数据安全治理——数据安全治理技术支撑框.docx

数据安全治理技术支撑框
数据安全治理的技术挑战
实施数据安全治理的组织，一般都具有较为发达和完善的信息化水平，数据资产庞大，涉及 的数据使用方式多样化，数据使用角色繁杂，数据共享和分析的需求刚性，要满足数据有效 使用的同时保证数据使用的安全性，需要极强的技术支撑。
数据安全治理面临数据状况梳理、敏感数据访问与管控、数据治理稽核三大挑战。
账号权限变更更追踪
「認芻舉醍索
r 」
「^ss现- F L
敏感数据访问管控0站左
数据模糊化和业务仿
数据存储加密和高效访问
黑客攻击防御
敏感数据在线审批
数据状况梳理战
敏感数据访问状况
敏感数据分布状况
当前数据安全治理面临的挑战

组织需要确定敏感性数据在系统内部的分布情况，其中的关键问题在于如何在成千上百的数 据库和存储文件中明确敏感数据的分布；组织需要确定敏感性数据是如何被访问的，如何掌 握敏感数据在被什么系统、什么用户以什么样的方式访问；组织需要迅速确定当前的账号和 授权状况，清晰化、可视化、报表化的明确敏感数据在数据库和业务系统中的访问账号和授 权状况，明确当前权控是否具备适当的基础。
数据访问管控技术挑战
在敏感数据访问和管控技术方面，细分至五个方面的挑战 ：
（ 1 ）如何将敏感数据访问的审批在执行环节有效落地 对于敏感数据的访问、对于批量数据的下载要进行审批制度，这是数据治理的关键 ；但工单 的审批若是在执行环节无法有效控制，访问审批制度仅仅是空中楼阁。
（2）如何对突破权控管理的黑客技术进行防御 基于数据库的权限控制技术，在基于漏洞攻击的基础上将很容易被突破。
（3）如何在保持高效的同时实现存储层的加密 基于文件层和硬盘层的加密将无法与数据库的权控体系结合，对运维人员无效；如何实现存 储加密、权限控制和快速检索的整体解决，是这一问题的关键，只有这样的存储加密才能保 证安全的同时数据可用。
（4）如何实现保持业务逻辑后的数据脱敏
对于测试环境、 开发环境和 BI 分析环境中的数据需要对敏感数据模糊化， 但模糊化的数据保 持与生产数据的高度仿真，是实现安全又可用的基础。
（5）如何实现数据提取分发后的管控 数据的共享是数据的基本使用属性，但数据的复制是没有痕迹的；数据分发后如何保证数据 不会被流转到失控的环境，或者被复制后可溯源，这是数据提取分发管理的关键。
数据安全的稽核和风险发现挑战
1、如何实现对账号和权限变化的追踪 定期地对账号和权限变化状况进行稽核，是保证对敏感数据的访问在既定策略和规范内的关 键；但如何对成百上千个业务系统和数据库中的账号与权限的变化状况进行追踪是关键。
2、如何实现全面的日志审计 在新的网络安全法出台后全面的数据访问审计要求，日志存储最少保留 6 个月；在新的等保 中要求，云的提供商和用户都必须实现全面的日志记录。全面审计工作对各种通讯协议、云 平台的支撑， 1000 亿数据以上的存储、检索与分析能力上，均形成挑战。全面的审计是检验 数据安全治理中的策略是否在日常的执行中切实落地的关键。
3、如何快速实现对异常行为和潜在风险的发现与告警 数据治理中，有一个关键要素就是发现非正常的访问行为和系统中存在的潜在漏洞问题。如 何对日常行为进行建模，是海量数据中快速发现异常行为和攻击行为避免系统面临大规模失 控的关键。
数据安全治理的技术支撑
对应数据安全治理上述提到的三大挑战，笔者提出针对数据安全状况梳 理、数据访问管控及数据安全稽核的技术保障体系。

1、 数据静态梳理技术
静态梳理是基于端口扫描和登录扫描的方式完成对敏感数据的存储分布
状况、数据管理系统的漏洞状况、数据管理系统的安全配置状况的信息采集 技术，通过该技术帮助安全管理人员掌握系统的数据安全状态。
通过静态的扫描技术可以获得数据的以下基本信息：
a） 系统内的数据库列表，所分布的 IP ；
b） 根据数据特征，发现系统内不同类别和级别的数据如何分布；
c） 这些数据库中的安全漏洞和补丁状况，最严重的安全风险 ；
d） 数据库的账号和权限信息，特别是敏感信息标的账号和权限信息 ；
e） 数据库的安全配置状况。
2、 数据动态梳理技术
包括:
动态梳理技术是基于对网络流量的扫描， 实现对系统中的敏感数据的访问状况的梳理，
敏感数据的存储分布、敏感数据的系统访问状况、敏感数据的批量访问状况、敏感数据的访 冋风险。
通过动态梳理技术可以获得数据的以下基本信息：
a） 哪些IP （数据库主机）是数据的来源 ；
b） 哪些IP （业务系统或运