大資料能力平台建設（八）安全管理平台建設方案01

在資料安全保障的大環境下，建設資料安全管理平台支撐提升全市資料資源在資料加密、脫敏、分級分類、防洩漏、安全審計分析和權限管理等資料安全防護能力。

在大資料能力平台的建設實施階段，要同步實施密碼應用的實施，配合大資料能力平台的應用完成其密鑰應用實施，最終達到實際的密鑰安全應用需求，為大資料能力平台提供底層安全保障，并達到符合密鑰應用安全性測評要求。

總體建設方案概述

大資料能力平台的環境安全部分對标《網絡安全等級保護基本要求》(GB/T 22239-2019)的三級要求，從實體環境安全、網絡與通信安全、邊界安全、安全計算環境、安全管理中心五個角度進行規範，應確定承載大資料能力平台可滿足等保三級要求并定期開展測評整改。

總體安全保障方案

資料的全生命周期安全防護是大資料能力平台安全防護的重中之重。安全防護體系遵循資料安全能力成熟度模型(GBT 37988-2019)和《政務資訊共享資料安全技術要求》（送審稿）設計，對資料的采集、傳輸、存儲、處理、交換、銷毀全過程進行安全防護。

是以，在大資料能力平台安全管理平台設計過程中，将遵循内生安全為主外置安全為輔的原則，優先利用大資料能力平台各子平台自身的安全能力。針對不充分的内生安全能力，通過資料安全子平台提供定制化的安全能力并與各子系統內建實作全局賦能。

平台建設架構設計

資料安全是大資料平台建設的重中之重，平台整體安全防護體系包括資料資源平台環境安全和資料全生命周期安全兩大核心要素，結合資料安全能力成熟度模型，資料安全生命周期各階段主要防護能力，大資料能力平台的安全管理平台功能架構設計如下：

其中資料品質能力由資料治理子平台提供，傳輸和共享交換過程中的資料加密、校驗能力、資料水印和接口安全由資料共享交換子平台提供，存儲過程的媒體安全、加密、分層分級、備份歸檔和過期資料處理能力以及分布式處理安全由大資料基礎支援平台提供，資料支撐平台提供資料軟銷毀軟銷毀能力，媒體銷毀能力則有基礎環境運維服務商提供。

其他需要通過資料安全子平台提供定制化的安全能力并與各子系統內建實作全局賦能，包括統一的身份和權限管理、統一的敏感資料發現、分類分級管理和資料防洩漏能力、統一的加密秘鑰管理、統一的資料脫敏、統一的資料水印、統一的安全審計分析。

統一身份和權限管理

• 統一使用者管理

對使用者資料進行集中管理，形成标準身份庫，實作使用者資訊的全生命周期管理，使用者資訊自動同步到各應用系統。

收集梳理各使用者資訊來源，建立統一的身份資料中心；完成從上遊系統同步使用者、組織機構資料；實作與下遊應用系統同步使用者、組織機構資訊并提供資料同步接口，提供對使用者群組織機構維護功能；提供使用者、組織機構等資訊批量操作功能；可支援定義多套組織機構，能夠靈活擴充使用者群組織機構屬性定義；需支援分級分權的組織結構管理功能；需支援使用者管理工作流功能，并提供待辦任務提醒功能。

• 統一認證服務

需提供多種認證方式和認證政策，以滿足不同應用系統認證服務的業務規則的需要，具體内容包括但不局限于如下方面：

認證方式：提供多種即插即用的認證方式，包括使用者名密碼、靜态密碼校驗、圖檔檢驗碼、短信認證、郵件認證、密碼、OTP令牌認證、UKEY認證、指紋、人臉識别、二維碼掃碼等，可以內建現有的指紋認證方式，同時也支援人臉、聲紋等生物認證方式內建擴充；支援多種認證技術按政策進行認證鍊組合，支援組合認證、雙因素認證、二次認證等認證方式，以便滿足不同場景的認證要求。

認證方式分級：認證方式建立分級管理機制，不同的認證方式劃分為不同的級别，實作不同的認證等級，對應用系統、使用者可分别提供不同認證等級管理，僅當使用者等級高于應用認證等級時才能通路該應用系統。

