一、概要
8月30日，奇安信集团正式发布“数据安全能力框架”，以及“数据安全概念运行图”（数据安全ConOps），旨在为数字化转型不断深入的大型政企客户以及业内伙伴，提供基于甲方视角的数据安全全面图景，以及一条构建大数据安全体系的可行道路。
数据安全风险与日俱增，成为数字经济时代最紧迫和最基础的安全问题。大数据DT时代，数据应用场景和参与主体的日益多样化，数据安全体系建设必须抛弃传统的单点防御模式，而要采用全局治理的体系化建设思路。
数据安全体系要在有效保护数据计算环境与实体的同时，精准控制数据的访问使用与流转，实现对数据行级别、列级别、甚至单元级别的精准安全访问。构建综合的数据安全体系显然需要一套能力框架进行指引。
奇安信数据安全能力框架、ConOps及配套举措建议，是数据安全建设的一套思路、方法与工具，可以帮助用户去设计和构建业务场景的数据安全体系和解决方案，展现了“数据安全治理到技术体系落地如何去贯穿，以及安全能力在信息化各个层面的工程化落地方法”。
二、数据安全洞察与思路
数据伴随着业务和应用，在不同载体间流动和留存，贯穿信息化和业务系统的各层面、各环节。作为非单点防御技术的安全体系，数据安全建设是个复杂的过程，既要考虑数据全生命周期的视角，还要考虑业务与数据流转视角，确保安全能力和举措深入到应用和业务中，与系统、应用和业务的每个层级全面覆盖和深度结合。
基于大量行业建设实践，我们总结出大数据安全建设的基本思路：
数据安全并非单点技术，而是一个能力体系：数字化大集成带来数据应用场景和参与主体的日益多样化，数据安全的外延不断扩展。数据本身的价值性、跨平台性和流动性促使数据安全体系建设必须抛弃传统的单点防御模式，而要采用全局治理的体系化建设思路。
数据安全需要实现安全内生：数据安全建设需要与应用数字化改造同步开展，通过三同步，将安全能力和举措植入到应用架构及数据平台中，与系统、应用和业务的每个层级深度融合。与传统端、网、云的安全防护不同，数据安全与业务逻辑有更多的交互，甚至将安全策略、安全控制融入业务逻辑，更能深刻体现内生安全的理念。
数据安全治理成果需与安全策略相结合：数据治理的成果，从组织机构设立到管理办法制定，都需要与技术体系结合，才能指导安全建设，实现数据治理的技术与运营落地。
“数据安全防护体系”需与“零信任架构”结合：构建大数据安全防御体系，还要将基于零信任架构的动态细粒度访问控制能力与业务应用结合，实现对数据流转的精确控制，做到“主体身份可信、业务行为操作合规、计算环境与数据实体有效防护”。
双视角的数据安全全流程防护：结合“业务流转”与“数据生命周期”，做到在数据生命周期的关键环节进行防护，如采集过滤、存储加密脱敏，使用精准控制；同时基于应用场景、业务逻辑和数据流转，梳理数据脉络，对数据使用进行动态细粒度权限精准管控，并对数据使用进行行为审计，加强数据访问行为与防护状态的监测、预警、响应处置。
在有效保护数据计算环境与实体的同时，精准控制数据的访问使用与流转，实现对数据行级别、列级别、甚至单元级别的精准安全访问。这样综合的数据安全体系构建，显然需要一套能力框架进行指引。
三、数据安全能力框架
基于内生安全思想，依托“新一代企业网络安全框架”， 奇安信集团结合数据安全的经验和实践，推出“数据安全能力框架“，提供基于甲方视角的数据安全领域全景建设指引。
奇安信数据安全能力框架以数据安全治理体系的理论为逻辑推演依据，同时参考结合了Gartner 数据安全治理（DSG）、数据安全能力成熟度模型（DSMM）、微软隐私、保密和合规性(DGPC)框架的有效思路，保证了数据安全建设的先进性。能力框架覆盖了数据安全治理体系的每一个阶段，可以保证建设的有序性；覆盖了数据实体防护的全能力，可以确保数据的安全可控。
