《飞驰云联:2023新形势下企业数据传输安全治理白皮书(31页).pdf》由会员分享,可在线阅读,更多相关《飞驰云联:2023新形势下企业数据传输安全治理白皮书(31页).pdf(31页珍藏版)》请在三个皮匠报告上搜索。
1、 前前 言言 随着大数据时代的到来,数据的重要性日渐得到重视,当前数字经济正在引领新的经济发展,数字经济也成为继农业经济、工业经济之后的主要经济形态,是充足全球要素资源,重塑全球经济结构、改变全球竞争格局的关键力量。伴随着数据要素市场化进程的发展,数据和以其为基础的数字经济的巨大价值和重要意义已经得到强调和凸显,但数据相关的生产、采集、使用、传输、销毁等全生命周期流程却并不是平稳没有波折的,当数据创造价值的同时,也面临着被窃取、泄露、滥用、非法利用的风险。传输和交换使数据流动,进而释放和深度创造数据价值。我国企业在数据传输治理层面,却依然在历经一些挑战:法律体系不完整、结构内容不丰富;众多网络
2、攻击和数据暴露的风险;企业在管理意识上不足而导致实际建设乏力;技术层面需求多样却难以统一落地;非结构化数据日渐重要但却易被忽视.等等,那么,在新形势下,企业该如何进行数据传输安全治理呢?本报告从企业数据传输安全治理组织建设角度、制度管理角度、技术体系角度三大方面进行了研究和探索,给出具体性的、具有参考价值的意见和建议,最后基于实际案例的实践价值,给企业可落地的指引参考,期望以此为更多企业进行数据安全传输治理带来支持。目目 录(录(C CONTENTSONTENTS)一、数据传输安全治理的重要性愈加凸显.1 1、数据安全是数字经济发展的前提和基础.1 2、逐步完善的数据安全法律体系推进数据安全治
3、理.2 3、数据传输安全治理不容忽视.4 二、企业数据传输安全治理面临的主要痛点和需求.5 1、数据传输治理政策层面缺乏系统性指导.5 2、数据传输治理面临来自网络环境层面挑战.5 3、数据传输治理面临在企业意识和管理上的问题.6 4、数据传输治理急需解决在应用技术层面的需求.6 5、非结构化数据传输治理愈发重要但却容易被忽视.7 三、新形势下,企业进行数据传输安全治理的战略和方案.8 1、构建企业内部合理的数据传输安全组织架构.9 2、搭建企业内部完善的数据传输安全制度体系.10 3、建设企业内部专业的数据传输安全技术体系.11 3.1、企业数据安全传输技术规划.12 3.2 企业数据安全传
4、输关键技术.15 四、数据传输安全落地实践案例.17 1、政府政务行业.17 1.1、某国家事业单位海量数据安全传输的实践.17 2、金融行业.19 2.1、某全国性股份商业银行跨网络文件安全传输的实践.19 2.2、某全球知名再保险公司内外部数据交换实践.21 3、半导体行业.22 3.1、某全球领先的半导体 IP 提供商文件传输实践.22 4、高新技术行业.25 4.1、某全球安检领军企业非结构化数据传输实践.25 参考资料.27 1 一、数据传输安全治理的重要性愈加凸显一、数据传输安全治理的重要性愈加凸显 1 1、数据安全是数字经济发展的前提和基础、数据安全是数字经济发展的前提和基础 数
5、据成为生产要素,将发挥出更大的价值。数据成为生产要素,将发挥出更大的价值。2020 年 4 月,中共中央、国务院发布关于构建更加完善的要素市场化配置体制机制的意见,数据被正式纳入生产要素范围。数据要素涉及数据生产、采集、存储、加工、使用、传输、服务等多个环节,是驱动数字经济发展的“助燃剂”,对价值创造和生产力发展有广泛影响。随着大数据时代的到来,数据的重要性日渐得到重视,当前数字经济正在引领新经济发展,数字经济覆盖面广且渗透力强,数据要素的高效配置,是推动数字经济发展的关键一环,而将数据作为一种新型生产要素写入中央文件中,也体现了数据在当前和未来必将发挥出更大的价值。数据经济上数据经济上升为国
6、家重要发展战略。升为国家重要发展战略。近年来,我国的政策不断加强对数字经济和数据要素的发展指导,数据要素和数字经济的重要性不断提升。2021 年 12 月国务院印发“十四五”数字经济发展规划,指出数字经济成为继农业经济、工业经济之后的主要经济形态,是充足全球要素资源,重塑全球经济结构、改变全球竞争格局的关键力量,要求到 2025 年,数字经济迈向全面扩展期,数字经济核心产业增加值占 GDP 比重达到 10%。数据作为数字经济时代下的基础性资源和战略性资源,是决定国家经济发展水平和竞争力的核心驱动力。发展数据经济正式上升为国家重要发展战略。数据安全是保障数字经济健康发展的基石。数据安全是保障数字
7、经济健康发展的基石。伴随着数据要素市场化进程的发展,数据和以其为基础的数字经济的巨大价值和重要意义已经得到强调和凸显,但数据相关的生产、采集、使用、传输、销毁等全生命周期流程却并不是平稳没有波折的,当数据创造价值的同时,也面临着被窃取、泄露、滥用、非法利用的风险,以此对个人、组织甚至整个社会、国家的利息产生严重威胁和损害。因此,数据安全至关重要,没有数据安全,数据的一切价值都如空中楼阁。反之,当数据安全落实到数据生产使用的全流程时,数据的积极价值才能被有效挖掘、利用,数据才能成为推动经济高质量发展的新动能。数据安全的定义在不断发展演化。数据安全的定义在不断发展演化。在网络环境和网络架构相对简单
8、的早期,数据一般只在服务器、网络和办公电脑之间流转使用,因此数据安全在较多情况下,指数据存储安全、数据灾备和数据恢复等,在个别情况下,基于数据聚合、分析而强化网络安全分析,也被称为数据安全。2 随着网络技术的不断发展,数据安全的定义也在不断演化。2021 年 6 月发布的中华人民共和国数据安全法对数据安全做了明确的定义:数据,是指任何以电子或者其他方式对信息的记录。数据,是指任何以电子或者其他方式对信息的记录。数据处理,包括数据的收集、存储、使用、加工、传输、提供、数据处理,包括数据的收集、存储、使用、加工、传输、提供、公开等。公开等。数据安全,是指通过采取必要措施,确保数据处于有效保护和合法
9、利用的状态,以及数据安全,是指通过采取必要措施,确保数据处于有效保护和合法利用的状态,以及具备保障持续安全状态的能力。具备保障持续安全状态的能力。互联网大时代,数据的生产使用与互联网紧密相关,但数据安全和网络安全却既有联系又互不相同。根据中华人民共和国网络安全法的定义,网络安全,是指通过采取必要措施,防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故,使网络处于稳定可靠运行的状态,以及保障网络数据的完整性、保密性、可用性的能力。数据安全和网络安全的突出区别是核心主体不同,数据安全关注的数据全生命周期的安全,而网络安全则是侧重保障网络体系和网络环境的安全性。2 2、逐步完善的数据安全法律体
10、系推进数据安全治理、逐步完善的数据安全法律体系推进数据安全治理 数据安全需要有切实法律体系作为保障和基础。数据安全需要有切实法律体系作为保障和基础。数字化改革推动我国生产模式的变革,随着经济数字化、政府数字化、企业数字化的建设,数据已经成为我国政府和企业最核心资产。数据安全保护需要以体系化的数据安全法律法规为基础,结合整个社会的资源力量和建设投入,近年来,我国也在持续地加强完善数据安全相关的法律落地。在国家顶层战略引导下,我国在国家安全、网络安全、数据安全与个人信息保护、关键信息基础设施、数据安全与个人信息保护、车联网多个领域密集出台了多项信息安全法律法规和政策文件,有效促进了信息安全领域的技
