60多个核心技术系统，涉及全世界近百家供应商，服务8大类客户群，全球瞩目的体育盛事……如何保障2022北京冬奥数据安全“零事故”？没有能借鉴的行业成熟先例，更没有可参考的成功经验模式，奇安信通过在实践中的不断探索，寻找到了一条建设路径。
北京冬奥会之前，业界普遍认为网络安全不存在“绝对安全”的状态，数据安全更是如此。从历届奥运会来看，数据都是黑客、不法分子们觊觎的目标，2012年伦敦奥运、2016年里约奥运、2020年东京奥运等都出现过不少数据泄露事件，这足可见数据安全保障的任务难度和艰巨性。
2022北京冬奥堪称数字科技含量最高的一届冬奥会，对数据安全保障提出更苛刻的要求。作为北京冬奥网络安全官方赞助商，奇安信早在开幕前数百天，就作出了“合规不踩线、数据不出事、业务不中断”的“零事故”承诺。在具体实践中，奇安信以冬奥数据资产为核心，打造“监测—分析—调整—控制”的数据安全闭环体系，一方面全面保障数据安全和隐私保护合规；另一方面，确保整个冬奥期间未发生一起数据泄露事件，圆满完成冬奥数据安全的保障任务并兑现“零事故”承诺。
第一步：梳理数据资产，做好分级分类，识别敏感数据
知己知彼，方能百战不殆。“相比于终端、网络、数据中心等可见设备，数据总是无形和抽象的。尤其北京冬奥会涉及的业务环境可以说空前复杂，各类数据在60多个技术系统中持续流动，如何在一团乱麻的数据资产中抽丝剥茧、理清思路,从而对症下药、量体裁衣，是冬奥数据安全面临的首要挑战。”奇安信冬奥保障数据安全负责人这样表示。
图：北京冬奥会涉及业务环境
针对这些挑战，奇安信数据安全团队很早就进入场内，系统化梳理冬奥会的网络、信息系统及数据，并在收集、传输、存储、使用和销毁各个环节，掌握重要的数据存在哪、谁在使用、如何使用这三个核心问题。
掌握了这些基础信息，团队进一步梳理已有安全措施情况，是否应用于重要数据资产的环境，从而形成详实、全面的数据资产梳理报告。依托该报告作为指导依据，团队全面开展数据分类分级。
其中在分类方面，冬奥数据安全保障团队根据来源和应用属性的不同，将个人数据、竞赛数据、业务数据、运行和安全数据依次分为A类、B类、C类、D类四大类。在安全分级方面，根据流转场景和安全需求的不同，将其划分为公开级（L1）、内部级（L2）、敏感级（L3）、高敏感级（L4）四个等级。
图：冬奥数据分级分类
“个人信息是冬奥数据最重要的部分。拿个人信息举例，它就可以分为四级：合法公开的某个运动员身高、生日，就是L1公开级数据；如果是内部公开的工作人员信息，如工作人员的职务、电子邮箱、工作电话等，就是L2内部级数据；而到了个人基本资料、网络身份标识信息、个人教育工作信息、个人通信信息等牵涉私人信息的话，就属于L3敏感级；如果是个人身份、生物识别、网络身份鉴权、个人健康生理、个人财产或其他隐私信息的话，就属于L4高敏感级数据了。”该负责人表示。
通过数据资产梳理和分类分级矩阵，任何数据都可以对应响应的类别和分级，并能快速识别敏感数据。
第二步：依据不同级别，识别敏感数据，制定管控策略
完成冬奥海量数据分类分级，并定位和识别敏感数据之后，相关的安全策略和措施就可以有的放矢了。
首先，加密是数据安全的最基础工作，针对不同级别的数据制定不同的加密策略。本次冬奥首个建设完成的专项，就是奇安信实施的冬奥密码专项。该项目遵循“冬奥网络安全总体规划”，是奥运历史上首次使用国密算法保护信息系统的核心数据，实现了高安全（等保三级、密评安全三级），高复杂环境（国内外、云与本地），以及密码与网络安全密切配合的密码服务能力。
同时，本着分层、精细化的原则，建立了与数据级别相对应的分层数据权限管理体系。其中包括：根据数据级别制定相应数据授权审批流程，合理授予、管理数据权限；高敏感级和敏感级数据仅能通过高权限账户访问、提取和使用，高权限账户的数量应严格限制；采取措施保障数据细粒度访问控制
第三步：基于管控平台+多种组件，实现数据流转全链路风险监测
