淺談如何做好企業(yè)數(shù)據(jù)保護(hù)建設(shè)*

李鐵軍， 宋昱石2中國石油集團(tuán)東南亞管道有限公司北京00028

2中國石油管道學(xué)院河北廊坊065000

淺談如何做好企業(yè)數(shù)據(jù)保護(hù)建設(shè)*

李鐵軍1， 宋昱石21中國石油集團(tuán)東南亞管道有限公司北京100028

2中國石油管道學(xué)院河北廊坊065000

本文從信息安全管理和安全技術(shù)角度出發(fā)，以數(shù)據(jù)保護(hù)目標(biāo)為驅(qū)動(dòng)，以業(yè)務(wù)安全評估為方法，對企業(yè)數(shù)據(jù)泄漏的保護(hù)建設(shè)進(jìn)行探討。通過對企業(yè)信息安全建設(shè)的不同發(fā)展階段總結(jié)，提出從企業(yè)“盲目自信”到“卓越運(yùn)營”的不同過程中，數(shù)據(jù)保護(hù)建設(shè)可采取的不同目標(biāo)和可操作的具體措施。最后，通過案例說明數(shù)據(jù)保護(hù)落實(shí)過程的經(jīng)驗(yàn)。

數(shù)據(jù)保護(hù)；數(shù)據(jù)防泄露；敏感信息保護(hù)；隱私保護(hù)；數(shù)據(jù)安全

0 引言

網(wǎng)絡(luò)信息系統(tǒng)極大的提高了企業(yè)單位辦事效率和工作效率［1］，但是近年頻發(fā)的各種信息安全事件，個(gè)人隱私、敏感用戶信息、業(yè)務(wù)數(shù)據(jù)非法買賣等不同程度的數(shù)據(jù)泄露事件再次給各企業(yè)敲響警鐘，數(shù)據(jù)安全已危及到企業(yè)的生存發(fā)展［2］。企業(yè)如何做好數(shù)據(jù)保護(hù)工作成為企業(yè)信息安全發(fā)展道路上一個(gè)尖銳的話題。企業(yè)的數(shù)據(jù)保護(hù)工作要向何方發(fā)展？企業(yè)當(dāng)前的位置處于何處？企業(yè)有數(shù)據(jù)保護(hù)建設(shè)哪些資源？還有那些差距？該如何減小差距？這些問題成為每個(gè)企業(yè)在數(shù)據(jù)保護(hù)建設(shè)中的重要思考點(diǎn)。

1 企業(yè)數(shù)據(jù)保護(hù)目標(biāo)

要想真正落實(shí)好企業(yè)的數(shù)據(jù)保護(hù)工作，必須明確數(shù)據(jù)保護(hù)的目標(biāo)［3］。企業(yè)數(shù)據(jù)保護(hù)目標(biāo)可以從管理角度、技術(shù)角度分別識別，同時(shí)結(jié)合企業(yè)不同發(fā)展階段的信息安全需求而定。

1.1 管理角度的數(shù)據(jù)保護(hù)建設(shè)目標(biāo)

從信息系統(tǒng)運(yùn)維管理角度，總結(jié)出管理層面數(shù)據(jù)保護(hù)建設(shè)的基本目標(biāo)：識別開、管理全、防護(hù)住、監(jiān)測出、追蹤到［4］，如圖1所示：

圖1 管理角度的數(shù)據(jù)保護(hù)建設(shè)目標(biāo)

1.2 技術(shù)角度的數(shù)據(jù)保護(hù)建設(shè)目標(biāo)

從防范黑客竊密、內(nèi)部泄密角度，總結(jié)出技術(shù)層面數(shù)據(jù)保護(hù)建設(shè)的基本目標(biāo)：進(jìn)不來、找不到、拿不走、解不開、看不懂、用不了，如圖2所示：

圖2 技術(shù)角度的數(shù)據(jù)保護(hù)建設(shè)目標(biāo)