11、术创新和应用落地,为筑牢国家信息安全屏障、推进网络强国建设提 供了有力支撑。发布(试行)发布(试行)时间时间 文件名称文件名称 相关内容相关内容 2017 年 6 月 1 日 中华人民共和国网络安全法 鼓励开发网络安全保护和利用技术,促进公共数据资源开放,推动技术创新和经济社会发展。应做好数据分类、重要数据备份、加密和重要数据境内留存等措施,防止数据泄露、或者被窃取、篡改。3 2019 年 5 月 28日 数据安全管理办法(征求意见)明确数据收集应制定并公开收集使用规则,提出收集动作和规定制定的相关要求。明确数据处理使用时,应参照国家有关标准,采用数据分类、备份、加密等措施加强对个人信息和重要
12、数据保护。2019 年 6 月 13日 个人信息出境安全评估 办 法(征 求 意 见稿)规定网络运营者向境外提供个人信息,应进行安全评估,并明确相关要求。2021 年 1 月 1 日 民法典 自然人的个人信息受法律保 护。任何组织或者个人需要获取他人个人信息的,应当依法取得并确保信息安全,不得非 法收集、使用、加工、传输他人个人信息,不得非法买卖、提供或者公开他人个人信息。2021 年 3 月 11日 中华人民共和国国民经济和社会发展第十四个五年规划和 2035 年远景目标纲要 统筹数据开发利用、隐私保护和公共安全,加快建立数据资源产权、交易流通、跨境传输和安全保护等基础制度和标准规范。202
13、1 年 9 月 1 日 关键信息基础设施安全保护条例 明确运营者应履行个人信息和数据安全保护责任,建立健全个人信息和数据安全保护制度,发生关键信息基础设施重要数据泄露、较大规模个人信息泄露、特别重大网络安全事件或者发现特别重大网络安全威胁时,及时向国家网信部门、国务院公安部门报告。2021 年 9 月 1 日 数据安全法 数据处理,包括数据的收集、存储、使用、加工、传输、提供、公开等。数据安全,是指通过采取必要措施,确保数据处于有效保护和合法利用的状态,以及具备保障持续安全状态的能力。2021 年 11 月 1日 个人信息保护法 构建完整的个人信息保护框架,采取分级保护制度;进一步细化、完善个
14、人信息处理活动中个人的权利,及处4 理者的原则、要求和权利、义务;明确个人信息跨境提供规则;明确相关法律责任及处罚措施。2021 年 11 月 14日 网络数据安全管理条例(征求意见稿)明确建立数据分类分级保护制度,将数据分为一般数据、重要数据、核心数据,不同级别的数据采取不同的保护措施。3 3、数据传输安全治理不容忽视、数据传输安全治理不容忽视 数据安全法明确定了数据处理的概念,数据处理,包括数据的收集、存储、使用、加工、传输、提供、公开等。数据传输作为数据处理中的重要一环,其价值和重要意义不容忽视。根据数据安全法的定义延伸,数据传输安全指的是通过采取必要措施,确保数据在传输的整个过程中、处
15、于有效保护和合法利用的状态,以及具备保障持续安全状态的能力。从整个国家和社会层面,数据与国家的经济运行、社会治理、公共服务、国防安全等方面密切相关,随着新一轮科技革命和产业变革的加快推进,数字经济为各国经济发展提供了新动能,并且已经成为世界各国竞争的新高地。数据安全有序是数字经济健康发展的基础,但数据在流转过程中却面临着越来越多的风险。在全球范围内,以数据为目标的跨境攻击也越来越频繁,在数据传输环节攻击、窃取数据事件时有发生,成为挑战主权国家安全的跨国犯罪新形态。数据安全的核心在于保障数据的安全与合法有序流动,数据传输是数据在使用和流动过程中不可避免的一环,因此,规避因为数据传输安全问题带来的
16、安全隐患,是终确保数据作为助力经济社会发展的正面因素,落实国家数据安全保障工作的重要关键。对于企业层面,数据传输安全治理在保护企业核心数据资产、维护企业竞争力对于企业层面,数据传输安全治理在保护企业核心数据资产、维护企业竞争力和持续发展力就具有更加和持续发展力就具有更加现实的意义。现实的意义。企业的业务正常开展依赖安全有序的数据流转,数据传输环节融合在企业生产办公、日常经营、技术研究、战略发展等活动的方方面面。数据是任何企业的命脉,但企业数据在传输过程中仍然面临着监管机制不健全、传输主体涉及面广、网络环境复杂、攻击手段多样、数据泄露引发多米诺骨牌式影响等多种风险和挑战。而当企业在数据传输过程中
17、因设计、管理、技术、操作等处理方式疏忽而导致安全问题产生,则将带给企业难以统计的影响和后果。因此,保障5 数据传输安全、保障数据在传输中的安全性、完整性、可用性,对于企业的持续经营、提升在市场的竞争力和发展力具有深远的重要意义。二、企业数据传输安全治理面临的主要痛点和需求二、企业数据传输安全治理面临的主要痛点和需求 1 1、数据传输治理政策层面缺乏系统性指导、数据传输治理政策层面缺乏系统性指导 数据传输安全法律体系尚不完整。我国数据安全法律体系建设起步相对较晚,目前从整体来看,我国数据安全相关法律体系虽然日趋完善,但具体到数据传输安全方向,但具体到数据传输安全方向,法律体系仍不完整,法域不宽广
18、,结构内容不丰富。法律体系仍不完整,法域不宽广,结构内容不丰富。在数据传输安全的重要性日益突显的今天,具体到社会单位、组织和企业,都需要体系化的数据传输安全法律法规来指导落地。在数据传输安全法律设计和发布之前,企业需要根据已有的数据安全相关法律法规来参考、评估和指导企业的数据传输安全治理建设,这就给企业在制定全局性、系统性数据传输安全规划带来一定的挑战和压力。因而在内部向下一层层推进时,会出现重制定、轻落实,缺乏可落地性和可实施性等问题。2 2、数据传输治理面临来自网络环境层面挑战、数据传输治理面临来自网络环境层面挑战 数据生命周期安全问题,伴随着大数据传输技术和应用的快速发展,在数据传输生命
19、周期的各个阶段、各个环节,越来越多的安全隐患逐渐暴露出来。在数据传输环节,企业主要面临网络攻击和数据泄露等风险在数据传输环节,企业主要面临网络攻击和数据泄露等风险。网络攻击包括 APT攻击、DNS 欺骗、DDoS 攻击等;而传输泄露则包括传输协议漏洞、窃听、篡改等。此外,数据传输过程还可能被数据流攻击者利用,数据在传播中出现逐步失真等问题。数据传输环节因管理不善、技术漏洞、人员失职等问题而造成的数据安全事故在全球范围内都在不断发生。1 1)壳牌公司遭受因)壳牌公司遭受因 AccelionAccelion 传输程序漏洞遭黑客攻击传输程序漏洞遭黑客攻击 2021 年 3 月 16 日,继工业巨头霍
20、尼韦尔 IT 系统遭恶意软件破坏后,能源巨头壳牌公司(Shell)也遭遇黑客攻击。攻击者利用了安全厂商 Accellion 的文件传输程序 FTA的零日漏洞,已经访问了一些个人数据以及属于壳牌利益相关方和子公司的数据。壳牌公司使用 FTA 来“安全地”传输大文件。2 2)美国征信巨头因)美国征信巨头因 SFTPSFTP 服务器被攻击而泄露大量数据服务器被攻击而泄露大量数据 6 3 月 21 日,美国征信巨头 TransUnion 的南非公司遭巴西黑客团伙袭击,5400 万消费者征信数据泄露,绝大多数为南非公民,据了解南非总人口约 6060 万人。黑客团伙透露,通过暴力破解入侵了一台存有大量消费
