數據安全态勢感知(zhī)應該具備的六大能力

基于自适應安全架構（ASA）思想内核的數據安全态勢感知(zhī)運營中心是(shì)用于指導整個數據安全體系建設的，應該具備六大安全能力。

(一) 盤清家底：以數據資源爲核心的資産管理中心

建立以數據資源爲核心的資産管理中心，是(shì)數據安全運營的前提。通過技術手段對企業自身擁有的數據資産進行全面的盤點，掌握數據資産分布、數據資産類型、數據内容結構、數據資産歸屬、數據資産使用狀态等信息，最終的目标是(shì)構建“一棵既有業務屬性也有安全屬性的數據資産目錄樹(shù)”。

數據資産發現(xiàn)是(shì)解決數據資産分布廣泛問題的有效手段，通常是(shì)以主動發現(xiàn)與被動探測相(xiàng)結合的方式進行。數據資産主動發現(xiàn)是(shì)在安全策略的配合下，通過主動嗅探的方式掃描全網地址，對潛在的數據源建立連接并構造請求内容，解析響應内容從而收集數據源基本信息；數據資産被動探測是(shì)通過鏡像核心交換的流量來進行協議(yì)解析，根據協議(yì)類型确定數據源類型，從而達到收集數據源基本信息的目的。通過數據資産發現(xiàn)實現(xiàn)全網數據源的初步收集，從而建立數據資産頂層目錄。

數據資産掃描可豐富數據資産目錄的“葉子”節點。在安全部門的配合下，使用數據源的認證信息（通常隻需可讀權限）主動連接數據源，對數據内容和數據結構進行掃描，進一步收集數據資産的結構、内容等元信息，從而細化數據資産目錄。爲應對數據規模龐大且持續增加的特點，數據掃描應具備定期增量式掃描的能力，減少掃描的時間。

最後，在安全部門和業務部門的配合下，對數據資産的使用目的、方式、範圍以及管理歸屬等信息進行補充，最終形成完整的數據資産目錄樹(shù)。

基于構建出來的數據資産目錄，開展數據分類分級。結合相(xiàng)關行業的分類分級标準和業務現(xiàn)狀，數據安全專家、企業安全部門與業務部門相(xiàng)互配合，定制化輸出符合業務發展的數據分類分級模闆，依據模闆落實分類分級工作。分類分級以數據識别技術爲基礎——在數據掃描的過程中，通過關鍵字、正則表達式等匹配技術，結合上下文信息對結構化數據進行識别；以機器學習、自然語言處理、光學字符識别等智能化技術對非結構化或半結構化數據進行識别，輔助安全人員(yuán)落實數據資産分類分級。

(二) 聯防聯控：以分類分級爲核心的策略協同中心

數據的開發利用和數據安全防護往往是(shì)一對矛盾體，數據在沒有任務防護措施的情況下“裸奔”對數據的開發利用是(shì)最高效的；同樣地，通過物理手段、技術手段将數據層層“包圍”起來不做任務開發利用，則數據是(shì)最安全的，但(dàn)兩者均不利于組織整體業務健康地、可持續的發展。數據安全建設應圍繞分類分級的結果進行開展，對不同類别、不同級别的數據資産進行差異化的防護能力建設和安全策略配置，實現(xiàn)數據業務發展和安全管控的平衡。

将分類分級結果轉化爲業務知(zhī)識，爲數據資産提供安全防護建議(yì)，并結合具體的數據安全防護組件，統一地下發安全策略，實現(xiàn)以分類分級爲核心的策略協同能力。例如針對核心級别的數據資産，采用加密技術對數據進行保護；針對重要級别的數據資産，采取脫敏技術對數據進行保護；而對普通數據，則采取審計技術對數據訪問進行留痕。同時，聯動數據鏈路上數據安全措施，主要包括打通其策略配置通道和日志、告警上報通道，及時感知(zhī)防護能力的薄弱環節并自動調整策略，實時監測數據的防護能力狀态，從而構建一幅關系到“數據資産、業務、安全策略”的安全業務視圖。

(三) 流動監測：以業務流程爲核心的動态監測中心

通過數據資産梳理可以掌握數據資産的“靜”态狀況，而數據流動監測則是(shì)爲了掌握數據的“動”态狀況。以“什麽人”“什麽時間”對“什麽數據”執行“什麽操作”爲基本監測原則，從時間、頻(pín)率、數量、類型、源信息、目的信息等多個維度進行統計分析，建立行爲基線(xiàn)和行爲趨勢圖，将數據流動的情況進行動态測繪。

涉敏對象梳理。以數據爲粒度，通過解析數據訪問協議(yì)，對應用、API、用戶等涉敏對象進行梳理，形成應用清單、API清單和用戶清單，爲全局的數據業務視圖提供“節點”信息。

敏感數據使用監測。基于梳理出來的涉敏對象，對應用、API、用戶的數據操作行爲進行細粒度的審計，結合數據資産分類分級的知(zhī)識對操作行爲打上不同的标簽，并根據訪問、歸屬等維度自動組織涉敏對象之間的關聯關系，爲全局的數據業務視圖提供“連線(xiàn)”信息。

