电网业务数据防泄漏平台建设

刘玉婷 路 劲 莹 璐 吴 晟 黄家强

（1.云南电网有限责任公司信息中心，云南 昆明650217；2.广州西麦信息科技有限公司，广东 广州510000）

0 引言

数据是企业的核心资产，国内外大量案例表明敏感数据的泄漏会给企业利益带来巨大损害，包括客户流失、核心技术丢失、事件曝光而造成声誉受损／法律问题／经济赔偿等。根据专业数据防护研究机构统计，全球企业平均每年为数据泄漏付出720万美元的损失。为了降低日益突显的数据泄漏风险以及危害，如何通过适当的手段对企业敏感数据进行防泄漏保护（Data Loss Prevention）已刻不容缓。

伴随对信息系统的依赖性的增加，电网企业数据量、数据的重要性日益增加，随之增加的还有数据泄漏风险。如果是拥有大量关键核心数据的电网国企，数据泄漏对于电网公司而言不单单是经济损失，更有可能影响到国家机密，导致灾难性的伤害。因此如何防止敏感信息泄漏已经成为影响电网企业竞争力的重要因素。

1 电网企业数据防泄漏现状

如何防止数据泄漏已成为大企业、机构的热门话题，国内外已有众多成功实施数据安全防护的方案，大量的成功案例标志着数据安全防护的理论和配套的安全产品已步入成熟阶段。

电网企业也早已意识到数据防泄漏的重要性，不少电网企业也使用了不同防泄漏设备，但不管是国外数据防泄漏设备还是国内数据防泄漏设备都不能够完全满足电网企业需求。一直困惑电网企业的问题有以下几点：

（1）现有防泄漏设备缺少针对电网企业业务环境的数据防泄漏策略标准及解决方案，在实施数据安全工作的过程中普遍存在数据防泄漏设备策略的制定不够客观和充分、误报漏报情况频繁发生等问题。

（2）现有数据防泄漏设备部署无法与企业业务流程关联在一起，所有泄漏事件都是集中统计分类，无从查证泄漏数据来源于对应的某个业务流程点。在这种情况下，一旦累积大量泄漏事件，就无法量化统计哪些业务流程点存在的数据泄漏风险比较大，需要进行严控，也无法知道泄漏事件对业务流程的影响程度。

（3）在大型电网企业中，往往还会存在多套数据防泄漏系统，各个系统彼此都是独立工作，造成泄漏事件日志无法集中进行统计，管理起来也非常不方便。

鉴于电网企业部署的数据防泄漏系统存在种种问题，本文探索集成多套数据防泄漏系统优势，做到将所有泄漏事件统一在防泄漏平台展示，并与企业业务流程紧密相联，做到：谁，在什么时间，做了什么事，违反了什么安全规范，是否被阻止，可能导致什么业务受影响。

图1 数据防泄漏平台业务流程

2 基线分析业务数据防泄漏平台建设方案

2.1 平台总体建设思路

为解决电网企业部署数据防泄漏系统存在的问题，本文探索提出建设符合电网企业业务环境数据防泄漏平台的解决思路，此建设方案共分成三大阶段进行：前期数据生命周期调研与数据分级分类，中期集成多套数据防泄漏系统与配置跟业务流程同步策略，后期建立统一的数据展示防泄漏平台。

前期的工作为统计整合电网企业数据，了解所有流转数据生命周期，应用科学客观的计算方法将数据分类分级，为电网企业防泄漏系统部署安全策略提供数据等级标准。解决电网企业防泄漏系统因制定策略不够客观和充分产生数据泄漏事件漏报与误报等问题。中期工作为将多套数据防泄漏系统集成在一起，参照数据等级标准配置统一的安全策略，并将所有数据防泄漏系统收集到的泄漏事件信息发送到数据防泄漏平台。后期工作为根据电网企业业务流程现状与从防泄漏系统接收到的数据泄漏事件结合，让数据泄漏事件信息与业务流程点挂钩，以可以查询到每一个流程点数据泄漏事件，并能够统计业务流程点泄密者泄漏事件数量，自动形成周月报发送给相关部门负责人作为个人绩效考评的一部分。中期与后期建设思路不但解决了多套数据防泄漏管理不便问题，还可以集合各防泄漏系统优势功能获取到数据统一发送给数据防泄漏平台，结合企业业务流程进行统一展示。

图1为数据防泄漏平台管控数据泄漏事件工作流程。

业务部门角色工作主要包括数据资产登记、数据分类、数据分级，并依据数据分类分级管控文档做好数据生命周期的管控，同时把数据清单和需要防止泄漏的数据提交到信息中心。

管控中心角色根据业务部门角色提交的敏感数据信息制定相应的防泄漏管控策略导入到数据防泄漏产品，做好敏感数据的监控和审计工作。在日常运维中把发现的敏感数据泄漏事件和信息制作成周报、月报下发到相关的业务部门，形成良好的管控流程。为保证数据防泄漏平台持续有效运转，还需要执行严格管控制度。

