中國信通院：數據安全風險分析及應對策略研究（2022年）（28頁）.pdf

《中國信通院：數據安全風險分析及應對策略研究（2022年）（28頁）.pdf》由會員分享，可在線閱讀，更多相關《中國信通院：數據安全風險分析及應對策略研究（2022年）（28頁）.pdf（28頁珍藏版）》請在三個皮匠報告上搜索。

1、數據安全風險分析及應對策略數據安全風險分析及應對策略研究研究 （2022 年）年）中國信息通信研究院云計算與大數據研究所中國信息通信研究院云計算與大數據研究所 奇安信科技集團股份有限公司奇安信科技集團股份有限公司 20222022 年年 1 1 月月 前前 言言 數據作為一種新興生產要素，已成為經濟社會發展的核心驅動力，與此同時日益嚴峻的數據安全風險為數字化轉型的持續深化帶來嚴重威脅。為保障數字經濟的健康有序發展，提高數據安全風險防控能力，國家、行業、地方相繼出臺多項數據安全法律法規，并接連開展相應的審查整治行動?？傮w來說，國內數據安全已進入合規合法的強監管新階段。面對日益嚴格的合規要求及數字

2、化場景下的新型安全威脅， 本報告梳理了當前數據安全面臨的幾個突出問題： 一是 APP 對用戶信息的過度采集。 大量非必要的個人信息聚集，不僅滋生數據濫用等安全風險，也帶來合規問題。 二是賬號弱口令的使用普遍。低成本的攻擊門檻，容易導致特權賬號被盜取，帶來內部管理難題的同時引入數據安全風險。 三是數據權限分配、 使用不透明。 當數據權限管理成為 “黑盒” ，越權訪問、數據濫用等問題將無法管控。 四是 API 接口成為新型攻擊手段。API 作為應用與數據服務的通信接口， 應用場景廣泛， 已成為攻擊者竊取數據的重點攻擊對象。 五是數據安全的持續狀態難以保持。一方面，應用數字化改造及數據消費場景較為復

3、雜；另一方面，管理要求和技術落地存在一定脫節，導致持續的數據安全狀態難以保障。 針對以上問題，本報告結合實戰化攻防演習的實踐經驗，提出數據安全體系建設的行動思路和關鍵舉措，旨在為組織開展數據安全體系化建設提供參考和建議。 目目 錄錄 一、 數字化時代數據安全發展現狀 . 1 （一） 數據安全進入法治化的強監管時代 . 1 （二） 數據安全事件頻發安全威脅日益嚴峻 . 2 （三） 技術架構演進伴生數據使用場景改變 . 3 二、 數字化時代下的數據安全痛點 . 4 （一） 個人信息合規合法使用的監管應對難度增加 . 4 （二） 賬號、權限、API 成數據保護脆弱環節 . 5 （三） 數據安全狀態持

4、續保障成落地難點 . 8 三、 解決數據安全痛點問題行動思路 . 8 （一）明確數據安全總體戰略 . 9 （二）建立數據安全管理機構 . 9 （三）落實安全策略精準管控 . 9 （四）持續保障數據安全運營 .10 四、 解決數據安全痛點問題關鍵舉措 .11 （一）管理與技術結合助力個人信息保護合規落地 . 11 （二）特權賬號安全治理持續強化安全內控 .12 （三）零信任數據動態授權賦能精細化管控 .15 （四）完善 API 安全防護體系的閉環建設 .17 （五）圍繞數據安全態勢感知統籌數據安全運營 .20 五、 數據安全建設發展建議 .22 （一）聚焦關鍵環節完善數據安全能力建設 .22 （

5、二）結合業務流程深化數據安全工作開展 .23 （三）高度重視技術創新破局作用 .23 參考文獻 .24 圖圖 目目 錄錄 圖 1 最常見的初始化攻擊路徑 . 5 圖 2 不同場景下 API 使用情況 . 7 圖 3 API 業務發展流程 . 7 圖 4 基于屬性的數據動態授權機制 . 16 圖 5 API 安全防護體系 . 17 圖 6 數據安全運營總體架構 . 20 數據安全風險分析及應對策略研究（2022 年） 1 一、數字化時代數據安全發展現狀 數字化時代，數據已成為數字經濟發展的核心生產要素。2020年全球 47 個國家數字經濟增加值規模達到 32.6 萬億美元，我國數字經濟規模位居世

6、界第二接近 5.4 萬億美元1。 在此背景下， 數據安全已成為事關國家安全與經濟社會發展的重大問題。 （一）（一）數據安全進入法治化的強監管時代數據安全進入法治化的強監管時代 法律制度是數據安全的重要保障。 當前我國數據安全法律法規建設取得突飛猛進的進展。國家層面，2021 年 9 月 1 日數據安全法施行，首次從法律層面明確數據安全保護義務，為開展數據處理活動的組織和個人提供了行為指引， 填補了我國數據安全保護立法的空白。2021 年 11 月 1 日個人信息保護法施行，立足于數據產業發展實踐和個人信息保護的迫切需求，更全面地保障了個人權利，及時回應了國家、社會、個人對個人信息保護的關切。行

