０引言隨著信息化技術的不斷發展，數據已作為一種新型的生產資源被各行各業乃至國家所重視。黨的十九屆四中全會提出：“健全勞動、資本、土地、知識、技術、管理、數據等生產要素由市場評價貢獻、按貢獻決定報酬的機制?！笨梢?，數據被定義為一種生產要素，與勞動、資本等生產要素一樣，對國家、社會、經濟等各個方面都發揮著重大作用，關系到個人生活、企業經營和國家治理的有序進行。然而，數據的重要性也帶來了嚴峻的安全問題。2019年數據安全形勢研究表明：近年來全球數據安全事件頻發，數據泄露呈現增長趨勢，數據安全問題十分嚴峻。因此，數據安全管控相關技術研究工作具有重大意義。對數據進行安全標注與識別是實現數據精準安全管控的前提。數據安全標識技術則是一種基于密碼技術的可信數據安全標注與識別技術，能夠為數據全生命周期安全管控提供可信的數據屬性信息支撐。１數據安全標識概念數據安全標識是與客體數據安全相關的屬性的格式化封裝，是數據安全屬性的信息載體。它由安全可信的數據安全標識認證系統簽發，采用密碼技術確保標識信息的完整性和真實性，防止被篡改和仿冒。因此，數據安全標識所承載的數據安全屬性信息是安全可信的，可以作為數據全生命周期安全管控的重要信息依據。２數據安全標識分類根據客體數據與安全標識之間的關聯方式，可以從不同維度進行多種分類。從標識的存在形式上看，它可分為隱式安全標識和顯式安全標識；從標識與客體數據的存儲關系來看，它可分為封裝的安全標識、引用的安全標識和分離的安全標識；從安全性角度考慮，它可分為寬松的安全標識和強壯的安全標識。根據以上分類規則，本文所描述的數據安全標識為強壯的顯示分離標識。它采用密碼技術實現與客體數據的強綁定關系和自身信息的完整性與真實性保護，對客體數據安全屬性進行顯示描述，并與客體數據分離存儲，不修改客體數據，不改變客體數據可用性。３數據安全標識結構邏輯上，數據安全標識由標識頭、標識體和校驗信息3部分組成，如圖1所示。具體實現時，數據安全標識數據可采用不同的方式進行編碼與存儲。比如：可采用二進制數據結構進行組織編碼，也可采用可擴展標記語言（ExtensibleMarkupLanguage，XML）進行數據編碼，或者直接采用數據庫進行分字段存儲。圖1數據安全標識邏輯結構3.1標識頭標識頭用于記錄安全標識自身相關信息，用于標識數據結構的識別與管理，主要由以下信息構成。（1）標識ID：數據安全標識的唯一識別號。（2）簽發時間：記錄標識的生成時間。（3）簽發者ID：記錄簽發該安全標識的數據安全標識認證系統的唯一識別號。（4）有效期：記錄安全標識的有效起止日期。3.2標識體標識體用于記錄客體數據安全屬性，是數據安全標識的載荷信息。不同應用領域對客體數據的安全屬性關注點可能有所不同，因此標識體采用開放式的設計思路，由具體的應用項目確定其所包含的安全屬性項。通常情況下，標識體可以包含數據的安全等級、業務類別以及所有者標識等信息。3.3校驗信息校驗信息主要由客體數據校驗碼和安全標識校驗碼兩部分組成。（1）客體數據校驗碼記錄客體數據的消息摘要值，用于對客體數據進行完整性驗證，以及建立客戶數據與安全標識之間的綁定關系。（2）安全標識校驗碼記錄數據安全標識認證系統對安全標識數據中除安全標識校驗碼以外的所有數據的簽名值，用于對安全標識數據進行完整性和真實性保護。4數據安全標識安全性數據安全標識的安全性由密碼技術提供保障，主要體現在3個方面：與客體數據的強綁定性、客體數據完整性和標識自身安全性。4.1與客體數據的強綁定數據安全標識的校驗信息中包含客體數據校驗碼。該校驗碼是采用雜湊算法對客體數據進行運算的結果，能夠唯一標識客體數據，實現數據安全標識與客體數據之間一對一的強綁定關系。4.2數據完整性驗證安全標識中的客體數據校驗碼不但可以實現與客體數據的強綁定，還可以對客體數據進行完整性驗證。如果客體數據被篡改，那么數據的實際摘要值將發生變化。