数据安全治理白皮书概要版

数据安全建设需要系统化建设思路

数据治理或数据安全概念对于大多数IT和安全从业者来说，认知度较高，但数据安全治理，似乎是个新名词。实际上，拥有重要数据资产的政府部门或企业对于数据资产的保护，涉及到数据安全治理方面，或多或少都有实践，只是尚未体系化、标准化。

比如，运营商行业的客户数据安全管理规范及落地的配套管控措施和一些政府部门的数据分级分类管理规范，在国外由Microsoft推出的DGPC（Data Governance for Privacy Confidentiality and Compliance）方案，就是专门强调隐私、保护与合规的数据治理技术框架。

本次白皮书编著过程中，我们希望能够系统化针对数据安全治理的概念、规范、技术和相关实践进行介绍，将数据安全治理视作为一种系统化解决数据安全问题的合理方法论和实践工具进行推广和应用。

随着数据安全重要程度的提升，用户在这个方向的投资也在增大，KVB Research 2017年大数据安全报告预测显示，大数据安全上2017年全球投资达到102亿美元，且以17%的年复合增长率在扩大，到2023年将达309亿美元，如图1。

随着我国网络安全法的出台，数据资产价值得到确认，政府机构和企业在这个方向的投资也在加大，以数据审计、脱敏和加密为目标的数据安全投资正在成为采购的热点。

图1 KVB Research在big data security上的市场预测

当前这些采购大多以单独产品采购为主，这些采购的发起部门也各不相同。大型的IT组织正在陷入疑问，数据安全的建设是否有系统化的方法？是否要沿用传统网络安全策略，通过边界防护的方式来进行数据保护？数据安全的责任主体是由数据存储所在的部门、数据处理的业务部门还是对数据进行运维的部门负责？这些不同的产品之间彼此割裂还是具有联动性质？这些产品的应用上应采用什么样的安全措施等等，疑问丛生。

这些疑虑非常正常，因为数据与业务系统的高度融入，数据如何被使用、数据的价值更被业务部门所识别；但是安全法规，又通常由单位或企业的安全或保密部门所负责；数据安全产品的采购和使用，需要系统化的方法，需要与数据处理的业务场景整合，既能保证数据使用行为不受影响，又能保证必要的安全措施得到保障。

数据安全治理的思路，正是将数据安全技术与数据安全管理融合在一起，综合业务、安全、网络等多部门多角色的诉求，总结归纳为系统化的思路和方法。

数据安全治理基本理念

关于数据安全治理原则与框架，Gartner对此进行专属领域的研究，Microsoft公司从数据隐私合规角度也曾向市场提出隐私、保密和合规性的数据治理方案。

从国际视角对此理解的基础上，我们在中国提出了数据安全治理理念与技术路线，填补了该理念在中国的空白，更有效推动实现该理念在国内的执行落地。

数据安全治理概论

本白皮书综合了国际相关框架模型和我国一些具体的安全实践后，提出了一套在中国易于落地的数据安全建设的体系化方法论。

数据安全治理是以“让数据使用更安全”为目的的安全体系构建的方法论，核心内容包括：

1.满足数据安全保护（Protection）、合 规 性（Compliance）、敏感数据管理（Sensitive）三个需求目标。

2.核心理念包括分级分类（Classfiying）、角 色 授权（Privilege）、场景化安全（Scene）。

3.数据安全治理的建设步骤包括：组织构建、资产梳理、策略制定、过程控制、行为稽核和持续改善。

4.核心实现框架为数据安全人员组织（Person)、数据安全使用的策略和流程（Policy & Process）、数 据安全技术支撑（Technology）三大部分。

数据安全治理的愿景

在这里，首先要强调的是，数据安全治理的目标是“数据安全使用”，我们不谈脱离了“使用”的安全，数据存在的目的就是为了使用，如果不是基于这个前提而谈的安全，最终有可能产生无法落地的情况或即使落地，也会差强人意。

数据安全治理的需求目标

围绕数据安全使用的愿景，数据安全治理覆盖了安全防护、敏感信息管理、合规三大目标。这三个目标比过去以防黑客攻击和满足合规性两大安全目标更为全面和完善。

随着信息化和互联网经济的发展，数据成为继现金和技术之后又一核心价值资产。数据资产在过去十年里的发展让每个人、每个企业和国家的数据面临巨大威胁。只有合理地处理好数据资产的使用与安全，企业与国家才能在新的数据时代稳健而高速发展。对于敏感数据的安全管理和使用，是数据安全治理的核心主题。

数据安全治理的核心理念

数据安全治理的核心理念包括：

1.数据的分级分类：首先是来自对数据的有效理解和分析，对数据进行不同类别和密级的划分；根据数据的类别和密级制定不同的管理和使用原则，尽可能对数据做到有差别和针对性的防护，实现在适当安全保护下的数据自由流动。

