基于数据中台的数据安全研究与应用

张翠翠，胡聪，洪德华，刘翠玲

（国网安徽省电力有限公司信息通信分公司，合肥230041）

0 引言

随着电力企业两级数据中台建设完成，业务数据整体呈现集中存储趋势[1-2]。目前电力企业正处在数字化转型期，数据资产已上升到战略资源层面，对数据安全管理提出了更高的要求[3-4]。

结合目前国家信息安全形势，电力企业越来越重视信息系统安全防护，如何技术上对核心业务数据进行保护，保障核心业务数据即使被非法用户获取后，也无法提取出有用信息，是公司信息系统安全防护的关键[5-6]。

基于省市公司对集中存储数据的使用存在安全顾虑和规避信息系统外部审计工作中的风险和安全形势及公司信息系统安全防护的需求，需迫切开展适应数据中台架构的数据安全分级研究，设计各级企业内数据的安全分级和使用策略，为数据的安全使用和维护提供指导，降低数据丢失、泄露的风险，保护企业数据安全[7-8]。

1 现状分析

数据分级是指对国家电网内各类数据依据数据自身对国家电网公司和国家与社会的重要性、安全性和保密性划分为不同的等级。数据分级的目的旨在加强对重要数据的保护和提高普通数据的共享与交换。以应用需求为导向，结合电力数据中台特点，数据中台已支撑离线数据分析、实时计算、非结构化数据三类应用场景构建。数据中台数据流转架构如图1 所示。

图1 数据中台数据流转架构

实时计算场景：该场景重点基于结构化数据、量测数据，经过数据实时接入、流式计算处理，以服务订阅的方式为应用提供实时数据。

离线数据分析场景：该场景重点基于结构化数据、量测数据，经过数据接入、数据整合（量测数据关联计算或清洗转换）、（宽表）逻辑处理或分析模型运算、服务封装发布等环节后，满足应用T+1 或H+1 数据分析需求。

非结构化数据场景：该场景基于非结构化数据，经过非结构化对象存储、非结构化内容提取分析、结构化数据转换等环节后，满足应用对非结构化数据的分析处理需求。

2 数据安全方案

按照“零信任”防护理念建立适应数据中台需求的“零信任”安全防护体系，强化上下文感知和动态访问控制能力，构建“端到端”的、灵活授权的业务动态访问控制机制，提升数据中台安全防护能力。

2.1 总体架构

根据应用、数据等访问客体属性，包括分级、分类、资源、功能等因素，对访问客体进行分级管理防护。访问主体与客体是严格隔离的，访问主体不可直接访问客体资源。针对主体访问客体的信息流，基于访问主体的属性和操作，访问客体的属性以及授权策略，制定精细化的授权访问策略模型，形成主体、客体和环境属性实现动态映射机制。基于智能身份分析进行风险评估和环境感知，实现动态访问控制，提供灵活的权限管理，对用户和设备权限进行动态过滤与裁剪，消除权限过大风险。数据中台“零信任”安全防护架构如图2所示。

图2 数据中台“零信任”安全防护架构

2.2 数据分级方法

电网数据资产以SG-CIM 为基准，依据数据重要性、敏感性进行安全分级，并实行差异化防护，主要划分为商密数据、企业重要数据、一般数据。数据安全分级如表1 所示。

数据分级时根据信息在保密性、完整性和可用性被破坏后的影响程度（深度）和影响范围（广度）决定数据的安全等级，本原则依据数据在保密性、完整性和可用性的安全要求，分别给出对应的分数，并依据安全性事故影响的范围给出权值，然后计算总分值，可以得到该数据的等级，数据安全分级方法如表2 所示。

表1 数据安全分级表

表2 数据安全分级方法

数据安全性总分=机密性得分*权值+完整性得分*权值+可用性得分*权值，设定1 级为5 分以下，2 级为5～8 分，3 级为8～11 分，4 级为11 分以上。

2.3 数据安全保护策略

规定对分级后的数据需采取相应该等级的保护措施。规定对保存在信息系统中的数据，该信息系统的安全保护等级不得低于该数据的等级。对不同等级的数据建议采取的保护措施如表3 所示。

3 实验验证

本文根据数据中台历史数据表[9-10]，完成物资共享融合数据的接入、分级存储和敏感数据加密存储实验验证。大数据平台应用租户创建与配置：根据数据分级分类规范，创建3 个应用用户，分别用于存储不同级别数据，基于大数据平台多租户模式实现各级数据隔离以及数据访问权限控制，多租户验证情况如图3所示。

表3 数据安全保护措施

图3 多租户验证

数据接入及验证：完成与数据中心共享融合池的物资数据共享访问接口的联调测试，利用大数据平台数据传输功能，按照数据分级分类规范，使用不同应用用户完成数据接入至大数据平台数据仓库，实现数据分级存储和管理，数据传输情况如图4 所示。

图4 数据传输验证

数据加密及验证：按照国密SM4 算法，使用数据加密程序对物资监造问题信息表中的任务编号数据进行数据加密存储，在完成数据加密后，通过数据传输组件接入至大数据平台，使用相应租户的分布式数据库，确认核心数据加密，数据加密情况，图5 标红字段为数据加密字段。

图5 数据加密验证

通过数据的接入、分级存储和敏感数据加密存储实验验证，可以分析得出本文设计的数据分级防护方法的可行性和有效性。

4 结语

针对当前电力数据中台安全防护的需要，本文提出了基于数据中台的数据安全分级防护方案，给出了数据中台“零信任”安全防护总体架构，阐述数据分级方法和定级标准，设计了差异化的数据安全保护策略，通过实验验证了基于数据中台的数据安全分级防护方案的可行性和有效性。