---

導(dǎo)讀：數(shù)據(jù)安全立法2018年9月于十三屆全國人大常委會(huì)列入立法規(guī)劃。經(jīng)過三次審議，在2021年6月10日，十三屆全國人大常委會(huì)第二十九次會(huì)議正式表決通過，并于2021年9月1日起施行。從法律角度來說，國家對(duì)于數(shù)據(jù)安全越來越重視，作為企業(yè)該如何針對(duì)數(shù)據(jù)安全法進(jìn)行數(shù)據(jù)安全治理的規(guī)劃，最終進(jìn)行對(duì)應(yīng)的技術(shù)落地？本文將分享數(shù)據(jù)法在企業(yè)的落地。

主要內(nèi)容包括以下幾大方面：

• 背景介紹
• 數(shù)據(jù)安全架構(gòu)——DSG框架
• 數(shù)據(jù)安全控制——CARTA模型
• 技術(shù)總結(jié)
• -

01 背景介紹

首先來看一下近幾年企業(yè)數(shù)字化轉(zhuǎn)型以及數(shù)據(jù)安全的發(fā)展趨勢(shì)。

從2000年開始，企業(yè)經(jīng)歷了三個(gè)不同的階段，分別是IT的工匠階段、工業(yè)化階段以及數(shù)字化時(shí)代的階段。在IT數(shù)字化時(shí)代，企業(yè)將云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)以及移動(dòng)互聯(lián)代表性的新興技術(shù)和企業(yè)業(yè)務(wù)進(jìn)一步的結(jié)合，得到廣闊的和深入的應(yīng)用，從而加速傳統(tǒng)經(jīng)濟(jì)到數(shù)字化經(jīng)濟(jì)轉(zhuǎn)型。Gartner在2017年預(yù)測(cè)未來3年數(shù)據(jù)將成為企業(yè)的戰(zhàn)略資產(chǎn)，現(xiàn)實(shí)進(jìn)一步驗(yàn)證了這個(gè)預(yù)測(cè)。

企業(yè)在數(shù)字化轉(zhuǎn)型后，數(shù)據(jù)安全和整個(gè)IT發(fā)生了一些變化，包括云計(jì)算、大數(shù)據(jù)的應(yīng)用導(dǎo)致企業(yè)IT失去了可視化，企業(yè)安全邊界消失，數(shù)據(jù)資產(chǎn)安全考慮不足等。

Gartner在2020年規(guī)劃指南中提出了構(gòu)建數(shù)字化轉(zhuǎn)型技能，也就是數(shù)據(jù)安全與風(fēng)險(xiǎn)管理，包括合規(guī)性和風(fēng)險(xiǎn)的重大變化影響到安全計(jì)劃和路線圖，容器、DevSecOps、混合云和多云改變了基礎(chǔ)設(shè)施安全等方式方法。

企業(yè)的數(shù)據(jù)資產(chǎn)的安全需求有兩個(gè)目的：一是合規(guī)，與數(shù)字安全法、網(wǎng)絡(luò)安全法、個(gè)人信息保護(hù)法內(nèi)容息息相關(guān)；二是知識(shí)產(chǎn)權(quán)的保護(hù)。

數(shù)據(jù)安全立法2018年9月于十三屆全國人大常委會(huì)列入立法規(guī)劃。經(jīng)過三次審議，在2021年6月10日，十三屆全國人大常委會(huì)第二十九次會(huì)議正式表決通過，并于2021年9月1日起施行。網(wǎng)絡(luò)安全法、數(shù)據(jù)安全法和個(gè)人信息保護(hù)法是我國在數(shù)據(jù)和網(wǎng)絡(luò)安全的基礎(chǔ)法規(guī)。數(shù)據(jù)安全法提升了國家數(shù)據(jù)安全的保障能力，個(gè)人信息保護(hù)法則加速了個(gè)人信息法的法制化的一個(gè)進(jìn)程。從法律角度來說，國家對(duì)于數(shù)據(jù)安全是越來越重視，

