主责数据保护与流动安全监管思考与实践

2023年6月11日，第15届数字政府高峰论坛在北京隆重召开。本次论坛由CIO时代主办，新基建创新研究院提供智库支持，汇聚了政企领域数智化转型创新的顶尖行业专家、研究学者、优秀CIO群体和科技厂家，围绕“数智协同 融合重构”的论坛主题发表重要观点。

中国信息协会信息安全专业委员会理事、PCSA安全能力者联盟首席专家围绕“主责数据保护与流动安全监管思考与实践”的主题做出精彩分享。

以下是论坛演讲实录：

(相关资料图)

2019年，我们课题组承担了监管单位的重大安全课题，其中将数据安全流动监管标准的研究放在重要位置。在课题研究过程中，意识到数据与安全是不能割裂的，他们之间的关系需要清晰理解。第一步，我们需要确定监管的主体，也就是数据的所有者。在当前的环境中，大部分数据的所有者实际上是国家，数据的管理和保护是由各个组织单位代表国家来执行的。我们目前面临的一个普遍现象是存在大量的盲数据、死数据和僵尸数据。研究认为，问题的核心在于内部的数据管理问题，这是目前各数字化组织和大数据局亟待解决的问题。

目前，我们面临的主要挑战有几点：首先，大部分的数据还处于无序资源阶段，其次，我们需要明确数据的价值。在具体到行业和组织时，主要关注静态数据和动态数据的处理问题，以及结构化、半结构化和非结构化数据的处理方法。

落实主责数据安全保护的指导、监督、检查、做好主责数据安全的保卫、保障、保护，重点做好问题分析，围绕静态数据和动态数据两个方面的关键问题：

1、盲数据、僵尸数据、死数据

2、底账不清、权属不清、责权不清

3、数据资源、数据资产定义

4、数据使用情况不清，谁在访问、谁在用

5、数据泄露有那些风险

6、数据流动前的安全策略没有确定

7、数据流动中的安全监控没有手段

8、数据后动后的安全审计不可控

数据在不同的管理和流通阶段，其安全成熟度是不一样的。因此，在数据安全的发展过程中，我们需要考虑的不仅仅是数据的完整性、可用性和保密性，而且还需要考虑数据在全生命周期中的监管问题。我们在使用数据的同时，要保证其合规性，既要激活数据，又要明确底线。这并不是一个复杂的问题，只是需要我们把它清晰地列出来，作为一个讨论的过程，从而使逻辑更加清晰，理解更加容易。我在数据流动监管中的一些问题和思考，可以简要概括为七点：

思考一：图中的黄、蓝、红区域代表数据所有者、安全员和审计员，它们之间存在矛盾。将这些权力分离并赋予相应的角色可以改善数据安全和治理。

思考二：这张图是在制定标准时绘制，涵盖了等保1.0和2.0阶段的要求。数据场景、管理特点和视角发生了变化，数据安全法也在制定过程中。数据的管理需要根据不同的成熟度和要求进行适配。

思考三：在某省大数据的课题研究多次讨论中，分析了数据所有者、提供者、使用者、运营者、运营者和监管者的角色。数据所有者通常是各省厅，数据运营者和监管者则是数据局数据提供者是各省厅。此外，数据的交换模式和交易模式也是讨论的重点。

思考四：整体流动决策形成了无数个闭环，涉及审计、提供、申请和共享等方面。在不同的场景下需要设计不同的流程和角色。单位如果能够设计好这些流程，就能够取得良好效果。

思考五：以全国某信息系统为例，数据流动场景涉及到跨部门流动、跨组织流动、跨行业流动、跨层级流动、跨区域流动、甚至跨境流动。每个场景都需要设计相应的安全监管小场景。不能采用统一的策略进行管理。

思考六：监管的目标是让数据更加开放和有效利用，包括全程可视、状态可察、权益可控、权限可审、流动追溯和监审一体。透明度是关键，但目前许多单位还存在黑匣子问题。

思考七：数据安全保护逐渐趋向业务化，涉及越来越多的关注者和处理者。业务化的数据安全需要角色、流程和平台的支持。数据的开放程度和深度在不断增加，需要综合维度的考量。

这些思考是多年来的积累，目前看来是正确的。然而，未来的情况并不一定如此。因此，对于数据安全，与其用单一的视角看待，不如结合业务和安全来考虑。接下来，我们将看一个实例，它将数据视为一种有价证券，并展示了其实际应用场景。

在这个案例实际应用场景中，包括数据进库出库登记、账务清、权益清、权限清等。同时需要做画像、技术支持、运行维护、分级分类、流动监管和效益评估等工作。在需求梳理过程中，需要涉及上级监管单位、数据处和安全处等角色，以确保数据的有效管理。数据流动管理是关键，主要解决的问题：

