我們?cè)谧分饠?shù)據(jù)價(jià)值的同時(shí)，也在擔(dān)心這些寶貴資產(chǎn)是否會(huì)在分發(fā)、共享中丟失、被盜或被篡改。過(guò)去20年，傳統(tǒng)的網(wǎng)絡(luò)安全框架已經(jīng)大面積普及和實(shí)施，說(shuō)直接點(diǎn)，參照政策和標(biāo)準(zhǔn)，網(wǎng)絡(luò)安全能做的差不多都做全了?？涩F(xiàn)實(shí)情況是，房子修的再結(jié)實(shí)，人總要出去，數(shù)據(jù)必須被共享使用，流動(dòng)中的數(shù)據(jù)安全問(wèn)題還是沒解決。

2018數(shù)據(jù)安全解決方案大會(huì)現(xiàn)場(chǎng)

6月22日，2018數(shù)據(jù)安全解決方案大會(huì)在京舉行，大會(huì)延續(xù)往屆務(wù)實(shí)的風(fēng)格，不談?wù)?、不談大概念，就談能落地的方案和?shí)踐?，F(xiàn)場(chǎng)，安華金和方案總監(jiān)宣淦淼帶來(lái)《共享開放時(shí)代——大數(shù)據(jù)安全治理體系實(shí)踐》主題演講。自2016年國(guó)內(nèi)首家提出數(shù)據(jù)安全治理理念和框架后，安華金和加速落地，多個(gè)數(shù)據(jù)安全治理項(xiàng)目已經(jīng)處于實(shí)施階段，本次大會(huì)宣淦淼結(jié)合這些項(xiàng)目實(shí)踐經(jīng)驗(yàn)，現(xiàn)場(chǎng)分享不同使用場(chǎng)景下的數(shù)據(jù)安全保護(hù)應(yīng)該怎么做，這也是當(dāng)下觀望中的用戶最需要的干貨。

為了不讓安全成為業(yè)務(wù)的拖累，我們說(shuō)的數(shù)據(jù)安全保護(hù)絕不簡(jiǎn)單是說(shuō)企業(yè)的全部數(shù)據(jù)，因?yàn)閷?duì)龐大的數(shù)據(jù)量進(jìn)行統(tǒng)一的安全保護(hù)是不現(xiàn)實(shí)的，那么應(yīng)該怎么做?行業(yè)內(nèi)有這樣一個(gè)595原則，即數(shù)據(jù)資產(chǎn)中只有約5%的數(shù)據(jù)是敏感的，是需要被保護(hù)起來(lái)不能對(duì)外的，剩余的95%的數(shù)據(jù)則是更需要開放和被人所知的。

基于此，關(guān)注數(shù)據(jù)安全實(shí)際上在關(guān)注4個(gè)問(wèn)題：需要保護(hù)的數(shù)據(jù)在哪?這些敏感數(shù)據(jù)如何被使用?誰(shuí)對(duì)數(shù)據(jù)持有保護(hù)責(zé)任?數(shù)據(jù)是否得到了足夠的安全保護(hù)?

數(shù)據(jù)安全治理是一種科學(xué)的解決組織整體數(shù)據(jù)安全問(wèn)題的框架和思路，是為了解決數(shù)據(jù)在使用過(guò)程中的安全，不讓安全成為業(yè)務(wù)的掣肘，而是促進(jìn)流動(dòng)。對(duì)于風(fēng)險(xiǎn)的發(fā)現(xiàn)和識(shí)別也要結(jié)合數(shù)據(jù)的業(yè)務(wù)使用場(chǎng)景。

我們發(fā)現(xiàn)，在開啟數(shù)據(jù)安全治理的實(shí)踐中解決掉數(shù)據(jù)在使用過(guò)程中通常會(huì)遇到的四大風(fēng)險(xiǎn)源：

使用風(fēng)險(xiǎn)1——數(shù)據(jù)資產(chǎn)與數(shù)據(jù)在哪里，有多少?

使用風(fēng)險(xiǎn)2——數(shù)據(jù)開放共享時(shí)如何去除隱私化?

使用風(fēng)險(xiǎn)3——共享交換過(guò)程數(shù)據(jù)泄密如何回溯定位?

使用風(fēng)險(xiǎn)4——數(shù)據(jù)主管權(quán)是我們?cè)谡瓶貑?比如數(shù)據(jù)上云之后，云服務(wù)商對(duì)數(shù)據(jù)掌控的界限在哪里?

