海关信息化中心刘涤西：开拓DT时代数据资产权益保护新视野

2016年7月，中共中央办公厅、国务院办公厅联合印发《国家信息化发展战略纲要》，成为规范和指导未来10年国家信息化发展的纲领性文件。《纲要》在数据方面指明了一个非常重要的方向，即数据这一核心信息资产将作为新的生产要素投放社会，促进国家经济腾飞和持续健康发展。在这个大前提下，“数据资产权益保护”显得“十分必要”，它是《纲要》中所说的数据资产充分开发利用的前提和关键因素之一，是发现和制止数据资源无序滥用的重要手段和依据。

结合当前云计算、大数据等信息化新形势，《纲要》提出“创新部门业务系统建设运营模式，逐步实现业务应用与数据管理分离”的目标。按照GB/T 31167-2014《信息安全技术 云计算服务安全指南》提出的“安全管理责任不变”的原则，数据所有者始终是数据资产安全的第一责任人，云服务提供商成为被管理约束的对象。所有者为保护其资产权益，以明确的授权方式委托给某部门（如大数据局）或某第三方安全服务机构来执行权益保护。数据资产的安全管理与权益保护形式将发生根本性变革。

为落实《纲要》关于数据资产权益保护的纲领性要求，需要设计一套完整的数据资产权益保护体系，为各相关方建立一个数据资源使用情况的可视化、可审计的管理系统，并实现一套可行的数据安全治理方法，一套可用的数据资产管理手段，一套完整的全量数据库资产底账，同时，还要满足如下服务需求：第一，为大数据管理部门提供数据资源监督管理手段，能够总揽数据全局，实现整体布局调配和总体效益评价; 第二，为业务主管部门提供数据资产权益管控手段，能够掌控自有数据分布，实现数据价值管理、分级控制；第三，为信息安全部门提供数据资产安全管理手段，能够明确数据管控重点和管控要求，实现重要数据保护、重要人员管控、重要应用监控；第四，为运维服务部门提供数据资源运维管理手段，能够提供全量数据资源总账，实现全部数据库、重要人员和核心应用的准入准出和全过程管理。

（一）数据资产权益保护基本原则

数据资产权益保护遵循“分级分类 、重点保护 、适度保护”这一信息安全工作的基本准则。结合实践经验将这一准则进行适应性演化，我们提出“1990原则”（见图），即将数据资产按敏感程度划分为：核心数据资产、重要数据资产和一般数据资产。通过脱敏等技术手段，严格控制逐步调整各级别数据资产占全数据量的比例，达到核心数据资产占比1%、重要数据资产占比9%、一般数据资产占比90%。对应这三类数据资产分别实施“应用级”、“人员级”、“资源级”三个不同强度等级的管理，达到对数据资产准入、准出和全过程管控的效果。

（二）数据资产权益保护基本模型

目前，我们已完成针对传统网络架构、指定区域、结构化数据、在线终端方式的数据资产权益保护模型设计。下一步，针对云架构、全区域、全数据资产（结构化和非结构化数据）、富终端方式（含移动终端和单兵设备等）的模型设计正在研究中。数据资产权益保护基本模型包括三个方面：

第一，一个数据资产权益保护分工协作平台。包括数据资产治理小组、数据资产所有者、安全管理人员、运维人员及数据资产操作人员五类人员的分工协作。

第二，一套数据安全管控成熟度演进模型。首先是数据资产全数据库底账管理阶段，其次是重要数据库人员底账管理阶段，最后是核心数据库应用底账管理阶段，通过三个标志性阶段逐步达到全面保护数据所有者权益的效果。

第三，一套用安全数据来解决安全问题的方法论。既包括通过安全技术手段（扫描、侦听、堡垒、脱敏等）获取安全数据（数据资产底账、流量流向、人员行为、应用行为等）的方法，也包括通过人工智能技术（机器学习、神经网络等）对安全数据进行分析建模的方法。

（三）数据资产权益保护实施要点

要通过数据资产权益保护系统形成并展示数据资源的底账，并通过数据资产登记的管理手段明确其数据所有者，使之成为“有主有责”数据并具备基本的可管理信息，进而展示出组织内数据资产及其使用效益的全景图。实施要点如下：

