1、DT时代的数据流动风险防治ITIT到到DTDT的变革本质的变革本质数字载体知识情报表达信息归纳解读推理数据大数据AIBI客观事物呈现发现DTDT时代的核心是数据流动时代的核心是数据流动IT时代：业务数据化系统A数据ADT时代：数据业务化时代系统B数据B系统C数据C系统A数据A系统B数据B系统C数据C合作流入数据汇集、加工、关联、分析AI建模合作流出数据系统D数据DDT时代的数据安全挑战数据业务过程风险数据流动保护风险IT系统网络安全IT系统网络加密（存储&传输）IT系统的信息外部威胁者更多基础使用更多外部合作内部威胁者外包威胁合作伙伴生产链威胁更多数据来源更多跨域流动数据采集和来源授权、去向用

2、途存储保护和使用目的数据上下游业务故障和质量数据发布、共享、交换、出境用户隐私、知情、控制和权益对国家安全影响风险数据主体权利保护风险对他人隐私影响风险IT时代数据安全保护体系效率！效率！效率！数据流动风险链接效应业务A采集传输加工存储使用销毁业务B2 采集传输加工存储使用销毁业务B1 采集传输加工存储使用销毁交换&共享交换&共享业务C1 采集传输加工存储使用销毁业务C2 采集传输加工存储使用销毁业务C3 采集传输加工存储使用销毁业务C4 采集传输加工存储使用销毁IT时代遗留的数据安全认知误区只把数据安全看作信息的载体安全数据的核心价值在于流动过程中参与分析与运算带来的增值，而非仅仅已有的信息

3、价值数据流动中带来的许多风险很难只在载体这个维度看到或解决数据的流动不仅仅是物理层的载体传输，更在于数据在不同组织、部门和业务之间的流动带来的风险ITIT时代遗留的数据安全认知误区时代遗留的数据安全认知误区用数据生命周期作为数据安全体系建设规划数据生命周期是拆解的实施与运维视角，不是设计视角数据生命周期其实只关注数据在一个组织、系统内流动的场景。而数据跨组织和系统流动才是最难解决的问题，需要更加全局的视角。只按照数据生命周期的规划来建设，往往只见树林不见森林，无法整体把握组织的数据风险，无法回答企业数据安全建设的重点方向，无法评估数据风险控制的效果。IT时代遗留的数据安全认知误区只以资产（存储

4、访问层）视角看待数据，忽视了数据生产资料（应用层的使用和流动）视角数据的流动大部分产生在应用的过程中数据的风险除了在存储访问环节（仓管视角）外，更重要的在于使用环节（监工视角）大部分的数据风险来自于应用层的数据风险：爬虫/数据截留/私下交换/业务违规等IT时代遗留的数据安全认知误区事后溯源能力建设被忽视事后溯源是相对更经济成本的应对不确定性风险的措施，传统网络攻防不看重溯源是因为外部风险可溯源可惩戒机制弱。数据风险大部分是内部风险，相对来说事后可溯源可惩戒机制是有效的一次大的数据事件的前面一定有很多小的事件，对小的事件的溯源惩戒是降低大事件概率最有效的手段再思考DT时代的数据安全载体形式：数据

5、库、文件、数据流信息用于价值呈现和非再增值使用多种数据表达形式数据用于再增值使用和交换流动性场景分析建模载体形式：现金、证券、信用财产用于价值呈现和非再增值使用多种资产表达形式资金用于再增值使用和交换流动性场景投资生产传统数据安全本质是信息安全在数字载体上的静态资产属性安全DT时代的数据安全需要关注流动中的业务过程风险与动态生产资料保护财产安全关注财产主体自身资产属性安全金融安全关注流动中的业务过程风险与资金投资损失数据流动带来的基础性风险数据治理层数据风险大数据中心应用数据库应用服务器用户终端应用服务器应用数据库外部接口服务器内部用户终端外部接口服务器内部用户终端系统运维终端DB运维终端研发

6、测试终端BI人员终端内网导出终端数据安全策略不一致风险数据细粒度权限策略数据驻留风险数据变更风险数据来源去向与用途风险数据资产位置敏感数据资产分布数据流动带来的人为风险网络系统层数据风险应用层数据风险数据访问控制层风险应用层数据风险大数据中心应用数据库应用服务器用户终端应用服务器应用数据库外部接口服务器内部用户终端外部接口服务器内部用户终端系统运维终端DB运维终端研发测试终端BI人员终端内网导出终端黑客入侵研发人员后门BI人员利用数据视图绕过限制读取数据BI人员非工作目的建模系统管理人员违规配置或种木马数据库操作人员违规导出或阅读数据爬虫爬取接口数据合作伙伴滥用拉取数据内部用户滥用数据爬虫爬取

7、接口数据合作伙伴滥用拉取数据内部用户滥用数据第三方应用截留数据数据流动带来的合规性风险隐私和重要数据的采集、使用、交换合规隐私数据的主体权利保护合规数据的出入境合规从数据流动的风险视角思考体系数据基础信息层B数据风险识别层D数据风险控制层C数据治理层GC/合规风险动态识别采集传输使用存储合规风险交换共享发布离境合规风险数据的授权与用途合规风险数据分类分级管理合规风险数据驻留与第三方SDK合规风险C/合规风险控制加密&脱敏细粒度权限控制合规操作&措施&审计&评估用户权利保护&协议R/人为风险动态识别用户滥用行为异常拉取、爬取、截留行为异常DB操作、BI操作、数据导出操作行为异常数据流动和流向信息

8、数据泄露事件情报R/人为风险控制加密&脱敏细粒度权限控制流向控制、追踪&审计、溯源速率控制&拦截&风险控制策略/数据基础信息采集数据资产存储分布信息数据应用层使用驻留和流动信息数据库管理、BI和导出操作信息数据来源与去向的流向与授权信息G/数据资产风险治理：针对风险要素识别处理数据的分类分级与细粒度权限策略数据的血缘关系与策略一致性数据所有者和数据数据变动传递风险管理数据来源与去向&授权与用途追踪、数据标签管理数据的驻留追踪建设数据流动的风险防治体系应用数据风险防治应用环节数据的使用和流动的信息获取应用环节数据使用和流动的风险识别和处置数据合规风险防治隐私和重要数据的数据映射数据保护合规风险控制隐私数据主体权利保护合规风险控制数据出入境合规风险控制数据流动体系风险防治敏感数据发现与分类分级管理数据血缘传递风险场景控制数据来源去向用途风险追踪和控制数据访问风险防治数据访问环节的使用和流动的信息获取数据访问环节的细粒度权限控制和高危风险场景控制数据访问环节数据使用和流动的风险识别和处置谢 谢！