構建數據流動地圖。通過涉敏對象梳理提供的“節點”信息與敏感數據監測提供的“連線(xiàn)”信息，結合數據資産目錄，對數據源、應用、API、用戶之間的數據流動關系（流動方向、數據類型、數據量）進行動态測繪；同時，在業務人員(yuán)的配置下，根據實際業務場景細化數據的使用目的、使用方式和管理組織等信息，實現(xiàn)數據流動視化。

通過數據流動監測，全局掌握企業數據的“動”态狀況，從而構建一幅關系到“數據資産、業務、主體”的全局數據業務視圖。

(四) 風險分析：以行爲分析爲核心的風險管理中心

數據安全違規行爲是(shì)隐蔽的，數據洩漏事件的發現(xiàn)是(shì)滞後的，因此及時發現(xiàn)數據風險并預警是(shì)數據安全運營的重要目标——建立以行爲分析爲核心的風險管理中心，對數據的行爲信息進行全面收集、審計，結合數據資産分布狀态、數據流動狀态和分類分級結果進行智能化分析，識别其中潛在的安全風險并及時告警與處置，遏制數據洩漏事件的發生，防範于未然。

全面的行爲日志采集與處理是(shì)數據安全風險檢測的基礎。行爲日志包括操作日志和告警日志，日志内容須細化到具體的數據粒度。對部署在數據鏈路上的數據探針和安全産品的日志進行全面收集，按照統一的日志标準進行格式化，從不同的維度對日志進行富化，從而構建一個多源行爲日志庫，爲數據安全風險分析提供基礎素材。

集離(lí)線(xiàn)分析、實時分析、告警歸并能力于一身的聯合分析引擎是(shì)檢測隐蔽的數據違規行爲、識别潛在的數據洩漏事件的利器。離(lí)線(xiàn)分析能力強調的是(shì)準确性，通過對海量的行爲日志進行大數據挖掘，在海量的業務行爲中準确地識别出數據違規行爲；實時分析能力強調的是(shì)時效性，通過對在時間和數量無限分布的一系列動态日志進行流式計算，實現(xiàn)秒級響應，及時識别潛在的數據洩漏事件；告警歸并是(shì)強調告警的價值性，通過對大量的告警日志從不同維度進行聚合與統計，并設置相(xiàng)應的穿透規則，将真正有價值的告警信息從大量的噪音中過濾出來。

通過行爲日志的采集、處理，以強大的聯合分析引擎爲技術基礎，輔以豐富的分析策略如傳統的規則匹配、統計分析和基于智能學習方法的多源關聯挖掘、行爲鏈分析、動态基線(xiàn)分析等模型，靈活地應對不同場景下的數據安全風險檢測，結合豐富的處置流程進行跟蹤響應，确保數據風險得到解決，真正實現(xiàn)可控的風險管理。

(五) 安全評估：以安全合規爲核心的安全評估中心

《數據安全法》中明确提出要求“重要數據的處理者應當按照規定對其數據處理活動定期開展風險評估”，同時出于對自身數據保護的需求，企業必須要開展的數據安全活動是(shì)定期開展數據安全評估。

以法律法規和行業監管部門的考核要求爲基礎，結合企業自身的業務場景，定制化輸出安全評估模闆，以半自動化的方式開展數據安全風險評估工作，形成電子化的風險評估報告。安全評估模闆應至少包含以下評價要素：

- 數據管理組織架構。應成立專門的數據管理組織，并以“一把手”挂帥，結合業務場景設置不同的管理角色；同時将不同的數據資産歸屬到該組織中的具體人，确保數據認責。

- 數據管理規章制度。數據管理制度是(shì)開展數據處理活動和落實數據安全建設的指導思想，應由數據管理組織牽頭将數據管理制度成文并公告，明确數據管理責任與義務。

- 數據分類分級。分類分級既是(shì)合規要求，也是(shì)安全建設的基礎。基于資産管理中心提供的資産目錄與分類分級結果，自動生成分類分級明細清單、統計分類分級完成度，并結合分類分級有效期、分類分級管理制度等指标進行合理評價。

- 數據資産風險。基于風險管理中心提供的安全告警，結合數據資産分類分級情況，對不同類别、不同級别的數據資産的不同風險形成明細清單與統計圖表，結合數據處理活動、聯防聯控措施等指标進行合理評價。

- 數據權限管理。基于策略協同中心提供的安全業務視圖和動态監測中心提供的數據業務視圖，自動生成數據權限現(xiàn)狀圖，加上人工補充缺失的（如線(xiàn)下執行）權限明細，結合數據處理活動進行合理評價。

- 數據操作審計。基于風險管理中心提供的多源行爲日志庫，按操作時間等不同維度自動生成數據操作審計明細表與操作熱度統計表，結合分類分級結果和數據處理活動進行合理評價。

