郭建南

中國信息通信研究院 北京 100191

隨著國家大數據發(fā)展戰(zhàn)略的加快實施，數據要素戰(zhàn)略價值凸顯，但數據泄漏事件和侵害用戶權益事件呈現頻發(fā)態(tài)勢，國家和社會對數據安全問題的重視程度與日俱增。通信行業(yè)作為數據流轉的中樞平臺，其數據安全管理體系的穩(wěn)定性和可靠性直接影響國家戰(zhàn)略的實施效果。然而，由于初期建設考慮不全面、管理制度不完善等，基礎電信企業(yè)的傳統數據安全管理體系面臨覆蓋范圍不足、資產識別不準確、數據操作審批不嚴格、數據流動風險監(jiān)測不到位等問題。積極應對數據安全發(fā)展的新形勢、新問題，開展數據安全管理體系建設研究，是助力基礎電信企業(yè)保障數據安全、提升服務能力的基礎和關鍵。

1 數據安全監(jiān)管思路發(fā)展進程

隨著信息社會和傳統社會的不斷交融，數據呈現出爆發(fā)性、集中式增長的態(tài)勢，其重要性越發(fā)顯著，圍繞數據安全的事件風波也在不斷增多，保障數據安全成為社會的強烈需求。近幾年，國家陸續(xù)出臺了數據安全的相關監(jiān)管政策和相關標準。在政策法規(guī)方面，《網絡安全法》的出臺標志著中國已初步建立網絡安全及個人信息保護法律框架，中華人民共和國數據安全法的公布實施更凸顯了國家對數據安全的高度重視。在標準方面，圍繞個人信息安全及數據安全等方向，已陸續(xù)發(fā)布有關個人信息安全規(guī)范、大數據服務安全能力要求、數據安全能力成熟度模型等多項國家標準，為有效落實網絡數據安全管理要求提供規(guī)范指導。

通信行業(yè)作為數據流轉的核心中樞，是國家數據安全關注的重點，基于《網絡安全法》中對網絡運營者提出的服務要求，通信行業(yè)主管部門也逐步著手數據安全管理的研究部署，相繼發(fā)布有關數據對外合作管理、數據安全保護能力提升、數據安全標準體系建設等重要文件，通過滾動規(guī)劃、迭代部署的方式，逐步指導基礎電信企業(yè)建設數據生命周期保護能力。在行業(yè)標準方面，圍繞數據安全標準體系建設指南，陸續(xù)發(fā)布了電信網和互聯網數據安全風險評估實施方法及數據安全通用要求等多項標準為行業(yè)數據安全保障能力提升奠定基礎。

可以看出，在全球進入信息化引領發(fā)展的時代背景下，國家對數據的掌控能力成為衡量國家競爭力的關鍵因素，數據安全監(jiān)管成為保障數字經濟領域發(fā)展的重要基石，基礎電信企業(yè)作為其中最重要的責任主體，建立完備的數據安全管理體系迫在眉睫。

2 基礎電信企業(yè)數據安全管理現狀

數據安全管理體系的建設應在相關法律法規(guī)和標準規(guī)范的基礎上，結合自身的安全需求及行業(yè)實際進行點狀強化。基于此目標，基礎電信企業(yè)也逐步開展了數據安全管理工作，在全局的制度體系建設和具象的技術手段建設上已經取得了一定的成果。

2.1 制度體系建設現狀方面

基礎電信企業(yè)均已明確數據安全管理的組織架構，并結合相關管理要求及自身實際情況，制定了《網絡數據安全管理辦法》《用戶個人信息保護管理辦法》《數據安全人才培養(yǎng)管理辦法》等管理制度文件，在組織架構、管理制度及人員隊伍建設方面都提出了規(guī)范，初步形成了數據安全管理思路。但隨著數據安全精細化管理需求的不斷提高，對基礎電信企業(yè)數據安全管理制度體系建設提出了更高要求。

1)組織架構及人才培養(yǎng)方面需要強化?；A電信企業(yè)需要進一步明確數據安全管理責任部門，負責牽頭承擔企業(yè)內部數據安全管理工作，包括制定數據安全管理整體方針策略，協調相關部門建立數據安全技術保障措施，牽頭做好數據安全應急處置，組織開展數據安全評估、教育培訓等工作。此外，還可以建立數據安全教育培訓制度，針對數據安全管理相關崗位制定相應培訓計劃，并對培訓計劃定期審核和更新。數據安全培訓內容可覆蓋數據安全制度要求和實操規(guī)范等內容，如數據安全法律法規(guī)、標準制度、管理方法、技術防護、應急演練和相關知識技能。