2 企業(yè)信息安全建設(shè)發(fā)展階段定位

企業(yè)的信息安全體系建設(shè)是隨著企業(yè)的發(fā)展、業(yè)務(wù)的壯大，安全理解的深入、安全需求的精細(xì)而逐步建立完善起來的［5］。任何企業(yè)在信息安全建設(shè)過程都必然經(jīng)過各發(fā)展階段，猶如人類漫漫歷史長河一般。數(shù)據(jù)保護(hù)建設(shè)作為信息安全體系整體的一部分，只有清楚當(dāng)前企業(yè)所處階段的定位，才能更準(zhǔn)確的落實(shí)數(shù)據(jù)保護(hù)建設(shè)工作［6］。

2.1 企業(yè)信息安全保障能力成長階段

2006年1月Gartner Inc.對福布斯2 000強(qiáng)企業(yè)的信息安全保障能力進(jìn)行調(diào)查，總結(jié)了企業(yè)信息安全保障能力成長一般經(jīng)歷的四個(gè)階段：盲目自信階段、認(rèn)知階段、改進(jìn)階段、卓越運(yùn)營階段，并對2000強(qiáng)企業(yè)在不同階段的百分比分布進(jìn)行了分析和發(fā)布。如圖3所示：

圖3 企業(yè)信息安全保障能力成長階段和分析

2.2 數(shù)據(jù)保護(hù)建設(shè)定位

在清楚定位企業(yè)當(dāng)前所處的信息安全保障能力成長階段后，就要根據(jù)企業(yè)當(dāng)前的實(shí)際情況，選擇數(shù)據(jù)保護(hù)建設(shè)的最適合途徑。企業(yè)分別從管理和技術(shù)兩方面，同時(shí)落實(shí)數(shù)據(jù)保護(hù)工作。管理方面的落實(shí)途徑推薦如圖4所示：

圖4 數(shù)據(jù)保護(hù)管理目標(biāo)與信息安全保障能力成長階段的關(guān)系

1）盲目自信階段：尚無開展數(shù)據(jù)保護(hù)相關(guān)工作；

2）認(rèn)知階段：優(yōu)先進(jìn)行數(shù)據(jù)識別管理，配合技術(shù)手段做好基礎(chǔ)安全防護(hù)管理；

3）改進(jìn)階段：深化數(shù)據(jù)識別管理，基本做到需保護(hù)數(shù)據(jù)全部囊括在內(nèi)，同時(shí)完善防護(hù)管理，重點(diǎn)進(jìn)行安全監(jiān)測的落實(shí)和管理，可適當(dāng)增加追蹤處理的相關(guān)管理措施；

4）卓越運(yùn)營階段：全面深化各項(xiàng)數(shù)據(jù)保護(hù)管理，落實(shí)管理目標(biāo)。

技術(shù)方面的落實(shí)途徑推薦如圖5所示：

圖5 數(shù)據(jù)保護(hù)技術(shù)目標(biāo)（技術(shù)措施）與信息安全保障能力成長階段的關(guān)系

1）盲目自信階段：做好基本的邊界安全防護(hù)，同時(shí)劃分安全域，采取一般性的訪問控制、身份鑒別、授權(quán)等技術(shù)措施；

2）認(rèn)知階段：深化安全域策略，同時(shí)加強(qiáng)訪問控制、身份鑒別、授權(quán)、隱藏等技術(shù)手段；增加監(jiān)控能力，落實(shí)行為審計(jì)、終端防護(hù)（DLP）、通訊監(jiān)控與阻斷、加密存儲(chǔ)等措施，實(shí)現(xiàn)綜合防范；