7、業監管層面，2021年 9 月 30 日工業和信息化部發布工業和信息化領域數據安全管理辦法（試行）（征求意見稿）并公開征求意見，旨在加快推動工業和信息化領域數據安全管理工作制度化、規范化，提升工業、電信行業數據安全保護能力，防范數據安全風險。2022 年 1 月 4 日，國家互聯網信息辦公室頒布網絡安全審查辦法修訂版，將網絡平臺運營者開展數據處理活動影響或者可能影響國家安全等情形納入網絡安全審查。地方政府層面，積極落實國家政策和上位法精神，陸續出臺相關地方法律法規。2021 年 6 月 29 日深圳經濟特區數據條例 1 數據來源：中國信息通信研究院全球數字經濟新圖景（2020 年）大變局下的可

8、持續發展新動能 數據安全風險分析及應對策略研究（2022 年） 2 出臺，率先就數據保護和利用開展地方立法，規范數據要素市場化行為，推動數據的有序流動和數據產業的健康發展。2021 年 9 月 30 日上海數據條例（草案）公開征求意見，征求意見稿在數據安全法等上位法的框架下，結合上海實際，建立了全面的數據安全治理體系。 （二）（二）數據安全事件頻發安全威脅日益嚴峻數據安全事件頻發安全威脅日益嚴峻 根據風險基礎安全（Risk Based Security）2的數據顯示，2020 年全球數據泄漏達到 360 億條， 創歷史新高。 對比傳統的網絡安全威脅，數據安全威脅更加多樣化，不再局限于利用安全漏

9、洞、惡意流量、病毒木馬等攻擊手段，數據安全問題集中爆發在特權賬號弱口令、數據權限濫用、API 接口攻擊等方面。 弱口令成數據泄漏爆發點。 由于弱口令賬號的低攻擊成本和高命中效果，通過盜取弱口令賬號以橫向滲透獲得特權賬號，進而破壞或泄露重要數據資源的攻擊行為，給數據安全管理帶來很大挑戰。根據Verizon 發布的2021 年數據泄露調查報告3分析，61%的數據泄露與憑證數據泄漏有關。 API 成熱門攻擊入口。由于應用架構的快速演變，API 成為業務應用與數據服務之間的主要通信方式， 這導致利用 API 接口成為新型攻擊手段。2021 年 4 月，Facebook 5 億用戶數據在暗網公開售賣，起

10、因為 2019 年某在線業務的 API 遭到誤用， 導致數據泄露， 影響約 5.3億用戶。 2 安全內參：歷史新高！2020 年數據泄露數量突破 360 億條 https:/ 3 Verizon 2021 年 5 月發布 https:/ 數據安全風險分析及應對策略研究（2022 年） 3 權限濫用仍是數據安全事件的重要觸發點。 不規范的數據權限管理以及缺失的技術防護手段， 極易發生由于權限濫用而引起的數據資源被破壞、篡改、刪除等安全事件。2020 年 2 月，港股某上市公司員工通過 VPN 登入服務器，對線上生產環境進行惡意刪庫，造成旗下數百萬用戶業務中斷，直接賠付人民幣 1.5 億元4。 隱

11、私泄露成為數據安全的重要威脅。 由于個人隱私泄露導致的數據詐騙、大數據殺熟以及個人生物特征信息濫用等問題，已經嚴重危害了個人信息主體的合法權益。據市場調研公司 Canalys 統計，2020年全球個人信息泄露事件超出過去 15 年總和，成為影響個人權益、組織發展甚至國家安全的重要因素5。 （三）（三）技術架構演進伴生數據使用場景改變技術架構演進伴生數據使用場景改變 2021 年 3 月 14 日，中華人民共和國國民經濟和社會發展第十四個五年規劃和 2035 年遠景目標綱要全文發布，就數字經濟、數字社會、數字政府、數字生態建設做了重要部署。傳統信息技術開始向以數據和業務為核心的新一代信息技術轉變

12、。 組織內普遍通過采用大數據、云計算等新技術，幫助組織提升決策水平，構建新型業務模式，實現產業升級；組織間則大幅增加信息化交互，合作關系也更加密切，通過業務協同、數據共享實現流程優化、合作共贏已經成為共識。由此可見，數據應用場景和參與主體的日益多樣化，使得數據伴隨業務及應用在不同載體間流動和留存， 貫穿于信息化和業務系統的各層面、各環節。因此，在復雜應用環境下，保證重要數據、核心數 4 https:/ 5 安全內參：2020 年全球個人信息泄漏超過去 15 年總和 數據安全風險分析及應對策略研究（2022 年） 4 據以及用戶個人隱私數據等敏感數據不發生外泄， 是數據安全的首要目標。 二、數字

