1、       淺談企業數據安全風險分析及保護                     鐘全德摘要：隨著互聯網、物聯網、云計算等技術的快速發展，數據價值在云計算大數據時代，已經遠遠超過數據本身。一方面，云計算海量的、多樣化的數據提供存儲和運算平臺，使數據挖掘和人工智能從大數據中發現知識、規律和趨勢，為決策提供信息參考；另一方面，基于云計算的大數據，給各行各業帶來全新智能

2、，釋放出無限價值。阿里云在杭州召開的云棲大會中，將云計算和大數據的關聯總括為“計算無法計算的價值”正是體現了當下發展趨勢已由it時代向dt時代轉變。dt時代，數據對于企業而言，是企業核心資源，能夠為企業開拓市場、提供業務創新的決策分析能力，保障企業核心競爭力及價值。然而近年來出現的各種數據泄露大事件，對企業造成了嚴重的負面影響。因此，如何保護數據安全已經成為企業信息安全建設中的重中之重。關鍵詞：數據保護；敏感數據；數據安全；數據加密；dlp中圖分類號：tp311 文獻標識碼：a 文章編號：1009-3044（2017）32-0058-03discussion on enterprise dat

3、a security risk analysis and protectionzhong quan-de（sichuan rainbow micro technology co.， ltd.， mianyang 621000， china）abstract：with the rapid development of internet， internet of things and cloud computing technology， the value of data has far exceeded the data itself in the era of cloud computing

4、 and big data. on the one hand， the diversification of the data storage and computing platform for本文來自于www.zz-news.com cloud computing， massive data mining， artificial intelligence and knowledge discovery， patterns and trends from big data， providing reference information for decision making； on the

5、 other hand， big data based on cloud computing， to all walks of life to bring a new intelligent release， infinite value. ali cloud held in hangzhou cloud conference， cloud computing and big data association summed up as "calculation can not be calculated value"， it reflects the current tre

6、nd of development has changed from the it era to the dt era. in the era of dt， data is the core resource of an enterprise. it can open up the market for enterprises， provide the decision analysis ability of business innovation， and guarantee the core competitive power and value of enterprises. howev

7、er， in recent years， a variety of data leakage incidents have caused serious negative impact on enterprises. therefore， how to protect data security has become the most important thing in enterprise information security construction.key words： data protection； sensitive data； data security； data enc

8、ryption； dlp1 數據簡介1） 數據：數值、文字、圖像、聲音（結構化數據、非結構化數據、半結構化數據）。2） 數據保護對象：核心的、涉及隱私的、被破壞或者泄露會對組織有較大負面影響的數據統稱為敏感數據。敏感數據需要被保護。敏感數據保護涉及安全三特性中的保密性。（1）金融行業：用戶開戶信息、信用卡號、交易賬單明細等。（2）運營商行業：用戶個人信息、話費賬單、計費數據等。（3）軍工行業：軍事情報、武器技術、地圖等。（4）計算機行業：源代碼、專利技術等。（5）醫療行業：統方數據、個人醫療數據等。（6）制造設計行業：圖紙、設計方案、商業計劃等。（7）人社行業：公民個人信息、背景資料等。3）

9、數據保護驅動因素。（1）政策法規因素國家安全法；個人信息保護法；企業內部控制基本規范；信息安全等級保護管理辦法；保密法； sox/hippa；電信和互聯網用戶個人信息保護規定。（2）市場驅動因素endprint國家安全；知識產權保護；公眾個人隱私保護；商業數據。（3）國內敏感數據保護現狀管理架構不健全；制度策略不健全；引入外包管理；合作管理不規范；缺乏標準指導。2 安全風險分析2.1 敏感數據保護難點數據存在形式多、訪問人員多、擴散快；互聯網；移動辦公；存儲介質；開發測試；經營分析；內部人員主動泄密；引入外包；第三方合作。2.2 數據全生命周期安全風險分析創建（歸類、賦予權限等）、存儲（訪問控

