網絡安全等級保護下資料安全治理研究

随着資訊化的不斷發展，資訊化已經融入運輸、經濟、生産、醫療和金融等各行各業中，促進了經濟社會的繁榮進步，同時也帶來新的安全風險和挑戰[1]。随着國家網絡安全等級保護2.0系列标準（簡稱：等級保護2.0）2019版的釋出實施，網絡安全等級保護的建設也在各行業逐漸推進實施[2]。各個行業應充分利用等級保護2.0進行資料安全治理，提高資料安全性，全面提升資料安全管控能力[3]。

等級保護是指對資訊和資訊載體按照重要性分等級進行保護[4]，等級保護2.0是大陸施行資訊安全保護和安全管理的一項法律、法規制度，維護國家資訊安全，建構保護資訊體系建設需要全面開展等級保護工作[5]。

國家對網絡和資料安全越來越重視，相關法律、法規陸續頒布實施，體系日趨完善[6]，這些法律、法規的釋出和實施能有效地提升資料的安全性，全面保障網絡安全。從國家層面，等級保護2.0在網絡和資料安全方面起到了舉足輕重的作用；從法律層面，新頒布的等級保護 2.0涵蓋的内容較為廣泛，涉及的技術有深度，基于等級保護 2.0進行的資料安全治理，更加有效，更加合法、合規[7]。

1. 等級保護2.0對資料安全的要求

等級保護2.0安全要求是資訊處理的基礎安全，同時要求有安全的區域範圍界限和資訊傳輸網絡，形成完整的資訊安全保障體系，提高安全防護體系的完整性[8]。等級保護2.0在資料安全方面，對各個級别都有明确要求，資料安全主要涉及資料保密性、資料完整性、資料備份、資料恢複和個人敏感資訊保護等幾個方面[9]。等級保護2.0中從1～5級，對資料的安全性從低到高都有要求[10]。

2. 資料全生命周期安全治理

資料安全的各項需求涉及到資料管理的各個方面，依據資料安全能力成熟度模型（DSMM，Data Security Capability Maturity Mode）将資料生命周期分為采集、傳輸、存儲、處理、交換和銷毀6個階段[10]，對資料在從采集到銷毀的生命周期裡進行安全管理，對資料分類、分級定制不同防禦保護政策，建立資料安全體系結構群組織機制保障，對資料全生命周期形成完整的安全管理和控制。其中包括資料保密性、資料可用性、資料完整性、通路資料身份鑒定識别、安全審計、驗證可信性、防範入侵、防範惡意代碼、資料的備份、資料的恢複、保護剩餘資訊、保護個人資訊保護等安全控制點。

資料生命周期安全治理涉及6個方面：資料生成采集管理、資料傳輸管理、資料存儲管理、資料處理應用管理、資料共用分享管理和資料銷毀管理。

3. 等級保護2.0資料安全技術保障體系建設

差別于網絡安全保障體系建設，資料安全保障體系建設的核心是資料，因而要以資料為基礎，保障自身資訊業務中最核心的資料安全。等級保護中，應在資料全生命周期進行安全技術保障體系的建設和執行。

3.1 資料采集保障

資料采集是資料安全技術體系中的第1個部分，對不同分類、分級的資料采取不同的技術手段進行安全治理。

（1）可公開的資料按照等級保護2.0分級要求進行日志記錄和儲存，如常用的等級保護三級要求日志儲存180天等。

（2）内部資料在日志記錄的同時使用定期人工審計等進行完善。

（3）核心資料在内部資料安全治理手段的基礎上，引入完整性校驗，對操作這部分資料的人使用雙因子認證等核驗手段。

（4）對資料收集中可能出現的安全風險進行分析，并完成風控标準。

（5）對資料的采集流程要合法合規，要在國家、地方和行業等法律法規制度的監管下進行采集，建立資料安全保障技術體系的資料來源基礎，確定資料采集符合等級保護要求。

3.2 資料傳輸保障

（1）傳輸敏感和重要的業務資料、管理資料和鑒别資料，在傳輸的流程中都要符合其分級定義的保密性。

（2）技術上将傳遞的資料進行加密保護，使用滿足國家和行業标準的加密算法，如國密SM2、SM3、SM4等，對這類資料進行加密傳輸。

（3）對内部和核心資料傳輸要保障資料傳輸過程符合等級保護要求，使用身份認證技術對傳輸使用者進行确認、記錄傳輸日志、進行日志稽核，通過資料防洩漏技術保障資料傳輸安全。

