监查与应急着重于预警通报、安全监测和综合评价3个功能。

针对数据安全事件，落实重大事件报告制度和突发数据安全事件应急响应制度，建立健全安全应急预案、应急处置工作指南和处置流程。常态化开展数据安全攻防演练、应急演练，组建专家队伍和支撑力量，提升全天侯、全场景、常态化、实战化的网络安全应急处置水平。

2.6 员工培训

数据安全治理是一项持续的、需要全员参与、全员维护的工程。因此，为提升采购业务相关岗位工作人员的数据安全意识，每年需要开展不少于20 h的数据安全培训，对数据安全委员会领导和高层管理人员开展数据安全体系、数据安全方法论等培训，对采购业务人员及运行维护团队开展数据安全流程、数据安全运行维护技能、数据安全风险评估等技能培训。

3 结束语

该数据安全治理解决方案可为铁路单位采购业务领域保密工作提供强有力的支撑，促进部门整体防护能力和规范管理水平不断提升，弥补了采购过程中信息防泄密工作的不足之处，实现采购过程信息保密工作全方位管控，强化了采购业务人员的保密意识，保障了采购保密管理的刚性执行，有效杜绝了采购业务信息泄密事件的发生，为铁路单位提升采购业务保密工作的能力和效率、杜绝信息泄密事件提供参考。