数据安全运营视角下的数据资产安全治理

本文从运营角度谈数据资产的安全治理,通过平台化能力实现对涉敏资产识别、评估风险,及一系列治理措施达到风险收敛目的。

基本定义

数据资产1:拥有数据权属、有价值、可计量、可读取的网络空间中的数据集,数据资产有物理属性、存在属性和信息属性。

数据资产2:数据资产是指由个人或企业拥有或者控制的,能够为企业带来未来经济利益的,以物理或电子的方式记录的数据资源。

一、目标与价值

使用《金字塔原理》中的SCAQ方法来说明为什么要做这件事?

S(Situation)情景:这次数据泄露是因为这个接口没有鉴权并且过度暴露了敏感数据。

C(Complication)冲突:公司涉敏资产安全可控吗?它们在哪里、有什么风险、是否有保护措施都不是很清楚。

Q(Question)疑问:有什么办法能全局收敛这类风险呢?

A(Answer)回答:我们的解决方案是通过建立资产平台、建设统一的涉敏资产识别能力,对涉敏资产进行风险评估,推动方案措施落地持续收敛风险。

价值体现:

业务方:为业务方提供全局视角的敏感数据资产及风险趋势,为风险处置提供决策依据,为业务健康发展提供保障。

安全团队:为安全团队基于数据资产的脆弱性分析、输出解决方案、收敛风险保护公司数据安全提供基础数据。

协作部门:为协同部门进行内部流程优化、外部合规提供基础数据。

二、业界思路

国外Gartner从调解业务和安全冲突,通过调研形成规则落实DSG数据安全治理框架,及微软主要从人员、流程,和技术这三个角度出发数据治理框架(DGPC),国内比较普遍的以某知为代表的,以数据为中心的数据安全治理实践,如下图。

数据安全运营视角下的数据资产安全治理本文主要以敏感数据资产为中心,通过涉敏资产识别、评估风险,及一系列治理措施达到风险收敛目的。实际过程中考虑到企业内部服务间调用层级链路复杂及ROI,主要基于流量、数据存储在两个端侧建立涉敏资产库,提供敏感资产的动态更新维护、风险评估和持续治理的平台化能力,并为其他风险场景的识别提供基础数据输入。

数据安全运营视角下的数据资产安全治理

三、资产识别

涉敏资产识别,从实践来看,从流量、数据存储两个端侧分别进行识别效果较好,“流量端”主要基于特征规则识别流量中包含敏感字段的接口,如在请求request、响应response中包含个人信息等敏感字段的;“数据存储端”利用数据库敏感字段扫描工具进行扫描识别敏感表,然后建立敏感表与上层应用的直接调用关系,识别出“根”服务,进而通过“根”服务继续梳理出调用“根”服务的下游服务,与“流量侧”打通无缝对接上,进而形成涉敏服务调用链,即:涉敏数据库表→“根”服务→服务(省略中间件、缓存服务等)→边界接口。业界传说的数据动态流图(数据流向态势感知)。

基础属性信息扩展,主要包括人、机器两方面的属性数据,结合基础服务,如服务治理获取对应资产的责任人的属性数据,如开发、产品、运营角色负责人及所属业务,机器属性数据,如机房、IP、主机名等。

业务属性收集,到目前为止我们已经基本掌握这些资产的基础信息了,如包含哪些敏感数据、是哪个业务的、及机房分布和IP等信息了,但还是不知道它具体服务什么业务场景的,这就涉及到它在业务场景中是否有存在其合理性了(合理性、必要性),对于存在其合理性的收集就需要通过工单收集(事后)或在事前可以复用机房到外网白名单审批来进行事前的业务问询和信息收集,在收集过程中对于存在但未必合理的涉敏资产,特别是对外暴露敏感数据的,可以要求业务进行下线、脱敏等最小化处理。

目前基于流量的涉敏字段主要是个人信息的识别,对于知识文档、业务GMV、日活等指标类敏感数据不在讨论范围。

四、风险评估

风险评估主要从数据安全视角出发,以满足业务需求的最小够用原则(数据最小化、权限最小化)、可追溯原则对涉敏资产进行风险评估。参考上文提到的涉敏数据链路,在数据存储层、服务调用、用户层交互等几个关键节点进行风险评估。风险评估一方面需要对风险进行全面准确的风险评估,同时将风险结果(风险大盘)同步至业务管理层,并取得对高危风险的一致认知,为后续风险治理和收敛提供保障。

