網(wǎng)絡(luò)安全等級保護下數(shù)據(jù)安全治理

摘"要：網(wǎng)絡(luò)安全等級保護2.0系列標(biāo)準(zhǔn)是我國網(wǎng)絡(luò)安全領(lǐng)域的一項基本標(biāo)準(zhǔn)，也是各行業(yè)、各企業(yè)開展網(wǎng)絡(luò)安全建設(shè)的重要指導(dǎo)性文件。近年來伴隨著我國網(wǎng)絡(luò)安全建設(shè)步伐的加快，行業(yè)技術(shù)水平的進一步提高，網(wǎng)絡(luò)安全建設(shè)的重點及核心已越發(fā)側(cè)重于數(shù)據(jù)安全層面。

關(guān)鍵詞：網(wǎng)絡(luò)安全；等級保護；數(shù)據(jù)安全；DSMM

中圖分類號：D9"文獻標(biāo)識碼：A""doi：10.19311/j.cnki.16723198.2024.13.062

1"我國網(wǎng)絡(luò)安全等級保護2.0的基本概念及數(shù)據(jù)安全要求

1.1"等保2.0基本概念

等保2.0全稱為《網(wǎng)絡(luò)安全等級保護2.0制度》，是國家市場監(jiān)督管理總局于2019年5月10日發(fā)布的一項網(wǎng)絡(luò)安全基本建設(shè)要求。等保2.0標(biāo)準(zhǔn)體系中包含《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求》《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護測評要求》《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護實施指南》三項核心標(biāo)準(zhǔn)。自頒布以來就成為各行業(yè)開展網(wǎng)絡(luò)安全建設(shè)的指導(dǎo)思想，同時也是履行網(wǎng)絡(luò)安全等級保護義務(wù)的重要標(biāo)準(zhǔn)。等保2.0體系按照重要程度的不同，劃分為1—5個不同等級，等級越高，代表防護要求越嚴(yán)格。

1.2"等保2.0對數(shù)據(jù)安全的基本要求

我國等保2.0體系在網(wǎng)絡(luò)安全建設(shè)要求層面集中于安全通用要求、云計算安全擴展要求、移動互聯(lián)網(wǎng)安全擴展要求、物聯(lián)網(wǎng)安全擴展要求、工業(yè)控制系統(tǒng)安全擴展要求。而在數(shù)據(jù)安全層面，等保2.0中一級到五級都有明確的建設(shè)指導(dǎo)，對于數(shù)據(jù)安全，主要側(cè)重于數(shù)據(jù)的保密性，完整性，數(shù)據(jù)的備份及恢復(fù)以及剩余信息保護和個人信息保護等方面。按照等級的不同，對于數(shù)據(jù)安全的要求也越發(fā)嚴(yán)格。以等保三級為例，組織必須采用相應(yīng)的校驗技術(shù)或密碼技術(shù)來保證數(shù)據(jù)在傳輸過程中的完整性，保密性。還應(yīng)建立相應(yīng)的數(shù)據(jù)備份恢復(fù)機制，要求具備異地實時備份功能。重要的數(shù)據(jù)處理系統(tǒng)還必須具備熱冗余能力。而在剩余信息保護和個人信息保護層面，也有相應(yīng)的明確規(guī)定。

2"DSMM數(shù)據(jù)安全管理成熟度模型

自我國《數(shù)據(jù)安全法》頒布以來，組織在進行數(shù)據(jù)安全建設(shè)的過程中，其防護工作的重點不能夠僅僅局限于數(shù)據(jù)庫層面，而是要關(guān)聯(lián)到數(shù)據(jù)生存周期的方方面面。根據(jù)數(shù)據(jù)安全能力成熟的模型（DSMM標(biāo)準(zhǔn)），數(shù)據(jù)資產(chǎn)與信息系統(tǒng)類似，都有著相應(yīng)的生存周期。根據(jù)各個節(jié)點所表現(xiàn)特征的不同，可以將數(shù)據(jù)的全生命周期分為采集，傳輸，存儲，處理，交換6個不同的階段。而數(shù)據(jù)安全建設(shè)則是在數(shù)據(jù)全生命周期的基礎(chǔ)之上，對6個不同的節(jié)點采取相應(yīng)的安全管理措施和安全技術(shù)措施，對數(shù)據(jù)資產(chǎn)進行保護。以達(dá)到等保2.0中對數(shù)據(jù)保密性，可用性，完整性以及數(shù)據(jù)恢復(fù)及備份等安全控制點要求。