13、化時代下的數據安全痛點 數據安全法作為數據領域的綱領性和基礎性法律，以準確定義數據、數據處理、數據安全為出發點，明確了數據安全的目的，即確保數據處于有效保護和合法利用的狀態， 使其具備保障持續安全狀態的能力。 （一）（一）個人信息合規合法使用的監管應對難度增加個人信息合規合法使用的監管應對難度增加 過度收集的個人信息，一旦結合大數據分析能力，能夠使匿名化處理的數據被還原，導致數據脫敏技術“失靈”，直接威脅用戶的隱私安全。近年來，全球范圍內的數據安全執法案例基本圍繞個人信息的過度收集、濫用等主題。國外，Facebook 因違規向數據分析公司提供 5000 萬個人信息，被美國聯邦貿易委員會（FTC

14、）處以 50 億美元的罰金，是歷史上最大的隱私違規罰款6。國內，APP 違法違規收集使用個人信息監測分析報告7顯示，2021 年 5 月以來，被通報的12 類 351 款 APP 中，有 257 款由于存在“違反必要原則，收集與其提供的服務無關的個人信息”問題，被公開通報并責令限期整改，對未在規定時限內整改的依法采取了相關處罰措施。 面對不斷加大的個人信息保護監管力度， 如何建立符合組織現狀及發展需求的個人信息保護管理體系， 確保個人信息在安全合法使用的同時充分發揮對組織發展的積極推動作用， 已成為各行業發展面臨 6 安全內參：Facebook 認罰 50 億創記錄 https:/ 7 htt

15、p:/ 數據安全風險分析及應對策略研究（2022 年） 5 的重大議題。 （二）（二）賬號、權限、賬號、權限、API 成數據保護脆弱環節成數據保護脆弱環節 1.特權賬號隱藏嚴重安全風險 賬號憑證泄漏是導致數據泄露的主要因素。 賬號作為主體訪問客體的重要憑證，在通過安全驗證后可以直接訪問數據庫、數據倉庫等載體的數據資源， 因此保障賬號安全是組織數據安全工作的重要目標之一。但由于系統和應用程序的不斷增加，賬號尤其是高數據訪問權限賬號的共享及弱口令設置等問題日益突出。IBM Security 發布的2021 年數據泄露成本報告8指出，數據泄漏事件中最常見的初始化攻擊路徑就是直接竊取憑證，如圖 1 所

16、示。 來源：IBM SecurityCost of a Data Breach Report 2021 圖 1 最常見的初始化攻擊路徑 特權賬號是最直接、最快速的攻擊入口?；诮陙淼臄祿踩录约肮シ姥菥毜膶嵺`分析，特權賬號作為訪問資源、配置策略的最直接入口，其安全問題一直是困擾各組織的痛點。從攻擊者視角進行切入， 與其穿透層層的組織內網防護設施竊取數據， 不如竊取賬號，通過內網橫向移動，最終攻破特權賬號，再利用特權賬號權限執行刪 8 https:/ 數據安全風險分析及應對策略研究（2022 年） 6 庫、刪表等高危操作，達到破壞或竊取敏感數據的目的。 2.IT 環境演變導致權限問題成數據

17、安全嚴峻威脅 邊界弱化、場景演變，導致數據資源暴露面增加。隨著新一代信息技術的快速演進，業務系統面臨著包括手機、臺式機、平板電腦等多種類型的終端設備接入，網絡安全邊界范圍由數據中心向云端、終端等各個環節不斷延伸。疫情時代，員工使用自有設備進行遠程辦公逐漸成為常態，訪問需求的復雜性擴大了內部資源的暴露面。此外，各種設備（如：BYOD、合作伙伴設備）及各類人員的接入也帶來了更多不可控因素，增加了數據風險暴露面。 數據資源面臨更頻繁訪問，數據權限濫用問題不容忽視。組織間的合作共享導致數據資源的訪問量和訪問人員大幅增加， 多樣化的訪問接入，容易引發數據權限管理不清、使用情況不明等安全問題，最終造成業務

18、和數據資源違規訪問，釀成數據安全事件。歷年的“凈網行動”曾發現多起由于權限盜用導致的敏感數據泄露事件。 3.API 防護缺失成數據安全最大風險敞口 API 作為數據連接利器，其安全風險重視程度有待提高。如圖 2所示，Imvision 發布的Enterprise API Security Survey9報告展示了不同場景下的 API 使用情況， 其中內部 API 的使用程度最高達到 71%。作為最重要的數據傳輸方式之一，API 也成為攻擊者竊取數據的重點攻擊對象。然而，組織對外暴露了哪些 API、對誰開放、API 通信中攜帶了哪些敏感數據、 對方如何使用這些數據等問題卻并未得到應有 9 http

19、s:/www.imvision.ai/2021-api-security-survey/ 數據安全風險分析及應對策略研究（2022 年） 7 的重視。 來源：Imvision：Enterprise API Security Survey報告 圖 2 不同場景下 API 使用情況 API 格式的多樣性、復雜性增大安全挑戰。如圖 3 所示，隨著業務場景的動態發展，API 的協議和格式也發生快速變化，API 在廣泛應用的同時，也引入了大量數據安全挑戰。2019 年 12 月，OWASP組織發布了 API Security Top 10 的安全風險10，其中失效的對象級別授權、 失效的用戶身份驗證、

