摘 要
伴随着網絡資訊安全産業集聚式發展，資料安全形勢日益嚴峻，大陸近年來相繼出台多項法律、制度、規定對資料使用進行安全規範。随着政府、企業對資料安全的認知愈加完善，資料安全建設需求也更加強烈。為了進一步完善資料安全防護要素，以分析現有的資料中心資料安全建設落地困難為切入點，結合已有的資料安全治理能力，提出了一種基于資料安全網關的資料防護體系設計，為資料安全建設實踐提供新的方案參考。
内容目錄：
1 資料安全防護現狀
1.1 資料安全問題分析
1.2 資料安全技術研究現狀
2 資料安全防護體系設計
2.1 資料安全網關防護
2.2 資料安全綜合保護
2.3 資料安全監管
2.4 資料全生命周期安全
3 基于資料安全網關的資料安全防護體系應用
4 結 語
資料作為推動經濟社會發展和資料化轉型的主要推動力，社會各界越發重視對資料安全的防護。國務院正式釋出的《“十四五”數字經濟規劃發展》一文中指出：“要求着力強化數字經濟安全體系，提升資料安全保障水準。”資料安全在政府機關、事業機關、普通企業中的地位再一次被提升。
2021 年 9 月，大陸《中華人民共和國資料安全法》（以下簡稱《資料安全法》）出台，為大陸資料安全穩固發展奠定了基礎。《資料安全法》中指出：“支援資料開發利用和資料安全技術研究，鼓勵資料開發利用和資料安全等領域的技術推廣和商業創新，培育、發展資料開發利用和資料安全産品、産業體系……建立集中統一、高效權威的資料安全風險評估、報告、資訊共享、監測預警機制。” 從《資料安全法》中可見，國家鼓勵持續在資料安全防護體系中尋求新的解決方案，以适應複雜多變的資料安全新威脅，滿足大陸在資料戰略、數字中國方面的新要求。是以，加強大陸資訊化建設，資料安全研究尤為重要。本文通過對目前資料安全防護思路進行調研、分析和研究，最終提出一種新的資料安全防護體系并給出在建設中基本的應用方式。
1
資料安全防護現狀
2022 年最新釋出的《國家資料資源調查報告（2021 年）》 中 顯 示，2021 年全球資料總産量達到 67 ZB，大陸資料産量總規模達到 6.6ZB，同比增長了 29.4%，僅次于美國的 16 ZB，位居全球第二位。近 3 年來，大陸資料産量呈井噴式增長，保持每年 30% 左右的增長速度。在各行各業資訊化資料中心，充分展現資料規模大、系統接口多、實時處理要求高、資料互動關系複雜等特點，随之出現的是資料管理混亂、流轉困難、洩露事件頻發、資料價值難以充分挖掘等問題。近年來，資料安全在政、産、學、研、法領域不斷加強交流，需探索資料全治理更加全面的解決思路。
1.1 資料安全問題分析
随着各行各業資料資産規模快速增長，多層次資料之間的互相影響關系也更加複雜，資料面臨的安全威脅也變得多樣化。資料安全問題主要展現為以下 6 點。
1.1.1 敏感資料意外洩露
在資料中心存儲着大量個人敏感資訊或者敏感資料，但由于資料使用規範的缺失、人員的違規操作、資料安全防護技術手段不健全，經常導緻資料在流轉、共享、傳輸過程中遭到意外洩露。Verizon 釋出的《2022 年資料洩露調查報告》中指出，由于資料安全防護整體解決方案的缺失，讓黑客有機可乘，從憑證竊取、網絡釣魚、漏洞利用和僵屍網絡等多種手段非法擷取各類敏感資料。
1.1.2 資料非法通路和濫用
由于不同辨別的資料在資料流轉過程中需要進行分類分級處理，但目前應用系統之間資料流轉普遍存在資料濫用情況，大量高密資料資産、高權限接口、未授權接口被低權限使用者和未授權系統通路。應用系統之間海量資料在流轉、處理、分析過程中如何做到高效、快速的資料權限通路控制，也是各企業在資料安全治理過程中的痛點之一。