1. 组织专项治理

对于庞大的历史数据和底账不清的包袱，要做到清查、登记和历史数据清理并重，只有处理好历史的底账才能够使数据的管理工作有一个新的开端。主要做法应该是实施历史数据底账封存制度，并设置历史底账清理率管理指标，通过行政手段逐步推进历史数据清理工作。

2.实施运维管理

针对100%的全总数据资产实施数据资源准入准出管理并具体分析数据资产的流量、流向、效益等数据，形成全过程的运维安全管理。重点工作包括：数据资产权益登记、死数据库和僵尸数据库的清理、异常流向流量分析、数据资源利用效益评估（流量计费）等具体工作内容。为运维人员提供数据库流量信息、数据库流向信息、数据库效益信息、数据库风险信息等服务手段。

3. 落实安全管理

针对10%的重要级别以上数据资产，实施人员准入准出管理，并通过堡垒机和在线侦听功能具体分析人员账号的行为和活跃度。实施人员敏感操作许可审计、异常人员行为处置，从而形成全过程的人员安全管理。重点工作包括：人员账号展示、人员行为展示、人员准入准出、人员行为审计、异常人员处理、应用行为审计等具体工作内容。为安全人员提供人员热度信息、人员行为信息、人员行为审计信息、应用行为审计信息等服务手段。

4. 推进权益保护

针对1%的核心数据资产，实施应用准入准出管理，包括数据资产注册与权益声明，资产、人员、应用准入许可，审计报告处置等。重点工作包括：应用账号展示、应用行为展示、应用准入准出、数据资产认领、数据资产权益声明、数据脱敏、人员信任关系声明、报告审定与处置、异常应用处置。为数据资产所有者提供应用热度信息、应用行为信息、数据资产权益声明、数据库人员信任声明等服务手段。

5. 开展操作管理

在传统堡垒机概念的基础上，配合数据资产安全管理工作实施人员操作行为的管控。重点工作包括：数据资产分级管控、人员许可管控、操作行为声明和许可管理，要通过机器学习实现许可行为和操作行为的自动比对，在有效降低人工审计比例的同时提升人员行为的管控能力。

（四）数据资产权益保护关键技术

数据资产权益保护体系需要数据扫描、数据在线侦听、人员操作行为审计、数据脱敏、机器学习等关键技术的支撑。

1.数据扫描技术。主要用于形成数据资产底账，支撑数据资产自查核查等具体工作。可通过当前的安全扫描产品实现替代。

2.数据在线侦听技术。主要用于记录数据库、人员账号、应用账号的流量流向，以及活跃度等信息，用于支撑死应用清理、行为异常分析、流量统计等具体工作。可通过当前的应用防火墙等带有协议分析功能的旁路流量设备实现替代。

3.人员操作行为审计技术。主要用于人员操作日志和行为声明、行为许可的比对工作。用于支撑人员行为审计。可通过当前的堡垒机增加行为管理实现替代。

4.机器学习技术。主要用于对数据库、人员、应用账号的行为规律的记录和描述（行为背景图），用于异常行为（毛刺）的机器自动识别及发现。是当前通用机器学习技术的应用实例。

5.数据脱敏技术。目前已有这方面较为成熟的产品，是数据所有者对数据资产进行降级保护的重要技术手段。

自《纲要》发布以来，数据资产权益保护逐渐受到关注，根据我们对数据资产权益保护的模型设计，未来数据资产权益保护的发展需要重点关注以下三个方面：

（一）数据价值的演进趋势

对于数据价值的认知在不断变化，数据的核心特征也在发生变化，整个世界都将通过各种新技术和更加方便的手段实现互联网数据化。同时，还应特别关注人们对数据价值的认知变化和大数据权益管理的发展趋势，布局自己的产品、服务和发展理念。我们将数据价值的变化划分为三个阶段：数据资源、数据资产和数据资本。

1.数据资源阶段

数据资源往往是指在互联网发展初期，网民主动将需要共享和交换的数据放到互联网上，如聊天信息，具体应用如腾讯QQ以及传统的静态网站等。其核心特征是：无主、无价、主动公开，获取的手段有网络爬虫等技术手段。此阶段的数据无权益保护需求。

2.数据资产阶段

随着网络应用和大数据的发展，人们逐步把自身更有价值的信息上网（如支付宝、网游装备等），企业也将自身业务数据上网。这个阶段数据的核心特征变成了有主、有价、有偿交换，进入到数据资产阶段。我们目前正是在为数据资产阶段提供专门用于权益保护的手段和服务。