20、失效的功能級授權等成為 API 面臨的重要安全問題。因此，亟需進化 API 安全思維和安全架構，以適應不斷變化的新型安全風險。 來源：奇安信科技集團股份有限公司 圖 3 API 業務發展歷程 10 OWASP:2019 年 10 大 API 風險 https:/owasp.org/www-project-api-security/ 數據安全風險分析及應對策略研究（2022 年） 8 （三）（三）數據安全狀態持續保障成落地難點數據安全狀態持續保障成落地難點 數據資產梳理不全面導致安全保障不徹底。 隨著數據處理技術的不斷成熟，數據量呈 PB 級迅速增長，業務的持續擴大與數據應用的不斷裂變，海量、多

21、元和非結構化成為數據發展新常態。各組織通常在數據治理階段并未全面考慮相關的安全特性， 數據本身又因為特征多、分布散，關聯關系復雜等特性，造成大量低質量、關系模糊的數據存儲在分散的數據載體中。這給組織的數據資產梳理造成了困難，而建立在數據資產梳理基礎之上的持續安全保障更是難以實施。 數據快速流轉增加數據安全持續保障難度。 數據流轉過程中的安全屬性面臨多種變化，一是安全域的變化，數據在多個業務和應用場景下的流動交互，必然會出現跨越不同安全域的使用現象。二是數據載體的變化，流轉過程加速了數據的大量匯聚、加工、使用，必然導致數據在不同載體中的使用和留存。三是數據主體的變化，數據交互過程的主體角色變化，

22、導致數據權責不明。以上安全屬性的變化導致組織難以清晰的梳理數據與訪問主體、傳輸鏈路、承載環境、安全策略等的關系，進而在數據安全建設時只能以“離散”的補丁方式解決風險問題，而導致全局化、體系化聯防聯控淪為紙上談兵。如何開展數據流轉過程中的安全防護工作，已成為數據價值釋放的重大挑戰。 三、解決數據安全痛點問題行動思路 為解決以上數據安全痛點問題，本報告從戰略規劃、機構管理、精準管控、安全運營等方面提出數據安全建設行動思路。 數據安全風險分析及應對策略研究（2022 年） 9 （一）（一）明確數據安全總體戰明確數據安全總體戰略略 數據作為重要資產， 組織必須深刻認識到數據安全工作的重要性和復雜性。

23、因此， 在啟動數據安全工作前， 必須制定相應的戰略規劃，明確總體目標和具體任務。 需要綜合考量組織在合規管控、 安全管理、業務發展等方面的總體目標， 制定符合組織經營發展與風險管控需求的數據安全總體戰略。 （二）（二）建立數據安全管理機構建立數據安全管理機構 管理機構建設是數據安全工作開展的首要環節， 通過自上而下建立從各個領導層面至基層執行層面的管理組織架構， 明確各方數據安全職責，有助于強化業務、應用、數據所有者以及全體員工的安全責任與意識，推動數據安全戰略的有效執行與充分協同。一是決策層，負責組織數據安全整體目標及發展規劃等的制定。二是管理層，負責梳理和明確數據安全工作的重點方向與環節，

24、 制定與組織整體目標相適應的數據安全管理策略，形成規范化管理體系等。三是執行層，負責按照既定的數據安全管理策略、管理要求，在不同的業務流程中進行落地及運營維護。四是監督層，負責對管理層、執行層的工作進行定期審核監督，并將發現的問題及時反饋給決策層，對薄弱環節予以加強11。 （三）（三）落實安全策略精準管控落實安全策略精準管控 數據安全與業務場景緊密相關，為防范數據安全風險，必須深入業務邏輯，制定可落地的精準管控策略。一是治理先行，構建安全底 11 中國信息通信研究院云計算與大數據研究所：數據安全治理實踐指南（1.0） 數據安全風險分析及應對策略研究（2022 年） 10 座。通過發現、識別數據

25、資產，進行資產盤點，開展數據分類分級，基于數據分類分級結果、 重要數據的流轉及使用情況， 構建數據脈絡，為后續場景化的數據安全能力落地提供堅實支撐。二是“數據生命周期”與“數據流轉”相結合，設計安全策略?；跀祿芷谝暯?， 梳理數據安全策略架構； 基于數據流轉視角， 識別具體業務場景，將數據、動作和特定人員或組織進行關聯，有針對性的設計安全防護措施。三是有序建設，分步落實數據安全能力。圍繞威脅路徑，梳理數據安全關鍵能力，明確數據安全能力建設的優先級、依賴關系、所需資源，確?？蓤绦行?，實現數據安全痛點問題的精準管控。 （四）（四）持續保障數據安全運營持續保障數據安全運營 持續運營保障的目的

