吳繼英，張一凡，熊書明

（1.江蘇大學財經(jīng)學院；2.江蘇大學計算機科學與通信工程學院，江蘇鎮(zhèn)江 212013）

黨的十九屆五中全會提出要加快數(shù)字化發(fā)展、堅定不移地建設(shè)數(shù)字中國，習近平總書記更是多次做出重要指示，強調(diào)要推進大數(shù)據(jù)同實體經(jīng)濟深度融合，做大做強數(shù)字經(jīng)濟。大數(shù)據(jù)作為數(shù)字經(jīng)濟時代的新引擎，在企業(yè)發(fā)展過程中發(fā)揮著重要作用，但企業(yè)間技術(shù)和管理水平參差不齊，使得企業(yè)大數(shù)據(jù)面臨諸多安全挑戰(zhàn)，比如數(shù)據(jù)易受攻擊、企業(yè)信息或用戶隱私泄露等問題，嚴重破壞了數(shù)字經(jīng)濟的發(fā)展環(huán)境。2020 年9 月8 日，我國在“抓住數(shù)字機遇，共謀合作發(fā)展”國際研討會高級別會議上提出《全球數(shù)據(jù)安全倡議》，呼吁全球信息技術(shù)企業(yè)支持該倡議、保護數(shù)據(jù)安全。維護企業(yè)大數(shù)據(jù)安全是保障企業(yè)與用戶共同利益的有效手段，通過開展科學系統(tǒng)的安全評價，動態(tài)監(jiān)測企業(yè)大數(shù)據(jù)安全現(xiàn)狀、及時發(fā)現(xiàn)數(shù)據(jù)安全隱患并加以改善，針對性提高企業(yè)大數(shù)據(jù)安全。但目前我國尚未形成系統(tǒng)、通用的數(shù)據(jù)安全評估體系［1］，亟需開展數(shù)據(jù)安全評價指標研究［2］。本文根據(jù)企業(yè)大數(shù)據(jù)安全特征，試圖探索SHEL（Software-Hardware-Environment-Live，軟件-硬件-環(huán)境-人）模型在指標體系構(gòu)建方面的應(yīng)用，據(jù)此構(gòu)建我國企業(yè)大數(shù)據(jù)安全評價指標體系，為企業(yè)展開大數(shù)據(jù)安全管理與評價提供技術(shù)框架，為學者進行大數(shù)據(jù)安全評價研究提供相關(guān)參考。

1 文獻綜述

大數(shù)據(jù)時代各國政府均十分重視數(shù)據(jù)安全管理，出臺的相關(guān)文件已成為各行業(yè)制定數(shù)據(jù)安全規(guī)范的主要參考標準。美國國家標準與技術(shù)研究院（National Institute of Standards and Technology，簡稱NIST）制定了《NIST 大數(shù)據(jù)互操作性框架》，從定義、操作、安全及隱私等方面探討數(shù)據(jù)安全控制管理的具體內(nèi)容［3］。我國為加速推進大數(shù)據(jù)安全標準研究與管理，國家信息安全標準化技術(shù)委員會相繼發(fā)布了《大數(shù)據(jù)安全標準化白皮書》2017、2018 版，2019 年制定的《信息安全技術(shù) 大數(shù)據(jù)安全管理指南》（GB/T 37973—2019）從大數(shù)據(jù)安全需求、大數(shù)據(jù)安全要求、大數(shù)據(jù)安全風險等角度勾畫我國大數(shù)據(jù)安全管理整體輪廓，以供各類組織展開數(shù)據(jù)安全管理或評估參考［4］。

近年來，大數(shù)據(jù)安全問題在學術(shù)界也引發(fā)了大量的思考和討論。胡坤等［5］認為互聯(lián)網(wǎng)、電信、金融、醫(yī)療、政府等不同行業(yè)組織均有不同程度的大數(shù)據(jù)安全需求，主要涉及數(shù)據(jù)保密、隱私保護、數(shù)據(jù)的產(chǎn)生、存儲和分析等系列安全問題。唐彬等［6］指出金融業(yè)存在的大數(shù)據(jù)安全問題為隱私泄露風險過大、防御技術(shù)不當以及平臺安全防護欠缺，解決這些大數(shù)據(jù)安全問題可以通過數(shù)據(jù)安全防范技術(shù)、數(shù)據(jù)分析技術(shù)、隱私保護技術(shù)等技術(shù)策略［7］。鑒于企業(yè)的市場主體作用，眾多學者圍繞企業(yè)大數(shù)據(jù)應(yīng)用及安全問題展開研究，指出數(shù)據(jù)管理是企業(yè)、行業(yè)或政府成功的關(guān)鍵［8］。Rehman 等［9］認為大數(shù)據(jù)是企業(yè)創(chuàng)造價值的重要工具，也是實現(xiàn)企業(yè)可持續(xù)發(fā)展的重要因素，可通過保護客戶數(shù)據(jù)安全、數(shù)據(jù)安全共享等方式加強企業(yè)和顧客之間的信任。此外，大數(shù)據(jù)對企業(yè)的戰(zhàn)略決策、運營管理及商業(yè)模式也都產(chǎn)生巨大影響［10］。Tallon［11］提出大數(shù)據(jù)時代企業(yè)需要進行大數(shù)據(jù)管理，具體指大數(shù)據(jù)風險管理、價值管理及成本管理。劉勖釗［12］更進一步表明安全技術(shù)策略只是解決企業(yè)大數(shù)據(jù)安全問題的基礎(chǔ)，為發(fā)揮技術(shù)策略的最大效益，企業(yè)需要制定相應(yīng)的大數(shù)據(jù)安全管理策略。綜合上述觀點，保護企業(yè)大數(shù)據(jù)安全須是安全技術(shù)與安全管理雙管齊下、相得益彰。