針對(duì)數(shù)據(jù)資產(chǎn)的保護(hù)，首先要了解企業(yè)的數(shù)據(jù)和數(shù)據(jù)資產(chǎn)的價(jià)值。安全分為信息安全、數(shù)據(jù)安全，以及數(shù)據(jù)資產(chǎn)安全幾個(gè)層面。數(shù)據(jù)資產(chǎn)安全主要是針對(duì)業(yè)務(wù)而言，應(yīng)用經(jīng)濟(jì)價(jià)值越大，數(shù)據(jù)也就越值錢，因此數(shù)據(jù)安全是由業(yè)務(wù)驅(qū)動(dòng)的，數(shù)據(jù)安全應(yīng)該以數(shù)據(jù)資產(chǎn)的價(jià)值為中心確定，而不是以網(wǎng)絡(luò)技術(shù)為中心。

作為企業(yè)如何針對(duì)數(shù)據(jù)安全法進(jìn)行數(shù)據(jù)安全治理的規(guī)劃，最終進(jìn)行對(duì)應(yīng)的技術(shù)落地？

業(yè)界主要的數(shù)據(jù)安全框架有兩種：一是Gartner 2017年提出的以數(shù)據(jù)為中心的DSG框架；二是微軟提出的數(shù)據(jù)根治理框架。本次分享主要介紹戛納提出的DSG框架。

--

02 數(shù)據(jù)安全架構(gòu)——DSG框架

Gartner提出了以數(shù)據(jù)為中心的DSG安全架構(gòu)。

如上圖中紅色部分所示，Gartner提出一個(gè)企業(yè)不要貿(mào)然地直接引用安全技術(shù)，而是應(yīng)該從業(yè)務(wù)分析開始，圍繞著業(yè)務(wù)戰(zhàn)略、治理、合規(guī)等需求，制定IT戰(zhàn)略，并結(jié)合風(fēng)險(xiǎn)容忍度對(duì)數(shù)據(jù)分類分級(jí)。

Gartner將整個(gè)數(shù)據(jù)落地分成了兩個(gè)級(jí)別：第一個(gè)級(jí)別是治理部分，包含對(duì)于業(yè)務(wù)或者企業(yè)進(jìn)行商業(yè)治理，分析企業(yè)的業(yè)務(wù)戰(zhàn)略、IT戰(zhàn)略和風(fēng)險(xiǎn)容忍度，同時(shí)進(jìn)行數(shù)據(jù)戰(zhàn)略以及合規(guī)性和安全性以及安全架構(gòu)的分析；第二級(jí)別是數(shù)據(jù)安全治理的落地。

在進(jìn)行完業(yè)務(wù)分析之后，形成數(shù)據(jù)安全架構(gòu)，從以下三個(gè)不同的層面來去實(shí)行：

第一層面：數(shù)據(jù)安全，在這個(gè)技術(shù)層面主要圍繞著企業(yè)的洞察力、機(jī)密性，以及針對(duì)于數(shù)據(jù)安全進(jìn)行監(jiān)控和對(duì)應(yīng)的合約。

第二層面：數(shù)據(jù)區(qū)域，以企業(yè)數(shù)據(jù)為中心，以企業(yè)的管控的力度為范圍，包括內(nèi)部、以及外部受控第三方。

第三層面：數(shù)據(jù)位置，也就是無論是數(shù)據(jù)在企業(yè)的數(shù)據(jù)管理系統(tǒng)、大數(shù)據(jù)文件系統(tǒng)，通過所有的管控位置，實(shí)行統(tǒng)一的數(shù)據(jù)安全的管控策略，來達(dá)到滿足企業(yè)的數(shù)據(jù)安全需求。

整個(gè)以數(shù)據(jù)為中心的體系建設(shè)分為五個(gè)步驟：

第一步：數(shù)據(jù)映射，企業(yè)需要明確需要保護(hù)什么樣的數(shù)據(jù)，這些數(shù)據(jù)存放在哪里，以及誰可以訪問這些數(shù)據(jù)，并且是不是合法的存儲(chǔ)和處理；