21、者数据的 SFTP 服务器,该服务器的密码为“Password”。TransUnio 公司称,将为受影响的消费者免费提供身份保护年度订阅服务,预计成本将超过 114 亿元。3 3)美国空军无人机因)美国空军无人机因 FTPFTP 漏洞导致文件泄露漏洞导致文件泄露 2018 年 7,威胁情报公司 Recorded Future 发布报告指出,其 2018 年 6 月发现有黑客在暗网出售美国空军 MQ-9 Reaper 无人机的相关文件,这份文件包含与 MQ-9 Reaper 相关空军人员名单、无人机维护和培训资料。研究人员调查发现,这名黑客通过先前披露的 FTP 漏洞访问了美国 Creech 空
22、军基地一台 Netgear 路由器,从而获取了这些文件。而事件中,同样遭遇入侵的一名上尉,2018 年 2 月刚完成了网络安全培训,理应了解防止非授权访问的必要操作。3 3、数据传输治理面临在企业意识和管理上的问题、数据传输治理面临在企业意识和管理上的问题 企业数据传输系统的部署和日常维护、传输需求的操作和管理都由内部的单个部门负责,多数为安全部门或 IT 信息部门。由于缺乏系统性的数据传输安全治理政策指导,因此对于企业内部来说,难以建立完善的数据传输安全治理组织架构,这就导致数据数据传输治理工作仅停留在安全部门约束管理的层面,无传输治理工作仅停留在安全部门约束管理的层面,无法有条理地带动内部
23、所有法有条理地带动内部所有部门和人员参与其中部门和人员参与其中,安全部门可能仅能在部分业务或部门这样的有限范围内去实施和保障数据传输安全,至于推动到整个企业落实则存在较大阻力。其次,管理上的离散化导致数据传输安全治理在执行落地上有较大难度,也会影响数据传输治理在效果上的评估和监督过程。具体规章制度是否落实到位、具体系统、应用的投入是否治理有效、各负责人员是否各司其职,诸如此类问题难以去具体到每个环节去量化评估,这也就导致企业数据传输安全治理工作很难分阶段推进和逐步完善。最后,很多企业的数据传输安全治理在管理上还停留在学习教育等表面工作上,内部培训不系统专业、针对性不强、未更新到最新的趋势和分析
24、,内部员工认知度不够、重视程度不够、配合积极性不高等问题,也会影响企业在数据传输安全治理工作落地上的效果。4 4、数据传输治理急需解决在应用技术层面的需求、数据传输治理急需解决在应用技术层面的需求 7 在技术层面,企业在进行数据传输安全治理时也面临挑战。由于缺乏顶层设计,且数据传输安全治理工作一般在企业内部由单一部门负责,导致无法建设应用统一的数据传输平台。企业内部各个业务部门有不同的应用场景和使用需求,同时对于数据安全的敏感度也不相同,导致不同部门各自评估采购平台也是常见之事。统一的数据传输平台无法搭建,会进一步造成数据管理权限分散、内部不同组织各自为政,传输过程无法做到有效管理,进而引发数
25、据外泄等安全事故。对企业内部来说,除了要搭建统一的数据传输平台,平台更要同时满足传输前审核、传输中安全机制保障、传输后准确审计等功能,来保证整个传输安全闭环,这就要求技术厂商需要切入企业日常生产运营设计数据传输部分的真实场景、把握企业真实的精细化需求。从外部而言,虽有不同厂商提供数据传输技术及系统,但很难兼顾到不同类型企业在开展业务时的不同需求,因此企业面对琳琅满目的产品选择时,却难以找到适配自身需求的。而要求企业自己进行统一数据传输平台建设,又会造成建设成本高、维护难度大、投入性价比过低等问题。因此,企业需要既能满足业务部门使用需求,又符合数据安全管理要求的数据传输平台。5 5、非结构化数据
26、传输治理愈发重要但却容易被忽视、非结构化数据传输治理愈发重要但却容易被忽视 在数据传输安全治理上,非结构化数据经常被笼统地与结构化数据一同归到数据治理中,但在实际执行中,非结构化数据与结构化数据却有着较大区别。非结构化数据一般的定义为:数据结构不规则或不完整,没有预定义的数据模型,不方便用数据库二维逻辑表来表现的数据。包括所有格式的办公文档、文本、图片、XML、HTML、各类报表、图像和音频/视频信息等。目前,非结构化数据在企业产生和使用的数据中占比越来越高,且增长速度较快,每 1KB 结构化数据产生的同时,约有 1GB 非结构化数据产生。而在数据交易量较大的行业,如金融行业,非结构化数据可以
27、占数据总量的 80%以上。非结构化数据包含重要非结构化数据包含重要的信息,可以提供大量的分析结果,是企业重要的数字资产。的信息,可以提供大量的分析结果,是企业重要的数字资产。但非结构化数据在治理上却明显落后。由于非结构化数据涉及种类繁杂、产生于不同的系统和平台,同时由不同的业务部门使用,涵盖了不同类型、不同存储载体、不同管理阶段的数据,数据在企业内部处于分散状态,企业难以进行有效的整合。此外,非结构化数据可能存储于企业的信息平台,也分布在员工个人的电脑中,当企业内部8 无法建设统一的传输管理平台时,就会导致非结构化数据安全等级定义模糊、传输规则混乱、数据交换不受管控等问题。最后,目前多数企业在
28、内部进行非结构化数据传输时,还使用较多的 QQ、微信、钉钉等工具,这些工具无法本地化部署、数据存储存在隐患,而在传输过程中,也无任何审核机制和传输安全策略,对于传输留痕、详尽日志记录用以审计的需求则更是无法满足,因此企业非结构化数据在日渐重要、增速较快的情况下,在传输方面的安全治理依然是容易被忽视的一环。三、新形势下,企业进行数据传输安全治理的战略和方案三、新形势下,企业进行数据传输安全治理的战略和方案 企业数据安全治理的成败,根本上取决于企业的重视程度和投入精力,这两项将直接决定和影响企业在日常治理中的执行深入程度。企业的重视程度尤为重要,而判断企业的重视程度,不是企业发了多少次通知、做了多
29、少次动员,而要看企业是否从管理和制度上制定了合理的规范,在执行上企业是否从管理和制度上制定了合理的规范,在执行上是否是否打通了各环节并形成可评估、可追溯的治理通路;在技术上是否形成了安全有打通了各环节并形成可评估、可追溯的治理通路;在技术上是否形成了安全有效的保护机制。数据传输安全治理的开展需要有合适的土壤。效的保护机制。数据传输安全治理的开展需要有合适的土壤。企业内部需要有一定数据分析和数据应用的实践基础,有了这个基础,企业内部才会对数据传输安全的重要性有一定认识,开展数据传输治理工作才会对相关部门有足够“摩擦力”。在开展数据传输安全治理工作之前,企业内部需就认知和意识问题达成以下共识:与数
30、据传输安全治理比较密切相关的部门必须有开展治理工作的体系化的规划;数据传输安全治理工作必须依靠常设的机构来进行,否则会由于人员工作量、工作重心或优先级等原因很难推动;数据传输安全治理的职能需放置在与数据质量密切相关的部门才能有效推动,并于部门内部现有功能产生协同效应;数据传输安全治理的工作不能由一个部门独立完成,需要由各个相关部门通力合作、共同推动。只有内部在意识上达成高度共识,认识到数据传输安全治理需要全公司群策群力,共同去推进维护,那么企业在整体规划和具体执行上才会得到全公司的配合和落实,企业数据传输安全治理才能事半功倍。整体而言,数据传输安全治理体系框架包括以下主要方面:整体而言,数据传
