來源：數(shù)據(jù)猿  作者：安華金和 石川

引言：

企業(yè)轉(zhuǎn)型，對中國大量成長型企業(yè)而言，其轉(zhuǎn)型的過程就是完成從創(chuàng)業(yè)到成長，從成熟到規(guī)范成熟的企業(yè)生命體的進(jìn)化。其本質(zhì)就是企業(yè)從單一產(chǎn)品和簡單環(huán)節(jié)的低級或初級的價(jià)值創(chuàng)造狀態(tài)，向組合產(chǎn)品以及多環(huán)節(jié)整合的高級的價(jià)值創(chuàng)造狀態(tài)的轉(zhuǎn)變和進(jìn)化。這是面對市場經(jīng)濟(jì)的迅速發(fā)展及行業(yè)成熟規(guī)律下企業(yè)的自然行為與必然選擇。2017年，安華金和加快從數(shù)據(jù)庫安全廠商向數(shù)據(jù)安全治理產(chǎn)品和服務(wù)提供商轉(zhuǎn)型的步伐，致力于在數(shù)據(jù)安全治理領(lǐng)域大刀闊斧，開創(chuàng)全新領(lǐng)地。數(shù)據(jù)治理或者數(shù)據(jù)安全在大多數(shù)安全從業(yè)者的印象中是比較熟悉的概念，但數(shù)據(jù)安全治理卻似乎是個(gè)新名詞。實(shí)際上，對于擁有重要數(shù)據(jù)資產(chǎn)的企業(yè)或政府部門，在數(shù)據(jù)安全治理方面或多或少都有實(shí)踐，只是尚未系統(tǒng)化的實(shí)行。比如運(yùn)營商行業(yè)的客戶數(shù)據(jù)安全管理規(guī)范及其落地的配套管控措施，一些政府部門的數(shù)據(jù)分級分類管理規(guī)范；在國外由Microsoft 提出的DGPC（Data Governance for Privacy Confidentiality and Compliance）框架也是專門的面向數(shù)據(jù)安全治理的管理和技術(shù)框架。在這篇文章中我們希望能相對系統(tǒng)化地對數(shù)據(jù)安全治理這個(gè)概念進(jìn)行闡述。

摘要

數(shù)據(jù)安全治理是以“數(shù)據(jù)安全使用”為目標(biāo)的綜合管理理念，具體實(shí)現(xiàn)數(shù)據(jù)安全保護(hù)、敏感數(shù)據(jù)管理與合規(guī)性三個(gè)需求；數(shù)據(jù)安全治理涵蓋數(shù)據(jù)的分類、梳理、管控與審計(jì)四大重要環(huán)節(jié)。核心實(shí)現(xiàn)框架為：數(shù)據(jù)安全人員組織、數(shù)據(jù)安全使用的策略和流程、數(shù)據(jù)安全技術(shù)支撐。本文站在數(shù)據(jù)安全行業(yè)的高度，從數(shù)據(jù)安全治理的概念出發(fā)，為我們描述了數(shù)據(jù)安全治理的理念全貌，在整個(gè)數(shù)據(jù)安全治理理念中，在組織保障方面首先需要成立數(shù)據(jù)安全治理的組織機(jī)構(gòu)，確保數(shù)據(jù)安全治理工作在組織內(nèi)能真正地落地；其次是要完成數(shù)據(jù)安全治理的策略性文件和系列落地文件，這將是數(shù)據(jù)安全治理的綱領(lǐng)性文件，相應(yīng)系列文件規(guī)范中要覆蓋數(shù)據(jù)安全治理的三大需求目標(biāo)和四個(gè)重要環(huán)節(jié)，針對所有與敏感數(shù)據(jù)有接觸的人員的權(quán)限進(jìn)行定義，就人員對數(shù)據(jù)訪問的過程提出控制流程；在數(shù)據(jù)安全管理規(guī)范生成后，重要的是通過系列的數(shù)據(jù)安全技術(shù)支撐系統(tǒng)應(yīng)對挑戰(zhàn)，確保數(shù)據(jù)安全管理規(guī)定有效落地，而不是變成一張徒有虛表的廢紙。

關(guān)鍵詞：數(shù)據(jù)安全治理  組織受眾  策略流程  技術(shù)支撐框架

1、數(shù)據(jù)安全治理概論

1.1數(shù)據(jù)安全治理的概念

數(shù)據(jù)安全治理的概念——數(shù)據(jù)安全治理是以數(shù)據(jù)的安全使用為目的的綜合管理理念，包括：

三個(gè)需求目標(biāo)：

數(shù)據(jù)安全保護(hù)（Protection）

敏感數(shù)據(jù)管理（Sensitive）

合規(guī)性（Compliance）

四大重要環(huán)節(jié)：

數(shù)據(jù)的分類（Classify)

梳理（Understand）

管控（Control）

和審計(jì)（Audit）

三大核心實(shí)現(xiàn)框架：

數(shù)據(jù)安全人員組織（Person）

數(shù)據(jù)安全使用的策略和流程（Policy & Process）

數(shù)據(jù)安全技術(shù)支撐（Tech）

圖1數(shù)據(jù)安全治理理念框架

1.2數(shù)據(jù)安全治理的愿景

在這里，筆者首先要強(qiáng)調(diào)的是數(shù)據(jù)安全治理的目標(biāo)是——數(shù)據(jù)安全使用。我們不談脫離了“使用”的安全，數(shù)據(jù)存在的目的就是為了使用，如果不是基于這個(gè)前提去談安全，最終有可能產(chǎn)生無法落地的情況，或者即使落地，效果也會差強(qiáng)人意。

