數(shù)據(jù)治理過程中數(shù)據(jù)安全防護(hù)技術(shù)研究及應(yīng)用

王旭東，葉水勇，朱 兵，陳清萍，蔡 翔，劉 琦，陳 明

（1.國網(wǎng)安徽省電力公司，安徽 合肥230022；2.國網(wǎng)黃山供電公司，安徽 黃山245000）

0 引言

公司為解決信息系統(tǒng)數(shù)據(jù)質(zhì)量不高及各信息系統(tǒng)之間數(shù)據(jù)共享程度偏低等問題，重點(diǎn)針對營、配、調(diào)等相關(guān)信息系統(tǒng)開展數(shù)據(jù)治理工作，旨在提升信息系統(tǒng)數(shù)據(jù)質(zhì)量、促進(jìn)數(shù)據(jù)共享融合[1]。數(shù)據(jù)安全是數(shù)據(jù)治理工作的前提條件，項(xiàng)目針對數(shù)據(jù)治理過程中的數(shù)據(jù)安全課題開展專題研究，重點(diǎn)針對營銷客戶、電網(wǎng)GIS、生產(chǎn)經(jīng)營等敏感數(shù)據(jù)防泄密技術(shù)和數(shù)據(jù)安全防護(hù)技術(shù)開展研究和應(yīng)用，達(dá)到數(shù)據(jù)收集、加工、應(yīng)用各環(huán)節(jié)的安全，實(shí)現(xiàn)數(shù)據(jù)使用環(huán)境安全、數(shù)據(jù)權(quán)限可控、數(shù)據(jù)外發(fā)可控、數(shù)據(jù)交互安全的總體目標(biāo)，為實(shí)現(xiàn)數(shù)據(jù)共享與融合應(yīng)用、業(yè)務(wù)分析、系統(tǒng)接入、開發(fā)調(diào)試等各場景提供數(shù)據(jù)應(yīng)用支撐。

1 國內(nèi)外研究水平綜述

項(xiàng)目擬從數(shù)據(jù)治理過程中的數(shù)據(jù)脫敏技術(shù)、數(shù)據(jù)安全分區(qū)技術(shù)、GIS數(shù)據(jù)安全防護(hù)及應(yīng)用實(shí)踐等3個方面開展研究。

1）目前國外Oracle的Data Masking組件、IBM的InfoSphere OptimData Privacy、Informatica的Informatica DataMasking工具能實(shí)現(xiàn)數(shù)據(jù)庫脫敏，但是缺少對于中文數(shù)據(jù)的識別以及脫敏算法[2]。因此，國外的脫敏產(chǎn)品在國內(nèi)各行業(yè)沒有推廣應(yīng)用。隨著國家對個人信息保護(hù)的重視，國內(nèi)運(yùn)營商等企業(yè)對數(shù)據(jù)脫敏的研究開始具體實(shí)施。在技術(shù)層面，2014年思睿嘉得最先在國內(nèi)發(fā)布了非結(jié)構(gòu)化數(shù)據(jù)的脫敏產(chǎn)品，但針對數(shù)據(jù)庫中存儲的結(jié)構(gòu)化數(shù)據(jù)的脫敏技術(shù)國內(nèi)還在探索階段，

2）數(shù)據(jù)安全分區(qū)研究主要指在數(shù)據(jù)治理過程中的網(wǎng)絡(luò)配置、數(shù)據(jù)庫訪問的安全研究。目前國內(nèi)外區(qū)域類的安全產(chǎn)品已比較多，基本都是產(chǎn)品本身通過代理技術(shù)進(jìn)行目標(biāo)控制，不能做到數(shù)據(jù)拷貝行為審核管理。

3）地理信息數(shù)據(jù)涉及測繪領(lǐng)域國家機(jī)密，未經(jīng)加密，偏移的原始坐標(biāo)是信息安全領(lǐng)域的絕密數(shù)據(jù)。國家對測繪數(shù)據(jù)的保護(hù)有專門立法保護(hù)。目前國網(wǎng)GIS平臺采用了內(nèi)網(wǎng)隔離的技術(shù)手段實(shí)現(xiàn)數(shù)據(jù)的安全防范[3]。

