數(shù)據(jù)安全保護(hù)能力評(píng)估實(shí)踐

蔡蕙敏 張一帆 周濱 李宏圖

摘要：數(shù)據(jù)安全能力是大數(shù)據(jù)時(shí)代的重要核心競(jìng)爭(zhēng)力，本文探討了大數(shù)據(jù)時(shí)代下數(shù)據(jù)安全面臨的問(wèn)題和風(fēng)險(xiǎn)，結(jié)合數(shù)據(jù)安全能力成熟度模型，闡述了如何利用數(shù)據(jù)安全能力成熟度模型對(duì)組織機(jī)構(gòu)數(shù)據(jù)安全保護(hù)能力評(píng)估的實(shí)踐方法和實(shí)踐實(shí)施中的難點(diǎn)。

關(guān)鍵詞：數(shù)據(jù)安全；安全能力；成熟度模型

中圖分類(lèi)號(hào)：TP311 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1009-3044（2018）16-0023-02

隨著移動(dòng)互聯(lián)網(wǎng)、云計(jì)算、大數(shù)據(jù)等信息技術(shù)的高速發(fā)展，數(shù)據(jù)已成為信息化與經(jīng)濟(jì)高度融合發(fā)展的核心方向，通過(guò)對(duì)特定的基礎(chǔ)數(shù)據(jù)分析、整理和加工，能夠生產(chǎn)出一個(gè)行業(yè)或企業(yè)的重要戰(zhàn)略情報(bào)。隨著數(shù)據(jù)在政用、商用以及民用等應(yīng)用場(chǎng)景的深入推進(jìn)中，數(shù)據(jù)已成為大數(shù)據(jù)時(shí)代的“石油”“金礦”，成為以營(yíng)利為目的的違法犯罪分子重點(diǎn)關(guān)注目標(biāo)，通過(guò)網(wǎng)絡(luò)對(duì)數(shù)據(jù)進(jìn)行盜取、倒賣(mài)，甚至實(shí)施精準(zhǔn)詐騙，網(wǎng)絡(luò)黑灰鏈產(chǎn)業(yè)日益猖獗。從2016年備受我國(guó)全社會(huì)關(guān)注的徐玉玉電信詐騙事件，到今天的Facebook爆出史上最大數(shù)據(jù)泄露事件， 這一系列數(shù)據(jù)泄露安全事件對(duì)擁有數(shù)據(jù)的組織機(jī)構(gòu)提出了巨大的挑戰(zhàn)，數(shù)據(jù)安全已成為全世界關(guān)注的熱點(diǎn)問(wèn)題。

1 大數(shù)據(jù)時(shí)代下數(shù)據(jù)安全面臨的問(wèn)題和風(fēng)險(xiǎn)

數(shù)據(jù)只有開(kāi)放共享流通，才能真正實(shí)現(xiàn)數(shù)據(jù)的經(jīng)濟(jì)價(jià)值，當(dāng)“數(shù)據(jù)管理成為核心競(jìng)爭(zhēng)力”的理念盡人皆知時(shí)，擁有數(shù)據(jù)的各組織機(jī)構(gòu)都將面臨以下數(shù)據(jù)安全問(wèn)題和風(fēng)險(xiǎn)。

1.1大數(shù)據(jù)時(shí)代數(shù)據(jù)安全保護(hù)難度加大

大數(shù)據(jù)時(shí)代數(shù)據(jù)成為企業(yè)和社會(huì)關(guān)注的重要戰(zhàn)略資源，已成為黑灰鏈產(chǎn)業(yè)攻擊的顯著目標(biāo)。對(duì)于數(shù)據(jù)擁有組織機(jī)構(gòu)而言，數(shù)據(jù)泄露意味著經(jīng)濟(jì)損失。在開(kāi)放化的網(wǎng)絡(luò)化社會(huì)，開(kāi)放的網(wǎng)絡(luò)環(huán)境、分布式的系統(tǒng)部署、廣泛的數(shù)據(jù)業(yè)務(wù)應(yīng)用以及復(fù)雜的用戶(hù)訪問(wèn)群體，都使得數(shù)據(jù)在安全保護(hù)難度上面臨更大的挑戰(zhàn)。

1.2大數(shù)據(jù)挖掘分析不可控

大數(shù)據(jù)的優(yōu)勢(shì)在于通過(guò)分析和挖掘海量數(shù)據(jù)產(chǎn)生價(jià)值，在大數(shù)據(jù)時(shí)代，想屏蔽外部數(shù)據(jù)商挖掘信息是不可能的，也是難以控制的。市場(chǎng)上眾多監(jiān)測(cè)數(shù)據(jù)的數(shù)據(jù)分析機(jī)構(gòu)在對(duì)大數(shù)據(jù)中多源數(shù)據(jù)進(jìn)行綜合分析時(shí)，分析人員更容易通過(guò)關(guān)聯(lián)關(guān)系挖掘出更 多的商務(wù)、業(yè)務(wù)數(shù)據(jù)，從而進(jìn)一步加劇了數(shù)據(jù)泄漏的風(fēng)險(xiǎn)。