1.3數(shù)據(jù)安全治理的需求目標(biāo)

圍繞“ 數(shù)據(jù)安全使用” 的愿景， 數(shù)據(jù)安全治理覆蓋了安全防護(hù)、 敏感信息管理、合規(guī)三大目標(biāo) ；這三個(gè)目標(biāo)比我們過去以防黑客攻擊和滿足合規(guī)性兩大安全目標(biāo)，更為全面和完善。經(jīng)過二十多年信息化和互聯(lián)網(wǎng)經(jīng)濟(jì)的發(fā)展，數(shù)據(jù)成為繼現(xiàn)金和技術(shù)之后又一核心價(jià)值資產(chǎn)；數(shù)據(jù)黑產(chǎn)在過去十年里蓬勃發(fā)展，讓每個(gè)人、每個(gè)企業(yè)和國家的數(shù)據(jù)面臨著巨大威脅；只有合理地處理好數(shù)據(jù)資產(chǎn)的使用與安全，企業(yè)與國家才能在新的數(shù)據(jù)時(shí)代穩(wěn)健而高速發(fā)展。對于敏感數(shù)據(jù)的安全管理和使用，是數(shù)據(jù)安全治理的核心主題。

1.4數(shù)據(jù)安全治理的核心內(nèi)容

數(shù)據(jù)安全治理的核心內(nèi)容，首先是來自對數(shù)據(jù)的有效理解和分析，對數(shù)據(jù)進(jìn)行不同類別和密級的劃分；根據(jù)數(shù)據(jù)的類別和密級制定不同的管理和使用原則，盡可能對數(shù)據(jù)做到有差別和針對性的防護(hù)，實(shí)現(xiàn)在適當(dāng)安全保護(hù)下的數(shù)據(jù)自由流動。

在數(shù)據(jù)分級和分類后，重要的是要描述數(shù)據(jù)的特征，以及這些數(shù)據(jù)在系統(tǒng)內(nèi)的分布，了解這些數(shù)據(jù)在被誰訪問，這些人是如何使用和訪問數(shù)據(jù)的，這就需要完整的數(shù)據(jù)梳理過程。

在數(shù)據(jù)有效梳理的基礎(chǔ)上，我們需要制定出針對不同數(shù)據(jù)、不同使用者的管理控制措施；數(shù)據(jù)的管控包含數(shù)據(jù)的收集、存儲、使用、分發(fā)和銷毀。除了數(shù)據(jù)管控，我們還需要有效地對數(shù)據(jù)的訪問行為進(jìn)行日志記錄，對收集的日志記錄進(jìn)行定期地合規(guī)性分析和風(fēng)險(xiǎn)分析。

1.5數(shù)據(jù)安全治理框架

在數(shù)據(jù)安全治理中，首要任務(wù)是成立專門的安全治理團(tuán)隊(duì)，保證數(shù)據(jù)安全治理工作能夠長期持續(xù)的得以執(zhí)行。同時(shí)數(shù)據(jù)安全治理要明確數(shù)據(jù)治理相關(guān)的工作部門和角色（受眾），使數(shù)據(jù)治理工作能夠有的放矢。

數(shù)據(jù)安全治理的策略和流程，要以文件的形式明確企業(yè)（組織）內(nèi)部的敏感數(shù)據(jù)有哪些，敏感數(shù)據(jù)進(jìn)行分類和分級，對不同類別和級別的敏感數(shù)據(jù)的管理控制原則，不同的工作部門和角色所具有的權(quán)限，數(shù)據(jù)使用的不同環(huán)節(jié)所要遵循的控制流程。

數(shù)據(jù)安全治理的技術(shù)支撐，是要明確在管理控制過程中，采用什么樣的技術(shù)手段幫助實(shí)現(xiàn)數(shù)據(jù)的安全管理過程；這些技術(shù)手段可以包括數(shù)據(jù)的梳理、數(shù)據(jù)的訪問控制、數(shù)據(jù)的保護(hù)、數(shù)據(jù)的脫敏和分發(fā)、數(shù)據(jù)的審計(jì)、數(shù)據(jù)訪問的風(fēng)險(xiǎn)分析。

1.6數(shù)據(jù)安全治理與傳統(tǒng)安全概念的差異

為了更加有效地理解數(shù)據(jù)安全治理概念與傳統(tǒng)數(shù)據(jù)安全的差異，我們可以與傳統(tǒng)安全理念進(jìn)行一個(gè)比較：

圖2數(shù)據(jù)安全治理與傳統(tǒng)數(shù)據(jù)安全的差異對比

2、數(shù)據(jù)安全治理的組織和受眾

數(shù)據(jù)安全治理首先要成立專門的數(shù)據(jù)安全治理機(jī)構(gòu)，以明確數(shù)據(jù)安全治理的政策、落實(shí)和監(jiān)督由誰長期負(fù)責(zé)，以確保數(shù)據(jù)安全治理的有效落實(shí)。成立的機(jī)構(gòu)可以稱為數(shù)據(jù)安全治理委員會或數(shù)據(jù)安全治理小組，機(jī)構(gòu)的成員由數(shù)據(jù)的利益相關(guān)者和專家構(gòu)成，這個(gè)機(jī)構(gòu)通常是一個(gè)虛擬的機(jī)構(gòu)，這里之所以稱之為利益相關(guān)者，是因?yàn)檫@些人不僅僅是數(shù)據(jù)的使用者，可能是數(shù)據(jù)本身的代表者（比如用戶），數(shù)據(jù)的所有者，數(shù)據(jù)的責(zé)任人。數(shù)據(jù)安全治理委員會或數(shù)據(jù)安全治理小組，這個(gè)機(jī)構(gòu)本身既是安全策略、規(guī)范和流程的制定者，也是安全策略、規(guī)范和流程的受眾。

在 DGPC 框架中這個(gè)機(jī)構(gòu)一般稱之為DGPC 團(tuán)隊(duì)， 或者叫 Data Stewards，這個(gè)團(tuán)隊(duì)的職責(zé)是：

This is a virtual organization whose members are collectively responsible for defining principles, policies and procedures that govern key aspects of data classification, protection, use and

management.

