文│中国石油化工集团有限公司信息和数字化管理部基础设施和网络安全室副经理 刘远
随着新技术的不断应用，传统能源行业的数字化转型已经成为必然选择。能源企业需要整合内外部资源，利用新一代信息化技术，围绕数据、业务流程、组织机构的互动创新，持续提升企业的核心竞争力，构建可持续的竞争优势。中国石化已将数字化转型作为重要发展战略与经济驱动力，以石化工业互联网为支撑，聚焦集团一体化管控能力、板块创新创效能力、专业化统筹管理能力和新经济价值创造能力的提升，围绕全产业链开展数字化转型。
一、中国石化在数字化转型上取得的主要成果
一是以“互联网 + 新业态”为发力点，利用新技术建设互联网应用新平台。石化智云工业互联网是面向制造业数字化、网络化、智能化需求，构建基于海量数据采集、汇聚、分析的服务体系，支撑制造资源泛在连接、弹性供给、高效配置的工业云平台，也是打造制造企业竞争新优势的关键抓手。加快数字化和工业化深度融合，发挥工业互联网平台对数字化转型的支撑作用，是能源化工行业实现高质量发展的重要途径和必然选择。中国石化紧紧围绕打造世界一流企业发展要求，聚焦“智能制造”和“互联网 +”两大主线，信息化建设模式向“数据+平台+应用”转变，推进数字技术与石化产业深度融合。作为数字化转型、智能化发展的战略基石，石化智云工业互联网平台旨在打通信息动脉，强化资源共享、数据赋能，推动生产组织模式、运营管理模式的创新，为实现数字化转型和高质量发展增添新动能。
二是通过数字技术和实体经济深度融合加强能源数据治理工作，推进“数据+平台+应用”新模式纵深落实。中国石化对数据资产进行了全面梳理，制定了数据治理体系设计及工作方案，规范了数据应用流程，初步建立了数据服务运行体系，在总部、事业部和试点企业开展了数据盘点和治理工作；加强经营管理数据服务平台推广应用，总计接入 430 多个源系统，形成数据模型 6.7 万个，发布数据资产 3.5 万个，支撑了总部、专业公司和企业的财务分析、风险防控、客户服务等 90 多个数据应用，日访问量超过 200 万次。完成了“石化智云”工业互联网平台 1.0 建设，建立了“ABCD”运营服务体系，形成了“上云上平台”系列标准规范，有效支撑了总部及企业 70 多个项目按照“数据 + 平台 + 应用”新模式建设。
三是以数据的有效保护和合理利用为指引，建设集团数据安全能力，完善数据安全治理体系，逐步实现能源数据的可管可溯可用。第一是全面开展数据安全治理工作完成了数据安全治理体系总体设计，发布了《中国石化经营管理数据管理办法》，将经营管理数据分为核心重要级、重要级、内部公开级、对外公开级四个级别，并进行开发权限和数据权限管控，实现了数据分类分级管理和防护。按照收集最小化、权限最小化原则，开展个人信息保护，通过内容监测、脱敏等措施，实现重要信息系统敏感信息的监测和防护。同时针对重要信息系统，开展数据安全、个人信息保护风险评估方法研究和工具测试，为后续数据安全风险评估工作奠定基础。第二是完善数据安全组织和制度建设，成立了集团公司数据治理委员会，明确了对数据架构审定、数据安全使用原则、数据安全责任制的要求。发布《中国石化网络安全管理办法》，明确对数据安全、个人信息保护的管理要求。第三是加强数据安全技术的全面落地实施，坚持数据安全与信息系统建设“三同步”原则，在信息系统的全生命周期同步开展数据安全工作。针对大数据平台、邮件系统、互联网访问、内部文档流转等应用场景，部署网络 DLP、文档安全、上网行为管理等技术防护措施，具备关键字和行为基线的拦截、截屏水印威慑、访问审计等能力，有效控制了内部数据的泄露；对系统特权账号、运维安全、关键数据操作行为进行强认证和权限控制。通过将信息系统的多因子和证书认证、加解密、脱敏、数字签名等能力纳入统一身份、密码服务平台管控范围，实现对数据基础安全能力的强制纳管和数据安全运营。
