数据安全运营：难点突破与构建策略全解析

小型企业关注基础安全运营，重点把安全产品“管好”和“用好”。大型企业通过SOC平台（安全运营中心）把所有安全产品串联起来，对大量的日志进行关联分析，发现事件和告警。通过SOAR平台把运营工作中能“自动化”内容进行预案编排，缩短响应时间，提升处置效率。

整体上属于网络安全运营范畴，关注网络安全攻防、流量监测、事件处置、应急响应等事情。

把网络安全运营的概念理解清楚，为后面“数据安全运营”工作做好铺垫和区分，网络安全仍然是基础，需要努力做好。

“以数据为中心”的数据安全运营总体上属于比较新概念，在整体设计时避免陷入“网络安全运营”的建设思路，到底该如何做好，本文尝试提出一些初步探索思路。

研究数据安全运营前，有必要把网络安全运营中重点内容分析清楚，下面是梳理后一些参考点：

中国信息安全测评中心官网对信息安全服务资质申请时，其中对安全运营有明确要求，要求申请该服务资质的企业，应该具备十二项“信息安全运营过程能力”，具体见下图：

中国网络安全审查认证对安全运维服务资质认证中，明确提出相关要求，包括：技术实施安全评估、技术实施安全加固、安全漏洞补丁通告、安全事件响应、信息安全运维咨询、信息系统的安全运维工作、修复安全隐患等内容。

CISSP作为安全领域的最专业认证，认证教材CISSP官方学习指南（OSG）第8版“安全运营”也是最核心的知识域之一，对其中内容进行详细学习，可分类三类：

理解安全运维与安全运营的区别非常重要，结合工作经验和理解，整理相关区别如下：

适合小规模企业，没有专业安全人员，关注基础安全产品的运行维护，包括安全巡检、配置核查、设备检查、产品升级、补丁更新、规则库更新等内容，目标是保障信息系统的稳定运行，涉及安全资产正确有效防护。

通常以人工为主，对已部署的安全产品进行基础的使用和管理，即“用好”和“管好”，没有各安全产品的联动分析，一般没有统一的分析平台。个人认为该项工作从落地实践看，非常有价值，属于必须要做的事情，就算大型企业也需要落实好。

企业达到一定规模后，大量的事情无法全靠手工执行，需要提升工作效率。

安全运营以“人”“流程”“工具”为核心。通过梳理安全运营中典型流程，通过平台工具进行统一管控、统一策略管理，把各安全产品日志进行综合分析，形成联动分析，整体检测风险、发现预警事件，对企业的整体安全态势进行分析，提升整体效率。

安全运营会涉及专业安全能力，比如安全攻防能力、应急处置能力、灾难恢复能力，均需要专业的人才，出现问题时需要专业人才去解决问题。

工作内容上看，除了安全巡检、资产管理、补丁管理外，需要专业的渗透测试、安全风险评估、威胁管理、情报分析等内容。另外运营需要建立运营指标，把指标进行量化，体现安全运营的价值，比如提升效率、赋能业务、减少风险带来的损失等。

网络安全运营关注网络安全产品、安全事件、应急响应等，从安全日志、网络流量中发现攻击事件，关注对象是网络、信息系统的CIA目标。

数据安全运营关注数据层面的CIA,与业务合规和数据合规强关联。除了基础安全运营外，个人认为重点关注内容如下：

通过网络安全手段可能无法防范数据泄漏，或者泄漏了都不知道。现在反馈的数据泄漏情况，可能数据很早之前就泄漏，并不是实时泄漏，也无法实时溯源。

数据安全运营面目的是保护数据的CIA,如何监测数据泄漏情况，目前面临较多困境，如下：

防护手段不足。数据库审计、日志审计、脱敏等安全产品无法有效防止数据泄漏，通常是单点考虑问题。
监测预警能力不足，缺少数据层面的监测。比如正常用户的非法窃取、员工安全意识淡薄大量无意识的泄漏，业务、数据管理流程不完善，该下线接口未下线。缺少从数据层面全链路的监测。
人接触数据的场景太多太复杂。任何一点出现问题都将导致数据泄漏，尤其是无意识的泄漏。
数据安全人才综合能力要求太高。缺少缺少业务思维，数据敏感度低，无法从网络视角切换到以数据为中心视角。
没有通用型的解决方案。数据安全行业属性明显，没有一套“网络安全”通用的解决方案，需要结合业务特点进行定制。