《数据安全实践指南》 通用安全实践数据供应链安全

数据供应链安全

• 放眼全球各产业界，分工越来越细化，各企业在专注于核心竞争力的同时，也将工作重点聚焦于全球供应链之上。在质量、成本、速度、效率等业绩指标的压力下，安全方面的投入只能被一再挤压，天平开始失衡。
• 一个组织，不管规模有多大，业务有多综合繁杂，都将不可避免地与第三方进行直接或间接的业务合作，以及进行对应的数据流动，而相关的数据在该过程中如何保持“应有的安全”，则是组织需要解决的新问题。本节将主要介绍组织数据供应链安全管理的相关注意事项与实践方法。

建立负责数据供应链安全的职能部门

• 数据供应链是指围绕数据主体，制定统一的数据标准、管理数据的质量、保障数据全生命周期安全，从对供应部门的数据采集开始，到数据的存储、治理、共享交换、挖掘计算、开放，最后向需求部门提供数据进行相应的数据应用，将组织内外部的数据生产方、采集方、治理方、运营方、平台方、开发方和消费方等连成一个整体的功能网状结构，以实现数据资源资产化、数据资产服务化、数据服务价值化的目的。
• 基于上述目标，为实现数据供应链安全管理，组织需要针对数据供应链进行专岗专人安全管理，主要是负责制定组织整体的数据供应链管理要求和解决方案，因此该岗位需要明确组织现有的数据整体供应流程、介入各方及对应职责和应用需求等内容，并基于此实现相关方案的制定、输出和落实。

明确数据供应链安全岗位的能力要求

• 了解组织数据供应链整体架构，如数据供应链安全建设思路所述，该岗位人员需要负责制定组织整体的数据供应链管理要求和解决方案，因此该岗位人员需要明确组织现有数据的整体供应流程、介入各方及对应职责和应用需求等，并能够清楚理解组织数据供应链的整体架构，以便于进行后续分析和方案制定。
• 了解数据供应链安全相关的标准法规，在了解组织数据供应链整体架构的基础上，为明确方案需求，相关人员需要能够从法律合规层面了解所需进行的方案构建内容，因此相关人员需要对数据供应链相关安全标准和法律法规有较为深刻的理解。
• 方案的输出与推进落实，需要相关人员根据上述内容输出对应组织整体的数据供应链管理要求和解决方案，并有能力将其推进落实。

数据供应链安全岗位的建设及人员能力的评估方法

• 1.调研访谈
  数据供应链安全阶段的调研访谈，需要针对策略层、管理层、执行层各层级人员分别进行，具体访谈内容如下。
  访谈策略层、管理层、执行层各层级人员，确认组织机构是否已经设立了数据供应链安全管理的专项岗位或团队；访谈上述岗位人员，确认其是否了解组织数据供应链整体架构，并能根据架构输出对应组织整体的数据供应链管理要求和解决方案，以及推进相关方案的实施；访谈执行层及业务基层人员，确认上述规范要求及解决方案是否落实，以及组织业务运作是否正常等。

2. 2.问卷调查
   在数据供应链安全管理阶段，组织机构通过查阅已制定的数据供应链安全解决方案，以问卷调查的方式，确认组织整体对上述规范和解决方案的掌握情况，从而反向推测组织数据供应链安全管理的实际执行情况。
3. 3.流程观察
   数据供应链安全阶段的流程观察，主要是观察执行层团队的工作流程，并从中寻找可能的问题点和改善点，具体观察内容如下。
   以中立的视角观察组织执行层日常数据供应链安全管理相关的工作流程，并通过调阅组织内部已制定的数据供应链安全解决方案，确认两者的相符度，同时观察当前组织内部已制定的数据供应链安全解决方案是否符合组织数据业务的操作需求，从而反推组织中已制定的数据供应链安全解决方案是否明确，并符合组织现状。
4. 4.技术检测
   数据供应链安全阶段的技术检测，需要使用技术工具确认实际组织数据供应链架构是否符合已制定的数据供应链安全解决方案的资产划分表述，是否存在数据错误或伪造等情况，制度规范的实际执行覆盖范围是否全面，是否存在因业务人员或外部供应商自行更改规范而导致其失效的情况等。

明确数据供应链安全管理内容

• 数据供应链安全管理的相关制度流程，主要包含数据供应链框架、数据供应链外部供应商合作规范与能力评估规范。
• 1.数据供应链框架
• 对于组织而言，数据供应链主要包括上游机构向当前组织的数据流入，以及当前组织向下游机构的数据流出，因此数据供应链安全意味着对上游流入数据的合法性、安全性管控，以及对向下游流出数据的敏感性、合规性控制。
• 首先介绍上游流入数据的合法性、安全性管控。合法性主要是针对上游机构而言的，具体来说就是确认当前数据流入的上游机构具备对应流入数据的获取、保存和共享资质，相关机构具有合法身份，相关数据使用已获得数据所有者同意，并已授权于对应机构供我方组织使用。安全性则是在确认上游机构合法的前提下，具备对所流入的数据进行实时安全检查的制度和技术能力。该部分旨在确保上游机构合法的前提下，不会出现由于数据流入通道被不可信第三方滥用而导致的不必要恶意数据攻击，并防止因上游机构受到网络攻击而导致其自身被攻破时我方组织也遭受相关侵害。
• 对向下游流出数据的敏感性、合规性控制则需要针对当前组织和下游机构分别进行判定。针对流出数据的敏感性，当前组织需要针对下游机构的不同需求和属性，确定当前组织向对应机构流出数据的内容敏感程度是否符合组织预期，是否满足组织原有数据脱敏、数据分类分级的规定，是否存在未预期的敏感数据外流或敏感数据脱敏不到位的情况。合规性控制则要从如下两个方面进行衡量，一方面是根据数据外流的内容和属性，确认当前组织自身具备的相关数据共享资质，个人数据需要获得相关数据所有者的授权之后才允许相关外流，从而确保外流数据合法合规；另一方面则需要判定下游机构是否具有获得相关数据的合规证明，确认下游机构具备相关数据的获取、保存、处理、使用及进一步共享等资质，确保数据不会被无资质、少资质的下游机构获取和滥用，此处还可参考数据交换安全章节相关注意事项，进一步完善相关约束。
• 2.制定数据供应链外部供应商合作规范
  针对与外部供应商的数据合作相关事宜，组织机构应通过合作协议的方式明确数据链中数据的使用目的、供应方式、保密约定、安全责任和义务等，并通过合作协议等书面文件形式确保供应商数据使用目的无未授权扩散，且供应方式可靠，并能严格遵守数据流动保密要求，明确列举双方安全责任义务与违约处置等。