二、中国石化在数据安全上面临的风险挑战
一是从国家层面对数据安全提出了最新要求，中国石化需要综合考虑合规要求和数字化业务发展开展数据安全建设。在过去的两年里，国家密集出台了数据安全相关法律法规，如《数据安全法》《个人信息保护法》《关键信息基础设施保护条例》等，从而在数据安全的领域，构建了完整的法律与合规要求。在数字化与数据要素快速发展阶段，数据安全治理先行的要求，迫使数据安全工作亟需从合规走向合法，包括管理体系、技术保护体系和运营体系等三个方面。
第一，数据安全管理体系面临的建设要求和挑战。法律明确提出建立数据安全组织，要求拥有重要数据的企业应设立数据安全负责人和管理机构，落实数据安全保护责任等等，需要根据法规要求和 19 个业务域的建设情况重新调整布局数据安全组织，并落实各级安全责任。同时还要建立中国石化数据分类分级标准，并在 19 个业务域分别开展分类分级工作。
第二，数据安全技术保护体系面临的要求和挑战。作为重要数据和个人信息的处理者，需要识别重要数据，并在重要数据共享、交易、委托处理等各个环节都需要做好保护，并向相关监管部门报备。需要制定个人信息处理规则，完善个人信息同意制度。对重要数据和个人数据需要系统地采取备份、加密、访问控制等必要措施，保障数据，涉及系统要满足三级以上网络安全等级保护，要使用密码对重要数据和核心数据进行保护。
第三，数据安全运营体系面临的要求和挑战。中国石化需要建立数据安全领域的应急处置机制，发生数据安全事件时及时启动应急响应机制。目前《网络数据安全管理条例（征求意见）》《重要数据识别指南（征求意见）》都在进行意见征集，后续中国石化也会根据相关标准，调整已经制定的数据安全管理制度体系。
二是能源企业业务数据复杂度较高，对于未来形成统一有效的数据精细化安全管控是挑战。中国石化产业链条长、覆盖面广，油气开采、炼油、化工、销售、科研工程等都有涉及，各下属企业情况也不尽相同，可复制性较差，信息化工作复杂度高，各个业务领域也在不断适应和引入新一代信息技术以加速业务变革和业务效率，与此同时也引入了多重数据安全风险，诸如重要数据泄露风险、数据交换风险等，需要全面考虑新业态下的数据安全保障需求。以油品销售为例，该业务涉及几万个加油站，有大量复杂的业务应用，比如实体卡应用、站级应用、电子钱包应用、加油 App、微信和支付宝小程序等等，各个业务运行在多种复杂的基础设施上，包括公有云、私有云、加油卡、客户手机、员工手持终端、加油机等等，同时也处理大量敏感重要的数据，比如客户信息、员工信息、银行卡、身份证号、交易数据、商品信息、价格信息、订单信息、流水信息、发票、车牌等等，如何保护这些运行在复杂业务系统、多个业务应用中的大量数据成为我们数据安全保护工作的最大挑战。面对类似复杂的业务场景，后续还需要梳理各种业务，识别数据资产和数据流转使用情况，需要对各个业务领的数据资产进行全面的数据分类分级工作，然后围绕数据分类分级结果，制定针对性的数据安全制度、流程、技术方案。
三是数据安全整体保障体系尚未健全，风险隐患较多，我们面临着全面的数据安全治理挑战。中国石化信息化建设按照“六统一”原则，建成了经营管理、生产营运、客户服务、技术支撑四大平台，公司信息化水平显著提升，促进了改革发展、管理创新和提质增效。但是由于数据安全体系尚未健全、数据治理也刚刚起步的状态下，信息系统层面依然存在数据权限扩展滥用、数据存储不合规、数据任意流转、监控审计和追踪溯源技术手段不足等问题。