數據安全復合治理實踐與治理科技

近年來，以數據為關鍵生產要素的數字經濟蓬勃發展，在給人們生產、生活帶來便利的同時，數據泄漏、數據濫用等數據安全事件也頻頻發生。數據安全風險與日俱增，對國家安全、社會穩定、組織權益、個人隱私安全都造成了嚴重威脅。國家層面陸續出臺了《網絡安全法》《數據安全法》《個人信息保護法》等基本法規，并制定了一系列配套政策法規、標準規范等，加強對企業在數據安全工作中的國家監督、政策保障與行政指導。同時，越來越多的企業和組織也充分意識到數據安全治理工作的重要，在數據安全治理體系建設與治理實踐方面進行了諸多探索，沉淀了一定程度的治理經驗和能力，但由于數據安全與實際業務結合緊密，因此企業和組織在開展數據安全工作時，需要一套安全與業務復合、管理與技術復合的復合治理模式。

一、數據安全復合治理模式

數據安全復合治理模式，強調系統性、落地性，對治理框架搭建中戰略、管理和技術進行統籌規劃設計，形成基線設定、心智運營、原生設計、安全度量、可證溯源、紅藍對抗、測評認證等豐富的治理環節，強化治理過程中的聯動，將安全與業務復合、管理與技術復合，發生化學反應，形成有機整體，充分發揮復合協同效能。數據安全復合治理模式的特點可以概括為：戰略層面要求戰略要位，運營管理層面強調實戰牽引、全員參與，治理科技層面強化技術破局。

戰略要位，強調從戰略高度明確數據安全對于組織生存發展的重要意義，完善數據安全頂層設計，形成組織層面對于數據安全重要性和必要性的一致共識，并明確數據安全第一責任人機制和管理部門對數據安全行為的獎懲權責。其次，應制定完備的管理制度和規范體系，實現安全要求清晰明確、安全治理有章可循。同時，應建立由上而下、覆蓋全員的數據安全治理組織架構，并通過設立數據安全接口人等創新機制進一步加強各層級、各部門的溝通協調與工作協同。此外，應重視對技術研發進行科學規劃、持續投入和資源保障，推動重要技術落地應用。

實戰牽引，強調實戰化紅藍對抗、頭部風險治理和管控效果的精確度量來牽引整體治理工作落地。全員參與強調豐富、活潑的心智運營活動設計，充分調動全員主動參與積極性，實現不同特點人群的精確觸達。復合治理模式下的數據安全運營管理以可執行安全基線、互動式心智運營、原生式數據保護、多視角安全度量、可自證溯源處置為基礎，結合內外部測評認證與紅藍演練的全局機制，搭建起豐富的數據安全治理環節，并強化治理過程中各環節之間的串聯、互補、聯動與反饋，實現治理能力的復合疊加、持續優化。

技術破局，強調依托系統、算法、數據和產品方面的科技能力創新，實現新形勢下針對無法通過人工、協議達成數據安全治理目標難題的破局，促進數據安全治理工作的提質增效。復合治理模式下的數據安全治理科技以安全平行切面、密碼基礎設施、安全可信環境、終端安全等系統能力，數據識別、數據血緣圖譜、異常訪問檢測等算法能力，以及準實時精準檢索、壓縮索引、異構數據提取等數據能力作為底層基礎能力，從全息資產畫像、深度安全防護、智能安全運營、隱私保護與隱私計算等領域構建全方位、體系化的產品能力，為數據安全復合治理提供技術支撐。

二、數據安全治理科技能力

對文件數據中的敏感信息，螞蟻集團通過全息資產畫像、數據流轉鏈路刻畫等安全科技能力，對文件中的敏感數據識別和流轉鏈路進行刻畫，并結合文件畫像和分發態勢等數據，對異常下載與分發等行為進行識別管控。

在數據治理實踐過程中，螞蟻集團逐步打磨沉淀了安全治理科技能力，包括全息資產畫像、數據流轉鏈路刻畫、安全平行切面等技術。

全息資產畫像，關注數據資產的識別和數據的分類分級問題，通過對數據實體－關系－行為的 ERB 數據集市構建，以及數據自動掃描識別和分類分級，為數據安全治理提供數據資產管理的基礎能力。全息資產畫像的基本框架可劃分為數據底盤層、數據能力層和數據分析應用層三個層次。數據底盤層是全息資產畫像的基礎，主要功能是構建資產實體（Entity）－資產關系（Relation）－資產行為（Behavior）的 ERB 數據集市，為數據能力建設提供基礎輸入，資產通常包括數據資產、數據可能流經的應用資產和基礎設施資產等。數據能力層是全息資產畫像的核心，聚焦于對資產認知能力的建設，包括數據分類分級和資產知識圖譜的建設。數據分類分級依托于數據自動化掃描和檢測能力，對數據資產進行定期掃描巡檢，并利用規則匹配和機器學習等方法，自動檢測敏感信息。結合數據所有者、業務屬性、數據血緣等信息，參照數據分類分級管理要求，對敏感信息進行定級。通過構建數據資產與數據使用方之間的聯系，推動數據使用方在數據使用過程中（如數據資產上架、權限申請等環節），對分類分級結果進行主動反饋，進一步提升敏感數據識別與分類分級的準確性。在數據分類分級基礎上，通過建立數據與數據處理過程中涉及的 IT 資產、人員之間的關系，并結合資產的業務歸屬、加工邏輯等構建資產知識圖譜，獲得對資產更完整的認知能力。分析應用層是以產品化應用的方式提供數據資產管理的技術能力。通過提供數據資產定位、畫像查詢、關聯分析等功能，保障數據按照分類分級的要求進行安全管控，并為異常感知、溯源分析等場景提供有效支撐。