建立管理體系是企業(yè)戰(zhàn)略管理的核心方法，為建立健全大數(shù)據(jù)時代企業(yè)信息安全管理體系，可在云平臺基礎(chǔ)上，從物理安全管理、接入安全管理、應(yīng)用安全管理或是基于數(shù)據(jù)安全管理、身份安全管理、人員安全管理等角度構(gòu)建企業(yè)信息安全管理體系［12-13］，其中數(shù)據(jù)管理安全、網(wǎng)絡(luò)系統(tǒng)安全普遍被納入管理體系范圍。王欣亮等［14］基于精準治理理念，從治理主體、數(shù)據(jù)流程、危害處置、動態(tài)保障4 個方面建立精準定位、精準防范、精準識別且精準提升的大數(shù)據(jù)安全治理體系，雖然這些學者沒有直接構(gòu)建指標體系，但實際也為指標體系的搭建確定了基本框架。由于大數(shù)據(jù)系統(tǒng)在數(shù)據(jù)結(jié)構(gòu)、框架結(jié)構(gòu)等方面與傳統(tǒng)信息體系存在差異，因此構(gòu)建通用的大數(shù)據(jù)安全評價指標體系，需要充分考慮大數(shù)據(jù)安全特性，從動態(tài)、靜態(tài)和狀態(tài)類指標進行構(gòu)建［15］，根據(jù)大數(shù)據(jù)安全保障的層次，可以建立包含建設(shè)情況、運行能力、安全態(tài)勢指標的大數(shù)據(jù)安全評價指標體系［16］。但是現(xiàn)有安全管理體系通常是數(shù)據(jù)安全管理范圍的歸納綜合［12-13］，指標體系中也未明確指出各指標的具體使用方法［15-16］，通常難以準確反映現(xiàn)實狀況，進而達不到預(yù)期管理效果。

綜上所述，學者們從各自學科角度出發(fā)圍繞大數(shù)據(jù)安全展開了豐富的研究，但針對大數(shù)據(jù)安全評價框架的研究還處于探索階段，企業(yè)大數(shù)據(jù)安全評價指標方面的研究成果仍然較少，且指標大多是難以度量的定性指標［17］，指標含義不夠明晰，可操作性不強。鑒于此，本文在明確大數(shù)據(jù)安全內(nèi)涵的基礎(chǔ)上，從技術(shù)層、管理層和應(yīng)用層分析企業(yè)大數(shù)據(jù)安全要素，運用SHEL 模型并參考《信息安全技術(shù) 大數(shù)據(jù)安全管理指南》（GB/T 37973—2019）從大數(shù)據(jù)基礎(chǔ)安全、管理安全、應(yīng)用安全維度建立“三維一體”的企業(yè)大數(shù)據(jù)安全評價指標體系，重點闡述指標含義。研究成果對于科學評價企業(yè)大數(shù)據(jù)安全狀況、加強企業(yè)大數(shù)據(jù)管理、推進大數(shù)據(jù)應(yīng)用具有重要意義，也為進一步構(gòu)建企業(yè)大數(shù)據(jù)安全實時監(jiān)測體系奠定有價值的基礎(chǔ)。

2 大數(shù)據(jù)安全內(nèi)涵及要素

2.1 大數(shù)據(jù)安全內(nèi)涵

《大數(shù)據(jù)白皮書（2014）》指出“大數(shù)據(jù)是具有體量大、結(jié)構(gòu)多樣、時效性強等特征的數(shù)據(jù)，是新資源、新工具和新應(yīng)用的綜合體”。從新資源角度看，大數(shù)據(jù)是一種新型資源，與國家管理、經(jīng)濟發(fā)展以及人們的生活息息相關(guān)；新工具是指大數(shù)據(jù)處理需要新型計算技術(shù)和智能算法；新應(yīng)用強調(diào)以大數(shù)據(jù)驅(qū)動創(chuàng)新、輔助決策、發(fā)現(xiàn)知識、優(yōu)化業(yè)務(wù)等［18］?！鞍踩币辉~被廣泛用于生活、生產(chǎn)等各個方面，吳超等［19］根據(jù)安全的外延概念認為安全應(yīng)以人為核心，指人在進行某項活動時，其身心免受外界危害的狀態(tài)。葉曉俊等［2］指出大數(shù)據(jù)安全中安全一詞可有兩層解釋，一是作為名詞，安全是指大數(shù)據(jù)具有可用性、完整性和保密性；二是作為形容詞，安全是指大數(shù)據(jù)應(yīng)用的整個動態(tài)過程中不會遭受外界侵略而造成損失。大數(shù)據(jù)安全涉及計算機技術(shù)、互聯(lián)網(wǎng)技術(shù)、通訊技術(shù)、密碼學以及管理學等眾多學科門類，所以大數(shù)據(jù)安全的界定比較模糊，暫未形成統(tǒng)一定義。本文研究的大數(shù)據(jù)安全是指在各類技術(shù)支持下，使數(shù)據(jù)系統(tǒng)、平臺、業(yè)務(wù)等不受外界侵害、免受內(nèi)界干擾，充分保護大數(shù)據(jù)完整性、保密性及共享性，與此同時保證人們在參與數(shù)據(jù)活動時身、心、財產(chǎn)不受危害，實現(xiàn)數(shù)據(jù)為人服務(wù)的價值。

