APP下载

数据安全治理与应用实践

2021-03-07赵凤伟崔鹏张智慧

网络安全技术与应用 2021年6期
关键词:数据安全策略企业

◆赵凤伟 崔鹏 张智慧

(1.北京铠撒信息技术有限公司 北京 100089;2.广东粤电启明能源有限公司 广东 518107;3.华能济宁高新区热电有限公司 山东 272073)

1 为什么要引入数据安全

大数据是指规模巨大到无法通过目前的软件工具,在适当的时间内实现分析、处理、整理并存储成为能够帮助企业经营决策目的的信息。大数据的特点有4V,规模性(Volume)、高速性(Velocity)、多样性(Variety)、价值性(Value)。

现阶段国家大力支持大数据的发展,国务院以及各级地方政府颁布大量政策来扶持大数据产业。近年来,我国高度重视大数据的发展,2015年9月,经李克强总理签批,国务院印发《促进大数据发展行动纲要》,系统部署大数据发展工作。2016年,《中华人民共和国国民经济和社会发展第十三个五年规划纲要》提出“实施国家大数据战略”,主张把大数据作为基础性战略资源,全面实施促进大数据发展行动。

大数据对企业的影响也是巨大的。大数据能够彻底改变企业内部的运作模式,以往的管理是“领导怎么说?”,现在变成“大数据的分析结果是什么?”企业决策由依靠领导经验向数据分析结果转变。数字化、网络化和智能化是企业发展的趋势,关注大数据安全是企业数字化转型的必然要求,是企业进行长期经营的重要保障,数字化转型势不可挡。

大数据也在影响着我们每个人的生活。打开淘宝,推荐的商品正是我们最近想买的东西;打开微博,推荐关注的博主正符合我们的兴趣。大数据就在我们每个人的身边。

正是因为大数据对国家、企业、个人具有重要的作用,并具有很高的研究价值,所以大数据安全现在成为学术与工业界的研究热点,是人们公认的大数据相关问题中关键的问题之一。

2 数据安全的表现形式

数据安全的表现形式:“云大物移智控”,这些都是现代数字化转型的一些技术。供应商采购、生产、包装、分销直到客户,从上游采购原材料、生产、包装最后销售,这是传统的企业模式,现在的格局是利用新技术,比如传感、5G、物联网、云计算、区块链、人工智能,来实现柔化、资源配置、智能决策等环节一体化,上述均为实现数字化必须依赖的工具和技术。

在整个数据生命周期里,我们都用到了上述技术,比如在物联网中,传感器能够感知并且收集土壤温度、湿度等土壤养分信息,形成大数据,交给云来计算与存储,通过人工智能进行深度学习。

数据安全应贯穿数据治理全过程,应保证管理和技术两条腿走路。从管理上,建立数据安全管理制度、设定数据安全标准、培养起全员的数据安全意识。从技术上,数据安全包括:数据的存储安全、传输安全和接口安全等。当然,安全与效率始终是一个矛盾体,数据安全管控越严格,数据的应用就可能越受限。企业需要在安全、效率之间找到平衡点。数据安全管理主要有以下三个方面:

(1)数据存储安全,包括物理安全、系统安全、存储数据的安全,主要通过安全硬件的采购来保障数据存储安全。

(2)数据传输安全,包括数据的加密和数据网络安全控制,主要通过专业加密软件厂商进行规范设计和安装。

(3)数据使用安全,需要加强从业务系统层面进行控制,防范非授权访问和下载打印客户数据信息;部署客户端安全控制工具,建立完善的客户端信息防泄漏机制,防范将客户端上存储的个人客户信息非授权传播;建立完善的数据安全管理体系,建立数据安全规范制度体系,组建数据安全管理组织机构,建立有效的数据安全审查机制;对于生产及研发测试过程中使用的各类敏感数据进行严密管理;严格与外单位合作中的个人客户信息安全管理等。