（負(fù)責(zé)制定數(shù)據(jù)分類、保護(hù)、使用和管理的原則、策略和過程）

這個(gè)團(tuán)隊(duì)的構(gòu)成是：

IT, human resources, legal and finance departments as well as business groups and the marketing department—in short, any group with a stake in collecting, processing, using and managing personally identifiable information (PII), intellectual property, trade secrets and other types of confidential information.

（IT、人資、法務(wù)、財(cái)務(wù)、業(yè)務(wù)和市場部門等所有與人、知識產(chǎn)權(quán)、私密信息相關(guān)的部門）

數(shù)據(jù)安全治理的人員中另一個(gè)關(guān)鍵角色就是數(shù)據(jù)安全的受眾，這些受眾是數(shù)據(jù)安全策略、規(guī)范和流程的執(zhí)行者和被管理者；包括了數(shù)據(jù)的使用者、管理者、維護(hù)者、分發(fā)者；大多數(shù)數(shù)據(jù)利益相關(guān)者都屬于數(shù)據(jù)安全治理的受眾。

圖3 某運(yùn)營商的數(shù)據(jù)安全治理的相關(guān)組織和角色結(jié)構(gòu)圖

3、數(shù)據(jù)安全治理的策略與流程

在整個(gè)數(shù)據(jù)安全治理的過程中，最為重要的是實(shí)現(xiàn)數(shù)據(jù)安全策略和流程的制訂，在企業(yè)或行業(yè)內(nèi)經(jīng)常被作為《 某某數(shù)據(jù)安全管理規(guī)范》 進(jìn)行發(fā)布，所有的工作流程和技術(shù)支撐都是圍繞著此規(guī)范來制訂和落實(shí)。但這個(gè)規(guī)范的出臺往往需要經(jīng)過大量的工作才能完成，這些工作通常包括：

A、梳理出組織所需要遵循的外部政策以及與數(shù)據(jù)安全管理相關(guān)的內(nèi)容；

B、根據(jù)該組織的數(shù)據(jù)價(jià)值和特征，梳理出核心數(shù)據(jù)資產(chǎn)，并對其分級分類；

C、理清核心數(shù)據(jù)資產(chǎn)使用的狀況（收集、存儲、使用、流轉(zhuǎn)）；

D、分析核心數(shù)據(jù)資產(chǎn)面臨的威脅和使用風(fēng)險(xiǎn)；

E、明確核心數(shù)據(jù)資產(chǎn)訪問控制的目標(biāo)和訪問控制流程；

F、制訂出組織對數(shù)據(jù)安全規(guī)范落實(shí)和安全風(fēng)險(xiǎn)進(jìn)行定期的核查策略。

3.1外部所要遵循的策略

在我國，數(shù)據(jù)安全治理同樣需要遵循國家級的安全政策和行業(yè)內(nèi)的安全政策。舉例如下：

1.網(wǎng)絡(luò)安全法；

2.等級保護(hù)政策；

3.BMB17；

4.行業(yè)相關(guān)的政策要求舉例；

(a) PCI-DSS、Sarbanes-Oxley Act（SOX 法案）、 HIPPA ；

(b) 企業(yè)內(nèi)部控制基本規(guī)范；（三會、財(cái)政、審計(jì)）

(c) 中央企業(yè)商業(yè)秘密保護(hù)暫行規(guī)定；

(d) 這些政策通常是在制訂組織內(nèi)部政策時(shí)重點(diǎn)參考的外部政策規(guī)范。

3.2 數(shù)據(jù)的分級分類

數(shù)據(jù)治理主要依據(jù)數(shù)據(jù)的來源、內(nèi)容和用途對數(shù)據(jù)進(jìn)行分類；按照數(shù)據(jù)的價(jià)值、內(nèi)容的敏感程度、影響和分發(fā)范圍不同對數(shù)據(jù)進(jìn)行敏感級別劃分。

圖4 某運(yùn)營商對數(shù)據(jù)分級分類的結(jié)果

只有對數(shù)據(jù)進(jìn)行有效分類，才能夠避免一刀切的控制方式，在數(shù)據(jù)的安全管理上采用更加精細(xì)的措施，使數(shù)據(jù)在共享使用和安全使用之間獲得平衡。

3.3 數(shù)據(jù)資產(chǎn)狀況的梳理

3.3.1 數(shù)據(jù)使用部門和角色梳理

在數(shù)據(jù)資產(chǎn)的梳理中，需要明確這些數(shù)據(jù)如何被存儲，需要明確數(shù)據(jù)被哪些部門、系統(tǒng)、人員使用，數(shù)據(jù)被如何使用。對于數(shù)據(jù)的存儲和系統(tǒng)的使用，往往需要通過自動化的工具進(jìn)行 ；而對于部門和人員的角色梳理，更多是要在管理規(guī)范文件中體現(xiàn)。對于數(shù)據(jù)資產(chǎn)使用角色的梳理，關(guān)鍵是要明確在數(shù)據(jù)安全治理中不同受眾的分工、權(quán)利和職責(zé)。

