数字时代的数据资产安全管理

□ 文/陈兴跃 刘晓滔

数字时代的数据资产安全管理

□ 文/陈兴跃 刘晓滔

在数字经济时代，数据资产化已经是大势所趋，数据资产运营能力越来越成为企业核心能力的重要组成部分，关乎着企业的生存与发展。与此同时，针对数据和数据资产的网络安全威胁也越来越频繁、越来越复杂、越来越难以防护。新形态的安全威胁，要求企业采取新思维和新手段，数据安全治理的理念与方法应运而生。数据安全治理突破了传统安全的范畴，更全面地覆盖了数据全生命周期的安全管理要求，以业务需求为导向，对数据资产安全管理提供了有力支撑。

数据资产成为重要战略资源

在以互联网为代表的信息通信技术高速发展的推动下，人类社会进入了数字经济时代。宽带网络、数据中心、云计算、大数据和物联网是数字经济发展的五大关键技术，数据更是数字经济时代的“石油”，成为关乎国家政治、经济、军事、社会和文化发展的重要战略资源。随着数据的不断生成和聚集，数据资产的价值越来越大，也日益成为网络犯罪的重要目标。

目前，全球为数字经济的发展所进行的数据开发和使用也引发了越来越多的个人隐私安全、企业信息安全甚至国家安全风险。大规模网站数据和个人信息泄露事件屡见不鲜，“衍生灾害”严重。

美国最大的电信运营商威瑞森公司（Verizon）在其发表的《2015年全球数据泄露调查报告》指出，2015年全球共发生7.07亿条以上敏感信息泄露，较2013年5亿条敏感信息泄漏呈现大幅度增长趋势。同时2015年，国内的数据泄露事件频发，越来越多的数据泄露事件进入人们的视线，从移动运营商到酒店预订公司，从公司到政府机构都是数据泄露的受害者。据统计，2015年大部分数据外泄泄露出自政府部门（3.07亿条，43%），健康医疗机构外泄数据为1.34亿条，占19%；科技领域数据外泄达8400万条，占12%；教育领域外泄数据1900万条，占3%。攻击者最先对准的数据类型为个人身份和数据信息，约占外泄事故的53%，而22%的外泄事故以金融财务数据为目标。账号密码数据占11%，存在性数据10%，而黑客活动分子大部分以妨害行为为目的进行外泄（4%）。

随着国家“互联网+”战略的不断推进，移动互联网、物联网、大数据等新技术的广泛应用，数据资产化趋势越来越显著。国际上对“数据资产管理”的定义为：数据资产管理（Data Asset Management，简称DAM）是规划、控制和提供数据及信息资产的一组业务职能，包括开发、执行和监督有关数据的计划、政策、方案、项目、流程、方法和程序，从而控制、保护、交付和提高数据资产的价值。数据资产安全管理是数据资产管理不可或缺的组成部分，也是数据资产管理的基础与前提。在数字经济快速发展的过程中，我们要共同面对“数据安全”难题，协调好“安全”与“发展”的关系。

以数据安全管理为基础管理数据资产

从资产角度看，数据的安全保存产生的价值非常有限，数据的价值体现在于使用。更进一步讲，数据的价值不仅仅在于聚合与分析，更多地在于分享、流动。不同于自然资源，使用就是在消耗。数据的多维度叠加使用是在创造更多的数据资产，本身并没有被消耗掉。基于分享，数据在流动的过程中被不断使用，从而不断产生新的价值。由此看来，要挖掘数据的价值，必须在由数据采集、数据交换与分享、数据清洗与处理、数据使用等环节所构成的全业务链条和生命周期中，确保数据与数据资产所有权、使用权、控制权有清晰的界定、确权和继承，并且得到技术手段和管理体制的有力保障。这已经不是狭义地保障数据本身的安全，而是需要在数据安全治理的范畴和体系下来实施数据资产安全管理。

数据安全治理是以数据的安全使用为目的的综合管理理念，其目标是数据安全使用。这是以数据资产化的视角，以数据价值体现为重要驱动力的安全管理体系与方法。数据安全治理主要包括以下几个方面的内容：

三个需求目标

数据安全保护、敏感数据管理、合规性：这三个目标相比过去的防黑客攻击和满足合规性两大安全目标，更为全面和完善。只有合理地处理好数据资产的使用与安全，企业才能在数字经济时代可持续快速发展。对于数据资产中的敏感数据需要进行重点保护和专项管理，敏感数据的安全管理和使用，是数据安全治理的核心主题。

