新形势下数据安全发展分析

2020-12-30焦迪

网络安全技术与应用 2020年10期

关键词：数据安全信息

◆焦迪

新形势下数据安全发展分析

◆焦迪

（国家信息中心北京 100000）

本文综合论述了数据安全的发展及趋势，通过总结国内外典型的数据泄露事件和安全问题，对比数据安全发展三个阶段的演进和变化，梳理当前形势下我国对于数据安全管理的措施，提出数据全生命周期管理策略，最后给出未来数据安全发展的趋势和方向。

数据安全；数据治理；趋势

当前，我国经济发展步入新常态，创新成为驱动经济社会发展的新引擎。随着信息技术与经济社会的深度融合，数据对社会各行业、各领域创新的支撑作用日益凸显。《中华人民共和国国民经济和社会发展第十三个五年（2016—2020年）规划纲要》（以下简称“十三五”规划）中提出“实施国家大数据战略”。2015年国务院专门出台了《促进大数据发展行动纲要》（以下简称《行动纲要》），指出大数据成为推动经济转型发展的新动力，成为重塑国家竞争优势的新机遇，成为提升政府治理能力的新途径。

在我国全面实施国家大数据战略、构建数字经济、建设“数字中国”的大背景下，伴随着各行业的数据量急剧增长，大数据逐步从概念期转入了深化务实应用的新阶段。大数据给现有信息技术体系带来了系列挑战，有利于大数据产业健康有序发展的良好环境还需要营造。为此，大数据治理成为大数据产业生态系统的新热点，大数据治理将会深入影响我国工业、政务、城市、金融、能源等领域的发展和进步。其中，数据安全是一个需要持续关注和解决的问题，下面对数据安全的发展进行回顾与展望。

1 典型数据安全事件

近些年，国内外大型企业数据泄露事件频发，造成了极其恶劣的社会影响和经济影响。监管机构对未恰当保护消费者数据的公司企业处罚也愈加严厉，下面列举一些典型的数据泄露安全事件：

（1）乐购银行客户账户失窃

乐购银行是英国乐购超市连锁旗下的零售银行，2016年其9000个客户账户失窃近300万美元，于2018年被英国金融市场行为监管局罚款1,640万英镑（2120万美元）。处罚依据是乐购在借记卡设计、金融犯罪控制上存在“缺陷”，其金融犯罪应对团队也存在能力不足现象。

（2）雅虎账户信息泄露

2013年，雅虎遭遇了超大型安全事件，约30亿账户信息被泄，几乎涵盖所有Web用户。然而，该公司对此事进行隐瞒。2018年4月，美国证券交易委员会以未披露数据泄露事件为由，罚取该公司3500万美元。9月，雅虎以5000万美元达成和解协议，解决该数据泄露引发的集体诉讼。为此事件雅虎共付出8500万美元的代价。

（3）万豪国际客户信息泄露

根据GDPR规定，因多达5亿客户的支付信息、姓名、地址、电话号码、电子邮件地址和护照号等信息被泄，万豪国际被罚9900万英镑(1.24亿美元)。该起数据泄露根源在万豪的子公司喜达屋，攻击者在喜达屋网络中驻留长达4年却未被发现。

（4）Uber用户信息失窃

2016年，打车应用Uber遭黑客攻击，60万司机和5700万用户账户信息失窃。Uber没有报告该事件，而是支付作恶者10万美元封口费掩盖事实。2018年，数据泄露事件曝光后，Uber因违反数据泄露通告法律而被罚1.48亿美元。

（5）英国航空公司客户信息泄露

英国数据保护机构信息专员办公室对英国航空公司开出2.3亿美元罚单，原因是该公司不完善的安全设置导致黑客团伙用银行卡信息收获了近50万客户的个人信息及支付数据，造成重要数据泄露。该罚金数额已超越Uber在2018年支付的1.48亿美元，是截至目前数额最高的数据泄露处罚。

