数据安全体系落地关键：让业务与安全既融合又解耦

如今，数据已逐步从单纯的信息化资产转变为重要的生产要素，成为数字经济发展的核心。随着建设数据要素市场政策频频出台，国家数据局及多地省级数据局正式揭牌，数据要素流通在各行业各领域深入推进，数据安全需求也从保护数据不被窃取、篡改、破坏，转向助力数据要素的合法流通和合规利用。

 

 

边界防御架构作为众多企业步入互联网时代搭建的信息安全基础，在过去十多年持续发挥着重要作用，直到如今也依然是一种被持续使用的主流安全架构。其通过在企业的网络边界处部署访问控制和安全防护，如代理、网关、路由器、防火墙、加密隧道等，由于内外网之间数据的流通必须经过这道防御，只有被授权合法的数据，即在边界防御安全策略中允许的数据才能通过网络边界，从而最大程度地保障内部资源与数据的整体安全性。

 

图源/国家保密局

 

在这种架构下，安全模块与IT设施是低耦合的，与需要运行在客户端上的传统杀毒软件相比，只需要以外挂的形式在边界处配置防御机制，就能够有效地控制外部网络对内部网络的访问，实施成本较低。

 

这是一种相对单一且静态的防护机制，一旦带毒文件或程序能够伪装绕过边界的检测，就可以在内部无阻横行。而且，我们无法保证内部的就是安全可信的，对恶意用户的违规操作和安全意识不足的用户的越权或滥用行为存在监控盲区。特别是如今多云和SaaS化的场景下，冲破了固有的、明确的内外网边界，当边界不复存在，边界防御也就形同虚无。

 

考虑到以上安全策略的局限与缺陷，纵深防御架构应运而生。其采用多点布防、以点带面、多面成体的策略，将各种安全防护措施有机结合起来，根据所需保护的对象，部署适当的安全手段，构建一个立体的、全方位的防御体系。这样不仅实现了多点防护，而且实现了分层和分级防御，增加攻击被检测到的概率，显著提升了攻击的成本，并确保了资源的有效分配，以满足不同部分的特定安全需求。

 

图源/国家保密局

 

在这种架构下，安全模块是嵌入IT设施的，成为了各种信息系统中的一部分。在实施中，需要投入大量的技术和人力成本，一定程度上影响着业务交付效率和连续性，在业务优先的大趋势下很难完整且有效地推进落地。特别是如今业务的增长和变化速度越来越快，引入新的技术其相关的安全模块也需要做很大投入。

 

而从机制上看，各区域的安全措施相对独立，不同层次的防御之间协同机制相对薄弱，这就导致了安全质量并不统一，既存在相互掐架的状况又存在防护监控的真空地带，进而让安全管理和运营的复杂性以及成本也会上升。

 

 

一方面，数据必须流通起来才能发挥价值，映射到业务层面就是各种业务运营的过程，而且承载数据的业务载体在频繁更新，安全能力若不对应业务场景则悬浮空中，融入复杂的业务流程是必经路径。另一方面，各种终端、应用系统等IT设施作为业务运转的地基，若需要通过大规模改造以嵌入安全能力，就犹如在飞机高速行驶中更换发动机，投入的高成本将很大程度抵消安全实施的增益，在用户侧推动落地并不现实。

 

 

在今年初Gartner发布的《2024年网络安全主要趋势》报告中，“隐私驱动的应用与数据解耦，在碎片化世界中强化运营”成为企业最关心的安全趋势之一，同样印证了上述分析。Gartner指出，企业如今面临着越来越高的合规性要求和业务中断风险，这是由于越来越多的国家隐私和数据保护以及本地化要求，导致了企业应用架构和数据本地化实践的强制碎片化。有远见的企业正在通过规划和实施不同层次的应用和数据解耦战略来应对这种情况，这些策略包括减少IT资源依赖性，采用模块化和可组合架构，以及隔离高度受监管市场的应用程序、数据存储库和基础设施。

 

 

比如，将软件工程的面向切面编程思想应用到安全体系建设中，安全平行切面架构被正式提出，通过构建与业务正交融合的安全平行空间，把安全能力融入企业技术基础设施里且与业务解耦，在不修改业务逻辑的情况下，实现攻击和风险的精确阻断和精细化数据治理。可以更好地应对技术和业务复杂性爆炸带来的各种安全挑战，并且有效规避以上两种架构存在的缺点。

 

图源/《安全平行切面白皮书》

 

比如零信任安全架构，通过在访问主体和客体之间构建一个基于身份的动态可信访问控制系统，默认网络内外的设备/系统均不信任，需要基于认证和授权重构访问控制的信任基础。面对业务的访问，要求对所有服务默认隐藏，根据授权结果最小权限开启，所有服务访问请求都应进行加密和强制授权。通过信任评估模型和算法，实现基于身份的信任评估能力，同时需要判断访问上下文环境的风险，识别访问请求的异常行为以调整信任评估结果。通常采用基于角色和属性的权限控制相结合来实现灵活的访问控制基线，基于信任级别来实现分层业务访问。

