▲最佳實踐獎
政務(wù)大數(shù)據(jù)安全建設(shè),難在哪里?
隨著數(shù)據(jù)快速觸及世界各個角落,由數(shù)據(jù)引發(fā)的安全風險也愈演越烈,數(shù)據(jù)泄漏事件不斷攀升。2019年,全球數(shù)據(jù)泄露成本在過去5年中已上升12%,數(shù)據(jù)泄漏平均成本高達392萬美元。
政務(wù)大數(shù)據(jù)關(guān)系社會民生,數(shù)據(jù)流轉(zhuǎn)交換過程復(fù)雜,其數(shù)據(jù)安全保障難度更大:
1. 數(shù)據(jù)資產(chǎn)規(guī)模大、高度分散,難管理
政務(wù)數(shù)據(jù)資分散存儲在市各區(qū)縣、各部門的“孤島”上,部分業(yè)務(wù)數(shù)據(jù)零星的分布在各用戶終端設(shè)備上,其數(shù)據(jù)資產(chǎn)規(guī)模大、高度分散,管理方式各不相同。全局數(shù)據(jù)資產(chǎn)模糊,導(dǎo)致決策者、數(shù)據(jù)資產(chǎn)管理部門、信息安全與運維部門無法從全局上掌握重要數(shù)據(jù)分布、業(yè)務(wù)數(shù)據(jù)的變化、高價值數(shù)據(jù)使用情況、數(shù)據(jù)與賬號及業(yè)務(wù)關(guān)聯(lián)等數(shù)據(jù)核心管理信息。數(shù)據(jù)資產(chǎn)管理處于混沌狀態(tài),無法對數(shù)據(jù)資產(chǎn)進行有效管理和有針對性的對高價值數(shù)據(jù)制定合適的安全防護策略。
2. 數(shù)據(jù)生命周期內(nèi)重重風險
數(shù)據(jù)在采集、傳輸、存儲、處理、共享流轉(zhuǎn)等全生命周期的多個階段,面臨重重安全風險。例如,政務(wù)大數(shù)據(jù)在各部門、用戶處采集時,面臨數(shù)據(jù)源偽造、數(shù)據(jù)在前置機等環(huán)節(jié)泄露、數(shù)據(jù)中隱藏攻擊指令等風險;在政務(wù)外網(wǎng)、專網(wǎng)、互聯(lián)網(wǎng)中傳輸時,面臨傳輸數(shù)據(jù)監(jiān)聽泄密、中間人攻擊的風險;數(shù)據(jù)在政務(wù)大數(shù)據(jù)平臺存儲時,面臨著漏洞和基線配置安全隱患,導(dǎo)致內(nèi)部運維、外部開發(fā)人員竊取、破壞數(shù)據(jù)的風險,以及外部攻擊入侵的風險;在數(shù)據(jù)內(nèi)部使用和向外部共享階段,也存在內(nèi)部和第三方人員惡意操作、數(shù)據(jù)調(diào)用接口濫用、數(shù)據(jù)共享外發(fā)泄密等風險;數(shù)據(jù)銷毀階段,則面臨數(shù)據(jù)在內(nèi)存或硬盤中存在殘留,造成數(shù)據(jù)泄密的風險。而這些風險,極易導(dǎo)致含有關(guān)鍵業(yè)務(wù)數(shù)據(jù)和個人信息的政務(wù)大數(shù)據(jù)遭遇泄密、丟失、破壞等事故。
3. 數(shù)據(jù)安全建設(shè)碎片化
為了保障大數(shù)據(jù)資產(chǎn)和大數(shù)據(jù)系統(tǒng)的安全,傳統(tǒng)方法中,需要部署數(shù)據(jù)訪問控制、脫敏、加密、審計、脆弱性掃描、敏感數(shù)據(jù)發(fā)現(xiàn)等多種硬件設(shè)備或軟件模塊。部署成本高,實施周期長,并且難以橫向擴展。同時,各數(shù)據(jù)安全設(shè)備、模塊間,數(shù)據(jù)保護策略規(guī)則同步困難,日志難以集中分析,無法通過關(guān)聯(lián)分析發(fā)現(xiàn)潛在的數(shù)據(jù)安全問題,也不能對數(shù)據(jù)安全態(tài)勢進行集中呈現(xiàn),無法為下一步數(shù)據(jù)安全建設(shè)提供支撐。安全建設(shè)的碎片化,使得數(shù)據(jù)安全技術(shù)手段部署運維困難,難以有效運轉(zhuǎn),導(dǎo)致數(shù)據(jù)安全建設(shè)目標難以達成。