第二步：數(shù)據(jù)發(fā)現(xiàn)和分類，定義數(shù)據(jù)的類別和敏感度，同時(shí)清晰地了解數(shù)據(jù)資產(chǎn)和所有者之間的關(guān)系。所有者包含著三個(gè)不同的層次層面，數(shù)據(jù)的擁有者、使用者和操作者；

第三步：數(shù)據(jù)流建模，建模關(guān)系是以數(shù)據(jù)的存儲(chǔ)位置為核心，分析整個(gè)數(shù)據(jù)的流動(dòng)方向，并且對(duì)數(shù)據(jù)存儲(chǔ)和使用的流向進(jìn)行分析。其中流動(dòng)方向包含在企業(yè)內(nèi)部的數(shù)據(jù)流轉(zhuǎn)，以及和企業(yè)外部乃至第三方的數(shù)據(jù)流轉(zhuǎn)。

第四步：數(shù)據(jù)控制檢查，對(duì)于數(shù)據(jù)使用了哪一些控制手段，是否完成了數(shù)據(jù)的可視化、保密性和流轉(zhuǎn)監(jiān)控？是否滿足了數(shù)據(jù)的最小化使用的需求？

第五步：產(chǎn)品檢驗(yàn)，檢驗(yàn)當(dāng)前產(chǎn)品能否解決上述的控制手段，并且企業(yè)還需要哪一些技術(shù)和產(chǎn)品去消除控制手段對(duì)應(yīng)的差距。

在以上流程思路的基礎(chǔ)上，引入了對(duì)應(yīng)的控制系列，可以簡單地理解為安全的能力。安全能力分成四塊，分別是洞察力、保密性、監(jiān)控和響應(yīng)、合約。

第一塊：洞察力，是指針對(duì)于企業(yè)需要獲得存儲(chǔ)哪些數(shù)據(jù)以及存儲(chǔ)數(shù)據(jù)的位置、方式，并對(duì)數(shù)據(jù)的敏感性和元數(shù)據(jù)進(jìn)行詳細(xì)的了解，從而能夠?qū)嵤┏晒Φ腄CSA（以數(shù)據(jù)為中心的方法）。這里引入了三個(gè)不同的安全控制技術(shù)：數(shù)據(jù)地圖、數(shù)據(jù)發(fā)現(xiàn)、數(shù)據(jù)的分類分級(jí)。

第二塊：保密性，數(shù)據(jù)安全技術(shù)的種類非常多，比如訪問控制、數(shù)據(jù)屏蔽和加密、權(quán)限控制、數(shù)據(jù)反泄漏。

第三塊：監(jiān)控和響應(yīng)，主要是企業(yè)確?？刂朴行浴Ⅱ?yàn)證合規(guī)性和確保安全性。相應(yīng)的技術(shù)提到了安全信息和日志的管理、數(shù)據(jù)庫的活動(dòng)監(jiān)控。

第四塊：合約，也叫做第三方治理。很多企業(yè)或者組織通過第三方數(shù)據(jù)的處理器進(jìn)行數(shù)據(jù)共享，去實(shí)現(xiàn)業(yè)務(wù)目標(biāo)。在這種情況下，很難以某種實(shí)際的安全的手段來去完成對(duì)應(yīng)的控制，因此雙方的合約控制非常重要。

上圖右側(cè)展示了以數(shù)據(jù)為中心的數(shù)據(jù)安全架構(gòu)。分為不同的數(shù)據(jù)區(qū)域，包括內(nèi)部、外部非受控，以及第三方。無論數(shù)據(jù)分布在哪里都有對(duì)應(yīng)的數(shù)據(jù)安全。

--

03 數(shù)據(jù)安全控制——CARTA模型

作為一個(gè)企業(yè)如何進(jìn)行數(shù)據(jù)落地，Gartner 提出了CARTA模型。CARTA模型可用于選擇數(shù)據(jù)安全控制，作為一個(gè)持續(xù)性、周期性的過程，在不同的生命周期里面普遍用于每一個(gè)數(shù)據(jù)集。

