付蓉潔

數(shù)據(jù)治理或者數(shù)據(jù)安全概念，對于大多數(shù)IT和安全從業(yè)者來說，認(rèn)知度比較高，數(shù)據(jù)安全治理，作為數(shù)據(jù)治理很重要的一部分，對于擁有重要數(shù)據(jù)資產(chǎn)的政府部門或企業(yè)，對于數(shù)據(jù)資產(chǎn)的保護(hù)，涉及到數(shù)據(jù)安全治理方面，或多或少都有實(shí)踐，只是尚未體系化、標(biāo)準(zhǔn)化。在國外，Microsoft推出的DGPC方案（Data Governance for Privacy Confidentiality and Compliance縮寫），就是專門強(qiáng)調(diào)隱私、保護(hù)與合規(guī)的數(shù)據(jù)治理技術(shù)框架;Gartner2015年提出了數(shù)據(jù)安全治理這一概念和相應(yīng)的原則與框架，2017年Gartner全球安全大會(huì)中，多位分析師在數(shù)據(jù)安全、信息安全治理的相關(guān)研究報(bào)告中，多次提及并強(qiáng)調(diào)，認(rèn)為數(shù)據(jù)安全治理已成為了數(shù)據(jù)安全中的 “風(fēng)暴之眼”，2018年，Gartner首次專門推出研究報(bào)告《如何使用數(shù)據(jù)安全治理》，以此為CDO、CSO、CISO提供數(shù)據(jù)安全價(jià)值。本文旨在系統(tǒng)化針對數(shù)據(jù)安全治理的概念、組織、技術(shù)進(jìn)行介紹。

圖1 KVB Research 在big data security 上的市場預(yù)測

隨著數(shù)據(jù)安全的重要度提升，用戶投資在增大，據(jù)KVB Research 2017年大數(shù)據(jù)安全報(bào)告預(yù)測，大數(shù)據(jù)安全2017年全球投資達(dá)到102億美元，并且以17%的年復(fù)合增長率擴(kuò)大，到2023年將達(dá)到309億美元，即2000億人民幣。

在我國，隨著網(wǎng)絡(luò)安全法的出臺(tái)，數(shù)據(jù)資產(chǎn)價(jià)值得到確認(rèn)，政府機(jī)構(gòu)和企業(yè)在這個(gè)方向的投資也在加大，以數(shù)據(jù)審計(jì)、脫敏和加密為目標(biāo)的數(shù)據(jù)安全投資正在成為采購的熱點(diǎn)。

數(shù)據(jù)安全治理的思路，將數(shù)據(jù)安全技術(shù)與數(shù)據(jù)安全管理融合在一起，綜合業(yè)務(wù)、安全、網(wǎng)絡(luò)等多部門多角色的訴求，總結(jié)歸納為系統(tǒng)化的思路和方法。

一、數(shù)據(jù)安全治理基本理念

關(guān)于數(shù)據(jù)安全治理原則與框架，Gartner對此進(jìn)行專屬領(lǐng)域的研究，Microsoft從數(shù)據(jù)隱私合規(guī)角度也曾向市場提出隱私、保密和合規(guī)性的數(shù)據(jù)治理方案。從國際視角對此理解的基礎(chǔ)上，我國也提出了數(shù)據(jù)安全治理理念與技術(shù)路線，更有效推動(dòng)實(shí)現(xiàn)該理念在國內(nèi)的執(zhí)行落地。

圖2 數(shù)據(jù)安全治理理念框架

（一）數(shù)據(jù)安全治理的愿景?

在這里， 首先要強(qiáng)調(diào)的是數(shù)據(jù)安全治理的目標(biāo)是“數(shù)據(jù)安全使用”，我們不談脫離了“使用”的安全，數(shù)據(jù)存在的目的就是為了使用，如果不是基于這個(gè)前提而談安全，最終可能無法落地或者即使落地也會(huì)差強(qiáng)人意。數(shù)據(jù)安全治理是以“讓數(shù)據(jù)使用更安全”為目的的安全體系構(gòu)建的方法論，核心內(nèi)容包括：

滿足數(shù)據(jù)安全保護(hù)、合規(guī)性、敏感數(shù)據(jù)管理三個(gè)需求目標(biāo);

