基于數據中臺的數據安全研究與應用

張翠翠，胡聰，洪德華，劉翠玲

（國網安徽省電力有限公司信息通信分公司，合肥230041）

0 引言

隨著電力企業(yè)兩級數據中臺建設完成，業(yè)務數據整體呈現(xiàn)集中存儲趨勢[1-2]。目前電力企業(yè)正處在數字化轉型期，數據資產已上升到戰(zhàn)略資源層面，對數據安全管理提出了更高的要求[3-4]。

結合目前國家信息安全形勢，電力企業(yè)越來越重視信息系統(tǒng)安全防護，如何技術上對核心業(yè)務數據進行保護，保障核心業(yè)務數據即使被非法用戶獲取后，也無法提取出有用信息，是公司信息系統(tǒng)安全防護的關鍵[5-6]。

基于省市公司對集中存儲數據的使用存在安全顧慮和規(guī)避信息系統(tǒng)外部審計工作中的風險和安全形勢及公司信息系統(tǒng)安全防護的需求，需迫切開展適應數據中臺架構的數據安全分級研究，設計各級企業(yè)內數據的安全分級和使用策略，為數據的安全使用和維護提供指導，降低數據丟失、泄露的風險，保護企業(yè)數據安全[7-8]。

1 現(xiàn)狀分析

數據分級是指對國家電網內各類數據依據數據自身對國家電網公司和國家與社會的重要性、安全性和保密性劃分為不同的等級。數據分級的目的旨在加強對重要數據的保護和提高普通數據的共享與交換。以應用需求為導向，結合電力數據中臺特點，數據中臺已支撐離線數據分析、實時計算、非結構化數據三類應用場景構建。數據中臺數據流轉架構如圖1 所示。

圖1 數據中臺數據流轉架構

實時計算場景：該場景重點基于結構化數據、量測數據，經過數據實時接入、流式計算處理，以服務訂閱的方式為應用提供實時數據。

離線數據分析場景：該場景重點基于結構化數據、量測數據，經過數據接入、數據整合（量測數據關聯(lián)計算或清洗轉換）、（寬表）邏輯處理或分析模型運算、服務封裝發(fā)布等環(huán)節(jié)后，滿足應用T+1 或H+1 數據分析需求。

非結構化數據場景：該場景基于非結構化數據，經過非結構化對象存儲、非結構化內容提取分析、結構化數據轉換等環(huán)節(jié)后，滿足應用對非結構化數據的分析處理需求。

2 數據安全方案

按照“零信任”防護理念建立適應數據中臺需求的“零信任”安全防護體系，強化上下文感知和動態(tài)訪問控制能力，構建“端到端”的、靈活授權的業(yè)務動態(tài)訪問控制機制，提升數據中臺安全防護能力。

2.1 總體架構

根據應用、數據等訪問客體屬性，包括分級、分類、資源、功能等因素，對訪問客體進行分級管理防護。訪問主體與客體是嚴格隔離的，訪問主體不可直接訪問客體資源。針對主體訪問客體的信息流，基于訪問主體的屬性和操作，訪問客體的屬性以及授權策略，制定精細化的授權訪問策略模型，形成主體、客體和環(huán)境屬性實現(xiàn)動態(tài)映射機制?；谥悄苌矸莘治鲞M行風險評估和環(huán)境感知，實現(xiàn)動態(tài)訪問控制，提供靈活的權限管理，對用戶和設備權限進行動態(tài)過濾與裁剪，消除權限過大風險。數據中臺“零信任”安全防護架構如圖2所示。

圖2 數據中臺“零信任”安全防護架構

2.2 數據分級方法

電網數據資產以SG-CIM 為基準，依據數據重要性、敏感性進行安全分級，并實行差異化防護，主要劃分為商密數據、企業(yè)重要數據、一般數據。數據安全分級如表1 所示。

數據分級時根據信息在保密性、完整性和可用性被破壞后的影響程度（深度）和影響范圍（廣度）決定數據的安全等級，本原則依據數據在保密性、完整性和可用性的安全要求，分別給出對應的分數，并依據安全性事故影響的范圍給出權值，然后計算總分值，可以得到該數據的等級，數據安全分級方法如表2 所示。

表1 數據安全分級表

表2 數據安全分級方法

數據安全性總分=機密性得分*權值+完整性得分*權值+可用性得分*權值，設定1 級為5 分以下，2 級為5～8 分，3 級為8～11 分，4 級為11 分以上。

2.3 數據安全保護策略

規(guī)定對分級后的數據需采取相應該等級的保護措施。規(guī)定對保存在信息系統(tǒng)中的數據，該信息系統(tǒng)的安全保護等級不得低于該數據的等級。對不同等級的數據建議采取的保護措施如表3 所示。

3 實驗驗證

本文根據數據中臺歷史數據表[9-10]，完成物資共享融合數據的接入、分級存儲和敏感數據加密存儲實驗驗證。大數據平臺應用租戶創(chuàng)建與配置：根據數據分級分類規(guī)范，創(chuàng)建3 個應用用戶，分別用于存儲不同級別數據，基于大數據平臺多租戶模式實現(xiàn)各級數據隔離以及數據訪問權限控制，多租戶驗證情況如圖3所示。

表3 數據安全保護措施

圖3 多租戶驗證

數據接入及驗證：完成與數據中心共享融合池的物資數據共享訪問接口的聯(lián)調測試，利用大數據平臺數據傳輸功能，按照數據分級分類規(guī)范，使用不同應用用戶完成數據接入至大數據平臺數據倉庫，實現(xiàn)數據分級存儲和管理，數據傳輸情況如圖4 所示。

圖4 數據傳輸驗證

數據加密及驗證：按照國密SM4 算法，使用數據加密程序對物資監(jiān)造問題信息表中的任務編號數據進行數據加密存儲，在完成數據加密后，通過數據傳輸組件接入至大數據平臺，使用相應租戶的分布式數據庫，確認核心數據加密，數據加密情況，圖5 標紅字段為數據加密字段。

圖5 數據加密驗證

通過數據的接入、分級存儲和敏感數據加密存儲實驗驗證，可以分析得出本文設計的數據分級防護方法的可行性和有效性。

4 結語

針對當前電力數據中臺安全防護的需要，本文提出了基于數據中臺的數據安全分級防護方案，給出了數據中臺“零信任”安全防護總體架構，闡述數據分級方法和定級標準，設計了差異化的數據安全保護策略，通過實驗驗證了基于數據中臺的數據安全分級防護方案的可行性和有效性。