第一個(gè)階段是預(yù)防階段，使用數(shù)據(jù)匿名化進(jìn)行數(shù)據(jù)安全保護(hù)，比如說加密硬盤、脫敏執(zhí)行反應(yīng)控制、全址的分離；

第二個(gè)階段是檢測(cè)階段，數(shù)據(jù)防泄漏通過類似于身份控制方法，供管理員獲得對(duì)于數(shù)據(jù)的訪問權(quán)限以及權(quán)限控制的映射；

第三個(gè)階段是監(jiān)控階段，當(dāng)潛在惡意數(shù)據(jù)訪問時(shí)，提示安全管理員去考慮實(shí)施自動(dòng)阻止控制，通常可以采用數(shù)據(jù)審計(jì)方式；

第四個(gè)階段是預(yù)測(cè)階段，主要是圍繞著以數(shù)據(jù)為中心的審計(jì)和保護(hù)DCAP去實(shí)行。

接下來將分別介紹控制系列中的方法。

1. inSight（洞察）

洞察力用于獲取有關(guān)存儲(chǔ)哪些數(shù)據(jù)以及存儲(chǔ)數(shù)據(jù)的位置和方式的詳細(xì)信息，以及對(duì)這些數(shù)據(jù)的敏感性和其他元數(shù)據(jù)的一些詳細(xì)見解，對(duì)于成功的DCSA方法至關(guān)重要。

洞察所推崇的是以數(shù)據(jù)為核心，分別在企業(yè)內(nèi)部（終端、移動(dòng)設(shè)備）、存儲(chǔ)（數(shù)據(jù)中心）、云端（SaaS、IaaS）將敏感數(shù)據(jù)找到并進(jìn)行合規(guī)的展示。

通過數(shù)據(jù)洞察的能力，結(jié)合額外的Data Mapping產(chǎn)品，幫助企業(yè)找到所有的業(yè)務(wù)數(shù)據(jù)，再用Data Discovery對(duì)數(shù)據(jù)敏感性進(jìn)行檢測(cè)，從而為企業(yè)形成靜態(tài)數(shù)據(jù)分布視圖?？梢詰?yīng)用于數(shù)據(jù)生成、數(shù)據(jù)存儲(chǔ)、數(shù)據(jù)歸檔、數(shù)據(jù)銷毀的階段。

2. Confidentiality （保密性）

保密性是最古老和最常見的安全要求之一。許多以數(shù)據(jù)為中心的控件可用于限制數(shù)據(jù)可見性，并僅使用授權(quán)用戶和實(shí)體。為了正確保護(hù)機(jī)密和隱私，技術(shù)專業(yè)人員必須選擇適合其應(yīng)用程序和數(shù)據(jù)資產(chǎn)的適當(dāng)體系結(jié)構(gòu)選項(xiàng)。

數(shù)據(jù)審計(jì)是了解數(shù)據(jù)中必不可少的環(huán)節(jié)，因此重點(diǎn)介紹數(shù)據(jù)審計(jì)的能力。主要應(yīng)用于企業(yè)的應(yīng)用數(shù)據(jù)、郵件數(shù)據(jù)和辦公網(wǎng)數(shù)據(jù)。

(1) 企業(yè)應(yīng)用數(shù)據(jù)

作為安全管理員需要了解數(shù)據(jù)下載時(shí)刻、下載方式和下載內(nèi)容，其中數(shù)據(jù)的下載方式包括三種：旁路下應(yīng)用數(shù)據(jù)上傳下載監(jiān)控、反向代理下的應(yīng)用數(shù)據(jù)上傳下載監(jiān)控和應(yīng)用改造后的數(shù)據(jù)流轉(zhuǎn)監(jiān)控。

