1.研究背景
隨著數字化經濟快速增長，數據安全風險與日俱增，導致危害程度不斷加深，數據泄露、數據濫用、數據販賣等數據安全事件頻發，呈現持續遞增的態勢，對國家安全、社會穩定、企業組織權益、個人隱私安全造成了嚴重威脅。在云計算、大數據、人工智能等新技術不斷發展和作用下，數據安全事件不僅會對企業組織造成嚴重的社會影響和經濟損失外，特別是針對國家關鍵基礎設施或個人地理位置、生物特征、醫療健康等隱私信息的惡意攻擊，甚至會危害社會個體生命安全。
為了有效應對當前嚴峻的數據安全形勢，防范勒索軟件等新型攻擊方法，以及處理遠程辦公安全訪問等新場景、新興技術、新興產業帶來數據安全方面的不確定性，保障數據要素的安全開發和利用，我國先后出臺了《網絡安全法》、《數據安全法》、《個人信息保護法》等法律，作為國家整體數據安全的重要組成部分，為保護國家關鍵數據資源安全和個人隱私信息安全提供了充分的法律依據，同時加強對數據安全管理的指導審查，監督與保障。
2.數據安全先構建數據分類分級底座
首先在宏觀層面，我國數據安全領域的法律法規、監管政策與標準規范為行業數據治理安全提供了良好的政策環境保障。同時，隨著數據安全法律法規、監管政策等具體要求的進一步明確，也對企業組織開展數據安全保護工作，落實數據安全保護責任提出了更高要求，企業組織通過數據治理安全理論進行數據安全體系的頂層設計，先構建數據分類分級底座，自下而上落地，進而實現生態的數據安全能力的聯動，目的是實現數據閉環管控。
其次在微觀層面，數據治理安全能力建設圍繞覆蓋數據全生命周期和使用場景的數據治理安全理論進行。從決策到技術，從制度到工具，從組織架構到安全能力通盤考量，實現數據的“進不來，拿不走，看不懂，改不了，跑不掉”閉環管控，強大的數據治理安全平臺能力支撐是數據治理安全理論落地保障，技術的創新和演進是數據分類分級落地的堅實基礎和措施。
根據《GB/T37988-2019信息安全技術數據安全能力成熟度模型》國家標準，數據的生命周期分為采集、傳輸、存儲、處理、交換和銷毀六個階段。由于各領域數據在數據全生命周期的不同階段面臨不同程度安全風險。因此，通過融合這些數據安全能力，端到端系統地對數據全生命周期的安全進行保護，實現數據全生命周期安全防護，數據安全建設采用數據生產、傳輸、存儲、流轉、使用、共享、銷毀等環節防護機制和監控手段。
圖1. 數據安全的五大目標
最后，構建基于數據治理安全理論的數據分類分級底座。在業務數據分類分級過程中，數據分類分級是實現數據治理安全基礎手段與根本途徑，滿足業務涉及有關國家法律法規及行業主管部門規定，平衡精細化管理與自下而上實踐落地，匹配企業自身業務發展的需求。另外，數據分類分級規則應避免過于復雜，以保證其在分類分級過程中的可行性。
3.數據安全能力聯動設計
通常情況下，數據在全生命周期中的訪問、使用、計算、提供等過程難以做到精細粒度的動態安全防護，尤其是對于特定類型數據和高敏感數據滿足“專數專用”、“高敏高保”等更高級別的安全要求，同時兼顧數據安全使用，在保障數據安全前提下促進數據應用、挖掘數據價值、助力業務發展，防止數據未授權訪問、違規存儲和擴散、過度輸出、惡意爬取等數據泄露和濫用的行為。
圖2. 數據治理安全建設兩個階段
因此，數據治理安全建設分為兩個階段：第一階段建立數據基座。通過數據資產化自動發現和分類分級，業務分類、安全分級支撐基座建設。第二階段安全能力聯動。API+生態安全能力聯動，建立數據安全閉環能力，實現數據全生命周期的安全。
第一階段是以數據分類分級為基礎，實現業務維度的分類，安全維度的分級，建立數據基座，滿足數據安全建設，數據基座同時具有支撐業務治理能力。AI引擎可以對更加復雜的上下文進行分析提升了數據分類分級的精準程度，并且可以支持自動生成多種法律法規的合規報告，提升了數據治理安全建設的效率；在數據維度進行多任務并行處理，利用機器學習+語義分析生成訓練模型，提高數據分類速度和精度，具備產品能力+行業知識圖譜能力的數據治理安全平臺能夠綜合展示數據特性及變化趨勢。
圖3. 數據分類分級基座
第二階段是通過API 安全+生態數據安全能力聯動，建立數據治理安全閉環能力，從而真正實現數據全生命周期安全。數據安全能力聯動采用SOAR安全編排，當發現安全風險時生成針對性的安全策略，并將策略下發到對應的API 安全網關，接收策略并響應執行，形成平臺與API安全接口之間的安全策略調用。通過日志審計監測提供日常風險檢測，及時預警，對于突發性數據安全危害事件，自動觸發安全預警并及時應急響應。
綜上，企業組織需在戰略層面高度重視數據安全技術在數據治理安全領域的破局能力，將數據安全技術作為支撐數據治理安全實施的關鍵環節，進行科學規劃、持續投入和資源保障，量化數據治理安全建設的資金投入、技術人員占比等關鍵評價指標，推動企業組織數據治理安全能力的快速發展和持續更新。
