2023年6月11日，第15届数字政府高峰论坛在北京隆重召开。本次论坛由CIO时代主办，新基建创新研究院提供智库支持，汇聚了政企领域数智化转型创新的顶尖行业专家、研究学者、优秀CIO群体和科技厂家，围绕“数智协同 融合重构”的论坛主题发表重要观点。


中国信息协会信息安全专业委员会理事、PCSA安全能力者联盟首席专家郭峰围绕“主责数据保护与流动安全监管思考与实践”的主题做出精彩分享。
 
 
中国信息协会信息安全专业委员会理事、PCSA安全能力者联盟首席专家郭峰
第15届数字政府高峰论坛演讲实录
 
2019年，我们课题组承担了监管单位的重大安全课题，其中将数据安全流动监管标准的研究放在重要位置。在课题研究过程中，意识到数据与安全是不能割裂的，他们之间的关系需要清晰理解。第一步，我们需要确定监管的主体，也就是数据的所有者。在当前的环境中，大部分数据的所有者实际上是国家，数据的管理和保护是由各个组织单位代表国家来执行的。我们目前面临的一个普遍现象是存在大量的盲数据、死数据和僵尸数据。研究认为，问题的核心在于内部的数据管理问题，这是目前各数字化组织和大数据局亟待解决的问题。
 
 
 
 
目前，我们面临的主要挑战有几点：首先，大部分的数据还处于无序资源阶段，其次，我们需要明确数据的价值。在具体到行业和组织时，主要关注静态数据和动态数据的处理问题，以及结构化、半结构化和非结构化数据的处理方法。
落实主责数据安全保护的指导、监督、检查、做好主责数据安全的保卫、保障、保护，重点做好问题分析，围绕静态数据和动态数据两个方面个关键问题：
1、盲数据、僵尸数据、死数据
2、底账不清、权属不清、责权不清
3、数据资源、数据资产定义
4、数据使用情况不清，谁在访问、谁在用
5、数据泄露有那些风险
6、数据流动前的安全策略没有确定
7、数据流动中的安全监控没有手段
8、数据后动后的安全审计不可控
 
数据在不同的管理和流通阶段，其安全成熟度是不一样的。因此，在数据安全的发展过程中，我们需要考虑的不仅仅是数据的完整性、可用性和保密性，而且还需要考虑数据在全生命周期中的监管问题。我们在使用数据的同时，要保证其合规性，既要激活数据，又要明确底线。这并不是一个复杂的问题，只是需要我们把它清晰地列出来，作为一个讨论的过程，从而使逻辑更加清晰，理解更加容易。我在数据流动监管中的一些问题和思考，可以简要概括为七点：
 
思考一：图中的黄、蓝、红区域代表数据所有者、安全员和审计员，它们之间存在矛盾。将这些权力分离并赋予相应的角色可以改善数据安全和治理。
 
思考二：这张图是在制定标准时绘制，涵盖了等保1.0和2.0阶段的要求。数据场景、管理特点和视角发生了变化，数据安全法也在制定过程中。数据的管理需要根据不同的成熟度和要求进行适配。
 
思考三：在某省大数据的课题研究多次讨论中，分析了数据所有者、提供者、使用者、运营者、运营者和监管者的角色。数据所有者通常是各省厅，数据运营者和监管者则是数据局数据提供者是各省厅。此外，数据的交换模式和交易模式也是讨论的重点。
 
思考四：整体流动决策形成了无数个闭环，涉及审计、提供、申请和共享等方面。在不同的场景下需要设计不同的流程和角色。单位如果能够设计好这些流程，就能够取得良好效果。
 
思考五：以全国某信息系统为例，数据流动场景涉及到跨部门流动、跨组织流动、跨行业流动、跨层级流动、跨区域流动、甚至跨境流动。每个场景都需要设计相应的安全监管小场景。不能采用统一的策略进行管理。
 
思考六：监管的目标是让数据更加开放和有效利用，包括全程可视、状态可察、权益可控、权限可审、流动追溯和监审一体。透明度是关键，但目前许多单位还存在黑匣子问题。
 
思考七：数据安全保护逐渐趋向业务化，涉及越来越多的关注者和处理者。业务化的数据安全需要角色、流程和平台的支持。数据的开放程度和深度在不断增加，需要综合维度的考量。
 