3）改進(jìn)階段：不斷完善上述基本安全防范措施，引入專業(yè)的數(shù)據(jù)加密存儲(chǔ)系統(tǒng)和部署全局的數(shù)據(jù)模糊化處理系統(tǒng)，實(shí)現(xiàn)由基本數(shù)據(jù)保護(hù)轉(zhuǎn)向?qū)I(yè)數(shù)據(jù)保護(hù)的里程碑；

4）卓越運(yùn)營階段：完善基本安全防范措施，繼續(xù)深化專業(yè)數(shù)據(jù)保護(hù)，采用數(shù)據(jù)水印、數(shù)據(jù)干擾碼等前沿技術(shù)落實(shí)技術(shù)目標(biāo)。

3 數(shù)據(jù)保護(hù)的資源條件和差距規(guī)劃

企業(yè)決心進(jìn)行數(shù)據(jù)保護(hù)建設(shè)，在樹立明確的目標(biāo)、清楚的定位了落實(shí)途徑后，還需要了解當(dāng)前自身具備的條件和樹立目標(biāo)與當(dāng)前的差距在哪里。

3.1 當(dāng)前具備的資源條件

對于一般的企業(yè)，在企業(yè)信息安全建設(shè)過程中，或多或少都會(huì)采取一些安全防護(hù)措施，例如：交換、路由的區(qū)域隔離、防火墻的訪問控制、內(nèi)部系統(tǒng)的賬號管理、終端的防病毒管理等。數(shù)據(jù)保護(hù)建設(shè)依然要從這些基礎(chǔ)措施做起，充分利用這些現(xiàn)有的安全防護(hù)措施，最大化的減少成本的投入，才是最佳的建設(shè)思路。

企業(yè)可以利用的常見數(shù)據(jù)保護(hù)建設(shè)的資源，如表1所示：

表1 企業(yè)可利用的常見數(shù)據(jù)保護(hù)建設(shè)資源

3.2 當(dāng)前條件與目標(biāo)的差距規(guī)劃

數(shù)據(jù)保護(hù)建設(shè)是任重道遠(yuǎn)的一項(xiàng)艱巨工作，需要逐步完善和實(shí)現(xiàn)最終的目標(biāo)。因此，企業(yè)必須制定切實(shí)可行的行動(dòng)規(guī)劃，按照管理和技術(shù)兩方面的落實(shí)途徑，逐步開展。目標(biāo)的差距規(guī)劃可以參考圖1.4數(shù)據(jù)保護(hù)管理目標(biāo)與信息安全保障能力成長階段的關(guān)系和圖1.5數(shù)據(jù)保護(hù)技術(shù)目標(biāo)（技術(shù)措施）與信息安全保障能力成長階段的關(guān)系。

需要注思的是企業(yè)在差距規(guī)劃中，結(jié)合自身情況綜合衡量成本投入的同時(shí)，還要考慮各種數(shù)據(jù)保護(hù)技術(shù)的成熟度。2012年9月，Gartner Inc.發(fā)布《2012-2013年技術(shù)曲線成熟度報(bào)告》中，將技術(shù)轉(zhuǎn)化為生產(chǎn)力的能力成熟曲線分為五大階段，分別為技術(shù)萌芽期、期望膨脹期、泡沫化的谷底期、穩(wěn)步爬升的光明期、實(shí)質(zhì)生產(chǎn)的高峰期。如圖6所示：

圖6 The Hype Cycle of Innovation

我們借助該成熟曲線，將本文中提及的非常見數(shù)據(jù)保護(hù)基礎(chǔ)資源可能采用的技術(shù)措施進(jìn)行對應(yīng)，主要包括行為審計(jì)、終端防護(hù)（DLP）、數(shù)據(jù)加密存儲(chǔ)、數(shù)據(jù)模糊化處理、數(shù)字水印、數(shù)據(jù)干擾碼等，以幫助企業(yè)抉擇該如何選擇成熟的技術(shù)措施。如圖7所示：