① 旁路下應(yīng)用數(shù)據(jù)上傳下載監(jiān)控

② 反向代理下的應(yīng)用數(shù)據(jù)上傳下載監(jiān)控

對(duì)于數(shù)據(jù)進(jìn)行敏感性檢測(cè)，判斷是否有不合規(guī)的數(shù)據(jù)返回，包括未脫敏、未加密、非法數(shù)據(jù)，結(jié)合外部的大數(shù)據(jù)系統(tǒng)、用戶權(quán)限的設(shè)定，為企業(yè)保證實(shí)現(xiàn)最小化使用的原則。可以針對(duì)于企業(yè)去了解業(yè)務(wù)數(shù)據(jù)的上傳和下載行為，形成業(yè)務(wù)的統(tǒng)一視圖，為企業(yè)展示用戶調(diào)用或使用了哪一些的數(shù)據(jù)內(nèi)容。

③ 應(yīng)用改造后的數(shù)據(jù)流轉(zhuǎn)監(jiān)控

市面上普遍存在的CS架構(gòu)或者非我們所理解的外部協(xié)議，在這種情況底下，就需要有針對(duì)于這種特定應(yīng)用來進(jìn)行數(shù)據(jù)流轉(zhuǎn)監(jiān)控。通常是針對(duì)業(yè)務(wù)進(jìn)行相應(yīng)的改造，將數(shù)據(jù)在不同階段使用的過程中，把數(shù)據(jù)投遞給外部的一個(gè)審計(jì)系統(tǒng)，來進(jìn)行對(duì)應(yīng)的分析，最終決定是否參與到整個(gè)業(yè)務(wù)流轉(zhuǎn)過程中。

包括用戶針對(duì)某個(gè)應(yīng)用進(jìn)行的數(shù)據(jù)上傳和下載，以及在應(yīng)用內(nèi)進(jìn)行數(shù)據(jù)的內(nèi)部流轉(zhuǎn)，比如數(shù)據(jù)的內(nèi)部分享。同時(shí)也包含對(duì)第三方應(yīng)用的數(shù)據(jù)傳遞。

(2) 企業(yè)郵件數(shù)據(jù)

在企業(yè)自建郵件系統(tǒng)，判斷員工通過郵件服務(wù)器對(duì)外發(fā)郵件中是否包含著敏感的業(yè)務(wù)信息、業(yè)務(wù)數(shù)據(jù)，并且根據(jù)業(yè)務(wù)數(shù)據(jù)形成對(duì)應(yīng)的敏感數(shù)據(jù)外發(fā)的審計(jì)結(jié)果，進(jìn)行相應(yīng)的阻斷或?qū)徟鞒?#xff0c;以便于事后追溯。

(3) 辦公網(wǎng)數(shù)據(jù)

辦公數(shù)據(jù)防護(hù)有三個(gè)方面：

一是終端辦公的數(shù)據(jù)安全防護(hù)。針對(duì)在辦公電腦或者運(yùn)維電腦終端的數(shù)據(jù)的流轉(zhuǎn)和使用來進(jìn)行，比如U盤、互聯(lián)網(wǎng)協(xié)議、百度網(wǎng)盤、QQ、微信等外發(fā)敏感信息的時(shí)候，進(jìn)行相應(yīng)敏感數(shù)據(jù)的管控策略。

二是跨網(wǎng)數(shù)據(jù)，通常是在兩個(gè)不同的安全域之間進(jìn)行數(shù)據(jù)流轉(zhuǎn)的時(shí)候，通過旁路的方式或者以串聯(lián)阻斷的方式，幫助企業(yè)提供敏感數(shù)據(jù)流轉(zhuǎn)的審計(jì)記錄和審計(jì)分析。

三是在移動(dòng)終端上部署企業(yè)級(jí)的移動(dòng)終端客戶端，然后對(duì)企業(yè)的業(yè)務(wù)應(yīng)用數(shù)據(jù)進(jìn)行相應(yīng)的保護(hù)，包括對(duì)于企業(yè)數(shù)據(jù)進(jìn)行本地的加密存儲(chǔ)、加密傳輸，在必要的時(shí)候進(jìn)行遠(yuǎn)程清除，并且控制對(duì)應(yīng)的攝像頭、提供水印、控制截屏以及第三方分享的控制能力。