四大重要环节

分类和梳理：在大数据应用和多元化数据应用中，会经常面临不同类型数据、不同规模数据、不同实效数据的重要程度和安全敏感度各不相同的复杂情况。因此，要实现数据的流动与使用，就必须对数据资产进行分类分级管理，按重要性、敏感度的不同，制定差异化的安全规则，采取有针对性的安全技术措施。简单的封闭和隔离不是解决之道，不仅有违“开放与分享”这一信息社会发展的基本规律，也不符合科学发展要求。数据安全治理的核心内容，首先是来自对数据的有效理解和分析，对数据进行不同类别和密级的划分；根据数据的类别和密级制定不同的管理和使用规则，尽可能对数据做到有差别和针对性的防护，实现在适当安全保护下的数据自由流动。

管控和审计：在数据分级和分类后，重要的是要描述数据的特征，以及这些数据在系统内的分布，了解这些数据在被谁访问，这些人是如何使用和访问数据的，这就需要完整的数据梳理过程。在数据有效梳理的基础上，需要制定出针对不同数据、不同使用者的管理控制措施。数据的管控包含数据的收集、存储、使用、分发和销毁。除了数据管控，还需要有效地对数据的访问行为进行日志记录，对收集的日志记录进行定期地合规性分析和风险分析。

三大核心实现框架

数据安全人员组织：在数据安全治理中，首先要明确安全责任体系，落实数据资产安全管理的责权利，确定数据安全管理的关键岗位，条件具备的还应按需成立专门的安全治理团队与部门，保证数据安全治理工作能够长期持续的得以执行。同时，数据安全治理要明确数据治理相关的工作部门和角色（需求方、受众、支持者等），使数据治理工作能够与企业的业务体系有效融合，确保数据治理工作有的放矢。

数据安全使用的策略和流程：要以规范文件的形式明确企业（组织）内部的敏感数据有哪些，在对敏感数据进行分类和分级的基础上，针对不同类别和级别的敏感数据采取有针对性的管理控制规则。并且对不同的作业部门和工作角色所具有的权限，以及数据使用的不同环节所要遵循的控制流程进行定义和规范。

数据安全治理的技术支撑：是要明确在管理控制过程中，采用什么样的技术手段帮助实现数据的安全管理过程，这些技术手段可以包括数据的梳理、数据的访问控制、数据的保护、数据的脱敏和分发、数据的审计、数据访问的风险分析。

全生命周期管理

从数据资产管理的视角看数据安全，需要贯穿数据全生命周期，提供有针对性的安全管控手段。数据资产安全治理主要包括四个阶段：

治理规划与计划

数据治理成功的关键在于元数据管理，即赋予数据上下文和含义的参考框架。经过有效治理的元数据可提供数据流视图、影响分析的执行能力、通用业务词汇表以及其术语和定义的可问责性，最终提供用于满足合规性的审计跟踪。元数据管理成为一项重要功能，让IT部门得以监视复杂数据集成环境中的变化，同时交付可信、安全的数据。因此，良好的元数据管理工具在全局数据治理中起到了核心作用。

数据资产治理规划首先要构建对企业安全元数据的统一管理和标准化定义，通过安全元数据制定并管控企业整体的数据安全。通过规划工作制定数据安全管理策略，明确关键岗位、职责范围、操作规范、组织流程制度、权限管理、敏感数据分级分类、安全级别和策略、响应策略等。计划工作主要针对业务发展的需要明确数据安全管理的重点工作内容和具体落实措施；采取和落实相关数据安全标准；实施对数据安全治理体系定期排查，针对数据安全隐患制定计划并推进落实。

图1 数据安全治理理念框架

图2 数据安全治理的全生命周期

资产加工

数据资产加工包括数据清洗、重要数据脱敏、元数据构建、权限控制管理、数据整合、数据汇总等工作内容。在此阶段，数据资产安全治理的工作重点是在各个作业环节切实地落实安全管理规则，采取适当的技术手段进行安全保障。

资产流通

数据流通也就是数据跨主体流转环节，是安全防护的难点和关键环节，非常重要。

安全保障：流通过程中，既要流转过程“不泄密、无隐私 、不超限、合规约”。

可追溯：又要保证，一旦出现数据外泄，隐私泄露等安全问题，必须有必要的数据溯源机制，找到风险点和责任人。

可继承：在数据资产全业务链条和生命周期中都需要确保资产权益的可继承性，这一点在流通环节尤为重要。在数据资产流通中，确保数据与数据资产所有权、使用权、控制权有清晰的界定、确权和继承，并且得到技术手段和管理体制的有力保障。

