园区数据安全防护建设探索

园区数据安全防护建设探索

张贵

新疆维吾尔自治区纪委监委  新疆乌鲁木齐 830002

摘要：随着信息技术的快速发展和数字化转型的深入推进，园区作为产业集聚、技术创新的重要载体，其数据安全防护问题日益凸显。本文旨在探讨园区数据安全防护建设的现状、需求及解决方案，提出一套适应园区发展需求的综合性数据安全防护解决方案，为园区的可持续发展提供坚实的数据安全保障。

关键词：数据安全，数据脱敏，数据安全生命周期，访问控制，数据防泄漏

引言：为解决园区各部门中存在的数据“孤岛”问题，实现“让数据多跑路，人少跑路”的办事模式，发展智慧园区、数据融合，为最终形成园区大数据成为关键。其中，大数据平台由于所管理的数据内容敏感、使用面广、使用频率高等原因需要尤其关注其数据的安全性。传统的网络安全能力由于距离真实数据较远，无法从源头上防止数据库泄密风险。本方案以数据为中心，针对性的部署“术业有专攻”的数据安全能力体系，从数据源头解决数据安全问题。

一、需求分析

1.合规需求和“有用性”需求

数据泄露事件造成的影响重大，数据安全问题已经升至国家层面，有关数据安全的政策已经并正在密集出台。为了充分保障园区业务层面的数据安全，大数据平台需要符合国家相关的安全法律法规、技术标准和行业规范等要求，实现访问控制、安全审计、监测预警等能力。

在使用大数据平台相关服务过程中，需要满足用户的“有用性”需求，即数据安全能力体系确实可以发挥作用，可以有效识别并防止数据安全事件的产生。对于内部人员需要加强权限管控，防止有意无意的泄密；对于外部人员需要加强访问控制，防御外部的攻击。通过各项安全技术措施，保障大数据平台数据的可用性、完整性和机密性。

2.全生命周期场景需求

需要以数据为核心，构建覆盖数据全生命周期所有场景的安全保障体系。应该在数据采集、数据传输、数据存储、数据共享与使用等环节采取相应的安全防护措施大数据平台的数据安全。

（1）数据采集需求。①需要对数据采集设备进行安全管控，检查数据采集设备的安全管理措施和策略是否完善。②需要有完善的数据采集日志记录。③数据采集设备需要有完善的安全防护手段，例如身份鉴别和访问控制等。

（2）数据传输安全。①需要在传输重要核心数据时设置对应的安全措施，制定安全策略，进行安全监控。②需要接口鉴权和认证能力保障数据传输的安全和被监控被记录。

（3）数据存储安全。①需要对数据库账号设置相应的访问权限。②对于重要程度很高的数据，使用加密存储，保证关键数据的保密性。③需要建立完善的数据备份制度，落实备份机制，保证备份数据的有效性和可用性。

（4）数据使用安全。①需要对使用数据使用者身份进行鉴别，防止假冒合法人员使用数据。②需要对使用数据的人员进行权限控制，防止数据使用者越权访问数据。③需要对内部人员通过应用访问敏感数据的行为进行监控和审计，并对用户行为进行建模分析，以及时发现数据滥用、泄露的风险。③需要对研发人员、测试人员和数据库管理员访问的数据进行脱敏，并保证数据脱敏后可用。

（5）数据共享交换安全。①数据资源在共享开放过程中，需要针对个人隐私信息等高敏感数据（姓名、地址、身份证号码等）进行匿名化处理，防止数据泄漏。②需要针对数据共享的接口进行发现、监控和审计，防止数据泄露。③如共享的数据不慎泄露，需要进行溯源追责。

（6）数据销毁安全。①需要有效的数据销毁手段。②需要建立数据销毁工作记录和资源回收清单。③需要完善的数据销毁安全管理制度，覆盖全部的销毁场景。

二、解决方案

1.合规需求和“有用性”解决方案

为满足网络安全法、数据安全法、分级保护、国密要求、内部标准等，数据安全解决方案参照中华人民共和国保密指南、BMB17-2006《涉及国家秘密的信息系统分级保护技术要求》和BMB20-2007《涉及国家秘密的信息系统分级保护管理规范》等要求和标准，紧密结合实际情况，进一步研究制定具体的、有针对性的政策措施，如：数据分类分级、数据加密、访问控制、安全审计、风险告警等。利用安全产品组合部署，通过及时监测和预警，实现动态联防，帮助最大限度达到合规要求。针对用户的“有用性”需求，数达安全提供的产品可以实现身份鉴别、访问控制、安全审计、数据加密等对数据的保护措施。可针对内部人员和外部人员分别定制管控措施，有效防止数据安全事件的发生。同时对所有数据操作记录和溯源，有效保障大数据平台数据的可用性、完整性和机密性。

