煙草行業(yè)的數(shù)據(jù)防泄漏

文/張承亮 寧欣 郭軍 李俊

2018年3月，F(xiàn)acebook 5000萬用戶，未經(jīng)用戶許可被Cambridge Analytica用于政治廣告。

2017年11月，五角大樓AWS S3，配置錯(cuò)誤，18億條公民相關(guān)信息暴露；

2017年11月，趣店或遭內(nèi)部員工泄露，數(shù)百萬學(xué)生數(shù)據(jù)泄露

2017年10月，雅虎或遭入侵，導(dǎo)致30億帳號泄露；

2017年9月，信用機(jī)構(gòu)Equifax網(wǎng)站，遭入侵，近半用戶信息泄漏

圖1：貴陽煙草局網(wǎng)絡(luò)數(shù)據(jù)泄漏防護(hù)

對此，國外相繼發(fā)布了相關(guān)法律，如歐盟的《一般數(shù)據(jù)保護(hù)條例GDPR》，俄羅斯《個(gè)人數(shù)據(jù)保護(hù)法案》，歐盟委員會(huì)《隱私盾協(xié)議》，《聯(lián)邦隱私法案》，我國《中華人民共和國網(wǎng)絡(luò)安全法》也于2017年6月1日起實(shí)施，其中多項(xiàng)法律條款都與數(shù)據(jù)安全密切相關(guān)，內(nèi)容如下：

第二十一條 國家實(shí)行網(wǎng)絡(luò)安全等級保護(hù)制度。網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級保護(hù)制度的要求，履行下列安全保護(hù)義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改。

第四十條 網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)對其收集的用戶信息嚴(yán)格保密，并建立健全用戶信息保護(hù)制度。

第四十五條依法負(fù)有網(wǎng)絡(luò)安全監(jiān)督管理職責(zé)的部門及其工作人員，必須對在履行職責(zé)中知悉的個(gè)人信息、隱私和商業(yè)秘密嚴(yán)格保密，不得泄露、出售或者非法向他人提供”。

國家煙草專賣局《煙草行業(yè)計(jì)算機(jī)信息網(wǎng)絡(luò)安全保護(hù)規(guī)定》早在1998年6月1日就已實(shí)施，其第五條“任何單位和個(gè)人不得利用行業(yè)網(wǎng)絡(luò)危害國家安全和行業(yè)安全，不得泄露國家秘密和行業(yè)秘密，不得侵犯國家的、社會(huì)的、行業(yè)的、集體的利益和個(gè)人的合法權(quán)益，不得從事違法犯罪活動(dòng)”。

本文圍繞數(shù)據(jù)防泄漏主題，首先介紹了數(shù)據(jù)泄漏防護(hù)的含義，并對敏感信息進(jìn)行了分析，然后，對數(shù)據(jù)泄漏問題進(jìn)行了深入分析，最后給出了煙草行業(yè)的具體數(shù)據(jù)泄漏防護(hù)實(shí)踐案例。

1 數(shù)據(jù)防泄漏定義

根據(jù)Gartner公司給出的定義描述，數(shù)據(jù)防泄漏DLP（Data Loss/Leakage Prevention/Protection）是指基于深度內(nèi)容識別技術(shù)，對傳輸中、存儲(chǔ)中、使用中的數(shù)據(jù)進(jìn)行檢測，識別敏感數(shù)據(jù)，依據(jù)預(yù)先定義的策略，實(shí)施特定響應(yīng)，敏感數(shù)據(jù)泄漏達(dá)到有效防護(hù)效果的解決方案。

2 敏感信息分析

敏感信息是指不當(dāng)使用或未經(jīng)授權(quán)被人接觸或修改后，會(huì)產(chǎn)生不利于國家和組織的負(fù)面影響和利益損失，或不利于個(gè)人依法享有的個(gè)人隱私的所有信息。

敏感信息根據(jù)其信息種類的不同，可以分為個(gè)人敏感信息、商業(yè)敏感信息、國家秘密。由于涉及國家秘密的信息系統(tǒng)通常采用專用網(wǎng)絡(luò)、系統(tǒng)、管理方式進(jìn)行保護(hù)，泄露風(fēng)險(xiǎn)相對較低。

