政务数据安全背景

围绕国家重大决策部署，按照深化“最多跑一次”改革和推进政府数字化转型工作要求，各地政府纷纷成立政府大数据局，积极推进政务云建设，实现政务系统整合共享；深化“互联网+政务服务”“ 互联网+监管 ”，推进“掌上办事”“掌上办公”等业务的发展。随着各地政府大数据局、政务云建设步伐的加快，数据也在不断的汇聚，其中不乏海量的公民个人信息、企业信息、国家重要数据；这些数据事关国家安全、社会稳定，具有覆盖行业范围广泛、敏感程度高、数据量庞大、结构多样、关联关系复杂等特点；政务数据的汇聚整合共享在给企业个人带来便利的同时，也面临着安全风险集中和数据泄露等安全问题的困扰，在政务信息共享数据安全技术方面，早在2020年11月19日就发布了《GB/T 39477-2020 信息安全技术—政务信息共享—数据安全技术要求》，且于本年度6月1日起正式实施。

此外，《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》三大上位法的颁布，以及近期网信办发布的《网络数据安全管理条例（征求意见稿）》都对电子政务数据安全治理提出了更高的要求。

政务数据目前存在的安全风险

1、数据汇聚存储风险

在数字政府建设过程中，政务数据进行了大规模的整合汇聚；原有分散在各部门各单位系统中的数据，被采集集中存储，数据全生命周期任一环节安全防护措施不当，均可能引发敏感数据泄露，造成“一点突破、全网皆失”的严重后果。

2、数据共享开放风险

政务数据的开放共享，势必形成数据的流动，由于数据管理权和使用权的分离，数据跨部门、跨安全域共享容易导致主体责任划分不清，权限控制不足，发生安全事件难以追踪溯源。此外，由于政务数据对外开放，原本基于边界的安全管理和技术措施已无法有效保护流转到外部的数据。

3、合作第三方风险

由于账号权限管理控制不当、业务审批把关不严等因素，导致合作方人员有机会接触到政务系统中的敏感数据，在管控手段不足、人员缺乏安全意识的情况下，存在数据无意识泄露或有意识贩卖的风险。

政务数据风险控制与安全治理

如前文所述，政务数据的汇聚整合共享给公民企业带来便利的同时，也带来了新的安全风险。面对这些安全风险，在数据安全角度进行思考，参考Gartner数据安全治理框架开展政务数据安全治理工作；从数据全生命周期进行风险把控，响应《GB/T 39477-2020 信息安全技术—政务信息共享—数据安全技术要求》中共享数据准备、共享数据交换、共享数据使用三个环节的严格要求，对政务数据进行安全治理；参考《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》三大上位法及《GB/T 39477-2020 信息安全技术—政务信息共享—数据安全技术要求》，对数据进行分类分级、质量控制、访问控制、身份鉴别、操作审计、数据加密等从而进行严格的风险把控。

该框架给出了从安全决策到管理制度、技术手段到安全运营的整体设计思想，自顶而下贯穿组织的整个数据安全治理周期；摆脱了仅采用产品级解决方案的弊端。在开展政务数据安全治理时，可采用其顶层设计思想，将政务数据安全治理与决策、制度、技术、运营有机融合。

数据安全技术要求涵盖共享数据准备、共享数据交换和共享数据使用三个阶段中各功能集合所需的安全技术要求，在三大法中均有对应条例。

第1步：识别梳理、摸清家底

通过工具+人工方式，主动对数据存储情况进行识别、定位，形成政务数据资产台账。并在此基础上参考国家数据分类分级相关规范制度要求，结合拥有数据类型、敏感程度建立政务数据分类分级标准，形成数据资产目录，用以指导各单位按照政务数据的不同类别和敏感级别实施差异化安全管控措施。

第2步：安全评估、理清现状

站在数据安全角度上对数据资产进行自评估或通过专业的数据安全公司进行安全评估，依据国家法律法规对数据安全、个人信息保护的要求，从组织架构、管理体系、技术体系、数据全生命周期等方面对标被评估政务数据安全管控现状；及时发现政务数据安全防护短板，为后续数据安全治理策略定义、技术手段建设提供依据。

第3步：制度建设、统一策略

俗话说“无规矩不成方圆”，在“摸清家底-了解政务数据资产分布，安全评估-理清政务数据安全管控现状”的基础上；政务数据安全治理需要有统一的数据安全管控策略，以及相应的数据安全管理制度流程，避免安全管控要求不一，“政出多门”的现象发生。

第4步：手段加载、补齐能力

管理与技术并重，“数字政府”建设如果没有完备的安全管控技术体系，将举步维艰。把安全保障作为“数字政府”建设的首要条件，才能成功构建政务云、政务外网等政务平台。如前文所述，原本基于边界的安全技术措施已无法有效保护动态流转中的数据，基于数据流向的安全技术将有效弥补传统安全防护技术措施的不足。通过对业务流量数据采集与还原，利用五元组数据及核心协议的还原解析，借助大数据技术建模分析实现敏感数据的识别、敏感数据动态流转行为审计、违规行为识别与行为回溯等功能。进而实现对数据动态流转过程行为的监测与告警。

第5步：常态运营、闭环管控

统一的数据安全管理策略、完备的数据安全管控技术手段只是保障数据安全的基础；很多单位往往存在建立了整套数据安全管控流程制度，采购了数据脱敏、加密、数据动态流转监测、DLP等一系列数据安全防护产品，但是没有建立有效的数据安全运营体系和团队，管控措施得不到有效执行。因此进行“安全技术手段运营与管理策略加载”，实现数据安全治理常态运营、并根据实际执行情况进行动态调整、闭环管控，是数据安全治理重要环节。

小结

习近平总书记指出：“没有网络安全就没有国家安全”。数字政府、电子政务是信息化时代政府管理理念与时代发展的有机融合。随着电子政务的不断发展，政务数据作为国家基础战略资源，事关国家安全、社会稳定。政务数据面临着严峻的安全形势和错综复杂的安全威胁，对政务数据安全风险进行分析，并在此基础上针对性地开展政务数据安全治理工作是解决政务数据安全隐患的有效方法。

（本文作者：成都思维世纪科技有限责任公司  徐宇）

声明：本文来自CCIA数据安全工作委员会，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。