數據流轉鏈路刻畫，關注數據資產內外部流轉的鏈路構建和流轉態勢刻畫，并將刻畫結果用于風險治理等場景。數據流轉鏈路刻畫技術的基本框架可分為鏈路構建層、鏈路態勢層和鏈路應用層三個層次。鏈路構建層是基于網絡流量、數據調用日志、應用日志等基礎數據，對流量進行解析，構建數據流轉端到端的完整鏈路。同時，結合全息資產畫像的數據資產識別與分類分級結果，對流轉鏈路中數據內容進行刻畫。鏈路態勢層是在端到端數據流轉鏈路和流轉鏈路中數據內容刻畫的基礎上，分析數據流動的宏觀及微觀態勢，宏觀層面主要刻畫數據在內外部的流動態勢，微觀層面提供基于表字段、應用接口、數據使用方的調用時序與調用關系明細。此外，可以在鏈路態勢層提供鏈路態勢的可視化和分析能力，實現數據流動的清晰可見和交互分析。鏈路應用層是以產品化應用的方式提供數據流轉鏈路刻畫的技術能力。基于鏈路與態勢刻畫的結果，可以開展數據使用合規評估與風險治理等工作，包括數據未授權使用、數據濫用、數據超范圍輸出、數據遍歷、明文傳輸、鑒權缺失等重點風險。

安全平行切面，從網絡、終端和應用的縱深化、全方位視角，將通用的數據安全能力橫切入網絡、終端以及應用的數據交互中，既實現了數據安全能力的融合，又保持了各自業務邏輯的獨立性。安全平行切面為數據安全保護提供了三方面的重要能力。首先，在網絡、終端和應用中部署安全平行切面，可提供多維度、多層次、包含業務調用鏈路的風險感知能力和安全處置能力，實現數據安全與隱私合規風險的縱深防御。其次，可實現安全能力的統一注入，不需要網絡設備、用戶終端以及業務應用較高成本的適配，保證安全能力獨立配置、獨立升級。在安全應急、風險治理等場景下，通過安全平行切面可以快速完成網絡、終端、應用的風險阻斷和安全加固。第三，安全平行切面可以采集網絡、終端、應用各層面的上下文信息，為安全決策和事件處置提供豐富的場景數據支持。特別是通過應用切面，可以收集準確的應用間敏感數據調用鏈路、應用對數據源的讀取和寫入等敏感操作行為、網絡和文件操作以及終端和服務端之間的遠程調用通信等，實現對所有調用行為的識別和追溯，實現細粒度的管控邏輯。安全平行切面可以劃分為三類，即網絡切面、終端切面和應用切面。

三、從辦公場景看數據安全治理實踐

以辦公場景數據安全治理為例，應從體系層、能力層、運營層等三個層面開展治理能力的綜合建設。

首先，應制定針對辦公數據安全的安全規范體系，包括各類安全紅線和基線要求，覆蓋辦公場景下的數據采集、數據查詢、數據使用、數據分發、數據外發等環節，以及覆蓋員工、敏感崗位、高風險人員等不同群體。同時加強對辦公數據安全規范的心智教育，利用培訓考試、違規案例警示等方式，提升心智教育的實際效果，加強各人員群體對辦公數據安全紅線要求、基線要求、違規責任與處罰措施等的認知。

其次，根據辦公場景下的數據使用和流轉特征，及數據安全保護需求，對辦公數據的資產刻畫、流轉鏈路、安全加固等能力進行設計和集成。根據辦公場景下不同崗位類型、人員類型和接觸數據的敏感程度，設計差異化的安全策略和管控流程。利用全息資產畫像、數據流轉鏈路刻畫等能力，對辦公場景下的敏感數據使用和流轉鏈路等進行分析、識別。結合對不同人員群體的終端監測、敏感數據訪問操作記錄、審計記錄等信息，對辦公場景下的人員安全水位和數據安全風險進行持續監測與度量。基于安全度量、安全策略、安全審計等措施對發現的數據違規訪問和操作行為等進行處置，并結合安全審計等措施加強對人員違規操作和行為的問責和處罰。

最后，還可設置針對特定角色、崗位和權限人員的專項認證，以及面向重點辦公應用的業務認證，推動辦公數據安全能力的建設。針對辦公場景下的數據外發、數據下載、信息發布、權限審批、流程審批、釣魚郵件、勒索病毒等重點風險場景，開展面向不同人員角色的紅藍演練，促進辦公數據安全能力的持續提升。

辦公數據安全治理的一個難點和痛點問題，是如何從各種格式的文件和數據中識別敏感信息，并通過對使用鏈路的管控防控數據的外泄風險。如果無法識別敏感信息，會導致管控過嚴影響辦公效率，或者辦公數據外發管控失效，不能做好工作效率和風險管控的平衡。

四、數據治理任重道遠

面對日趨變化的內外部環境和復雜數據應用場景，數據安全治理形勢嚴峻，任重而道遠。面對很多企業和組織在數據安全治理中缺乏治理經驗和能力的現狀，螞蟻集團希望能將沉淀的治理經驗和科技能力惠及更多有需要的企業，與更多企業一起為數據安全治理貢獻力之所及；攜手生態合作伙伴，幫助更多有需要的生態伙伴提升數據安全水位和治理能力。數據安全治理需要博采眾長、集思廣益，通過加強企業和組織間的經驗交流，取長補短，共同推動數據安全治理工作的持續開展與能力提升。