1.1.3 資料惡意篡改
内部人員或者黑客攻擊者通過利用系統賬号登入到内網中，非法篡改背景任意資料内容或者資料格式，往往會造成系統癱瘓、資料價值丢失，影響企業正常運作并造成巨大的經濟損失。
1.1.4 資料管理混亂
大量資料的合理性管理，一直是通過海量資料分析、資料挖掘、機器學習等技術進行資料潛在價值提取的前提條件。但由于資料中心各類資料格式類型的不統一、資料量巨大、資料品質參差不齊，直接使用将嚴重影響資料分析結果，資料價值大打折扣。加之外部采集資料中往往容易混雜病毒或者木馬程式，嚴重影響了内網系統的安全。
1.1.5 資料安全防護技能缺乏
由于資料安全防護技術還處于發展期，安全運維人員缺乏資料安全防護技能，企業資料安全防護體系建設的思路普遍不清晰、資料安全防護意識淡薄，導緻企業整體資料安全防護能力低下。
1.1.6 資料安全措施與應用系統結合難度大
資料安全防護的對象為應用系統中的全量資料，在應用系統設計之初對安全問題考慮較少是一種普遍現象，即使設計者在設計前期會從單一問題點出發去解決某一個系統安全問題，但由于缺乏整體資料安全考慮，也會導緻應用系統與資料安全防護措施後期設計融合困難、技術對接難度大、整改時間長等問題，資料安全防護手段被應用系統繞行的情況也常有發生。
1.2 資料安全技術研究現狀
資料安全技術發展是推動資料安全防護能力提升的基礎，越來越多的安全學者對資料安全技術展開研究。資料安全技術一方面把資料作為主體，是實作資料安全保護的核心手段，另一方面為實作資料安全監管、隐私保護的安全措施提供技術支撐。張素芳等人提出了以零信任作為基礎的資料安全解決方案；李雪妮等人 提出了從評估項、評估次元、評估等級分析資料安全治理能力；胡貞華等人從安全保障措施、資料治理安全架構、資料安全管理制度、關鍵資訊資料保護 4 個方面論述資料安全治理措施；彭雅讨論了大資料雲計算環境下資料安全保護方法；高磊等人 以分類分級為切入點，提出一種資料安全治理的思路、原則、方法以及技術架構。不同于上述學者在資料安全方向展開的安全治理技術、資料治理理論的研究，本文着重針對大型資料中心網絡結構複雜、應用系統服務衆多、資料互動困難等痛點，通過研究資料安全網關，設計一種結合資料網關的資料安全防護體系，緻力于解決應用系統與資料安全防護手段結合困難、資料安全治理措施使用率低下等問題。
2
資料安全防護體系設計
資料安全網關是一種從使用者用戶端、資料采集端與提供業務服務的應用系統之間的資料安全防護手段，本文設計的資料安全網關以解耦安全系統與應用系統為目的，提供可靈活擴充的、分布式的、具有資料防護能力的網關系統。資料安全防護不再單單是通過資料安全管理對資料資産進行安全管理，資料中心的資料安全防護需要多元度、多形式對資料全生命周期進行安全治理。結合資料安全網關的資料安全防護體系是利用資料安全治理核心手段，整合資料安全網關關鍵技術，從資料産生到消亡整體考慮資料安全防護方法，具體體系架構設計如下。
如圖 1 所示，本文所闡述的資料安全防護體系從資料安全網關防護、資料安全綜合保護、資料安全監管 3 個安全防護層次與一個安全防護對象進行整體設計，核心防護對象貫穿資料全生命周期，緻力于提高資料安全防護能力。
圖 1 資料安全防護體系
2.1 資料安全網關防護