只有全链路监测、全穿透识别，才能做到数据安全风险看得清。在冬奥数据安全专项上，奇安信部署了数据库监测、身份认证监测、流转数据监测、跨境数据监测、应用访问监测、API访问监测、运维访问监测、终端访问监测等多种监测组件，采用多种监测方法，清晰地看全数据流转和访问的完整路径，直观了解数据的流转情况，能及时发现异常和风险，做到数据流转的全链路可视。
北京冬奥是全球性的体育盛事，有91个国家和地区参加，存在广泛的数据跨境流动的场景。针对该场景，奇安信可以看清数据出境的数量、种类、范围、敏感程度，清晰掌握企业数据的出境情况，及时发现违规行为，对于出现数据出境违法违规的情况进行溯源取证。在发生数据违规情况后，通过数据安全管控平台与跨境数据监测系统、零信任安全网关的联动，及时制定处置策略，降低风险发生概率。
冬奥业务系统和网络部署多种监测组件，并依托数据安全管控平台，最终实现了数据流转全链路风险监测。
第四步：风险关联分析，实现更精准的综合研判
能看见风险、看清风险固然重要，但如果安全策略过严，可能影响正常业务运行和数据流动，过松则会导致风险事件升级。因此，对风险进行关联分析，实现更精准的综合研判至关重要。
图：冬奥风险关联分析及综合研判
在冬奥项目中，安全团队基于复杂多样的业务场景特性，配置专有的风险分析策略，并构建风险分析模型，实现多源数据的关联分析。例如对用户登录活动、访问行为、数据库查询、API调用等监测数据进行关联分析，一旦发生数据违规事件，及时发现并告警；产生告警后，结合预置的各类检测规则和策略，实现告警归并和事件快速定位，同时综合敏感数据分布、数据流转情况、用户行为画像、异常行为监测等信息，对数据安全事件进行可视化呈现。
通过多维度、多规则、精细化的风险分析策略，以及强大的风险分析模型，安全团队能够用全局视角，及时发现“隐蔽”的数据安全事件，并进行精准的综合研判。
第五步：动态策略调整及控制措施下达
在访问控制上，奇安信为冬奥打造了多维访问控制模型，能对数据操作、特权访问、应用访问等不同颗粒度进行精准管控。这样一来，能及时制止高危数据安全行为，有效化解从内部“正常用户”对外泄露敏感数据的危机。
比如，通过数据安全管控平台，可以实现动态策略调整，并将调整后的策略下发到相应的控制网关，如在运维安全网关方面，调整运维操作权限，高危指令阻断，敏感操作二次授权；在零信任安全网关方面，通过调整身份账号权限，缩小数据访问权限范围；在API安全网关方面，针对高危API进行限流限速，紧急情况下阻断该API；在终端安全网关方面，结合策略，阻断该终端敏感文件外发行为；在数据库运维网关方面，对数据库的操作进行细粒度审计和管控，并凭借强大的风险关联分析能力，发现数据库管理员针对数据库的恶意拖库、删库行为，并及时进行动态策略调整。
通过面向5W1H的细颗粒度访问控制策略，正确的人(WHO)、正确的时间(WHEN)、正确的地点(WHERE)、正确的原因(WHY)，用正确的方法(HOW)访问授权数据(WHAT)，并基于多属性、多来源风险进行动态策略调整，覆盖端到端的全链路风险纳管与综合评估，提升风险响应实时性，确保冬奥数据资产安全。
结语
图：冬奥数据安全产品部署图
如果说2022北京冬奥网络安全保障是一张空前复杂的考试答卷，那么数据安全堪称这份考卷中复杂度最高的压轴大题。在北京冬奥数据安全保障中，奇安信基于体系化理念，制定了包括数据资产梳理/分级分类、制定管控策略、全链路风险监测、风险关联分析及综合研判、动态策略调整及控制措施下达等分步骤的完整方案，解决各种主要的数据安全问题，做到“能看清、能管好、能防住”，成了史上最复杂的数据安全保障任务。
数据显示，整个冬奥防护期间，奇安信成功抵御了含社会面攻击超过3.8亿次，创造了包括数据安全在内的“零事故”记录。更重要的是，“零事故”让数据安全建设结果可评估、可衡量，为客户构建其全新的安全建设结果评价体系提供了范式，显著提升了行业竞争门槛，形成了公司差异化的竞争壁垒。
声明：本文来自安全内参，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
