浅谈企业数据安全风险分析及保护

钟全德

摘要：随着互联网、物联网、云计算等技术的快速发展，数据价值在云计算大数据时代，已经远远超过数据本身。一方面，云计算海量的、多样化的数据提供存储和运算平台，使数据挖掘和人工智能从大数据中发现知识、规律和趋势，为决策提供信息参考；另一方面，基于云计算的大数据，给各行各业带来全新智能，释放出无限价值。阿里云在杭州召开的云栖大会中，将云计算和大数据的关联总括为“计算无法计算的价值”正是体现了当下发展趋势已由IT时代向DT时代转变。DT时代，数据对于企业而言，是企业核心资源，能够为企业开拓市场、提供业务创新的决策分析能力，保障企业核心竞争力及价值。然而近年来出现的各种数据泄露大事件，对企业造成了严重的负面影响。因此，如何保护数据安全已经成为企业信息安全建设中的重中之重。

关键词：数据保护；敏感数据；数据安全；数据加密；DLP

中图分类号：TP311 文献标识码：A 文章编号：1009-3044（2017）32-0058-03

Discussion on Enterprise Data Security Risk Analysis and Protection

ZHONG Quan-de

（Sichuan Rainbow Micro Technology Co.， Ltd.， Mianyang 621000， China）

Abstract：With the rapid development of Internet， Internet of things and cloud computing technology， the value of data has far exceeded the data itself in the era of cloud computing and big data. On the one hand， the diversification of the data storage and computing platform for cloud computing， massive data mining， artificial intelligence and knowledge discovery， patterns and trends from big data， providing reference information for decision making； on the other hand， big data Based on cloud computing， to all walks of life to bring a new intelligent release， infinite value. Ali cloud held in Hangzhou cloud conference， cloud computing and big data association summed up as "calculation can not be calculated value"， it reflects the current trend of development has changed from the IT era to the DT era. In the era of DT， data is the core resource of an enterprise. It can open up the market for enterprises， provide the decision analysis ability of business innovation， and guarantee the core competitive power and value of enterprises. However， in recent years， a variety of data leakage incidents have caused serious negative impact on enterprises. Therefore， how to protect data security has become the most important thing in enterprise information security construction.

Key words： data protection； sensitive data； data security； data encryption； DLP

1 數据简介

1） 数据：数值、文字、图像、声音（结构化数据、非结构化数据、半结构化数据）。

2） 数据保护对象：核心的、涉及隐私的、被破坏或者泄露会对组织有较大负面影响的数据统称为敏感数据。敏感数据需要被保护。敏感数据保护涉及安全三特性中的保密性。

（1）金融行业：用户开户信息、信用卡号、交易账单明细等。

（2）运营商行业：用户个人信息、话费账单、计费数据等。

（3）军工行业：军事情报、武器技术、地图等。

（4）计算机行业：源代码、专利技术等。

（5）医疗行业：统方数据、个人医疗数据等。

（6）制造设计行业：图纸、设计方案、商业计划等。

（7）人社行业：公民个人信息、背景资料等。

3） 数据保护驱动因素。

（1）政策法规因素

国家安全法；个人信息保护法；企业内部控制基本规范；信息安全等级保护管理办法；保密法； SOX/HIPPA；电信和互联网用户个人信息保护规定。

（2）市场驱动因素endprint

国家安全；知识产权保护；公众个人隐私保护；商业数据。

（3）国内敏感数据保护现状

管理架构不健全；制度策略不健全；引入外包管理；合作管理不规范；缺乏标准指导。

2 安全风险分析

2.1 敏感数据保护难点

数据存在形式多、访问人员多、扩散快；互联网；移动办公；存储介质；开发测试；经营分析；内部人员主动泄密；引入外包；第三方合作。

2.2 数据全生命周期安全风险分析

创建（归类、赋予权限等）、存储（访问控制、加密、权限管理、内容分发等）、传输（通道安全、加密、权限管理、内容发现等）、使用（行为监控/执行、权限管理、逻辑控制、应用安全等）、销毁（信息碎片 安全删除 内容发现等）。