移動認證：平台需支援移動端應用的接入，提供統一認證服務，包括提供移動門戶接入和SDK模式接入等。

• 統一權限管理

提供對使用者身份統一權限配置和統一通路控制等服務。能夠針對各類業務、欄目等資源授以相應權限範圍，将使用者實體與其角色、崗位、部門等權限屬性相分離，使每個人員都具備不同應用權限，實作每級或每個使用者隻能在自身權限範圍之内通路相應的業務、欄目等資源。

滿足基于“管用審”原則的權限管理模型，通路主體分為管理者、業務員、審計員；角色分為管理類、使用類、審計類；通路客體功能菜單分為管理類、使用類、審計類、共用類。

實作統一組織架構、人員管理，對使用者的屬性、權限進行劃分設定。采用基于角色的授權方式，可以動态維護角色，并把使用者添加到指定的角色中去。

統一使用者管理基于資料庫目錄開發。目錄服務的作用是對所有使用者進行統一使用者管理和認證，目錄服務基于資料庫目錄技術，集中存放所有使用者的資訊及其安全憑證，還存放系統中所有的對象的屬性、安全憑證、通路權限等資訊，提供集中式的管理、授權、驗證、權限檢查服務。

需提供完備的權限管理功能，包括統一身份管理與通路控制平台自身權限和各應用系統内部權限兩部分。具體内容包括但不限于以下内容：

平台權限：平台需實作基于角色的權限管理，根據使用者所屬平台角色配置相應平台權限菜單。平台角色可分為但不限于以下角色：系統管理者、業務參數管理者、平台操作員、應用管理者、審計管理者、普通使用者。

細粒度權限控制：支援通過為使用者配置設定應用系統角色實作應用系統細粒度的權限控制；能夠實作對應用系統菜單權限、按鈕權限、資料權限等細粒度權限的控制。

自動權限管理：支援基于使用者組和資源組的自動權限管理，按照使用者屬性對使用者進行分組，對應用系統資源進行分組，建立資源組，配置使用者組擁有的資源組權限政策，實作自動權限管理功能；支援單獨對使用者進行應用系統通路授權和角色授權，如果該使用者擁有相關的使用者組權限，那麼取并集得到使用者最終擁有的應用系統權限；支援将某個應用系統通路權限賦予對應的使用者組或者應用，解決新增應用的授權問題。

權限互斥檢查：支援對離職使用者的應用權限進行一鍵收回；支援職權分離檢查，可設定角色沖突、崗位沖突檢測政策，并具備告警機制；支援系統間、系統内崗位互斥、角色互斥。

分級授權管理：支援對平台系統進行分級分段管理。可按照組織、使用者、應用、認證方式等要素劃分管理級别，且管理者隻能管理其管轄内的使用者與系統資源，不可跨區管理，但管理級别支援向上繼承。可以進行管理權限的劃分，把部分管理權下放到各個機關，如對本機關的人員進行管理等添加、删除。

• 統一審計管理

支援對系統管理日志、使用者認證與記錄檔、通路應用系統日志進行審計，并能夠支援通過風險政策實時監控并幹預使用者異常行為，防範非法登入風險。具體内容包括但不限于以下内容：

賬号管理審計：對系統管理操作進行審計，支援應用系統孤兒賬号檢查；支援檢測出孤兒賬号中的活動賬号和非活動賬号；支援對檢測出的孤兒賬号進行自動或手工處理，消除孤兒賬号。

賬号合規檢查審計：支援對應用系統賬号進行合規性審查，包括以下功能，檢測應用系統子賬号總數、檢測應用系統已綁定賬号數、檢測活動賬号和非活動賬号、檢查賬号資訊與身份管理系統中使用者資訊的一緻性。

安全審計功能：審計應覆寫到使用者管理與通路控制的每個環節，包括管理者對系統的管理行為審計、普通使用者的通路行為審計、系統的運作情況審計；審計應記錄應用系統重要的安全相關事件，包括重要使用者行為、系統資源的異常使用、授權操作、重要系統功能的執行和賬号、使用者資料及組織架構的變更等；相關事件的記錄應包括日期和時間、類型、主體辨別、客體辨別、事件的結果等；建立綜合審計展示視圖，将審計資訊進行集中展現和展示，根據記錄資料進行分析，可生成審計報表，并對特定事件，提供指定方式的報警；提供對審計資訊資料進行簽名處理，防止人為修改審計内容。一旦發現審計内容被修改，審計資訊自動進行特殊辨別。