当前我国进入“十四五”建设新征程。随着数字化经济的快速发展，一场以数据为中心的网络攻防战已经拉开序幕。跨界融合的业务、复杂多变的IT环境、持续创新的技术，令传统基于边界的安全防护、单次静态的安全策略配置已经无法满足数据业务发展的安全需求。
全面贯彻以“中华人民共和国数据安全法”为基础的数字化战略，构建全场景数据安全运营能力。贴合客户需求，形成场景化的数据安全解决方案，实现数据安全“全领域、全要素、全类型”的全面覆盖，达到“全面防护，智能分析，自动响应”的数据安全防护效果，有效保护数据在全生命周期过程中的安全。
1. 全领域覆盖的大数据共享交换安全
在新型基础设施中，大数据中心已成为数据汇聚的核心平台之一。根据Synergy Research Group统计显示，全球超大规模数据中心数量增至659个，自2016年年中以来增加一倍多，结合过去三年数据，超大规模数据中心的增长几乎呈直线增长，每个季度平均有16个新数据中心上线。大数据中心将数字化世界产生的大量数据进行集合，在统一存储的同时，进行高速的计算与处理，将挖掘与分析出的有价值数据提供到各行各业的应用中，达到“取之于民、用之于民、造福于民”的作用。
大数据中心利用大数据平台实现数据共享交换已经成为趋势，多种技术的融合也为大数据共享交换提供了有力的安全保障措施。融合技术创新成为数据安全治理方案的核心，运用多种机制综合维护用户数据安全，核心机制包括6种，分别是：基于大数据平台环境的漏洞与配置检查、基于数据采集汇聚环境的敏感数据扫描与定位、基于用户身份的认证与鉴权、基于API接口作为数据传输媒介的API安全防护与数据流向追踪、基于前置数据库的数据行为审计与加密保护、基于人工智能为依托的数据安全统一运营。与此同时，数据安全治理方案还要通过综合应用UEBA、数据挖掘、隐私计算、AI大数据分析等多种先进技术，并结合威胁情报库，对整个大数据共享交换系统进行全面的数据安全关联分析和展现，用可视化的效果实现对数据安全的全面运营。
图1大数据共享交换安全
2. 全要素覆盖的大数据业务安全
大数据安全中的全要素是指，由人员链、业务链、供应链等因素发起的关联式深度威胁。在我国数字化转型的快速推进时期，为了解决全要素的安全问题，需要转变安全视角，从整体大数据业务出发，围绕对外的门户业务、内部办公业务和生产业务、业务运维四种场景，结合多种检测和防护技术，在数据价值最大化的同时，保障大数据业务安全。
图2数据场景及安全措施
图2场景中，在业务系统与数据中心之间采用数据库防火墙、数据脱敏、数据库审计、API安全来做到相应的防护与审计效果。对于运维场景，除了依靠堡垒机来防护以外，也同样需要数据库防火墙、数据脱敏、数据库审计和API安全来对数据进行防护，同时还应具有数据扫描的能力，帮助业务系统发现更多的数据风险。终端侧，不管是办公终端、生产终端，还是运维终端，要从准入、加密、远程桌面、DLP等方面入手，全面保障数据的安全，谨防数据泄漏情况的发生。
大数据业务安全中一个重要的因素是用户的确权，不管是数据的采集、存储、传输，还是使用、共享、销毁，都需要根据数据的重要级别设置对应的访问权限，因此针对用户应提供全面统一的认证管理，让可信变成现实，权限关联数据内容，再结合统一的密钥管理系统，使数据的访问认证和加密相互关联，全面的保证数据的保密性、完整性和可用性。
图3用户权限与数据访问安全
图3中，数据在被访问的同时需要依托动态的权限控制来保障数据的安全，这里就要提到两款常见的产品（数据库防火墙和数据脱敏），这两款产品都是基于数据库协议分析与控制技术、内容识别与脱敏算法来实现对数据的访问控制。其中数据库防火墙主要包括对数据库的访问行为控制、危险操作阻断、可疑行为审计和返回结果的脱敏能力，而数据脱敏主要包括动态脱敏、静态脱敏，以及脱敏数据风险评估的能力。从访问权限的控制角度来看，数据库防火墙在细粒度的访问控制上优势更加明显，数据脱敏则更加注重脱敏算法的多样性，这两种能力如果搭配来使用，会达到事半功倍的效果，让具有不同权限的用户或者业务系统在正常运行的情况下实现访问数据内容的可用不可见、所需方可见的效果。
图4数据共享交换防泄漏
图4中，数据在办公和生产环境中的数据交换共享是常见的工作方式，很多单位用户为了防范数据被员工有意或无意的泄漏，都会对敏感数据进行加密，加密后的数据多少也会对交互产生一些影响，为了避免影响，可以采用加密与环境隔离的方式来实现，及内部数据不加密，只要在数据脱离环境时再进行加密处理。在此基础上再采用替换密钥的方法，让数据在跨环境交换时无需解密即可进行交换，从而杜绝了数据丢失的风险。
3. 全类型覆盖的大数据风险评估与安全防护
大数据安全中的全类型是指，环境的缺陷可导致外部和内部的攻击破坏和数据窃取，行为的不规范可导致恶意的窃取和无意识的滥用和泄漏。如何防范和杜绝风险，就要对风险点有准确的识别能力，从数据安全风险评估的角度可以总结为三类指标，包括：数据主体、数据环境、数据行为。数据主体除了对分类分级有明确定义外，其脆弱性难以评判，那么数据面临的主要风险就是来自其“数据环境”和“数据行为”，结合数据生命周期的六个阶段，逐一对数据环境风险和数据行为风险进行评估与判定，明确风险，为防护手段提供确实的依据。如图5所示。
图5数据风险点识别
对于恶意攻击以及因无意识数据滥用发起的攻击，根据数据主体、数据环境、数据行为所产生的风险点，建立自动化的数据安全纵深防护预警体系进行切实应对。以数据为中心，向外对业务、网络、设备、用户采取“零信任”的态度，任意环节失信后都能实现熔断保护，利用更加智能的方式实现数据风险的动态联防。如图6所示。
图6自动化的数据安全纵深防护预警体系
围绕数据主体、数据环境、数据行为，在用户侧、终端侧、网络侧、业务侧，以及数据中心，全面做好安全防护措施，外向内防攻击、防入侵、防篡改，内向外防滥用、防伪造、防泄露。最关键的是，要对全部纵深防护环节进行整体控制，实现环境感知，可信控制和全面审计。构建统一的数据安全运营平台，对整个网络的威胁、日志持续监控，通过内外部的态势数据、评估数据、情报数据的内容，利用安全大数据对事件进行快速分析，当发现敏感数据泄漏风险、黑客入侵风险、数据篡改风险、越权访问等数据安全风险时，智能判断风险发生的位置、路径、方式等，从而快速向风险发生最近的或最直接的安全防御系统发出指令，安全防御系统根据指令调整安全策略，对链路、会话、行为等做出警告并阻断操作，实现自动化的响应能力，及时发现问题，及时阻止安全问题。
总结：
以“中华人民共和国数据安全法”为准绳，强调以体系化建设为指引，引入新技术来优化传统技术和管理流程，通过实现自动化和半自动化以降低数据安全与数据开发利用的运营成本，从而确立数据安全管理制度，提升数据安全治理与开发利用的技术水平，有效的应对数据安全风险与挑战，在保障数据安全的同时让数据价值最大化。
（本文作者：绿盟科技集团股份有限公司 施岭）
声明：本文来自CCIA数据安全工作委员会，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