31、输安全治理体系框架包括以下主要方面:9 (1)组织建设:成立专门的数据安全传输治理组织和团队,承担体系建设、决策、执行和监督的职能,保证数据安全传输治理工作的稳定、持续、高效执行。数据安全传输治理工作的组织架构需与数据安全传输治理的体系框架相匹配,可分为决策层、管理层(执行层)和监督层 3 个逻辑层。(2)制度体系:为维护内部纪律和公共利益制定的、治理相关参与者遵守的政策规范、标准要求、实施指南、操作规程等。(3)技术支撑:以数据传输安全标识技术为基础,基于数据传输加密、数据传输安全审核、文件传输协议升级、数据防泄漏、数据安全审计与稽核等技术,为数据安全治理体系提供技术支撑。1 1、构建企业内
32、部合理的数据传输安全组织架构、构建企业内部合理的数据传输安全组织架构 对企业而言,开展数据传输安全治理工作,从组织构建到持续改善,是一个系统化的建设步骤,组建专门的数据传输安全管理团队,是作为数据传输安全治理建设的首要任务,是保证数据传输安全治理工作能够持续执行的基础。在组织架构上,需首先成立数据传输安全治理的核心管理组织,负责制定规章政策、监督和推动数据传输安全治理工作的开展。但由于数据传输安全治理对于企业而言是整体数据安全治理的一个环节,所以数据传输安全治理的管理组织同时也是企业数据安全治理的管理部门,一般该部门在企业内部被称为数据治理办公小组或数据安全治理委员会。而要真正地将数据治理委员
33、会的规划和政策执行落地,就需要具体的数据治理负责人,用以统筹和管理数据传输治理体系的建设、维护和使用工作。最后,也是最为重要的,就是整体的数据传输安全治理工作需要有监督及考核的人员,用以评判数据传输工作开展的质量、以及及时纠错去规避同样的风险。图 1:企业数据传输安全治理组织架构示意图 10 数据治理委员会:数据治理委员会:作为数据传输安全治理的决策管理层,需要牵头对企业现有建设情况、问题和需求进行梳理,同时需要根据所处行业、所在领域的政策、法律法规中的数据传输安全相关要求,做整体数据传输安全治理的整合、规划,制定。数据治理负责人:数据治理负责人:具体到执行层面的设计指导,包括培训的时机和规律
34、、整个体系建设的预算和投入、建设效果的评估标准和相应优化政策等,这一系列体系化的流程和措施,需要数据治理负责人去考虑和落地。数据治理执行人:数据治理执行人:数据传输治理执行人一般由企业的安全部门或 IT 部门人员组成,负责真正地将数据传输安全治理的计划和项目落地。相较于数据治理委员会需考虑顶层设计和整体性规划事项,数据治理负责人则更多将精力投入在执行层面,以确保数据传输是及时的、安全的。在这个过程,需要了解各业务部门的需求,需要将企业数据传输安全治理的目标和各业务部门的工作开展有机结合,保障治理工作流畅有序进行,同时,需要在预算范围内,进行符合期望的数据传输系统建设,而对于建设和使用效果,也要
35、进行客观的、量化的评估。在整个执行过程中,需要保证相关人员熟知、尽知相关要求规范,也就是需要合理规划和安排相关的培训。数据治理监督人:数据治理监督人:对于企业来说,数据传输安全治理团队需要有作为监督人的角色,这样可以去监督数据传输安全治理工作开展的真实情况,去发现问题并及时改进,同时,也避免工作开展盲目、闭门造车的不利情况出现。数据治理监督人一般不可同时作为数据治理委员会成员和数据治理负责人,避免“既是运动员,又是裁判”的情况发生。2 2、搭建企业内部完善的数据传输安全制度体系、搭建企业内部完善的数据传输安全制度体系 构建完善的组织架构后,企业开展数据传输安全治理工作还需要一整套逻辑串联、策略
36、贴合企业实际、方法可落地的数据传输安全管理制度。一般而言,企业数据传输安全治理制度体系可分为四层架构,每一层作为上一层的支撑。11 图 2:企业数据传输安全治理制度体系示意图 第一层是纲领性政策要求第一层是纲领性政策要求,是企业开展数据安全传输治理的战略导向。该层内容需准确学习和把握数据传输治理在国家层面、社会层面、行业层面提出的政策要求,需要以要求中的要点为核心和依据,结合企业内部实际,明确组织数据传输安全治理的目标重点。该层内容是企业开展一切数据传输安全治理工作的基础和核心,它明确了企业治理工作的“底线”和规范,也指出了未来开展工作的方向和具体方针。第二层是标准规范性文件第二层是标准规范性
37、文件,是企业数据传输安全治理体系的具体指导。在这个指导规范下,企业需理清数据传输安全治理的整体管理制度、涉及到的人员的具体岗位职责和要求、数据传输治理过程中监测流程和安全预警机制、企业内外部安全事件及应急响应政策、数据传输行为合规性评估方案、内部人员数据安全培训管理制度、企业整体性数据传输安全治理评价标准等。当上述制度、标准和政策全部有序确立后,企业内部的数据传输安全制度体系框架才算正式建立。第三层是实施指南第三层是实施指南,是企业开展数据传输安全治理的具体标准和原则。作为具体的指引企业落地的文件,实施指南需要以具体的、准确的内容和表达明确企业内部在不同维度的操作指引,包括但不限于数据安全审计
38、规范、数据分类分级操作指南、数据日常管理防护操作指南等。第四层是操作规程第四层是操作规程,是数据传输安全治理落地运营过程中产生的执行文件,包括数据传输申请审批文件、数据传输日志记录、数据安全审计记录表、员工账号及权限信息表、内部学习培训记录及评价表、数据传输系统参数及维护记录表格等。这些表格需规范格式和维护准则,作为日常的需要内部实际参与的文件,承载着企业所有数据传输安全治理的实际效果。3 3、建设企业内部专业的数据传输安全技术体系、建设企业内部专业的数据传输安全技术体系 12 数据(流式数据、数据库、文件、服务接口等)的传输在企业内部、内外部每时每刻都在进行,要保证数据的完整性、机密性、可用
39、性,数据传输安全技术的体系化建设必不可少。整个数据传输过程有三个要素:传输的数据、传输节点和传输通道,整个数据传输过程有三个要素:传输的数据、传输节点和传输通道,因此,数据传输安全技术体系也需紧密围绕上述三要素展开。因此,数据传输安全技术体系也需紧密围绕上述三要素展开。对于传输的数据,要在传输前使用加密技术对数据进行加密,避免因明文传输而造成的数据安全隐患;对于传输节点,需要通过身份识别和验证技术确认传输节点的身份,防止传输节点被伪造;对于传输通道,要保证数据传输的通道是加密、可信、可靠的。对于企业来说,数据互相割裂、形成数据孤岛、内部数据平台建设单点化、互相之间缺乏协调联动能力,安全策略一致
40、性差、全面性弱等问题是内部始终无法形成有效的数据安全治理体系的重要原因。因此,在数据传输安全治理上,建设专业的数据传输安全技术体系,搭建一体化的数据传输管控平台,有机联动数据安全产品的技术防护能力,形成事前审核、事中防护、事后审计的整体数据传输安全防护体系,是企业进行数据传输安全技术体系建设的最核心的目标。3.13.1、企业数据安全传输技术规划、企业数据安全传输技术规划 (1 1)网络安全域规划)网络安全域规划 网络安全域规划属于企业网络安全建设的范畴,在实际应用中,网络安全和数据安全相互区别但却有各有联系,对于很多企业来说,网络安全是数据安全的基础和保障手段。网络安全域隔离,从开始的技术概念
