深度分析 | 数据治理安全理论落地与实践（下）：数据安全能力联动

1.研究背景

随着数字化经济快速增长，数据安全风险与日俱增，导致危害程度不断加深，数据泄露、数据滥用、数据贩卖等数据安全事件频发，呈现持续递增的态势，对国家安全、社会稳定、企业组织权益、个人隐私安全造成了严重威胁。在云计算、大数据、人工智能等新技术不断发展和作用下，数据安全事件不仅会对企业组织造成严重的社会影响和经济损失外，特别是针对国家关键基础设施或个人地理位置、生物特征、医疗健康等隐私信息的恶意攻击，甚至会危害社会个体生命安全。

为了有效应对当前严峻的数据安全形势，防范勒索软件等新型攻击方法，以及处理远程办公安全访问等新场景、新兴技术、新兴产业带来数据安全方面的不确定性，保障数据要素的安全开发和利用，我国先后出台了《网络安全法》、《数据安全法》、《个人信息保护法》等法律，作为国家整体数据安全的重要组成部分，为保护国家关键数据资源安全和个人隐私信息安全提供了充分的法律依据，同时加强对数据安全管理的指导审查，监督与保障。

2.数据安全先构建数据分类分级底座

首先在宏观层面，我国数据安全领域的法律法规、监管政策与标准规范为行业数据治理安全提供了良好的政策环境保障。同时，随着数据安全法律法规、监管政策等具体要求的进一步明确，也对企业组织开展数据安全保护工作，落实数据安全保护责任提出了更高要求，企业组织通过数据治理安全理论进行数据安全体系的顶层设计，先构建数据分类分级底座，自下而上落地，进而实现生态的数据安全能力的联动，目的是实现数据闭环管控。

其次在微观层面，数据治理安全能力建设围绕覆盖数据全生命周期和使用场景的数据治理安全理论进行。从决策到技术，从制度到工具，从组织架构到安全能力通盘考量，实现数据的“进不来，拿不走，看不懂，改不了，跑不掉”闭环管控，强大的数据治理安全平台能力支撑是数据治理安全理论落地保障，技术的创新和演进是数据分类分级落地的坚实基础和措施。

根据《GB/T37988-2019信息安全技术数据安全能力成熟度模型》国家标准，数据的生命周期分为采集、传输、存储、处理、交换和销毁六个阶段。

由于各领域数据在数据全生命周期的不同阶段面临不同程度安全风险。因此，通过融合这些数据安全能力，端到端系统地对数据全生命周期的安全进行保护，实现数据全生命周期安全防护，数据安全建设采用数据生产、传输、存储、流转、使用、共享、销毁等环节防护机制和监控手段。

图1. 数据安全的五大目标

最后，构建基于数据治理安全理论的数据分类分级底座。在业务数据分类分级过程中，数据分类分级是实现数据治理安全基础手段与根本途径，满足业务涉及有关国家法律法规及行业主管部门规定，平衡精细化管理与自下而上实践落地，匹配企业自身业务发展的需求。另外，数据分类分级规则应避免过于复杂，以保证其在分类分级过程中的可行性。

3.数据安全能力联动设计

通常情况下，数据在全生命周期中的访问、使用、计算、提供等过程难以做到精细粒度的动态安全防护，尤其是对于特定类型数据和高敏感数据满足“专数专用”、“高敏高保”等更高级别的安全要求，同时兼顾数据安全使用，在保障数据安全前提下促进数据应用、挖掘数据价值、助力业务发展，防止数据未授权访问、违规存储和扩散、过度输出、恶意爬取等数据泄露和滥用的行为。

图2. 数据治理安全建设两个阶段

因此，数据治理安全建设分为两个阶段：第一阶段建立数据基座。通过数据资产化自动发现和分类分级，业务分类、安全分级支撑基座建设。第二阶段安全能力联动。API+生态安全能力联动，建立数据安全闭环能力，实现数据全生命周期的安全。

第一阶段是以数据分类分级为基础，实现业务维度的分类，安全维度的分级，建立数据基座，满足数据安全建设，数据基座同时具有支撑业务治理能力。AI引擎可以对更加复杂的上下文进行分析提升了数据分类分级的精准程度，并且可以支持自动生成多种法律法规的合规报告，提升了数据治理安全建设的效率；在数据维度进行多任务并行处理，利用机器学习+语义分析生成训练模型，提高数据分类速度和精度，具备产品能力+行业知识图谱能力的数据治理安全平台能够综合展示数据特性及变化趋势。

图3. 数据分类分级基座

第二阶段是通过API 安全+生态数据安全能力联动，建立数据治理安全闭环能力，从而真正实现数据全生命周期安全。数据安全能力联动采用SOAR安全编排，当发现安全风险时生成针对性的安全策略，并将策略下发到对应的API 安全网关，接收策略并响应执行，形成平台与API安全接口之间的安全策略调用。通过日志审计监测提供日常风险检测，及时预警，对于突发性数据安全危害事件，自动触发安全预警并及时应急响应。