組織與職責(zé)，明確安全管理相關(guān)部門的角色和責(zé)任，一般包括：

安全管理部門：制度制定、安全檢查、技術(shù)導(dǎo)入、事件監(jiān)控與處理；

業(yè)務(wù)部門：業(yè)務(wù)人員安全管理、業(yè)務(wù)人員行為審計(jì)、業(yè)務(wù)合作方管理；

運(yùn)維部門：運(yùn)維人員行為規(guī)范與管理、運(yùn)維行為審計(jì)、運(yùn)維第三方管理；

其它：第三方外包、人事、采購、審計(jì)等部門管理。

數(shù)據(jù)治理的角色與分工，需要明確關(guān)鍵部門內(nèi)不同角色的職責(zé)，包括：

安全管理部門：政策制定者、檢查與審計(jì)管理、技術(shù)導(dǎo)入者業(yè)務(wù)部門：根據(jù)單位的業(yè)務(wù)職能劃分

運(yùn)維部門：運(yùn)行維護(hù)、開發(fā)測試、生產(chǎn)支撐

3.3.2數(shù)據(jù)的存儲與分布梳理

敏感數(shù)據(jù)在什么數(shù)據(jù)庫中分布著，是實(shí)現(xiàn)管控的關(guān)鍵。

只有清楚敏感數(shù)據(jù)在什么庫中分布，才能知道需要對什么樣的庫實(shí)現(xiàn)怎樣的管控策略；對該庫的運(yùn)維人員實(shí)現(xiàn)怎樣的管控措施；對該庫的數(shù)據(jù)導(dǎo)出，實(shí)現(xiàn)怎樣的模糊化策略；對該庫數(shù)據(jù)的存儲實(shí)現(xiàn)怎樣的加密要求。

3.3.3數(shù)據(jù)的使用狀況梳理

在清楚了數(shù)據(jù)的存儲分布的基礎(chǔ)上，還需要掌握數(shù)據(jù)被什么業(yè)務(wù)系統(tǒng)訪問。只有明確了數(shù)據(jù)被什么業(yè)務(wù)系統(tǒng)訪問，才能更準(zhǔn)確地制訂這些業(yè)務(wù)系統(tǒng)的工作人員對敏感數(shù)據(jù)訪問的權(quán)限策略和管控措施。

圖5某運(yùn)營商對敏感系統(tǒng)分布的梳理結(jié)果

以運(yùn)營商行業(yè)上述梳理結(jié)果為例，這僅僅是一個(gè)數(shù)據(jù)梳理的基礎(chǔ)，更重要的是要梳理出不同的業(yè)務(wù)系統(tǒng)對這些敏感信息訪問的基本特征，如訪問的時(shí)間、IP、 訪問的次數(shù)、 操作行為類型、 數(shù)據(jù)操作批量行為等， 在這些基本特征的基礎(chǔ)上，完成數(shù)據(jù)管控策略的制訂。

數(shù)據(jù)的訪問控制

針對數(shù)據(jù)使用的不同方面，需要完成對數(shù)據(jù)使用的原則和控制策略，一般包括如下方面：數(shù)據(jù)訪問的賬號和權(quán)限管理，相關(guān)的原則和控制內(nèi)容包括：(1)專人賬號管理；(2)賬號獨(dú)立原則；(3)賬號授權(quán)審批；(4)最小授權(quán)原則；(4)賬號回收管理；(5)管理行為審計(jì)記錄；(6)定期賬號稽核；

數(shù)據(jù)使用過程管理中，相關(guān)的原則和控制內(nèi)容包括：（1）業(yè)務(wù)需要訪問原則；（2）批量操作審批原則；（3）高敏感訪問審批原則；（4）批量操作和高敏感訪問指定設(shè)備、地點(diǎn)原則；（5）訪問過程審計(jì)記錄；（6）開發(fā)測試訪問模糊化原則；（7）訪問行為定期稽核；

數(shù)據(jù)共享（提?。┕芾?，相關(guān)的原則和控制內(nèi)容包括：（1）最小共享和模糊化原則；（2）共享（提?。徟瓌t；（3）最小使用范圍原則；（4）責(zé)任傳遞原則；（5）定期稽核；

數(shù)據(jù)存儲管理，相關(guān)的原則和控制內(nèi)容包括：（1）不同敏感級別數(shù)據(jù)存儲的網(wǎng)絡(luò)區(qū)域；（2）敏感數(shù)據(jù)存儲加密；（3）備份訪問管理；（4）存儲設(shè)備的移動管理；（5）存儲設(shè)備的銷毀管理；

定期的稽核策略

定期的稽核是保證數(shù)據(jù)安全治理規(guī)范落地的關(guān)鍵，也是信息安全管理部門的重要職責(zé)，包括：

A、合規(guī)性檢查：確保數(shù)據(jù)安全使用政策被真實(shí)執(zhí)行；

B、操作監(jiān)管與稽核：主要針對數(shù)據(jù)訪問賬號和權(quán)限的監(jiān)管與稽核；要具有賬號和權(quán)限的報(bào)告；要具有賬號和權(quán)限的變化報(bào)告 ；業(yè)務(wù)單位和運(yùn)維部門數(shù)據(jù)訪問過程的合法性監(jiān)管與稽核；要定義異常訪問行為特征 ；要對數(shù)據(jù)的訪問行為具有完全的記錄和分析；

C、風(fēng)險(xiǎn)分析與發(fā)現(xiàn)：對日志進(jìn)行大數(shù)據(jù)分析，發(fā)現(xiàn)潛在異常行為；對數(shù)據(jù)使用過程進(jìn)行嘗試攻擊，進(jìn)行數(shù)據(jù)安全性測試。

4、數(shù)據(jù)安全治理技術(shù)支撐框

4.1 數(shù)據(jù)安全治理的技術(shù)挑戰(zhàn)