3 如何进行数据治理

数据治理的四个领域:组织建设有决策层(高管、首席数据官)、管理层(数据安全管理团队)和执行层(数据安全运营、技术团队);流程制度有发展方针、组织战略、管理制度、管理规范、流程、规范、指南、标准、计划、表格、报告、日志;技术工具方面,分级分类、数据保护、泄露防护、数据标准、权限管理、流程审批;人员能力有管理能力、运营能力、技术能力和合规能力。

数据治理的五大阶段:业务梳理有业务规划、IT 战略、安全合规、风险评估、安全治理;分级分类有数据分类分级;策略制定有数据安全策略、用户安全策略、安全分析策略;技术管控有终端安全、网络安全、应用安全、存储安全、介质安全、云安全;优化改进有策略优化、日志分析、合规检查、培训宣贯。

成功实现数据治理的方法:

(1)建立数据治理组织。数据治理研究所推荐建立一个数据治理委员会,负责评估各个数据用户的输入信息,建立覆盖全公司的数据管理策略,满足内部用户、外部用户甚至法律方面的各种需求。该委员会的成员应该囊括各个业务领域的利益相关者,确保各方需求都得到满足,所有类型的数据所有权均得到体现。安全专家也应成为委员会的一员。了解数据治理委员会的目标是什么,这一点很重要,因此,应该思考企业需要数据治理策略的原因,并清楚地加以说明。

(2)制定数据治理框架,将零零散散的数据需求容纳其中。这个框架必须确保各个部分被融合成一个整体,满足收集、存储、检索和安全要求。为此,企业必须清楚说明其端到端的数据策略,以便设计一个覆盖所有要求和必要操作的框架。必须有计划地把各个部分结合起来,彼此支持,这有很多好处,比如在高度安全的环境中执行检索要求。合规性也需要专门的设计,成为框架的一部分,这样就可以追踪和报告监管问题。这个框架还包括日常记录和其他安全措施,能够对攻击发出早期预警。在使用数据前,对其进行验证,这也是框架的一部分。数据治理委员会应该了解框架的每个部分,明确其用途,以及它如何在数据的整个生命周期中发挥作用。

(3)试点数据策略。通常来说,一个策略应该先在小范围内推行,以便发现计划、框架和基础设施的缺陷,然后才在整个公司实行。

(4)拥有一个与时俱进的数据治理组织。数据治理委员会应该与时俱进,因为随着数据治理策略延伸到新的业务领域,肯定需要对策略进行调整。而且,随着技术的发展,数据策略也应该发展,与安全形势、数据分析方法以及数据管理工具等保持同步。

(5)知道什么是成功的数据策略。确立成功标准,以便衡量进展。制定数据管理目标,有助于确定成功的重要指标,进而确保数据治理策略朝着你希望和需要的方向前进。

企业无论大小,都面临着类似的数据挑战。公司越大,数据越多,而数据越多,就越需要制定有效、正式的数据治理策略。规模较小的企业也许只需要非正式的数据治理策略就能做得很好,但前提是,公司的规模必须要小,而且对数据的依赖度必须要低。即便是非正式的数据治理策略,也必须考虑客户和员工数据的收集、验证、访问以及存储。当企业规模扩大,数据需求跨越多个部门时,当数据系统和数据集太大,难以驾驭时,当业务发展需要企业级的策略时,或者当法律或监管提出需求时,就必须制定更为正式的数据治理策略。

企业数据治理是应有高层领导牵头,业务部门负责,信息部门执行,企业全员的参与。在实施数据治理时需因地制宜,不论建立什么样的数据治理体系、采用什么样的数据治理技术,其目的都是实现数据治理目标,即通过有效的数据资源控制手段,对进行数据的管理和控制,以提升数据质量进而提升数据变现的能力。

猜你喜欢

数据安全策略企业
企业
企业
企业
敢为人先的企业——超惠投不动产
例谈未知角三角函数值的求解策略
我说你做讲策略
云计算中基于用户隐私的数据安全保护方法
建立激励相容机制保护数据安全
高中数学复习的具体策略
大数据云计算环境下的数据安全