大数据安全保障措施方案.pdf

⼤⼤数数据据安安全全保保障障措措施施⽅⽅案案 （⼀）数据产⽣／采集环节的安全技术措施 从数据安全⾓度考虑，在数据产⽣／采集环节 要实现的技术能⼒主要是元数据安全管理、数据类型和安全等级打标，相应功 能 要内嵌⼊后台运维管理系统，或与其⽆缝对接，从⽽实现安全责任制、数据分级分类管理等管理制度在实际业务流程中的 落地实施 1、元数据安全管理 以结构化数据为例，元数据安全管理 要实现的功能，包括数据表级的所属部门、开发⼈、安全责任⼈的设置和查询，表字段 的资产等级、安全等级查询，表与上下游表的⾎缘关系查询，表访问操作权限申请⼊⼝。完整的元数据安全管理功能应可以显 ⽰⼀个数据表基本情况，包括每个字段的类型、具体描述、数据类型、安全等级等，同时显⽰这个数据表的开发⼈、负责⼈、 安全接⼝⼈、所属部门等信息，并且可以通过这个界⾯申请对该表访问操作权限。 2、数据类型、安全等级打标 建议使⽤⾃动化的数据类型、安全等级打标⼯具帮助组织内部实现数据分级分类管理，特别是在组织内部拥有⼤量数据的情况 下，能够保证管理效率。打标⼯具根据数据分级分类管理制度中定义的数据类型、安全等级进⾏标识化，通过预设判定规则实 现数据表字段级别的⾃动化识别和打标。下图是⼀个打标⼯具的功能⽰例，显⽰了⼀个数据表每个字段的数据类型和安全等 级，在这个⽰例中，“C”表⽰该字段的数据类型，“C”后⾯的数字表⽰该字段的安全等级。 数据类型、安全等级标识⽰例 （⼆）数据传输存储环节的安全技术措施 数据传输和存储环节主要通过密码技术保障数据机密性、完整性。在数据传输环节，可以通过HTTPS、VPN 等技术建⽴不同 安全域间的加密传输链路，也可以直接对数据进⾏加密，以密⽂形式传输，保障数据传输过程安全。在数据存储环节，可以采 取数据加密、硬盘加密等多种技术⽅式保障数据存储安全。 （三）数据使⽤环节的安全技术措施 数据使⽤环节安全防护的⽬标是保障数据在授权范围内被访问、处理，防⽌数据遭窃取、泄漏、损毁。为实现这⼀⽬标，除了 防⽕墙、⼊侵检测、防病毒、防DDoS、漏洞检测等⽹络安全防护技术措施外，数据使⽤环节还 实现的安全技术能⼒包括： 1、账号权限管理 建⽴统⼀账号权限管理系统，对各类业务系统、数据库等账号实现统⼀管理，是保障数据在授权范围内被使⽤的有效⽅式，也 是落实账号权限管理及审批制度必 的技术⽀撑⼿段。账号权限管理系统具体实现功能与组织⾃⾝ 求有关，除基本的创建或 删除账号、权限管理和审批功能外，建议实现的功能还包括：⼀是权限控制的颗粒度尽可能⼩，最好做到对数据表列级的访问 和操作权限控制。 ⼆是对权限的授予设置有效期，到期⾃动回收权限。三是记录账号管理操作⽇志、权限审批⽇志，并实现⾃动化审计；⽇志和 审计功能也可以由独⽴的系统完成。 2、数据安全域 数据安全域的概念是运⽤虚拟化技术搭建⼀个能够访问、操作数据的安全环境，组织内部的⽤户在不 要将原始数据提取或下 载到本地的情况下，即可以完成必要的查看和数据分析。原始数据不离开数据安全域，能够有效防范内部⼈员盗取数据的风 险。图7 是数据安全域的拓扑结构⽰例，数据安全域由⼀个虚拟机集群组成，与数据库服务器通过⽹关连接，组织内部⽤户安 装相应的终端软件，可以通过中转机实现对原始数据的访问和操作。 3、数据脱敏 从保护敏感数据机密性的⾓度出发，在进⾏数据展⽰时， 要对敏感数据进⾏模糊化处理。特别是对⼿机号码、⾝份证件号码 等个⼈敏感信息，模糊化展⽰也是保护个⼈信息安全所必须采取的措施。业务系统或后台管理系统在展⽰数据时 要具备数据 脱敏功能，或嵌⼊专门的数据脱敏⼯具。数据脱敏⼯具可以实现对数值和⽂本类型的数据脱敏，⽀持多种脱敏⽅式，包括不可 逆加密、区间随机、 掩码替换等。 4、⽇志管理和审计 ⽇志管理和审计⽅⾯的技术能⼒要求主要是对账号管理操作⽇志、权限审批⽇志、数据访问操作⽇志等进⾏记录和审计，以辅 助相关管理制度的落地执⾏。技术实现上，可以根据组织内容实际情况，建设统⼀的⽇志管理和审计系统，或由相关系统各⾃ 实现功能，如账号管理和权限审批系统,实现账号管理操作⽇志、权限审批⽇志记录和审计功能。 5、异常⾏为实时监控与终端数据防泄漏 相对于⽇志记录和安全审计等“事后”追查性质的安全技术措施，异常⾏为实时监控是实现“事前”、“事中”环节监测预警和实时处 置的必要技术措施。异常⾏为监控系统应当能够对数据的⾮授权访问、数据⽂件的敏感操作等危险⾏为进⾏实时监测。同时， 终端数据防泄漏⼯具能够在本地监控办公终端设备操作⾏为，是组织内部异常⾏为监控体系的主要组成部分，可以有效防范内 部⼈员窃取、泄漏数据的风险，同时有助于安全事件发⽣后的溯