圖4. 數據安全能力聯動
4.數據安全能力聯動實踐
企業組織的業務需求是隨著市場環境不斷變化，數據安全技術手段也在不斷革新，因此數據安全能力建設不是一勞永逸、一蹴而就的，通過采用數據閉環循環的飛輪迭代模式，實現數據安全能力聯動安全能力模塊，從而匹配業務數據實際需求，具體的安全能力模塊如下：
1.密碼服務模塊。通過標準API接口為業務應用加密/解密、簽名/驗簽、雜湊運算、消息鑒別碼的產生和驗證等通用密碼服務，應用根據自身的業務流程和功能，選擇對應的接口進行調用。密碼服務模塊包括：簽名驗簽、時間戳、電子印章、安全認證、加密存儲等功能。
2.安全日志模塊。結合安全合規策略，對數據合規風險進行更全面的評估，判斷數據是否已經根據特定合規的要求得到了有效的保護。對于存在風險的數據，可以結合檢測和響應的能力進行修復，進一步對數據訪問、流動、共享進行梳理和分析，形成數據訪問、傳輸和共享的流圖。
3.訪問控制模塊。針對用戶對數據安全訪問服務的多樣性，結合數據生命周期訪問需求和特點，采用基于角色訪問控制或者基于屬性訪問控制等方案來實現“最小權限，按需使用”，對數據有效管控。
4.網絡傳輸模塊。采用國密數字證書SSL VPN，保證端到端傳輸安全，保證傳輸信息完整性、真實性及機密性；安全區域邊界方面，驗證接入者證書有效性，實現網絡接入與訪問控制；應用安全支撐方面，作為應用代理，聯動信任服務平臺，驗證終端用戶數字證書的有效性、合法性，并進行鑒權與訪問控制，保證用戶資源身份可信、業務可控、行為不可否認。
5.文件流轉模塊。在零信任安全前提下，通過集群存儲所具備的多副本、分布式密鑰管理、存儲層加密等技術，實現“建-存-管-用”數據完整生命周期內的訪問及使用，管控在授信范圍內的文件安全存儲，保障數據存儲層安全可靠。
6.編排（SOAR）模塊。采用可視化編排快速構建安全處置響應的流程，快速調試、優化流程，打磨出優質的事件處置SOP，支持多種安全能力接入方式，包括SDK方式、SNMP、SOAP接口方式、RESTFUL、自動化腳本語言等方式，可適配防火墻、漏洞掃描類產品等平臺類產品。
7.API安全網關模塊。應用接口（API）級別的細粒度數據訪問控制機制，具備對敏感數據識別，數據脫敏，數字水印，數據安全動態防護，安全日志審計與風險識別，態勢分析等數據安全功能，不僅能夠企業組織提升數據安全運營能力，阻止敏感數據的泄漏，而且滿足API應用安全合規要求。
8.數據脫敏/加密模塊。針對敏感數據進行數據漂白、變形、遮蓋等脫敏處理，避免敏感信息泄漏，脫敏后的輸出數據能夠保持數據的一致性和業務的關聯性。脫敏規則控制可細化到應用用戶級別，根據不同的應用用戶身份、不同業務模塊對敏感數據可見度與仿真度的多種需求，進行脫敏規則自定義配置，解決復雜環境下對敏感數據使用管控需求。
9.數據可信流通模塊。在保證數據提供方不泄露原始數據的前提下，對數據進行分析計算，保障數據以“可用不可見”的方式進行安全流通，能夠滿足廣泛用戶群體保護多方數據隱私且實現協同計算的基本需求，促進數據共享使用。
10.安全存儲備份模塊。通過統一平臺實現用戶業務系統對結構化、半結構化、非結構化多種數據類型存儲需求，提供文件、塊、對象服務能力；實現用戶日益增長的復合數據存儲，海量高效、架構靈活、動態擴展、軟硬解耦，以及實現對云計算生態的無縫支持。
數據安全能力聯動是為了更好地防范數據安全風險，切實做好數據分級保護，對數據梳理、數據血緣分析、數據流轉和跨境數據監測、權限控制、數據保護、安全審計、追蹤溯源等綜合應用的技術保障，持續提升數據的全生命周期安全能力水平，使數據治理安全建設融入安全基因，推動企業組織數據安全能力優化。
5.推動企業組織數據安全能力優化
雖然，數據安全技術發展與演進能為數據治理安全問題的解決帶來新的思路，但面對持續變化的數據安全形勢與要求，在管理制度層面需要業務人員、數據安全人才積極為數據治理安全建設獻言獻策，進而才能促使數據治理安全建設在實踐中日趨成熟；在技術平臺方面借鑒 DevSecOps 軟件開發的理念，促進數據安全運營和業務部門之間的溝通、協作與整合，共同確保企業組織數據安全能力持續、健康地為企業組織的數據治理安全建設服務。
建議參考霍因科技在數據治理安全領域的成果，復用數據閉環管控的措施，以數據安全監測結果和數據安全評估報告為依據，通過數據治理安全環節的串聯、互補、聯動與反饋，打造多種安全能力融合，對自身的數據治理安全流程不斷改進，最終促進企業組織數據治理安全能力的持續優化。
圖5. 數據安全能力持續優化
霍因科技是一家專注在為企業客戶提供數據安全的方案/服務提供商。服務聚焦于安全合規驅動下的數據治理方案，采用場景化能力復用及機器學習能力，將數據治理與數據安全管理能力融合。