3"基于等級保護2.0的數(shù)據(jù)安全治理體系建設(shè)

相較于傳統(tǒng)的網(wǎng)絡(luò)安全防護體系，數(shù)據(jù)安全在多個層面都有著明顯的差異性。傳統(tǒng)網(wǎng)絡(luò)安全講究在進行安全建設(shè)的過程中進行區(qū)域隔離，形成縱深防御體系，保障的整體的網(wǎng)絡(luò)安全。而數(shù)據(jù)安全則是以數(shù)據(jù)為核心，對數(shù)據(jù)資產(chǎn)進行分類分級，而后以數(shù)據(jù)流為主要脈絡(luò)保障業(yè)務(wù)最底層的數(shù)據(jù)的安全性。做到數(shù)據(jù)資產(chǎn)在安全合規(guī)的范圍內(nèi)能夠得到最大化利用。

3.1"數(shù)據(jù)采集安全

數(shù)據(jù)采集是數(shù)據(jù)全生命周期的第一個階段，也是數(shù)據(jù)真正從0到1的過程。目前數(shù)據(jù)采集根據(jù)采集方式的不同可以分為自動化采集、半自動化采集、人工采集3種不同的類型。根據(jù)數(shù)據(jù)重要程度的不同，組織應(yīng)該用合理的手段進行防護。

以等保2.0三級要求為例，對于價值較低的一般數(shù)據(jù)，組織可以采用日志記錄的方式對整個采集過程和采集細(xì)節(jié)進行審計和日志留檔。按照等保三級要求，日志存放的時間要求為6個月以上。

對于重要數(shù)據(jù)，在進行審計和日志記錄的基礎(chǔ)之上，還必須配合相應(yīng)的人工審計措施進行二次審核。尤其是以自動化采集方式為主的組織，為確保采集的數(shù)據(jù)的可靠性，必須根據(jù)數(shù)據(jù)指標(biāo)對采集的數(shù)據(jù)進行校驗，及時發(fā)現(xiàn)異常的數(shù)據(jù)項，防止數(shù)據(jù)污染。

對于核心數(shù)據(jù)，必須采用完備且嚴(yán)格的數(shù)據(jù)安全治理措施進行防護，比如數(shù)據(jù)庫審計、數(shù)據(jù)庫防火墻、數(shù)據(jù)防泄漏、數(shù)據(jù)脫敏等。在此基礎(chǔ)之上引入完整性校驗以及多因子身份校驗等手段進行防護。

無論數(shù)據(jù)的重要程度如何，組織都應(yīng)定期定時對數(shù)據(jù)采集工作進行評估檢查，及時發(fā)現(xiàn)數(shù)據(jù)采集過程中的安全風(fēng)險，建立健全數(shù)據(jù)采集風(fēng)險閉環(huán)管控措施。同時，還要按照我國網(wǎng)絡(luò)安全四法一條例的要求，確保數(shù)據(jù)采集的方式、過程、目的合法合規(guī)，以規(guī)避法律風(fēng)險。

3.2"數(shù)據(jù)傳輸安全

數(shù)據(jù)傳輸是一個非常關(guān)鍵的過程，因為目前大部分企業(yè)在數(shù)據(jù)傳輸?shù)倪^程中都會接觸到公共網(wǎng)絡(luò)，數(shù)據(jù)泄露的風(fēng)險較大。因此，在傳輸重要數(shù)據(jù)及核心數(shù)據(jù)時，整個傳輸流程必須配備具有較高可靠性的安全防護措施。而在防護技術(shù)的選擇過程中，加密保護技術(shù)是一種十分常見的技術(shù)手段。組織可以選擇國密SM2、SM3、SM4等加密算法對數(shù)據(jù)的傳輸過程進行加密。同時，根據(jù)等保三級要求，重要數(shù)據(jù)及核心數(shù)據(jù)在傳輸過程中，還應(yīng)配備有身份校驗技術(shù)對數(shù)據(jù)傳輸源端和目的段的身份進行鑒別。還應(yīng)配備日志審計設(shè)備和數(shù)據(jù)防泄漏設(shè)備對傳輸日志進行審計和保護。