隨著移動互聯(lián)網(wǎng)建設(shè)，為進(jìn)一步提升客戶服務(wù)質(zhì)量，圍繞著地理信息技術(shù)實(shí)現(xiàn)搶修快速到位，客戶位置精準(zhǔn)把握，服務(wù)隊(duì)伍監(jiān)視等傳統(tǒng)業(yè)務(wù)應(yīng)用需要借助移動終端，開展移動業(yè)務(wù)應(yīng)用建設(shè)。在系統(tǒng)建設(shè)的過程中，需要用到內(nèi)網(wǎng)的保密數(shù)據(jù)在移動互聯(lián)網(wǎng)地圖進(jìn)行疊加展示，結(jié)合位置服務(wù)支持業(yè)務(wù)應(yīng)用建設(shè)，有必要在應(yīng)用建設(shè)的同時對內(nèi)網(wǎng)加密的地理信息數(shù)據(jù)進(jìn)行脫密融合，實(shí)現(xiàn)坐標(biāo)數(shù)據(jù)在內(nèi)外網(wǎng)作業(yè)終端地圖進(jìn)行定位。結(jié)合電網(wǎng)電系應(yīng)用，實(shí)現(xiàn)數(shù)據(jù)服務(wù)端存儲，應(yīng)用服務(wù)加密調(diào)用。

2 理論和實(shí)踐依據(jù)

2.1 數(shù)據(jù)脫敏技術(shù)

是指對某些敏感信息通過脫敏規(guī)則進(jìn)行數(shù)據(jù)的變形，實(shí)現(xiàn)敏感隱私數(shù)據(jù)的可靠保護(hù)，在涉及客戶安全數(shù)據(jù)或者一些商業(yè)性敏感數(shù)據(jù)的情況下，在不違反系統(tǒng)規(guī)則條件下，對真實(shí)數(shù)據(jù)進(jìn)行變形、屏蔽、替換、隨機(jī)化、加密改造。項(xiàng)目的難點(diǎn)在于管理敏感數(shù)據(jù)和提供靈活的脫敏方案策略，高效可并行的脫敏能力[4]。

2.2 分區(qū)數(shù)據(jù)安全防護(hù)

“應(yīng)用代理”組件是分區(qū)安全的核心，負(fù)責(zé)中轉(zhuǎn)運(yùn)維操作用戶的操作并與內(nèi)部其他組件進(jìn)行交互[5]?！皯?yīng)用代理”組件收到運(yùn)維人員的操作請求后調(diào)用“策略管理”組件對該操作行為進(jìn)行核查，如果操作不符合安全策略，“應(yīng)用代理”組件將拒絕該操作行為的執(zhí)行。 操作人員的操作行為通過“策略管理”組件的核查之后，“應(yīng)用代理”組件則代替操作人員連接目標(biāo)設(shè)備完成相應(yīng)操作，并將操作返回結(jié)果返回給對應(yīng)的操作人員。

2.3 GIS數(shù)據(jù)應(yīng)用安全防護(hù)

根據(jù)GIS系統(tǒng)數(shù)據(jù)存儲方式和地理信息偏移算法等技術(shù)，在信息內(nèi)網(wǎng)和移動端創(chuàng)建基于GIS地理信息共享接口典型應(yīng)用案例，驗(yàn)證GIS空間數(shù)據(jù)應(yīng)用的安全體系。

3 研究內(nèi)容和實(shí)施方案

3.1 數(shù)據(jù)治理過程中的數(shù)據(jù)脫敏

主要包括數(shù)據(jù)治理過程中數(shù)據(jù)脫敏的定義、需求收集與審核、數(shù)據(jù)脫敏的技術(shù)路線和方法，數(shù)據(jù)訪問技術(shù)規(guī)范。

3.1.1 敏感數(shù)據(jù)的識別研究

1）敏感數(shù)據(jù)標(biāo)準(zhǔn)研究。所謂敏感信息是指不當(dāng)使用或未經(jīng)授權(quán)，被人接觸或修改會不利于國家利益或不利于個人依法享有的個人隱私權(quán)的所有信息[6]。工業(yè)和信息化部宣布了《信息安全技術(shù) 公共及商用服務(wù)信息系統(tǒng)個人信息保護(hù)指南》，這項(xiàng)標(biāo)準(zhǔn)最顯著的特點(diǎn)是將個人信息分為個人一般信息和個人敏感信息，并提出了默許同意和明示同意的概念。對于個人一般信息的處理可以建立在默許同意的基礎(chǔ)上，只要個人信息主體沒有明確表示反對，便可收集和利用。但對于個人敏感信息，則需要建立在明示同意的基礎(chǔ)上，在收集和利用之前，必須首先獲得個人信息主體明確的授權(quán)。

