8月30日,奇安信集团正式发布“数据安全能力框架”(简称:能力框架)及“数据安全运行构想图”(数据安全ConOps),将抽象的数据安全体系具象化、可视化,受到业内广泛关注。本文应广大客户要求,详解数据安全运行构想图,以飨读者。

我国首部与数据安全相关的法律《数据安全法》已于9月1日正式实施,随着数字经济的蓬勃发展,数字化程度的不断加深,数据安全直接关乎国家安全,也成为企业安全经营的生命线。筑牢数据安全防线成为维护国家安全和国家竞争力的战略需要,也成为全社会各行业组织、企业、机构必须承担的责任和义务。

《数据安全法》明确了几个关键:一是国家建立数据分类分级保护制度;二是开展数据处理活动以及研究开发数据新技术,应当有利于促进经济社会发展,增进人民福祉,符合社会公德和伦理;三是建立健全数据交易管理制度,规范数据交易行为,培育数据交易市场;四是不得窃取或以其他非法方式获取数据;数据交易中介服务机构应要求数据提供方说明数据来源、审核交易双方身份;五是建立健全数据安全管理制度,保障政务数据安全。

奇安信发布的数据安全能力框架、数据安全运行构想图及配套举措建议,为客户完整地提供了数据安全全局治理的体系建设方法论,以及落地思路与工具。能够帮助用户设计和构建业务场景的数据安全体系和解决方案,全景展现了数据安全治理到技术体系落地的贯穿过程,以及安全能力在数据安全相关的信息化各层的工程化落地方法。

数据安全能力框架共包含567个能力组件,这些组件全面内生于数字化环境的方方面面,是数据安全治理成果转化落地到技术和管理实践的承载点,这些组件结合起来,可实现弹性扩展、自适应和自生长,满足政企客户不断变化的数据安全需求,不同行业在数据安全的体系建设与运行过程中,都可以按需选择、有序分布。

数据安全能力框架

数据安全运行构想图,则为政企机构直观、形象地展现了有效运转数据安全这个复杂系统的全貌:从策略到流转,再到应用组件控制与网络计算环境的多层次结合。

运行构想图:贯穿治理先行、规划设计到技术落地

数据安全运行构想图(以抽象脱敏的“健康码”为示例)

目前业内谈到数据安全,普遍只提及了数据治理,或是细致的单一落地技术点,缺乏一套真正将数据安全治理的结果转化为技术落地,并真正运行起来的体系建设全景。

数据安全运行构想图采用系统工程的方法,从数据安全运行视角,以新型数据中心的业务场景为依托,基于业务到技术实现的层次化视角,囊括了数据安全应具备的三个状态:治理态、规划态和运行态,细致展现了数据安全治理结果转化到规划设计、技术落地的过程。

四个层次:解决全周期全流程的数据安全需求

奇安信数据安全运行构想图分为四个层次,分别是数据策略中心层、数据流转管控层、数据应用安全能力层和数据中心安全能力层,满足全周期、全流程的数据安全需求。这四个层次涵盖了业务规则、资源流转、应用能力、产品部署,并与能力框架中的各类策略清晰对应。

1)数据策略中心层 重点是健全数据安全管理制度,能根据数据安全治理的结果,构建相应的数据安全策略。数据的使用与安全策略,主要由如大数据主管部门、数字化主管部门、法务合规部门、审计部门等联合制定。

数据策略中心层,能帮助机构明确数据安全所需的组织、规范、制度、流程等;同时从业务场景、应用逻辑出发,基于数据在组件间的数据流转和数据脉络、主体身份视图、客体数据资源视图、主客体之间的访问关系、数据标签、数据分类分级等数据安全治理阶段的成果,构建基于“主客体”数据访问的业务权限策略以及数据的安全策略,并形成数据流转管控策略、应用安全能力策略、产品策略,并分发到数据流转控制层、数据应用安全能力层以及数据中心能力层。。

2)数据流转控制层,重点是确保数据的流转有序合规,规范数据使用与交易行为,对数据进行全面梳理和有效防护。通俗地解释,就是能动态精准地控制“什么部门的什么人,在什么地方、因为什么任务,访问什么数据里的什么字段”。

数据流转控制层,能全面梳理数据资产,确定适当的数据安全等级,并根据风险情况、威胁场景、业务分工、数据特征等设定多样化的属性标签,利用新型的数据属性技术体系,全方位描述与数据安全管控可能相关的数据信息;结合数据流转,构建数据脉络和数据地图;通过清晰管控数据的流转,并结合数据流转监测、数据安全态势感知等,发现非法用户窃取数据等异常行为;根据数据流转与管控策略,以“权限最小化”原则进行授信,通过零信任体系进行动态评估,实现对数据的动态、细粒度访问控制;对数据使用行为留痕,为实时的监测响应和审计提供支撑;依据数据交易制度,审核交易主体身份、客体资源,所有交易记录留痕,利用数据沙箱的技术,规范数据的交易行为。

3)数据应用安全能力层, 重点是数据的防窃密、防泄密、防滥用,通过去标识化、匿名化、脱敏等安全能力实现对个人隐私数据保护,并对重要数据存储进行加密。

数据应用安全能力层,基于业务系统的逻辑和应用架构,将业务系统各应用组件层和各组件之间的逻辑关系呈现出来;同时,将所需要的安全能力嵌入到每个组件中,实现安全能力与应用的内生融合,如:业务系统采用微服务架构,应用与服务、服务与服务之间通过API通信,需要在业务系统中内置API安全管控与防护能力;根据数据安全治理的成果做相关的安全保护(如加密、脱敏、去标识化等)。

应用安全能力策略的落地会集中在这一层。根据内置的内容识别引擎和数据密级进行控制,对违规访问的数据进行拦截,防窃密,防泄密,防止数据的滥用等;涉及到个人隐私数据访问,进行脱敏、去标识化等保护个人信息;对重要数据的存储进行加密等。

4)数据中心安全能力层,重点是保障数据的载体和业务运行环境的安全,包括安全区域划分、边界网络安全栈、服务器加固、系统安全等。

数据中心安全能力层,以体系化的方式,保障数据运行环境的安全,数据中心安全区域划分,保证了不同安全等级业务在适合的区域运行、不同安全等级数据的有效隔离;数据中心网络安全栈防护,做好边界安全的防护抵御外部攻击;服务器加固与防护并对应用和中间件进行持续监控保护,防止服务器遭受APT和0DAY攻击;面向资产、配置、漏洞、补丁的系统安全,解决了资产不清、配置不明、漏洞分布不知、补丁修复缓慢等问题。

数据安全运行构想图中,各层级之间的有效联系与运转,可以从两个方向上来理解:一是自上而下看,是策略的逐层实现与落地;二是自下而上看,是从产品部署到应用能力,再到业务流转及逻辑规则的支撑与提炼。

政企机构可以按图索骥,从“管理、技术、运行”三方面来开展数据安全的治理与防护工作,基于数据应用场景、业务逻辑与数据的流转,以数据安全治理为前提,在进行数据安全组织建设、制度建设与数据资产梳理及分级分类的前提下,进行数据安全防护设计,并通过数据安全态势感知进行数据安全运营,从数据资产管理、数据流动态势、数据风险分析、用户行为分析等维度,促进数据安全治理的闭环形成,让数据安全能力与日俱增。

关于作者

奇安信集团战略咨询规划部

声明:本文来自虎符智库,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。