大数据时代的安全法则

中国信息通信研究院|闫树

随着移动互联网和物联网等新一代信息技术的快速发展，数据规模呈现爆炸式增长，数据模式也愈发复杂化。当前，大数据安全面临着许多挑战，存在着较高风险。大数据安全所涉及的领域已不仅局限于个人信息层面，更是事关企业安全和国家安全。

大数据安全形势严峻

在大数据环境下，数据量大、数据类型多样、数据构成复杂，这使现有的存储系统架构和安全防护面临挑战。与传统安全风险识别思路类似，大数据安全风险需从内部脆弱性和外部安全威胁两方面，围绕数据收集、存储、传输、处理、使用、流转、共享、交易、销毁等全生命周期各环节开展风险识别和分析。

从内部脆弱性角度来看，首先，企业普遍存在数据安全管理制度和措施亟待加强的情况，主要体现在数据安全法律法规和标准化工作相对滞后；企业重发展、轻安全，未建立数据安全管理顶层设计及完善的针对全生命周期的数据安全管理制度；且大数据安全管理制度难以落实到实际业务中。其次，大数据安全技术跟不上大数据发展需求，一方面，大数据平台在Hadoop开源模式下缺乏整体安全规划，自身安全机制存在局限性；另一方面，大数据平台服务用户众多、场景多样、传统安全机制的性能难以满足需求。

从外部角度来看，大数据在不同生命周期环节下面临着诸多的外部安全风险。

综上所述，大数据在生命周期的各个环节都面临着内部和外部的风险，存在着诸多隐患。企业需要采用相应的安全防护技术以降低大数据面临的安全风险。

安全技术环环相扣

大数据安全技术主要涉及数据加密、访问控制、身份认证、安全审计等多个环节。

数据加密是保障数据机密性最常用也是最有效的一种方法。在大数据环境中，数据具有多源、异构的特点，数据量大且类型众多，需要先进行数据安全分类分级，然后对不同类型和安全等级的数据指定不同的加密要求和加密强度。近年来，随着同态加密等技术的不断成熟，数据加密后依然有分析的价值。这既提升了数据脱敏后的价值释放，也带来了新的风险。

访问控制指对用户进行身份认证后，需要按用户身份限制用户对某些信息项的访问。访问控制技术可以可靠地支持对多用户的不同级别或类别的信息进行有效隔离和完整性保护。大数据场景下的访问控制技术面临着授权管理难度提升、细粒度访问控制成本剧增等问题，大数据分析架构本身也往往与访问控制的机制发生矛盾。

身份认证技术用来识别使用者的身份信息。在大数据环境中存在着海量的认证请求和复杂的用户管理问题，而传统的基于单一凭证的身份认证技术不足以解决上述问题。大数据场景下衍生出了一些新的身份认证技术，如群签名技术——一种允许一个群体中的任意成员以匿名方式代表整个群体对消息进行签名，并可公开验证的机制。

安全审计是指在信息系统的运行过程中，对正常流程、异常状态和安全事件等进行记录和监管的安全控制手段。无论应用何种数据安全技术，数据的安全审计仍然是不可缺少的一部分。安全审计的载体和对象一般是系统中各类组件产生的日志。格式多样化的日志数据经规范化、清洗和分析后形成有意义的审计信息，辅助管理者形成对系统运行情况的有效认知。

此外，大数据安全技术还涉及到跟踪取证、数据销毁、数据恢复等，并同传统的数据库安全技术、网络安全技术相互交织，正在成为信息安全新的研究重点。

表 大数据面临的外部安全风险

企业数据如何进行安全保障

基于对互联网、通信、交通等重点行业大数据安全现状调研，目前企业普遍存在的大数据安全问题及落地措施建议如下。

第一，企业数据安全管理缺乏顶层设计和统一协调管理。当前很多企业缺乏专职专业人员统一进行规划和协调，因此企业管理层对整体大数据安全情况不了解，各个业务线各自为政的现象严重，安全部门的影响控制力较低。

第二，企业安全管理制度难以实际渗透和落实到业务线管理。目前企业内部各个业务线单独负责数据安全管理工作是较为常见的现象。另外，由于业务开拓速度、成本等问题，通常大数据安全管理范围主要集中在主营或重要业务上，难以覆盖非主营业务尤其是新开发业务，因此存在各业务线标准不统一、制度和实施存在偏差等安全问题。如某些业务线在实际运营过程中，遵循不同的数据分级分类标准，导致出现同一数据在不同业务线密级不同的现象。

第三，数据跨境问题。由于目前我国还未出台针对数据跨境安全的强制性要求，因此企业对数据跨境的场景、应予监管和报备的数据对象了解不全面不确切，多数情况下数据是未经清洗、脱敏等安全措施而直接明文传输的。此外，为便于拓展海外市场，很多企业都选择在境外建立数据中心，因此需接受当地主管监管部门管理要求，在某些情况下甚至需要提交部分数据，可能引起国家安全风险。

第四，数据共享交易问题。目前企业在数据共享、交易环节普遍缺乏大数据供应链整体安全管理意识和相应配套制度，对大数据跨业务线内部共享使用及外部共享交易情况缺少审批、控制、审计和监督。现在普遍采用的通过合同、协议等方式约束数据供应链上下游合作方的制度也缺乏强制的约束力。

综合上述安全风险，建议企业在以下方面加强大数据安全管理制度建设和措施落实。

首先，设立数据安全专职人员，开展顶层设计，厘清安全制度，并做好与安全措施落实的映射。

其次，加快企业内大数据安全管理制度的整合，完善大数据安全管理规范，制定统一安全管理策略，建立有效的落实及反馈监督机制。

再次，按照国家数据跨境管理的相关要求，落实数据跨境安全措施（如跨境前清洗脱敏、按要求在国内建立数据中心等）。

最后，完善数据共享交易的安全评估、审批、控制、审计和监督机制，并建设相应的流程和自动化系统。