(綠盟科技集團股份有限公司，北京 100089)
0 引言
隨著信息技術的蓬勃發展，數據已經成為企業重要資產之一，是企業賴以生存的命脈。國家大數據戰略不斷深化，企業數據安全成為了極大的挑戰。《信息安全技術 數據安全能力成熟度模型》明確指出數據安全需要以數據為中心的管理思路，開展數據安全保障。本文基于此，為了使得以數據為中心的數據安全能力能夠復用，減少安全運維的邊際成本，認為應該在企業級別建立數據安全中臺，確保安全能力經過抽象，職能邊界確定，安全能力串聯之后，可以對應用前臺應用場景搭建提供安全服務。
1 安全中臺和數據安全中臺的概念
安全中臺是指基于標準的協議和流程，將后臺的安全資源和專業服務，通過專業化的職能分工，共享給前臺的各個業務管理平臺，實現對前臺業務變化及創新的快速響應，并能夠按需集成新的安全能力。安全中臺是對傳統安全平臺的升級和加強，目的是解決安全行業“重復造輪子”問題，進一步解決傳統安全平臺的安全邊界劃分及數據孤島問題。以數據為中心的安全中臺即為“數據安全中臺”，它是信息情報中心和聯合作戰總指揮部，是企業智能化的大腦，能夠匯集各類后臺的數據和信息完成數據分析，為前臺應用場景提供快速數據和安全服務。發揮軟件系統最大優勢——低邊際成本。如圖1所示，數據安全中臺包含以下重要要素。首先量級一定是企業級的，企業的主要負責人要帶頭深入理解業務范圍內世界各國對于數據安全與隱私相關的法律法規，制定適合企業可落地的相關制度，并進行組織規劃。其次能力方面是具有數據安全能力，要根據數據在生命周期的不同階段，設計不同的安全防護措施。最后它的核心價值一定是可復用的，可以為前臺快速搭建安全服務提供支持。
2 數據安全中臺的作用
隨著企業數字化轉型升級的深化，數據正在成為企業的核心資產之一，在企業生產過程中發揮的價值突顯。數據中臺通過對企業龐大雜亂的數據進行梳理，制定數據治理方案和流程，讓企業數據分門別類放置，形成企業自身的數據資產，形成以數據資產為支撐的數據應用，提升企業使用數據的效率。數據中臺的功能定位是完成企業內部數據能力的抽象、共享和復用，如圖2所示，以通用數據能力的形式提供給企業的應用部門。《中華人民共和國數據安全法》明確規定了數據安全與發展、數據安全制度、數據安全保護義務、政務數據安全與開放等內容，也強調了企業的數據安全保護職責。企業在數據中臺建設過程中，需要同時建設數據安全中臺，確保企業各項數據嚴格遵循數據安全法，確保數據開發利用，保障企業數據依法有序自由流動，維護企業數據安全。
圖1 數據安全中臺重要要素
圖3 數據安全中臺的作用
圖2 數據中臺建設流程
數據安全中臺是數據中臺得以健康、持續運轉的關鍵。數據安全中臺建設內容包括對數據設定安全等級，按照相應國家/組織相關法案及監管要求，通過評估數據安全風險、制定安全管理制度規范、進行數據安全分級分類，完善數據安全管理相關技術規范，保證數據被合法合規、安全地采集、處理、傳輸、存儲、共享和使用。企業通過數據安全中臺，規劃和制定并執行數據安全政策和措施，提供適當的身份認證、授權、訪問與審計等功能。數據安全問題包括數據平臺安全、數據服務安全和數據全生命周期安全，具體參見圖3。數據安全中臺需要結合信息安全的技術手段保證數據資產在各個環節的安全。
3 數據安全中臺建設內容
3.1 數據安全中臺建設理念
隨著數據安全重要性越來越高，數據安全中臺也逐漸引起重視。中臺的設計目的是提升企業內部運營效率和降低運營成本。基于這樣的需求，安全中臺的復用率就成為解決問題的關鍵。判斷和校驗中臺是否建設正確即為是否為企業帶來足夠的復用率。因此，需要解決數據安全平臺職能邊界劃分問題，各安全職能模塊相互協作，共同完成安全功能。在進行數據安全中臺建設時，需要遵循以下原則。
(1)安全對象專業化
按照數據全生命周期監管的需求，生命周期的各個階段設置對應的安全能力。
(2)安全能力專業化
按照安全業務來設置安全能力。將安全業務進行邊界判定，形成相對清晰的安全職能邊界，將可復用部分抽象成安全模塊組件，模塊組件之間再進行業務化關聯和增量包裝以提供安全能力。
(3)安全數據專業化