電力企業(yè)掌握大量的客戶信息，在數(shù)據(jù)治理過程中，各類信息化應(yīng)用系統(tǒng)數(shù)據(jù)的匯集，可能存儲大量的敏感數(shù)據(jù)，在數(shù)據(jù)應(yīng)用過程中存在數(shù)據(jù)泄漏風(fēng)險(xiǎn)。在什么情況下，或者在什么組合下，數(shù)據(jù)集能夠被判定為是敏感數(shù)據(jù)，需要進(jìn)行標(biāo)準(zhǔn)和規(guī)則的制定，規(guī)劃敏感數(shù)據(jù)的應(yīng)用制度。

2）敏感數(shù)據(jù)級別研究。敏感數(shù)據(jù)根據(jù)不同應(yīng)用對象、數(shù)據(jù)自身敏感程度和影響力，可能需要進(jìn)行敏感級別的劃分[9]。

3.1.2 數(shù)據(jù)脫敏的策略研究

1）對數(shù)據(jù)脫敏算法研究。根據(jù)不同數(shù)據(jù)特征，研究豐富高效的脫敏算法。可對常見數(shù)據(jù)如客戶姓名、證件號、銀行賬戶、住址、電話號碼、組織機(jī)構(gòu)代碼等敏感數(shù)據(jù)進(jìn)行脫敏，脫敏算法具有如下特性：

（1）同義替換，使用相同含義的數(shù)據(jù)替換原有的敏感數(shù)據(jù)，如姓名脫敏后仍然為有意義的姓名，住址脫敏后仍然為住址。

（2）部分?jǐn)?shù)據(jù)遮蔽，將原數(shù)據(jù)中部分或全部內(nèi)容，用“*”或“#”等字符進(jìn)行替換，遮蓋部分或全部原文。

（3）混合屏蔽，將相關(guān)的列作為一個組進(jìn)行屏蔽，以保證這些相關(guān)列中被屏蔽的數(shù)據(jù)保持同樣的關(guān)系，例如城市、省、郵編在屏蔽后保持一致。

（4）確定性屏蔽，確保在運(yùn)行屏蔽后生成可重復(fù)的屏蔽值?？纱_保特定的值（如客戶號、身份證號碼、銀行卡號）在所有數(shù)據(jù)庫中屏蔽為同一個值。

（5）可逆脫敏，確保脫敏后的數(shù)據(jù)可還原，便于分析的結(jié)果還原為業(yè)務(wù)數(shù)據(jù)。

通過對不同特征的脫敏性需求，研究不同的實(shí)現(xiàn)算法，比如基于開發(fā)平臺創(chuàng)建函數(shù)和正則表達(dá)式等[7]。

2）脫敏字段的管理研究。敏感數(shù)據(jù)存儲于不同的業(yè)務(wù)系統(tǒng)，不同的業(yè)務(wù)系統(tǒng)又分布在不同的表中，不同的表中又有可能存在多個敏感數(shù)據(jù)字段，對脫敏字段的有效管理有助于數(shù)據(jù)脫敏工作的完整性和正確性[8]。同時脫敏算法是將敏感數(shù)據(jù)進(jìn)行脫敏處理的規(guī)則，脫敏策略包含敏感數(shù)據(jù)特征以及對于這類數(shù)據(jù)的脫敏算法，通過脫敏字段管理，對于相似和同一類應(yīng)用場景，用戶可將脫敏方案適用于該場景的脫敏方案，脫敏方案制定后，可被重復(fù)利用于該場景下不同批次數(shù)據(jù)的脫敏需求。

3.1.3 數(shù)據(jù)脫敏技術(shù)實(shí)現(xiàn)