核心理念包括：分級(jí)分類、角色授權(quán)、場景化安全;

數(shù)據(jù)安全治理的建設(shè)步驟包括：組織構(gòu)建、資產(chǎn)梳理、策略制定、過程控制、行為稽核和持續(xù)改善;

核心實(shí)現(xiàn)框架為數(shù)據(jù)安全人員組織、數(shù)據(jù)安全使用的策略和流程、數(shù)據(jù)安全技術(shù)支撐三大部分。

（二）數(shù)據(jù)安全治理的核心理念

數(shù)據(jù)安全治理的核心內(nèi)容，首先是來自對數(shù)據(jù)的有效理解和分析，對數(shù)據(jù)進(jìn)行不同類別和密級(jí)的劃分;根據(jù)數(shù)據(jù)的類別和密級(jí)制定不同的管理和使用原則， 盡可能對數(shù)據(jù)做到有差別和針對性的防護(hù)，實(shí)現(xiàn)在適當(dāng)安全保護(hù)下的數(shù)據(jù)自由流動(dòng)。

在數(shù)據(jù)分級(jí)和分類后，重要的是要描述數(shù)據(jù)的特征，以及這些數(shù)據(jù)在系統(tǒng)內(nèi)的分布，了解這些數(shù)據(jù)在被誰訪問，這些人是如何使用和訪問數(shù)據(jù)的，這就需要完整的數(shù)據(jù)梳理過程。

在數(shù)據(jù)有效梳理的基礎(chǔ)上，我們需要制定出針對不同數(shù)據(jù)、不同使用者的管理控制措施，數(shù)據(jù)的管控包含數(shù)據(jù)的收集、存儲(chǔ)、使用、分發(fā)和銷毀。除了數(shù)據(jù)管控，我們還需要有效地對數(shù)據(jù)的訪問行為進(jìn)行日志記錄，對收集的日志記錄進(jìn)行定期地合規(guī)性分析和風(fēng)險(xiǎn)分析。

（三）數(shù)據(jù)安全治理的需求目標(biāo)?

圍繞“數(shù)據(jù)安全使用”的愿景，數(shù)據(jù)安全治理覆蓋了安全防護(hù)、敏感信息管理、合規(guī)三大目標(biāo);這三個(gè)目標(biāo)比我們過去以防黑客攻擊和滿足合規(guī)性兩大安全目標(biāo)，更為全面和完善。經(jīng)過二十多年信息化和互聯(lián)網(wǎng)經(jīng)濟(jì)的發(fā)展，數(shù)據(jù)成為繼現(xiàn)金和技術(shù)之后又一核心價(jià)值資產(chǎn);數(shù)據(jù)黑產(chǎn)在過去十年里蓬勃發(fā)展，讓個(gè)人、企業(yè)和國家均面臨著巨大威脅;只有合理地處理好數(shù)據(jù)資產(chǎn)的使用與安全，企業(yè)與國家才能在新的數(shù)據(jù)時(shí)代穩(wěn)健而高速發(fā)展。對于敏感數(shù)據(jù)的安全管理和使用，是數(shù)據(jù)安全治理的核心主題。

（四）數(shù)據(jù)安全治理與傳統(tǒng)安全概念的差異?

為了更加有效地理解數(shù)據(jù)安全治理概念與傳統(tǒng)數(shù)據(jù)安全的差異，我們與傳統(tǒng)安全理念進(jìn)行一個(gè)比較（詳見表1）。

表1 數(shù)據(jù)安全治理與傳統(tǒng)數(shù)據(jù)安全的差異對比

二、數(shù)據(jù)安全治理的組織建設(shè)

數(shù)據(jù)安全治理首先要成立專門的數(shù)據(jù)安全治理機(jī)構(gòu)，以明確數(shù)據(jù)安全治理的政策、落實(shí)和監(jiān)督由誰長期負(fù)責(zé)，以確保數(shù)據(jù)安全治理的有效落實(shí)。（詳見圖三）