综上，企业组织需在战略层面高度重视数据安全技术在数据治理安全领域的破局能力，将数据安全技术作为支撑数据治理安全实施的关键环节，进行科学规划、持续投入和资源保障，量化数据治理安全建设的资金投入、技术人员占比等关键评价指标，推动企业组织数据治理安全能力的快速发展和持续更新。

图4. 数据安全能力联动

4.数据安全能力联动实践

企业组织的业务需求是随着市场环境不断变化，数据安全技术手段也在不断革新，因此数据安全能力建设不是一劳永逸、一蹴而就的，通过采用数据闭环循环的飞轮迭代模式，实现数据安全能力联动安全能力模块，从而匹配业务数据实际需求，具体的安全能力模块如下：

1.密码服务模块。通过标准API接口为业务应用加密/解密、签名/验签、杂凑运算、消息鉴别码的产生和验证等通用密码服务，应用根据自身的业务流程和功能，选择对应的接口进行调用。密码服务模块包括：签名验签、时间戳、电子印章、安全认证、加密存储等功能。

2.安全日志模块。结合安全合规策略，对数据合规风险进行更全面的评估，判断数据是否已经根据特定合规的要求得到了有效的保护。对于存在风险的数据，可以结合检测和响应的能力进行修复，进一步对数据访问、流动、共享进行梳理和分析，形成数据访问、传输和共享的流图。

3.访问控制模块。针对用户对数据安全访问服务的多样性，结合数据生命周期访问需求和特点，采用基于角色访问控制或者基于属性访问控制等方案来实现“最小权限，按需使用”，对数据有效管控。

4.网络传输模块。采用国密数字证书SSL VPN，保证端到端传输安全，保证传输信息完整性、真实性及机密性；安全区域边界方面，验证接入者证书有效性，实现网络接入与访问控制；应用安全支撑方面，作为应用代理，联动信任服务平台，验证终端用户数字证书的有效性、合法性，并进行鉴权与访问控制，保证用户资源身份可信、业务可控、行为不可否认。

5.文件流转模块。在零信任安全前提下，通过集群存储所具备的多副本、分布式密钥管理、存储层加密等技术，实现“建-存-管-用”数据完整生命周期内的访问及使用，管控在授信范围内的文件安全存储，保障数据存储层安全可靠。

6.编排（SOAR）模块。采用可视化编排快速构建安全处置响应的流程，快速调试、优化流程，打磨出优质的事件处置SOP，支持多种安全能力接入方式，包括SDK方式、SNMP、SOAP接口方式、RESTFUL、自动化脚本语言等方式，可适配防火墙、漏洞扫描类产品等平台类产品。

7.API安全网关模块。应用接口（API）级别的细粒度数据访问控制机制，具备对敏感数据识别，数据脱敏，数字水印，数据安全动态防护，安全日志审计与风险识别，态势分析等数据安全功能，不仅能够企业组织提升数据安全运营能力，阻止敏感数据的泄漏，而且满足API应用安全合规要求。

8.数据脱敏/加密模块。针对敏感数据进行数据漂白、变形、遮盖等脱敏处理，避免敏感信息泄漏，脱敏后的输出数据能够保持数据的一致性和业务的关联性。脱敏规则控制可细化到应用用户级别，根据不同的应用用户身份、不同业务模块对敏感数据可见度与仿真度的多种需求，进行脱敏规则自定义配置，解决复杂环境下对敏感数据使用管控需求。

9.数据可信流通模块。在保证数据提供方不泄露原始数据的前提下，对数据进行分析计算，保障数据以“可用不可见”的方式进行安全流通，能够满足广泛用户群体保护多方数据隐私且实现协同计算的基本需求，促进数据共享使用。

10.安全存储备份模块。通过统一平台实现用户业务系统对结构化、半结构化、非结构化多种数据类型存储需求，提供文件、块、对象服务能力；实现用户日益增长的复合数据存储，海量高效、架构灵活、动态扩展、软硬解耦，以及实现对云计算生态的无缝支持。

数据安全能力联动是为了更好地防范数据安全风险，切实做好数据分级保护，对数据梳理、数据血缘分析、数据流转和跨境数据监测、权限控制、数据保护、安全审计、追踪溯源等综合应用的技术保障，持续提升数据的全生命周期安全能力水平，使数据治理安全建设融入安全基因，推动企业组织数据安全能力优化。

5.推动企业组织数据安全能力优化

虽然，数据安全技术发展与演进能为数据治理安全问题的解决带来新的思路，但面对持续变化的数据安全形势与要求，在管理制度层面需要业务人员、数据安全人才积极为数据治理安全建设献言献策，进而才能促使数据治理安全建设在实践中日趋成熟；在技术平台方面借鉴 DevSecOps 软件开发的理念，促进数据安全运营和业务部门之间的沟通、协作与整合，共同确保企业组织数据安全能力持续、健康地为企业组织的数据治理安全建设服务。

建议参考霍因科技在数据治理安全领域的成果，复用数据闭环管控的措施，以数据安全监测结果和数据安全评估报告为依据，通过数据治理安全环节的串联、互补、联动与反馈，打造多种安全能力融合，对自身的数据治理安全流程不断改进，最终促进企业组织数据治理安全能力的持续优化。

图5. 数据安全能力持续优化