1.3數(shù)據(jù)共享使得系統(tǒng)數(shù)據(jù)邊界日益模糊

數(shù)據(jù)只有流通共享才能促進(jìn)組織機(jī)構(gòu)間協(xié)同發(fā)展。數(shù)據(jù)流通共享使得組織機(jī)構(gòu)內(nèi)部協(xié)同辦公系統(tǒng)、內(nèi)部重要業(yè)務(wù)應(yīng)用系統(tǒng)、外部上下游供應(yīng)鏈系統(tǒng)、上下垂直監(jiān)管系統(tǒng)間存在大量數(shù)據(jù)應(yīng)用接口，每個(gè)系統(tǒng)都是其他系統(tǒng)的一部分，系統(tǒng)、組織機(jī)構(gòu)間數(shù)據(jù)邊界模糊。

1.4數(shù)據(jù)所有者權(quán)益難以保障

大數(shù)據(jù)應(yīng)用過(guò)程中，數(shù)據(jù)會(huì)被多種角色用戶(hù)（如數(shù)據(jù)提供者、生產(chǎn)者、管理者、加工者、消費(fèi)者等等）所接觸，會(huì)從一個(gè)所有者流向另外一個(gè)所有者。因此，在大數(shù)據(jù)的共享、流通、交易過(guò)程中，會(huì)出現(xiàn)數(shù)據(jù)權(quán)力的不停轉(zhuǎn)換，從而會(huì)帶來(lái)數(shù)據(jù)所有者權(quán)屬不明、數(shù)據(jù)濫用以及數(shù)據(jù)安全監(jiān)督管理責(zé)任不明晰等安全風(fēng)險(xiǎn)，將嚴(yán)重?fù)p害數(shù)據(jù)所有者的權(quán)益。

1.5大數(shù)據(jù)安全密碼效率很低

在大數(shù)據(jù)與云計(jì)算深度融合下，組織機(jī)構(gòu)通過(guò)公有云或混合云傳輸和處理數(shù)據(jù)存在云服務(wù)商能接觸或篡改用戶(hù)數(shù)據(jù)。但目前針對(duì)云環(huán)境下大數(shù)據(jù)密碼運(yùn)算或者海量數(shù)據(jù)的密碼運(yùn)算的密碼算法都還在研究發(fā)展中，傳統(tǒng)的數(shù)據(jù)加密已左右支絀。

2 數(shù)據(jù)安全能力框架

從徐玉玉到今天的Facebook，我們可以預(yù)見(jiàn)未來(lái)幾年數(shù)據(jù)泄露事件會(huì)成倍增長(zhǎng)，除非我們能保障數(shù)據(jù)源頭安全。所以在大數(shù)據(jù)時(shí)代下，如何有效地對(duì)一個(gè)組織機(jī)構(gòu)的數(shù)據(jù)安全保護(hù)能力進(jìn)行評(píng)級(jí)就是一項(xiàng)非常迫切的首要任務(wù)。

2.1數(shù)據(jù)安全能力成熟度模型

數(shù)據(jù)安全能力成熟度模型DSMM（Data security capability maturity model）主要借鑒能力成熟度模型（CMM）思想，圍繞六個(gè)數(shù)據(jù)生命周期主線，從組織建設(shè)、制度流程、技術(shù)工具、人員能力四個(gè)安全能力維度，針對(duì)組織機(jī)構(gòu)的數(shù)據(jù)安全能力進(jìn)行評(píng)級(jí)，數(shù)據(jù)安全成熟度模型有以下五個(gè)成熟度等級(jí)：（1）級(jí)非正式執(zhí)行級(jí)；（2）級(jí)計(jì)劃跟蹤；（3）級(jí)充分定義；（4）級(jí)量化控制；（5）級(jí)持續(xù)優(yōu)化。組織機(jī)構(gòu)首先應(yīng)根據(jù)自身數(shù)據(jù)安全管理需求，明確其數(shù)據(jù)安全能力的目標(biāo)成熟度級(jí)別。

2.2數(shù)據(jù)安全過(guò)程域體系

如圖2所示，DSMM安全過(guò)程域體系包含40個(gè)安全過(guò)程域，覆蓋了數(shù)據(jù)生命周期各個(gè)階段，其中數(shù)據(jù)生命周期通用安全的16個(gè)過(guò)程域和數(shù)據(jù)生命周期各階段安全的24個(gè)過(guò)程域。DSMM標(biāo)準(zhǔn)采用“木桶效應(yīng)”的方法對(duì)組織機(jī)構(gòu)的數(shù)據(jù)安全能力成熟度等級(jí)進(jìn)行等級(jí)評(píng)定。