这些思考是多年来的积累，目前看来是正确的。然而，未来的情况并不一定如此。因此，对于数据安全，与其用单一的视角看待，不如结合业务和安全来考虑。接下来，我们将看一个实例，它将数据视为一种有价证券，并展示了其实际应用场景。
在这个案例实际应用场景中，包括数据进库出库登记、账务清、权益清、权限清等。同时需要做画像、技术支持、运行维护、分级分类、流动监管和效益评估等工作。在需求梳理过程中，需要涉及上级监管单位、数据处和安全处等角色，以确保数据的有效管理。数据流动管理是关键，主要解决的问题：
1、所有数据要进行入库出库的动态登记，防止入库数据泄露；
2、所有数据的要做到底账清晰、权益清楚、权限清楚，谁使用、谁授权、谁访问，防止非法授权访问；
3、所有数据要进行多维画像，防止找不到位置、技术支持、运行维护和责任人；
4、所有数据要进行分级分类，防止低级别访问高级别；
5、所有数据要进行流动安全监管（生产数据、测试数据、代码数据，从哪里到哪里、合规性、时效性），看的见、管的准、过程拎得清、底线守得牢；
6、所有数据要开展效益评估和评价；
7、所有数据要做到多维度的统计与分析；
运行了三年期间取得了几项重要成果，涵盖了基础性成果、创新性成果、主责成果和监管成果。
首先，建立了数据安全的组织架构，明确了数据所有者、使用者、提供者、运营者和监管者的角色和职责。建立了一个以数据类别、数据资产、数据库、数据表、数据字段、敏感数据和加密数据为基础的底账，清晰地展示了不同级别数据域中各种数据的分布情况和基本属性。
其次，实现了动态可查的数据准入过程。解决了两个问题，即在数据入库时记录基础信息和权益声明，并补充了更多数据资源的属性，实现了从资源到资产的转变和多维管理。通过扫描未检测数据资产的方式进行监控，识别出长时间未被检测的数据资产，从而进行标识和准出操作。此外，还创建了多维画像，以数据为核心，综合考虑了资产的库、表、权属负责人、运维负责人、访问统计、敏感数据、数据加密、热度、访问者、授权者、数据风险和效益等视图。这个画像是可以无限扩充的，并且在今年还在继续扩展。
在数据准入过程中，还评估了每天访问数据的人员，并进行了效益评价，支持当天、近24小时、近7天和近30天的评估。制定了详细的多维评价报告，包括数据资产普查、流动审计、效益评价和风险评估等内容，并提供了自定义报告的模板供选择。这些报告非常复杂花了四个半月的时间来完成。
第三、数据的入库和出库将其分为三类：重要、核心和一般。实现了全程可视化的概念，即从系统到人员，整个过程都可以实时、动态地监控，可以细粒度地查看每个具体的IP和人员。使领导能够更好地理解这些信息。使用了三种颜色来表示不同的情况，这种实时动态监控是第二个重要的方面，它可以让所有的管理角色都能看到、管控和了解情况，从而实现了数据的全面管理。
 
第四、在设计过程中将数据放入仓库，左侧是人员，右侧是业务。数据最终归结为业务访问和人员访问，这是两个核心问题。许多单位可能限制人员的访问权限，但是通过一种手段，可以了解到有多少人访问数据，因此重点放在谁能做什么的原则上，形成了看管和监控的一体化。将督促和监管整合起来，完成了数据底账视图的监管。数据处提供了这个底账视图。到目前为止，很多单位在领导的问询下只能提供基本的数据量信息，而无法回答其他维度的问题，但这个底账视图提供了更多的信息。另外还实现了数据流动的视图，可以可视化地查看何时、由谁访问数据。然而，对于数据的安全性和效益究竟如何，却很少有人能够回答。
总结出了一个核心问题：数据“看什么”？经过两个多月的讨论，得出了这个结论。首先需要看得见，即从领导、所有者和安全的视角来看，必须首先能够看到数据。如果连这一点都看不见，那么后面的讨论就没有意义。第二个问题是监管，它涉及管理体系、技术体系、运行体系和知识库体系。称之为看管和监控，看是为了看到，管是分层管理，不可能由一个人全程管理，肯定有责任主体。而监控过程被称为操作，它涉及配置数据的细粒度策略，包括安全配置、基线配置、底层扫描配置、分级分类配置、准入准出配置、授权配置、脱敏配置、加密配置和标签配置等。每个配置动作都是监管的实施过程。最后一个方面是控制，即控制底线并提高底线。进行数据安全治理时的目标是提高底线，使数据治理能够越来越开放。如果这两个目标都没有达成，你只是控制得很好，但没有实际用处；或者你开放得很好，但没有安全底线，都是不行的。
综上所述，我们通过看管和监控一体化的方式，在围绕数据流动安全监管的各个角色之间形成了协作，实现目标。
 
小结一下，数据安全治理难不难？难，难在哪里？不难，不难在哪里？这个问题缠绕了好多年，没有数字中国，数字经济，数据二十条，数据安全法这些新要求和新推动力，原来做数据安全并不难，做好网络层，主机层，数据层身份认证，访问控制，监控审计，加密脱敏，备份恢复，安全加固，最小权限，基本可以解决99%的问题。即便三权不分立，即便底帐模糊，即便一堆盲数据，死数据，僵尸数据。
     要想激活数据，用好数据，跨组织，跨行业，跨区域，跨境，共享共用，流通交易，赋能经济，作为数据所有者，每个具体的数字化组织单元就需要做好更细力度的数据安全治理。明红线守底线的共享共用，将激活开放与风险管控的矛盾达成统一目标，让数据主责明确，让数据流动全程可视，状态可查，权限可审，权益可控，流动追溯，监审一体下体现价值。

第三十八届CIO班招生
国际CIO认证培训
首席数据官（CDO）认证培训

免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。