3. 3.明确数据供应链外部供应商能力评估规范
   针对与外部供应商的数据流动合作事宜，组织机构同样应基于数据安全能力成熟度指南标准，根据组织自身已达到的标准，对外部供应商的对应能力进行评估，确认其在数据安全生命周期过程中可达到的数据安全能力成熟度，并判定其等级是否不低于组织已达到的、或数据流动过程中需要达到的最低等级要求，若未达到则无法进行合作。对供应商进行数据安全能力成熟度评估，可以实现对供应商的安全要求选型，降低由于数据供应链中供应商的数据安全隐患而导致的数据泄露或损失。

使用技术工具

• 数据的流向关系会形成一个数据供应链。组织机构从数据供应链的上游获取数据进行使用，同时也会将数据提供给数据供应链的下游使用。从上游而来的数据可能会有恶意数据夹带安全风险问题，提供给下游使用的数据可能会有数据泄露的风险。所以，组织机构为了保证数据供应链上下游的安全，必须建立数据供应链相关的技术工具，对从上游下来的数据进行审查记录，对分发到下游的数据进行控制记录，并建立独立的供应链数据库以便于管理。

元数据管理技术

• 元数据描述的是数据的背景、内容、数据结构及其生命周期管理。简而言之，元数据是“数据的背景”。通俗地理解就是，数据模型就是元数据。元数据管理是数据供应链管理的基础，数据供应链的安全离不开元数据的有效管理。在数据供应链中，元数据包括但不限于数据供应链授权信息、流转对账信息、场景使用信息、供应链节点信息、数据鉴别标志信息等。对元数据进行管理可以实时监测和查询数据供应链路的整体情况，更好地掌握数据情况。而且，对数据供应链的元数据进行鉴别可以从元数据层面对异常数据、恶意数据等进行检测、清洗和拦截。

数据流入流出控制技术

• 在数据供应链中，组织必定存在于数据供应链的某个节点上，组织从这个节点的直接上游获得数据。从上游获得的数据不一定是安全的，有可能已经遭到攻击者恶意篡改，所以组织在使用数据供应链上游提供的数据之前，必须先通过数据鉴别技术进行严格的审查。数据审查包括来源审查、完整性检查、恶意数据检测等。
• 数据流入安全控制可以采用的技术包括加密技术、数字签名技术、数字证书技术、恶意代码检测技术等。加密技术可用于确保数据供应链中传递的数据都已经过加密，同时还可以在加密数据中加入数字签名、数字证书等。当组织接收到来自上游的数据时，首先会利用对应的密钥解密数据，然后使用数字签名和数字证书校验数据的完整性，最后利用恶意代码检测工具检查数据是否安全，从而保证流入组织的数据是可用的、完整的、未被篡改的、安全的。
• 在数据供应链中，组织除了会从供应链上游获取数据之外，也会将组织的数据传递给数据供应链的下游。数据从组织内流出往往会伴随敏感信息泄露的问题，所以，使用相关技术对流出的数据进行控制，对数据供应链整体的数据安全来说至关重要。流出数据的敏感信息泄露问题，一方面是指组织内部不希望流出的数据在未知的情况下流向数据供应链下游，另一方面是指流出的数据遭到攻击者恶意拦截窃取。对于第一种情形，数据在从组织内流出之前需要进行严格的授权审批，多级审批全部通过之后数据才可以流出。
• 使用数据打标工具提前对授权流出的数据打上标签，在流出时进行检测，一旦检测到有未标记数据流出的行为，就会立即阻断并停止数据的流出，告警提示流出数据存在异常。针对流出数据可能会遭到攻击者恶意获取的情况，数据供应链需要事先建立统一的传输数据加密标准，按照统一的加密标准对数据供应链内的数据进行加密传输，同时使用安全可信的数据传输链路，如SSL等。

技术工具的使用目标和工作流程

• 元数据管理及鉴别：能够管理数据供应链的相关元数据信息，并支持在数据供应链内不同的节点之间传递数据时对数据供应链元数据进行鉴别。
• 流入数据审查：能够对从数据供应链上游节点流入组织内的数据进行审查，包括完整性、恶意代码等检查，保证组织内使用的数据是安全可用的。
• 流出数据控制：能够对组织内流向数据供应链下游节点的数据进行控制，防止未授权数据在未知情况下流出。
• 供应链日志审计：工具需要能够对数据供应链内各阶段的操作、数据、鉴别信息、控制记录等进行审计，以便追溯数据供应链上下游数据使用安全情况。