01 为什么企业越来越关注数据安全

数据泄露频繁发生

随着数字经济快速发展，DT时代的到来，数据的地位越来越高，数据流动也越来越频繁，给业务发展带来了巨大机遇，但同时数据泄露事件也愈加频繁，尤其近几年事件，泄露数据量都非常惊人，对企业影响深远。

图1：数据泄露事件

上图盘点了DT时代的部分数据泄露事件，回顾过往数据泄露事件，可以看出数据泄露对企业带来影响颇深，导致监管压力、金钱损失、品牌美誉度受损、用户流失等，比如Facebook数据泄露事件导致市值瞬间蒸发，还面临50亿万美元的巨额罚款，数据泄露成本巨大。笔者过往工作中，也曾遇到过公司高净值用户签约成功，隔些天就会被竞手联系的事件发生，导致此事件发生的原因很多，可能是运营或技术人员蓄意泄露、系统权限配置不当或者黑客利用外部API接口等，但鉴于公司当时安全能力成熟度比较差，导致无法感知风险、无法溯源定位，非常被动，深刻意识到数据安全中抓坏人的必要性。

细分数据安全岗位

 图2：数据安全岗位介绍

这是国内某互联网公司的数据安全岗位招聘介绍，设定了多个专职的数据安全岗位，直接反映数据安全建设在互联网公司的重中之重。从岗位要求里可以看出数据安全工程师的基本工作内容，这里简单概括下数据安全岗位关键词：权限管理、数据分析、数据安全产品、风险管理、沟通协调软技能等，如果想要从事数据安全工作的，那么必然至少在权限管理、数据统计分析、数据安全产品、风险管理的细分领域进行聚焦深入与研究。

但很多小公司是没有独设数据安全岗位，绝大数是顶着“安全工程师”title，干着一条龙的安全工作，什么WEB安全、网络安全、系统安全、云安全、安全合规、数据安全、安全攻防、插网线拧螺丝都能做点，虽然技多不压身，但安全细分领域非常多，不投入大量精力聚焦某一块领域研究的话，那么某安全领域的认知深度一定会比较片面。但还是因公司而异，如果在小一点的公司，一个人的安全，面面俱到还是很有竞争力的，但如果在互联网大厂，那么多数情况下会更看重安全子领域的专业能力。

02 新技术推动数据安全变化

随着互联网技术、大数据、AI等新技术飞速发展，企业的业务模式发生巨大的变化，安全建设也从以网络为中心转变为以数据为中心的安全，这里简单罗列下传统IT时代与DT时代的变化：

IT时代主要以信息资产CIA为核心目标，如图3所示，数据中心会划分各类网络安全边界，限制网络资源非授权访问，严格控制数据流，安全域边界还会堆砌部署如数据库审计产品、网络入侵检测、WAF等安全产品，但大多数还是解决单点问题且独立运维，没有形成一体化建设。

图3：传统网络安全架构图

DT时代则是把数据作为生产要素，用来提升业务生产力，频繁交换共享是基础，以数据使用的安全为核心目标，但DT时代由于复杂的数据流动，导致数据安全风险控制通过传统安全方案无法满足，衍生出了UEBA，CASB，零信任等技术方案，如图4所示，Gartner也炒出了数据安全治理框架，通过业务场景、分级分类、安全策略、技术能力、持续运营监控形成体系化建设。

图4：Gartner数据安全治理图

这里顺便引用一下美国国防部《DoD Data Strategy》内容，DoD提出打造“以数据为中心”的安全目标，数据已经成为重要战略资产，DoD安全目标共包括8个子目标，简单提炼核心思想为：认证与权限管理、数据安全技术、分类标记、风险评估、监控审计，保证可以最大限度的利用数据，也采用严格的安全标准保护数据。

目标1：实现细粒度特权管理（身份，属性，权限等），以管理对数据的访问，使用和处置。

目标2：数据管理员定期评估分类标准并测试合规性，以防止数据聚合引起的安全问题。

目标3：国防部执行批准的安全标记，处理限制和记录管理标准。

目标4：定义和实施分类和控制标记；制定和实施内容和记录保留规则。

目标5：国防部采用数据丢失防护技术来防止意外的数据发布和泄露。

目标6：只有授权用户才能访问和共享数据。

目标7：访问和处理限制元数据以不变的方式绑定到数据。

目标8：对数据的访问，使用和处置进行全面审计。

03 数据安全建设方法论

业界内有分享很多数据安全建设方法，安全论坛搜索一下“数据安全”也有很多相关文章，但通常都是以数据安全生命周期为核心，行业也有发布相关数据安全建设标准，但对中小企业来说如果完全按照生命周期来建设，团队规模有限，安全需求会有很多，资源会不会冲突？业务会不会买单？ROI可想而知，当走出挪威的森林后，留下的可能不是梦想的足迹而是血影。

本文会把安全建设方法论分为两大类：“数据安全全生命周期方法论”和“IPDRR数据安全风险控制方法论”，可以根据公司实际情况适配或者个性化融合形成公司自身理论，从而保证数据安全建设效果。

数据安全生命周期方法论

图5：数据安全生命周期之knock，knock

优点：全面 缺点：完全落地难

业界分享的全生命周期的数据安全建设文章有很多，但这里推荐大家可以看一下美团大佬分享的”互联网企业：如何建设数据安全体系？“，会对数据安全技术措施有一个相对全面的了解，这里就不过多赘述了。

IPDRR数据安全风险控制方法论

优点：针对性强 缺点：不够全面

此方法论主要思想是将数据安全建设分为5个阶段：Identify、Protect、Detect、Respond、Recover，以识别检测为核心能力，实现风险主动控制。

Identify：主要包括资产管理、数据分级分类、风险管理。

Protect：主要包括身份安全、访问控制、数据加密、数据脱敏等安全保护技术。

Detect：主要包括安全监控、行为分析、安全检测。

Response：主要包括安全事件的应急响应、分析、处置等。

Recovery：主要包括数据恢复计划、复盘改进。

常见的数据安全风险场景有哪些？

内部场景：运维人员、开发人员、测试人员、数据分析人员的舞弊、滥用、操作失误、蓄意攻击等。

特权场景：数据滥用、操作失误、权限滥用、数据窃听等风险。

外部场景：黑客攻击、恶意爬取、SQL注入、数据泄露等风险。

合规场景：GDPR/网络安全法/CCPA等法律、行业监管、产品准入、数据跨境等风险。

第三方合作场景：数据合理性、权限滥用、API接口攻击等风险。

数据安全风险评估

数据安全日常工作中，风险评估一定少不了，可以快速识别当前风险、级别等，能直观看出数据安全现状，也为数据安全整改提供依据。如图6所示，是一个基于IPDRR数据安全风险评估样例，仅供参考，实际执行时，应该根据实际的业务情况确定评估方案。

图5：数据安全风险评估样例

这里特别提醒下，开展数据安全工作不能技术先入为主，不过度追求零风险，比如公司疫情冲击下，业务想要破局，哪些数据安全风险是暂时可接受的，哪些是必须要修复的，需要适度权衡一下，结合公司实际情况，应重点关注解决主要风险、优先推进ROI高的任务，否则任务难度一定升级，执行效果也无法保证。

04 数据安全能力指导框架

数据安全能力建设通常会覆盖场景类别、管理组织、流程控制、技术工具来达成一体化的数据安全体系，如下图7为”偷工减料”版的指导框架，汇总了企业里常见的数据安全技术措施和控制流程。

上一条： 互联网平台治理欧盟新规：《数字服务法案》和《数字市场法案》草案解读
下一条：2021医院信息化建设重点指南