資料安全治理概念和理解

阿新 • • 發佈：2022-04-08

一、資料安全治理概念

資料安全的定義

以資料為核心的安全機制，保護資料的機密性，完整性和可用性

資料安全能力

組織機構在組織建設，制度流程，技術工具和人員能力這四個維度確保資料安全的保障能力
GBT/37988-資料安全能力成熟度模型

資料安全範圍

大資料安全不等於資料安全
大資料時代下的資料安全
- 資料各種存在的形式和使用的方式以及流轉交換共享的各種模式

資料安全威脅

勒索病毒
各種資訊監聽
國際國家級別的攻擊
重要國家關鍵基礎設施易遭破壞

存在資料安全威脅的原因

資料在哪裡，價值就是在哪裡，價值在哪裡，攻擊的目標就在哪裡

資料治理和資料安全治理

資料治理
- 資料治理一般存在資料資產梳理，標準體系，質量管理且要確保其準確可靠，治理資訊汙染和混亂等情況
資料安全治理
- 資料安全治理是針對安全方向的治理，對資料進行全面的風險分析評估，建立整體的資料安全體系，包括針對具體資料防護的安全措施做到資料不被勒索，篡改，洩露，保密性以及滿足國家的相關法律法規等合規要求

資料安全關注點

合規層面的國家法律法規和國家或者行業的安全監管
防護防範層面是主要針對內部威脅，外部攻擊和環境災害，當然也包含近些年凸顯的供應鏈威脅

治理和管理的區別

治理
- 矩陣式，可以理解為從多個層面多個維度多個方向圍繞資料安全戰略目標而發起的各種資料安全處理措施的過程
管理
- 垂直式，可以理解為站在管理層使用一套自上而下的制度規則流程，從上至下去執行

Gartner資料安全治理框架

主要描述的是不要一來就從技術開始搞資料安全，而是要自上而下讓公司的決策層進行商業戰略佈局，從整個公司層面做合規，管理，IT戰略，風險容忍度等方面去優先處理資料集合

資料安全與傳統安全的聯絡

通俗的來講這兩類方向並衝突，矛盾，它們都是相輔相成的，以前沒有太多的關注到資料自身的全生命週期安全，在那個時間段就是我們所說的傳統安全，可以理解為傳統安全是保護資料所在環境的安全，現在所說的資料安全是包括傳統安全然後再把資料安全全生命週期納入進去，在傳統安全上再昇華凝聚，擴大安全範圍，這就是資料安全，所以總結來說，做資料安全要把傳統安全做進去然後再做資料安全，當然現在的安全框架已經在傳統安全上做了各種補充提煉優點加到了資料安全裡面，所以現在做資料安全就已經攬括以前所要做的傳統安全或網路安全等

二、以資料為中心的安全架構

以資料為中心的安全架構

這裡說的以資料為中心的安全架構是基於近些年的各種政策的下發和國家層面推出的等保2.0以及近十年甲方大廠的各種最佳安全實踐總結出來的經驗，組合起來確定就是等保2.0是做安全的基礎，這個其實很多甲方在做安全的時候，基於實際場景做出來的安全框架防護過程完全符合等保2.0的要求，我認為等保2.0實際就是等同採用這些甲方做出來的最佳安全實踐而輸出的成果；再次就是確保核心是關鍵資料，基於關鍵資料的基礎上對資料進行分級分類，然後在分級分類的資料中根據重要程度和敏感程度對資料進行安全治理，資料安全治理的過程依舊可參考資料安全能力成熟度模型中提出的四個維度，包括組織機構，制度流程，技術工具，人員能力，當然還有其他資料安全治理模型，可以根據實際情況進行組合使用。