圖7 數(shù)據(jù)保護(hù)建設(shè)中部分措施的技術(shù)能力成熟度

4 數(shù)據(jù)保護(hù)建設(shè)方法實(shí)踐

對于新建系統(tǒng)，除考慮基礎(chǔ)數(shù)據(jù)保護(hù)措施外，應(yīng)偏重采用威脅建模的方式分析數(shù)據(jù)泄露的風(fēng)險(xiǎn)可能性，以此來制定最佳的解決方案；對于現(xiàn)有系統(tǒng)，則應(yīng)偏重使用基于數(shù)據(jù)流程分析的數(shù)據(jù)泄露風(fēng)險(xiǎn)評估方法，以此來制定最佳的解決方案。

下面我們對第二種情況進(jìn)行詳細(xì)闡述。圖8是對現(xiàn)有信息系統(tǒng)進(jìn)行數(shù)據(jù)保護(hù)建設(shè)的一般性實(shí)踐思路。

圖8 數(shù)據(jù)泄露風(fēng)險(xiǎn)評估制定解決方案的實(shí)踐思路

從上圖可知，對現(xiàn)有系統(tǒng)的數(shù)據(jù)保護(hù)建設(shè)，大致可以分為數(shù)據(jù)的分級分類、數(shù)據(jù)生命周期的流程梳理、數(shù)據(jù)泄露的風(fēng)險(xiǎn)評估、數(shù)據(jù)保護(hù)解決方案的提出，到最后數(shù)據(jù)保護(hù)措施的逐步改進(jìn)、優(yōu)化五個(gè)過程。

4.1 數(shù)據(jù)的分級分類

首先，需要對現(xiàn)有系統(tǒng)內(nèi)數(shù)據(jù)信息進(jìn)行分級分類，明確要保護(hù)的數(shù)據(jù)對象，并非所有的數(shù)據(jù)都是要保護(hù)的。數(shù)據(jù)的分級分類可以結(jié)合自身業(yè)務(wù)從“數(shù)據(jù)價(jià)值”和“敏感程度”兩個(gè)角度思考。數(shù)據(jù)價(jià)值一般需要考慮業(yè)務(wù)關(guān)聯(lián)性和業(yè)務(wù)收益影響；敏感程度一般需要考慮內(nèi)部保密要求和數(shù)據(jù)泄露對客戶造成的影響。

4.2 數(shù)據(jù)生命周期的流程梳理

其次，需要進(jìn)行數(shù)據(jù)生命周期的流程梳理，明確在現(xiàn)有系統(tǒng)內(nèi)外，數(shù)據(jù)產(chǎn)生到最終銷毀的全過程中，數(shù)據(jù)操作的交互活動(dòng)和數(shù)據(jù)的存在狀態(tài)。數(shù)據(jù)操作的交互活動(dòng)一般會(huì)包括創(chuàng)建、讀取、修改和刪除；數(shù)據(jù)的存在狀態(tài)一般會(huì)包括使用、傳輸和存儲(chǔ)［7］。通過分析數(shù)據(jù)生命周期的各流程數(shù)據(jù)操作交互活動(dòng)和數(shù)據(jù)存在狀態(tài)，能夠更準(zhǔn)確的識別數(shù)據(jù)的每個(gè)細(xì)節(jié)，如圖9所示。

圖9 數(shù)據(jù)信息的一般性生命周期

4.3 數(shù)據(jù)泄露的風(fēng)險(xiǎn)評估

再次，在清楚數(shù)據(jù)的每個(gè)細(xì)節(jié)后，既要對每個(gè)流程活動(dòng)進(jìn)行數(shù)據(jù)泄露的風(fēng)險(xiǎn)評估工作。通過評估的方法能夠更全面、客觀、準(zhǔn)確的找到風(fēng)險(xiǎn)點(diǎn)，為提出解決方案奠定理論基礎(chǔ)。數(shù)據(jù)泄露的風(fēng)險(xiǎn)評估我們可以從正確性評估、有效性評估、脆弱性/威脅識別、利用路徑評估四個(gè)主要過程實(shí)現(xiàn)。如圖10所示：