所以，通過對比數據實際摘要值是否與數據安全標識中的數據摘要值相同，便能驗證數據是否被篡改。4.3標識自身安全性數據安全標識自身具備完整性、可認證性和抗抵賴性等安全特性，主要采用數字簽名技術實現。生成數據安全標識時，由數據安全標識認證系統對標識結構中的標識頭、標識體和客體數據校驗碼構成的數據塊做數字簽名計算，并將簽名結果值存入標識結構的安全標識校驗碼元素。使用數據安全標識時，對安全標識校驗碼進行簽名驗證，以判定數據標識是否被篡改、仿冒。5數據安全標識應用數據安全能力成熟度模型將數據生命周期劃分為數據采集、數據傳輸、數據存儲、數據處理、數據交換以及數據銷毀等6個階段。數據安全標識在這6個階段的應用場景如圖2所示。其中，應用的目標數據涵蓋了結構化、半結構化和非結構化等數據類型。圖2數據安全標識應用場景5.1數據采集階段數據安全標識在數據采集階段由數據安全標識認證系統生成，并存入數據安全標識庫，為數據生命周期后續各階段提供安全可信的數據安全屬性信息支撐。5.2數據傳輸階段數據傳輸階段可以基于數據安全標識實施數據分級傳輸保護和傳輸控制。數據傳輸前，可根據數據安全標識中的數據安全等級，對客體數據進行分級傳輸保護。比如，《DB52/T1123—2016政府數據數據分類分級指南》將政府數據分為公開、內部和涉密3個等級。對于公開數據，可以不進行傳輸保護；對于內部數據，可以進行傳輸完整性保護；對于涉密數據，可進行傳輸機密性保護。數據傳輸過程中，可根據數據安全標識中的數據安全等級、數據類別等信息進行傳輸控制。比如：根據安全等級，防止高安全等級數據流向低安全等級主體；根據數據類別，防止數據流向無關主體，從而控制知悉范圍。5.3數據存儲階段數據存儲階段可以基于數據安全標識實施數據分級存儲保護、訪問控制和按需備份等處理。數據存儲時，可根據數據安全標識中的安全等級信息進行分級存儲保護，并合理利用密碼保護手段和資源。比如：對公開和內部數據采用明文存儲，對涉密數據采用加密存儲等。訪問數據時，可根據安全標識中的安全等級信息進行強制分級訪問控制，禁止用戶和系統訪問超出自身安全級別的數據；可根據數據類別信息實施數據訪問范圍控制，防止數據被無關人員訪問。數據備份時，可根據安全標識中的安全等級、數據類別等信息制定不同的備份策略。比如，加強高安全等級數據備份措施，著重對特定類別數據進行備份處理等。5.4數據處理階段數據處理階段可根據數據安全標識進行數據識別、數據聚合控制、數據脫敏和數據溯源等處理。數據處理前，可根據數據安全標識識別查找相關數據。根據安全等級識別出高敏感數據，按需進行脫敏處理。數據處理過程中，根據數據類別進行聚合控制，防止不同類別的低安全等級數據聚合后形成高安全等級數據導致泄密。當數據處理過程中遇到數據質量問題，可根據安全標識中的所有者信息進行數據溯源，促進數據源提高數據質量。5.5數據交換階段數據交換階段可根據數據安全標識進行數據交換控制和數據權屬鑒定。數據交換過程中，可根據數據安全等級、數據類別等信息進行交換控制，防止高安全等級數據和核心價值數據被非法泄露。數據交換完成后，可根據安全標識中的數據所有者信息確定數據權屬，從而為數據資產保護提供支撐。5.6數據銷毀階段數據銷毀階段可根據數據安全標識進行銷毀控制和按需銷毀處理。數據銷毀前，可根據數據安全等級、數據類別等信息判定是否允許進行數據銷毀。比如：是否允許用戶銷毀比自身安全等級高的數據；對于核心價值類別數據是否需要多方授權銷毀。數據銷毀過程中，根據數據安全等級、數據類別制定具體的銷毀方案。比如：對低安全等級數據可直接刪除，高安全等級數據則需要多次擦除等。5.7全周期通用安全應用在數據全生命周期管理過程中，可在不接觸客體數據的情況下，根據數據安全標識分析數據資產的靜態分布情況和動態運作情況，包括整體分布、敏感信息分布、訪問情況以及流動情況等。通過對數據靜態分布情況和動態運作