10、制、加密、權限管理、內容分發等）、傳輸（通道安全、加密、權限管理、內容發現等）、使用（行為監控/執行、權限管理、邏輯控制、應用安全等）、銷毀（信息碎片 安全刪除 內容發現等）。（1） 創建階段：數據創建途徑：終端pc、移動終端、紙質信息等。終端污染（漏洞、木馬、蠕蟲、病毒）。（2） 傳輸階段：數據傳輸（內部網、互聯網、4g/3g/wifi等）中間人劫持、篡改；非法傳播；網絡竊聽與重放。（3） 存儲階段：數據離散存儲或多備份存儲加密存儲、密鑰管理、數據挖掘等；數據丟失；備份恢復失敗。（4） 使用階段隱私侵犯；非法獲得與使用；使用權限“最小權限”；使用者認證鑒權機制（mac/dac/rbac）。（

11、5） 銷毀階段數據殘留；非法銷毀。3 保護措施3.1 保護措施建立保護組織；識別；策略設計；管理手段；技術手段。3.2 保護組織基于信息安全組織或保密組織的基礎上，建立敏感數據保護組織（管理組、執行組以及監督檢查組等）；明確敏感信息保護的職責（創建者、使用者、管理者等）；建立組織之間的溝通協調機制。3.3 敏感數據識別（1） 敏感數據分級（2） 敏感信息存放及處理3.4 敏感數據梳理（1） 敏感信息分類3.5 非結構化數據泄露點分析3.6 終端泄露途徑分析移動介質；郵件；本文來自于網絡；即時通訊；打印機；終端丟失；終端數據銷毀。3.7 結構化數據泄漏點分析泄漏點1：開發和測試應用直接抽取生產數

12、據導致數據泄露；泄露點2：其他環境應用直接抽取生產數據導致數據泄露；泄漏點3：操作人員可直接導出敏感數據；泄漏點4：第三方機構應用直接抽取生產數據導致數據泄露；泄漏點5：業務人員可以分多次查詢、導出敏感數據；泄漏點6：數據庫管理員直接從服務器上拷貝敏感數據；泄露點7：開發、測試、第三方、業務、數據庫、應用管理員截屏、打印、email傳播泄露敏感數據。3.8 管控模式設計嚴格/封閉模式：使用場景（開發部門、設計部門）；寬松模式：使用場景（非嚴管/封閉模式管理的其他部門）。3.9 策略設置針對不同的敏感數據類別設置不同的保護策略3.9.1 敏感性標識策略規范敏感數據的敏感性標識策略；推動企業各個部

13、門在信息創建過程中對信息進行敏感性標識。3.9.2 不同類型信息制定不同的標識策略文件、資料：添加“密級”字樣及時間；數據庫數據、源代碼需建立登記單，識別敏感數據存放位置；信息載體：如u盤、光盤等在明顯位置粘貼標志。3.9.3 授權審批策略根據企業組織結構特點，規范不同級別的敏感信息授權審批流程；類似于銀行的“金庫模式”。3.9.4 信息脫敏策略替換；脫敏算法；模糊脫敏。3.9.5 安全隔離策略物理隔離：提供單獨的存儲、處理敏感信息的物理環境；邏輯訪問隔離：對涉及敏感數據處理的網絡、操作系統、中間件、數據庫、應用系統進行邏輯隔離。3.9.6 第三方控制策略提高第三方準入門檻；在于第三方的合同或

14、協議中，明確其在安全和保密責任；對第三方服務人員培訓教育，提供安全意識；對第三方人員訪問做“按需知道”和“最小權限”控制；定期對第三方安全保密效果做自評估或外部評估。3.9.7 選擇技術手段企業內部敏感數據管理組織有責任選擇合適的敏感數據保護的技術控制手段事前預防（加密、脫敏、終端安全管控）；事中監控（郵件外發監控、上網行為管控、網絡dlp、終端dlp等）；事后審計（日志審計、數據庫審計等）。定期的檢查審計制定執行檢查；系統日志審計；安全事件分析總結；跟蹤問題落實整改。3.9.8 管理手段-安全培訓內部人員安全意識培訓；人員安全管理（內部+第三方）；安全管理；數據保護技術培訓。3.9.9 技術