2)各項管理工作有待進一步細化明確。當前基礎電信企業(yè)數據安全的相關制度已經實現了對各項工作的明確要求，但缺少細化實施的規(guī)范文件，導致企業(yè)間、部門間相關工作的落實效果參差不齊。為進一步推進數據安全管理各項工作的落地，配套建立細化數據安全工作的實施細則成為需要解決的問題。

3)數據安全技術手段配套管理機制亟需完善。數據安全技術手段建設落地、相關數據資產納管、安全系統策略基線要求是基礎電信企業(yè)數據安全管理制度切實實行的重要步驟，如何細化分解數據安全產品能力建設要求，出臺實施指南等文件推動配套技術能力建設實施也是目前需要推進的工作。

2.2 技術手段建設現狀方面

目前部分基礎電信企業(yè)已建設成具備一定管理范圍的集中平臺，如4A審計系統、大數據分析平臺、數據防泄漏系統等。但基礎電信企業(yè)職能部門多、業(yè)務復雜、數據量大等特性，導致在進行技術手段建設時面臨精細化管理難度大、整體管控建設與監(jiān)測分析覆蓋面不足等問題，具體可分為以下幾點。

1)數據資產識別能力不足。相比于普通的互聯網應用系統，基礎電信企業(yè)業(yè)務系統紛繁復雜，各業(yè)務平臺、網絡系統中存在大量分散的數據，包括個人敏感信息、網絡運行維護數據、系統規(guī)劃數據等?；A電信企業(yè)中數據多源異構、分散分布的特性使得數據資產識別和差異化管控難以落地。

2)技術手段無法完全匹配業(yè)務安全管理需求?；A電信企業(yè)初期的技術建設對數據安全需求考慮不全的現狀，導致出現能力覆蓋范圍不全，或系統功能與現有數據安全保護需求不適應的問題，且缺少統一匯集的分析平臺，無法實現對數據流轉、數據開放、數據泄露等安全風險的監(jiān)測預警和可視化分析。

3)缺少數據安全技術手段建設整體規(guī)劃。以往數據安全技術手段多采用單點部署、分散使用、獨立擴容的方式，難以實現關聯分析，導致部分風險識別困難、無法定位溯源。同時，前期整體規(guī)劃的缺失，導致后續(xù)需求實現面臨現有技術改造困難、系統重建費用較高、系統對接困難、數據混亂匯集等問題。

3 數據安全管理體系建設思路及建議

針對目前發(fā)展的基礎電信企業(yè)數據安全管理體系在制度體系建設和技術手段建設方面存在的問題，結合數據安全監(jiān)管的相關政策和標準對體系建設提出思路和建議[1]。

3.1 制度體系建設方面

結合基礎電信企業(yè)當前面臨的管理工作待細化、管理機制需完善等問題，建議制定數據安全管理制度體系框架，實現管理工作的細化明確和技術手段的規(guī)劃實施。通過文檔化管理，建立和形成包含綱領、制度、流程和指南的數據安全管理制度體系[2]，為基礎電信企業(yè)數據安全管理工作提供統一的安全策略指引。

如圖1所示，是數據安全管理制度體系的四層架構，層級之間相互關聯支撐，建議基礎電信企業(yè)在體系框架基礎上，對現有制度進行梳理和歸檔，并針對當前重要工作及管理需求制定二級文件編制計劃，在此基礎上，對需要進一步細化明確的工作開展三級、四級文件編制工作。具體如下：

圖1 數據安全管理制度體系總體框架

1)一級文件：為綱領性文件，明確數據安全管理總體方針和各項工作目標，具有高度概括性，對數據安全工作具有通用的指導意義。

2)二級文件：根據一級文件，制定各工作模塊的管理方法和技術規(guī)范性文檔，對數據安全工作的落地具有實際指導作用。

3)三級文件：三級文件由實施細則和指南、具體技術要求和配置基線要求組成，用于指導具體的安全運維、操作使用等行為。

4)四級文件：為工作中的各項實操記錄性文檔，便于問題追溯，在體系中以模板形式呈現，由各類管理計劃、表單、配置文件、日志記錄、報告等組成。

3.2 技術手段建設方面

針對現有技術手段覆蓋面不足、數據難以關聯、無法追蹤溯源等問題，建議基礎電信企業(yè)建設“225”數據安全管理防護技術體系(即2級數據安全管理系統、2類數據接口串聯、5方面安全能力)，保障數據和服務的可靠性、可用性、真實性和有效性，逐步實現“風險可視、問題可控、安全可管、依法合規(guī)”的保障目標。