具体表现在，其一是数据采集设备众多复杂，各种采集终端、物理边界等网络接入设备存在企业商业数据、个人数据泄露风险；其二是数据存储环境复杂多样，中国石化业务庞杂，企业数量、合资、控股、关联公司数量较多，数据散布在各个企业或者关联公司相关信息系统存储，同时也有部分应用系统部署在公有云石化专区，其数据安全的防护能力依赖于对公有云提供商的安全要求，受限于云提供商的安全防护能力；其三是数据使用风险，中国石化业务复杂，内部用户安全意识等导致数据使用风险大量发生，同时随着数字化转型的不断深入，企业业务云化成为趋势，业务用户使用云权限管理体系所导致的数据权限过大风险、云上数据泄露无法溯源风险；其四是数据出入境安全风险，随着我国“一带一路”建设向纵深发展，中国石化企业海外油气勘探开发持续增长，炼化项目向综合一体化方向发展，国际工程收入持续增长，国际贸易收益斐然，境外科研基地成果频出，形成“走出去”提升国际产能合作深度和广度的态势。但新的数据安全挑战也随之而来：境外经营的依法合规是我们开展生产经营的红线，相应的信息系统依法合规必须高度重视；境外生产经营场所情况复杂，对当地信息系统的安全防护带来了极大威胁；境内外数据互通的安全方面尚属空白，急需填补，比如比较境外雇员的个人信息是否可以提供给境内系统的问题等等；境外网络信息建设的安全规范也不健全，人员身份管理、网络接入要求需要标准支撑等等。
四是数据供应链风险加剧，成为数字化转型企业生态系统中薄弱环节之一。随着数字化进程不断推进，数字红利不断挖掘与释放，数据作为组织发展基础原动力，推动中国石化业务多样且深入发展，在开放协同合作的要求下，数据需要更加融合开放、交易、交换，数据的流转的场景更加多元，数据链更加漫长。同时，数据在流转链条过程中的安全风险问题频发，比如，供应商有可能接触到敏感数据，当有人利用外部伙伴或供应商窃取数据时，就有可能发生供应链攻击，这也扩大了数字化转型之前传统 IT 模式的攻击面，其导致道数据安全风险可能会蔓延到数据流转的各个环节。中国石化需要构建数据供应链安全机制以满足数据供应关系合规和安全，通过资源和过程将需方、供方相互关联。通过加强中国石化的数据供应链安全管理，防范业务上下游的数据供应过程中的安全风险，强化系统平台供应商准入，保障应用的安全开发，保障供应链安全事件的及时有效处置，保障中国石化数据合法利用和持续可控。
三、中国石化在数字化转型上的数据安全体系建设策略
（一）坚持“数据流转管控与数据分级防护相结合”的数据安全体系建设原则
一是坚持“体系规划、急用先行”思路，构建数据安全快速实效的管控与防护体系。中国石化业务体系庞杂，数据海量、场景复杂多样，需要用系统工程的方法论做体系化的安全规划，数据安全的建设路径采取分阶段、有序建设并优先围绕“关键业务、关键数据、关键场景”，解决现状最迫切需要解决的数据安全风险的思路。通过梳理关键业务，识别关键数据资产和数据使用关系，绘制业务数据流，进行数据安全风险建模，全面识别业务数据面临的数据安全风险，设计合适的安全能力缓解相应的数据安全风险，从而梳理出应对关键风险的安全举措或方案，快速达成数据安全风险应对措施的落地实施。“急用先行”迅速弥补了数据安全的风险敞口的最短板，确保关键数据资产不外泄，为进一步的“精细化”数据安全治理和数据安全体系建设打下坚实基础。
二是坚持以数据分类分级为基础，构建数据安全分级管控与防护体系。《数据安全法》等法律法规明确要求企业开展数据分类分级，要求对重要数据和个人信息进行重点安全管控。其一是在数据治理过程中，加强和落实安全层面的数据分类分级工作，其二是围绕数据分类分级的结果进行数据安全的制度建设、流程建设、技术体系建设、数据安全运营体系建设等，其三是通过分类分级机制，形成重点围绕个人数据、重要数据构建数据安全体系，从而符合国家法律法规的数据安全合法性要求。