41、到现在企业应用最关键、最有效的网络安全防御手段之一,也是企业数据中心、信息系统建设最先需要考虑的基础性问题。网络安全域就是一组安全等级相同、业务类型/功能相似的计算机、服务器、数据库、业务系统等构成的系统。从企业外部看,安全域可以分为内网和外网,在此时,企业内部的所有办公计算机、服务器、路由器、交换机等都属于要保护的信息资产。进入企业内部,一般企业会划分为办公网 PC 终端安全域和数据中心安全域,如果再进一步更细致的划分,其实各安全域内部也会分为子安全域。我国网络安全等级保护相关实施措施中也针对网络安全域划分提出了具体要求。网络安全隔离如何实现?一般而言,主要分为 2 种方式:物理隔离和逻辑隔
42、离。物理隔离是指采用物理方法将内网与外网隔离从而避免入侵或信息泄露的风险的技术手段,目前主要应用于政府等社会核心敏感部门或工业控制系统等;而逻辑隔离相对于物理隔离,主要区别在各个13 网络安全域之间是有链路链接的,只是在协议、路由上进行逻辑阻断,两者不能直接相通常用的防火墙隔离和 VLAN 隔离都是逻辑隔离的方式。而网络隔离后的通信,主要可以通过网络访问控制策略(ACL)、接入网关、正反向代理、堡垒机等实现。对于未进行网络安全域规划的企业来说,有效的网络安全域建设可以保护企业核心数据资产,隔离外部有害网络攻击,这也构成了企业数据安全防护的第一道屏障;而对于已经进行网络安全域隔离的企业,如果进行
43、隔离域之间的数据安全交换,则成为企业需重点解决的问题。(2 2)终端安全控制)终端安全控制 终端安全,即是采用立体防御理念形成体系化产品与解决方案。终端早期泛指接入互联网的计算机设备。随着信息技术的发展和创新,终端已包含多种形态,如 windows终端、国产化系统终端、手机终端、平板终端、云终端和物联网终端等。数据在企业内部传输,涉及到在不同的终端间进行流转;企业在进行数据传输安全治理时,针对终端安全防护可以从以下方面进行:终端的接入控制终端的接入控制 内部网络必须要求对终端用户进行认证,可以利用交换机上的 802.1X 协议功能和Radius 认证服务实现。不仅可以认证用户,还可以进行授权,
44、指定终端用户只能访问某哪些服务。终端的身份认证终端的身份认证 最常见终端身份认证是基于用户名和密码的认证和基于 IC 卡的认证;此外,指纹、虹膜、人脸识别等基于生物特征的身份认证技术也日益凸显其优势。近几年使用比较普遍的认证技术是基于 USBKEY 的认证。从安全性角度出发,将几种身份认证技术进行有效结合,特别是结合密码技术的生物特征识别和 USBKEY 的认证技术,形成软硬件结合的多因子认证技术,将极大程度地提高破解难度,适合应用于密级较高的企业应用场景。终端的监控与审计终端的监控与审计 要对终端接入的外设包括终端自带的外设进行控制。根据不同单位、不同部门和不同终端,可设置不同的策略。包括对
45、终端上的文件进行分级权限控制;对终端上流入流出的文件进行审计;对进程、驱动和服务进行黑白名单式管理;对终端的一切可疑行为进行审计,包括被恶意端口扫描攻击、ARP 欺骗、短时间内多次登录失败等。14 (3 3)网络通信安全建设)网络通信安全建设 网络通信安全包括通信完整性和通信保密性。通信完整性是指通过校验码技术或加解密技术以保证通信过程中数据的完整性。如利用 CRC 校验码来进行数据完整性校验。根据应用系统对于安全的要求不同,在某些特殊情况下,要保证数据在传输过程中不被篡改,还需运用散列(如 MD5、SHA 和 MAC)进行数据完整性校验。通信完整性保护除了使用对数据进行加密之外,更主要的是在
46、通信通道层面建立起安全的传输通路,如(Virtual Private Network,VPN)。通过建立一个安全隧道,并采用数字加密技术(如 MD5 技术)对传输数据进行加密以确保,接收方则通过解密和校验对数据进行还原。通信保密性是采用加解密技术保证通信过程中敏感信息字段或整个报文的保密性,以保证通信的安全。包括初始化验证和通信过程加密两部分要求。初始化验证即采用数字签名等技术建立通信连接之前,先进行会话初始化验证。通信过程加密则是指通信过程中的整个报文或会话应进行加密处理,以保证通信过程中的,防止造成。(4 4)数据访问安全控制)数据访问安全控制 访问控制(Access Control)指系
47、统对用户身份及其所属的预先定义的策略组限制其使用数据资源能力的手段。从高级层面上看,访问控制是数据访问权限的选择性限制。由于在数据传输过程中,数据的所属权和响应权限会发生转移和改变,因此数据传输安全离不开数据访问控制。访问控制由两个主要部分组成:身份验证与授权。企业可以根据数据的类型及敏感程度,确定应采用哪种访问控制模型,目前主要有以下 4 种访问控制模型:自主访问控制自主访问控制 (DAC)(DAC)DAC 模型中,数据拥有者决定访问权。DAC 是基于用户指定的规则分配访问权限的一种方式。强制访问控制强制访问控制 (MAC)(MAC)MAC 采用非自主模型发展而来,基于信息许可授予用户访问权
48、限。MAC 是基于中央权威的规则分配访问权限的一种策略。基于角色的访问控制基于角色的访问控制 (RBAC)(RBAC)RBAC 基于用户的角色授予访问权限,并实现关键安全原则,比如“最小权限原则”和“权限分离原则”。因此,尝试访问信息的用户只能访问其角色所需的必要数据。基于属性的访问控制基于属性的访问控制 (ABAC)(ABAC)15 ABAC 模型中,每个资源和用户都被赋予一系列属性。该动态方法中,资源访问权限决策是根据对用户属性的比较评估做出的,比如时间、位置和职位等。3.2 3.2 企业数据安全传输关键技术企业数据安全传输关键技术 企业在内部建设专业的、统一的、可靠的、实用的数据传输安全
49、技术体系,确保数据(流式数据、数据库、文件、服务接口等类型的数据)通过不同采集、传输方式时的完整性、机密性。以数据传输安全标识技术为基础,基于数据传输加密、数据传输安全审核、文件传输协议升级、数据防泄漏、数据安全审计与稽核等技术。(1 1)数据分类分级识别技术)数据分类分级识别技术 通过对数据的分类分级,识别数据对组织的具体价值,确定以何种适当的策略,保护数据的完整性、保密性和可用性。建立自动化的数据识别发现能力,并基于行业级、精细化的分类分级标准,实现智能化、快速的分类分级,并根据分类分级成果进一步开展数据安全评估与动态防护策略设置。(2 2)数据传输加密技术)数据传输加密技术 明确数据传输
50、安全管理规范,明确数据传输安全要求(如传输通道加密、数据内容加密、签名验签、身份鉴别、数据传输接口安全等),确定需要对数据传输加密的场景,对传输数据的完整性进行检测,具备数据容错或恢复的技术手段;部署对通道安全配置、密码算法配置、密钥管理等保护措施进行审核及监控的技术工具。对于数据传输加密,通常来看可以分为两类:对称加密方式和非对称加密方式。对称加密算法是应用较早的加密算法,数据在被发送之前,数据和对称加密的密匙一起经过特定的对称加密算法进行加密,形成复杂的密文,接收到密文数据后,需要持有发送方的加密密匙,才能得到加密钱的明文数据。非对称加密算法则需要两个密匙:公开密钥(publickey)和