圖10 數(shù)據(jù)泄露的風(fēng)險(xiǎn)評估流程

表2是對四個(gè)主要過程實(shí)現(xiàn)的具體活動(dòng)關(guān)鏈點(diǎn)說明：

表2 數(shù)據(jù)泄露風(fēng)險(xiǎn)評估主要過程的具體活動(dòng)和關(guān)注點(diǎn)

4.4 數(shù)據(jù)保護(hù)解決方案的提出與改進(jìn)

最后，根據(jù)數(shù)據(jù)泄露風(fēng)險(xiǎn)評估的結(jié)果，對可接受和轉(zhuǎn)移的風(fēng)險(xiǎn)，可以不采更多的數(shù)據(jù)保護(hù)措施；而對于需要規(guī)避和減低的風(fēng)險(xiǎn)，則要更加重視，提出詳細(xì)的解決方案，指導(dǎo)數(shù)據(jù)保護(hù)建設(shè)工作。同時(shí)，在數(shù)據(jù)保護(hù)建設(shè)長期工作中，還要進(jìn)行定期的類似評估，使得這項(xiàng)工作不斷的開展下去。

5 結(jié)語

企業(yè)的數(shù)據(jù)保護(hù)建設(shè)是企業(yè)生產(chǎn)與發(fā)展的安全護(hù)盾，隨著信息技術(shù)的發(fā)展，安全攻擊也隨之多樣化，數(shù)據(jù)保護(hù)的工作不是一蹴而就，企業(yè)需要做好自身的定位，把這項(xiàng)工作提高到很高的戰(zhàn)略層面，進(jìn)行長期規(guī)劃并循序漸進(jìn)的開展實(shí)施，同時(shí)不斷的學(xué)習(xí)最新技術(shù)成果，加強(qiáng)企業(yè)自身的信息安全體系建設(shè)。本文從建設(shè)理論到最佳實(shí)踐為企業(yè)數(shù)據(jù)保護(hù)工作提供了參考和建議，希望企業(yè)自身更加重視數(shù)據(jù)保護(hù)工作的落地，推進(jìn)企業(yè)信息安全體系的不斷發(fā)展和完善，不要讓數(shù)據(jù)泄露事件成為企業(yè)光輝形象的一個(gè)污點(diǎn)。

［1］趙尹琛，馬加華.企業(yè)信息安全防護(hù)策略的研究［J］.電腦知識與技術(shù)，2011（8）：5346-5347.

［2］韓榮杰.企業(yè)信息安全防護(hù)策略的研究［D］.浙江：浙江工業(yè)大學(xué)，2010.

［3］吳澤君.利用數(shù)據(jù)泄漏防護(hù)保護(hù)企業(yè)數(shù)據(jù)安全［J］.計(jì)算機(jī)安全，2010（1）：81-82.

［4］王站.基于移動(dòng)Agent的入侵檢測系統(tǒng)研究［D］.廣東：廣東工業(yè)大學(xué)，2004.

［5］趙曉.企業(yè)信息安全防護(hù)體系建設(shè)［J］.科技創(chuàng)新導(dǎo)報(bào)，2010 （34）：255-255.

［6］蘇雅娜.企業(yè)信息化管理控制體系研究［J］.甘肅科技，2001 （24）：112-128.

［7］潘美蓮.淺談數(shù)據(jù)存儲(chǔ)技術(shù)及應(yīng)用［J］.科技資訊，2010 （36）：25.