26、一是看清數據流轉關系。 基于數據安全態勢感知，根據文件、應用及數據庫表的操作日志和訪問日志，以及 SQL語句的解析、API 的調用等構建主體、設備、應用和數據庫表的行為關系圖譜，明確數據資產分布、數據流動情況，為動態掌控全局數據安全提供有力保障。二是識別發現數據安全風險。數據交互的復雜性和多樣性對異常行為和潛在風險發現提出了更大挑戰， 需要根據數據流轉關系對數據使用場景進行精準刻畫，結合泄露風險監測、用戶行為分析等相關技術手段， 將風險識別全面深入到數據處理活動內容中，實現對數據安全威脅的及時預警和處置。三是實現常態化安全運營。通過定期開展數據安全專項審計工作， 包括審查業務數據流轉的各個環節

27、是否存在安全隱患、 個人信息及重要數據的保護措施是否滿足合規要求、相關安全策略是否定期優化等內容，以實現持續的數據安全數據安全風險分析及應對策略研究（2022 年） 11 保障運營。 四、解決數據安全痛點問題關鍵舉措 面對上述的數據安全痛點問題， 基于數據安全防護的實踐與探索，本章節從個人信息保護、特權賬號、動態授權、API 防護、面向全局的數據安全運營五個方面闡述解決痛點問題的關鍵舉措。 （一）管理與（一）管理與技術技術結合結合助力個人信息保護合規落助力個人信息保護合規落地地 個人信息保護合規建設工作不僅僅是編制隱私政策文件、 修改產品邏輯、增加提醒和通知等內容，還要將個人信息保護真正融入到

28、日常的業務活動和產品管理中，從根本上建立個人信息保護合規體系，保障數據價值。 1.構建個人信息管理體系提供合規保障 基于現有數據安全管理機構建設情況， 明確分管個人信息保護的組織機構。其工作職責包括但不限于：制定個人信息保護戰略、隱私政策、個人信息安全事件處置機制等；統籌不同部門的個人信息保護工作重心、工作方法和計劃，與業務發展進行平衡；協調安全、IT、法務等多個部門，體系化完善個人信息保護合規方案，避免個人信息保護合規風險。 2.識別監管要求聚焦個人信息保護合規重點 充分理解監管要求是個人信息保護合規工作的前提。 現有法律法規和標準規范已提出了全面的個人信息保護要求， 在個人信息處理過程中應

29、充分考慮合規制度的建設及落實。同時，組織需要對自身的個數據安全風險分析及應對策略研究（2022 年） 12 人信息保護現狀開展合規評審活動，重點關注 APP 超范圍收集個人信息、誤導收集個人信息、SDK 越權收集問題等熱點難點問題，提升整體個人信息保護工作的合規落地有效性。 3.技術檢測嵌入個人信息保護全流程 組織收集個人信息的主要工具包括 APP、小程序、網站等，需要在工具研發、發布、運營各階段嵌入合規要求。研發階段提前規避合規問題能極大降低合規風險帶來的成本，可通過合規培訓、SDK 準入審核、合規評估等策略進行研發過程管理。同時采用技術手段進行合規評估，并根據風險容忍能力執行上架發布動作。

30、發布階段將合規檢測技術嵌入到版本迭代過程中，通過對 APP 違規行為進行檢測，實現對個人信息保護水平的合規性、有效性、完整性測試及驗證，排查合規風險。運營階段持續開展技術檢測，通過訪問控制策略、風險評估、應急處置等方式保障個人信息處理活動的合規性。 （二）（二）特權賬號安全治理持續強化安全內控特權賬號安全治理持續強化安全內控 特權賬號的安全治理， 需要建立覆蓋特權賬號生命周期的管控機制，并通過技術手段持續監控特權賬號的異常登錄、權限變更等潛在風險，確保特權賬號安全的可知、可管、可控、可查。 1.建立特權賬號安全管理機制 在賬號產生階段建立特權賬號納管機制。新系統、新設備在投產和擴容時，應及時收

31、集其中的特權賬號，并與系統上線的業務流程進行聯動， 確認此系統的特權賬號已納入特權賬號安全管理系統進行統一控制。 數據安全風險分析及應對策略研究（2022 年） 13 在賬號存儲階段明確特權憑證的安全策略管理。 建立一套行之有效的密碼安全策略，包括建立密碼申請機制、密碼定期修改機制、密碼安全策略等。其中密碼申請機制，應僅允許具備管理權限的用戶通過審批的方式獲取所需的賬號密碼；密碼定期修改機制，應建立定期的密碼修改任務單，完成密碼修改重置工作；密碼安全策略，應明確密碼復雜度要求、唯一性要求、不重復要求等。 在賬號使用階段明確特權賬號使用的安全管控措施。 在訪問管理方面，統一管理所有相關的安全會話