實(shí)施數(shù)據(jù)安全治理的組織，一般都具有較為發(fā)達(dá)和完善的信息化水平，數(shù)據(jù)資產(chǎn)龐大，涉及的數(shù)據(jù)使用方式多樣化，數(shù)據(jù)使用角色繁雜，數(shù)據(jù)共享和分析的需求剛性，要滿足數(shù)據(jù)有效使用的同時(shí)保證數(shù)據(jù)使用的安全性，需要極強(qiáng)的技術(shù)支撐。

數(shù)據(jù)安全治理面臨數(shù)據(jù)狀況梳理、敏感數(shù)據(jù)訪問與管控、數(shù)據(jù)治理稽核三大挑戰(zhàn)。

圖6 當(dāng)前數(shù)據(jù)安全治理面臨的挑戰(zhàn)

4.1.1數(shù)據(jù)安全狀況梳理技術(shù)挑戰(zhàn)

組織需要確定敏感性數(shù)據(jù)在系統(tǒng)內(nèi)部的分布情況，其中的關(guān)鍵問題在于如何在成千上百的數(shù)據(jù)庫和存儲文件中明確敏感數(shù)據(jù)的分布；組織需要確定敏感性數(shù)據(jù)是如何被訪問的，如何掌握敏感數(shù)據(jù)在被什么系統(tǒng)、什么用戶以什么樣的方式訪問；組織需要迅速確定當(dāng)前的賬號和授權(quán)狀況，清晰化、可視化、報(bào)表化的明確敏感數(shù)據(jù)在數(shù)據(jù)庫和業(yè)務(wù)系統(tǒng)中的訪問賬號和授權(quán)狀況，明確當(dāng)前權(quán)控是否具備適當(dāng)?shù)幕A(chǔ)。

4.1.2數(shù)據(jù)訪問管控技術(shù)挑戰(zhàn)

在敏感數(shù)據(jù)訪問和管控技術(shù)方面，細(xì)分至五個(gè)方面的挑戰(zhàn)：

（1）如何將敏感數(shù)據(jù)訪問的審批在執(zhí)行環(huán)節(jié)有效落地對于敏感數(shù)據(jù)的訪問、對于批量數(shù)據(jù)的下載要進(jìn)行審批制度，這是數(shù)據(jù)治理的關(guān)鍵；但工單的審批若是在執(zhí)行環(huán)節(jié)無法有效控制，訪問審批制度僅僅是空中樓閣。

（2）如何對突破權(quán)控管理的黑客技術(shù)進(jìn)行防御基于數(shù)據(jù)庫的權(quán)限控制技術(shù)，在基于漏洞攻擊的基礎(chǔ)上將很容易被突破。

（3）如何在保持高效的同時(shí)實(shí)現(xiàn)存儲層的加密基于文件層和硬盤層的加密將無法與數(shù)據(jù)庫的權(quán)控體系結(jié)合，對運(yùn)維人員無效；如何實(shí)現(xiàn)存儲加密、權(quán)限控制和快速檢索的整體解決，是這一問題的關(guān)鍵，只有這樣的存儲加密才能保證安全的同時(shí)數(shù)據(jù)可用。

（4）如何實(shí)現(xiàn)保持業(yè)務(wù)邏輯后的數(shù)據(jù)脫敏對于測試環(huán)境、開發(fā)環(huán)境和 BI 分析環(huán)境中的數(shù)據(jù)需要對敏感數(shù)據(jù)模糊化，但模糊化的數(shù)據(jù)保持與生產(chǎn)數(shù)據(jù)的高度仿真，是實(shí)現(xiàn)安全又可用的基礎(chǔ)。

（5）如何實(shí)現(xiàn)數(shù)據(jù)提取分發(fā)后的管控

數(shù)據(jù)的共享是數(shù)據(jù)的基本使用屬性，但數(shù)據(jù)的復(fù)制是沒有痕跡的；數(shù)據(jù)分發(fā)后如何保證數(shù)據(jù)不會被流轉(zhuǎn)到失控的環(huán)境，或者被復(fù)制后可溯源，這是數(shù)據(jù)提取分發(fā)管理的關(guān)鍵。

4.1.3 數(shù)據(jù)安全的稽核和風(fēng)險(xiǎn)發(fā)現(xiàn)挑戰(zhàn)

1、如何實(shí)現(xiàn)對賬號和權(quán)限變化的追蹤

定期地對賬號和權(quán)限變化狀況進(jìn)行稽核，是保證對敏感數(shù)據(jù)的訪問在既定策略和規(guī)范內(nèi)的關(guān)鍵；但如何對成百上千個(gè)業(yè)務(wù)系統(tǒng)和數(shù)據(jù)庫中的賬號與權(quán)限的變化狀況進(jìn)行追蹤是關(guān)鍵。

2、如何實(shí)現(xiàn)全面的日志審計(jì)

在新的網(wǎng)絡(luò)安全法出臺后全面的數(shù)據(jù)訪問審計(jì)要求，日志存儲最少保留6個(gè)月；在新的等保中要求，云的提供商和用戶都必須實(shí)現(xiàn)全面的日志記錄。全面審計(jì)工作對各種通訊協(xié)議、云平臺的支撐，1000 億數(shù)據(jù)以上的存儲、檢索與分析能力上，均形成挑戰(zhàn)。全面的審計(jì)是檢驗(yàn)數(shù)據(jù)安全治理中的策略是否在日常的執(zhí)行中切實(shí)落地的關(guān)鍵。

