构建计算机终端数据安全防御体系研究

姚斌 余永学

摘要：本文通过梳理数据分类、分级及数据全生命周期管理的关键要素，细化完善数据分类、分级标准，并参考数据安全能力成熟度模型，对不同级别和类型的数据制定相应的终端管理及技术防护措施，构建计算机终端数据安全防护体系，以供参考。

关键词：数据分类；数据分级；全生命周期；终端数据

DOI：10.12433/zgkjtz.20231905

近年来，烟草行业网络和信息系统的安全防护能力得到了大幅提升，随着数据价值的日益凸显，数据安全主阵地逐步向易攻难守的计算机终端方面转移。特别是在《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》于2021年施行后，加强终端数据安全防护已成为各行业网信工作迫切解答的新课题。

一、构建计算机终端数据安全防护意义

行业报告指出，数据安全管理缺乏有效举措，员工在计算机终端传送敏感数据渠道众多，终端数据安全管控难。因此，及时解决计算机终端数据安全防御问题具有重要的现实意义。

（一）规范要求

2021年9月1日起施行的《中华人民共和国数据安全法》对单位实行数据分级分类保护提出了法定要求，数据安全已上升到国家法律层面。当前，行业亟需建立健全数据安全治理体系，提升数据安全风险评估、防范、处置和保障能力。

（二）发展需求

烟草行业信息化建设飞速发展，大量的数据资源累积存放在应用系统和员工电脑终端上，数据种类繁多，包括卷烟营销、专卖、烟叶、物流、企业管理等各个业务领域，呈现出数据量大、复杂多样等特点。随着大数据、人工智能、云计算等新兴技术的深入应用，只有解决好数据安全，才能更好地解决数据流通、共享等问题，打破数据孤岛，为企业创造价值。

（三）填补数据安全防护空白

目前，数据安全防护更多的是病毒防护、漏洞修复、黑客攻击等，在个人计算机终端上的数据安全防护较薄弱。通过建立计算机终端数据安全防护体系，可以填补计算机终端数据安全防护空白，减少数据遭受篡改、破坏、泄露、丢失或非法利用的风险。

二、终端数据安全防护存在的问题

（一）数据分级分类管理不完善

1.数据分级标准粗糙

在《烟草行业数据安全管理办法（试行）》印发后，企业虽已结合具体业务制定本级《数据安全管理规定》，设定了分级的有关条款，但分级原则和方法相对简单、粗糙，数据分级掺杂较多的主观判断，未能建立一套客观充分的标准。

2.数据分类标准单一

在制定的《数据安全管理规定》中，设定了分类的有关条款，但对数据的分类主要按业务线进行笼统划分，分类标准设定较单一，未能满足大数据时代下数据存储使用管理的需求。

3.敏感数据分类困难

烟草企业各业务系统中存在大量敏感信息，包括职工个人信息、薪资信息、账户账号信息、卷烟库存及采销信息、零售户信息、往来单位信息等。行业要求各省、地市、县烟草专卖局推进数据分类分级工作，但相关的执行标准和实施参考尚不全面，主要依托管理员自身经验进行分析和判断，导致数据分类分级工作难以精准、高效开展。

4.具体执行存在偏差

数据分级分类形成数据资产清单的具体工作主要由各部门临时安排的人员经办，相关人员对数据分级分类了解不深、对数据资产认知不全面，容易出现分级分类不准、数据识别缺失等执行偏差。在分级分类标准原已不甚完善的情况下，执行偏差会降低分级分类工作质量。

（二）数据全生命周期安全管理缺失

目前，数据安全管理更多的是数据生命周期中的使用存储阶段，没有从数据全生命周期上全程管理；数据传输、共享、使用等审批流程不完善，特别是一些需要在互联网上公开信息，如果没有审批流程，任意传播，危险性大。

（三）终端数据防泄漏技术缺失

目前，数据安全管控主要依靠制度约束，虽然每台电脑终端都部署了安全防护软件，可防范木马病毒等造成的数据泄露，但在防范员工有意或无意泄漏数据方面缺失技术措施。

三、终端数据安全防护体系构建

针对以上数据安全防护存在的问题，提出的计算机终端数据安全策略是：细化数据分类、分级标准，完善数据全生命周期管理的关键要素，对不同级别和类型的数据制定终端管理及技术防护措施，构建计算机终端数据安全防护体系，如图1所示。