2.2 企業(yè)大數(shù)據(jù)安全要素

數(shù)據(jù)安全貫穿數(shù)據(jù)采集、存儲、處理、分析、銷毀整個數(shù)據(jù)生命周期，為深入了解企業(yè)大數(shù)據(jù)安全，結(jié)合大數(shù)據(jù)安全內(nèi)涵及大數(shù)據(jù)特征，企業(yè)大數(shù)據(jù)安全涉及的要素可歸納為大數(shù)據(jù)技術(shù)、大數(shù)據(jù)管理和大數(shù)據(jù)應(yīng)用3 個維度，具體見圖1。技術(shù)與管理是大數(shù)據(jù)安全體系內(nèi)相輔相成的有機組成部分［13］，因此在企業(yè)大數(shù)據(jù)安全建設(shè)中，以大數(shù)據(jù)技術(shù)為基礎(chǔ)策略［12］，大數(shù)據(jù)管理為機制屏障，大數(shù)據(jù)應(yīng)用為終極目標，三維要素緊密關(guān)聯(lián)、相互支撐。

圖1 企業(yè)大數(shù)據(jù)安全三維要素

2.2.1 大數(shù)據(jù)技術(shù)安全

近幾年大數(shù)據(jù)飛速發(fā)展，新型數(shù)據(jù)基礎(chǔ)設(shè)施不斷涌現(xiàn)，包括數(shù)據(jù)開放平臺、數(shù)據(jù)中心、云計算、物聯(lián)網(wǎng)、智能終端和APP 應(yīng)用等，這些設(shè)施主要與計算機應(yīng)用及網(wǎng)絡(luò)技術(shù)密切相關(guān)，是企業(yè)發(fā)展大數(shù)據(jù)應(yīng)用的基礎(chǔ)。從大數(shù)據(jù)特征角度考慮，首先企業(yè)數(shù)據(jù)來源甚廣，個人信息數(shù)據(jù)通過各類渠道被企業(yè)獲取，如全球定位系統(tǒng)、瀏覽器搜索、APP 使用權(quán)限等，企業(yè)應(yīng)具備基礎(chǔ)的數(shù)據(jù)安全采集技術(shù)；其次數(shù)據(jù)關(guān)聯(lián)甚廣，數(shù)據(jù)之間關(guān)聯(lián)性較強，通過將匿名化數(shù)據(jù)集與公共數(shù)據(jù)庫進行關(guān)聯(lián)能夠推斷個人身份，數(shù)據(jù)安全風險較高，因此隱私保護技術(shù)也是大數(shù)據(jù)基礎(chǔ)安全技術(shù)。另外與傳統(tǒng)結(jié)構(gòu)化數(shù)據(jù)不同，大數(shù)據(jù)多為非結(jié)構(gòu)化數(shù)據(jù)，例如圖片、音頻、視頻等數(shù)據(jù)資料，數(shù)據(jù)安全存儲技術(shù)需要提高；同時相較于傳統(tǒng)數(shù)據(jù)時代的靜態(tài)集中處理方式，大數(shù)據(jù)的高時效性給數(shù)據(jù)處理帶來了更高的挑戰(zhàn)，數(shù)據(jù)處理方法需要變革以實現(xiàn)大數(shù)據(jù)實時動態(tài)處理分析。

2.2.2 大數(shù)據(jù)管理安全

大數(shù)據(jù)給企業(yè)帶來豐富利益的同時也帶來諸多安全管理挑戰(zhàn)。目前多數(shù)大中型企業(yè)已展開大數(shù)據(jù)應(yīng)用，常通過技術(shù)措施保護大數(shù)據(jù)安全，較容易忽視企業(yè)管理策略，也未形成行業(yè)統(tǒng)一的安全管理規(guī)范，這也是企業(yè)大數(shù)據(jù)容易受到攻擊的主要原因。而企業(yè)管理不規(guī)范常導(dǎo)致以下數(shù)據(jù)問題：一是數(shù)據(jù)丟失、被竊取，現(xiàn)階段企業(yè)數(shù)據(jù)安全隱患中因內(nèi)部員工的疏忽造成數(shù)據(jù)丟失是較為嚴重的問題，調(diào)查顯示近30%的數(shù)據(jù)非法竊取、安全威脅來自內(nèi)部數(shù)據(jù)管理不當；二是數(shù)據(jù)資源浪費，各企業(yè)數(shù)據(jù)資源主要分布在大數(shù)據(jù)團隊的各個部門內(nèi)，若企業(yè)缺乏系統(tǒng)的數(shù)據(jù)管理規(guī)劃，數(shù)據(jù)資源不能充分整合共享，便會形成數(shù)據(jù)壁壘引發(fā)數(shù)據(jù)孤島效應(yīng)，數(shù)據(jù)潛在價值得不到充分的挖掘和利用，導(dǎo)致數(shù)據(jù)資產(chǎn)閑置。

2.2.3 大數(shù)據(jù)應(yīng)用安全

不同行業(yè)對大數(shù)據(jù)的應(yīng)用方式各有不同，一般而言企業(yè)運營大數(shù)據(jù)主要有以下目的：（1）以客戶為中心，展開用戶行為分析、需求分析以此了解已有客戶、定位潛在客戶，從而挖掘企業(yè)商機。（2）以業(yè)務(wù)為中心，分析海量數(shù)據(jù)探索事物發(fā)展規(guī)律并進行發(fā)展預(yù)測，根據(jù)預(yù)測結(jié)果進行業(yè)務(wù)規(guī)劃、制定企業(yè)決策。（3）以管理為中心，企業(yè)管理層可以通過數(shù)據(jù)平臺實時掌握企業(yè)業(yè)績，也可以通過大數(shù)據(jù)系統(tǒng)優(yōu)化工作流程［20］，保證工作高效性。無論何種用途，大數(shù)據(jù)應(yīng)用最重要的是通過數(shù)據(jù)挖掘或文本分析技術(shù)從數(shù)據(jù)中挖取有用的數(shù)據(jù)信息為企業(yè)所用，數(shù)據(jù)挖掘是對數(shù)據(jù)進行深入分析，例如構(gòu)建預(yù)測模型，首先需要從企業(yè)數(shù)據(jù)庫中選擇數(shù)據(jù)子集進行數(shù)據(jù)分析，然后建立預(yù)測模型，最后將預(yù)測模型部署于數(shù)據(jù)庫中，當新數(shù)據(jù)到達時便可快速應(yīng)用，但數(shù)據(jù)的移動或數(shù)據(jù)挖掘引擎的性能原因可能會引發(fā)關(guān)鍵數(shù)據(jù)丟失、隱私數(shù)據(jù)泄露等安全問題，因此未來數(shù)據(jù)分析的趨勢是“In-database analytics”（數(shù)據(jù)庫分析），將數(shù)據(jù)挖掘功能集成到數(shù)據(jù)庫中［8］。對企業(yè)來說，從原始數(shù)據(jù)到數(shù)據(jù)處理、挖掘與應(yīng)用的整個過程中，企業(yè)需要具備相對完善的技術(shù)支持及資金支撐，加強客戶數(shù)據(jù)和業(yè)務(wù)數(shù)據(jù)的保護力度，以此提高大數(shù)據(jù)安全應(yīng)用能力。