32、操作，并通過密碼安全設施分發密碼，在對特權賬號不可見的情況下直接訪問目標主機設備，以防止特權賬號憑證暴露。在權限控制方面，對重要級別高的數據采取高級別的操作權限控制，針對核心業務、核心數據等采取動態工單授權申請審批機制和會話實時控制等方法， 確保重點業務系統任何時刻不能被單個賬號直接操作。 在賬號銷毀階段建立賬號刪除/回收/凍結機制。需重點關注第三方臨時訪問場景，通過設置一次一密策略，在賬號使用完畢后，立即更改密碼，降低密碼被竊取、二次共享或人為擴散的風險。針對系統升級、維護、下線等變更過程或人員交接、轉崗、離職等流程，建立賬號回收凍結機制，及時對特權賬號進行回收/凍結/刪除，防止因管理的疏忽

33、造成特權賬號變成幽靈賬號。 2.運用特權賬號技術管控手段 特權賬號自動發現能力。通過自動化的賬號掃描和檢測手段，及時發現應用系統、數據庫等包含的特權賬號信息，并通過賬號管理系數據安全風險分析及應對策略研究（2022 年） 14 統進行賬號整理，全面了解組織特權賬號使用情況，掃除因為僵尸賬號、幽靈賬號造成的安全隱患。 特權憑證安全保管能力。 采用安全存儲技術建立存放特權賬號密碼、訪問權限配置、密碼訪問日志等關鍵數據的安全環境。例如密碼保險箱的安全存儲技術， 以密碼保險箱為單位存放特權賬號相關信息，并定義不同的訪問權限。每個密碼保險箱都有自己的授權用戶，只有這些授權用戶可以訪問存儲在密碼保險箱中的

34、賬號密碼信息， 并配置相應策略動作，如查看密碼，刪除密碼等。 3.開展特權賬號持續監測運營 加強對特權異常行為監測預警能力。 需要確保所有的特權操作都在監測管控之下，一是能夠針對操作指令進行解析，識別操作指令；二是通過 OCR 文字識別等方式識別圖形協議，審計特權用戶操作內容；三是針對特權賬號的文件傳輸，記錄傳輸文件名和目標路徑。通過統計分析、關聯分析等技術手段深度分析特權賬號的行為信息，構建特權用戶整體畫像。其中包括特權用戶的 IP、賬號、權限等基本屬性，以及行為輪廓、特權行為、通聯關系等行為屬性，持續監控特權賬號行為，及時發現賬號威脅，以便迅速處置響應。 加強特殊場景特權賬號安全治理能力。

35、 在應用系統與其他應用程序之間的交互認證場景中，存在用戶名與密碼互相調用的情況，因此通常會出現應用系統將賬號及密碼明文寫在代碼或配置文件中的現象，此類明文密碼暴露會給組織帶來極大安全風險。在賬號安全管理過程中，必須將這類賬號納入管理并進行重點整改。 數據安全風險分析及應對策略研究（2022 年） 15 （三）（三）零信任數據動態授權賦能精細化管控零信任數據動態授權賦能精細化管控 數據安全訪問的痛點是信任問題， 零信任數據動態授權體系是數字化時代解決信任問題的手段。 1.數據動態授權策略準備階段 基于統一的元數據管理和數據分級分類結果，構建數據視圖。數據視圖便于組織對數據建立全面認知， 有助于了

36、解數據的位置及使用情況等基本信息。通過持續跟蹤和分析元數據狀態，結合數據分類分級結果，驅動組織形成動態數據訪問策略，為數據動態授權體系的建設提供基礎能力。 明晰數據訪問上下文，構建身份視圖。身份視圖主要解決主體身份信任問題，主體身份信任根本上是解決“是什么部門的什么人、在什么地方、因為什么任務、訪問了什么數據里的什么字段”的問題。通過明晰數據訪問上下文，將用戶身份、數據類型、訪問意圖等信息關聯起來；通過上下文評估，對組織范圍內的人員、設備、終端應用等主體進行細致刻畫， 構建身份、 設備、 應用等實體的全局身份視圖?；谏矸菀晥D明確制定策略所依賴的各種信息， 從而更精準的對主體信任進行評估，解決

37、主體身份信任問題。 2.數據動態授權策略建設階段 基于數據視圖、身份視圖構建動態訪問策略。在零信任架構下，采用基于屬性的訪問控制機制（Attribute Based Access Control，簡稱ABAC），從實體安全、身份可信、業務合規三個目標出發，依賴數據視圖、身份視圖等內容，如圖 4 所示，通過角色、訪問主體所在地數據安全風險分析及應對策略研究（2022 年） 16 區、訪問主體設備狀態等屬性進行授權決策，實現對數據權限的動態精細化管控。 來源：奇安信科技集團股份有限公司 圖 4 基于屬性的數據動態授權機制 3.數據動態授權策略持續信任評估階段 通過訪問活動合規分析、訪問主體信任評估