圖3 某運(yùn)營商的數(shù)據(jù)安全治理的相關(guān)組織和角色結(jié)構(gòu)圖

三、數(shù)據(jù)安全治理技術(shù)支撐框架

（一）數(shù)據(jù)安全治理的技術(shù)挑戰(zhàn)

實(shí)施數(shù)據(jù)安全治理的組織，一般都具有較為發(fā)達(dá)和完善的信息化水平，數(shù)據(jù)資產(chǎn)龐大，涉及的數(shù)據(jù)使用方式多樣化，數(shù)據(jù)使用角色繁雜，數(shù)據(jù)共享和分析的需求剛性，要滿足數(shù)據(jù)有效使用的同時(shí)保證數(shù)據(jù)使用的安全性，需要極強(qiáng)的技術(shù)支撐。

數(shù)據(jù)安全治理面臨數(shù)據(jù)狀況梳理、敏感數(shù)據(jù)訪問與管控、數(shù)據(jù)治理稽核三大挑戰(zhàn)。

（二）數(shù)據(jù)安全治理的技術(shù)支撐

1.數(shù)據(jù)資產(chǎn)梳理的技術(shù)支撐

數(shù)據(jù)資產(chǎn)梳理有效地解決企業(yè)對資產(chǎn)安全狀況摸底及資產(chǎn)管理工作，提高工作效率，保證了資產(chǎn)梳理工作質(zhì)量。合規(guī)合理的梳理方案，能做到對風(fēng)險(xiǎn)預(yù)估和異常行為評測，很大程度上避免核心數(shù)據(jù)遭破壞或泄露的安全事件。

1）靜態(tài)梳理技術(shù)

2）動(dòng)態(tài)梳理技術(shù)

3）數(shù)據(jù)狀況的可視化呈現(xiàn)技術(shù)

4）數(shù)據(jù)資產(chǎn)存儲(chǔ)系統(tǒng)的安全現(xiàn)狀評估

2.數(shù)據(jù)使用安全控制

數(shù)據(jù)在使用過程中，按照數(shù)據(jù)流動(dòng)性以及使用需求劃分，將會(huì)面臨如下使用場景：

· 通過業(yè)務(wù)系統(tǒng)訪問數(shù)據(jù)

· 在數(shù)據(jù)庫運(yùn)維時(shí)調(diào)整數(shù)據(jù)

· 開發(fā)測試時(shí)使用數(shù)據(jù)

· BI分析時(shí)使用數(shù)據(jù)

· 面向外界分發(fā)數(shù)據(jù)

· 內(nèi)部高權(quán)限人員使用數(shù)據(jù)

在數(shù)據(jù)使用的各個(gè)環(huán)節(jié)中，需要通過技術(shù)手段有效規(guī)避各個(gè)場景下的安全風(fēng)險(xiǎn)：

①業(yè)務(wù)系統(tǒng)數(shù)據(jù)訪問安全管控

通過虛擬補(bǔ)丁技術(shù)、SQL注入防護(hù)技術(shù)等，實(shí)時(shí)、動(dòng)態(tài)監(jiān)控?cái)?shù)據(jù)庫訪問行為，一旦發(fā)現(xiàn)數(shù)據(jù)庫攻擊特性的行為，將精確攔截，確保業(yè)務(wù)系統(tǒng)數(shù)據(jù)訪問安全性。

②數(shù)據(jù)安全運(yùn)維管控技術(shù)

通過建立數(shù)據(jù)庫運(yùn)維行為流程化管理機(jī)制，對數(shù)據(jù)庫運(yùn)維行為提供事前審批、事中控制、事后審計(jì)、定期報(bào)表等功能，將審批、控制和追責(zé)有效結(jié)合，避免內(nèi)部運(yùn)維人員的惡意操作和誤操作行為，確保高效審批及準(zhǔn)確執(zhí)行。

③開發(fā)測試環(huán)境數(shù)據(jù)安全使用

通過建立數(shù)據(jù)脫敏機(jī)制，對發(fā)放到開發(fā)測試環(huán)境的生產(chǎn)數(shù)據(jù)預(yù)先進(jìn)行脫敏處理，確保經(jīng)過脫敏后的數(shù)據(jù)不再帶有敏感信息，且數(shù)據(jù)面向開發(fā)測試人員可用。