15、手段敏感數據保護技術終端；網絡；數據庫；運維管理。企業基礎信息安全建設物理安全；網絡安全；主機安全；應用安全。3.9.10 敏感數據保護技術框架endprint結構化數據和非結構化分類：1） 結構化數據：數據脫敏、數據庫審計、堡壘主機、數據防泄漏（dlp）、數據庫防火墻；2） 非結構化數據：數據加密系統、移動存儲介質管理、終端管理系統/敏感數據檢查、數據防泄漏（dlp）、桌面虛擬化；3） 數據脫敏：依據敏感信息屏蔽規則屏蔽業務數據中的敏感信息，保障生產數據在非生產環境中的安全使用，防止敏感信息泄露。脫敏后的數據一般用于測試、開發、培訓、外包、數據挖掘/研究等不同的使用場景；4） 數據庫審計：數

16、據庫安全審計系統主要用于監視并記錄對數據庫服務器的各類操作行為，通過對網絡數據的分析，實時地、智能地解析對數據庫服務器的各種操作，并記入審計數據庫中以便日后進行查詢、分析、過濾，實現對目標數據庫系統的用戶操作的監控和審計；5） 數據加密系統：數據加密采用以“文檔加密”為核心手段，配合權限控制、審計、端點管理、行為管理等控制，對“有意”或者“無意”泄密進行防護，防止敏感數據通過終端途徑泄露；6） 移動存儲介質管理：移動存儲介質管理系統針對的管理對象主要是u盤，內部授權u盤可在內部使用， 內外部交叉使用的u盤需要受保護策略控制，防止敏感信息通過u盤泄露；7） dlp（data loss preve

17、ntion）：數據防泄漏是基于深度內容感知技術，對使用中的數據、存儲中的數據和流動中的數據進行監控，識別敏感數據，依據預先定義的策略，實施特定響應，進而達到防止敏感數據泄露的解決方案。（1） 虛擬桌面通過部署桌面虛擬化，實現企業內部敏感數據（源代碼/設計圖紙）集中管理，防止敏感信息通過個人終端泄露。（2） 網絡dlp一般形態為硬件：審計型網絡數據防泄漏，網絡并聯部署；防護型網絡數據防泄漏，網絡串聯部署。主要作用：對通過網絡協議如http、https、smtp、ftp等傳輸的敏感數據進行識別和檢測；具有多種響應策略如阻斷、審計、修改信息、發送告警信息等；具有豐富的報表樣式，方便用戶進行管理和查看

18、。（3） 終端dlp一般為軟件：server端軟件用于集中管理策略下發；client軟件作為代理安裝在被管理的電腦終端上。主要作用：對敏感數據利用如http、smtp、ftp等協議的傳輸進行監控審計及阻斷，可以快速預警和定位；針對敏感數據通過終端電腦usb拷貝、打印刻錄、復制/剪切、網絡共享拷貝、文件應用等方式進行監控審計和管控；可以主動掃描和發現終端主機磁盤上是否存在敏感的數據，同時把敏感文件隔離到指定的目錄。（4） 存儲dlp形態為軟件：軟件安裝后單獨應用，策略管理、特征采集、數據掃描、數據交換；不需要安裝客戶端代理軟件。主要作用：檢測文件服務器中的敏感數據；針對文件服務器中的數據檢測到敏感數據后可以進行隔離；檢測數據庫中的敏感數據；使管理員全局掌握敏感信息的分布情況。4 總結1） 敏感數據保護能夠解決在一定范圍內，識別出泄露后會造成嚴重影響的敏感數據；主要針對由于工作需要能夠接觸到敏感數據的人（內部人員、外部人員）有意或無意造成的數據泄露（20/80原則）；在盡可能不影響正常業務操作的前提下，主要控制人機交互，防止大多數敏感數據泄露情況發生；針對不同的客戶，其敏感信息保護方案和強度不一致，根據客戶需求、行業監管要求以及各種條件