【安全每日一讲】加强数据安全保护共享数字化时代便利

前言

数据安全是数据治理的核心内容之一，随着数据治理的深入，我不断的碰到数据安全中的金发姑娘问题（指安全和效率的平衡）。

DAMA说，降低风险和促进业务增长是数据安全活动的主要驱动因素，数据安全是一种资产，这是很好的观点。

所以小德决定系统化的去学习一下数据安全知识，因此重新研读了DAMA、DCMM、相关书籍的数据安全内容，在此基础上，尝试用更系统化、通俗化、案例化的方式讲清楚数据安全到底是什么，希望带给大家新的理解。

数据安全是什么
- 数据安全的定义

数据安全是指保护数字数据免受未授权访问、泄露、破坏或丢失的过程和技术。这包括一系列的措施、策略和程序，旨在保护数据的保密性、完整性和可用性。

如果数据是家中的珍贵物品，数据安全就像是锁门、安装报警系统和保险，确保宝贵的东西不被偷走或损坏，同时确保你在需要时能够使用它们。

- 数据安全的原则

DAMA给出了数据安全的原则，共包括6个方面：

协同合作。数据安全是一项需要协同的工作，涉及IT安全管理员、数据管理专员/数据治理、内部和外部审计团队以及法律部门。
企业统筹。运用数据安全标准和策略时，必须保证组织的一致性。
主动管理。数据安全管理的成功取决于主动性和动态性、所有利益相关方的关注、管理变更以及克服组织或文化瓶颈，如信息安全、信息技术、数据管理以及业务利益相关方之间的传统职责分离。
明确责任。必须明确界定角色和职责，包括跨组织和角色的数据“监管链”。
元数据驱动。数据安全分类分级是数据定义的重要组成部分。
减少接触以降低风险。最大限度地减少敏感/机密数据的扩散，尤其是在非生产环境中。

如果侧重于数据本身的安全属性，数据安全的原则应包括保密性、完整性和可用性，统称为CIA三元组。

保密性：确保数据只对授权用户可见和可访问。
完整性：保护数据免受未授权的修改，确保数据的准确性和可靠性。
可用性：确保在需要时，授权用户能够访问和使用数据。

想象一个团队运动，比如足球，每个球员（数据用户）需要知道如何保护球（数据）不被对手（威胁）夺走，传球（处理数据）要精确，而且整个队伍（组织）需要一起努力保持球的控制（数据安全）。

- 数据安全活动的目标

根据DAMA定义，数据安全活动目标，主要包括以下三个方面:

支持适当访问并防止对企业数据资产的不当访问。
支持对隐私、保护和保密制度、法规的遵从。
确保满足利益相关方对隐私和保密的要求。

数据安全的主要风险

- 是数据资产梳理不清和分级分类不准带来的安全死角问题

参与流通的数据形态日益丰富，数据资产梳理和分类分级难度加大，极易产生安全死角。传统的数据分析方法和工具难以从非结构化数据中识别信息内容和重要程度，在规则制定方面，各地区各部门对数据分类分级制度的定位和规则存在差异，同时，数据的类别级别需要结合业务场景进行动态调整，在不同场景下的等级认定以及相应的管控或处理技术可能不同，数据分类分级的持续性难以保持。

- 是数据泄露风险是当今突出的数据安全问题

在数据使用过程中，数据泄露风险是目前重要的数据安全问题。在数据大量流动和使用的过程中，可能会因为网络安全漏洞或人为失误而导致数据泄露。例如，黑客或不法分子可能会通过攻击系统窃取业务数据和用户数据，并用于恶意目的。

- 是数据滥用风险是急需治理的数据安全问题

数据滥用风险也是当前数字经济发展急需治理的数据安全问题之一。数据滥用风险是数据收集者不当使用所收集的数据的风险。伴随着数字经济逐步渗透至各种生活场景，用户信息被大量收集。

- 是场景化应用的数据安全风险

场景化业务应用”作为推进数字化变革的重要应用载体，在“场景化”开发过程中常会碰到因为安全因素考虑不够周全或者缺失或者存在业务逻辑缺陷等导致的自身安全风险，同时也会带来诸如恶意破解、核心代码被窃取、恶意代码注入、数据泄露、内容篡改、互动关联、认证风险等一些列安全问题。

- 是数据共享交换的数据安全风险

数据要素市场建设加速推动了数据共享、交易和使用，尤其在数字政府建设过程中，数据来源多样、权属不同，且为了实现“让数据多跑腿、百姓少跑路”的目标，对数据共享的需求十分强烈。这导致在数据采集、共享、传输、应用过程中涉及非常多的主体，容易导致数据安全管理责任不清晰。而且由于各个政府部门，特别是基层单位的防护能力参差不齐，在共享过程中一旦薄弱部位被利用，就可能引发全局渗透风险。同时，由于数据流转链路增长，也进一步加大了数据流向和使用追踪难度。

- 是数据API化的数据安全风险

在共同建设信息基础设施、融合基础设施及创新基础设施的背景下，需要连通不同类型的设施和应用，使得各类数据、算力和功能够在不同的区间内，形成高效共享，API作为能够支撑线上应用连接和数据传输重任的一种轻量化技术，其应用越来越普遍。由API传输的核心业务数据、个人身份信息等数据的流动性，大大增强，因此这些数据面临着较大的泄漏和滥用风险，成为数据保护的薄弱一环，外部恶意攻击者会利用API接口批量获取敏感数据。从“数字生态”角度看，目前数据的交互、传输、共享等往往有多方参与，涉及到用户、应用方、关联方等多个主体，由此使得数据泄露风险点激增，风险环境愈发复杂。