④BI分析數(shù)據(jù)安全管控

在BI分析場景下，可逆脫敏技術(shù)必不可少，可以使脫敏數(shù)據(jù)得以還原為原始數(shù)據(jù)，而當(dāng)分析師訪問數(shù)據(jù)時(shí)，能夠判斷分析師的身份，以此為根據(jù)返回不同程度遮蓋的數(shù)據(jù)，這需要使用動(dòng)態(tài)脫敏技術(shù)。

⑤數(shù)據(jù)對外分發(fā)管控

通過建立數(shù)據(jù)分發(fā)水印機(jī)制，對于發(fā)布到外界的數(shù)據(jù)預(yù)先進(jìn)行水印處理，在水印中植入數(shù)據(jù)接收者的相關(guān)信息，而植入后帶水印的數(shù)據(jù)具備安全性、透明性、溯源能力、低錯(cuò)誤率。一旦發(fā)現(xiàn)數(shù)據(jù)泄露，通過提取泄露的數(shù)據(jù)樣本，做水印信息的提取分析，追溯泄密源頭。

⑥數(shù)據(jù)內(nèi)部存儲(chǔ)安全

通過建立數(shù)據(jù)加密機(jī)制，將重要數(shù)據(jù)在數(shù)據(jù)庫中進(jìn)行加密方式存儲(chǔ)，無論受到外部攻擊導(dǎo)致“拖庫”，還是內(nèi)部人員惡意攜帶數(shù)據(jù)文件，對數(shù)據(jù)庫指定列進(jìn)行加密，保證敏感數(shù)據(jù)以密文形式存儲(chǔ)，以實(shí)現(xiàn)存儲(chǔ)層的安全加固。

3.數(shù)據(jù)安全審計(jì)與稽核

數(shù)據(jù)安全稽核是為保障數(shù)據(jù)安全治理的策略和規(guī)范被有效執(zhí)行和落地，以確?？焖侔l(fā)現(xiàn)潛在的風(fēng)險(xiǎn)和行為，從而明確防護(hù)方向，進(jìn)而調(diào)整防護(hù)體系，優(yōu)化防御策略，補(bǔ)足防御薄弱點(diǎn)，使防護(hù)體系具備動(dòng)態(tài)適應(yīng)能力，真正實(shí)現(xiàn)數(shù)據(jù)安全防護(hù)。

數(shù)據(jù)的安全審計(jì)和稽核機(jī)制由四個(gè)環(huán)節(jié)組成：行為審計(jì)與分析、權(quán)限變化監(jiān)控、異常行為分析、建立安全基線。

四、數(shù)據(jù)安全治理發(fā)展展望

數(shù)據(jù)安全治理可有效幫助具有中大型數(shù)據(jù)中心、數(shù)據(jù)向云端遷移的轉(zhuǎn)型組織、數(shù)據(jù)高密度行業(yè)的政府單位或企業(yè)能夠建立一個(gè)持續(xù)優(yōu)化改進(jìn)的、盡可能保障數(shù)據(jù)安全使用的數(shù)據(jù)安全體系。

在今天，國內(nèi)以運(yùn)營商、金融行業(yè)、部分政府客戶為代表的高端用戶群體當(dāng)中，自發(fā)或自覺的在采用類似的方法論進(jìn)行著數(shù)據(jù)安全體系建設(shè)，Gartner預(yù)測2021年，將有超過30%的企業(yè)將開始實(shí)施執(zhí)行數(shù)據(jù)安全治理框架。

數(shù)據(jù)安全治理產(chǎn)業(yè)，大體可以分為大型數(shù)據(jù)中心用戶、安全治理咨詢服務(wù)商、技術(shù)產(chǎn)品 供應(yīng)商、技術(shù)方案提供商;當(dāng)前我國的產(chǎn)業(yè)鏈環(huán)境正在形成，通過產(chǎn)業(yè)鏈的逐漸完善，將為數(shù)據(jù)安全治理的落地提供保障。數(shù)據(jù)安全治理必將最大優(yōu)勢的發(fā)揮數(shù)據(jù)使用安全的作用，降低業(yè)務(wù)風(fēng)險(xiǎn)，推動(dòng)IT治理變革。