近日，以“計算，為了無法計算的價值”為主題的2023云棲大會在杭州云棲小鎮(zhèn)舉辦，本次大會共設(shè)置2大主論壇、3個主題展館，呈現(xiàn)500余場并行話題。在云環(huán)境數(shù)據(jù)風險態(tài)勢管理實踐的話題分享中，安恒信息高級副總裁鄭赳分享了安恒信息為杭州亞運會提供數(shù)據(jù)安全保障的經(jīng)驗。

亞運數(shù)據(jù)安全防護中面臨5大防護難點：

1、 敏感數(shù)據(jù)廣泛分布在各個涉亞信息系統(tǒng)中，底數(shù)不清，分布不明。

2、 運維人員多，身份復雜，數(shù)據(jù)訪問權(quán)限控制難。

3、 系統(tǒng)間數(shù)據(jù)共享頻繁。數(shù)據(jù)系統(tǒng)間業(yè)務數(shù)據(jù)交互量大，泄露風險大。

4、 數(shù)據(jù)使用監(jiān)控難度大，數(shù)據(jù)泄露事件感知、監(jiān)控、溯源難度大。

終端訪問、辦公場景接入終端多，人員雜，敏感文件數(shù)據(jù)泄露風險大。

一、敏感數(shù)據(jù)發(fā)現(xiàn)與梳理

涉亞49個核心業(yè)務系統(tǒng)大量異構(gòu)數(shù)據(jù)源，多種數(shù)據(jù)庫中的結(jié)構(gòu)化和非結(jié)構(gòu)化數(shù)據(jù)。其中票務、注冊中心等業(yè)務系統(tǒng)中含有大量運動員、注冊人員、觀眾、工作人員等個人信息敏感信息。

整體設(shè)計規(guī)劃上：安恒信息結(jié)合數(shù)安法、個人信息保護法等上位法要求，結(jié)合北京奧運會、G20峰會、成都大運會等過往重保成功經(jīng)驗，制定了一套契合杭州亞運會現(xiàn)狀的《重大賽事數(shù)據(jù)安全分類分級標準》，作為系統(tǒng)化梳理全量數(shù)據(jù)的標準規(guī)范。

技術(shù)保障上：將云與數(shù)據(jù)安全深度耦合，通過與阿里云賬號體系的打通，全面對接ODPS、RDS、OSS等云上服務模塊，做到資產(chǎn)的自同步。同時引入AI大模型進行敏感數(shù)據(jù)建模，通過大量數(shù)據(jù)的學習，敏感數(shù)據(jù)精確識別率達到95%以上。

后續(xù)應用上：將敏感數(shù)據(jù)精確識別、分類分級后，會基于等級進行敏感數(shù)據(jù)打標，為后續(xù)數(shù)據(jù)安全防護與監(jiān)測奠定基礎(chǔ)，不同等級的敏感數(shù)據(jù)后續(xù)在跨系統(tǒng)調(diào)用、人員讀取時進行不同等級的管控措施。同時打通分類分級與其他數(shù)據(jù)安全產(chǎn)品，實現(xiàn)直接把分類分級的結(jié)果同步給像脫敏、網(wǎng)關(guān)等其他數(shù)據(jù)安全能力設(shè)備，作為下一步處置的基礎(chǔ)條件。

二、數(shù)據(jù)資產(chǎn)運維安全

本次亞運會合作商眾多，涉及不同維度、多層面的系統(tǒng)維護保障工作，數(shù)據(jù)范圍十分廣泛。因此需要負責開發(fā)運維的人員也繁多，因此如何精準管控運維動作、實時發(fā)現(xiàn)高峰風險操作并能夠及時處理將會變得十分關(guān)鍵。

針對數(shù)據(jù)資產(chǎn)運維安全，安恒信息構(gòu)建起“身份權(quán)限管控+數(shù)據(jù)處理管控”的雙重保障機制。一方面，運維人員全部要通過浙政釘掃碼登陸，進行身份認證，獲取唯一的權(quán)限賬號，保證專人、專賬號、專權(quán)限，一旦發(fā)生問題，能夠快速定位人員進行精準回溯。另一方面，通過數(shù)據(jù)安全安全網(wǎng)關(guān)對于通過SQL語句對數(shù)據(jù)庫進行的操作進行細顆粒度管控，結(jié)合前面場景講到的分類分級結(jié)果的同步，針對高敏感數(shù)據(jù)的運維操作進行風險告警或向上審批的不同防護機制。同時實現(xiàn)操作過程錄像、操作命令記錄、傳輸文件備存等功能，便于后期全面審計溯源。