2.1 個(gè)人敏感信息

中華人民共和國最高人民法院、最高人民檢察院對“公民個(gè)人信息”進(jìn)行了解釋，即：是指以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識別特定自然人身份或者反映特定自然人活動(dòng)情況的各種信息，包括姓名、身份證件號碼、通信通訊聯(lián)系方式、住址、賬號密碼、財(cái)產(chǎn)狀況、行蹤軌跡等。

工信部《信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個(gè)人信息保護(hù)指南》中則將個(gè)人信息分為一般信息和敏感信息。一般信息則是指可以在網(wǎng)絡(luò)或者媒體上根據(jù)個(gè)人基本情況而獲取的信息。個(gè)人敏感信息，是指“一旦泄露、非法提供或?yàn)E用可能危害人身和財(cái)產(chǎn)安全，極易導(dǎo)致個(gè)人名譽(yù)、身心健康受到損害或歧視性待遇等的個(gè)人信息”

2.2 商業(yè)敏感信息

《中華人民共和國反不正當(dāng)競爭法》(1993年12月1日正式實(shí)施):商業(yè)敏感信息指“不為公眾所知悉、能為權(quán)利人帶來經(jīng)濟(jì)利益、具有實(shí)用性并經(jīng)權(quán)利采取保密措施的技術(shù)信息和經(jīng)營信息”。其中，技術(shù)信息指“權(quán)利人采取了保密措施保護(hù)不為公眾所知曉（未取得工業(yè)產(chǎn)權(quán)保護(hù)）的，具有經(jīng)濟(jì)價(jià)值的技術(shù)知識，如：設(shè)計(jì)、程序、產(chǎn)品配方、制作工藝等”。經(jīng)營信息指“權(quán)利人采取了保密措施不為公眾所知曉的具有經(jīng)濟(jì)價(jià)值的有關(guān)商業(yè)、管理等方面的方法、經(jīng)驗(yàn)或其他信息，如：企業(yè)的戰(zhàn)略規(guī)劃、管理方法、商業(yè)模式等”。

3 數(shù)據(jù)泄漏問題分析

數(shù)據(jù)是開展煙草信息化建設(shè)的基礎(chǔ)，數(shù)據(jù)是否安全將直接影響煙草數(shù)據(jù)安全的價(jià)值實(shí)現(xiàn)。

煙草信息化建設(shè)和發(fā)展過程中，員工可能將經(jīng)常訪問的數(shù)據(jù)存儲(chǔ)在個(gè)人電腦中，如果缺乏相應(yīng)的防泄漏措施，那么數(shù)據(jù)很容易通過終端渠道或網(wǎng)絡(luò)應(yīng)用泄漏出去，從而給貴陽煙草局帶來巨大的經(jīng)濟(jì)和聲譽(yù)損失。

數(shù)據(jù)泄漏風(fēng)險(xiǎn)主要涉及以下三個(gè)方面：

3.1 數(shù)據(jù)傳輸中泄漏

由于煙草系統(tǒng)目前數(shù)據(jù)傳輸?shù)那烙卸喾N，通過網(wǎng)絡(luò)如郵件、網(wǎng)盤、webmail、ftp等方式泄露，這種泄露方式更多的是內(nèi)部員工有意或無意從計(jì)算機(jī)上外發(fā)造成泄密。

3.2 數(shù)據(jù)使用中泄漏

使用過程包括泄漏情況包括：通過U盤、移動(dòng)存儲(chǔ)設(shè)備拷貝數(shù)據(jù)；通過打印機(jī)打印帶出公司或者通過傳真機(jī)、截屏、藍(lán)牙文件傳輸、即時(shí)通信(微信、QQ、釘釘、企業(yè)微信等)、網(wǎng)絡(luò)共享、應(yīng)用程序文件訪問外發(fā)等方式也是數(shù)據(jù)泄露的重要的層面。