3、如何快速實(shí)現(xiàn)對異常行為和潛在風(fēng)險(xiǎn)的發(fā)現(xiàn)與告警

數(shù)據(jù)治理中，有一個(gè)關(guān)鍵要素就是發(fā)現(xiàn)非正常的訪問行為和系統(tǒng)中存在的潛在漏洞問題。如何對日常行為進(jìn)行建模，是海量數(shù)據(jù)中快速發(fā)現(xiàn)異常行為和攻擊行為避免系統(tǒng)面臨大規(guī)模失控的關(guān)鍵。

4.2數(shù)據(jù)安全治理的技術(shù)支撐

對應(yīng)數(shù)據(jù)安全治理上述提到的三大挑戰(zhàn)，筆者提出針對數(shù)據(jù)安全狀況梳理、數(shù)據(jù)訪問管控及數(shù)據(jù)安全稽核的技術(shù)保障體系。

4.2.1 數(shù)據(jù)安全狀況梳理的技術(shù)支撐

1、數(shù)據(jù)靜態(tài)梳理技術(shù)

靜態(tài)梳理是基于端口掃描和登錄掃描的方式完成對敏感數(shù)據(jù)的存儲分布狀況、數(shù)據(jù)管理系統(tǒng)的漏洞狀況、數(shù)據(jù)管理系統(tǒng)的安全配置狀況的信息采集技術(shù)，通過該技術(shù)幫助安全管理人員掌握系統(tǒng)的數(shù)據(jù)安全狀態(tài)。

通過靜態(tài)的掃描技術(shù)可以獲得數(shù)據(jù)的以下基本信息：

a) 系統(tǒng)內(nèi)的數(shù)據(jù)庫列表，所分布的IP；

b) 根據(jù)數(shù)據(jù)特征，發(fā)現(xiàn)系統(tǒng)內(nèi)不同類別和級別的數(shù)據(jù)如何分布；

c) 這些數(shù)據(jù)庫中的安全漏洞和補(bǔ)丁狀況，最嚴(yán)重的安全風(fēng)險(xiǎn)；

d) 數(shù)據(jù)庫的賬號和權(quán)限信息，特別是敏感信息標(biāo)的賬號和權(quán)限信息；

e) 數(shù)據(jù)庫的安全配置狀況。

2、數(shù)據(jù)動態(tài)梳理技術(shù)

動態(tài)梳理技術(shù)是基于對網(wǎng)絡(luò)流量的掃描，實(shí)現(xiàn)對系統(tǒng)中的敏感數(shù)據(jù)的訪問狀況的梳理，包括：敏感數(shù)據(jù)的存儲分布、敏感數(shù)據(jù)的系統(tǒng)訪問狀況、敏感數(shù)據(jù)的批量訪問狀況、敏感數(shù)據(jù)的訪問風(fēng)險(xiǎn)。

通過動態(tài)梳理技術(shù)可以獲得數(shù)據(jù)的以下基本信息：

a) 哪些IP（數(shù)據(jù)庫主機(jī)）是數(shù)據(jù)的來源；

b) 哪些IP（業(yè)務(wù)系統(tǒng)或運(yùn)維工具）是數(shù)據(jù)的主要訪問者；

c) 敏感數(shù)據(jù)是如何被業(yè)務(wù)系統(tǒng)訪問的（時(shí)間、流量、操作類型、語句）；

d) 敏感數(shù)據(jù)是如何被運(yùn)維人員訪問的（IP、用戶、操作）。

3、數(shù)據(jù)狀況的可視化呈現(xiàn)技術(shù)

通過可視化技術(shù)將靜態(tài)資產(chǎn)和動態(tài)資產(chǎn)梳理技術(shù)梳理出的信息以可視化的形式呈現(xiàn)；比如敏感數(shù)據(jù)的訪問熱度、資產(chǎn)在組織內(nèi)不同部門或業(yè)務(wù)系統(tǒng)內(nèi)的分布、系統(tǒng)的賬號和權(quán)限圖、敏感數(shù)據(jù)的范圍權(quán)限圖：

圖7 數(shù)據(jù)資產(chǎn)分布圖

圖8 數(shù)據(jù)訪問熱度圖

圖9 敏感數(shù)據(jù)賬號和授權(quán)狀況概況圖

4、數(shù)據(jù)資產(chǎn)的管理系統(tǒng)支撐

基于靜態(tài)梳理、動態(tài)梳理和可視化展現(xiàn)技術(shù)，建立數(shù)據(jù)資產(chǎn)的登記、準(zhǔn)入、準(zhǔn)出和定期核查。

圖10 以自動流量分析技術(shù)完成存量資產(chǎn)梳理圖

4.2.2數(shù)據(jù)訪問管控的技術(shù)支撐

1、數(shù)據(jù)運(yùn)維審批技術(shù)

(1) 堡壘機(jī)技術(shù)

堡壘機(jī)是當(dāng)前最常用的進(jìn)行運(yùn)維管控的工具，包括對數(shù)據(jù)庫的運(yùn)維管控；堡壘機(jī)通過將運(yùn)維工具集中到指定設(shè)備上，所有對數(shù)據(jù)庫的運(yùn)維操作都將在這個(gè)設(shè)備上完成。但堡壘機(jī)對數(shù)據(jù)庫的運(yùn)維大多僅能控制到庫這個(gè)級別，無法控制到更細(xì)粒度的對象如表或列；同時(shí)對于圖形化的運(yùn)維工具無法作到控制，僅能作到錄屏。

(2) 數(shù)據(jù)庫專業(yè)運(yùn)維管控技術(shù)

