数据安全治理概念和理解

一、数据安全治理概念

数据安全的定义

• 以数据为核心的安全机制，保护数据的机密性，完整性和可用性

数据安全能力

• 组织机构在组织建设，制度流程，技术工具和人员能力这四个维度确保数据安全的保障能力
• GBT/37988-数据安全能力成熟度模型

数据安全范围

• 大数据安全不等于数据安全
• 大数据时代下的数据安全
  • 数据各种存在的形式和使用的方式以及流转交换共享的各种模式

数据安全威胁

1. 勒索病毒
2. 各种信息监听
3. 国际国家级别的攻击
4. 重要国家关键基础设施易遭破坏

存在数据安全威胁的原因

• 数据在哪里，价值就是在哪里，价值在哪里，攻击的目标就在哪里

数据治理和数据安全治理

• 数据治理
  • 数据治理一般存在数据资产梳理，标准体系，质量管理且要确保其准确可靠，治理信息污染和混乱等情况
• 数据安全治理
  • 数据安全治理是针对安全方向的治理，对数据进行全面的风险分析评估，建立整体的数据安全体系，包括针对具体数据防护的安全措施做到数据不被勒索，篡改，泄露，保密性以及满足国家的相关法律法规等合规要求

数据安全关注点

1. 合规层面的国家法律法规和国家或者行业的安全监管
2. 防护防范层面是主要针对内部威胁，外部攻击和环境灾害，当然也包含近些年凸显的供应链威胁

治理和管理的区别

• 治理
  • 矩阵式，可以理解为从多个层面多个维度多个方向围绕数据安全战略目标而发起的各种数据安全处理措施的过程
• 管理
  • 垂直式，可以理解为站在管理层使用一套自上而下的制度规则流程，从上至下去执行

Gartner数据安全治理框架

• 主要描述的是不要一来就从技术开始搞数据安全，而是要自上而下让公司的决策层进行商业战略布局，从整个公司层面做合规，管理，IT战略，风险容忍度等方面去优先处理数据集合

数据安全与传统安全的联系

• 通俗的来讲这两类方向并不冲突，矛盾，它们都是相辅相成的，以前没有太多的关注到数据自身的全生命周期安全，在那个时间段就是我们所说的传统安全，可以理解为传统安全是保护数据所在环境的安全，现在所说的数据安全是包括传统安全然后再把数据安全全生命周期纳入进去，在传统安全上再升华凝聚，扩大安全范围，这就是数据安全，所以总结来说，做数据安全要把传统安全做进去然后再做数据安全，当然现在的安全框架已经在传统安全上做了各种补充提炼优点加到了数据安全里面，所以现在做数据安全就已经揽括以前所要做的传统安全或网络安全等

二、以数据为中心的安全架构

以数据为中心的安全架构

• 这里说的以数据为中心的安全架构是基于近些年的各种政策的下发和国家层面推出的等保2.0以及近十年甲方大厂的各种最佳安全实践总结出来的经验，组合起来确定就是等保2.0是做安全的基础，这个其实很多甲方在做安全的时候，基于实际场景做出来的安全框架防护过程完全符合等保2.0的要求，我认为等保2.0实际就是等同采用这些甲方做出来的最佳安全实践而输出的成果；再次就是确保核心是关键数据，基于关键数据的基础上对数据进行分级分类，然后在分级分类的数据中根据重要程度和敏感程度对数据进行安全治理，数据安全治理的过程依旧可参考数据安全能力成熟度模型中提出的四个维度，包括组织机构，制度流程，技术工具，人员能力，当然还有其他数据安全治理模型，可以根据实际情况进行组合使用。

两个覆盖

• 网络安全
  • 覆盖全社会
  • 覆盖所有需要被保护的对象
• 数据安全
  • 覆盖全场景
  • 覆盖数据安全全生命周期的各个环节

数据安全治理的主要环节

以数据为核心的安全体系

1. 治理评估
   1.1 治理评估
   1.2 能力建设
   1.3 审计核查
   1.4 持续改进

2. 安全组织能力
   2.1 架构与职能
   2.2 部门及角色
   2.3 业务及权责
   2.4 人员与能力
   2.5 协作与监督

3. 安全管理能力
   3.1 合规要求，业务需求，现状风险驱动下面的规范流程
   3.2 策略，管理办法，流程，规范，指南，模板，计划，报告，记录，日志
   3.3 在上面规程流程使用PDCA进行改进，P-规划，D-执行，C-检查，A-纠正