4. 大數(shù)據(jù)共享交換缺乏規(guī)范,權(quán)責不清
大數(shù)據(jù)共享交換過程中,存在多方參與,共享交換過程中,各環(huán)節(jié)缺乏完備的數(shù)據(jù)安全防護、審計、檢測、溯源技術(shù)手段,以及統(tǒng)一的大數(shù)據(jù)安全標準規(guī)范,導(dǎo)致政務(wù)數(shù)據(jù)整合、共享、利用中,數(shù)據(jù)提供方、數(shù)據(jù)采集共享方、數(shù)據(jù)使用方各方無法評估其他參與方的數(shù)據(jù)安全能力,致使數(shù)據(jù)提供方不敢提供數(shù)據(jù),數(shù)據(jù)采集共享方不敢接收、存儲、共享數(shù)據(jù),數(shù)據(jù)使用方不敢調(diào)取、使用數(shù)據(jù)。進而阻礙數(shù)據(jù)共享、歸集進程,影響智慧政務(wù)建設(shè)。
構(gòu)建政務(wù)大數(shù)據(jù)交換全生命周期安全
1. 數(shù)據(jù)資產(chǎn)全面梳理評估
大數(shù)據(jù)安全始于大數(shù)據(jù)資產(chǎn)梳理。大數(shù)據(jù)資產(chǎn)梳理是數(shù)據(jù)訪問控制、脫敏、加密、追蹤審計等所有數(shù)據(jù)安全控制措施的基礎(chǔ)。通過對數(shù)據(jù)資產(chǎn)的梳理,可以確定敏感性數(shù)據(jù)在系統(tǒng)內(nèi)部的分布、確定敏感數(shù)據(jù)是如何被訪問的、確定當前的賬號和授權(quán)的狀況。根據(jù)本單位的數(shù)據(jù)價值和特征,梳理出本單位的核心數(shù)據(jù)資產(chǎn),對其分級分類,在此基礎(chǔ)之上針對數(shù)據(jù)的安全管理才能確定更加精細的措施。數(shù)據(jù)資產(chǎn)梳理主要包括數(shù)據(jù)靜態(tài)梳理、數(shù)據(jù)動態(tài)梳理、進行數(shù)據(jù)安全分級、敏感數(shù)據(jù)識別等方面的工作。
2. 風險驅(qū)動的大數(shù)據(jù)全生命周期安全防護
深入開展基于數(shù)據(jù)交換共享和業(yè)務(wù)系統(tǒng)應(yīng)用的全生命周期流程分析與策略梳理,利用差距分析方法與《數(shù)據(jù)安全技術(shù) 信息系統(tǒng)安全等級保護基本要求》(GB/T22239-2008)、《數(shù)據(jù)安全技術(shù)云計算服務(wù)安全能力要求》(GB/T 31168-2014)、《數(shù)據(jù)安全技術(shù)大數(shù)據(jù)服務(wù)安全能力要求》(GB/T 35274-2017)等規(guī)范和標準進行比對分析,確定大數(shù)據(jù)全生命周期每一階段安全風險。針對安全風險,對數(shù)據(jù)生命周期每一階段制定安全加固策略,利用數(shù)據(jù)分級分類、身份認證、訪問控制、數(shù)據(jù)庫安全審計、異常行為監(jiān)測預(yù)警、數(shù)據(jù)加密、數(shù)據(jù)脫敏、數(shù)據(jù)防泄漏等數(shù)據(jù)安全技術(shù)手段,來保證數(shù)據(jù)全生命周期的保密性、完整性、可用性。