兩個覆蓋

網路安全
- 覆蓋全社會
- 覆蓋所有需要被保護的物件
資料安全
- 覆蓋全場景
- 覆蓋資料安全全生命週期的各個環節

資料安全治理的主要環節

以資料為核心的安全體系

治理評估
1.1 治理評估
1.2 能力建設
1.3 審計核查
1.4 持續改進
安全組織能力
2.1 架構與職能
2.2 部門及角色
2.3 業務級權責
2.4 人員與能力
2.5 協作與監督
安全管理能力
3.1 合規要求，業務需求，現狀風險驅動下面的規範流程
3.2 策略，管理辦法，流程，規範，指南，模板，計劃，報告，記錄，日誌
3.3 在上面規程流程使用PDCA進行改進，P-規劃，D-執行，C-檢查，A-糾正
安全技術能力
4.1 資料安全智慧管控
4.1.1 資料分類分級，資料生命週期，資料資產分佈，資料安全審計，使用者行為分析，統一策略下發
4.2 可信環境保障
4.2.1 物理安全，網路安全，應用安全，裝置安全，雲安全，接入安全
4.3 資料安全防護
4.3.1 資料識別，資料標籤，資料加密，資料訪問控制，資料防洩漏，資料動靜態脫敏，資料備份容災，資料安全擦除
4.4 安全基礎設施
4.4.1 密碼管理，身份認證，時間同步
能力支撐
5.1 情報支撐，安全服務，運營維護，應急響應
總結
6.1 分階段建設，保持內外合規，常態審計稽核，異常行為糾正，安全持續改進

一箇中心三重防護

一箇中心
- 安全管理中心(資料安全統一管理)
三重防護
- 安全支撐系統
- 安全防禦基礎-資料全生命週期各個環節
- 安全運維基礎

網路安全防護體系三同步

三同步是根據網路安全等級保護條例中的第四條要求網路運營者在網路安全建設過程中，應當同步規劃，同步建設和同步執行網路安全保護，保密和密碼保護措施
- 同步規劃-網路
- 同步建設-資訊系統
- 同步執行-資料

安全防護體系同步規劃

組織體系
- 決策層(公司的高階管理層，例如：CSO，CISO，CTO之類的或者委派某一個人全權處理並得到最高層支援)
- 管理層(這裡是資料安全，所以可以是資料安全管理團隊，也可以是公司的網路安全團隊可定義為安全總監級別)
- 執行層(這個是在管理層下，可以理解為安全總監下面的小組，或者某一個安全方向的技術團隊，裡面有主管及其組員)
- 參與層(這裡包括公司的所有員工，只要是需要配合的，當然公司的合作伙伴如果有需要協調也是算在裡面)
- 監督層(公司專門安排的審計部門，大點公司就獨立於其他部門，掛在總裁辦下面，小點公司就放在安全部下面)
管理體系
- 對資料安全治理進行約束
- 策略，管理辦法，管理規範，標準，指南，細則，操作手冊，記錄
運維體系
- 執行維護
- 安全諮詢，安全評估，威脅情報，安全整改，上線檢查，運維保障，應急響應
技術體系
- 資料全生命週期安全防護技術-具體細節到時候在資料安全技術裡面呈現

安全防護體系同步建設

治理評估
- 治理目標，組織評估，管理評估，業務梳理，資料識別，風險評估，措施評估，差距分析
組織建設
- 架構與職能，部門及角色，業務及權責，人員與能力，協作與監督
管理建設
- 需求梳理-業務，合規，風險，基線目標
- 管理現狀梳理-已有制度，執行情況，風險事件，主要問題
- 管理制度建設
  - 一級-方針和總綱
  - 二級-管理制度和管理辦法
  - 三級-流程，規範，指南，模板
  - 四級-計劃，報告，記錄，日誌
技術建設
- 能力目標，方案設計，產品實施，策略實施，驗證確認
審計改進
- 執行監控，審計記錄，異常分析，應急處置，追蹤溯源，改進優化

安全防護體系同步執行

資料安全管控平臺和安全專家服務

資料安全管控平臺

管理支撐
- 使用者許可權管理，安全策略，資料分類分級，安全狀態量化，整改過程監控，績效考核
展示層
- 資料資產分佈，資料血緣關係，敏感資料分佈，資料生命週期狀態 - (資料資產檢視)
- 產生風險，傳輸風險，儲存風險，銷燬風險 - (資料風險檢視)
- 預警通告檢視，處置流程檢視......
分析層
- 資料資產分析，資料生命週期狀態分析，資料血緣分析，安全狀態量化分析，專項洩密分析，事件趨勢分析，敏感資料風險分析，事件多維統計分析
採集儲存層
- 資料採集，資料解析，資料標準化，資料歸併，資料儲存 - (Hadoop Hive,Hbase,HDFS)
感知層
- 被動-網路監控DLP，資料庫審計，終端DLP(監控)
- 主動-儲存DLP(發現)，資料庫(掃描)，終端DLP(掃描)
防護層
- 網路DLP(阻斷)，終端DLP(防護)，儲存DLP(防護)
- 資料庫防護，資料脫敏，資料安全交換，資料加密，資料備份恢復