4. 安全技术能力
   4.1 数据安全智能管控
   4.1.1 数据分类分级，数据生命周期，数据资产分布，数据安全审计，用户行为分析，统一策略下发
   4.2 可信环境保障
   4.2.1 物理安全，网络安全，应用安全，设备安全，云安全，接入安全
   4.3 数据安全防护
   4.3.1 数据识别，数据标签，数据加密，数据访问控制，数据防泄漏，数据动静态脱敏，数据备份容灾，数据安全擦除
   4.4 安全基础设施
   4.4.1 密码管理，身份认证，时间同步

5. 能力支撑
   5.1 情报支撑，安全服务，运营维护，应急响应

6. 总结
   6.1 分阶段建设，保持内外合规，常态审计稽核，异常行为纠正，安全持续改进

一个中心三重防护

• 一个中心
  • 安全管理中心(数据安全统一管理)
• 三重防护
  • 安全支撑系统
  • 安全防御基础-数据全生命周期各个环节
  • 安全运维基础

网络安全防护体系三同步

• 三同步是根据网络安全等级保护条例中的第四条要求网络运营者在网络安全建设过程中，应当同步规划，同步建设和同步运行网络安全保护，保密和密码保护措施
  • 同步规划-网络
  • 同步建设-信息系统
  • 同步运行-数据

安全防护体系同步规划

• 组织体系

  • 决策层(公司的高级管理层，例如：CSO，CISO，CTO之类的或者委派某一个人全权处理并得到最高层支持)
  • 管理层(这里是数据安全，所以可以是数据安全管理团队，也可以是公司的网络安全团队可定义为安全总监级别)
  • 执行层(这个是在管理层下，可以理解为安全总监下面的小组，或者某一个安全方向的技术团队，里面有主管及其组员)
  • 参与层(这里包括公司的所有员工，只要是需要配合的，当然公司的合作伙伴如果有需要协调也是算在里面)
  • 监督层(公司专门安排的审计部门，大点公司就独立于其他部门，挂在总裁办下面，小点公司就放在安全部下面)

• 管理体系

  • 对数据安全治理进行约束
  • 策略，管理办法，管理规范，标准，指南，细则，操作手册，记录

• 运维体系

  • 运行维护
  • 安全咨询，安全评估，威胁情报，安全整改，上线检查，运维保障，应急响应

• 技术体系

  • 数据全生命周期安全防护技术-具体细节到时候在数据安全技术里面呈现

安全防护体系同步建设

• 治理评估
  • 治理目标，组织评估，管理评估，业务梳理，数据识别，风险评估，措施评估，差距分析
• 组织建设
  • 架构与职能，部门及角色，业务及权责，人员与能力，协作与监督
• 管理建设
  • 需求梳理-业务，合规，风险，基线目标
  • 管理现状梳理-已有制度，执行情况，风险事件，主要问题
  • 管理制度建设
    • 一级-方针和总纲
    • 二级-管理制度和管理办法
    • 三级-流程，规范，指南，模板
    • 四级-计划，报告，记录，日志
• 技术建设
  • 能力目标，方案设计，产品实施，策略实施，验证确认
• 审计改进
  • 运行监控，审计记录，异常分析，应急处置，追踪溯源，改进优化

安全防护体系同步运行

数据安全管控平台和安全专家服务

数据安全管控平台

• 管理支撑
  • 用户权限管理，安全策略，数据分类分级，安全状态量化，整改过程监控，绩效考核
• 展示层
  • 数据资产分布，数据血缘关系，敏感数据分布，数据生命周期状态 - (数据资产视图)
  • 产生风险，传输风险，存储风险，销毁风险 - (数据风险视图)
  • 预警通告视图，处置流程视图......
• 分析层
  • 数据资产分析，数据生命周期状态分析，数据血缘分析，安全状态量化分析，专项泄密分析，事件趋势分析，敏感数据风险分析，事件多维统计分析
• 采集存储层
  • 数据采集，数据解析，数据标准化，数据归并，数据存储 - (Hadoop Hive,Hbase,HDFS)
• 感知层
  • 被动-网络监控DLP，数据库审计，终端DLP(监控)
  • 主动-存储DLP(发现)，数据库(扫描)，终端DLP(扫描)
• 防护层
  • 网络DLP(阻断)，终端DLP(防护)，存储DLP(防护)
  • 数据库防护，数据脱敏，数据安全交换，数据加密，数据备份恢复

安全专家服务

• 安全咨询，安全评估，威胁情报，合规评估，安全整改，运维保障，应急响应

安全防护体系进化的目标

• 被动防护变主动防护，静态防护变动态防护，单点防护变整体防护，粗放防护变精准防护