3.3"數(shù)據(jù)存儲安全

目前數(shù)據(jù)存儲以關(guān)系型數(shù)據(jù)庫這種方式為主，具有較強的結(jié)構(gòu)性及靈活性，因此數(shù)據(jù)庫是網(wǎng)絡(luò)安全防護的重中之重。按等保2.0要求，組織不同等級的數(shù)據(jù)資產(chǎn)，應(yīng)采用符合其分級要求的安全防護措施。以等保三級為例，組織應(yīng)采用數(shù)據(jù)加密、數(shù)據(jù)庫審計、數(shù)據(jù)庫防火墻、備份存儲一體機、數(shù)據(jù)校驗等安全產(chǎn)品來保障數(shù)據(jù)在數(shù)據(jù)存儲階段的保密性、完整性及可用性。尤其在備份層面，除了采用相應(yīng)的技術(shù)手段外，還應(yīng)定期進行數(shù)據(jù)備份及恢復(fù)的演練測試，確保備份機制的可靠性。

3.4"數(shù)據(jù)處理安全

數(shù)據(jù)處理階段大多指的是業(yè)務(wù)人員使用信息系統(tǒng)對數(shù)據(jù)進行各種業(yè)務(wù)目的下處理操作。按照等保2.0的基本要求，在該階段進行數(shù)據(jù)處理必須嚴(yán)格按照最小化權(quán)限原則的要求。即數(shù)據(jù)處理者只能在權(quán)限允許范圍內(nèi)處理特定數(shù)據(jù)，嚴(yán)格按照僅處理必要數(shù)據(jù)的基本原則。同時處理行為也要進行審計及記錄，保障數(shù)據(jù)處理行為的合法合規(guī)性。為了實現(xiàn)這樣的要求，組織應(yīng)采用數(shù)據(jù)脫敏、數(shù)據(jù)水印、數(shù)據(jù)防泄漏等技術(shù)手段。

3.5"數(shù)據(jù)交換安全

數(shù)據(jù)的交換主要指的是數(shù)據(jù)在多個不同的信息系統(tǒng)中共享流動以及數(shù)據(jù)的對外傳輸?shù)取ａ槍@種情況，組織應(yīng)根據(jù)等保2.0要求建立數(shù)據(jù)的交換體系。在業(yè)務(wù)層面，應(yīng)對數(shù)據(jù)共享可能會產(chǎn)生的不利影響進行分析評判。在技術(shù)層面，應(yīng)根據(jù)要求對數(shù)據(jù)交換接口進行監(jiān)控。嚴(yán)密審計數(shù)據(jù)交換行為，對于高危操作還應(yīng)建立識別及防控機制。在管理層面，要制定數(shù)據(jù)交換的標(biāo)準(zhǔn)規(guī)范和審批流程，限定數(shù)據(jù)接口的屬性、數(shù)據(jù)交換技術(shù)的選擇等。同時數(shù)據(jù)的交換還應(yīng)經(jīng)過多個領(lǐng)導(dǎo)的層層審批。

3.6"數(shù)據(jù)銷毀安全

數(shù)據(jù)的銷毀是指數(shù)據(jù)對組織失去價值后，對數(shù)據(jù)進行銷毀處置并防止其恢復(fù)的過程。對于不同的存儲介質(zhì)，組織應(yīng)該用對應(yīng)的刪除數(shù)據(jù)的技術(shù)和銷毀技術(shù)。在技術(shù)層面，目前主流的銷毀技術(shù)有邏輯銷毀、物理銷毀等。其中邏輯銷毀主要指的是采用低級格式化、扇區(qū)破壞、多次覆寫等手段。物理銷毀主要指的是消磁、焚燒、腐蝕等。按照等保2.0的要求，敏感數(shù)據(jù)的存儲介質(zhì)在再次使用前必須要對原數(shù)據(jù)進行徹底清除。