（6）圆通用户信息数据被出售

2018年6月，某用户公然在暗网兜售圆通10亿条快递数据，数据信息包括寄(收)件人姓名，电话，地址等信息，都是圆通内部人士批量出售。经验证，所购“单号”中，姓名、电话、住址等信息均属实。按照当时售价来说，用户只要花430元人民币即可购买到100万条圆通快递的个人用户信息，而10亿条数据则需要约43000元人民币。

2 数据安全的发展历程

数据安全发展史可以分为三个阶段，分别是以“数据库安全”为核心的第一个阶段，以“数据场景化”为核心的第二个阶段和以“数据安全治理”为核心的第三个阶段。

（1）数据安全的第一个阶段

第一个阶段的数据安全是以数据库系统为安全目标，核心是保护边界，防止外部入侵，对外部进行监管。这个阶段是以一种系统安全的思想来保护数据库系统，主要强调边界防护和防止黑客入侵。对于数据安全产品的设计理念，实际上是网络安全思想到数据安全思想的映射，也就是就是按照网络安全思想做数据库安全，比如说磁盘加密对应数据库加密，防火墙对应数据库防火墙，入侵检测对应数据库审计，网络扫描对应数据库漏扫，实际上是按照同样思路在推进。

（2）数据安全的第二个阶段

数据安全发展到第二个阶段，是将数据放到相应场景中结合业务进行考虑，其提供的安全措施应该符合特定的活动场景。重点是数据离开库之后，在业务使用中，分享给第三方平台的安全性问题。数据安全的发展由以下三个方面进行驱动。第一，数据发展到了共享时代，随着数据资产积累，不仅会被本单位或者业务部门使用，还需要在更大范围内共享才会发挥价值。第二，随着移动互联网、云计算的发展，边界逐渐消失，过去数据库中的数据被保护在网络防护的内核中，如今政府要把很多业务部门的数据拿到共享环境下，意味着接触到数据层面的途径逐渐增多。第三，数据的价值开始显现，个人身份信息、学生信息、病患信息等数据都是可变现的财富。在这样的背景下，内部人员也无法保证是安全的。在利益的驱使下，外包人员，第三方开发人员，运维人员，甚至组织内部自己的员工都有可能变成数据安全真正的风险。在这样的情况下，无法继续使用网络安全的边界防护思想去做数据库安全。

Gartner在2016年开始陆续推出数据安全治理的报告，提出的是以数据为中心的防护理念。2017年的报告里，总结出包括数据分级分类发现，数据的监控与审计，行为分析与告警，以及数据加密的令牌化等能力。由此可见，第二个阶段的数据安全的核心理念在于尽可能保证业务系统正常使用，所以必须要进行场景化的思考，分析满足这个场景必要性的条件，找到能够实现这个条件的技术支撑。借助场景化需求分析直接找准问题核心，可以高效解决掉很多问题。比如业务侧的风险威胁通常包括黑客攻击和业务人员自身访问。面对黑客攻击，除了防火墙阻断，剩下的SQL注入就需要数据库防火墙进行拦截。面对业务人员访问，需要通过数据访问行为建模发现异常情况，或者设置数据下载数量策略来防止批量下载。因此，第二个阶段数据安全主要是针对场景化提供有效技术。

（3）数据安全的第三个阶段

数据安全第三个阶段进入到系统化的数据安全治理的时代，最关键的特征就是体系化安全。因为数据上升到资产、基础设施层面，安全不再是一个技术上的安全，实际上是组织规范加技术的整合，以呈现整体的安全。数据安全的发展由以下三个方面驱动。

第一，数据成为企业核心资产。大型互联网公司如滴滴、京东、淘宝，以及银行金融科技，积累的大量数据成为企业最重要的资产，可以直接产生经济利益。

第二，数据成为国家战略性资源。数据可以形成新的生产力，因此，国家会加强对数据资源的保护。一方面，我们国家开始频繁出台相关管理办法，另一方面，从全球来看，欧盟与美国都在加紧制定数据使用的原则，表明了各个国家已经开始把数据当做战略资源。