51、私有密钥(privatekey)。数据传输过程的数据加密,是确保数据传输安全最有效的技术之一。(3 3)数据防泄漏技术)数据防泄漏技术 数据传输全过程需要实现数据识别后,对敏感信息进行处理进而达到数据保护的目的。数据防泄漏技术包括数据获取,深度内容识别和数据控制。数据获取在数据传输中,监控网络协议链接,还原传输的文件来获取数据。16 深度内容识别,即对传输的内容进行识别来确定是否包含敏感信息,内容识别检测技术分为常规检测技术和高级检测技术。常规检测技术主要包括正则表达式检测、关键字检测、文档属性检测等。高级检测技术包括索引内容指纹匹配技术(IDM)、精确内容指纹匹配技术(EDM)、计算机视觉技
52、术等。数据控制即识别出敏感信息后,必须根据既定的策略,对承载这些信息的文件进行控制。控制行为包括但不限于敏感数据加密、权限控制、非法行为阻断、敏感数据分布可视化呈现等。(4 4)文件传输协议)文件传输协议 传统文件传输协议(FTP)虽解决了传输协议有无的问题,但因其明文传输机制,在涉及敏感数据的传输时,会潜藏一定的安全隐患。目前,文件传输协议已经历经了较多的优化和提升,还有私有文件传输协议在解决安全问题的同时,也完善了传输速率和稳定性的问题,对于企业来说,有较多的选择空间。(5 5)用户身份识别和认证技术)用户身份识别和认证技术 身份识别技术是对终端用户的身份进行识别和验证,以防止非法使用系统
53、数据资源。身份识别包括:口令方式:口令是应用最广的一种身份识别方式,一般是长度为 58 的字符串,由数字、字母、特殊字符、控制字符等组成。用户名和口令的方法几十年来一直用于提供所属权和准安全的认证来对服务器提供一定程度的保护。标记方式:标记是一种个人持有物,它的作用类似于钥匙,用于启动电子设备,标记上记录着用于机器识别的个人信息。身份认证是指通过身份认证技术限制用户对数据或资源的访问。常见的身份认证方式,包括口令认证技术、双因素身份认证技术、数字证书的身份认证技术、基于生物特征的身份认证技术、Kerberos 身份认证机制、协同签名技术、标识认证技术等。(6 6)数据传输安全审核)数据传输安全
54、审核 数据传输在企业内部不仅涉及跨部门、组织的交换,也包括企业内外部的数据交换,企业敏感信息在这个过程有外泄的风险,因此,数据传输安全审核技术不可或缺。数据传输安全审核需要根据企业组织架构、管理模式、数据分类分级、数据处理等设置17 不同的审核流程、审核机制;此外,审核需要保证时效性和处理过程留痕,在满足文件流转效率的同时,也要为安全管理提供信息参考。(7 7)数据安全审计与稽核)数据安全审计与稽核 数据的安全审计离不开合理的审计机制,同时也需要传输日志作为审计的基础。一般的数据传输系统在传输日志上不会有太丰富完整的记录,也因此,企业在进行安全审核时会面临较多的障碍,因此,完整、全面、客观、真
55、实的数据传输操作日志和数据文档记录是数据安全审核与稽核的重点,这个可以企业根据需求进行建设,也可以引入外部成熟的系统来辅助产生响应内容。四、数据传输安全落地实践案例四、数据传输安全落地实践案例 1 1、政府政务行业、政府政务行业 1.11.1、某国家事业单位海量数据安全传输的实践、某国家事业单位海量数据安全传输的实践 (1 1)背景)背景 某海洋信息资源管理相关的国家事业单位,其数据采集部门的原始科研数据,经过科研人员的加工处理才能成为符合要求、更有价值的信息资源,进而提供给其他业务部门使用。而数据采集、加工、使用的过程,也是数据在不同系统、设备、人员之间传输交换的过程。海洋相关的科研数据是重
56、要的国家海洋信息资源,因此海量数据的高效流转、安全传输、科学管理对于该事业单位进行数据价值的进一步挖掘和应用意义重大。但该事业单位在进行数据的传输处理时,却面临着以下挑战:海量数据难以统一管理 原始数据和加工处理后的数据,纷繁复杂,体量庞大,不便于传输管理;大文件和海量文件传输缓慢,难以顺畅交换。内部数据交换不顺畅,影响工作效率 由于数据传输缓慢,各业务终端难以便捷地获取数据,影响工作效率;数据文件缺少权限设置和监管机制,导致数据使用无序混乱。需要整体性的数据传输管控能力 18 数据采集部门、科研部门、业务部门都有各自的数据系统,数据传输与管理比较分散,需要专门的传输管理系统,对数据进行统一管
57、理;除了内部数据交换,还有很多外部单位和机构使用海洋相关数据,需要解决向各单位高效分发数据的问题。(2 2)传输治理对策)传输治理对策 为解决该单位在海量文件同步传输中遇到的痛点,提升数据传输安全治理的管理水平,该单位引入了一套文件传输调度管控系统,拥有完善的可视化传输管控功能,构建安全防泄漏、按需调度、高速稳定的数据安全传输体系。图 3:该企业引入文件传输调度管控系统部署架构图 1)按需调度,实现对数据的统一管理统一管理分散的传输节点及存储资源,用户可以清晰掌握组织机构的数字资产状态,并按需调度数据的流转,实现对数据的统一管理。2)文件传输优化,优异的传输性能,缩短数据流转时间通过超高速传输
58、协议 CUTP 和智能并发控制技术,向用户提供前所未有的数据传输性能,传输速度可达传统 FTP 方式的 30 倍以上,显著缩短数据流转时间。海量数据无障碍流动通过超大文件智能分段、海量小文件虚拟拼接等技术进行文件传输优化,不仅可以支持超大文件的高速稳定传输,而且可支持海量小文件的高速传输,使海量数据无障碍流动。3)企业级的安全性,避免海洋信息数据泄露拥有多种数据加密方案,可将数据收发两端之间形成加密隧道,以保证传输过程中,海洋信息数据不会被窃取或泄露。(3 3)实践总结)实践总结 某海洋信息资源管理相关的国家事业单位,通过加强和优化数据传输安全治理工作,引入更为成熟可靠的数据传输平台,实现了与
59、既有应用系统的整合与集成,实现数据19 高效流转和统一管控,持续性挖掘和利用海洋信息数据的价值,确保了对核心数据资产的有效控制力,将以往海洋数据管理水平提升到了一个新的台阶。2 2、金融行业、金融行业 金融行业作为关乎国计民生的重要行业,在进行数字化转型的同时,也不断地加深对数据安全的管理和重视。数据是金融行业运转的基础,数据安全在日渐复杂的网络环境中面临着更加严峻的挑战。近些年,除了国家层面推出的数据安全相关的法律法规外,金融行业层面也同样出台了更细的法规条例,如中国银保监会监管数据安全管理办法(试行)、金融科技发展规划(2022-2025)、人民银行发布的金融数据安全数据安全分级指南等。上
60、述文件规范对于金融行业的数据生产、存储、使用和传输提出了更明确的具体要求,也为金融行业各领域提供了更切实可参考的意见指导。2.12.1、某全国性股份商业银行跨网络文件安全传输的实践、某全国性股份商业银行跨网络文件安全传输的实践 (1 1)背景)背景 某全国性股份制商业银行,以技术创新为驱动力,紧紧抓住国家战略实施与金融科技发展机遇,实现了跨越式发展。为满足网络安全和数据安全的建设需求,行内根据安全级别划分了不同等级的网络,不同隔离网络间进行数据交换时进行业务特批、采用U 盘拷贝数据的方式来进行。但这样存在如下问题:这种方式造成内部数据安全隐患大,面临着监管问责的压力,也不符合国家数据安全战略要
