完善技管并行体系 实现数据安全治理

王志军

当今世界正经历百年未有之大变局，国际环境日趋复杂，不稳定性不确定性明显增加，网络攻击目标、技术手段和产生的破坏都在不断突破常规。“十四五”规划开启了中国经济发展的新阶段，随着数字经济加速发展，数据已经成为重要的生产要素，以数据为载体的信息爆炸式增长，数据在国家治理、经济社会发展、个人生活中扮演着愈发重要的角色。与此同时，近年来数据泄露、数据滥用、数据贩卖等数据安全事件频发，数据安全风险与日俱增，对国家安全、社会稳定、组织权益、个人隐私都造成了严重威胁。有效应对严峻的数据安全形势，保障数据的安全开发和利用，已经成为一项重要课题。

中国联合网络通信集团有限公司软件研究院（以下简称中国联通软件研究院）承担着中国联通集约化数据中心的研发和运行维护责任。通过坚持以数据为中心，以业务为对象，以安全流通为目的，不断完善数据安全政策体系、技管并行体系，构建全方位安全能力、筑牢数据安全防线，推动数据资产可视化、安全能力集中化、运营分析体系化、制度流程标准化，实现数据价值释放，不仅满足了中国联通全面数字化转型的需要，而且实现了对千行百业数字经济的赋能。

完善數据安全管理机制

数据安全管理作为架构的顶层设计，首先要明确数据安全治理的战略方针，通过建立健全完善的数据安全组织架构，明确安全职责，从而达到数据安全“可管、可控、可信”。

搭建组织架构。中国联通软件研究院通过构建数据安全责任体系，明确数据安全责任分工，建立数据安全管理组织机构，层层夯实数据安全责任。领导小组负责总体组织指导，主要负责人为数据安全第一责任人，负责统筹谋划与组织协调，对软件研究院数据安全工作负全面领导责任；分管数据安全工作的负责人（首席网络安全官）为数据安全直接责任人，负责组织部署与督促落实。数据安全管理部门牵头推动整体数据安全管理制度编制、数据安全能力建设，各业务部门配合落实数据安全措施与决策的执行，落实数据分类分级、重要数据识别及数据安全合规治理的具体工作。

完善制度流程体系。落实国家数据安全要求，贯彻工信部数据安全标准，从方针政策、管理规定、操作手册、表单模板4个层级，以及数据安全战略、数据安全生命周期、基础安全3个方面建立管理制度，发布一级管理办法2项、二级管理制度5项，三级规范规程6项，从而构建了完备的数据安全制度体系。

落实人力资源保障。持续落实关键岗位人员名单制管理，梳理数据安全岗位人员，明确岗位职责并登记入册。为确保人员业务技能符合数据安全管理要求，定期开展人员技能培训及职业发展规划培训。

搭建数据安全技术框架

根据网络安全法、数据安全法、个人信息保护法、《工业和信息化领域数据安全管理办法（试行）》等主要法律法规及行业标准规范要求，中国联通作为重要数据处理者以及个人信息处理者，安全治理过程中需要做好数据分类分级管理、数据生命周期安全管理、数据安全监测预警、数据安全风险评估、数据出境安全管理、个人信息保护等工作。中国联通软件研究院围绕数据资产管理，建设数据发现与分类分级管理技术能力，结合数据资产差异化管控要求，将数据加解密、数据脱敏、水印溯源、敏感数据流转、安全风险监测等技术能力融合，构建了动态防御、主动防御、纵深防御、精准防护、整体防控、联防联控的数据安全综合防控体系，实现了数据识别及分类分级、数据地图、监测告警、敏感操作审计、数据加密等组件化安全能力提升。

1.实现数据智能化、自动化分级分类能力

面对现有众多业务系统中超PB级别的数据体量以及每日万亿级的新增数据，人工梳理无法满足当前运营商数据安全管理的需求。中国联通软件研究院充分利用已有资源，建立健全行业分类分级规则库，收集、汇总各类数据样本一万余条，按照《基础电信企业数据分类分级方法》，结合企业内部相关数据特性，优化了数据分类分级策略，完善了自然人身份标识、实体身份证明、用户私密资料等类型数据的范围，协助前端业务部门进行数据分类分级的标识和落地。重点建立自动化为主、人工为辅的数据分级分类能力，实现快速梳理数据资产底数，掌握数据对象类型、数量、位置等情况，提高数据分类分级的效率和准确率。