通過整合傳統資料安全治理部分技術到資料安全網關，主要解決資料安全治理體系與應用系統整合技術壁壘高、實際應用落地困難大等問題。利用資料安全網關在資料進出口對資料的集中控制，通過內建資料安全綜合保護能力，實作全量資料的安全保護，為更進一步提升資料安全治理能力提供支撐。資料安全網關作為多種類型安全能力的聚合接口，內建了身份認證、資料辨別、資料接入控制、流量采集、日志上報、反向代理等功能。資料安全網關能夠實作對外部請求權限的統一控制，對其資料通路進行統一安全政策控制。在資料采集場景，重點解決在大型資料中心結構化和非結構化資料混雜、傳統手段無法完成資料全量管理、管理效率低下問題，通過手動和自動兩種方式對所有接入資料完成分級分類辨別，明确資料的身份屬性、敏感性和重要性，依據分級分類屬性從多元度制定資料流轉保護政策，實作不同級别資料流轉過程中的安全保護。資料安全網關作為内網與外界流量的進出口，針對資料流轉的具體場景制定不同标準的資料安全保護政策，實作資料中心不同業務系統之間，關聯資料流轉過程中對敏感資料進行相應的脫敏、加解密、防洩露檢測處理等保護措施，提高資料使用安全性，同時保護使用者隐私且不降低資料的可用性。
2.2 資料安全綜合保護
資料安全綜合保護作為集中式資料安全治理能力的提供者，由統一身份鑒别、統一安全政策管理、統一通路控制、統一資料脫敏、統一資料防洩露、統一密碼服務和統一安全事件應急處置多個子系統構成，為資料全生命周期安全治理過程中安全需求提供統一、簡便、全面的安全防護服務。針對應用系統資料安全防護需求，提供統一使用者身份鑒别、各類使用者請求和應用請求實作細粒度通路控制；利用資料脫敏系統、資料防洩露系統、資料密碼服務系統為資料在處理或者流轉過程中提供安全防護。針對應用系統内所有系統運作日志、使用者記錄檔、安全日志進行集中采集分析，實作各類日志資訊關聯分析。
2.3 資料安全監管
資料安全防護結果需要直覺地回報給使用者，讓使用者或者安全員快速擷取資料中心存在的安全風險。通過資料流轉溯源記錄資料在整個生命周期内，從生成到消亡處理整個過程，實作對資料流轉過程以全路徑圖形化方式進行追溯。資料安全監控為資料中心提供統一的、高效的海量資料安全審計、綜合安全态勢分析，進而提升資料安全威脅事前防禦、事中告警、事後溯源能力。
2.4 資料全生命周期安全
資料安全防護需要從資料采集、傳輸、存儲、處理、共享和銷毀 6 個過程進行全生命周期防護。在采集階段，需要對采集資料身份和資料内容進行合規性檢測，防止非法來源資料進入内部系統，依據分級分類規則對采集資料實作安全标簽辨別。在傳輸階段，根據資料通路控制政策控制資料傳出、傳入等敏感操作；通過密碼元件結合資料安全政策，利用完整性校驗、不同密碼算法加密保護等手段為資料傳輸過程提供保護。在資料存儲階段，以分級分類結果為基礎對資料進行隔離存放；利用密碼元件實作存儲資料分級分類保護，防止儲存設備遺失導緻資料洩露；制定存儲系統容災備份與恢複機制，防止意外風險導緻資料遺失。在資料處理階段，把資料細粒度通路級别控制作為目标，通過解析通路控制政策與業務請求權限判定結果對業務資料通路阻斷、放行。依據分級分類保護政策完成脫敏、加解密加工處理，杜絕明文處理、存儲引起的資料意外洩露和内外部威脅引發的資料竊取。在資料共享階段，對資料共享、移交、下載下傳等高危敏感操作進行權限判定，依據資料屬性解析結果實作對操作資料的防洩露安全檢查。在資料銷毀階段，對整個資料銷毀過程進行監督；通過采用覆寫式清除模式，防止資料被恢複導緻資訊洩露；對實體媒體采用實體方式進行完全銷毀，最終保證已銷毀的資料不可再恢複。
3