能力框架的纵轴从数据安全管理、技术和运行视角，覆盖数据安全治理每一个阶段。横轴从数据实体防护角度出发，从基础环境安全、身份安全与访问控制 数据保护、监测与响应、审计定责，到数据备份恢复，覆盖数据实体防护的全能力。
奇安信数据安全能力框架中的每一个元素都是一种数据安全的能力组件，其所包含的567个能力组件在数据安全的体系建设与运行过程中，将有序的分布到每一层次里，进行相应的数据安全的管控与防护。
数据安全能力框架解决了如何从数据安全治理把数据安全策略层层具象化落实到具体产品能力的拉通方法问题；回答了在兼顾多重典型数据应用场景下在政企信息化环境中什么区域需要哪些数据安全能力与产品部署的问题。
1、数据安全能力框架构成
1） 数据安全治理
管理视角：从组织制度流程上提出要求，由于数据在各业务系统之间流转，需要设立高级管理层参与决策的数据安全管理部门，统筹和规划多部门之间的工作；需要设立跨组织的数据管理协调部门，以确保制度、流程、技术等方面的落地。结合法律法规、合规监管，制定基础结构安全管理办法及配置管理指南，身份与权限管理办法，数据安全管理办法及数据分类分级原则和方法，个人信息保护管理办法及流程，事件应急响应管理及流程，审计管理业务连续性保障管理及流程。
技术视角：结合企业的IT战略，业务战略，合规要求、数据治理的优先级，风险偏好等识别需要数据安全治理的业务，梳理业务现状和安全能力现状，梳理业务场景，应用场景、业务逻辑和数据流转，识别数据访问的主客体，数据使用操作行为，明确数据访问关系，结合数据治理的成果（如元数据、数据目录、数据血缘等），根据行业的分类分级指引，对业务数据分类分级和数据打标，为后续的流转控制和数据保护提供基础，梳理数据生命周期每一段的安全风险，给出数据安全风险报告，制定对应的风险缓解方案，形成数据安全防护策略优化建议，覆盖全生命周期。
运行视角： 从业务场景出发，梳理数据流转环节形成数据脉络，结合威胁建模，构建缓解措施和安全能力，形成数据安全管控和防护策略，覆盖到数据安全相关的各个产品和工具。（运行视角将通过数据安全Conops展示清晰的图景。）
2） 数据安全防护
从基础环境安全到身份安全与访问控制、数据保护、监测与响应、审计定责，到数据备份恢复，覆盖数据实体防护的全能力。数据安全需要将安全能力和举措植入到应用架构及数据平台中，与系统、应用和业务的每个层级深度融合。
基础环境：端、网、云的安全建设， 面向资产、配置、漏洞、补丁的系统安全，应用安全、API安全、密码基础设施等。
身份安全与访问控制：零信任架构， 动态细粒度访问控制机制。
数据保护：数据发现，敏感数据识别，加密，脱敏，防泄漏，数据库防护，数据沙箱，隐私保护，云数据访问保护，安全隔离与交换等。
监测与响应：监测主客体之间的数据访问关系，数据流转信息，以及流量日志、应用日志，系统日志、安全告警等，汇聚关键环节对重要数据、敏感数据的处理和流转信息，以构建敏感数据分布态势、敏感数据流动态势、数据安全风险态势，并对数据安全威胁及时预警和处置，指导数据安全持续运营工作。
审计定责：利用多源、多维日志，分析风险行为，通过追踪溯源，识别异常行为，进行定责。
备份恢复：为构筑业务弹性，开展本地备份、异地灾备以及数据恢复和有效性验证。