2.数据全生命周期安全解决方案

以数据资产梳理与数据流转监测为基础，通过对数据大数据平台对数据进行分级分类安全梳理，结合访问控制、数据加密、数据脱敏技术对不同用户角色、不同的数据访问行为进行管控、防护、脱敏、审计、分析，基于“可视、可管、可控”的思路，建设一套提醒化的数据安全平台，实现数据全生命周期的数据安全。同时通过对所有数据安全产品的日志收集和分析，系统展示整体数字资产情况，敏感数据分布、流向状态，以及数据泄露中的追踪溯源问题。

三、数据安全平台建设能力

1.数据资产安全管理能力

数据资产安全梳理可为用户提供全域数据资产智能挖掘和扫描梳理，依据用户对数据资产的价值、敏感度、类别等具体界定，进行数据分类分级的标示、敏感数据扩散边界控制、风险动态监测和防护等。同时利用数据安全智能识别引擎及可视化技术直观呈现数据分布、状态、流转、关联等详细信息。

2.数据加密能力

由数据库加密系统实现数据加密能力，基于透明加密技术实现敏感数据加密存储。支持多种加密算法对敏感数据加密，以满足等保、分保等评测要求；在此基础上增加独立于数据库的访问授权机制。任何访问被加密数据的人或应用事先必须经过授权，拥有合法的访问权限才能访问加密数据，非授权用户无法访问加密数据，有效防止管理员越权访问及黑客拖库。

3.数据脱敏能力

拥有数据库脱敏静态脱敏和动态脱敏两种模式，支持替换、截断、屏蔽、随机、加密、隐藏等脱敏算法和策略，支持删除、编辑等高危操作禁止，限制返回行数等动态访问控制策略。能够解决大多数用户针对合规性满足以及敏感数据泄露防护等场景的业务需求。

（1）数据库动态脱敏支持屏蔽、随机、仿真等类型的脱敏算法，基于数据分级分类标准和用户访问数据的权限，在生产数据库的数据传输和展现过程中，对数据进行实时的模糊化处理，防止敏感数据的泄露，满足运维场景中的实时数据脱敏的需求。

（2）数据库静态脱敏通过特定算法规则对敏感信息进行变形和隐藏，批量的将敏感数据转换为非敏感数据。脱敏后的数据特征看上去和原有数据一致。在实施高效脱敏的处理的同时，提供脱敏后数据的高保真性、数据之间的关联性，支持脱敏工程的可逆性和不可逆性、可重复性与不可重复性的多种策略选择。充分满足用户针对不同应用场景下的各种脱敏需求，使脱敏后的数据可以安全的应用于测试、开发、分析和第三方大数据分析等环境。

4.数据访问控制能力

其主要功能包括独立访问控制、SQL注入攻击防护、漏洞攻击防护、风险检测与处置以及全面日志审计等。

（1）独立访问控制：数据库防火墙通过接管数据库访问，并针对SQL协议进行解析，实现独立于数据库权限体系之外的访问控制功能。支持添加内置和自定义访问控制规则、支持经典的黑白名单以及基于机器学习的智能动态基线机制。

（2）SQL注入攻击防御：数据库防火墙通过分析SQL语法来识别SQL注入攻击的不同特征，同时构建SQL注入特征库，对外来SQL注入攻击进行特征库匹配。同时基于信息独有的SQL序列智能检测发明专利，快速有效的对SQL注入攻击进行拦截阻断。

（3）虚拟补丁：基于传统数据库补丁升级带来的业务影响，数据库防火墙有针对性的开发虚拟补丁功能。通过内置缓冲区溢出、拒绝服务等多种数据库虚拟补丁规则，涵盖数十种数据库类型，在数据库外层构建漏洞攻击的专项防护，有效规避数据库被攻击的风险。