- 應急響應。基于風險管理中心提供的風險告警與事件處置數據，自動生成告警-事件-處置明細表，按分類分級、響應時長等不同維度生成統計圖表，結合數據處理活動進行合理評價。通過定期開展數據安全評估，幫助企業從宏觀角度發現(xiàn)數據安全薄弱環節，提出整改建議(yì)，從而有的放(fàng)矢地進行安全能力建設。

(六) 持續運營：以态勢感知(zhī)爲核心的安全運營中心

安全以“檢測”爲始，以“響應”爲終，整個過程可稱之爲“持續運營”。在數據違規行爲對數據資産造成損害之前，及時制止損害或降低損失是(shì)安全體系的最終防線(xiàn)，也是(shì)持續運營的目标。

全面的數據安全态勢感知(zhī)是(shì)安全運營的抓手。基于資産管理中心提供的數據資産目錄，通過對指定時間段内的數據資産分布、敏感數據量、敏感數據類型等指标進行統計分析與趨勢預測，自動生成敏感數據分布态勢圖；基于策略協同中心提供的安全業務視圖和動态監測中心提供的數據業務視圖，通過對安全策略變更和數據庫、應用、API等涉敏對象的敏感數據量、敏感數據類型等指标進行統計分析與趨勢預測，自動生成敏感數據流動态勢圖；基于風險管理中心提供的數據，對分布在不同位置、不同時間、不同類别、不同級别的數據資産的安全告警、事件處置等指标進行統計分析與趨勢預測，自動生成數據安全風險态勢圖。三大安全态勢圍繞數據從分布、流動、風險三個維度爲運營人員(yuán)構建了清晰的宏觀視圖。

靈活的風險溯源是(shì)提高安全運營效率的重要手段，是(shì)事件響應處置必不可少的支撐工具。靈活的風險溯源工具應具備2個能力，即“以數追人”和“以人追數”。“以數追人”強調的是(shì)在已知(zhī)受到傷害的數據資産時，通過相(xiàng)應的數據資産片段進行溯源，按相(xiàng)關度的從高到低列出可疑的“人”（賬号、應用、API等）及其相(xiàng)關日志證據；“以人追數”強調的是(shì)在已知(zhī)可能涉事的“人”（賬号、應用、API等）時，通過輸入“人”的信息進行溯源，按相(xiàng)關度的從高到低列出可能受到損害的數據資産及其相(xiàng)關日志證據。進一步可将可疑的“人”、“數”、證據等信息按時間順序組織成爲事件鏈，爲運營人員(yuán)構建細緻的微觀視圖。

便捷的響應處置工具是(shì)風險閉環的最後一步，也是(shì)必須的一步。一旦發現(xiàn)了數據安全風險，可根據企業的安全管理辦法設置相(xiàng)應的風險處置流程并實時跟蹤，确保風險得到妥善的處理。同時，處理的結果可以及時反饋到策略協同中心，更新數據鏈路上數據安全措施，實現(xiàn)立即止損的同時，确保同樣的風險不會再發生。

通過掌握數據資産的宏觀态勢視圖和微觀風險視圖，運營人員(yuán)可以及時處置相(xiàng)關風險，自适應地優化安全策略，高效開展持續運營工作。

結語

從組織開展數據安全運營工作的現(xiàn)狀來看，當前多數組織已形成對數據安全運營必要性和重要性的充分認識，但(dàn)面向海量、多源、流轉關系複雜(zá)的數據處理場景，并且由于數據本身又(yòu)具有多樣性、敏感程度不一、關聯關系複雜(zá)等特征，仍存在較大的安全挑戰。下一階段，可以圍繞以下幾個方向爲數據安全運營工作提供保障。

第一、戰略層面明确數據安全工作的戰略地位。組織需要明确數據安全對于組織生存發展的重要意義，從戰略高度明确數據安全運營的重要價值，對數據安全運營進行清晰規劃與指導，在管理層面達成一緻共識，爲數據安全運營工作提供資源保障。

第二、動态掌控全局數據安全。數據交互的複雜(zá)性和多樣性對數據安全運營工作提出了更大挑戰，掌握數據流轉關系是(shì)動态掌控全局數據安全的重要前提，需要充分考慮數據資源的使用目的、方式和範圍，包括組織的部門架構關系，精準刻畫的數據流轉關系，才能夠全面發現(xiàn)數據處理活動中的潛在風險，實現(xiàn)對數據安全風險及時預警和處置，支撐數據安全運營工作。

第三、建立内部監督評價機制。組織需要充分考量安全形勢、合規要求、業務需要等變化，對組織的數據安全工作開展情況進行審核與監督，結合相(xiàng)關行業法律法規和監管部門的考核要求，數據安全成熟度或者場景風險等，進行技術性比對評估或佐證。并根據評估結果提供可落地的安全整改建議(yì)，從而幫助組織及時發現(xiàn)安全薄弱環節，指導組織針對性地進行安全能力建設。