数据安全全流程防护需要基于数据脉络做精准管控，同时结合数据全生命周期的安全防护。精准管控需要根据数据脉略，结合零信任架构和数据安全治理的成果（如分类分级、数据标签，数据目录，资源属性等），动态评估主体的数字身份、安全状态和信任等级，实现对客体资源的精准控制访问；结合数据全生命周期，对数据实体做全方位的防护（如采集要脱敏过滤，存储安全加密，使用精准管控，重要数据沙箱隔离等）。
2、数据安全能力框架内涵
“奇安信数据安全能力框架”体现了数据安全治理从组织机构安全治理，到数字化环境具体管控、分析能力分层逐步落实的工程方法。
它以企业数据安全的战略目标和风险容忍度为输入，明确数据安全治理的组织；以合规与治理需求为输入，制定数据安全相关的标准、制度为起点，并将标准、制度作用于全域业务流程，实现战略方针对业务流的约束，进而通过完善的流程管理实现治理层面的战略目标与合规需求在业务领域的策略化。
它以实际业务数据流转脉络与业务数字化转型为输入做现状分析，以法律法规的合规要求与行业数据分类分级指引为输入，梳理数据治理、数据安全治理及相关监测、分析所需能力体系。
它围绕全域业务数据以数据安全治理能力体系为输入，牵引数字化转型与信息系统改进规划，以安全能力内生化为目标方针作用于信息化建设过程。
在实际建设过程中：先利用治理平台、专用工具对数据进行分类分级、数据标签，梳理数据目录、资源属性，并结合业务逻辑和数据流转脉络，识别数据的访问关系。围绕零信任架构构建基于属性的数字化身份细粒度访问控制能力体系、制定关键访问控制点访问控制策略。以体系化、内生于业务系统的审计与安全防护能力对整体业务进行以数据为核心的风险评估，形成数据风险视图、敏感数据地图以及数据风险评估报告等分析与可视化能力体系。
最终，以运行视角结合数据安全治理结果制定数据安全可执行策略并落实为业务策略、流转控制策略、安全能力策略、产品策略等，最终通过覆盖全域业务数据载体（终端，网络，云，数据库，大数据平台等）的安全能力体系实现数据生命周期与全业务流转过程关键节点的整体协同监测与管控，达成数据安全治理的全域覆盖、全流程安全防护。
通过汇聚、分析全域多源数据进行统一、多维数据风险实时监测，并通过可视化技术形成数据安全态势感知，以平台化、可视化的风险监管支撑业务持续安全运营。
四、数据安全ConOps
为使政企机构能更容易理解，数据安全的有效运转是从策略到流转，再到应用组件控制与网络计算环境的多层次结合的复杂系统，奇安信基于系统工程的方法，从数据安全运行视角，以新型数据中心的业务场景为依托，基于业务到技术实现的层次化视角，设计了数据安全ConOps。
数据安全ConOps呈现了数据安全应具备的三个状态：治理态、规划态和运行态，体现出数据安全从治理先行到规划设计、技术落地的转化过程。数据安全治理需要与技术体系相结合进行落地。目前市场多是谈数据安全治理，以及细致的落地技术点，但都没有贯穿数据安全治理到结果，形成技术建设落地，并真正能够运行起来。
（运行图以模拟抽象，并进行脱敏后的防疫健康码为例：防疫健康码运行在新型数据中心，由大数据平台、数据湖、数据服务平台、防疫健康码系统等，结合防疫相关机构的系统，为防疫健康码系统提供支撑，经脱敏和抽象后形成健康防疫码的业务系统运行场景。）
1、DSG、能力框架纵轴及ConOps映射关系
如果我们以Gartner数据安全治理框架（DSG）进行映射，突出DSG从管理治理到技术实现自上而下的落地过程，DSG与数据安全能力框架的纵轴，以及“数据安全运行构想图“之间的映射关系：
1) “业务干系人（Stakeholders）”