3 DSMM數(shù)據(jù)安全能力評(píng)估實(shí)踐

根據(jù)對(duì)組織機(jī)構(gòu)整體的數(shù)據(jù)安全能力成熟度級(jí)別的定義以及組織機(jī)構(gòu)數(shù)據(jù)安全管理需求，組織機(jī)構(gòu)應(yīng)首先明確其數(shù)據(jù)安全能力的目標(biāo)成熟度級(jí)別，可以選擇適合自己業(yè)務(wù)實(shí)際情況的短期目標(biāo)和長(zhǎng)期目標(biāo)，通過(guò)進(jìn)行安全能力評(píng)估，識(shí)別數(shù)據(jù)安全能力現(xiàn)狀并分析與目標(biāo)能力等級(jí)之間的差異，在此基礎(chǔ)上進(jìn)行數(shù)據(jù)安全能力的整改提升計(jì)劃。具體DSMM數(shù)據(jù)安全評(píng)估實(shí)踐如下：

3.1測(cè)評(píng)啟動(dòng)

該項(xiàng)工作是DSMM測(cè)評(píng)的基礎(chǔ)工作，需確定測(cè)評(píng)的對(duì)象和范圍，做好工作實(shí)施相關(guān)準(zhǔn)備，執(zhí)行概要調(diào)查和制定工作計(jì)劃。1）首先了解測(cè)評(píng)目標(biāo)，明確測(cè)評(píng)對(duì)象，確定工作范圍；2）組建團(tuán)隊(duì)明確分工，提出材料需求，準(zhǔn)備軟硬件工具；3）開(kāi)展系統(tǒng)調(diào)查，通過(guò)對(duì)信息系統(tǒng)的業(yè)務(wù)目標(biāo)、數(shù)據(jù)范圍、體系結(jié)構(gòu)等內(nèi)容的分析，初步了解項(xiàng)目風(fēng)險(xiǎn)；4）制定工作計(jì)劃，獲得雙方高層批準(zhǔn)和支持，啟動(dòng)測(cè)評(píng)。

3.2材料評(píng)估

該項(xiàng)工作是DSMM測(cè)評(píng)的必經(jīng)步驟，通過(guò)對(duì)測(cè)評(píng)對(duì)象的深入分析，整理出其數(shù)據(jù)生命周期相關(guān)階段，分析有關(guān)過(guò)程域，指導(dǎo)后續(xù)測(cè)評(píng)。1）系統(tǒng)分析，從業(yè)務(wù)、系統(tǒng)及數(shù)據(jù)角度分析系統(tǒng)功能、架構(gòu)、涉及人員及供應(yīng)鏈情況；2）從數(shù)據(jù)描述、數(shù)據(jù)分類(lèi)及生命周期對(duì)數(shù)據(jù)進(jìn)行梳理；3）對(duì)基礎(chǔ)安全過(guò)程域及數(shù)據(jù)生命周期階段過(guò)程域分析；4）明確現(xiàn)場(chǎng)評(píng)估的過(guò)程域，制定現(xiàn)場(chǎng)核查方案。

3.3現(xiàn)場(chǎng)測(cè)評(píng)

該項(xiàng)工作是DSMM測(cè)評(píng)的關(guān)鍵工作，需依據(jù)現(xiàn)場(chǎng)核查方案對(duì)過(guò)程域進(jìn)行核查，驗(yàn)證并確定過(guò)程域級(jí)別，對(duì)標(biāo)執(zhí)行差距分析。1）過(guò)程域核查，分析業(yè)務(wù)特點(diǎn)和數(shù)據(jù)安全屬性，確定關(guān)鍵過(guò)程域PA（Process Area），依據(jù)基本實(shí)踐BP（Base Practice）和通用實(shí)踐GP（Generic Practice）確定核查細(xì)節(jié)，確定相關(guān)業(yè)務(wù)、監(jiān)管和保障等部門(mén)和相關(guān)人員；2）級(jí)別確定，通過(guò)現(xiàn)場(chǎng)人員訪談、文檔審核、配置檢查及工具測(cè)試等方式，并將采集和檢查結(jié)果記錄在現(xiàn)場(chǎng)檢查表中，并確認(rèn)過(guò)程域是 否滿(mǎn)足相應(yīng)級(jí)別；3）風(fēng)險(xiǎn)分析，從組織、制度、技術(shù)和人員列出不滿(mǎn)足點(diǎn)查找差距，分析安全風(fēng)險(xiǎn)，提出整改建議。