目前通过数据治理平台识别元数据涉及库表81万张，字段总量2082万个。数据安全平台具备数据分类分级能力并生成相应清单，定期对相关平台数据资产进行扫描，敏感数据自动识别率超过90%，已完成分类分级文件309万个，数据库表184万个。

2.强化数据汇聚存储设施安全防护能力

电信运营商数据汇聚存储设施主要涉及终端、数据中心以及各类业务支撑系统，设施平台规模庞大且布局区域广泛，如出现权限管理、人员操作等不规范情况，极易引发安全事件，造成系统或平台内数据泄露或破坏，影响业务可持续运行。同时随着网络云化、泛在化演进加快，数字化转型不断深入，传统信息与通信边界逐渐被打破，带来数据汇聚存储设施暴露面和安全边界持续扩大、虚拟化软件和虚拟机安全威胁等问题，加剧数据安全防护压力。

中国联通软件研究院首先以“终端管控+接入安全+操作审计”的方式严格入网权限管理。终端安全管理系统通过技术手段强化管理条例刚性落地，保护内部信息不外泄，同时实现对终端操作访问的审计。目前可进行审计的内容包括软件使用日志、外设使用日志、开关机日志、系统账号日志、文件操作日志、文件打印日志、邮件记录日志、安全U盘、即时消息日志等。

自主研发的水滴安全管理平台作为4A（认证Authentication、授权Authorization、账号Account、审计Audit）云堡垒机，为数据提供部门提供精细化权限和企业级IT运维安全管控，实现系统安全接入。在基础设施安全方面，提供云化/非云化资源集中管理与访问控制；在运维操作安全方面，提供精细化权限控制、操作过程金库管控、操作记录追溯与审计，保障运维操作安全合规。水滴安全管理平台采用“口令 + 验证码 + MFA（多因素身份认证）”组合模式对登录用户进行身份认证；集中管理资产账号信息，并通过密码保险箱，支持账号自动改密；建立“水滴实名账号—资产—资产账号”对应关系，实现对用户资产授权；全面记录用户登录行为和操作行为，提供会话、命令记录、操作录像、登录日志等多维度审计。

自主研发的天盾数据加解密服务通过引入多种主流、合规的密码算法，实现数据加解密，并对加密密钥实现绝密级管理，为超20亿条敏感数据、超5亿条用户密码进行加密，平台日均调用量超过1亿笔、峰值调用量超过19亿笔。

3.提升数据流通共享环节安全治理能力

为充分发挥数据要素价值，数据在企业内部、企业与企业或企业与个人之间的流通将成为常态。数据从企业内部流通延伸至外部共享、交易和使用，所面临的数据泄露、篡改、非法获取、利用等安全风险危害大、概率高、溯源难。中国联通软件研究院通过建立面向数据的全链路的数据流动监测与数据泄露风险分析机制，有效监控数据流通共享过程的安全风险。同时通过访问控制、数据脱敏等防护手段，保障数据共享和开放的安全。针对数据所有权和控制权（使用权）分离情况，实现跨组织、跨部门的安全流通共享，促进数据开发利用，最大程度释放数据价值。

通过敏感数据分析系统实现流量抽样分析，对公网出口流量进行监测和处置，以实现敏感数据接口监测与审查，防范數据泄露风险。针对关键节点，建设部署网络全流量数据安全分析平台，利用DPI、DFI等技术对采集到的流量进行识别和解析，建立资产流量模型，结合安全规则、统计模型、安全基线对潜在的异常行为与隐蔽风险进行检测。

数据库审计基于数据库协议解析和SQL解析技术，对正常行为生成日志、对风险行为进行告警，解决系统间数据库交互调用、敏感数据操作、非授权访问等行为的分析审计及溯源取证能力，为用户行为分析、运维监控、风控审计、事件追溯奠定基础。

能力开放平台实现数据开放过程中的访问控制，具备接口认证鉴权、IP白名单、多因素认证、流量控制、非对称加密等多种安全保障能力，对涉及个人信息和重要数据的开放接口实施调用审批和动态监测。