（1） 创建阶段：数据创建途径：终端PC、移动终端、纸质信息等。

终端污染（漏洞、木马、蠕虫、病毒）。

（2） 传输阶段：数据传输（内部网、互联网、4G/3G/Wifi等）

中间人劫持、篡改；非法传播；网络窃听与重放。

（3） 存储阶段：数据离散存储或多备份存储

加密存储、密钥管理、数据挖掘等；数据丢失；备份恢复失败。

（4） 使用阶段

隐私侵犯；非法获得与使用；使用权限“最小权限”；使用者认证鉴权机制（MAC/DAC/RBAC）。

（5） 销毁阶段

数据残留；非法销毁。

3 保护措施

3.1 保护措施

建立保护组织；识别；策略设计；管理手段；技术手段。

3.2 保护组织

基于信息安全组织或保密组织的基础上，建立敏感数据保护组织（管理组、执行组以及监督检查组等）；

明确敏感信息保护的职责（创建者、使用者、管理者等）；

建立组织之间的沟通协调机制。

3.3 敏感数据识别

（1） 敏感数据分级

（2） 敏感信息存放及处理

3.4 敏感数据梳理

（1） 敏感信息分类

3.5 非结构化数据泄露点分析

3.6 终端泄露途径分析

移动介质；邮件；网络；即时通讯；打印机；终端丢失；终端数据销毁。

3.7 结构化数据泄漏点分析

泄漏点1：开发和测试应用直接抽取生产数据导致数据泄露；

泄露点2：其他环境应用直接抽取生产数据导致数据泄露；

泄漏點3：操作人员可直接导出敏感数据；

泄漏点4：第三方机构应用直接抽取生产数据导致数据泄露；

泄漏点5：业务人员可以分多次查询、导出敏感数据；

泄漏点6：数据库管理员直接从服务器上拷贝敏感数据；

泄露点7：开发、测试、第三方、业务、数据库、应用管理员截屏、打印、email传播泄露敏感数据。

3.8 管控模式设计

严格/封闭模式：使用场景（开发部门、设计部门）；

宽松模式：使用场景（非严管/封闭模式管理的其他部门）。

3.9 策略设置

针对不同的敏感数据类别设置不同的保护策略

3.9.1 敏感性标识策略

规范敏感数据的敏感性标识策略；

推动企业各个部门在信息创建过程中对信息进行敏感性标识。

3.9.2 不同类型信息制定不同的标识策略

文件、资料：添加“密级”字样及时间；

数据库数据、源代码需建立登记单，识别敏感数据存放位置；

信息载体：如U盘、光盘等在明显位置粘贴标志。

3.9.3 授权审批策略

根据企业组织结构特点，规范不同级别的敏感信息授权审批流程；

类似于银行的“金库模式”。

3.9.4 信息脱敏策略

替换；脱敏算法；模糊脱敏。

3.9.5 安全隔离策略

物理隔离：提供单独的存储、处理敏感信息的物理环境；

逻辑访问隔离：对涉及敏感数据处理的网络、操作系统、中间件、数据库、应用系统进行逻辑隔离。

3.9.6 第三方控制策略

提高第三方准入门槛；

在于第三方的合同或协议中，明确其在安全和保密责任；

对第三方服务人员培训教育，提供安全意识；

对第三方人员访问做“按需知道”和“最小权限”控制；

定期对第三方安全保密效果做自评估或外部评估。

3.9.7 选择技术手段

①企业内部敏感数据管理组织有责任选择合适的敏感数据保护的技术控制手段

事前预防（加密、脱敏、终端安全管控）；

事中监控（邮件外发监控、上网行为管控、网络DLP、终端DLP等）；

事后审计（日志审计、数据库审计等）。

②定期的检查审计

制定执行检查；系统日志审计；安全事件分析总结；跟踪问题落实整改。

3.9.8 管理手段-安全培训

内部人员安全意识培训；人员安全管理（内部+第三方）；安全管理；数据保护技术培训。

3.9.9 技术手段

①敏感数据保护技术

终端；网络；数据库；运维管理。

②企业基础信息安全建设

物理安全；网络安全；主机安全；应用安全。

3.9.10 敏感数据保护技术框架endprint

结构化数据和非结构化分类：

1） 结构化数据：数据脱敏、数据库审计、堡垒主机、数据防泄漏（DLP）、数据库防火墙；

2） 非结构化数据：数据加密系统、移动存储介质管理、终端管理系统/敏感数据检查、数据防泄漏（DLP）、桌面虚拟化；

3） 数据脱敏：依据敏感信息屏蔽规则屏蔽业务数据中的敏感信息，保障生产数据在非生产环境中的安全使用，防止敏感信息泄露。脱敏后的数据一般用于测试、开发、培训、外包、数据挖掘/研究等不同的使用场景；

4） 数据库审计：数据库安全审计系统主要用于监视并记录对数据库服务器的各类操作行为，通过对网络数据的分析，实时地、智能地解析对数据库服务器的各种操作，并记入审计数据库中以便日后进行查询、分析、过滤，实现对目标数据库系统的用户操作的监控和审计；