第三，数据泄露形成重大威胁。从国家的监管层面看，针对我们每个公民，都将实现数据的全覆盖。同时现在很多大型机构的运转都依托于互联网，所有行为都在网络上留下痕迹。通过这些行为的记录，很快就会建成一个没有任何隐私可言，甚至陷入骚扰、欺骗、第三方调查的境地。这就意味着数据不仅是企业的基础性安全问题，已经成为国家性，社会性问题，并上升到一个体系化的层面。

Gartner在2016年已经开始提到数据安全治理，这个理念包含如下内容：首先是数据分级分类，明确数据内容和性质。其次，基于各种数据分类，实施处理和控制策略，梳理出这些数据接触的权限、行为范畴以及超出范畴的审批流程。第三，明确策略后，要在执行环节有相关监管措施。最后是核查，对于数据使用过程要进行审计、报告，不断改善措施并重新构建。

在数据安全治理时代，需要新的核心技术。比如对于数据梳理工作，要利用数据主机扫描技术、网络分析技术、以及大数据的处理整合技术，才能完成。未来可以基于智能深度日志分析来实现数据监管和信息审计，发现潜在风险。潜在风险需要通过建模的方式完成自动学习分析，首先完成自动化的设定，经过一天左右的时间，就能基于深度行为日志建模完成整体的防护体系。而通过行为日志、业务日志的积累，可以驱动未来安全的进一步发展。

3 新形势下的数据安全治理措施

3.1 我国数据安全管理措施

在数据安全已经上升到体系化层面的大环境下，我国针对数据保护工作开展了一系列措施：

第一，从国家层面加强对数据安全的管理。近几年我国相继出台了《网络安全法》、《个人信息和重要数据出境安全评估办法》等法律法规，《关键信息基础设施安全保护条例》、《个人信息保护法》等也在紧急制定中，体现了国家对于数据安全问题治理的高度重视。2017年11月完成的刑法修订案，对数据泄露违法行为进行了界定，最低50条数据的非法泄露，即可入刑。

第二，从行业角度不断深化细化数据安全标准规范。《国网营销系统数据脱敏规范》、《商业银行信息科技风险管理指引》、《电信和互联网用户个人信息保护规定》、《政府数据分级分类指南》、《央企商业秘密安全保护技术指引》，以及教育、税务、地方上的法规，陆续出台。数据安全不再是技术性的行为，而逐渐演变成一个社会性、规范性的行为。

3.2 数据全生命周期的保护策略

在数据安全发展的第三个阶段，需要用体系化的思维来解决数据安全问题，数据安全体系的一个核心思想体现在“全生命周期”的安全保护。在数据的动态流转过程中，数据安全与隐私保护策略应建立于数据全生命周期，包括数据的采集、传输、存储、使用、共享、销毁等环节，通过关注数据各生命周期所面临的各种安全威胁，提供针对性安全保护手段，确保数据在全生命周期的机密性、完整性、可用性。

（1）采集环节。针对数据采集环节的安全威胁，可以通过完备的身份鉴别、权限控制和数据加密等多种安全技术手段来保证数据的安全与隐私。比如，对静态数据的上传采取高强度加密技术，对敏感数据（比如用户身份信息等）可采取全动态加密技术来保护，避免数据在解密后被窃取与破坏，对于业务用户在使用过程中所产生的数据，采取身份鉴别与权限控制相结合来保护数据不被非法使用，其次可以根据用户需求进行分级权限管理，严格设立每个数据资源点的访问策略来保证数据整体安全。

（2）传输环节。一般采用加密算法对数据进行加密后再传输，比如在主机侧或网络边界上使用VPN等虚拟专用网技术来实现传输加密，以确保传输数据的可靠。在实际应用中可从两方面进行考虑，首先根据数据敏感级别采用相应级别的加密算法，其次在传输过程中采取分布式传输方式，并在数据传输协议上添加哈希校验算法等完整性验证，防止中间人窃取破坏数据造成隐私数据泄露。