资产运维

监督与评估，是指监督数据安全治理的实施过程，评估数据安全治理实施的符合性和质量。通过定期开展对数据存储、传输、使用环节的安全审计，对数据安全管理能力进行监督，并且反馈监督与评估的结果及建议，持续改进数据安全治理的实施过程，提升数据安全治理实施的有效性。

运维监控，为平台或系统管理者提供统一的数据安全监控工具，对数据资产进行全流程的整体管理；并通过流程监控、日志分析、风险告警等多种手段全面记录分析数据使用者的每个操作动作。

流程制度，在数据安全治理规划的指导下，针对不同的数据类型与数据对象、不同的作业角色、不同的数据使用场景，确实地落实规范流程、权限与职责和安全技术保障手段。

风险预警，通过对特定指标的分析和阈值的监控，以及对安全威胁情报的及时获取分析，提前预判企业数据加工使用、开放流通等环节中可能出现的风险，在安全隐患发作之前进行排除和防范。

图3 梳理前后的数据资产对照表

数据资产梳理为数据安全规范管理打下基础

某保险集团中存在大量应用系统对外提供保险服务，对内实现信息化办公。主要包括产险、产险电销、车险电销、呼叫中心、集团、寿险、寿险电销、寿险深圳、XX、资产等业务。当前新系统上线旧系统下线时的数据库资产变更，全靠一张EXCEL表来维护。由于数据库种类多，久而久之发现某个已下线的数据库还在运行，已上线的数据库未在该EXCEL表中登记等现象，故而需要进行一次数据库资产梳理；并依据该资产梳理情况，完成对于数据资产的管控规范的制订。（从EXCEL表中获知的数据库台账参见图表3）将DBA运维区接入交换机上联链路流量和业务系统DMZ区域流量，通过TAP设备复制分发给数据资产梳理系统，通过数据资产系统中的“自动发现”功能，智能识别流量中包含的数据库信息。将实际“存活”的数据库与现有数据库台账做对比，梳理当前数据库管理盲区，核对台账。

2016年11月，结合数据库自动发现技术对某公司数据库资产进行梳理，发现当前有274个数据库未备案（未在数据库管理员提供的数据库清单列表中出现），已备案374个数据库（但部分备案数据库并未真实存在）。已管理数据库仅占全部数据库的58%，42%的数据库属于管理盲区。

2016年12月，由某公司科信部牵头，网络管理员、数据库管理员配合核查追踪后，发现部分数据库是运维人员自己为了学习相关数据库，自行安装的，部分是监控系统的数据库，部分是在线的数据库却未备案的。同时还有部分数据库的资产登记错误，部分数据库虽然登记在案，但实际已经下线。通过数据库智能发现的IP地址范围，精准获得未管理数据库个数为274个。

2017年7月，经过清洗删除、整合归并，用户更新了最新的《数据库资产管理表》，当前已备案的数据库为595个，详见图表3。

本案例中具有两个主要价值点：一是在数据资产安全管理中引入了数据安全治理的理念与方法，有效解决用户无法快速梳理集团内部数据库资产的问题；二是促进用户制定运维机的规范化使用，解决了私自安装数据库的问题，减少数据泄露风险。更重要的是通过本次数据资产梳理建立了较为精确的资产台账。该集团同时制订了每周进行资产梳理，完成资产的变化状况追踪措施。基于本次资产台账梳理，该集团计划结合网络安全法中的个人隐私信息规定和集团内部价值信息梳理，将完成XX保险系统的数据分级分类规范，并根据该规范，完成敏感数据的发现和梳理，生成敏感数据报告。在这一步完成后，将为该集团的敏感数据安全管理规范的制订打下基础。

随着新技术的不断涌现和普及，未来必将面临越来越多样化的安全新威胁。要解决数据安全新问题、抓住发展新机遇，不仅需要新的技术手段与能力，还需要新的管理理念与体制。这就是数据安全治理急待探索和发展的原因。在数字经济发展浪潮中，企业应该科学地平衡好“安全”与“成本”、“安全”与“便捷”之间的对立统一关系，在努力保障好核心敏感数据资产安全的前提下，最大限度地实现数据的开放与流动，从而促进数据资产的快速发展，加快企业核心业务做大做强的进程，进一步推动我国数字经济的繁荣。

责任编辑：高津菁

gaojj@staff.ccidnet.com

陈兴跃 中国网络安全产业联盟秘书长

刘晓滔 北京安华金和科技有限公司总裁