业务干系人是由“业务部门、数据管理部门、IT部门、合规部门，数字化部门等干系人”构成数据安全管理、治理的组织，统筹数据安全策略，贯穿数据安全治理的每一个阶段，因此自上而下覆盖到每一层，但每一层的负责组织、关注点与工作各不相同。
2) “平衡业务需求和风险“
数据安全治理的组织需要以“IT战略、业务战略、合规、治理和风险容忍度“作为输入，平衡业务需求和风险， 统筹数据安全治理，制定总纲、原则、流程、规范等。这一层映射到策略管理层，作为数据安全治理的总体原则和策略方针。
3) 识别、优先级排序和管理数据集生命周期“
识别业务应用和数据集，确定治理的范围和目标，梳理业务现状，识别主客体和数据访问关系，在数据治理的基础上，对数据进行分类分级、标签化等；这一层将数据安全治理的结果作为策略制定的基础，导入到策略管理层和数据流转和管控层。
4) “部署数据安全产品“和“为所有产品编排统一策略”
数据安全相关的基础环境安全产品分布在最底层的信息化层，与数据安全相关的安全能力和产品分布在应用组件与安全能力层，这两层会在信息化层、应用组件与安全能力层均有体现。
2、数据安全防护能力与 ConOps映射关系
数据安全能力框架的横轴（数据安全防护能力）与 “数据安全运行构想图“之间的映射关系：
数据安全ConOps由四层构成：
1）数据安全策略层，从业务场景、应用逻辑出发，基于数据安全治理阶段的成果（数据脉络、主体身份视图、客体数据资源视图、数据标签、数据分类分级等）构建基于属性的数据安全策略，并形成数据流转与管控、应用组件和安全能力策略、产品策略，并分发到数据流转与管控层，应用组件和安全能力层以及数据中心和信息化层。
2）数据流转与管控层，数据安全治理阶段的成果已包含数据在每个组件之间的数据流转和数据脉络以及主客体之间的访问关系；根据数据流转与管控策略的需要对数据访问做动态细粒度的访问控制。在关键环节重要和敏感数据的流转和处理需要做精准管控和安全防护，数据使用行为需要留痕，为实时的监测响应和审计提供支撑；能力框架中“身份与访问控制、监测与响应、审计与定责“为之提供能力支撑。
3）应用组件和安全能力层，描述在新型数据中心业务应用的运行态，基于业务系统的逻辑和应用架构，将业务系统的各个应用组件呈和各组件之间的逻辑关系呈现出来，同时每个组件和应用所需要的安全能力嵌入到每个组件中（如：业务系统采用微服务架构，应用与服务、服务与服务之间通过API通信，需要在业务系统中内置API安全管控与防护能力），将安全能力与应用内生融合，这也体现了内生安全的理念；根据数据安全治理的成果做相关的安全保护（如加密、脱敏、去标识化等）， 应用和安全能力策略的落地会集中在这一层。能力框架中“身份与访问控制、信息保护、监测与响应、审计与定责“为之提供能力支撑。
4）数据中心和信息化层，是业务运行的基础设施，是数据的载体，需要保障业务运行环境的安全，如安全区域划分，边界网络安全栈，服务器加固，系统安全等，以确保业务的安全运行。这一层是数据的载体和业务运行的基础环境，是数据安全的基础保障。
要让Conops中的各层在实际的工作中有机运转，需要从两个方向上进行拉通，一是自上而下的进行策略的逐层实现与落地：从策略层的业务策略落实到数据流转层的管控策略，进而落实到应用组件层的安全能力策略，以及数据中心与信息化层的产品策略上。在另一个方向上，自底向上从产品部署，到应用能力，再到业务流转及逻辑规则，进行支撑与抽象。从而达到数据安全各层级之间的有效联系与运转。
五、政企数据安全举措建议