38、、威脅行為持續發現三方面落實評估工作。一是開展訪問合規性分析，對可執行的業務規則和現有訪問控制機制進行評估， 通過監控訪問行為維護數據的完整性及業務安全，二是通過對身份、行為等多源數據的分析，實現對每一次訪問行為的信任評估。用戶行為若存在安全風險，信任評估結果將無法滿足訪問控制要求， 則不被授予訪問資源的權限或被終止權限。三是通過行為分析、 關聯分析等方式發現隱藏在正?；顒幽Ｊ较碌膼阂饣顒?。通過對主體、資源、行為屬性的持續挖掘與運營，落實持續信任評估。 數據安全風險分析及應對策略研究（2022 年） 17 （四）（四）完善完善 API 安全防護體系的閉環建設安全防護體系的閉環建設 API安全問

39、題的最佳解決方案是在API的設計過程嵌入安全思想，實現安全內生。API 安全建設的落地需要結合現狀需求以及實戰化的安全經驗，發現并收斂 API 使用過程中的風險。通過將 API 的安全能力和組件，嵌入到業務體系，構建自適應的內生安全機制?？梢园凑铡鞍l現”、“檢測”、“防護”、“響應”的安全模型進行 API安全體系建設，如圖 5 所示。 來源：奇安信科技集團股份有限公司 圖 5 API 安全防護體系 1.以 API 資產為視角的漏洞與風險發現能力 組織的 API 安全建設， 需要將安全能力與業務過程高度融合。 在南北向、東西向路徑進行持續監測、持續分析、動態防護。 首先是 API 的資產發現與管

40、理能力。 組織應對自身 API 部署情況進行全面排查，梳理統計 API 類型、活躍接口數量、失活接口數量等資產現狀。 通過對 API 進行深度的資產梳理和發現， 幫助組織了數據安全風險分析及應對策略研究（2022 年） 18 解不同應用程序使用的 API 以及 API 對應的業務屬性。 其次是 API 漏洞發現能力。隨著攻擊面和攻擊手段的變化，應建立持續挖掘 API 相關漏洞的能力和機制， 做好補丁管理， 并在引入第三方組件時充分考慮組件自身安全，避免第三方組件引入的漏洞。 最后是 API 濫用發現能力。加強 API 在運行時的外部風險感知和阻斷能力建設尤為重要，可以及時準確的感知 API 的

41、濫用情況，并阻斷攻擊者的進一步行動。 2.面向 API 的攻擊和數據泄漏檢測能力 加強 API 安全檢測能力。 一是持續檢測針對 API 漏洞的攻擊行為， 并通過大數據分析及人工智能技術對攻擊告警進行攻擊事件還原和攻擊溯源。 二是檢測邏輯異常攻擊， 通過構建 API 調用鏈可視化能力，將請求經過的每一個節點都記錄下來，形成一個完整的調用鏈監控系統，當發生請求調用異?；蚧厮莅踩录r，可清晰定位到具體環節。三是檢測異常行為，基于可擴展的行為檢測模型，實現對異常訪問行為等的實時監測分析，并對比正常行為基線，快速發現異常。 強化數據異常流轉及泄露檢測能力。一是開展敏感數據識別，依托數據分類分級的結果

42、，梳理 API 數據類型，并對 API 訪問的數據進行持續監測評估。 通過自動梳理 API 接口中的敏感數據流， 生成API 接口與敏感數據的映射，確保對敏感數據的持續監控。二是開展數據流轉檢測， 應構建全面的數據流轉監控體系， 通過識別各類 API，對其傳輸內容進行精細化檢測來明確“誰通過什么方式的 API，傳輸了什么類型的敏感數據”，實現敏感信息流轉可視化。三是構建威脅數據安全風險分析及應對策略研究（2022 年） 19 情報檢測能力，通過檢測分析手段，快速定位攻擊行為，并對攻擊行為進行溯源， 實現在攻擊行為產生惡劣影響之前及時感知已失陷主機，從而提前預警并響應， 以降低惡意攻擊行為對內網

43、造成的影響和損失。 3.構建以 API 為主體的安全防護能力 API 接口的安全防護能力建設，包括但不限于：認證授權體系，基于零信任理念，實現統一的認證授權機制，對所有的 API 內部、外部訪問執行可信認證策略；訪問控制，認證成功后，還需針對不同的應用執行不同的訪問控制策略， 并提供完整的訪問控制日志；數據加解密能力，應對 API 中敏感信息的交互進行加密或脫敏，減少敏感信息的泄露風險；API 限流限速，需考慮系統的處理能力，對 API請求進行限流防護， 緩解基于 API 的 DDoS 攻擊， 防止資源消耗在無意義或惡意的 API 請求上。 4.建立持續運營與快速響應能力 首先應建立威脅預警能

44、力， 基于業務流量， 細化分析攻擊行為，并結合攻擊者歷史情報信息對攻擊者的資源、手法、意圖等進行關聯跟蹤分析，進而構建攻擊者情報庫，對攻擊者進行持續跟蹤，實現提前預防。其次是構建漏洞管理與響應機制，通過構建持續挖掘 API相關漏洞的能力來實現風險預防，并開展補丁管理，應對不斷變化的攻擊面及隱秘多變的攻擊手段。最后是建立威脅分析與處置能力，對所有威脅日志進行深度分析， 實現對所有 API 的統一監控與威脅事件感知， 達到快速處置的目的。 最終形成一套 “預防為主、 快速響應、精準處置”的應急響應管理體系。 數據安全風險分析及應對策略研究（2022 年） 20 （五）（五）圍繞數據安全態勢感知統籌