3.数据资本阶段

国家已经提出“建立公共信息资源开放目录，构建统一规范、互联互通、安全可控的国家数据开放体系，积极稳妥推进公共信息资源开放共享”的国家数据资源开放目标。人们对数据资产价值认知度也在快速提升，一些私营企业甚至国有企业银行，已开始花钱购买数据，且呈极速增长趋势，还有可能在进一步发展的基础上逐步形成数据资源的大量汇聚，而使数据成为企业价值的主体。这时将进入我们所说的数据资本阶段。这一阶段的数据已具备投资属性并可能成为垄断性生产要素，并出现新的数据应用模式（如菜鸟物流等），甚至中国有可能出现或者已经出现数据资本家。

（二）数据安全模式的发展趋势

随着数据价值的不断演进，数据安全保护模式也相应变革。从过去以边界保护为核心的保安阶段，到目前以保护数据所有者权益为核心的保镖阶段，未来将演进到以数据安全与交易托管为主要模式的数据银行阶段。

1.保安阶段

传统的数据安全主要是用于解决数据资源的“防火、防盗”问题。在云时代，这部分的需求基本可通过云服务提供商解决，可能不会再作为一个完全独立的第三方市场存在。我们把这个阶段的数据安全服务称为基础安全服务，它带有明显的以区域控制为标志的特征，不区分不同资产的价值差异，就像现实社会中的小区保安，负责维护一个群体的整体安全，我们姑且称之为数据保安服务阶段。

2.保镖阶段

当前，数据资产权益保护是以数据资产所有者为服务目标，以数据资产分级分类为基础实施重点保护、适度保护的服务体系。我们可把这一阶段称为数据保镖服务阶段，对应的是国家提出的数据资产权益保护制度的实现方式和支撑手段，解决的是数据资源开发不足和无序滥用的根本矛盾。数据保镖服务领域是基础安全所不能涉及和无法替代的新领域，主要原因是责任边界与信任边界的不统一问题。从国家层面来说，可能是电子政务内、外网核心数据的权益保护，或各地大数据局交换平台的数据权益保护。国家层面的权益保护重点落地在安全责任，大到国家数据主权，小到个人隐私保护，都可纳入数据权益范畴。

3.数据银行阶段

未来，数据价值可能会演化为数据资本，这就需要在数据资产所有者（个人、企业、政府）和数据资产使用者之间形成一套第三方的数据资产权益保护服务。这有点像最早银行的雏形，即从个人把金条存在保管机构并交纳保管费逐步发展为放在银行收取利息，而银行在其信用范围内放贷盘活资金，获取存贷款利息差带来的利益，同时为资产所有者提供资产安全保障服务。希望在不远的将来中国能够出现以数据资产权益保护和数据资产安全托管服务为支柱业务的数据银行，出现第一代数据资产银行家。

（三）数据安全的新视野

随着互联网时代、大数据时代的到来，整个世界正在被数据化。谁掌控数据，谁拥有未来，这将是一个不争的事实。大数据时代会有更多的企业和个人生活在云端的大数据之中。可以说，“数据暨世界”。

在大数据概念上的应用也会日益活跃和丰富，不再满足于传统业务方式、生活方式的信息化，而是以前所未有的视角创造新的生活方式和思维方法。互联网初期我们还在做互联网生存实验，而今天，我们已经在试图解决“宅男、宅女”的问题。应用改变生活，未来我们的生活将更多依赖于大数据之上的应用创新或由大数据的应用创新来左右。可以说，“应用暨生活”。

大数据和大数据应用都需要安全保障，人们的眼光已经开始突破传统的防火、防盗，开始向更广泛的人与人之间、人与物之间的社会关系完整体现转化。今天我们所谈的数据资产权益保护，恰恰是当今现实社会中资产所有制度的体现，包括个人资产、集体资产和国有资产等不同的表现方式。今后，还会有更多的社会关系要通过互联网建立起来，所以，在更广泛的概念下，安全就是这种社会关系在互联网上的完整体现。可以说，“安全暨社会”。

如果从发展的视角理解“数据暨世界、应用暨生活、安全暨社会”这15个字，那就是：世界只要还有未被数据化的物质和意识，大数据就有市场；人类只要还有未被云化的生产生活方式，互联网应用就有创新的方向和动力；社会只要还有未被完整描述和转化的人与人、人与物的关系，信息安全就有发展的空间。