面对大数据应用的数据安全防护，政企机构应基于数据应用场景、业务逻辑与数据的流转，从“管理、技术、运行”来开展数据安全的治理与防护工作，以数据安全治理为前提，在进行数据安全组织建设、制度建设与数据资产梳理及分级分类的前提下进行数据安全防护设计，以数据安全态势感知为核心，从数据资产管理、数据流动态势、数据风险分析、用户行为分析等维度，开展可视化的数据安全运营服务，促进数据安全治理的闭环形成，对数据安全能力进行持续演进。
1、建设数据安全管理体系
政企考虑是否需要根据数字化发展需要，建立跨部门跨机构的数据组织机构，根据相关法律法规以及行业标准做合规指引，结合IT战略，合规性，业务安全需求，以及风险容忍情况，制定相关的制度和相关治理流程；来针对大数据环境下的数据确权、数据使用策略等进行管理，从而延伸到数据安全策略。
2、开展数据安全治理
进行资产盘点，发现、识别数据资产，重要数据以及敏感、个人数据分布情况，摸清数据资产家底。
对数据进行分类分级和打标，针对重要数据及敏感、个人数据识别具体的使用场景，梳理数据流转，绘制数据地图，构建敏感数据分布地图。
基于数据分类分级结果、敏感数据和重要数据的流转及使用情况，构建数据脉络，并结合场景化的数据安全风险分析及数据安全能力需求分析，制定数据安全策略和技术防护保障措施。
3、结合零信任与数据实体防护，构建数据安全技术防御体系
1）完善基础环境安全，如终端安全、服务器加固与安全防护、以及聚合IT资产、配置、漏洞、补丁等数据，提高漏洞修复的确定性，构建实战化系统安全保护等，确保基础设施的基础安全保障。
2）在关键环节对重要数据进行精准防护
在数据的采集和存储过程中采取必要的脱敏、去标识化、加密等安全保护手段。
在数据流转和使用过程中，基于零信任架构， 结合数据应用场景，基于访问主体（数字身份），对数据使用进行动态细粒度授权及访问控制，实现对应用、服务，API接口、数据库行、列等级别的大数据平台的精准管控。并对数据使用进行记录留痕。
对重要数据存储加密，敏感数据和个人数据进行脱敏、去标识化，围绕数据库的访问控制和安全防护、以及对重要数据的库表加密、操作审计，对不同安全等级网络间的数据隔离和交换做好管控。做到大数据场景下的数据不失控，不被盗用，不被误用，不被滥用。
在数据共享开放及交易过程中，通过数据安全分离、隐私计算等技术，实现敏感数据隐私计算的安全能力，在保证原始数据不流出的前提下进行价值挖掘，实现“数据不动程序动、数据可用不可见”，保障数据合法合规安全开放与使用。
3）建立数据跨境检测方案
如涉及业务数据出境，则应明确数据使用范围，借助数据出境监测工具，识别和发现出境流量做好自监管，严格按照法律法规要求进行管控和防护。
4）建立数据安全态势感知
围绕数据脉络与风险检测，将资产信息以可视化的形式呈现，依据数据分布监测、数据流动监测、泄露风险监测、用户行为分析等相关技术构建敏感数据分布态势、敏感数据流动态势、数据安全风险态势，并对数据安全威胁及时预警和处置，指导数据安全持续运营工作。
5）定期开展数据安全合规审计
定期开展数据安全专项审计工作，包括业务数据流转的各个环节是否存在安全隐患、个人信息及重要数据的保护措施及满足合规性要求、优化相关安全策略，持续运营。
4、数据安全运营
数据安全运营通过完善海量数据汇聚融合的数据安全运营保障能力、数据安全风险识别和防护能力、数据脱敏技术、数据安全合规性评估认证、数据加密保护机制及相关技术监测手段，提供持续的数据安全保障。
关于作者
奇安信集团战略咨询规划部
声明：本文来自安全内参，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