1）數(shù)據(jù)脫敏技術(shù)原則。脫敏系統(tǒng)需有效保障脫敏后的數(shù)據(jù)可以滿足原始數(shù)據(jù)相同的業(yè)務(wù)規(guī)則，能夠代表實(shí)際業(yè)務(wù)屬性的虛構(gòu)數(shù)據(jù)，能夠使脫敏數(shù)據(jù)的使用者從體驗(yàn)上感覺數(shù)據(jù)是真實(shí)的，從而最終保證使用脫敏后的數(shù)據(jù)可以保證業(yè)務(wù)可靠運(yùn)行。

（1）可重復(fù)和不可重復(fù)性。數(shù)據(jù)脫敏需要提供能夠重復(fù)脫敏相同數(shù)據(jù)的能力，在不同輪次的脫敏中，保證相同的隱私數(shù)據(jù)脫敏后的數(shù)據(jù)也是相同的[9]。從而保證數(shù)據(jù)在增量環(huán)境下能夠被有效關(guān)聯(lián)。另一方面，有些時候處于安全考慮，需要提供不可重復(fù)的脫敏能力，保證相同的數(shù)據(jù)在不同輪次脫敏產(chǎn)生的數(shù)據(jù)是不同的，從而防止逆向工程還原數(shù)據(jù)。

（2）數(shù)據(jù)有效性。為了保證業(yè)務(wù)系統(tǒng)和分析系統(tǒng)的正常運(yùn)行，有些需要保證脫敏后的數(shù)據(jù)必須能夠準(zhǔn)確反應(yīng)原始數(shù)據(jù)的業(yè)務(wù)屬性和數(shù)據(jù)分布特征，例如對于原始數(shù)據(jù)中的姓名、地址等信息需要在脫敏后仍然具有可讀性，脫敏后的數(shù)據(jù)滿足業(yè)務(wù)系統(tǒng)的數(shù)據(jù)規(guī)則，能夠通過業(yè)務(wù)系統(tǒng)的數(shù)據(jù)有效性驗(yàn)證，如身份證號、銀行卡號的校驗(yàn)碼匹配等。

（3）數(shù)據(jù)真實(shí)性。脫敏后的數(shù)據(jù)需要保證是真實(shí)完整的，并且提供不改變原始數(shù)據(jù)尺寸，不包含無效信息的能力，防止敏感數(shù)據(jù)不符合目標(biāo)數(shù)據(jù)的定義，造成無法順利入庫的情況。

（4）數(shù)據(jù)完整性。在執(zhí)行數(shù)據(jù)脫敏時，不會對數(shù)據(jù)庫中原始數(shù)據(jù)進(jìn)行任何變更操作，所有的脫敏數(shù)據(jù)均在數(shù)據(jù)庫返回結(jié)果集中體現(xiàn)，不對原始數(shù)據(jù)產(chǎn)生任何影響。

2）脫敏工具的研發(fā)。脫敏任務(wù)可針對目標(biāo)數(shù)據(jù)庫系統(tǒng)或結(jié)構(gòu)化文件進(jìn)行[10]。通過脫敏任務(wù)，與提供原始數(shù)據(jù)的業(yè)務(wù)系統(tǒng)和使用脫敏后數(shù)據(jù)的系統(tǒng)連接起來，用戶可在任務(wù)內(nèi)選擇脫敏數(shù)據(jù)來源、脫敏數(shù)據(jù)去向以及最適合的數(shù)據(jù)脫敏方案。

研發(fā)脫敏工具，提供任務(wù)維護(hù)管理功能，可對任務(wù)進(jìn)行停止、啟動、重啟、暫停、繼續(xù)，并且支持任務(wù)并發(fā)，充分利用系統(tǒng)資源，提高脫敏效率。

3.2 數(shù)據(jù)治理安全分區(qū)