安全數據來源眾多，需要通過數據治理，進行數據唯一性建模，解決安全數據孤島問題，達到安全生產數據歸一的職責。
3.2 數據安全中臺架構設計
數據安全環境日趨復雜，數據泄露和敏感數據權限控制策略失效問題日益嚴重，本文數據安全中臺基于中臺建設理念，對數據安全中臺所需的各項安全能力進行抽象、邊界設定，圖4為數據安全中臺架構設計，以期通過各安全模塊的通力協作，解決數據平臺的已知和潛在安全問題。
圖4 數據安全中臺架構設計
3.3 數據安全中臺職能模塊設計
數據安全中臺是結合信息安全的技術手段保障數據資產全生命周期的安全，同時保障數據平臺和數據服務安全。數據安全中臺從如下方面進行模塊建設。
(1)數據加解密模塊
企業數據從產生、傳輸、存儲、處理到共享，再到開發運營，每一個環節都存在數據泄露的風險，涉及到數據安全。數據加解密應用場景包括本地敏感數據存儲安全、網絡通道安全、配置文件和硬編碼敏感信息安全等，還包括敏感應用的安全合規、數據共享以及展示脫敏問題等。
(2)身份驗證模塊
身份驗證包括對外認證和對內認證。從安全上來講，無認證和弱密碼是普遍存在的問題。另外，各種密碼和認證信息的竊取，也是數據泄露的主要途徑。因此，目前應用單點登錄作為一種比較可靠的解決方案。
(3)權限管理模塊
數據權限管理是指對用戶進行數據資產可見性的控制。即對于不同權限的數據資產進行隔離，然后授權相關人員可以訪問敏感數據。
(4)操作審計模塊
操作審計模塊實現用戶操作受控、軌跡可查，提升數據中臺安全管理能力。操作審計可以幫助企業更好監控和保障數據中臺的運行，及時識別針對數據中臺的入侵軌跡、內部違規等信息，同時操作審計也能夠為安全時間的事后分析提供必要的證據信息。
(5)密鑰管理
對于一些數據安全應用方案中，密鑰存放在硬編碼配置文件中，如果配置文件泄露導致密鑰泄露，則承載敏感信息的數據將不再安全，因此使用數據加解密算法時，需要使用密鑰管理系統來對密鑰進行統一管理，來實現密鑰全生命周期的管理，包括密鑰創建、開啟、禁用、計劃刪除以及銷毀等。
(6)行為分析
數據安全中臺承載著整合分享內部所有數據的角色，它基于操作審計模塊生成的操作日志記錄對前端用戶的數據訪問使用行為進行安全分析，一旦發現可以數據操作行為可以協同身份驗證以及權限管理模塊對該用戶的數據訪問操作進行限制并發出告警。
(7)運維監控
當需要對數據庫、大數據以及網盤等數據IT基礎架構進行運維時，數據安全中臺對運維過程中的操作行為進行安全監控，包括數據訪問及使用、數據類型變更、配置變更、破壞性操作等，同時提供告警和阻斷能力。
(8)完整性校驗
通過身份驗證和數據加解密可以保證數據源和數據泄露，但是要做到數據的安全傳輸，需要確定收到的數據未被篡改，這就是數據的完整性校驗。完整性校驗通常做法是使用哈希算法和密鑰對數據進行哈希得到數據的一個哈希值，然后將該哈希值和數據一塊發送給對方，對方收到數據之后，對數據使用相同的哈希算法和密鑰進行哈希得到哈希值，如果兩者相同，說明數據未被篡改，數據完整性得到校驗。
3.4 數據安全中臺安全能力管理
在數據安全中臺職能模塊劃分的基礎上，進一步對模塊提供的安全能力進行管理。包括安全組件的調度、新增服務的注冊、安全策略的更新和管理。可依據不同的安全需求配置安全能力方案，整合各組件安全能力，為前臺應用場景提供靈活、開放、全面的服務化安全能力。
4 數據安全中臺安全服務應用流程
數據安全中臺將企業的數據安全資源和數據安全服務能力進行標準化和職能劃分后，企業在搭建新的應用系統時，將數據安全中臺的安全能力模塊進行串聯，大大提升應用端搭建速度。數據安全中臺安全服務應用流程根據應用場景的安全需求，串聯安全模塊，提供相應的安全服務。圖5為數據安全中臺安全服務應用流程。
圖5 數據安全中臺安全服務應用流程
5 結束語
本文所研究的數據安全中臺可以大大提升數據應用端搭建速度。數據安全中臺根據應用場景的安全需求，串聯安全模塊，提供相應的安全服務。本文主要涉及的是技術領域，但是數據安全不僅涉及到技術層面的問題，還涉及到安全法規建設，安全標準建設和安全意識培訓等多方面的內容，需要通過多方面的共同努力，多層次地保障企業數據安全。