三是基于业务全流程与数据全生命周期相结合为思路，构建数据安全系统化管控与防护体系。中国石化业务规模庞大复杂，通过围绕“石化智云”的关键业务场景，综合考虑业务场景和法律法规、数据安全风险的关系，基于关键业务场景构建数据安全体系，从而确保建设目标聚焦和落地，数据安全建设实施的效率和可控。其一是对中国石化 19 个关键业务域进行业务初步分析，划分重点业务域，形成具备轻重缓急的业务分析计划，梳理业务场景和业务原理，梳理业务数据在业务中流转采集、使用、存储、传输等情况，基于这些分析结果，逐步完成各个业务域的数据安全体系建设。其二是通过业务分析和法律法规分析，总结出常见的关键数据安全场景，比如数据跨境安全，数据交易安全等等，然后构建和完善这些关键场景的数据安全治理和体系建设。
四是坚持以数据流转管控为思路，构建数据安全动态化细粒度管控与防护体系。在中国石化的数据流转和使用过程中，基于零信任架构，结合数据应用场景，基于访问主体（数字身份），对数据使用进行动态细粒度授权及访问控制，实现对应用、服务，API 接口、数据库行、列等级别的大数据平台的精准管控。并对数据使用进行记录留痕。对重要数据存储加密，敏感数据和个人数据进行脱敏、去标识化，围绕数据库的访问控制和安全防护、以及对重要数据的库表加密、操作审计，对不同安全等级网络间的数据隔离和交换做好管控，做到大数据场景下的数据不失控，不被盗用，不被误用，不被滥用。
（二）逐步形成体系化、科学化的数据安全体系建设思路
中国石化业务繁多复杂，为了能有效达成数据安全建设的规划、设计和实施落地，需要体系化、科学化的开展数据安全建设。
一是构建“常态化”的数据安全治理体系。构建数据安全治理体系的目标是：识别数据资产并进行分类分级，发现数据安全问题和风险，构建日常的数据安全策略。通过构建“常态化”的数据安全治理体系，确保数据安全治理活动融入企业常态化的业务治理体系中。
二是构建“内生化”的数据安全技术能力体系。遵循“三同步”原则，通过体系化的数据安全技术防护体系建设，将数据安全技术防护措施同步融入业务建设过程中，实现对数据安全全生命周期的安全保护。
三是构建“智能化”的数据安全运营体系。建立数据安全运营和事件处置应急响应机制，实现对数据安全的预警、监测、管控、应急等闭环管理，确保数据安全运营运行效率和常态化。
四是构建“制度化”的数据安全管理能力体系。通过将管理手段融入数据安全保护的各个场景，健全数据安全管理组织，优化数据安全管理制度及流程，从而实现对数据安全的强管控。
五是围绕关键数据安全场景明确数据安全建设的关键目标，支撑中国石化复杂业务环境的数据安全建设。数据共享保护场景，解决企业内部跨区域、跨组织等数据共享风险，防止数据流转后的数据泄露问题；数据开放保护场景，建立中国石化数据开放机制，满足数据可用不可见、数据不动程序动和分享价值不分享数据的需求；数据流转管控场景，保护数据在中国石化企业内部的安全流转，防止恶意攻击和恶意泄露；数据跨境保护场景，主要解决境内外进行数据流转的合规性和安全性问题。
四、小结
数字化转型推动了石油石化产业发展新格局，新蓝图已经绘就，新征程任重道远。当前中国石化正处在数字化转型的关键时期，集团上下都在按照“十四五”规划的总体部署，加快推进世界一流企业建设。要全力打造世界领先洁净能源化工公司，离不开安全、稳定、可控的信息化环境支撑，中国石化以习近平总书记关于网络强国的重要思想为指导，深入学习贯彻党的十九届五中全会精神，进一步增强责任感、使命感和紧迫感，通过内聚外联、规模创新，牢牢抓住科技革命和工业革命带来的广阔需求空间，虽然目前数据安全体系建设工作刚刚起步，但任重而道远，我们将不断探索，紧跟时代发展趋势，踔厉奋发、笃行不怠，奋力开创公司数字化转型智能化发展新局面，为集团公司可持续、高质量发展保驾护航。
（本文刊登于《中国信息安全》杂志2022年第4期）
声明：本文来自中国信息安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