3. 數(shù)據(jù)安全能力一體化交付和全局可視可控能力
針對傳統(tǒng)數(shù)據(jù)安全建設(shè)碎片化,建設(shè)實施時間長,成本和復(fù)雜度高,難以聯(lián)動的痛點,基于軟件定義安全理念,利用虛擬化技術(shù),將數(shù)據(jù)安全設(shè)備、組件以軟件形式實現(xiàn),承載在一體化基礎(chǔ)平臺上。并通過數(shù)據(jù)安全資源管理編排平臺,實現(xiàn)組件按需快速部署,自定義編排。從而可以基于大數(shù)據(jù)安全需求,靈活構(gòu)建大數(shù)據(jù)安全保護體系,大大降低數(shù)據(jù)安全的交付實施難度和成本。并通過數(shù)據(jù)安全權(quán)限、策略統(tǒng)一下發(fā),組件模塊日志集中關(guān)聯(lián),實現(xiàn)對數(shù)據(jù)安全控制手段的統(tǒng)一管理和數(shù)據(jù)安全態(tài)勢的統(tǒng)一呈現(xiàn)。最終從建設(shè)部署、交付運維、安全運營多維度整合數(shù)據(jù)安全能力,滿足數(shù)據(jù)安全建設(shè)目標。
▲深信服XSec集成安全平臺具備快速編排能力
4. 數(shù)據(jù)安全合規(guī)和共享交換權(quán)責劃分建設(shè)
按照國家網(wǎng)絡(luò)安全法和網(wǎng)絡(luò)安全等級保護制度等法律法規(guī)的要求,基于《數(shù)據(jù)安全管理辦法》(征求意見稿)、《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護基本要求》(GB/T 20984-2019)、《信息安全技術(shù) 云計算服務(wù)安全能力要求》(GB/T 31168-2014)、《信息安全技術(shù) 大數(shù)據(jù)服務(wù)安全能力要求》(GB/T 35274-2017)等政策標準,完善電子政務(wù)的大數(shù)據(jù)安全保障體系,實現(xiàn)大數(shù)據(jù)交換平臺建設(shè)不低于網(wǎng)絡(luò)安全等級保護制度三級要求,數(shù)據(jù)運行和管理的安全建設(shè)不低于數(shù)據(jù)安全能力成熟度模型三級要求的目標。并基于大數(shù)據(jù)共享交換業(yè)務(wù)角色劃分和各方安全責任,制定大數(shù)據(jù)共享交換統(tǒng)一安全要求,定義大數(shù)據(jù)共享交換過程中各參與角色,根據(jù)業(yè)務(wù)角色劃分數(shù)據(jù)安全權(quán)責義務(wù)。
▲深信服政務(wù)大數(shù)據(jù)安全建設(shè)方案
整體而言,深信服政務(wù)大數(shù)據(jù)安全建設(shè)方案,通過大數(shù)據(jù)安全一體機,一體化承載多種數(shù)據(jù)安全組件,形成政務(wù)大數(shù)據(jù)全生命周期保護和數(shù)據(jù)安全可視可控能力。同時,建立健全的數(shù)據(jù)安全管理制度、數(shù)據(jù)安全合規(guī)制度和共享交換權(quán)責劃分,實現(xiàn)更加安全地大數(shù)據(jù)安全管理和交換。
吉首市|
永新县|
陆丰市|
盐池县|
丰镇市|
开鲁县|
仙游县|
扎囊县|
饶阳县|
武汉市|
勃利县|
科尔|
胶州市|
阿巴嘎旗|
南昌市|
西华县|
西城区|
鄂伦春自治旗|
四会市|
布尔津县|
类乌齐县|
务川|
横峰县|
龙江县|
东明县|
南宁市|
湖州市|
饶阳县|
岳阳县|
普洱|
河北省|
胶南市|
和顺县|
台山市|
沈阳市|
沂南县|
贵港市|
越西县|
石城县|
济宁市|
九江市|