存储层:涉敏数据的静态存储服务,包括线上DB、缓存、离线数仓等,涉及C端用户、B端商户、内部员工等敏感数据,主要面临风险:

涉敏字段明文存储,如个人信息字段明文存储;

存储数据访问权限过大,DBA账号有root权限,拥有数据的完全权限;

账号密码明文存储,如RDS之前存在数据库账号密码明文存储展示,DB账号密码在应用层明文存储存在风险;

服务层:服务层主要控制机制是服务鉴权, 来自上游应用的请求,一旦通过认证,即可获得明文数据的访问权限。服务层面临的主要风险包括:

接口提供敏感数据没有启用鉴权;

敏感数据明文形式传输;

业务场景启用数据缓存,这部分数据都是明文落地存储,运维人员可获取完整数据;

应用层:主要面向前端,为C端用户、B端商家、内部用户提供服务的(内外网)应用,风险类型和变化多端,主要面临的风险:

如订单信息、商家营业等信息过度暴露、外部爬取等;

认证、权限漏洞及系统漏洞;

第三方合作商数据缓存的外部风险;

五、安全治理

经过比较充分的风险评估后,其实治理方案的形成是比较容易制定的,如全站https化方案、服务鉴权方案、数据存储化加密方案等,但这些方案的推广落地却不一定非常容易,目前看下来大都来源于合规要求、或某次严重事件给业务带来的巨大压力下完成的。在数据安全治理推进中,除了上述提到的两个因素外,还有没有能为完成目标需要关注的因素呢?举例:

边界数据暴露风险

1.这个方向要取的的效果(目标)

1.1.边界(接口)暴露敏感数据可感知;

1.2.收敛边界风险接口(优先数据最小化、其次权限最小化);

2.衡量这个事情做的好不好(衡量指标)

2.1.风险接口收敛率;

2.2.敏感接口覆盖率、敏感数据流出最小化、高效运营、自动化验收;

3.达成目标的关键事项

事项达成的定义:

a.敏感接口识别(接口识别率、覆盖率)

b.业务属性收集(合理性、必要性,及对业务反馈的拷问)

c.敏感数据流出数据最小化

d.运营平台(高效运营、自动化验收)

外部依赖:流量数据、业务属性信息、业务资源(接口下线、限制字段、字段脱敏)

内部依赖:接口覆盖率、识别准确性、评估接口业务属性(合理性、必要性);

关键风险:业务属性信息(部分场景业务可能无法确认)

第一性原理思考:风险业务可感知、对业务侵入小、轻投入

在有了清晰的OKR外,工程化落地能力、自动化能力也是治理方案推进中的重要因素,毕竟在绝对的数量级面前靠人力是无法达成目标的。

数据安全运营视角下的数据资产安全治理


精彩推荐





数据安全运营视角下的数据资产安全治理数据安全运营视角下的数据资产安全治理数据安全运营视角下的数据资产安全治理

数据安全运营视角下的数据资产安全治理数据安全运营视角下的数据资产安全治理数据安全运营视角下的数据资产安全治理

数据安全运营视角下的数据资产安全治理

上一篇:新年快乐!3D打印产业政策汇总,一网打尽
下一篇:世卫组织:全球累计新冠确诊病例达82579768例

相关推荐

任正非最新内部讲话:华为要收缩企业业务,继续做减法!

任正非最新内部讲话:华为要收缩企业业务,继续做减法!

1587 华尔街见闻

导读:“我们不可能简单采取阿里、亚马逊……一样的道路,我们没有那么多钱,他们有用不完的美国股市的钱。我们如何发展,要找出一条路来,而不是简单模仿。”“将来所有应用都会长在云土地上,但现在还不是,如何建成“黑土地”是我们努力的任务,应一步一步来。”“我们全力以赴抓应用生态建设,像亚马逊一样建立大生态。没有应用,华为云就可能死掉。”“企业业务要收缩战线,一定要有

去年“牛”气足,今年接着舞?新年A股首个交易日,万众期待开门红(附近10年历史数据)

去年“牛”气足,今年接着舞?新年A股首个交易日,万众期待开门红(附近10年历史数据)