 

图源/国家保密局

 

 

我们观察到，持安科技打造的持安远望办公安全平台，基于Google Beyondcorp架构的应用层零信任，与安全平行切面理论的分层防护思想相契合，从接入层开始，基于业务对每一层级访问风险进行分别防护，在贴近业务的同时与业务解耦，在不影响业务的同时提高企业办公安全系统的安全性。基于可信验证，经过设备、行为、身份机器上下文等多维度判断访问者访问数据，来决定是否可以安全访问。持续验证每一次请求，一旦发现访问者访问过程中存在不可信因素，立即阻断访问或采取加强验证措施。并且精准还原访问者的全链路操作行为，精准记录“谁”，在什么时间，什么位置，通过什么设备，访问了哪些系统。

 

持安科技分层防护架构

 

这种架构让安全真正变成业务的安全底座，可以在内外网中全面部署落地，实现零信任平台承载业务，业务无需关注安全，企业员工在任何地区均可实现无感知的安全办公，兼顾企业的安全与效率。

数安行推出的零信任数据运营安全平台，以零信任数据安全架构为基础，通过对业务及网络无任何改造地映射用户数据业务全流程，让数据跟踪及风险防护体系与业务流程独立运行，互不干扰。

 

借助平台内置的上万种数据格式识别库及上千种数据分类模型，结合数据内容深度解析及人工智能分类技术，对组织内全类型、多源头数据资产进行探测分析，为用户自动创建数据资产分类目录及存储目录。基于无感数据安全沙箱以及微隔离存储等技术，为用户建立多种安全级别的应用系统访问及数据使用环境，建立应用系统与用户之间的零信任数据安全通道。精准识别用户身份，动态定义应用系统访问边界，自适应调整应用系统访问权限，防控各种越权访问、身份仿冒、违规下载等危险行为，保证业务数据在线使用及流出安全。

 

这样的机制，将数据防护措施从传统的边界拦截延展到数据运营全流程，在实施中不改变用户使用习惯、不影响业务流程，创建出普通数据与敏感数据的隔离使用环境，保证数据线上、线下同样安全可控。

 

云创数安建立的云创数据治理平台(DMP)，依托《数据安全法》《个人信息保护法》等法律法规及监管标准研发而成，旨在助力企业低成本高质效完成基于数据分类分级的安全管理，实现安全合规。

 

产品通过旁路形式接入，对企业原有业务系统无侵入，企业零负担即可轻松完成合规整改降本增效。依据电信互联网、金融、汽车、医疗等行业属性进行合规策略整理与指定，为客户提供细分行业的合规解决方案，功能包括数据资产地图、敏感数据自动发现、数据分类分级、敏感数据脱敏及加解密、权限管理、监控与预警，减少合规风险的同时提升业务效率。并且可依据监管动态变化，及时调整系统安全策略，推送法律法规要求及策略变化，自动生成合规风险报告，以迭代方式帮助企业紧跟监管要求。

 

这种一站式、一体化的合规服务，在业务无需整改的前提下，较为轻量化地实现了动、静态数据分类分级管理，强化数据访问控制，建立数据全生命周期安全管控。
 

 

原点安全提出一种“数据访问安全层”技术理念，与安全平行切面的架构思想不谋而合，即在访问数据的工具、应用和数据源中间构建一层“数据访问安全层”，将保护数据所需的安全能力汇总在这一层去实现，以敏感数据保护为核心，将跨多种数据类型、存储系统和生态系统的数据保护所需的安全能力整合在一起。

 

其基于该理念推出了一体化数据安全平台uDSP，依托敏感数据智能识别引擎，自动识别和标注敏感数据类型和安全级别，帮助用户从安全视角梳理敏感数据资产，支持数据访问控制、访问认证代理、数据自助授权、数据动态脱敏、数据流转轨迹、数据安全审计等诸多功能，用于实现数据源中敏感数据的访问控制和交付控制，提供从敏感数据发现、识别、保护、监督到治理的一体化协同技术保护措施，旨在保护敏感数据免受未经授权的访问、篡改、泄露、破坏和过度暴露。

 

这种数据技术架构一方面尽可能贴近数据源，以提高数据识别准确度和保护效果的直接性。同时具备分层解耦的能力，将数据安全与业务应用解耦，使跨部门与组织的协同更容易实现。

 

随着网络风险的复杂化、防护技术的进化以及安全需求的演进，数据安全体系的构建将是一个长期的、循序渐进的过程。归纳来讲，防护体系的建设不能简单依靠各种安全产品的叠加，而是需要结合不同网络架构及业务应用固有的特性，对多种安全机制进行有机融合，形成一套动态、有效、全面的整体防御体系。新的威胁必然会出现，合规与监管趋严自是必然趋势，防护体系的实施需要同时考虑投入成本和产出效益，在变化的风险中找寻到动态的平衡。