5） 数据加密系统：数据加密采用以“文档加密”为核心手段，配合权限控制、审计、端点管理、行为管理等控制，对“有意”或者“无意”泄密进行防护，防止敏感数据通过终端途径泄露；

6） 移动存储介质管理：移动存储介质管理系统针对的管理对象主要是U盘，内部授权U盘可在内部使用， 内外部交叉使用的U盘需要受保护策略控制，防止敏感信息通过U盘泄露；

7） DLP（Data Loss Prevention）：数据防泄漏是基于深度内容感知技术，对使用中的数据、存储中的数据和流动中的数据进行监控，识别敏感数据，依据预先定义的策略，实施特定响应，进而达到防止敏感数据泄露的解决方案。

（1） 虚拟桌面

通过部署桌面虚拟化，实现企业内部敏感数据（源代码/设计图纸）集中管理，防止敏感信息通过个人终端泄露。

（2） 网络DLP

一般形态为硬件：

审计型网络数据防泄漏，网络并联部署；

防护型网络数据防泄漏，网络串联部署。

主要作用：

对通过网络协议如HTTP、HTTPS、SMTP、FTP等传输的敏感数据进行识别和检测；

具有多种响应策略如阻断、审计、修改信息、发送告警信息等；

具有丰富的报表样式，方便用户进行管理和查看。

（3） 终端DLP

一般为软件：

Server端软件用于集中管理策略下发；

Client软件作为代理安装在被管理的电脑终端上。

主要作用：

对敏感数据利用如HTTP、SMTP、FTP等协议的传输进行监控审计及阻断，可以快速预警和定位；

针对敏感数据通过终端电脑USB拷贝、打印刻录、复制/剪切、网络共享拷贝、文件应用等方式进行监控审计和管控；

可以主动扫描和发现终端主机磁盘上是否存在敏感的数据，同时把敏感文件隔离到指定的目录。

（4） 存储DLP

形态为软件：

软件安装后单独应用，策略管理、特征采集、数据扫描、数据交换；

不需要安装客户端代理软件。

主要作用：

检测文件服务器中的敏感数据；

针对文件服务器中的数据检测到敏感数据后可以进行隔离；

检测数据库中的敏感数据；

使管理员全局掌握敏感信息的分布情况。

4 总结

1） 敏感数据保护能够解决

在一定范围内，识别出泄露后会造成严重影响的敏感数据；

主要针对由于工作需要能够接触到敏感数据的人（内部人员、外部人员）有意或无意造成的数据泄露（20/80原则）；

在尽可能不影响正常业务操作的前提下，主要控制人机交互，防止大多數敏感数据泄露情况发生；

针对不同的客户，其敏感信息保护方案和强度不一致，根据客户需求、行业监管要求以及各种条件决定。

2） 敏感数据保护不能解决

覆盖所有敏感信息，尤其是对于组织和业务相对复杂的机构，不是通过一个项目就能完全覆盖；

黑客入侵（通过建立综合安全防护体系来应对）；

信息篡改（敏感数据保护主要关注机密性，而非完整性）；

不涉及到外延防护（如：访问控制、入侵检测、漏洞管理、主机加固、应用安全、安全审计等，需要涉及整个安全体系建设，并非一个敏感数据保护就能全部解决全部问题）。

参考文献：

[1] 谢希仁.计算机网络[M].5版.北京：清华大学出版社，2008：101-108.

[2] 王吉军.网络安全机密与解决方案[M].5版.北京：清华大学出版社，2006：56，83.

[3] 李俊宇.信息安全技术基础[M].北京：冶金工业出版社，2008.

[4] 卢开澄.计算机密码学-计算机网络中的数据与安全[M]. 清华大学出版社，2010.

[5] 田桂兰.网络环境下个人信息安全问题及其保护[J].信息化建设，2007（6）.

[6] 李飞，陈艾东.信息安全理论[M].西安电子科技大学出版社，2010.

[7] 王春东.信息安全管理[M].武汉大学出版社，2008.

[8] 张焕明.互联网防火墙安全技术研究及实现[J].微计算机信息，2006，24.

[9] 李晓兵.网络安全和防火墙技术[J].商场现代化，2005，26.

[10] 王卫平，陈文惠，朱卫未，陈华平.防火墙规则配置错误快速检测算法[J].计算机工程，2007（11）.

[11] 赵启斌，梁京章.防火墙过滤规则异常的研究[J].计算机工程，2005，12.endprint