基于資料安全網關的資料安全防護
體系應用
基于資料安全網關的資料安全防護體系的設計，着重點在于充分利用資料安全網關在大型資料中心安全防護體系建設中心側、邊緣側靈活部署的特點，結合統一的資料安全綜合保護能力和安全監管能力，為資料全生命周期提供一種可落地的安全防護思路，如圖 2 所示。
圖 2 資料安全防護體系應用
下面以通用的資料中心應用系統使用場景為例，說明資料安全網關如何在資料安全防護體系中發揮關鍵作用。
整體體系中資料的采集是資料安全防護的第一道關卡，從各終端進行采集後的全量資料流經資料安全網關賦予安全屬性身份，通過實作對全量資料進行自動或者手動強制打标操作，確定每一個資料都具有分級分類屬性，以便在後續資料傳輸、流轉、處理等各個環節中識别資料對象身份，進而提供細粒度的安全防護措施。資料中心及各網點應用系統業務請求經過資料安全網關實作統一的權限認證，資料安全網關關聯本機安全性授權調用統一認證服務、政策管理服務，根據預置的安全政策對使用者身份、請求類型、資料類型進行分析，判定每一次使用者請求的合法性，判别資料通路請求主體、客體、動作和結果的合規性。根據政策管理伺服器制定的資料安全保護政策及安全防護裝置的靈活運用，使用者請求資料在應用系統之間流轉之前，通過資料分級分類屬性與安全通路政策結合分析結果實作對敏感資料脫敏、防洩露、加密等安全手段保護，最終形成一套縱深動态防禦體系，形成授權、認證、隔離、安全保護（脫敏、防洩露、加解密等）多層次資料安全威脅防禦體系。資料安全網關作為整個體系的“安全守衛”，資料中心内部應用系統的所有應用程 序 接 口（Application Programming Interface，API）都不會再對外暴露，由安全網關實作統一的 API 安全性保護，根據通路請求權限動态判決結果，決定是否将請求路由到後端應用系統。首先，利用資料中心流量資訊、業務系統與安全系統運作日志、關系型與非關系型資料庫操作資訊、硬體裝置運作資訊實作全量采集；其次，資料安全網關關聯應用系統與安全防護裝置統一上報資訊給資料安全風險分析區，實作資料流轉溯源分析、資料操作風險審計、資料異常告警與威脅阻斷、安全态勢實時展示，為大型資料中心提供一套無監管的資料安全防護解決方案。
4
結 語
資料安全作為數字時代發展的核心要素，為創新資料開發利用保駕護航，需要持續對資料安全體制、技術、标準深化研究，才能實作大陸建設數字中國的宏偉目标。本文針對目前業務資料使用過程中普遍存在的問題以及資料安全治理落地困難等問題進行分析，從應用系統建設和資料安全防護建設融合出發，提出了一種結合資料安全網關應用的資料安全防護體系設計，并說明該體系中資料安全防護能力應用模式，提升資料精準管控、動态授權、全量安全治理能力，為大型資料中心實施資料安全保護提供一種可行的解決新思路。
引用格式：趙思宇 , 唐晉 , 劉曉毅 , 等 . 基于資料安全網關的資料安全防護體系研究 [J]. 資訊安全與通信保密 ,2023(4):105-112.
作者簡介 >>>
趙思宇，男，碩士，工程師，主要研究方向為資料安全、雲計算安全；
唐 晉，男，碩士，進階工程師，主要研究方向為資料安全、資訊安全；
劉曉毅， 男， 碩 士， 高 級 工程師，主要研究方向為雲計算、大資料和資訊安全；
尚 旭，男，碩士，進階工程師，主要研究方向為雲計算、資訊安全；
林琦力，男，學士，工程師，主要研究方向為雲計算安全、網絡安全。
選自《資訊安全與通信保密》2023年第4期（為便于排版，已省去原文參考文獻）