3.2.1 數(shù)據(jù)分區(qū)安全保護(hù)研究

根據(jù)數(shù)據(jù)治理技術(shù)支撐平臺服務(wù)器分區(qū)規(guī)劃，開展數(shù)據(jù)治理分區(qū)數(shù)據(jù)保護(hù)研究，研制集帳號管理、授權(quán)管理、認(rèn)證管理和綜合審計(jì)于一體，整合應(yīng)用系統(tǒng)、網(wǎng)絡(luò)設(shè)備、主機(jī)系統(tǒng)，確保合法用戶安全、方便使用特定資源的分區(qū)安全管理工具，攔截對數(shù)據(jù)中心數(shù)據(jù)庫等服務(wù)器非法訪問和惡意攻擊，對不合法命令進(jìn)行命令阻斷，過濾掉對目標(biāo)設(shè)備的非法訪問行為，保證數(shù)據(jù)中心服務(wù)器、數(shù)據(jù)庫安全可靠運(yùn)行。

分區(qū)安全管理工具通過代理技術(shù)，在生產(chǎn)區(qū)等分區(qū)內(nèi)接管終端計(jì)算機(jī)對網(wǎng)絡(luò)和服務(wù)器的訪問，邏輯上將操作人員與目標(biāo)設(shè)備隔離開來，建立從“操作人員→用戶賬號→授權(quán)→目標(biāo)設(shè)備賬號→目標(biāo)設(shè)備”的工作模式，研究設(shè)置細(xì)粒度的安全管控策略，如支持基于用戶角色的訪問控制，根據(jù)用戶、用戶組、訪問主機(jī)、目標(biāo)系統(tǒng)賬號、訪問方式設(shè)置訪問策略，支持基于時間的訪問控制，支持基于訪問者IP的訪問控制，基于黑白名單的訪問控制等。分區(qū)安全管理工具采用雙機(jī)方式，消除單節(jié)點(diǎn)，不能因某一節(jié)點(diǎn)異常影響日常應(yīng)用。

3.2.2 數(shù)據(jù)拷貝審核控制研究

對數(shù)據(jù)中心內(nèi)的服務(wù)器進(jìn)行數(shù)據(jù)文件拷貝許可審核控制研究，對確實(shí)需要拷貝出的數(shù)據(jù)文件，自動發(fā)起申請與審核流程，經(jīng)過許可授權(quán)后才能進(jìn)行數(shù)據(jù)拷貝。當(dāng)對服務(wù)器進(jìn)行操作時，數(shù)據(jù)分區(qū)安全系統(tǒng)首先對操作指令進(jìn)行檢測和分析，當(dāng)涉及高位指令時可以進(jìn)行審批操作或阻斷操作。

對Linux服務(wù)器進(jìn)行操作時，通過正則表達(dá)式匹配的模式，一旦涉及拷貝指令（如cp、copy等），分區(qū)安全管理平臺自動向管理員提交審批消息，若管理員同意，則指令生效，若管理員拒絕，則指令無效。對于Windows服務(wù)器，監(jiān)控剪貼板，當(dāng)數(shù)據(jù)分析人員進(jìn)行操作時，一旦涉及剪貼板向非本機(jī)發(fā)送粘貼指令，系統(tǒng)自動向管理員提交審批消息，管理員同意之后才能生效。

分區(qū)安全管理工具可接安徽電力短信平臺，研究采用短信通知的方式提醒管理員審核，進(jìn)行短信回復(fù)完成許可審核。

3.2.3 操作行為過程審計(jì)研究

對授權(quán)人員的目標(biāo)操作進(jìn)行記錄、分析、展現(xiàn)，以幫助內(nèi)控工作事前規(guī)劃預(yù)防、事中實(shí)時監(jiān)控、違規(guī)行為響應(yīng)、事后合規(guī)報(bào)告、事故追蹤回放。操作行為過程審計(jì)如圖1所示。

圖1 操作行為過程審計(jì)

3.3 電網(wǎng)GIS數(shù)據(jù)應(yīng)用安全研究

3.3.1 進(jìn)行電網(wǎng)GIS共享融合應(yīng)用可行性研究

在電網(wǎng)GIS平臺的建設(shè)背景下，國網(wǎng)已經(jīng)實(shí)現(xiàn)內(nèi)網(wǎng)地圖服務(wù)統(tǒng)一部署，電力設(shè)施省集中存儲，移動端地圖服務(wù)統(tǒng)一部署[11]。預(yù)計(jì)在本年底完成內(nèi)網(wǎng)外網(wǎng)移動地圖坐標(biāo)的統(tǒng)一非線性偏移。即應(yīng)用層實(shí)現(xiàn)內(nèi)網(wǎng)系統(tǒng)坐標(biāo)，外網(wǎng)地圖坐標(biāo)均為偏移后坐標(biāo)，原始采集坐標(biāo)僅在服務(wù)端存儲。