3.3 資料存儲保障

（1）針對資料存儲，等級保護2.0要求對敏感和重要的業務資料、管理資料和鑒别資料的儲存要符合其分級定義的保密性。

（2）資料及存儲媒體應使用加密技術或其他有效的技術來確定資料保密。

（3）在資料存儲技術安全體系中，要確定資料的保密性、可用性和完整性。

（4）在可用性上對重要資料的管理建立有容災和備份機制，通過定期災備切換和備份恢複測試保障備份資料有效。

（5）按照等級保護2.0中不同級别的要求做好資料備份與恢複，使用資料掃描、資料審計、隔離多副本、資料自動校驗等技術手段確定資料完整性。

3.4 資料處理保障

（1）資料使用和進行中做到合法、合規，按要求規範處理資料。

（2）資料安全治理技術體系中資料處理安全防護目标是在等級保護2.0的要求下，資料隻能在授權許可的範圍内被通路，進行資料處理，保障資料不被竊取、洩露和損毀。

（3）僅處理必要資料。

（4）對資料的操作行為進行審計，確定資料的處理都是合法、合規的。

（5）使用資料脫敏技術辨別内容，對敏感資料進行資料轉換、變形等資料操作，確定資料安全治理技術體系中資料處理符合等級保護要求。

3.5 資料共享保障

（1）資料安全治理體系中資料共享建設主要是管理和控制高密級資料流向低密級業務。

（2）建設一套符合等級保護2.0對資料安全要求的資料共享體系。

（3）業務上對共享資料可能造成安全影響範圍和程度進行風險估算評判。

（4）技術上對共享資料及接口間進行共享監測；對資料所有操作行為都有相應日志記錄，對操作行為及資料流進行審計；對資料進行共享操作時，要有識别高危風險的行為和管控。

（5）在資訊共享傳輸的過程中，要保障資料的完整性，對資料來去可追溯，如果資料共享中資料完整性受到破壞，系統能夠及時檢測出，并有相應措施進行恢複。

3.6 資料銷毀保障

（1）資料銷毀要求有完善的機制來確定資料有效的銷毀，其中，對存儲媒體如磁盤、錄音帶和CD光牒等應有不同的删除資料和銷毀技術，用可靠、有效、不可逆的銷毀技術保障被删除的資料和被銷毀的資訊不能被還原。

（2）技術上可分為邏輯資料銷毀和實體銷毀。邏輯資料銷毀可使用低級格式化、扇區破壞、多次覆寫磁盤資料等方式；實體銷毀可使用消磁、鹽酸滴注、焚毀等方式。

（3）等級保護2.0中要求存儲敏感資訊資料和鑒定稽核等資訊資料的硬碟、移動存儲、錄音帶和CD光牒等儲存設備在被清理或再次使用前要完全清除資料。

（4）資料安全技術保障體系建設，要按照資料的生命周期執行，在分類場景建設過程中，都要符合其對應的等級保護要求，才能形成一套完整的資料安全治理技術保障體系。

4. 等級保護2.0的資料安全保護政策

等級保護2.0對資料安全防護的要求如下。

（1）能夠檢查、檢測業務資訊系統中重要節點的資料風險，能夠分析識别預警資料攻擊行為、分析安全事件，對威脅資料安全的攻擊能夠及時檢測和響應，及時加以防禦。

（2）對資料安全防護範圍從業務區域邊界開始，加強縱深防禦。

（3）建構安全的計算環境，對資料進行動态防護，提高對資料安全的風險管理和控制。據此，提出以下資料安全保護政策。

4.1 檢查評估

依據國家相關法規的規定對資訊系統資料進行分類、分級合規性檢查，審查這些重要資訊資料在存儲、傳輸或使用上的安全性和合規性。對資訊系統中的各類網絡安全威脅、資訊系統脆弱漏洞環節等方面進行檢測，評估出業務資訊系統的資料風險點和風險門檻值，控制資訊資料安全風險，消除資料安全隐患。

4.2 監控審計

對重要資訊資料進行實時完整的動态監控和審計，對資料事件進行分析、判斷安全事件、識别報警和分析事件，發現對資料操作有不合法、不合規行為，需要按預定的應急預案進行處理和響應，及時制止不合法、不合規的資料操作，并儲存相關證據，用于後續追查。

4.3 态勢感覺

對各類風險評估事件和重要資料的安全檢查結果進行處理和分析，形成資料安全風險态勢，将結果應用于事件安全模型，分析出資料安全資訊事件分布與走勢，發現資訊系統中資料安全威脅，回溯發起威脅的源頭和路徑，有效地預防、阻止和追蹤産生資料安全風險的資料攻擊行為。

4.4 持續改進

随着企業業務的不斷變化，其相應業務資訊系統的範圍也會變化。是以，資訊系統的安全等級需要根據實際情況重新定級；同時，按等級保護2.0要求重新确定資料安全的目标和要求。

根據等級保護2.0要求，營運使用機關或其主管部門在其資訊業務系統實作後，應當依據相應法律、法規和制度要求，選擇符合規定條件和有評測資質的相關機構，定期測評資訊系統的安全等級情況，例如等級保護2.0定義的三級系統，需要至少一年評測一次。在資料生命周期裡，需要不斷地修訂資料安全的标準、制度和流程等，進而不斷提高資訊安全水準，提升資料安全管理和控制能力。

5. 結束語

本文分析等級保護2.0中對資料安全等級保護的要求，從資料安全治理的視角，結合資料全生命周期安全治理涉及的内容，提出依托等級保護2.0的資料安全技術保障體系建設方案，以及相關措施，使得資料在全生命周期中，滿足資料的完整性、保密性、可用性需求，滿足合法、合規要求和資料安全防護需求，確定重要資料安全，為企業資訊系統安全保駕護航。