45、數據安全運營圍繞數據安全態勢感知統籌數據安全運營 數據安全運營是以數據資產發現為前提，分類分級為手段，審計和監測為依托，持續風險管理為核心，實現及時發現異常、快速響應處置的安全閉環流程。通過管理流程、技術平臺、運營專家的深度融合，建立一套完整全面的數據安全運營態勢感知中心，指導數據安全體系建設，如圖 6 所示。 來源：奇安信科技集團股份有限公司 圖 6 數據安全運營總體架構 1.盤清家底：以數據資源為核心的資產管理 通過對目標環境中的數據資產，尤其是敏感數據資產，進行全面清查、摸排，了解數據資產類型、數據資產分布、數據資產權限、數據資產使用等信息，并深入分析業務系統之間的關聯性，完善數據資產目

46、錄。 數據安全風險分析及應對策略研究（2022 年） 21 2.聯防聯控：以分類分級為核心的策略協同 數據安全的策略協同需要圍繞分類分級結果展開， 以實現對不同類別、不同級別數據資產的差異化防護能力設計和安全策略配置。同時，聯動數據鏈路上的數據安全措施，打通策略配置通道和日志及告警上報通道，并結合具體的數據安全防護組件，統一下發安全策略，以實時監測數據的防護能力狀態， 及時感知薄弱環節并進行策略的自動調整，保障數據業務和安全管控的全面協同。 3.流動監測：以業務流程為核心的動態監測 通過數據流動監測，動態掌控數據安全狀態。面對復雜的數據流動態勢，開展數據內部使用、外發共享等業務流程的梳理，通過

47、摸排數據使用情況，識別數據的流動路徑、訪問主體等關鍵因素，明晰數據在組織內部的流動情況，構建一幅連接“數據、業務、主體”的數據流動業務視圖。 4.風險分析：以行為分析為核心的風險管理 及時發現數據安全風險是開展數據安全運營工作的重要一環。數據安全風險分析基于在數據流轉監測環節中對數據使用場景的精準刻畫，以風險分析引擎為技術基礎，輔以豐富的分析策略，靈活檢測不同場景下的數據安全風險， 并采取有效的處置流程進行跟蹤響應，真正實現可控的風險管理。 5.安全評估：以安全合規為核心的持續評估 開展數據安全評估工作是安全合規的需要， 也是組織自身數據保數據安全風險分析及應對策略研究（2022 年） 22

48、護的需求。數據安全評估工作需充分考慮監管要求、數據安全現狀、風險分析結果等因素，其評估內容包括但不限于數據管理組織架構、數據管理制度等內容。為保障評估工作的有效性和準確性，應以技術工具為支撐落實數據安全評估執行，發現數據安全薄弱環節，提出整改措施。 6.持續運營：以態勢感知為核心的安全運營 全面的數據安全態勢感知是數據安全運營持續開展的核心。 數據安全態勢感知，以數據資產管理和分類分級為底座；面向數據處理活動實現數據流動的全面監測、數據安全風險的快速發現；依托策略聯動機制拉通實體防護能力， 實現風險的快速處置； 定期開展安全評估，確保安全能力行之有效。最終實現面向全流程的數據安全管理，構建持續

49、的數據安全運營保障能力。 五、數據安全建設發展建議 數據安全體系建設需要全局考慮已經逐步達成共識， 而如何深化數據安全體系建設亟需理念創新。 （一）（一）聚焦關鍵環節完善數據安全能力建設聚焦關鍵環節完善數據安全能力建設 面對不斷疊加演進的安全威脅， 數據安全建設是長期而復雜的過程，需要在建設過程中持續聚焦安全痛點問題，明確重點環節，按照有序推進、分步建設的實施路線，以組件化方式落地并完善數據安全能力建設。 數據安全風險分析及應對策略研究（2022 年） 23 （二）（二）結合業務流程深化數據安全工作開展結合業務流程深化數據安全工作開展 頻繁的數據交互和復雜的業務流程為組織帶來嚴峻的數據安全挑戰，數據安全的持續保障工作仍存在較大提升空間。需要進一步融合安全與業務，厘清安全、數據、業務流程之間的深層次聯系，構建清晰的數據流轉視圖，進而指導數據安全能力建設，確保安全能力深入融合到業務流程中，實現安全能力的自生長。 （三）（三）高度重視技術創新破局作用高度重視技術創新破局作用 隨著零信任、隱私計算等新理念新技術的出現，為解決數據安全難點問題帶來破局思路。通過對數據安全技術發展趨勢的持續關注，提前布局技術研發與應用，搶先推動數據安全能力建設創新，實現數據安全體系建設的持續優化。 數據安全風險分析及應對策略研究（2022 年） 24 參考文獻 1 全球數字經濟新圖景（2020 年）大變局下的