3.4 報(bào)告編制

該項(xiàng)工作是DSMM收官工作，在對(duì)初步測(cè)評(píng)報(bào)告的溝通改進(jìn)后，編制報(bào)告終稿 ，明確測(cè)評(píng)結(jié)果并向雙方高層匯報(bào)。1）報(bào)告編寫(xiě)，基于現(xiàn)場(chǎng)采集的相關(guān)證據(jù)和記錄的檢查表，編寫(xiě)評(píng)估報(bào)告；2）檢查匯報(bào)，由雙方人員共同確認(rèn)評(píng)估結(jié)果是否準(zhǔn)確無(wú)誤，符合組織機(jī)構(gòu)的數(shù)據(jù)安全現(xiàn)狀，并向雙方高層匯報(bào)。

3.5風(fēng)險(xiǎn)控制

該項(xiàng)工作是DSMM測(cè)評(píng)過(guò)程中的重要工作，除項(xiàng)目人員、財(cái)務(wù)等項(xiàng)目管理措施外，在測(cè)評(píng)過(guò)程中，還應(yīng)采取以下風(fēng)控措施：1）測(cè)評(píng)前簽署委托測(cè)評(píng)協(xié)議及保密協(xié)議；2）測(cè)評(píng)中做好現(xiàn)場(chǎng)測(cè)評(píng)授權(quán)書(shū)、文檔記錄及簽字、備份重要系統(tǒng)及數(shù)據(jù)、應(yīng)急處理預(yù)案、避開(kāi)業(yè)務(wù)高峰期，避免因測(cè)評(píng)工作帶來(lái)的安全風(fēng)險(xiǎn)；3）測(cè)評(píng)后做到資料歸還，測(cè)評(píng)現(xiàn)場(chǎng)還原。

4 數(shù)據(jù)安全保護(hù)能力評(píng)估實(shí)踐實(shí)施中的難點(diǎn)

目前數(shù)據(jù)安全保護(hù)能力評(píng)估DSMM應(yīng)用涉及了金融、零售、制造、電力、互聯(lián)網(wǎng)+等產(chǎn)業(yè)領(lǐng)域，阿里巴巴作為DSMM主導(dǎo)者，正在向推動(dòng)國(guó)內(nèi)企業(yè)數(shù)據(jù)安全能力構(gòu)建方面不懈努力。

在數(shù)據(jù)安全保護(hù)能力評(píng)估實(shí)踐中，數(shù)據(jù)安全能力評(píng)估工作難點(diǎn)除了源于技術(shù)方面外，在項(xiàng)目管理和人員配合方面也會(huì)存在較多困難，比如高層支持力度不足，致使測(cè)評(píng)實(shí)施中項(xiàng)目資源、項(xiàng)目推進(jìn)力度以及協(xié)調(diào)力度易受阻；其次被評(píng)估的組織機(jī)構(gòu)各部門(mén)配合不融洽，各部門(mén)總體前瞻性較弱，僅認(rèn)為該評(píng)估工作是組織機(jī)構(gòu)的合規(guī)性需求，未能理解數(shù)據(jù)安全是組織機(jī)構(gòu)的重要核心競(jìng)爭(zhēng)力，同時(shí)各業(yè)務(wù)部門(mén)認(rèn)為該項(xiàng)工作是安全技術(shù)部門(mén)的任務(wù)，致使測(cè)評(píng)實(shí)施中各部門(mén)配合不融洽，響應(yīng)被動(dòng)，現(xiàn)場(chǎng)測(cè)評(píng)溝通不暢。所以在數(shù)據(jù)安全能力評(píng)估工作一定要獲得雙方高層的支持與批準(zhǔn)，在測(cè)評(píng)現(xiàn)場(chǎng)適時(shí)尋求高層支持、確保高效溝通與技巧以及嚴(yán)格的項(xiàng)目管理也是數(shù)據(jù)安全能力評(píng)估工作的重點(diǎn)。

參考文獻(xiàn)：

[1] 李克鵬，梅婧婷，鄭斌，等.大數(shù)據(jù)安全能力成熟度模型標(biāo)準(zhǔn)研究[J].信息技術(shù)與標(biāo)準(zhǔn)化，2016（7）：59-61.

[2] 趙金先，范軻，王苗苗，等.工程項(xiàng)目施工風(fēng)險(xiǎn)管理能力成熟度應(yīng)用研究[J].工程管理學(xué)報(bào)，2017，31（1）：134-139.

[3] 杜躍進(jìn).數(shù)據(jù)安全能力將成為大數(shù)據(jù)時(shí)代的重要競(jìng)爭(zhēng)力[J].中國(guó)信息安全， 2017（5）：72-75.

[4] 鄭斌.企業(yè)數(shù)據(jù)安全能力框架——數(shù)據(jù)安全能力成熟度模型的構(gòu)建及應(yīng)用[J].信息安全與通信保密，2017（5）：72-75.