(4) 其他的保密技術(shù)

① 加解密技術(shù)

加密后保證數(shù)據(jù)即便丟失了也不會(huì)數(shù)據(jù)泄露，是目前整個(gè)數(shù)據(jù)安全治理過程中非常重要技術(shù)之一。

② IAM

主要用來做用戶身份識(shí)別，為權(quán)限控制、數(shù)據(jù)防泄漏、數(shù)據(jù)審計(jì)等提供身份信息，是數(shù)據(jù)安全治理的排頭兵。

③ DCAP

針對(duì)數(shù)據(jù)庫的動(dòng)作審計(jì)和文件數(shù)據(jù)的審計(jì)，精準(zhǔn)識(shí)別對(duì)數(shù)據(jù)庫的各種動(dòng)作。

3. Monitoring and Response（監(jiān)控與響應(yīng)）

監(jiān)控響應(yīng)主要引用UEBA技術(shù)挖掘用戶行為，包括用戶異常行為分析、用戶精準(zhǔn)分析、用戶定位分析、專家系統(tǒng)分析，找到異常用戶，并且將異常用戶結(jié)合數(shù)據(jù)控制技術(shù)進(jìn)行更有效的控制。

--

04 技術(shù)總結(jié)

企業(yè)完成以數(shù)據(jù)為中心的整體控制框架，需要圍繞企業(yè)的核心數(shù)據(jù)資產(chǎn)，從應(yīng)用數(shù)據(jù)的生成、使用、存儲(chǔ)、流轉(zhuǎn)、分享（內(nèi)部或者外部第三方）全過程，針對(duì)企業(yè)的核心數(shù)據(jù)進(jìn)行分布展示、身份識(shí)別、數(shù)據(jù)流轉(zhuǎn)、使用控制等環(huán)節(jié)相應(yīng)的管控手段。

天空衛(wèi)士的數(shù)據(jù)安全治理自動(dòng)化平臺(tái)，結(jié)合了業(yè)務(wù)系統(tǒng)流程，對(duì)數(shù)據(jù)控制者和數(shù)據(jù)使用者的異常行為進(jìn)行大數(shù)據(jù)分析，在數(shù)據(jù)生成、使用等全流程，都有相應(yīng)的管控。天空衛(wèi)士是目前為止亞太地區(qū)唯一入選 Gartner 全球數(shù)據(jù)泄露防護(hù)（DLP） 代表性廠商、郵件安全網(wǎng)關(guān)代表性廠商以及CASB 觀察者名單的中國網(wǎng)絡(luò)安全企業(yè)。

天空衛(wèi)士提供的數(shù)據(jù)安全治理方面的咨詢、產(chǎn)品和技術(shù)，包括企業(yè)的數(shù)據(jù)安全治理、數(shù)據(jù)分級(jí)分類、風(fēng)險(xiǎn)評(píng)估等等。

天空衛(wèi)士的數(shù)據(jù)安全治理體系，為企業(yè)的核心數(shù)據(jù)資產(chǎn)，提供包括發(fā)現(xiàn)、標(biāo)簽監(jiān)控識(shí)別保護(hù)能力，通過識(shí)別、捕獲、分析、阻斷、遏制，降低企業(yè)被有害數(shù)據(jù)和惡意行為的入侵和破壞。

---

本文首發(fā)于微信公眾號(hào)“DataFunSummit”。

本文首發(fā)于微信公眾號(hào)“DataFunTalk”。

活動(dòng)推薦：5月21日數(shù)據(jù)科學(xué)峰會(huì)👇 https://mp.weixin.qq.com/s/mRtg3ODFEnbWviGwNUFm_Q

總結(jié)

以上是生活随笔為你收集整理的天空卫士陆明：数据法在企业如何落地的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。