图2 数据防泄漏平台整体功能架构

2.2 平台整体功能架构

防泄漏平台功能可简化为3个步骤：监控—保护—展示。整个功能架构中，共有四大模块，分别为终端监控模块、网关监控模块、数据保护模块、统一数据展示（也称“安全防护平台”）模块。终端监控模块采用多种监控技术组合，可监控终端通过复制、粘贴、拷屏、本地打印、USB存储设备、刻录光盘、蓝牙红外传输、即时聊天工具、网络打印机、网络共享、客户端本地、特定应用服务器等通道外发的敏感数据。网关监控模块主要基于技术协议进行数据监控，监控通过Http／Https协议、FTP协议、SMTP协议、即时聊天工具、网络打印机等外发敏感信息。终端监控与网关监控相比较各有优劣，终端监控注重“点”的防护，也就是基于个人主机进行全方位数据保护；而网关监控更注重“面”防护，是站在整个企业网视角进行数据保护。数据保护模块主要承担数据防护职责，通过配置不同策略对终端及网关监控到的敏感信息进行阻挡、隔离、加密、隔离并加密通知告警、确认并辩护、补救与整治等保护动作。数据保护模块还可支持兼容多套数据防泄漏产品，集成多套数据防泄漏产品优势监控功能，更全面保护敏感数据。统一数据展示模块主要将多套数据防泄漏产品拦截或将监控到的敏感信息整合进行数据分类等综合展示。并与企业业务流程紧密结合，做到让管理员清楚：谁，在什么时间，做了什么事，违反了什么安全规范，是否被阻止，可能导致什么业务收影响。平台整体功能架构如图2所示。

3 平台建设方案创新点

国内外绝大部分成功实施数据安全防护方案均是采用单一厂商数据防泄漏设备对一般信息进行保护。保护层面广，但缺乏深度，只是对信息安全方方面面提供基础保护。同时，只是单一采用厂商数据防泄漏设备进行数据保护，容易忽略业务部门的需求以及企业真正的业务需要，导致信息安全保护效果不足或者过度，影响业务的正常运转以及企业的利益。

本方案的创新点为着重对电网企业数据进行全方位保护，从数据的价值、业务流程入手，了解业务需求、数据的关键性，评估数据面临的风险与危害，从而构建与业务流程吻合、数据安全管理与数据安全技术双层面的全面数据分级保护模型。方案还创新性地兼容多套数据防泄漏系统，各系统发挥优势功能，将收集到的泄漏信息统一在已集成电网业务流程的数据防泄漏平台上展示。因此本方案不但解决了电网企业数据防泄漏与业务流程关联难题，还融合多套数据防泄漏系统优势功能，使得数据防泄漏平台收集展示的数据泄漏事件更全面、更完整，事件类型更丰富。

4 总结与展望

敏感数据的泄漏会对电网企业利益造成巨大损害，包括客户流失、核心技术丢失、事件曝光而造成声誉受损／法律问题／经济赔偿等。为了降低电网企业日益突显的数据泄漏风险以及危害，针对电网企业数据环境建设一套适用于电网企业业务流程的数据防泄漏平台，以更好地保护企业敏感数据。

现有数据防泄漏设备基于市场统一标准投产，并不能完全符合企业业务需求，本文设计思路为集合多套数据防泄漏设备，将各设备发挥优势功能采集到的敏感数据统一发送到防泄漏平台展示，而防泄漏平台功能是根据企业业务环境及客户需求进行构造，实现敏感泄漏数据与业务流程挂钩，最终达到敏感数据泄漏与个人绩评、业务影响范围相关联的目的。本文的解决方案充分考虑了企业人员操作和业务应用的需求，为企业数据保护提供了解决思路，具有一定的参考价值和非常重要的现实意义。

［1］路少龙.浅谈电力企业计算机数据的安全保护［J］.数字技术与应用，2011（9）：246.

［2］陆海龙.数据安全存储系统的研究与实现［D］.上海：复旦大学，2010.

［3］彭维平.基于可信平台的数据泄漏防护关键技术研究［D］.北京：北京邮电大学，2011.

［4］冯建云，张月琴.内网安全信息防泄漏系统的开发与实现［J］.电脑开发与应用，2010，23（7）：31－33，39.

［5］张孝，王珊，彭朝晖.基于安全策略的一种数据保护方法及实现技术［J］.计算机科学，2007，34（2）：122－123.

［6］刁俊峰.软件安全中的若干关键技术研究［D］.北京：北京邮电大学，2007.

［7］赵勇，刘吉强，韩臻.信息泄漏防御模型在企业内网安全中的应用［J］.计算机研究与发展，2007（5）：761－767.