61、求 无法进行数据传输审批审核,导致无法掌握数据的流动和使用情况,对数据安全进行有效管控 不同隔离网络的安全级别不同,对应的数据安全管控策略也不同,使用 U 盘和 FTP传输的方式,无法进行针对性的数据安全管理 无法对数据进行安全检测、病毒查杀;同时,对于内部数据的使用没有形成全面的使用日志,不利于内部审计工作的开展(2 2)传输治理对策)传输治理对策 为了保护行内核心数据资产,规范化数据传输行为,保障数据安全的切实落地,该银行引入了跨隔离网络数据安全交换系统,来实现不同隔离网络间的数据传输需求。20 图 4:该银行引入跨网数据安全交换系统流程示意图 1)实现更轻简的业务交换过程,需求用户直接发
62、起交换申请直属领导审批,无需频繁申请-分配-交换-回收多流程沟通,缩短文件交换沟通环节,提高业务流转效率,也减少信息部门运维工作。2)多种机制保障数据安全,系统内置多种引擎,可根据交换方向、身份识别、内容检查、病毒查杀等机制的组合策略,自定实现通行、阻断、审批,审批时提示检查结果,减少/辅助各级领导审批工作。3)详细日志记录满足审计需求,系统基于用户的文件交换行为,提供完整的文件交换日志记录,审计员可快速识别某次外发行为的收发用户、检查过程、审批过程。文件交换日志一事一记,源文件自动归档保存,有效期内科随时审计原文件。4)稳定高效传输速率,保证业务开展,内置文件高速传输引擎,拥有 CUTP 私
63、有传输协议和高性能文件传输技术,可实现 80%带宽利用率,实现 10 倍+传输效率提升。支持文件增量传输、断点续传、一致性校验,保障文件传输稳定性、准确性。(3 3)实践总结)实践总结 某全国性股份制商业银行,引入成熟的跨网文件安全交换系统后,快速在银行内部进行了全面的推广和使用。该系统替代了该公司原有的传统跨网络文件交换方式,实现事前可控制、事中可审查、事后可追溯的跨网文件交换生命周期管控,在确保安全合规的前提下,既有效保护了核心资产,防止信息泄露,又切实提高了业务效率,保证了行业各业务的有序开展。该银行的跨隔离网络文件传输对于进行网络隔离较为普遍的银行业、乃至金融行业来说,都是一次有力的可
64、靠实践,是企业结合外部资源夯实企业本身数据安全管控的有效探索,对于同行业有积极的借鉴意义。21 2.2.2 2、某全球知名再保险公司内外部数据交换实践、某全球知名再保险公司内外部数据交换实践 (1 1)背景)背景 某全球知名再保险公司,世界 500 强企业,专业从事经营非人寿保险和人寿保险业务,业务遍及全球 150 多个国家,并在全球设立了 60 多家再保险分支机构。自集团创建以来,因向商业伙伴提供雄厚的财保能力、必要的担保及高水平的专业知识和优质服务而获得国际上的商业成功和良好声誉。作为主营再保险业务的企业,在日常运营、业务处理中,慕尼黑再保险需要与外部客户、合作伙伴等进行业务数据的收发交换
65、,以往,企业主要通过邮箱、IM、U 盘等传统的方式进行,但却存在以下问题:在文件传输大小上存在限制,当文件大小超过 20MB 时,公司邮箱无法收取,影响业务正常开展;文件发送到外部客户和合作伙伴,没有系统的审核流程,无法清晰地对传输过程做管控;数据上传缺少病毒查杀和检测流程,存在安全风险 使用邮箱、IM、U 盘等方式,缺少日志审计记录,无法归档追溯,不符合安全管控要求 与公司目前使用的数据源、云储存等信息系统无法对接 不符合企业进行数字化转型的战略目标 该企业希望建设系统而完整的数据交换平台,实现对数据传输的安全管控,并满足以下需求:支持与内部其他信息系统对接,包括但不限于:大数据处理系统、云
66、存储、外部第三方数据源、微软中国云 Azure China 等。可实现外部数据传输,云存储,本地数据导入等。有完整规范的操作流程,有完备的操作权限控制。支持特定数据脱敏,具备数据存储前完整的杀毒和检测功能。对接收到的数据进行预处理,按照规则进行存储和记录,并反馈结果,须包括传输返回异常的原因及清晰明确的后续处理流程要求。(2 2)传输治理对策)传输治理对策 坚持数字化转型的战略目标,完成大数据平台建设工作,通过引入专业、成熟的数据传输和存储软件,满足企业在日常内外部文件交换的需求。22 图 5:该企业引入专业数据传输存储系统后文件流转示意图 该数据传输系统支持部署在企业微软 Azure Chi
67、na 云主机上,通过微软云主机防护服务,保护云主机的安全。系统通过 B/S 方式访问,支持主流浏览器;同时提供 plugin轻量级客户端。(3 3)实践总结)实践总结 外部成熟的企业文件安全收发系统的应用,规范了该再保险公司原本的文件外发行为、实现了文件的精细权限管控,同时与内部数据系统、文件脱敏系统的集成,也提升了用户使用的便捷性和数据的安全性,让企业的日常运营更加符合规范:对接内部数据系统,降低访问成本 系统提供文件库功能,创建文件库时可以指定文件库空间目录,云存储系统数据只需要导入指定目录,公司用户即可通过配置文件库的访问权限在系统中查看导入的数据。系统同时提供标准 API 接口可以同其
68、它业务系统进行对接,实现业务系统数据自动存储到指定位置。精细访问权限控制,规范文件管理 通过创建内、外部用户工作空间,并对空间应用权限、空间间投递授权等控制,实现对公司员工、外部合作伙伴访问文件、发送文件、接收文件等传输行为的精细管控,保证文件流转不破坏文件的权限范围,规范文件的权限管理。集成数据脱敏系统,确保传输合法合规 通过与专业的文件脱敏系统集成,对外部合作伙伴上传的文件进行脱敏检查,如发现如发现敏感信息自动脱敏处理,再投递给内部用户;保证传输数据和行为符合中国法律对数据的脱敏要求。3 3、半导体行业、半导体行业 3.13.1、某全球领先的半导体、某全球领先的半导体 IPIP 提供商文件
69、传输实践提供商文件传输实践 23 (1 1)背景)背景 近年来,以新一代信息技术、生物技术、新能源技术、新材料技术、智能制造技术等领域土坯发展引发的新一轮科技革命和产业变革方兴未艾,进入信息时代以来半导体已经成为了仅次于能源的现代工业的基础,半导体是科技发展的基础性、战略性产业。如今芯片短缺正从汽车业蔓延到智能手机和显示设备等领域,迫使多国将半导体产业问题列入其优先议事日程。半导体技术主导权的竞争已经成为当下及未来相当长一段时间国际竞争的关键点。我国半导体行业近几年迎来爆发式增长和发展,半导体产业涉及多个环节和产业生态,因此数据的传输和交换必不可少,在半导体细分领域,我国尚未有明确的数据安全管
70、理要求,这就需要企业自身根据治理需求进行管理和创新尝试。某全球领先的半导体知识产权提供商中国分公司,秉承创新、赋能、生态三大理念,在人工智能、CPU、信息安全、多媒体处理核心领域推出多项自研成果,持续赋能国内移动、终端、物联网、汽车、数据中心等芯片设计产业。极大地推动了国内集成电路产业合作伙伴的创新和研发,为中国集成电路产业占领国际市场高地打下坚实基础。(2 2)传输需求梳理)传输需求梳理 该公司在北京、上海、深圳、成都成立研发中心,目前公司通过(邮件申请签核FTP权限开通FTP 传输邮件通知文件下载FTP 权限回收)方式实现研发网和办公网之间,公司内部和外部客户之间文件收发。随着文件交换的需