1、所有数据要进行入库出库的动态登记，防止入库数据泄露；

2、所有数据的要做到底账清晰、权益清楚、权限清楚，谁使用、谁授权、谁访问，防止非法授权访问；

3、所有数据要进行多维画像，防止找不到位置、技术支持、运行维护和责任人；

4、所有数据要进行分级分类，防止低级别访问高级别；

5、所有数据要进行流动安全监管（生产数据、测试数据、代码数据，从哪里到哪里、合规性、时效性），看的见、管的准、过程拎得清、底线守得牢；

6、所有数据要开展效益评估和评价；

7、所有数据要做到多维度的统计与分析；

运行了三年期间取得了几项重要成果，涵盖了基础性成果、创新性成果、主责成果和监管成果。

首先，建立了数据安全的组织架构，明确了数据所有者、使用者、提供者、运营者和监管者的角色和职责。建立了一个以数据类别、数据资产、数据库、数据表、数据字段、敏感数据和加密数据为基础的底账，清晰地展示了不同级别数据域中各种数据的分布情况和基本属性。

其次，实现了动态可查的数据准入过程。解决了两个问题，即在数据入库时记录基础信息和权益声明，并补充了更多数据资源的属性，实现了从资源到资产的转变和多维管理。通过扫描未检测数据资产的方式进行监控，识别出长时间未被检测的数据资产，从而进行标识和准出操作。此外，还创建了多维画像，以数据为核心，综合考虑了资产的库、表、权属负责人、运维负责人、访问统计、敏感数据、数据加密、热度、访问者、授权者、数据风险和效益等视图。这个画像是可以无限扩充的，并且在今年还在继续扩展。

在数据准入过程中，还评估了每天访问数据的人员，并进行了效益评价，支持当天、近24小时、近7天和近30天的评估。制定了详细的多维评价报告，包括数据资产普查、流动审计、效益评价和风险评估等内容，并提供了自定义报告的模板供选择。这些报告非常复杂花了四个半月的时间来完成。

第三、数据的入库和出库将其分为三类：重要、核心和一般。实现了全程可视化的概念，即从系统到人员，整个过程都可以实时、动态地监控，可以细粒度地查看每个具体的IP和人员。使领导能够更好地理解这些信息。使用了三种颜色来表示不同的情况，这种实时动态监控是第二个重要的方面，它可以让所有的管理角色都能看到、管控和了解情况，从而实现了数据的全面管理。

第四、在设计过程中将数据放入仓库，左侧是人员，右侧是业务。数据最终归结为业务访问和人员访问，这是两个核心问题。许多单位可能限制人员的访问权限，但是通过一种手段，可以了解到有多少人访问数据，因此重点放在谁能做什么的原则上，形成了看管和监控的一体化。将督促和监管整合起来，完成了数据底账视图的监管。数据处提供了这个底账视图。到目前为止，很多单位在领导的问询下只能提供基本的数据量信息，而无法回答其他维度的问题，但这个底账视图提供了更多的信息。另外还实现了数据流动的视图，可以可视化地查看何时、由谁访问数据。然而，对于数据的安全性和效益究竟如何，却很少有人能够回答。

总结出了一个核心问题：数据“看什么”？经过两个多月的讨论，得出了这个结论。首先需要看得见，即从领导、所有者和安全的视角来看，必须首先能够看到数据。如果连这一点都看不见，那么后面的讨论就没有意义。第二个问题是监管，它涉及管理体系、技术体系、运行体系和知识库体系。称之为看管和监控，看是为了看到，管是分层管理，不可能由一个人全程管理，肯定有责任主体。而监控过程被称为操作，它涉及配置数据的细粒度策略，包括安全配置、基线配置、底层扫描配置、分级分类配置、准入准出配置、授权配置、脱敏配置、加密配置和标签配置等。每个配置动作都是监管的实施过程。最后一个方面是控制，即控制底线并提高底线。进行数据安全治理时的目标是提高底线，使数据治理能够越来越开放。如果这两个目标都没有达成，你只是控制得很好，但没有实际用处；或者你开放得很好，但没有安全底线，都是不行的。

综上所述，我们通过看管和监控一体化的方式，在围绕数据流动安全监管的各个角色之间形成了协作，实现目标。

小结一下，数据安全治理难不难？难，难在哪里？不难，不难在哪里？这个问题缠绕了好多年，没有数字中国，数字经济，数据二十条，数据安全法这些新要求和新推动力，原来做数据安全并不难，做好网络层，主机层，数据层身份认证，访问控制，监控审计，加密脱敏，备份恢复，安全加固，最小权限，基本可以解决99%的问题。即便三权不分立，即便底帐模糊，即便一堆盲数据，死数据，僵尸数据。

要想激活数据，用好数据，跨组织，跨行业，跨区域，跨境，共享共用，流通交易，赋能经济，作为数据所有者，每个具体的数字化组织单元就需要做好更细力度的数据安全治理。明红线守底线的共享共用，将激活开放与风险管控的矛盾达成统一目标，让数据主责明确，让数据流动全程可视，状态可查，权限可审，权益可控，流动追溯，监审一体下体现价值。

标签：