实现数据安全长效运营

数据安全管理与数据业务发展紧密相关，数据安全管理不是一蹴而就的工作，需要长期持续运营。中国联通软件研究院通过内联各业务部门及数据安全技术能力支撑方，外引数据安全专家，联合开展数据安全合规治理工作。数据安全运营的核心工作包括数据安全评估、应急处置、隐患排查和安全审计等几个方面。

1.有效措施——数据安全评估

数据安全评估机制用于检查数据安全管理效果，中国联通软件研究院数据安全实现了合规性评估与风险评估的相结合，对企业整体、重点业务及核心系统开展数据安全风险评估，积极推进风险整改，形成“发现风险-整改风险-复核风险”的管理闭环，促进各业务安全高效发展。

2.最佳实践——数据安全应急处置

数据安全应急处置需要根据数据安全事件原因进行针对性处理，措施包括修复数据业务系统安全漏洞、改进数据处理业务流程、完善数据管理措施与制度等。中国联通软件研究院通过制定《数据安全事件应急预案》，定期开展针对5个典型场景的数据安全应急演练，对核心系统进行桌演和实操已超过125场次，进一步规范了数据安全事件应急处置流程，提高各业务侧应急处置能力。对于数据安全管理过程中发现的各类数据安全事件和威胁隐患实现及时闭环处置，确保数据安全威胁得到解除。

3.常态手段——数据安全隐患排查

中国联通软件研究院定期或基于数据安全威胁情报实时开展数据安全隐患排查工作，主要针对数据业务系统及数据处理流程中是否存在数据泄露、数据损毁或数据滥用等方面的漏洞进行检查。一方面常态化开展包括接口排查、数据风险排查、数据输出风险排查等专项排查，重点针对资产问题、权限管控、数据传输问题等督促整改。另一方面，为保障个人用户信息数据安全，规范APP运营单位数据收集使用行为，提高APP运营方数据安全保护意识，开展年度用户权益侵害专项检测工作，确保对收集个人信息、用户隐私保护覆盖项应检尽检，并积极配合电信主管部门开展相关监管工作，及时消除违规收集使用用户个人信息和骚扰用户等突出问题。

4.合规保障——数据安全审计

数据安全审计作为数据安全措施合规及有效性的根本保障，不仅要求配置独立的安全审计人员，也要求保障审计工作的规范性和专业性，能够对数据安全管理、技术处置措施的规范性及结果的有效性进行准确研判。中国联通软件研究院持续从接口能力概况、数据输出情况以及平台接口安全运营等方面存在的风险点进行安全审计，对发现的问题督促整改，以确保数据使用安全。根据采集的平台运营方API接口月调用明细、API接口数据输出月报以及API接口能力订购记录等，采取抽检、核验以及访谈等方式进行安全审计，按月对重要敏感接口、互联网接口等输出情况进行分析和跟踪处置闭环。

党的二十大报告中提出，“必须坚定不移贯彻总体国家安全观，把维护国家安全贯穿党和国家工作各方面全过程，确保国家安全和社会稳定。”为有效应对电信行业数据安全风险挑战，中国联通软件研究院坚持业务与安全并重，通过建立“以安全保业务、以业务促安全”的工作理念，统筹推进技术与管理，实现了跨层级、跨地域、跨系统、跨部门、跨业务的数据安全治理体系，形成了一套从数据采集到安全开放共享的全链路数据安全防护方法论，保障了企业内部业务的持续、安全、稳定运行，避免潜在数据安全风险隐患带来的损失，同时实现了安全高效的对外赋能。中国联通大数据业务在电信运营商中长期居于首位，市占率超过50%。通过织密安全防护网，实现重大数据安全事件“零发生”，保障了4.2亿用户的数据安全，为国家安全做出重大贡献。

数据安全，道阻且长，行则将至。中国联通软件研究院将持续以数据安全法为基础，以企业数字化转型为契机，以贯彻标准实践作为抓手，着眼全局、统筹兼顾、协同联动，全面提升数据安全保障能力，通过建设数字化新数据治理体系，更好服务经济社会发展，守护国家数据安全。