（4）风险告警：数据库防火墙对识别的风险访问行为记录形成风险告警日志，外发并进行阻断。告警信息根据匹配的策略进行分类后统计汇总。对于系统产生的误报警，可以分别进行处理，提高防护策略的精确性。

5.数据安全审计能力

（1）数据库审计用于实现对数据访问的所有行为的记录，支持旁路审计、代理审计和插件审计三种工作模式，通过对数据流量进行深度解析来实现对数据库访问行为的审计，帮助用户实时统计访问数据库的请求和风险，提升数据库运行监控的透明度，降低人工审计成本，真正实现数据库全业务运行可视化、日常操作可监控、危险操作可控制、所有行为可审计、安全事件可追溯。数据安全审计系统还提供灵活的告警策略、细粒度的审计日志和合规性的报表，解决客户的核心数据库面临的“越权使用、权限滥用、权限盗用”等安全威胁，满足各类法令法规对数据安全审计的要求。

（2）API审计与溯源。API业务审计系统以旁路部署侦听的工作模式，能对Web业务系统的接口进行深度解析与审计分析，可以帮助用户提升业务运行监控的透明度，降低人工审计成本，真正实现业务运行可视化、日常操作可监控、危险操作可控制、所有行为可审计、安全事件可追溯。API业务审计系统还提供灵活的告警策略、细粒度的审计日志和合规性的报表，解决客户的核心业务面临的“敏感信息外发、接口盗用、违规权限、业务风险”等安全威胁，满足各类法令法规对业务接口审计的要求。

6、数据防泄漏能力

数据防泄漏基于先进的AI识别算法，通过对文档自动分类分级，实现数据有效治理；以深度内容分析为基础，对单位内部外泄内容进行识别，发现敏感数据的传输与应用；结合文件加密技术，保护重要数据资产安全，有效防止核心数据主动、被动泄密。为用户提供安全、高效、稳定、易用的一体化数据安全整体解决方案，有效防止数据泄漏事件发生。   （1）终端防泄漏终端DLP主要用于安装在内网笔记本或台式机上，负责扫面发现这些终端上敏感数据，并监视这些终端上敏感数据的操作使用，对于高风险数据的复制、USB拷贝、打印刻录等行为进行风险提醒和阻断保护。

（2）系统支持通过旁路、串联、代理、对接等模式，对从网络中获取流量进行协议识别、内容恢复与扫描，及时外发、下载的电子邮件，上传、下载到各种Web应用或文件服务器数据终是否包含有敏感数据，并对违规流量进行实时告警、拦截等处置。

7.数据安全态势感知

数据安全态势感知系统实现了数据安全能力的融合和一站式统一管理。用于集中管理数据安全系列组件，实现统一认证、账户审计、授权管理、设备管理、状态检测等功能，实现安全组件的实时状况监控、报警/报表信息的集中展现。实现“一窗式”运维管理、设备的快速定位，以及高安全冗余备用方案。同时通过人工智能手段，实现对数据的APT攻击等复杂攻击行为的识别。为机关信息化部门领导提供及时、全面、准确的全网数据安全管理的量化分析和决策依据，同时有效提升管理员日常运维、管理效率。部署在用户环境中的所有安全组件可以通过数据安全态势感知系统进行统一管控。系统能够提供全网数据安全产品的实时监控，包括设备运行的状态、性能，能够通过平台进行统一的维护管理，例如策略配置，资产监控和常见维护操作。同时，管控平台能够进行报警通知，生成安全报表等。

结论：

园区数据安全防护建设是一项长期而复杂的任务，需要技术、管理和法律等多方面的协同努力。通过构建科学有效的数据安全防护体系，加强数据安全技术研发和应用，完善数据安全管理制度和法规建设，可以有效提升园区的数据安全防护能力，为园区的可持续发展提供坚实保障。未来，随着技术的不断进步和管理的不断完善，园区数据安全防护工作将迎来更加广阔的发展空间。

参考文献：

《中国新通信》2023年第10期《大数据时代政务数据安全防护方案》

《网络安全和信息化》2018年第10期《防止敏感数据泄露对企业的重要性》

《信息安全与通信保密》2023年第2期《数据脱敏技术研究及展望》

1 / 2