《國家電網(wǎng)信通〔2016〕684號 國家電網(wǎng)公司關(guān)于加強(qiáng)和規(guī)范移動應(yīng)用建設(shè)的通知》明確了信息安全要求，內(nèi)網(wǎng)電網(wǎng)資源數(shù)據(jù)不能穿透至外網(wǎng)進(jìn)行展示。實(shí)現(xiàn)電力設(shè)施外網(wǎng)地圖定位，路徑導(dǎo)航功能，需依賴國網(wǎng)電力外網(wǎng)地圖服務(wù)平臺，以支持國網(wǎng)電力行業(yè)的移動應(yīng)用需求。本課題研究GIS信息安全應(yīng)用的規(guī)范體系，重點(diǎn)開展電網(wǎng)GIS地理信息數(shù)據(jù)的內(nèi)網(wǎng)應(yīng)用規(guī)范和外網(wǎng)應(yīng)用的可行性研究。

3.3.2 創(chuàng)建典型案例實(shí)用化GIS安全應(yīng)用

目前各行業(yè)均有在百度、高德等互聯(lián)網(wǎng)地圖移動平臺上開展一些應(yīng)用建設(shè)，百度、高德等地圖服務(wù)商在發(fā)布地圖服務(wù)時，其測繪的原始數(shù)據(jù)已經(jīng)完成脫密非線性偏移等操作。而電力內(nèi)網(wǎng)的坐標(biāo)數(shù)據(jù)采用的是國網(wǎng)加密和偏移算法，即數(shù)據(jù)無法在百度、高德等地圖上疊加。理論上可以從國網(wǎng)偏移后的坐標(biāo)轉(zhuǎn)換為原始坐標(biāo)，再采用百度的偏移算法實(shí)現(xiàn)與百度地圖疊加。出于信息安全管理規(guī)范的遵從考慮，內(nèi)外網(wǎng)移動地圖應(yīng)用可采用“國網(wǎng)統(tǒng)一”的移動地圖服務(wù)和數(shù)據(jù)導(dǎo)航服務(wù)。

課題收集GIS應(yīng)用需求，根據(jù)GIS系統(tǒng)空間數(shù)據(jù)的加密和偏移方式特點(diǎn)，開展GIS空間數(shù)據(jù)在信息內(nèi)網(wǎng)和移動端應(yīng)用規(guī)劃，評估有價(jià)值有意義的應(yīng)用，創(chuàng)建典型應(yīng)用案例進(jìn)行安全應(yīng)用研究。

3.3.3 進(jìn)行GIS應(yīng)用規(guī)劃方案的評估

通過典型案例的實(shí)際應(yīng)用，對GIS應(yīng)用規(guī)劃和GIS數(shù)據(jù)安全進(jìn)行評估，為后續(xù)GIS共享融合安全應(yīng)用提供參考[12]。

根據(jù)GIS系統(tǒng)數(shù)據(jù)存儲方式和地理信息偏移算法技術(shù)，創(chuàng)建基于GIS地理信息共享接口典型應(yīng)用案例，驗(yàn)證實(shí)用化結(jié)果和數(shù)據(jù)安全應(yīng)用的體系。GIS應(yīng)用規(guī)劃方案過程審計(jì)如圖2所示。

圖2 GIS應(yīng)用規(guī)劃方過程審計(jì)

4 結(jié)束語

公司通過數(shù)據(jù)治理過程中數(shù)據(jù)安全防護(hù)系統(tǒng)的建設(shè)，從而達(dá)到數(shù)據(jù)收集、分析、加工、應(yīng)用各環(huán)節(jié)的安全，阻止敏感數(shù)據(jù)泄漏，防止數(shù)據(jù)資產(chǎn)流失，為實(shí)現(xiàn)數(shù)據(jù)共享與融合應(yīng)用提供數(shù)據(jù)質(zhì)量支撐，為業(yè)務(wù)分析、系統(tǒng)接入、開發(fā)調(diào)試等各場景提供數(shù)據(jù)應(yīng)用支撐。