建設過程中，一是建議根據其網絡域劃分數據承載系統分布情況，在網絡關鍵匯聚點、網絡邊界設置合理優(yōu)化的數據采集節(jié)點，保證采集數據的全面覆蓋率和實時準確性；二是建議在建設部署數據安全管理系統核心功能模塊時，如某項功能企業(yè)已具備相關能力，可采用系統對接方式實現能力復用；三是建議制定各網絡、各系統的納管規(guī)劃，逐步實現基礎電信企業(yè)的全網能力覆蓋，構建統一匯集的防護平臺[3]。

“225”數據安全管理防護技術體系架構具體如圖2所示，包括以下幾個方面。

圖2 數據安全管理技術體系框架

1)2級數據安全管理系統

數據安全管理系統建議構建一級系統和二級系統雙層架構。一級系統從全局管理的角度關注安全態(tài)勢監(jiān)管、數據風險可視、安全策略可調可配；二級系統從具體的數據安全分析層面關注風險可視、問題可控、事件可回溯，包括數據資產管理、數據脫敏、數據訪問審計、數據流動監(jiān)測等。

數據安全管理技術體系雙層架構的設計能夠為管理側提供數據安全風險監(jiān)查能力和處置策略配置能力，實現事前感知分析、事中監(jiān)測控制、事后審計溯源的全流程監(jiān)督和管理能力，有效保障電信數據內外雙循環(huán)安全。

2)2類數據接口

建議建設2類數據接口，一是打通多源數據上報通道，實現網絡流量、日志文件、數據類型等基礎數據的有效上報，并通過對兩類接口的綜合管理，提升數據收集過程管控能力；二是打通一二級系統間的指令下發(fā)和數據上報路徑，實現數據安全監(jiān)管與基礎安全保障的有效融合，提升整體管理效能。

3)5方面安全能力

建議構建以數據資產為核心、覆蓋數據生命周期的“預防+監(jiān)測”的數據安全能力模型，以數據資產管理為基礎，融合數據訪問審計、數據脫敏、數據流動監(jiān)測和數據可視化，對基礎電信企業(yè)網絡系統中的多源數據進行匯聚和分析，實現數據安全風險預警、控制攔截、一鍵處置等能力。

數據資產管理主要實現資產的智能識別、動態(tài)登記、分級分類與多維分析，及時掌握數據資產的分布、使用情況及潛在風險，同步配套完善數據差異化管理機制[4]。

數據訪問審計通過對網絡流量、日志文件的分析實現敏感數據泄露、數據違規(guī)共享、越權訪問、數據操作審批不嚴等數據安全事件的告警[5]，并通過數據訪問會話重組實現安全事件的全過程回溯，強化基礎電信企業(yè)的實時數據訪問風險監(jiān)測和事后追溯能力[6]。

數據脫敏針對隱私問題，采用動態(tài)或靜態(tài)脫敏技術，制定面向多樣數據的智能化脫敏規(guī)則與方案，實現基礎電信企業(yè)數據的規(guī)范脫敏，減少敏感數據的泄漏風險。

數據流動監(jiān)測基于關鍵網絡節(jié)點的流量數據進行數據流轉路徑和行為分析，實現對數據流轉全過程的精確記錄，嚴格監(jiān)控數據流動過程可能產生的風險，為基礎電信企業(yè)提供數據資產流動管控能力。

數據可視化基于上述分析結果，采用層次可視化分析方法實現數據安全態(tài)勢多維度展示，并基于數據聯動分析方法提供可視化交互能力。

4 結束語

本次研究結合行業(yè)數據安全合規(guī)要求與基礎電信企業(yè)數據安全管理需求，以“管理規(guī)范化、風險可視化、防護主動化”為目標，以保障數據安全為核心思路，給出基礎電信企業(yè)數據安全管理體系整體建設方法，為基礎電信企業(yè)開展數據安全管理體系建設工作提供參考和借鑒。