（一）管理标准构建

1.数据分类标准构建

数据分类以工作实际应用为需求，以存储有序、查找快速、使用安全为原则，主要从保护要求、应用系统、业务类型等方面进行分类，如表1所示。

2.数据分级标准构建

（1）数据分级原则

为确保数据分级的科学性、合规性和适用性，便于参考实施，应遵循以下原则：

第一，安全属性原则。数据分级的目的是保护数据安全，数据级别应与数据的安全属性（保密性、完整性、可用性）密切关联。

第二，结果导向原则。数据级别应与数据被破坏后的结果相对应，后果越严重，数据级别越高。

第三，综合判定原则。数据级别应充分考虑数据应用场景、数据项组合情况、数据量大小等因素，力求数据分级准确合理。

第四，弃低取高原则。针对数据项的定级，选取该数据项所有判定结果中级别的较高值；针对数据项集合的定级，选取该数据项集合中所有数据项级别的较高值。

（2）数据分级标准

本文将数据级别分为四级，级别越高数据越重要，对安全性要求就越高，如表2所示。

（3）数据分级影响因素

数据级别判定主要取决于数据发生泄漏、篡改、丢失或滥用后的影响对象、影响广度、 影响深度等因素，各因素及其相关描述如表3所示。

（4）数据级别与影响因素的关系

数据的安全性遭到破坏后，根据影响对象、影响广度、影响深度的不同，可区分数据的级别，本文采用矩阵法将数据级别与影响因素一一对应，如表4所示。

（5）数据分级防护措施

根据分级好的数据级别，实行不同的管理措施和技术防护策略，如表5所示。

3.数据分级分类标准应用

根据以上数据分级分类标准，本文对部分数据进行实际分级分类，如表6所示。

4.数据生命周期管理标准构建

（1）数据生命周期定义

数据生命周期指数据从产生到销毁的整个过程，如图2所示。

数据产生：新的数据产生或现有数据内容发生显著改变或更新的阶段。

数据存储：非动态数据以任何数字格式进行物理存储的阶段。

数据使用：组织在内部针对动态数据进行的一系列活动的组合。

数据传输：数据在组织内部从一个实体通过网络流动到另一个实体的过程。

数据共享：数据经由组织与外部组织及个人产生交互的阶段。

数据销毁：利用物理或者技术手段使数据永久或临时性不可用的过程。

（2）数据生命周期管理标准

数据产生阶段管理标准：数据在终端产生后，先从系统、业务领用、保护要求等多个维度分类，再根据数据分级标准进行等级划分，对不同等级按照分级分类标准采取相应的防护措施。

数据存储阶段管理标准：存储分级分类的数据，根据密级的不同，采取不同的措施，保证数据的完整性和保密性。密级为公开的数据、无需保护，内部、普通和核心商密进行加密存储，并设置数据权限，无权限不能随意更改。

数据使用阶段管理标准：从多方面管控终端，安装终端安全软件，从病毒、漏洞安全、应用程序安全、网络安全、非法外联安全、外设使用安全以及基线配置安全等方面，确保数据在终端上使用的安全性。

数据传输阶段管理标准：针对不同密级数据的文件设置发送规则，例如，公开密级的数据可任意发送，内部密级数据限制内部传输，普通商密和核心商密禁止在终端的各个通道发送。同时，建立审计机制，在传输已分级分类会产生日志，日志描述了发送人与发送数据的属性，会在发生数据泄漏时进行溯源。

数据共享管理标准：数据共享建立严格的共享权限，优化数据共享的方式，确保数据共享的数据流动可控，数据共享过程有完整的审计方式，划分权限得当。

数据销毁管理标准：建立有效的数据销毁流程，销毁流程有记录、可审计，且数据销毁措施有效，使数据永久不可用。

（二）技术策略构建

1.创建敏感字段策略

创建数据密级特征，根据特征创建数据感知库组合。

2.创建数据发现策略

应用感知库组合，扫描终端内数据，列出符合感知库的数据，审计某文件级别的所有文件，记录该文件被发现的时间、终端信息、用户信息、密级和文件名等。

3.创建数据分级分类策略

对终端数据进行实时分级和扫描历史文件。

实时分级：针对网内正在使用的文件，在关闭文件后，DLP终端根据分类分级配置扫描文件内容，符合分级特征的，标注分级标签。

扫描历史文件：针对磁盘已有的历史文件，DLP终端根据分类分级配置扫描磁盘的文件内容，符合分级特征的，标注分级标签，然后选择不同文件级别文件的响应动作，并选择审计与加密动作。

审计：支持对某文件级别的所有文件进行审计，记录该文件被发现的时间、终端信息、用户信息、密级以及文件名等。

加密：选择需要加密的办公文档类进程，支持该进程下某文件级别的所有文件加密。选择的加密办公文档类进程与“分类分级模板”应用的文件类型使用的进程全部一致，支持对某文件级别的所有文件加密。

4.创建水印策略

分别创建打印水印、截屏水印、拍照水印策略，通过水印技术，保护重要数据文件，并对信息泄漏进行有效的信息溯源。

5.创建DLP数据防泄漏策略

应用感知库组合，对终端外发不同的密级数据进行审计或限制。限制的传输通道有HTTP/HTTPS/FTP/SMTP/移动存储/网络共享/蓝牙/打印，应用终端的应用程序方式限制，包括即时消息应用、文件共享应用、CD－ROW应用。

（三）效果测试

制定相应策略后，本文进行了实际测试，如图3、图4所示，被定义的敏感信息通过邮箱、QQ对外发送时被阻断。

四、结语

综上所述，终端数据安全是数字化转型“大安全”的重要环节，通过构建“管理+技术”的计算机终端数据安全防御体系，并运用于实践，起到较好的防御效果。后续，笔者将在此基础上探索补充移动终端的数据安全防御，进一步形成更完善的终端数据安全防御体系，为企业网信安全提供更有力的保障。

参考文献：

[1]宋楠，仇道霞.山东烟草数据安全探索与实践[J].现代信息科技，2020，04（01）：129-134.

[2]高磊，赵章届，林野丽，等.基于《数据安全法》的数据分类分级方法研究[J].信息安全研究，2021，07（10）：933-940.

[3]王畅，曾亚.烟草行业数据的分类分级及安全防护方法探讨[J].内蒙古科技与经济，2020（01）：31-32+57.

[4]刘红，张越今，赵文霞，等.多维度数据分级分类安全管理框架[J].信息网络安全，2021（10）：48-53.

作者简介：姚斌（1979），男，瑶族，广西壮族自治区藤县人，本科学历，广西壮族自治区贺州市烟草专卖局（公司）信息管理科科长，主要研究方向为网络安全与信息化。