3 企業(yè)大數(shù)據(jù)安全評價指標體系設(shè)計

指標體系是綜合評價研究的重要工具，指標體系構(gòu)建是通過系統(tǒng)把握研究內(nèi)容、靈活運用科學理論，將所研究的問題概念化—概念指標化，并提出科學合理的指標權(quán)重?；谇拔钠髽I(yè)大數(shù)據(jù)安全要素的分析，相較于指標體系構(gòu)建常用的PSR“壓力—狀態(tài)—響應(yīng)”模型或是企業(yè)管理中的“六西格瑪”理論，企業(yè)大數(shù)據(jù)安全評價指標體系更適合采用以“人”為核心的SHEL 模型。

3.1 SHEL 模型簡介與應(yīng)用

SHEL 模型最初由英國學者Edwards 教授提出，以人為核心探討“人”在安全事件中的作用，廣泛用于航空安全領(lǐng)域的研究。模型名稱由Software（軟件）、Hardware（硬件）、Environment（環(huán)境）以及 Liveware（人件）的首字母組成［21］，形成模型的4 個界面：人—軟件、人—硬件、人—環(huán)境、人—人件，見圖2。

圖2 SHEL 模型

人—軟件（L-S）：人與工作中各類支持系統(tǒng)之間的關(guān)系，如各類平臺系統(tǒng)、程序文件等。人—硬件（L-H）：人與工作中物理設(shè)備之間的關(guān)系，通常指各種操作設(shè)備、通訊設(shè)施、工具與機械。人—環(huán)境（L-E）：人與工作中環(huán)境之間的關(guān)系，主要包括自然環(huán)境、文化環(huán)境、管理制度、經(jīng)濟環(huán)境等。人—人件（L-L）：在工作中人與人之間的關(guān)系，如團隊成員之間的團結(jié)合作、交接協(xié)調(diào)等［22］。

基于企業(yè)大數(shù)據(jù)技術(shù)安全、管理安全、應(yīng)用安全3 個要素，認為企業(yè)大數(shù)據(jù)安全通常需要建立在硬件設(shè)施安全、軟件系統(tǒng)安全、工作環(huán)境安全、人為安全的基礎(chǔ)上。據(jù)權(quán)威調(diào)查顯示，高于70%的企業(yè)信息安全威脅來自企業(yè)內(nèi)部的管理者或員工［12］，人為疏忽或泄露是最大的安全隱患，同時企業(yè)數(shù)據(jù)的安全防護與管理更是離不開人的作用，“人”成為企業(yè)大數(shù)據(jù)安全建設(shè)的關(guān)鍵。因此，基于SHEL模型將企業(yè)大數(shù)據(jù)安全評價指標初步鎖定在人—軟件、人—硬件、人—環(huán)境、人—人件4 個方面。表1 中，在“人—軟件”界面，企業(yè)大數(shù)據(jù)平臺容納各種用途的系統(tǒng)軟件，為保證大數(shù)據(jù)安全需要使軟件使用安全、系統(tǒng)配置合理，還需要掌握系統(tǒng)的安全技術(shù)，因此在人與軟件界面應(yīng)充分考慮人對系統(tǒng)平臺的管理、技術(shù)的掌握?！叭恕布苯缑嬷?，計算機相關(guān)設(shè)備、網(wǎng)絡(luò)通信線路是企業(yè)大數(shù)據(jù)安全最基礎(chǔ)的硬件設(shè)施，是人在大數(shù)據(jù)安全工作中較為依賴的設(shè)備，硬件設(shè)施的缺陷對數(shù)據(jù)安全工作會產(chǎn)生一定的影響。企業(yè)大數(shù)據(jù)安全的“人—環(huán)境”界面具體包括企業(yè)周邊的工作環(huán)境、內(nèi)部的數(shù)據(jù)安全文化意識以及企業(yè)自身的財力狀況等，這些是影響企業(yè)大數(shù)據(jù)安全和員工行為比較重要的環(huán)境因素，例如，企業(yè)缺乏良好的數(shù)據(jù)安全文化環(huán)境，導(dǎo)致員工的安全意識薄弱，使其不能從根源上意識到數(shù)據(jù)安全對企業(yè)發(fā)展的價值性、風險問題的危害性，又或是企業(yè)缺乏規(guī)范有效的安全管理，均會直接引發(fā)各類數(shù)據(jù)安全問題。在“人—人件”界面，專業(yè)的大數(shù)據(jù)團隊是企業(yè)大數(shù)據(jù)安全的主力軍，團隊內(nèi)部的人員流動速率，團隊成員的任務(wù)交接、合作交流以及員工職責的合理分配是人與人界面的核心。