數(shù)據(jù)庫的專業(yè)運(yùn)維管控工具可以控制到表和列級，可以控制到各種數(shù)據(jù)庫操作；同時(shí)可以精確控制到具體的語句，控制語句執(zhí)行的時(shí)間，控制執(zhí)行的閾值；同時(shí)滿足事前審批，事中控制的模式；滿足金融或運(yùn)營商行業(yè)所需要的金庫模式，這將極大提高數(shù)據(jù)庫運(yùn)維管控的準(zhǔn)確性：

圖11 數(shù)據(jù)庫安全運(yùn)維審批流程示意

2、防止黑客攻擊的數(shù)據(jù)庫防火墻技術(shù)

運(yùn)維管控系統(tǒng)是對內(nèi)部人員對敏感數(shù)據(jù)訪問行為的管理；但敏感數(shù)據(jù)除了內(nèi)部人員外，也要面臨黑客的攻擊和入侵，或者第三方外包人員利用黑客技術(shù)突破常規(guī)的權(quán)限控制；因此需要通過數(shù)據(jù)庫防火墻技術(shù)實(shí)現(xiàn)對于漏洞攻擊的防御， 包括 SQL 注入類的外部攻擊，以及提權(quán)漏洞、緩沖區(qū)溢出漏洞和 TNS 漏洞等。

圖12 數(shù)據(jù)庫防火墻技術(shù)中最核心技術(shù)——虛擬補(bǔ)丁技術(shù)

3、數(shù)據(jù)庫存儲加密技術(shù)

數(shù)據(jù)庫的存儲加密是保證數(shù)據(jù)在物理層得到安全保障的關(guān)鍵，加密技術(shù)的關(guān)鍵是要解決幾個(gè)核心問題：

a) 加密與權(quán)控技術(shù)的整合；

b) 加密后的數(shù)據(jù)可快速檢索：可考慮通過密文索引技術(shù)（但需要操作系統(tǒng)的兼容）或保序加密技術(shù)。

c) 應(yīng)用透明技術(shù)：數(shù)據(jù)加密后原有應(yīng)用系統(tǒng)不需要改造，可選擇的技術(shù)包括三層視圖技術(shù)，或者保留格式加密技術(shù)。

4、數(shù)據(jù)庫脫敏技術(shù)

數(shù)據(jù)庫脫敏技術(shù)，是解決數(shù)據(jù)模糊化的關(guān)鍵技術(shù)；通過脫敏技術(shù)來解決生產(chǎn)數(shù)據(jù)中的敏感信息在測試環(huán)境、開發(fā)環(huán)境和 BI 分析環(huán)境的安全。

圖13 數(shù)據(jù)訪問控制技術(shù)-脫敏技術(shù)

在脫敏技術(shù)中的關(guān)鍵技術(shù)包括：

a)數(shù)據(jù)含義的保持：脫敏后的數(shù)據(jù)仍然具有原始數(shù)據(jù)類型所要求的格式、內(nèi)置關(guān)系，如身份證、地址、人名脫敏后依然需要是身份證、地址、人名；

b) 數(shù)據(jù)間關(guān)系的保持：需要不同表間相同數(shù)據(jù)、不同庫間相同數(shù)據(jù)，在脫敏后依然是相同數(shù)據(jù)，保證數(shù)據(jù)間的映射關(guān)系；

c) 增量數(shù)據(jù)脫敏：對于大規(guī)模數(shù)據(jù)的增量，能在原有數(shù)據(jù)的基礎(chǔ)上持續(xù)性地快速脫敏，從而保障在某些測試或分析環(huán)境中數(shù)據(jù)相對的及時(shí)性；

d) 可逆脫敏：在 BI 分析環(huán)境下，用戶信息等關(guān)鍵性信息需要被脫敏；但在 BI 分析的結(jié)果，重點(diǎn)關(guān)注的用戶， 需要回到生產(chǎn)環(huán)境下時(shí)，可以還原為真實(shí)的用戶信息，以進(jìn)行行銷；

e) 動態(tài)脫敏：在一些環(huán)境下，需要保持?jǐn)?shù)據(jù)共享的及時(shí)性，但又要避免數(shù)據(jù)的泄露；因此需要對在不將數(shù)據(jù)重新生成一份脫敏副本的情況下提供給第三方。需要針對不同的用戶，根據(jù)數(shù)據(jù)的共享和安全需要，對不同的數(shù)據(jù)集進(jìn)行脫敏；

f)大數(shù)據(jù)脫敏：隨著 MongoDB、Hadoop、Redis 等大數(shù)據(jù)技術(shù)的使用，脫敏技術(shù)更多地被需要。

5、數(shù)據(jù)水印技術(shù)

數(shù)據(jù)水印技術(shù)是為了保持對分發(fā)后的數(shù)據(jù)的追蹤，在數(shù)據(jù)泄露行為發(fā)生后，對造成數(shù)據(jù)泄露的源頭可進(jìn)行回溯。數(shù)據(jù)水印技術(shù)的關(guān)鍵點(diǎn)包括：

A、建立具備水印能力的數(shù)據(jù)抽取和分發(fā)系統(tǒng)；

B、在分發(fā)數(shù)據(jù)中摻雜，不影響運(yùn)算結(jié)果的數(shù)據(jù)，使泄密源可追溯；

C、摻雜的方式：增加偽行、增加偽列、在現(xiàn)有的數(shù)據(jù)中作修正，如某些字符串信息，摻加不顯示字符；

D、建立數(shù)據(jù)分發(fā)項(xiàng)目清單，記錄數(shù)據(jù)集、數(shù)據(jù)去向、水印特點(diǎn)；

E、拿到泄密數(shù)據(jù)的樣本，可追溯數(shù)據(jù)泄露源。

4.2.3 數(shù)據(jù)安全稽核的技術(shù)支撐

數(shù)據(jù)安全稽核是安全管理部門的重要職責(zé)，以此保障數(shù)據(jù)治理的策略和規(guī)范被有效執(zhí)行和落地，保障能夠快速發(fā)現(xiàn)潛在的風(fēng)險(xiǎn)和行為。但數(shù)據(jù)稽核對于大型企業(yè)或機(jī)構(gòu)超大規(guī)模的數(shù)據(jù)流量、龐大的數(shù)據(jù)管理系統(tǒng)和業(yè)務(wù)系統(tǒng)數(shù)量下，也面臨著很大的技術(shù)挑戰(zhàn)。