三、數(shù)據(jù)共享交換安全

當前產(chǎn)業(yè)數(shù)字化發(fā)展如火如荼，數(shù)據(jù)的傳遞也從1.0階段的表格復制共享，到2.0階段的前置機文件共享交換，慢慢到3.0階段通過API接口進行調(diào)用。因此如何加強對于API的監(jiān)控，對于數(shù)據(jù)安全的管控來說異常關(guān)鍵。

為做好數(shù)據(jù)的交換管控：首先方案中先對于API接口資產(chǎn)進行精確識別，通過對報文頭的檢測有效區(qū)分URL靜態(tài)地址與Restful API接口資產(chǎn)，防止出現(xiàn)大量無效告警，影響運維人員的判斷；其次對于API接口調(diào)用流量進行雙向識別，通過與分類分級能力的打通，對于回包流量中的敏感數(shù)據(jù)進行精確定位；同時，安恒信息通過與阿里云的深度合作解決了云上租戶業(yè)務引流的難題，通過與阿里云ODPS的對接，實現(xiàn)了無agent情況下的流量解析分析。

四、辦公網(wǎng)數(shù)據(jù)防泄漏

辦公網(wǎng)場景是最容易發(fā)生數(shù)據(jù)泄露的場景之一。辦公網(wǎng)涉及人員眾多，場館辦公場所條件不一，導致辦公網(wǎng)的管控措施難以有效落地。針對此場景，我們首先進行了泄露路徑的盤點，主要分兩大類，一類是通過網(wǎng)絡流量側(cè)的泄露（如：IM軟件、郵件等），另一類是終端側(cè)的泄露（如：U盤、移動硬盤等外設(shè)，以及攝屏）。緊接著便基于不同的路徑進行針對性措施加以管控，網(wǎng)絡側(cè)封堵各類即時通訊軟件發(fā)送模式，基于郵件的發(fā)送做好流量審計；終端側(cè)通過一體化終端辦公組件的加持，對接入用戶進行認證、殺毒和外接終端的安全監(jiān)測。同時通過暗水印的方式做好屏攝的回溯審計，有效震懾此類泄露行為。

除了對于外泄途徑的管控，辦公網(wǎng)場景方案還進行了防護左移，終端用戶接入賽事AGIS專網(wǎng)之前，除了通過浙政釘進行身份認證以外，還通過agent進行了終端環(huán)境的安全感知，檢查終端運行狀態(tài)，評估運行環(huán)境達到安全要求后，才會基于權(quán)限放開后端應用的訪問。

五、數(shù)據(jù)安全監(jiān)測與審計

前面分類分級、運維、共享交換、辦公網(wǎng)是整個亞運安保過程中最重要的幾個細分場景，那如何將亞運數(shù)據(jù)安全態(tài)勢做整體呈現(xiàn)？這時候就要發(fā)揮整體監(jiān)測審計的能力了，通過數(shù)據(jù)安全管控平臺與各數(shù)據(jù)安全探針的對接，能夠?qū)鲳^側(cè)、賽事側(cè)、供應鏈服務商側(cè)的數(shù)據(jù)安全狀態(tài)進行一體化展示，真正的做到了數(shù)據(jù)安全風險態(tài)勢的一屏通覽。

通過數(shù)據(jù)的匯集，也可以從最前端用戶通過應用對數(shù)據(jù)的調(diào)用動作，到通過應用中間件對相應API接口發(fā)起訪問，到最終通過SQL語句對于數(shù)據(jù)庫落盤數(shù)據(jù)進行訪問的全鏈條數(shù)據(jù)行蹤鏈進行梳理，真正做到數(shù)據(jù)全生命周期的血緣分析，理清風險脈絡。同時數(shù)據(jù)安全管控平臺也可以通過與探針的對接，基于風險類別，一鍵下發(fā)處置策略，高效完成數(shù)據(jù)安全風險的操作閉環(huán)。