表1 企業(yè)大數(shù)據(jù)安全的SHEL 模型界面和因素

3.2 指標體系總體框架

在企業(yè)大數(shù)據(jù)安全建設(shè)中，借助科學完整的安全體系指導(dǎo)，才能使企業(yè)技術(shù)策略、管理策略和設(shè)備材料等發(fā)揮各自真正效力?；诒? 中SHEL 模型4 個界面的具體因素，遵循科學性、可操作性等原則遴選企業(yè)大數(shù)據(jù)安全評價指標，將“人—軟件”、“人—硬件”界面的具體因素歸為大數(shù)據(jù)基礎(chǔ)安全指標，根據(jù)“人—環(huán)境”、“人—人件”界面遴選企業(yè)管理、人員流動速率等指標并歸納為大數(shù)據(jù)管理安全指標；考慮到“人”這一因素在企業(yè)大數(shù)據(jù)安全建設(shè)的核心地位，充分識別無心泄露、故意泄露或惡意攻擊等人員行為造成的數(shù)據(jù)泄露風險，以《信息安全技術(shù) 大數(shù)據(jù)安全管理指南》（GB/T 37973—2019）為參考［4］，遵循系統(tǒng)性、完整性等原則遴選大數(shù)據(jù)應(yīng)用安全維度的指標。由此從大數(shù)據(jù)基礎(chǔ)安全、管理安全和應(yīng)用安全3 個維度，系統(tǒng)評價企業(yè)大數(shù)據(jù)安全建設(shè)過程中硬件設(shè)施的完備性、安全管理的有效性、應(yīng)用過程中數(shù)據(jù)隱私的保護強度，最終構(gòu)建了一套由3 個一級指標、8 個二級指標和24 個三級指標組成的“三維一體”企業(yè)大數(shù)據(jù)安全評價指標體系，總體框架見圖3。

圖3 “三維一體”的企業(yè)大數(shù)據(jù)安全評價指標體系總體框架

為能客觀、準確評價企業(yè)大數(shù)據(jù)安全保護狀況，評價指標應(yīng)具有較強的代表性與現(xiàn)實可操作性，因此邀請包括高校企業(yè)管理、信息安全、統(tǒng)計學等相關(guān)領(lǐng)域?qū)＜乙约捌髽I(yè)相關(guān)人員，運用德爾菲法就指標合理性及權(quán)重進行函詢討論，并對指標進行科學定義。根據(jù)指標定義，部分指標可直接獲得量化數(shù)值，例如基礎(chǔ)網(wǎng)絡(luò)運行安全（A22）根據(jù)國家互聯(lián)網(wǎng)應(yīng)急中心的網(wǎng)絡(luò)安全指標進行評價獲得安全指數(shù)，數(shù)據(jù)人員流動速率（B13）選用較為合理且引用較多的參考公式直接計算指標數(shù)值。其他指標如數(shù)據(jù)銷毀（B25）、數(shù)據(jù)匿名化程度（C21）可根據(jù)定義參考李克特量表對指標分級打分賦值，使大數(shù)據(jù)安全評價指標量化過程科學、可操作。綜合專家意見并考慮到3 個一級指標對于評估企業(yè)大數(shù)據(jù)安全幾乎同等重要，對一級指標進行了等權(quán)設(shè)置，二、三級指標權(quán)重見表2，其中三級指標的設(shè)計相對靈活，企業(yè)可以針對自身發(fā)展實際和評價目的，對三級評價指標進行刪減或補充。

3.3 指標體系內(nèi)容

3.3.1 大數(shù)據(jù)基礎(chǔ)安全指標

一級指標大數(shù)據(jù)基礎(chǔ)安全（A）主要通過企業(yè)人力財力保障、物理安全和邏輯安全3 個二級指標體現(xiàn)，三級指標詳見下表2。

表2 “三維一體”的企業(yè)大數(shù)據(jù)安全評價指標體系

（1）人力財力保障指標（A1）。具體指大數(shù)據(jù)資金投入指標（A11）和大數(shù)據(jù)建設(shè)人員比重指標（A12）。大數(shù)據(jù)資金投入包括企業(yè)大數(shù)據(jù)平臺建設(shè)費用、新技術(shù)引進費用、網(wǎng)絡(luò)安全維護費用、大數(shù)據(jù)工作人員工資等方面，A11 從資金投入角度反映企業(yè)對大數(shù)據(jù)建設(shè)的重視程度，資金狀況是區(qū)分企業(yè)能否采用大數(shù)據(jù)新技術(shù)、展開大數(shù)據(jù)創(chuàng)新的重要因素［23］。A12 是大數(shù)據(jù)團隊工作人員占企業(yè)總?cè)藬?shù)的比重，從人員配置的角度反映大數(shù)據(jù)建設(shè)人力資源狀況，數(shù)據(jù)團隊工作人員包括數(shù)據(jù)工程師、數(shù)據(jù)處理技術(shù)人員、數(shù)據(jù)管理人員等。