1、數(shù)據(jù)審計(jì)技術(shù)

數(shù)據(jù)審計(jì)的目標(biāo)是對所有的數(shù)據(jù)訪問行為進(jìn)行記錄，對危險(xiǎn)行為進(jìn)行告警，提供數(shù)據(jù)訪問報(bào)表，提供對數(shù)據(jù)的檢索和分析能力；數(shù)據(jù)審計(jì)技術(shù)是對工作人員行為是否合規(guī)進(jìn)行判定的關(guān)鍵；數(shù)據(jù)審計(jì)技術(shù)主要是基于網(wǎng)絡(luò)流量分析技術(shù)、高性能入庫技術(shù)、大數(shù)據(jù)分析技術(shù)和可視化展現(xiàn)技術(shù)：

圖14 數(shù)據(jù)審計(jì)技術(shù)

2、賬戶和權(quán)限變化追蹤技術(shù)

賬號和權(quán)限總是動態(tài)被維護(hù)的，在成千上萬的數(shù)據(jù)賬號和權(quán)限下，如何快速了解在已經(jīng)完成的賬號和權(quán)限基線上增加了哪些賬號，賬號的權(quán)限是否變化了，這些變化是否遵循了合規(guī)性保證，需要通過靜態(tài)的掃描技術(shù)和可視化技術(shù)幫助信息安全管理部門完成這種賬號和權(quán)限的變化稽核。

圖15 授權(quán)變更統(tǒng)計(jì)分析管理界面

3、異常行為分析技術(shù)

在安全治理過程中，除了明顯的數(shù)據(jù)攻擊行為和違規(guī)的數(shù)據(jù)訪問行為外，很多的數(shù)據(jù)入侵和非法訪問是掩蓋在合理的授權(quán)下的，這就需要通過一些數(shù)據(jù)分析技術(shù)，對異常性的行為進(jìn)行發(fā)現(xiàn)和定義，這些行為往往從單個(gè)的個(gè)體來看是合法的。

對于異常行為，可以通過兩種方式，一種是通過人工的分析完成異常行為的定義；一種是對日常行為進(jìn)行動態(tài)的學(xué)習(xí)和建模，對于不符合日常建模的行為進(jìn)行告警。

圖16 異常訪問行為定義

以上很多的異常訪問行為，都與頻次有密切的關(guān)系；這種頻次分析技術(shù)不是傳統(tǒng)的關(guān)系型數(shù)據(jù)庫或大數(shù)據(jù)平臺的強(qiáng)項(xiàng)，更多地需要引入一種新的技術(shù)，這就是 StreamDB技術(shù)；一種以時(shí)間窗體為概念，對多個(gè)數(shù)據(jù)流進(jìn)行頻次、累計(jì)量和差異量進(jìn)行分析的技術(shù)，往往可以用于對大規(guī)模數(shù)據(jù)流的異常發(fā)現(xiàn)：

圖17 Stream 數(shù)據(jù)處理技術(shù)

5、文章小結(jié)

數(shù)據(jù)安全治理是以“數(shù)據(jù)安全使用”為目標(biāo)的綜合管理理念，具體實(shí)現(xiàn)數(shù)據(jù)安全保護(hù)、敏感數(shù)據(jù)管理與合規(guī)性三個(gè)需求；數(shù)據(jù)安全治理涵蓋數(shù)據(jù)的分類、梳理、管控與審計(jì)四大重要環(huán)節(jié)。核心實(shí)現(xiàn)框架為：數(shù)據(jù)安全人員組織、數(shù)據(jù)安全使用的策略和流程、數(shù)據(jù)安全技術(shù)支撐。

在整個(gè)數(shù)據(jù)安全治理理念中，在組織保障方面首先需要成立數(shù)據(jù)安全治理的組織機(jī)構(gòu)，確保數(shù)據(jù)安全治理工作在組織內(nèi)能真正地落地；其次是要完成數(shù)據(jù)安全治理的策略性文件和系列落地文件，這將是數(shù)據(jù)安全治理的綱領(lǐng)性文件，相應(yīng)系列文件規(guī)范中要覆蓋數(shù)據(jù)安全治理的三大需求目標(biāo)和四個(gè)重要環(huán)節(jié)，針對所有與敏感數(shù)據(jù)有接觸的人員的權(quán)限進(jìn)行定義，就人員對數(shù)據(jù)訪問的過程提出控制流程；在數(shù)據(jù)安全管理規(guī)范生成后，重要的是通過系列的數(shù)據(jù)安全技術(shù)支撐系統(tǒng)應(yīng)對挑戰(zhàn)，確保數(shù)據(jù)安全管理規(guī)定有效落地，而不是變成一張徒有虛表的廢紙。

注：

本文由 安華金和 石川? 投稿數(shù)據(jù)猿發(fā)布。

歡迎更多大數(shù)據(jù)企業(yè)、愛好者投稿數(shù)據(jù)猿，來稿請直接投遞至：tougao@datayuan.cn

來源：數(shù)據(jù)猿