1209 证券时报网

2020年是不平凡的一年,也是我国多层次资本市场深化改革的一年。回首这一年,A股走势一波三折,但整体涨幅领先全球多数主要股指,其中,创业板指牛冠全球,涨幅超过60%。元旦过后,A股市场将开市交易,这也意味着,2021年行情正式开启。“春季躁动行情”能否如期而至?让我们拭目期待。去年A股表现领跑全球▲▲▲2020年,A股市场抵御了疫情的冲击,取得了良好的表现,

国产特斯拉ModelY预订火爆致官网瘫痪?内部人士称10小时10万单数据被夸大

国产特斯拉ModelY预订火爆致官网瘫痪?内部人士称10小时10万单数据被夸大

884 腾讯自选股财讯

马上去猜-证券服务由证券公司提供-1月2日,有消息称,在国产特斯拉ModelY上线的10小时内,新车订单量突破10万,甚至导致官方网站瘫痪。特斯拉在社交平台在发布消息称,官网订单页面由于访问量激增导致无法刷新。据相关渠道透露,在官方定价公布后的10个小时内,国产ModelY总订购量就超过了10万辆。据特斯拉北京芳草地体验店的销售人员表示,近日咨询新车的客户非

到新场第一楼“演”一幕民国剧,沉浸式“人间剧场”服务员都是戏精

到新场第一楼“演”一幕民国剧,沉浸式“人间剧场”服务员都是戏精

681 浦东发布

新场“第一楼”经过2年多的精心打磨后,新场古镇地标第一楼终于归来!2021年元旦,“新·片场”闪亮登场!▽第一楼,坐落在江南水乡古镇新场新场大街424号,始建于清同治年间,20世纪20年代翻建,时为古镇上最高的建筑,故称“第一楼”。30年代开设书场,听者如众,大咖云集,40年代曾为中共地下党联络站,2014年4月,被公布为上海市市级文物保护单位。因其古朴典雅

多一条转发,少一分风险!

多一条转发,少一分风险!

347 央视网

不见不等于不念,聚少情不减。元旦假期,这份防护攻略请收好↓↓①购物篇出门购物前,尽量在家列好清单,缩短采购时间,减少采购次数。购物时,需全程正确佩戴口罩,保持1米以上社交距离。尽量避免接触活禽。选购冷链食品时,避免用手直接接触食品,建议使用一次性塑料袋反套住手挑选冷链食品,同时正确佩戴口罩。回家后,及时用75%的酒精消毒外包装,并及时用肥皂或洗手液清洗双手。

这个数据与股价爆发同步!上百家机构扑向这些上市公司……

这个数据与股价爆发同步!上百家机构扑向这些上市公司……

1185 上海证券报

权威、深度、实用的财经资讯都在这里年终岁末,是股票基金激战全年排名月,但机构调研上市公司的节奏没有放缓。不少抢先布局的机构投资者已经开始把脉上市公司2020年四季度及全年订单或业绩情况。Choice数据显示,2020年12月共有121家上市公司接待了机构投资者,9家上市公司迎来逾百机构调研,其中汇川技术调研次数居于首位,月调研总量达到318次。12月机构调研

31省份金融服务实体经济排名:京粤沪稳居第一梯队,浙江、江苏紧随其后

31省份金融服务实体经济排名:京粤沪稳居第一梯队,浙江、江苏紧随其后

1263 魔鬼经济学

点击蓝字关注魔鬼经济学,看更多好玩的实用的经济学2020年在全球金融史上注定是不平凡的一年,发生了诸多足以载入史册的事件,美股暴跌导致四次熔断,美原油期货跌至负值,中国银行“原油宝”产品爆仓等不一而足。不管金融市场如何波澜壮阔,服务实体经济是金融永恒不变的本源。12月31日,国家高端智库中国(深圳)综合开发研究院编制的具有“风向标”和“晴雨表”意义的2020

北京发布会汇总:1地升为中风险,在顺义市民非必要不出顺义

1035 新华网

北京第198场疫情防控新闻发布会要点汇总(2021年1月1日下午)12月31日0时至24时,北京新增5例本地确诊病例,无新增疑似病例和无症状感染者;无新增境外输入确诊病例、疑似病例和无症状感染者;治愈出院1例。北京市委宣传部副部长、市政府新闻办主任、市政府新闻发言人徐和建首都疫情总体可控但防控形势严峻复杂当前全球新冠肺炎疫情流行加速,国内本土疫情呈现零星散发

“冬天撸猫,一路火花带电!”
萌宠

“冬天撸猫,一路火花带电!”