（2）物理安全指標（A2）。該指標度量企業(yè)大數(shù)據(jù)的物理安全（Safety），也即大數(shù)據(jù)相關(guān)的設(shè)備在物理上是否有損壞，是企業(yè)數(shù)據(jù)保護的基礎(chǔ)。主要從環(huán)境建設(shè)安全（A21）、基礎(chǔ)網(wǎng)絡(luò)運行安全（A22）、大數(shù)據(jù)系統(tǒng)平臺安全（A23）3 個角度進行評價，也是信息管理學科數(shù)據(jù)保護的基本管理范圍。其中A21 通過物理環(huán)境狀況評價大數(shù)據(jù)安全，具體指通過對數(shù)據(jù)進行物理保護使企業(yè)的硬件設(shè)施、通信線路、場地環(huán)境等不受自然災(zāi)害影響、不受人為故意破壞，是所有安全保護的基礎(chǔ)。指標A22 可以通過網(wǎng)絡(luò)安全指數(shù)進行量化，網(wǎng)絡(luò)安全指數(shù)是各國考核網(wǎng)絡(luò)環(huán)境安全狀況的常用指標，安全指數(shù)越高表明基礎(chǔ)網(wǎng)絡(luò)運行環(huán)境越安全［24］，企業(yè)網(wǎng)絡(luò)運行安全主要通過防火墻、入侵檢測、容忍入侵檢測展開網(wǎng)絡(luò)防御保護，使企業(yè)IP 網(wǎng)絡(luò)安全、域名系統(tǒng)安全、網(wǎng)絡(luò)無漏洞。大數(shù)據(jù)平臺是各類系統(tǒng)和程序的運行支撐，指標A23 可以反映企業(yè)大數(shù)據(jù)系統(tǒng)運行狀況，為避免企業(yè)業(yè)務(wù)被干擾或阻斷，數(shù)據(jù)管理員可以使用軟件定期進行大數(shù)據(jù)系統(tǒng)掃描，發(fā)現(xiàn)系統(tǒng)漏洞或病毒及時修補查殺，企業(yè)也可以給應(yīng)用平臺建立相應(yīng)的日志系統(tǒng)，保障數(shù)據(jù)平臺安全。

（3）邏輯安全指標（A3）。數(shù)據(jù)科學理論強調(diào)技術(shù)輔助數(shù)據(jù)發(fā)展，技術(shù)是數(shù)據(jù)安全保護的核心，該指標評價企業(yè)大數(shù)據(jù)邏輯安全（Security），也即企業(yè)是否掌握相應(yīng)技術(shù)以保證大數(shù)據(jù)在采集、傳輸、存儲和處理等過程中安全可控，避免出現(xiàn)未經(jīng)許可、未經(jīng)授權(quán)的訪問行為。其中，指標A31 用來判斷企業(yè)是否能夠以多種方式、不同技術(shù)安全、準確、完整地獲取數(shù)據(jù)，企業(yè)可以借助API、數(shù)據(jù)爬蟲技術(shù)從網(wǎng)絡(luò)采集數(shù)據(jù)，也可通過服務(wù)器日志、傳感器、監(jiān)控或二維碼等服務(wù)器設(shè)施進行數(shù)據(jù)收集［25］，但在此過程中攻擊方可能通過ID 克隆攻擊篡改數(shù)據(jù)或偽造數(shù)據(jù)等方式擾亂數(shù)據(jù)采集。A32 反映企業(yè)數(shù)據(jù)存儲安全能力，大數(shù)據(jù)體量巨大且類型多樣，在存儲時不同類型數(shù)據(jù)選擇恰當?shù)拇鎯Ψ绞绞谴_保大數(shù)據(jù)存儲安全的關(guān)鍵，如非結(jié)構(gòu)化數(shù)據(jù)存儲適用分布式文件系統(tǒng)、無模式半結(jié)構(gòu)化數(shù)據(jù)常存儲于NOSQL數(shù)據(jù)庫、結(jié)構(gòu)化數(shù)據(jù)常保存在分布式并行數(shù)據(jù)庫系統(tǒng)，云存儲也成為現(xiàn)有大數(shù)據(jù)存儲的重點發(fā)展方向。若大數(shù)據(jù)不能安全傳輸共享便無法實現(xiàn)數(shù)據(jù)的整合與增值，但在數(shù)據(jù)傳輸過程中數(shù)據(jù)可能會被攻擊方破壞、攔截甚至泄露［26］，因此數(shù)據(jù)傳輸共享技術(shù)（A33）也是企業(yè)大數(shù)據(jù)安全中至關(guān)重要的一部分，可以在網(wǎng)絡(luò)層、傳輸層及鏈路層采用網(wǎng)絡(luò)傳輸加密技術(shù)或使用安全傳輸層協(xié)議確保數(shù)據(jù)傳輸安全［1］。除此之外，數(shù)據(jù)處理分析技術(shù)（A34）作為大數(shù)據(jù)核心技術(shù)，從數(shù)據(jù)處理能力反映企業(yè)大數(shù)據(jù)安全運行狀況，如何通過技術(shù)處理從海量數(shù)據(jù)中挖掘有價值的信息為企業(yè)所用，是企業(yè)展開大數(shù)據(jù)應(yīng)用的價值體現(xiàn)，常見的數(shù)據(jù)處理分析技術(shù)有可視化分析、數(shù)據(jù)挖掘、預(yù)測分析等［27］。

3.3.2 大數(shù)據(jù)管理安全指標

大數(shù)據(jù)建設(shè)的安全運行離不開完善的企業(yè)管理，是企業(yè)大數(shù)據(jù)安全保護較為核心的一環(huán)。大數(shù)據(jù)管理安全（B）具體從企業(yè)人員管理、企業(yè)數(shù)據(jù)管理以及企業(yè)風險管理3 個管理角度進行評價。