（3）存储环节。为了保证数据安全，可通过硬件冗余容错、数据备份恢复与存储加密和数据隔离等多种技术来实现多层次保护。通过硬件冗余容错和数据备份恢复等手段来保证数据的可用性和完整性，根据不同数据类型进行消息级加密、文件级加密、数据库级加密等加密措施来保证数据的机密性，采取数据隔离技术（如进程隔离、任务隔离、虚拟机隔离、租户隔离、数据层次隔离等）来实现数据不同级别隔离。

（4）使用环节。在数据查询、分析、挖掘等使用环节，严格进行身份鉴别与权限访问控制，对敏感操作加强管控，并定期开展事后审核。对用户敏感信息进行对外查询、展现、统计等操作时，必须经过密文搜索或匿名模糊化处理，起到保护用户隐私的作用。

（5）共享环节。一方面根据业务共享目标、数据类型、应用场景等明确数据分享的范围、类型以及数据使用范围和场景，以此制定数据共享安全管控策略。另一方面签署保密协议来约束数据共享双方应承担的安全责任，要求第三方具备相应数据安全保护措施。对工作中可接触敏感数据的员工，要求其签订个人安全保密承诺书，明确安全责任。在共享个人敏感数据时应实现数据脱敏和数据隐私匿名化，通过技术手段确保第三方无法获取数据隐私。

（6）销毁环节。当涉及用户敏感信息的业务系统下线或敏感数据信息的授权使用到期时，可采用可靠的数据销毁技术手段来处理敏感数据信息，确保数据不可还原，保证数据隐私安全。

4 数据安全发展趋势

随着人工智能、5G网络、物联网、区块链等技术的发展和进步，科技创新深入到人们生活的各个领域，设备数量及海量数据急剧增加，数据安全威胁持续放大。以下五个方面是未来数据安全发展的主要方向。

（1）5G网络带来数据安全变革

由于5G网络具备网络切片化、计算边缘化、应用面下沉、网络边界模糊特点，其面临的未知安全威胁大大增加，数据安全保护面临更大挑战。传统的静态被动防护体系已经很难适应复杂威胁场景，需要建立自动化智能化防御体系和可扩展可编排的架构，产生多元化身份管理机制和端到端的数据安全防护技术变革。

（2）云计算提升数据安全需求

随着云计算的发展，重要应用和数据加快向云端迁移。但传统的云端安全防护手段很难让用户对数据资产进行可视化感和管控，用户对数据的控制权也逐渐减弱，从而影响云服务质量的提升。因此云服务提供商应加快研制相应的技术措施，使得用户能直观看到云上数据资产使用行为，并对云上数据资产进行自主安全管控。

（3）区块链产生新的数据安全风险

区块链应用已经提升到国家战略层面，将作为基础设施为金融、政府及实体经济等各行各业带来巨大的变革机会。区块链去中心化的分布式储存带来公开、透明与不可篡改性，让数据直接产生价值。伴随着区块链的发展，区块链自身也面临着匿名交易、节点私钥窃取、破解攻击等重大安全隐患，直接影响着区块链交易安全，区块链安全防护应与区块链应用发展同步建设，以规避区块链交易数据泄漏的风险。

（4）数据安全与业务应用高度融合

云计算、大数据、移动计算等技术驱动了业务应用蓬勃发展，互联网业务应用数据呈现持续流动性，以安全设备为中心构建安全防御边界一旦被攻破，整个体系就会面临严重威胁，安全系统需要与业务系统深度融合。应当围绕特定化的业务需求构建以身份与数据为中心的微隔离环境，建立完整、动态的数字信任体系，并提供针对特定业务应用的安全业务服务。

（5）数据安全服务市场激增

随着企业信息安全风险意识的提升与国家合规性要求日益严格，数据安全体系由单一维度的技术实现为主，正在向“三分技术七分管理”的理念转变，企业对于专业化、差异化的安全体系构建的需求日益增强，伴随而来的是安全咨询与服务的需求快速增长，企业需要满足自身需求的安全咨询与服务，自主加外包的混合模式将成为主流，未来数据安全咨询和服务市场的发展前景可观。