3.3 數(shù)據(jù)存儲(chǔ)中泄漏

很多敏感信息從產(chǎn)生開始就存放在重要的服務(wù)器，由于缺乏對敏感數(shù)據(jù)的管理，管理人員不清楚敏感數(shù)據(jù)的分布情況及使用情況，導(dǎo)致敏感數(shù)據(jù)從產(chǎn)生和存儲(chǔ)的過程中被非法或者無意間泄露。

4 煙草行業(yè)的數(shù)據(jù)泄漏防護(hù)實(shí)踐

隨著貴陽煙草局信息化發(fā)展，對數(shù)據(jù)泄漏防護(hù)的需求日益迫切。根據(jù)實(shí)際業(yè)務(wù)的安全需求，構(gòu)建了以網(wǎng)絡(luò)數(shù)據(jù)泄漏防護(hù)為核心的數(shù)據(jù)泄漏防護(hù)方案（圖1）。

該方案選擇了天融信數(shù)據(jù)防泄漏產(chǎn)品，該產(chǎn)品技術(shù)核心是深度內(nèi)容識別技術(shù)。初級識別，包括關(guān)鍵字、正則；自動(dòng)識別，包括標(biāo)識符、結(jié)構(gòu)數(shù)據(jù)指紋、文檔指紋、圖片指紋；智能識別，包括機(jī)器分類和機(jī)器聚類，可以對敏感信息或商業(yè)敏感信息實(shí)施更加深入和有效識別分析，同時(shí)，當(dāng)發(fā)現(xiàn)數(shù)據(jù)泄漏行為是可以快速實(shí)施響應(yīng)，如記錄、告警、加密等，從而降低敏感信息泄露風(fēng)險(xiǎn)。

說明：如圖1所示，方案在貴陽煙草局的網(wǎng)絡(luò)出口部署了一臺數(shù)據(jù)防泄漏系統(tǒng)網(wǎng)絡(luò)DLP（Data Loss Protection），通過旁路鏡像方式接入到網(wǎng)絡(luò)中。

方案效果分析：網(wǎng)絡(luò)DLP通過對網(wǎng)絡(luò)流量（SMTP、HTTP/S、FTP、HTTP）進(jìn) 行 深度分析，精確識別判斷流量的協(xié)議，并從協(xié)議中提取出文本信息，根據(jù)預(yù)置策略記錄相關(guān)事件。同時(shí)，管理人員可以通過事件報(bào)表進(jìn)行后期的審計(jì)管理，定位出收發(fā)件人的郵箱，IP，事件發(fā)生的時(shí)間，觸發(fā)了哪條策略，事件違規(guī)的詳細(xì)信息等。管理人員還可以根據(jù)不同業(yè)務(wù)部門數(shù)據(jù)的流轉(zhuǎn)設(shè)置不同的數(shù)據(jù)保護(hù)策略，實(shí)現(xiàn)對貴陽煙草局各業(yè)務(wù)部門外發(fā)數(shù)據(jù)的識別與保護(hù)。除了可以對單位電子郵件、HTTP上傳（包括Web Mail、論壇、微博發(fā)帖、網(wǎng)盤上傳等）以及其他網(wǎng)絡(luò)應(yīng)用實(shí)施有效的監(jiān)控和審計(jì)。該方案部署后有效地增強(qiáng)了數(shù)據(jù)泄漏防護(hù)能力，同時(shí)也增強(qiáng)了該單位的信息化安全合規(guī)的能力。

5 總結(jié)

數(shù)據(jù)防泄漏是個(gè)非常復(fù)雜的系統(tǒng)工程，必要的技術(shù)手段是前提，最后的落地依賴于公司相關(guān)數(shù)據(jù)安全管理策略的執(zhí)行，其次，單靠某一種或某一類的產(chǎn)品來解決貴陽煙草局內(nèi)部數(shù)據(jù)安全問題是不可行的，必須從數(shù)據(jù)全生命周期著手，基于數(shù)據(jù)的每個(gè)階段的特性進(jìn)行安全防護(hù)，才是徹底解決數(shù)據(jù)安全問題的唯一途徑。