4"基于等保2.0的數(shù)據(jù)安全治理優(yōu)化策略

4.1"數(shù)據(jù)安全風(fēng)險評估

數(shù)據(jù)安全風(fēng)險評估是近幾年網(wǎng)絡(luò)安全行業(yè)的一個熱門話題，也是組織開展數(shù)據(jù)安全建設(shè)的第一步。相較基于20984標(biāo)準(zhǔn)的信息安全風(fēng)險評估，數(shù)據(jù)安全風(fēng)險評估有著本質(zhì)上的不同，后者要更偏向于數(shù)據(jù)資產(chǎn)本身而非通信網(wǎng)絡(luò)或信息系統(tǒng)。組織開展數(shù)據(jù)安全風(fēng)險評估，應(yīng)按照特定的數(shù)據(jù)安全風(fēng)險評估技術(shù)路線有序推進。第一步，應(yīng)識別組織目前的關(guān)鍵業(yè)務(wù)及重要業(yè)務(wù)，以業(yè)務(wù)為范圍開展數(shù)據(jù)安全風(fēng)險評估工作。第二步，對該業(yè)務(wù)范圍內(nèi)的所有結(jié)構(gòu)化數(shù)據(jù)、半結(jié)構(gòu)化數(shù)據(jù)及非結(jié)構(gòu)化數(shù)據(jù)進行梳理，形成統(tǒng)一的數(shù)全口徑數(shù)據(jù)資產(chǎn)臺賬。第三步，遵循行業(yè)優(yōu)先的基本原則，對數(shù)據(jù)資產(chǎn)進行分類分級并進行賦值。由于我國數(shù)據(jù)安全起步較晚，目前僅有部分行業(yè)建立了數(shù)據(jù)分類分級標(biāo)準(zhǔn)，未能建立分類分級標(biāo)準(zhǔn)的行業(yè)，鼓勵組織在所在地區(qū)網(wǎng)信辦或行業(yè)主管部門的領(lǐng)導(dǎo)下基于通用性的標(biāo)準(zhǔn)制定符合要求的分類分級標(biāo)準(zhǔn)。第四步，開展數(shù)據(jù)安全威脅識別。與信息安全風(fēng)險評估類似，數(shù)據(jù)安全威脅識別需分析判斷威脅的來源以及威脅影響到的數(shù)據(jù)資產(chǎn)及其生命周期，最終根據(jù)威脅發(fā)生的可能性、威脅的影響程度等維度對其進行量化賦值。第五步，開展數(shù)據(jù)安全脆弱性識別，脆弱性一般指的是組織自身所存在的弱點，比如安全防護不到位、系統(tǒng)漏洞、管理體系問題等。組織可以采用滲透測試、基線檢查、安全調(diào)研、文檔審核等多種手段識別數(shù)據(jù)安全脆弱性并根據(jù)脆弱性的嚴(yán)重程度、脆弱性的影響范圍等維度進行賦值。第六步，已有安全措施識別，安全措施是對數(shù)據(jù)安全風(fēng)險能夠起到抑制作用的安全機制，可分為安全管理措施以及安全技術(shù)措施。組織需要識別數(shù)據(jù)生命周期六個關(guān)鍵節(jié)點所采用的技術(shù)措施以及管理措施，并根據(jù)安全措施的有效性對其進行權(quán)重賦值。最后一步，根據(jù)上述階段的成果，采用矩陣法、相乘法等方法對所有數(shù)據(jù)安全風(fēng)險進行量化復(fù)制，劃分出風(fēng)險等級，確定可接受風(fēng)險以及需整改風(fēng)險。