2.角色授权：在数据分级和分类后，重要的是要了解这些数据在被谁访问，这些人是如何使用和访问数据的，要针对不同的角色制定不同的安全政策。

图2 数据安全治理理念框架

常见的角色包括：业务人员（要进一步角色细分）、数据运维人员、开发测试人员、分析人员、外包人员、数据共享第三方等。

3.场景化安全：要针对不同角色在不同场景下，研究主要的数据使用需求；要在尽可能满足数据被正常使用的目标下，完成相应的安全要求和安全工具的选择。比如对于开发测试人员，在开发场景下，主要需要满足对生产数据的高度仿真模拟，对于数据仿真数据的加密、访问控制、审计等安全措施并非重要。对于运维人员，在备份和调优场景下，并不需要对真实数据的直接访问能力，提供行为审计、敏感数据掩码能力即可。

数据安全治理的组织建设

数据安全治理首先要成立专门的数据安全治理机构，以明确数据安全治理的政策、落实和监督由谁长期负责，确保数据安全治理的有效落实。

成立的机构可以称为数据安全治理委员会或数据安全治理小组，机构成员由数据的利益相关者和专家构成。这个机构通常是一个虚拟的机构，这里之所以称之为利益相关者，是因为这些人不仅仅是数据的使用者，可能是数据本身的代表者（比如用户）、数据的所有者、数据的责任人。数据安全治理委员会或数据安全治理小组本身既是安全策略、规范和流程的制定者，也是安全策略、规范和流程的受众。

DGPC框架中，该机构一般称之为DGPC团队，或者叫Data Stewards。这个团队的职责是负责制定数据分类、保护、使用和管理的原则、策略和过程，如图3所示。

（注：其中深色是部门，浅色是角色，从这个结构中可以看到覆盖了业务、安全、运维和企业的相关管理支撑部门。）

图3 某运营商的数据安全治理的相关组织和角色结构图

数据安全治理规范制定

在整个数据安全治理过程中，最重要的是实现数据安全策略和流程的制订，在企业或行业内经常被作为《某某数据安全管理规范》进行发布，所有的工作流程和技术支撑都是围绕此规范来制订和落实。但其出台往往需要经过大量的工作才能完成，通常包括：

1.梳理出组织所需要遵循的外部政策，并从中梳理出与数据安全管理相关的内容。

2.根据该组织的数据价值和特征，梳理出核心数据资产，并对其分级分类。

3.理清核心数据资产使用的状况（收集、存储、使用、流转）。

4.分析核心数据资产面临的威胁和使用风险。

5.明确核心数据资产访问控制的目标和访问控制流程。

6.制订出组织对数据安全规范落实和安全风险进行定期的核查策略。

7.整个策略的技术支撑规范。

数据安全治理技术支撑框架

数据安全治理的技术挑战

实施数据安全治理的组织一般都具有较高的信息化水平，数据资产庞大，涉及的数据使用方式多样化，数据使用角色繁杂，数据共享和分析的需求刚性，要满足数据有效使用的同时保证数据使用的安全性，需要极强的技术支撑。数据安全治理面临数据状况梳理、敏感数据访问与管控、数据治理稽核三大挑战，如图4。

数据资产梳理的技术支撑

数据安全，始于数据资产梳理。数据资产梳理是数据库安全治理的基础，通过对数据资产的梳理，可以确定敏感性数据在系统内部的分布、确定敏感数据是如何被访问的、确定当前的账号和授权的状况。根据本单位的数据价值和特征，梳理出本单位的核心数据资产，对其分级分类，在此基础之上针对数据的安全管理才能确定更加精细的措施。

数据资产梳理有效地解决企业对资产安全状况摸底及资产管理工作；改善以往传统方式下企业资产管理和梳理的工作模式，提高工作效率，保证了资产梳理工作质量。合规合理的梳理方案，能做到对风险预估和异常行为评测，很大程度上避免了核心数据遭破坏或泄露的安全事件。

1.静态梳理技术。

2.动态梳理技术。

3.数据状况的可视化呈现技术。

4.数据资产存储系统的安全现状评估。

数据使用安全控制

数据在使用过程中，按照数据流动性以及使用需求划分，将会面临如下使用场景：

通过业务系统访问数据；在数据库运维时调整数据；开发测试时使用数据；BI分析时使用数据；面向外界分发数据；内部高权限人员使用数据。

图4 当前数据安全治理面临的挑战

在数据使用的各个环节中，需要通过技术手段将各个场景下的安全风险有效规避，如图5所示。

数据安全审计与稽核

数据安全稽核是安全管理部门的重要职责，以此保障数据安全治理的策略和规范被有效执行和落地，以确保快速发现潜在的风险和行为。但数据稽核在大型企业或机构超大规模的数据流量、庞大的数据管理系统和业务系统数量，数据稽核也面临着很大的技术挑战。

图5 数据使用安全控制示意图

数据所面临的威胁与风险是动态变化的过程，入侵环节、入侵方式、入侵目标均随着时间不断演进。这也就要求我们的防护体系、治理思路不能墨守成规，更不能一成不变。所以数据安全治理的过程中我们始终要具备一项关键能力——完善的审计与稽核能力。通过审计与稽核的能力来帮助我们掌握威胁与风险的变化，明确我们的防护方向，进而调整我们的防护体系，优化防御策略，补足防御薄弱点，使防护体系具备动态适应能力，真正实现数据安全防护。

数据的安全审计和稽核机制由四个环节组成，分别是“行为审计与分析”“权限变化监控”“异常行为分析”“建立安全基线”。