71、求频繁,数据体量持续增长,在交换行为审计、交换文件比对、文件传输效率、业务需求响应等数据安全和业务效率方面的问题愈发明显,需要专业的文件安全收发系统替代原有方式,以支撑内、外部文件交换业务需求,实现文件传输的规范化、系统化。该公司希望建设一套文件安全收发系统替换 FTP+邮件组合的数据收发方式,并实现以下安全和业务要求:结合公司数据安全要求,实现文件传输方式系统化控制。在研发网和办公网分别部署,同时解决研发部门和职能部门的文件安全收发。研发用户需要在研发网直接进行外发,而不需要传到办公网再进行二次发送,提高工作效率;用户可以直接上传待发文件,相应领导审批通过后文件自动外发,不需要跨部门协调上传
72、下载数据,减少业务流程和数据传输时间。通过敏感信息识别、文件特征识别等方式自动匹配不同级别审批流程,提高数据管控精准性。24 通过内置病毒引擎,实现收发文件更病毒扫描。面向外部客户提供账号认证传输或短信验证下载方式,提高数据收发安全性。提供全面的日志记录和文件归档机制,提高审计便利性和准确性。提供百 GB 级大文件和万级小文件的上传下载能力,解决目前和未来的数据收发瓶颈。(3 3)传输治理对策)传输治理对策 该公司最终引入成熟的跨网络文件安全传输系统来解决公司研发部门和职能部门的跨网文件安全交换需求。图 6:该企业引入跨网文件安全传输系统的流程示意图 IDC 的内网和外网分别系统节点,提供公司
73、员工 VDI 桌面和本地电脑、公司内部和外部客户之间文件跨网交换。外网系统映射到互联网,提供外部客户访问文件提取/在线预览服务。1.内网系统平台根据公司区域创建独立的工作空间,外网节点创建互联网工作空间。2.需要通过 IP 访问地址黑白名单控制,控制内网不通区域访问不通工作空间,控制外网仅允许外部用户通过互联网访问。3.用户访问本区域系统节点,使用 AD 账号、密码和短信双因素认证登录系统进行文件的跨网传输和向外部用户发送文件。4.外部用户收到 Email 邮件通知后,根据通知指引访问外网平台提取/预览文件。有账号用户登录系统提取文件;无账号用户访问文件链接时需通过手机验证码验证。5.不同发送
74、方向触发不同的审批流程,审批流程根据内部用户的组织关系自动匹配自己部门的领导。(4 4)实践总结)实践总结 通过系统建设,该应用覆盖了企业内部各业务部门的使用场景,与内部的数据系统对接,实现了内部便捷访问系统,企业从更精细层面掌握了数据流转和交换的安全管控:25 专业数据交换平台,安全可控 通过专业的数据交换平台从事前的权限管控、事中的文件内容检查和审批控制、事后的审计追溯和原文件审计对数据交换的整个流程进行控制,通过实现数据收发的连续性和统一管控。提高数据交换全过程安全 从发端到收端全程加密传输,支持私有传输协议提高数据传输安全。传输过程中提供文件内容识别、文件特征判断、病毒查收、人工审核等
75、多重安全检查机制,对高密网或公司内部文件流出前实行严格管控,防止重要数据资产的非法泄露。4 4、高新技术行业、高新技术行业 4.14.1、某全球安检领军企业非结构化数据传输实践、某全球安检领军企业非结构化数据传输实践 (1 1)背景)背景 某大型高科技企业,是全球安检产品和安全检查解决方案的领导厂商,该企业安检产品和服务遍布全球 160 个国家和地区,广泛应用于民航、海关、铁路、公路、轨道交通、公安司法等众多领域。作为一家高度重视核心技术和知识产权的大型高科技企业,该企业长期存在对内部研 发数据、文档进行统一存储、共享、协作和管控的需求。大量影像检测结果都是以文件的形式存在,伴随着安检技术的发
76、展,其内容体量也越来越大。在该企业文件数据的管理和应用过中,主要存在着以下问题:内部文件型数据的存储和管理比较分散,大量文件交换和协作行为,都是通过邮件、即时通讯工具、介质拷贝甚至外部云盘等方式进行的,终端用户的文件操作行为随意性较强,不仅难以统一管理和维护,终端用户的工作体验和协作效率也比较差;邮件系统的文件附件承载能力较差,附件大小普遍限制在数十 MB;在数千人的用户规模下,邮件服务器的存储和访问压力巨大,维护难度日益增高;内外部各种文件共享和交换行为缺乏日志记录,无法进行有效的合规管控,存在着信息泄露和知识产权流失的风险。针对以上问题,该企业需要引入新的信息技术,通过建立一个统一的文件数
77、据交换管理平台,实现内外部文件数据安全、高效、可靠地进行共享、交换和协作。(2 2)传输治理对策)传输治理对策 26 该企业引入外部企业文件共享管控平台,作为内外部文件存储、共享和应用的统一平台。图 7:该企业引入文件共享管控平台后的文件流转示意图 通过该方案的部署和实施,重点解决该企业以下三大业务场景的需求:Outlook 邮件超大附件 在原有内部 Exchange 邮件服务和 Outlook 邮件客户端保持不变的前提下,通过引入系统的Outlook 超大附件插件,实现邮件系统和文件共享管控平台的集成和配套使用。终端用户在撰写邮件时,可以一键呼出 Outlook 插件,不受文件数量、大小限制
78、,轻松发送本地终端或者平台内部存储的大规模文件。所有附件均纳入文件共享管控平台的管理范畴,独立于 Exchange 之外进行附件的存储和传输,大幅降低了邮件系统的服务压力。内部文件共享协作 公司各部门、分支机构均使用统一的文件共享管控平台,自助、独立地进行文件资源的存储和管理。终端用户可以通过共享文件夹、分享链接、收发文件包等多种方式,方便快捷地实现跨部门、多用户之间的文件共享和协作。外部远距离文件收发 公司内部用户可以通过文件共享管控平台,将大体量的文件型数据发送给在外部工作的同事或者客户现场,采用相同的方式还可以完成外部数据的高效回传。所有内外部员工均服从公司域的统一管理和授权,所有文件交
79、换过程都可以做到有据可查。(3 3)实践总结)实践总结 该企业文件共享管控平台上线后,快速进行了内部的推广使用,承载了总部、研发中心和全球分支机构,共计超过 2000 名终端用户的文件管理和交换业务,全面替代增强了 Exchange 企业邮件系统的文件交换能力,并将各业务部门的文件交换行为纳入统一合规的管理体系。高新技术企业需保持自身技术优势并不断探索突破才能长远发展,这其中,对核心数据的管理和保护是必不可少的。如何控制建设成本、降低内部用户因改变使用习惯而27 带来的学习成本、同时又能规范文件传输行为,提高风险管控能力,该领先的安检企业的非结构化数据传输实践具有很强的参考意义。参考资料参考资
80、料 1李晓伟,吴迎,邹彧,等.数据安全治理体系与技术研究J.信息通信技术与政策,2021,47(8):51-55.2中关村网络安全域信息化产业联盟数据安全治理专业委员会.数据安全治理白皮书4.0R北京,2022.3闫德利.数据何以成为新的生产要素.J/OL.北京,2020 年 5 月 13 日.4安静.审视数据安全在国家层面的重要意义.J/OL.中国社会科学报,2021 年 2 月24 日.5工业和信息化部网络安全产业发展中心.数据传输安全白皮书R北京,2022.6数说安全研究院有限公司.数据安全市场研究报告.R河南,2022 年 9 月.7王慧,王锐,胡兆华.未来终端安全防护的发展方向.J/OL.通信技术,2019 年.8安恒信息,数据安全法全面解读,2021 年,http:/