（1）企業(yè)人員管理指標（B1）。大多數(shù)企業(yè)信息安全事件由內(nèi)部人員而非外部攻擊者造成，企業(yè)內(nèi)部因素引發(fā)的信息安全威脅連鎖效應(yīng)比外部因素的安全威脅影響更為嚴重［29］，接觸企業(yè)數(shù)據(jù)信息機密的高層管理人員及數(shù)據(jù)工作人員均是信息泄露的高危人群［12］，因此將B1 作為大數(shù)據(jù)管理安全的第一個指標。首先企業(yè)大數(shù)據(jù)員工的職責分配必須合理明確，B11 反映了企業(yè)各部門及員工數(shù)據(jù)管理范圍及權(quán)限的明確程度，在企業(yè)內(nèi)從管理層到職員層都應(yīng)在職責范圍內(nèi)做好數(shù)據(jù)安全工作，上層制定管理下層依責執(zhí)行，確保企業(yè)數(shù)據(jù)安全管理執(zhí)行效率。B12 指標評價企業(yè)員工的數(shù)據(jù)安全意識，現(xiàn)代戰(zhàn)略管理理論的高階理論指出，在企業(yè)數(shù)字化轉(zhuǎn)型中高層管理者的貢獻發(fā)揮著不可替代的作用，高層管理者必須在企業(yè)信息化進程中提供相關(guān)支持［30］，先前較多研究已經(jīng)表明企業(yè)可以通過安全意識培訓，提高員工的安全意識以此減少企業(yè)信息安全威脅［31］，所以B12 從企業(yè)管理層對員工安全意識培養(yǎng)的支持程度體現(xiàn)，企業(yè)可以建立數(shù)據(jù)安全培訓體系，定期邀請大數(shù)據(jù)專家進行數(shù)據(jù)技術(shù)或數(shù)據(jù)安全培訓，提升員工的職業(yè)素養(yǎng)及數(shù)據(jù)安全威脅的識別能力，逐漸培養(yǎng)員工的數(shù)據(jù)安全意識，使員工充分認識自己在企業(yè)大數(shù)據(jù)安全建設(shè)中的重要性。B13 從企業(yè)數(shù)據(jù)員工流動速率考查數(shù)據(jù)泄露風險，若大數(shù)據(jù)團隊人員流動較快，企業(yè)相關(guān)數(shù)據(jù)信息可能會被離職員工帶走，增加泄露風險，新進員工需要熟悉工作流程和工作方法，不利于數(shù)據(jù)安全工作接管，因此在員工流動較大時，企業(yè)要不斷加強內(nèi)部監(jiān)管，按照數(shù)據(jù)管理流程做好身份驗證、訪問限制、數(shù)據(jù)審計等工作，從企業(yè)內(nèi)部杜絕數(shù)據(jù)泄露行為。

（2）企業(yè)數(shù)據(jù)管理指標（B2）。企業(yè)數(shù)據(jù)管理首先需要完善的數(shù)據(jù)管理政策，制定數(shù)據(jù)管理機制并真正落實實施，指標B21 衡量企業(yè)數(shù)據(jù)管理基礎(chǔ)。數(shù)據(jù)備份管理能夠有效彌補因計算機系統(tǒng)崩潰或網(wǎng)絡(luò)故障造成的數(shù)據(jù)丟失問題，防范于未然。同時，做好訪問記錄及記錄監(jiān)控便于在發(fā)生數(shù)據(jù)泄露問題輔助找到問題源頭，指標B22 和B23 都從容災(zāi)基礎(chǔ)反映企業(yè)大數(shù)據(jù)安全管理能力。企業(yè)數(shù)據(jù)信息包括用戶身份信息、業(yè)務(wù)信息、合作信息以及企業(yè)核心機密，數(shù)據(jù)涉及廣泛、信息類型繁多，分類分級便于數(shù)據(jù)管理，指標B24 評價數(shù)據(jù)安全管理的便捷度。數(shù)據(jù)銷毀（B25）反映了企業(yè)是否具有完善的數(shù)據(jù)刪除機制，數(shù)據(jù)銷毀需要遵守審計原則，建立銷毀策略，保證數(shù)據(jù)銷毀全程詳細記錄：包括操作人員、銷毀時間、銷毀方式以及銷毀內(nèi)容，同時確保數(shù)據(jù)安全銷毀而不是簡單的刪除處理，避免攻擊方通過技術(shù)處理使數(shù)據(jù)復(fù)原。

（3）數(shù)據(jù)風險管理指標（B3）。早在20世紀中期，學術(shù)界便對風險管理進行系統(tǒng)研究，并將其納入企業(yè)管理的范疇［32］，大數(shù)據(jù)安全的影響因素較多且數(shù)據(jù)管理的參與主體較廣，即便企業(yè)擁有系統(tǒng)完整的管理機制和技術(shù)手段，仍難以精準預(yù)測或阻止突發(fā)數(shù)據(jù)安全問題，所以指標B3 側(cè)重于體現(xiàn)企業(yè)數(shù)據(jù)風險管理情況。風險監(jiān)測檢查指標（B31）衡量數(shù)據(jù)安全基礎(chǔ)檢查措施完善程度，通過日常監(jiān)測工作查看數(shù)據(jù)安全管理措施是否合理有效、是否需要更改，也可以開展大數(shù)據(jù)系統(tǒng)平臺監(jiān)測、大數(shù)據(jù)隱私保護評估、網(wǎng)絡(luò)實時安全監(jiān)測等檢查，并記錄檢查結(jié)果，及時發(fā)現(xiàn)隱患及時進行加固。指標B32 評價企業(yè)風險預(yù)警機制完備性，針對可能發(fā)生的大數(shù)據(jù)安全問題，評估各類風險發(fā)生概率以及可能造成的損失，并制定相應(yīng)的彌補措施形成一套完整的風險預(yù)警機制，有效應(yīng)對突發(fā)狀況，降低企業(yè)數(shù)據(jù)安全風險。

3.3.3 大數(shù)據(jù)應(yīng)用安全指標

大數(shù)據(jù)應(yīng)用是將數(shù)據(jù)提取為具有價值性信息的過程，包括處理分析、挖掘預(yù)測等環(huán)節(jié)，常用的基礎(chǔ)數(shù)據(jù)多為業(yè)務(wù)數(shù)據(jù)和客戶數(shù)據(jù)，一旦泄露危害性極高，企業(yè)需要充分做好數(shù)據(jù)隱私保護工作。鑒于此，從數(shù)據(jù)脫敏（C1）和隱私保護程度（C2）兩方面衡量企業(yè)大數(shù)據(jù)應(yīng)用安全（C），具體評價應(yīng)用過程中的隱私保護狀況。