圖4 校驗(yàn)二維碼

3）票據(jù)查詢

繳款人通過手機(jī)APP掃描票據(jù)上的二維碼信息，之后將掃描信息發(fā)送給二維碼服務(wù)器進(jìn)行解析。解析完成后，將信息與票據(jù)管理系統(tǒng)中該票據(jù)的詳細(xì)信息進(jìn)行比對，并將比對結(jié)果返回手機(jī)APP。

3 建設(shè)效果

安全問題的解決是業(yè)務(wù)信息化的前提。本系統(tǒng)的關(guān)鏈在于，借助二維碼技術(shù)實(shí)現(xiàn)了數(shù)字簽名技術(shù)在票據(jù)流轉(zhuǎn)中的應(yīng)用，使得票據(jù)流轉(zhuǎn)過程中的安全得到充分保障，進(jìn)而使得對票據(jù)管理業(yè)務(wù)全程的信息化改造成為可能。該系統(tǒng)建設(shè)完成之后，形成全程信息化處理的可信、可控的財(cái)政票據(jù)管理體系，為財(cái)政票據(jù)管理業(yè)務(wù)帶來的具體效果分析如下：

1）在票據(jù)錄入后的出票階段，使用數(shù)字證書對票據(jù)進(jìn)行數(shù)字簽名，保障了票據(jù)的完整性，票據(jù)流轉(zhuǎn)后銀行端對數(shù)字簽名進(jìn)行驗(yàn)簽，即可識別出票據(jù)流轉(zhuǎn)過程中的篡改，達(dá)到了傳統(tǒng)票據(jù)不能實(shí)現(xiàn)的防偽效果。

2）單位用戶經(jīng)過數(shù)字證書認(rèn)證登錄應(yīng)用系統(tǒng)，相比于用戶名口令認(rèn)證方式，應(yīng)用系統(tǒng)的安全性得到了極大提高。

3）在數(shù)字簽名已經(jīng)保障票據(jù)真實(shí)、可信的基礎(chǔ)上，對票據(jù)信息采用電子化錄入方式，大幅減少了錄入時(shí)間成本，提升了業(yè)務(wù)效率。

4 結(jié)語

文章提出了一種票據(jù)管理系統(tǒng)的安全性設(shè)計(jì)模式。通過數(shù)字證書和二維碼技術(shù)結(jié)合，提高了票據(jù)管理的安全性，減少了票據(jù)征收過程中的人為差錯(cuò)，提高了征管效率。該安全模式具有普適性，除票據(jù)管理系統(tǒng)外，還可廣泛應(yīng)用于集中支付等系統(tǒng)。

參考文獻(xiàn)：

［1］杜心宇.財(cái)政票據(jù)管理存在的問題及對策〔J〕.財(cái)會(huì)月刊，2011（21）：55-56.

［2］李東.基于加密和解密的二維條形碼的實(shí)現(xiàn)〔J〕.科技傳播，2010（7）：132-133.

作者簡介：

劉 偉（1984—），男，碩士研究生，主任科員，主要研究方向?yàn)榫W(wǎng)絡(luò)安全體系建設(shè)?！?/p>

Enterprises＇Data Protection

LI Tie-jun，SONG Yu-shi
（1CNPC South-East Asia Pipeline Co.Ltd.，Beijing 100028，China
2China Petrolean Pipeline College，Langfang 065000，China）

From the angle of information security management and security technology，and with data protection as the drive and business security evaluation as the method，the protection construction of corporate data is explored and discussed.By summarizing different development stages of corporate information security construction，different targets and detailed practical measures are proposed for data security construction in different corporate stages of from＂blind confidence＂to＂excellent operation＂.Finally，with relevant examples，some experience in implementation of data protection process is discussed.

data protection；data-leak proof；sensitive content protection；privacy protection；data security

TP393.1

A

1009-8054（2015）09-0117-04

李鐵軍（1974—），男，學(xué)士，工程師，主要研究方向?yàn)橥ㄐ啪W(wǎng)絡(luò)及信息安全。

宋昱石（1975—），女，學(xué)士，講師，主要研究方向?yàn)闄C(jī)電工程?！?/p>

2015-04-12