好的，那么現(xiàn)在問(wèn)題來(lái)了，數(shù)據(jù)安全治理到底應(yīng)該怎么做?解決上述問(wèn)題，不能止步于使用某些技術(shù)手段的空談，而是要能基于人員、制度、產(chǎn)品、流程設(shè)計(jì)、工具等進(jìn)行實(shí)踐落地。

實(shí)踐之初，要對(duì)接下來(lái)的一系列動(dòng)作有個(gè)整體把控，因此需要建立數(shù)據(jù)安全治理總體保障思路：即組織建立→能力評(píng)估→制度設(shè)計(jì)→治理技術(shù)這4個(gè)遞進(jìn)的過(guò)程中貫穿數(shù)據(jù)生命周期的采集、存儲(chǔ)、傳輸、處理/使用、交換、銷毀這六個(gè)環(huán)節(jié)。

首先，建立層次分明的安全組織。

這個(gè)組織既要有能夠全局把握數(shù)據(jù)安全風(fēng)險(xiǎn)，明確數(shù)據(jù)安全職能范圍，并制定數(shù)據(jù)安全管理策略方向的決策層;又要有能夠根據(jù)安全策略方向制定詳細(xì)數(shù)據(jù)安全制度流程體系、人員能力培養(yǎng)體系、產(chǎn)品體系并負(fù)責(zé)落地實(shí)踐和日常數(shù)據(jù)安全運(yùn)營(yíng)的控制層;還要有根據(jù)實(shí)際要求落地執(zhí)行的執(zhí)行層。

安全組織的層次劃分

第二，運(yùn)用模型進(jìn)行能力評(píng)估。

基于數(shù)據(jù)安全能力成熟度模型，評(píng)估組織目前的數(shù)據(jù)安全能力等級(jí)，以及未來(lái)需要達(dá)到的安全等級(jí)，從而幫助組織制定安全目標(biāo)，以及在此目標(biāo)下如何搭建數(shù)據(jù)安全管理流程和制度建立。

數(shù)據(jù)安全能力成熟度模型

第三，基于業(yè)務(wù)流程生命周期進(jìn)行制度設(shè)計(jì)。

參照法律法規(guī)、國(guó)家/行業(yè)標(biāo)準(zhǔn)等合規(guī)要求，進(jìn)行組織制度規(guī)范體系的建立，下沉至數(shù)據(jù)生命周期各環(huán)節(jié)的管控流程制定，覆蓋采集管控、傳輸管控、存儲(chǔ)管控、處理管控、共享管控、銷毀管控等各個(gè)場(chǎng)景下的安全。

第四，有技術(shù)工具支撐的治理技術(shù)落地。

上層建設(shè)完成后，技術(shù)支撐是實(shí)現(xiàn)目標(biāo)的最后一步，這需要多種技術(shù)協(xié)同作用，按照安全狀況摸底、數(shù)據(jù)流動(dòng)管控、數(shù)據(jù)治理稽核三個(gè)步驟開展實(shí)施。

安全狀況摸底如何開展呢?第一步，對(duì)數(shù)據(jù)資產(chǎn)進(jìn)行風(fēng)險(xiǎn)掃描，找出數(shù)據(jù)平臺(tái)自身的安全問(wèn)題，提出修復(fù)建議，進(jìn)行安全加固。第二步，運(yùn)用數(shù)據(jù)資產(chǎn)梳理工具進(jìn)行資產(chǎn)底賬的梳理和數(shù)據(jù)的分級(jí)分類，找出敏感數(shù)據(jù)，進(jìn)行重點(diǎn)防護(hù)。

數(shù)據(jù)流動(dòng)管控覆蓋數(shù)據(jù)存儲(chǔ)、傳輸、處理/使用等環(huán)節(jié)的安全。數(shù)據(jù)存儲(chǔ)環(huán)節(jié)做到內(nèi)外兼顧：使用數(shù)據(jù)加密技術(shù)做好底線防守，防止數(shù)據(jù)存儲(chǔ)介質(zhì)丟失、DBA權(quán)限泄露、乃至拖庫(kù)等帶來(lái)的數(shù)據(jù)泄密風(fēng)險(xiǎn);對(duì)外要使用數(shù)據(jù)庫(kù)防火墻技術(shù)阻止覬覦數(shù)據(jù)庫(kù)的黑客攻擊;對(duì)內(nèi)則使用數(shù)據(jù)運(yùn)維管控工具做好訪問(wèn)控制和審批管理，拿回?cái)?shù)據(jù)主管權(quán);數(shù)據(jù)傳輸環(huán)節(jié)，利用數(shù)據(jù)水印技術(shù)實(shí)現(xiàn)數(shù)據(jù)庫(kù)數(shù)據(jù)外發(fā)的溯源，保障數(shù)據(jù)外發(fā)過(guò)程的安全;數(shù)據(jù)處理/使用環(huán)節(jié)，無(wú)論是動(dòng)態(tài)場(chǎng)景還是靜態(tài)場(chǎng)景都可以使用數(shù)據(jù)脫敏技術(shù)對(duì)數(shù)據(jù)去隱私化脫敏處理，保障數(shù)據(jù)在開發(fā)、測(cè)試、分析等場(chǎng)景下的數(shù)據(jù)安全。

數(shù)據(jù)稽核則可以利用數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品和數(shù)據(jù)態(tài)勢(shì)感知做好數(shù)據(jù)的安全稽核與風(fēng)險(xiǎn)預(yù)警，以此保障數(shù)據(jù)安全治理的策略和規(guī)范被有效執(zhí)行和落地，保障能夠快速發(fā)現(xiàn)潛在的風(fēng)險(xiǎn)和行為，實(shí)現(xiàn)全流程的數(shù)據(jù)安全治理閉環(huán)。