（1）數(shù)據(jù)脫敏保護（C1）。數(shù)據(jù)脫敏處理是對數(shù)據(jù)信息進行模糊化處理，避免信息泄露。常用的據(jù)脫敏方式有數(shù)據(jù)替換、數(shù)據(jù)加密、數(shù)據(jù)偏移等方法［1］，其中數(shù)據(jù)加密使用較為廣泛，脫敏方法多樣性指標（C11）從企業(yè)掌握數(shù)據(jù)脫敏方法的數(shù)量評價企業(yè)數(shù)據(jù)脫敏保護能力。另外，等級保護也是一種有效的數(shù)據(jù)保護技術(shù)，企業(yè)每天產(chǎn)生的不同類型數(shù)據(jù)具有不同價值意義，根據(jù)保護對象按不同級別分類并進行等級脫敏保護，能夠有效降低保護成本、保護核心數(shù)據(jù)，指標C12 體現(xiàn)了企業(yè)數(shù)據(jù)脫敏管理責任度。

（2）隱私保護程度（C2）。指標C21 用來評價由匿名化數(shù)據(jù)推測出原始數(shù)據(jù)的難易程度，為避免企業(yè)敏感信息惡意泄露或者個人數(shù)據(jù)被盜取使用，企業(yè)會對數(shù)據(jù)進行匿名化處理，數(shù)據(jù)匿名化程度越高，用戶數(shù)據(jù)信息和企業(yè)內(nèi)部信息越不容易被泄露。數(shù)據(jù)泄露風險度（C22）反映出特定數(shù)據(jù)信息與個人關(guān)聯(lián)的風險度，可以用從處理后的數(shù)據(jù)集發(fā)現(xiàn)敏感信息的百分比表示［7］，數(shù)據(jù)泄露風險度越高，企業(yè)的隱私保護程度越低，若個人信息、商業(yè)機密或企業(yè)內(nèi)部數(shù)據(jù)因保護不當被泄露，不僅會對客戶造成危害，還會對企業(yè)造成不可估量損失，嚴重影響企業(yè)大數(shù)據(jù)安全建設(shè)。指標C23 用來衡量企業(yè)數(shù)據(jù)不被隨意訪問的程度，企業(yè)數(shù)據(jù)管理平臺可采用數(shù)據(jù)訪問身份驗證、粗粒度訪問控制、細粒度數(shù)據(jù)授權(quán)、屬性基等多種訪問限制，或引用合適的訪問控制引擎或借助第三方數(shù)據(jù)加固安全組件［2］，保證數(shù)據(jù)管理平臺不被輕易進入、隨意訪問。

4 總結(jié)

數(shù)字經(jīng)濟時代國家和企業(yè)都十分重視數(shù)據(jù)安全問題，企業(yè)大數(shù)據(jù)安全是一個復(fù)雜、動態(tài)的系統(tǒng)，也是一項極具挑戰(zhàn)性的任務(wù)。建立大數(shù)據(jù)安全評價指標體系有助于企業(yè)集團及社會大眾系統(tǒng)了解企業(yè)數(shù)據(jù)安全評價方向、為企業(yè)數(shù)據(jù)安全防御提供理論參考。首先在文獻梳理的基礎(chǔ)上界定大數(shù)據(jù)安全內(nèi)涵，明確企業(yè)大數(shù)據(jù)安全的要素包括技術(shù)安全、管理安全及應(yīng)用安全。本文的主要貢獻在于拓展了SHEL 模型在指標體系構(gòu)建領(lǐng)域的應(yīng)用，基于該模型將企業(yè)大數(shù)據(jù)安全評價指標的選擇范圍初步控制在人—軟件、人—硬件、人—環(huán)境、人—人件4 個界面，強調(diào)了“人”的因素在企業(yè)大數(shù)據(jù)安全建設(shè)中的作用。進一步參考《信息安全技術(shù) 大數(shù)據(jù)安全管理指南》（GB/T 37973—2019）及現(xiàn)有研究成果，最終從大數(shù)據(jù)基礎(chǔ)安全、管理安全、應(yīng)用安全3 個維度構(gòu)建“三維一體”的企業(yè)大數(shù)據(jù)安全評價指標體系，詳細論述每個指標的定義并運用德爾菲法確定指標權(quán)重，增強了指標體系的現(xiàn)實可操作性。具體包括3 個一級指標、8 個二級指標和24 個三級指標，沒有局限于物理環(huán)境安全、網(wǎng)絡(luò)環(huán)境安全、數(shù)據(jù)加密等傳統(tǒng)數(shù)據(jù)安全指標，還針對大數(shù)據(jù)特征設(shè)置了存儲安全技術(shù)、處理分析技術(shù)等評價指標，考慮到企業(yè)大數(shù)據(jù)中受到密切關(guān)注的個人隱私設(shè)置了隱私保護程度指標，從用戶角度體現(xiàn)評價企業(yè)大數(shù)據(jù)安全的價值與意義。

隨著科學研究的不斷深入，大數(shù)據(jù)安全保護措施不斷更新，大數(shù)據(jù)安全評價指標也不斷開闊與豐富，本文構(gòu)建的企業(yè)大數(shù)據(jù)安全評價指標體系，是對目前企業(yè)大數(shù)據(jù)安全評價的重要探索，能夠為企業(yè)信息安全及大數(shù)據(jù)安全領(lǐng)域的相關(guān)研究提供有價值的參考。