4.2"數(shù)據(jù)安全差距優(yōu)化

組織完成數(shù)據(jù)安全風(fēng)險評估工作后，應(yīng)當(dāng)根據(jù)風(fēng)險等級對數(shù)據(jù)安全風(fēng)險進行消缺控制。首先在技術(shù)層面，應(yīng)對現(xiàn)有的技術(shù)防護體系進行優(yōu)化升級。對部分老舊的設(shè)備進行更換升級，同時引入數(shù)據(jù)庫審計、數(shù)據(jù)庫防火墻、數(shù)據(jù)防泄漏、數(shù)據(jù)脫敏等數(shù)據(jù)安全產(chǎn)品。利用技術(shù)為抓手開展數(shù)據(jù)安全治理，促進技術(shù)防御體系的動態(tài)免疫。此外，還可以建立數(shù)據(jù)安全風(fēng)險的態(tài)勢感知系統(tǒng)，對組織內(nèi)部的所有數(shù)據(jù)安全風(fēng)險進行監(jiān)控防范?；诋?dāng)下的安全情報，形成數(shù)據(jù)安全風(fēng)險態(tài)勢，基于安全模型及時發(fā)現(xiàn)組織內(nèi)存在的數(shù)據(jù)安全威脅、數(shù)據(jù)安全脆弱性并及時溯源威脅的源頭及路徑，提前防范數(shù)據(jù)安全風(fēng)險的發(fā)生。在管理層面，要形成從規(guī)劃到制度、從制度到流程、從流程到記錄的四級管理體系。其中規(guī)劃層面，組織要成立數(shù)據(jù)安全的工作小組，明確組織數(shù)據(jù)安全組織架構(gòu)。同時制定組織未來3年甚至5年的數(shù)據(jù)安全建設(shè)規(guī)劃，基于業(yè)務(wù)發(fā)展預(yù)測，同步建設(shè)數(shù)據(jù)安全防護體系。在制度體系層面，組織要形成一系列數(shù)據(jù)安全管理制度，明確數(shù)據(jù)安全責(zé)任到人。建立健全數(shù)據(jù)安全問責(zé)體系、保密制度等。在流程設(shè)計層面，數(shù)據(jù)資產(chǎn)的變動、數(shù)據(jù)庫的運營維護、信息系統(tǒng)的管理使用等都必須制定可行的操作流程，確保相應(yīng)專員皆能夠按照制定好的操作流程開展相關(guān)作業(yè)，規(guī)避違規(guī)行為。在記錄層面，組織應(yīng)配合制度體系以及流程體系，建立健全事件記錄。對所有運維人員、數(shù)據(jù)庫管理人員、系統(tǒng)操作人員等的工作行為以及相應(yīng)的審計記錄進行記錄歸檔。對于組織單位的數(shù)據(jù)安全建設(shè)，管理體系與技術(shù)體系互為表里，不可或缺。缺乏了技術(shù)手段，管理體系就缺乏了工作開展的抓手。缺乏管理體系，技術(shù)體系也會失去應(yīng)有的作用。因此，組織單位要摒棄唯技術(shù)論、唯管理論的極端理念，采用能夠滿足當(dāng)下業(yè)務(wù)需求的安全技術(shù)和管理體系。

5"結(jié)語

本文基于等保2.0標(biāo)準(zhǔn)中的數(shù)據(jù)安全要求，分析了組織單位在開展數(shù)據(jù)安全治理的過程中所應(yīng)遵循的要求。并以此提出了基于等保2.0標(biāo)準(zhǔn)的數(shù)據(jù)安全治理體系及治理優(yōu)化策略。確保組織單位的數(shù)據(jù)資產(chǎn)能夠在合法合規(guī)的基礎(chǔ)上得到最大化的開發(fā)利用。充分發(fā)揮數(shù)據(jù)資產(chǎn)的共享性、價值性、時效性。

參考文獻

［1］何占博，王穎，劉軍，等.我國網(wǎng)絡(luò)安全等級保護現(xiàn)狀與2.0標(biāo)準(zhǔn)體系研究J信息技術(shù)與網(wǎng)絡(luò)安全，2019，38（3）：914，19.

[2]徐佳瑾，劉剛.網(wǎng)絡(luò)安全等級保護工作中的定級與備案W.2電子技術(shù)與軟件工程，2019，（16）：192193.

[3]徐震.網(wǎng)絡(luò)安全等級保護：從1.0到2.0J.保密工作，2019，（7）：6364.

[4]孫遠(yuǎn)運.建立鐵路網(wǎng)絡(luò)空間安全治理新格局的實踐探索[J].鐵路計算機應(yīng)用，2021，30（11）：14.

[5]劉愛嬌，孫越洋.深化公安改革促進網(wǎng)絡(luò)安全等級保護工作的思考[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2021，（5）：149152.

[6]于鋒，孫存福.夯實數(shù)據(jù)管理基礎(chǔ)，增強數(shù)據(jù)安全防控—探索后疫情時代的金融數(shù)據(jù)安全防控路徑[J].中國金融電腦，2020，（9）：1821.

[7]余入麗，馬先平，楊雅，等.通過信息安全等級保護提升信息系統(tǒng)管理水平[J].信息與電腦，2019，（7）：196197.

[8]陳天文，高洪臻.公共圖書館網(wǎng)絡(luò)安全等級保護工作要求及具體措施[J].河南圖書館學(xué)刊，2021，41（5）：911.