575 爱猫

爱猫全网最温暖的公众号,善良的猫奴都关注了关注爱猫君在网上看到有猫奴吐槽:冬天不敢撸猫,因为会被静电电到,且猫还以为我打它!冬天还敢撸猫?反正爱猫君不敢撸啊!一路撸猫火花带闪电,人痛苦猫也痛苦,严重影响双边关系dy网友@宅宅的动物园说,平时楼下的流浪猫非常黏她...但是,最近性格温柔的小白猫不让她撸了,一摸就发怒...因为一摸它,人和猫都会被静电电到小白猫蹭

游戏

VG对决:2020最强动作冒险游戏之战

1652 游戏时光VGtime

年度动作冒险对决!幽灵行者的爽快体验!恶魂的受苦之旅,还有令人意想不到的毁灭全人类,毁灭战士甚至聊出了打工人的辛酸....今次电台打机侠和骑士回归!和三心六爷一起聊一聊今年各自印象深刻的动作冒险游戏,一起来听!参与人:六段音速,三心,大力,骑士OP/ED:DanielDeluxe-Air;y2mate.com-DestroyAllHumans!Soundtr

游戏

在告别 Flash 之际,我在这个软件上玩到了数万款 Flash 小游戏

463 威锋网

点击上方蓝色字体,关注我们Adobe此前宣布将在2020年12月31日之后,停止为Flash提供支持,而那些还在坚持使用的用户也将在2021年12月12日之后受到限制,这意味着曾经风光无限的Flash退出历史舞台的命运已经板上钉钉了。但对于许多互联网老用户来说,Flash的身份不仅仅只是一个播放器,更重要的是由此衍生出的游戏、音乐、动画等作品所承载的记忆,而

给《GTA6》开发让路!120元游戏限时免费领!杀手3实机!夜之城有坑!又是黑客该开发商内部数据被兜售!
游戏

给《GTA6》开发让路!120元游戏限时免费领!杀手3实机!夜之城有坑!又是黑客该开发商内部数据被兜售!

173 Steam社区

导读1爆料称《恶霸鲁尼2》被腰斩给《GTA6》开发让路2限时喜加一《侏罗纪世界:进化》3《2077》夜之城中有“坑”:玩家可直接跳到地图外!4《杀手3》5分钟实机演示杀手47空降迪拜最高楼5光荣特库摩服务器被黑!内部数据被以数千美元兜售6Epic正测试补丁将修复启动器CPU占用过高导致温度飙升bug1爆料称《恶霸鲁尼2》被腰斩给《GTA6》开发让路对于R星的

游戏

《The Complex》:充满道德困境的交互式电影游戏

1407 TapTap发现好游戏

「顾全大局」一词出自于晚清四大谴责小说《二十年目睹之怪现状》,百度百科写的是考虑事物的整体性利益。看到这词汇的出处,可想而知的,用到这词的时刻,通常都是让人感到怪异但又不得不接受的现实。为了不知道是谁的整体利益,您还是把苦水吞下去吧!是的,今天就要来介绍一款让你考虑顾全大局的交互式电影游戏:《TheComplex(复体)》。《TheComplex》是一款有着

萌宠

“叔叔阿姨,可以不驱赶我吗?我快要被冻死了!”

718 爱猫

爱猫全网最温暖的公众号,善良的猫奴都关注了关注今年是最冷的一年,各地被最强寒潮袭击,降温幅度堪比2016年“霸王级”寒潮,局地降温可达14℃以上...而我们养的猫,既不用出门被受冻,还有自己的暖窝,或者暖气~但是,对于流浪猫狗来说,却是非常致命的一个冬天。我看到一个新闻报道,在俄罗斯的一些地方缺乏动物收容所,流浪猫狗被迫在近零下50℃的酷寒条件下生存...它

游戏

游族网络:《三体》游戏已正式启动 使用虚幻4引擎

1352 网游圈里的那些事

据@证券时报网官方微博公布的消息,游族网络宣布,《三体》游戏项目已经正式启动,将使用虚幻4引擎打造,两款三体IP授权产品将陆续启动开发。消息称,游族网络多位公司高管与市场进行沟通交流。游族网络表示,现在公司的业务决策在一定程度上会更依赖整体管理层的集体决策,从稳定性上来说,这会是正向的效果。此外,公司昨天在全体员工大会上宣布了三体项目正式启动,该项目会采用U