开放共享下的政务数据安全治理实践 – 作者:安华金和

上周，安华金和资深数据安全专家 沈震宇 先生应谷安学院、安全牛邀请，围绕“政务云（大数据中心）数据安全治理建设”主题，面向广大用户进行直播分享，内容涵盖政务云平台数据开放共享的现状、安全挑战、应对策略与应用实践。本期直播活动受到行业客户广泛好评，会中、会后与主讲人互动不断；考虑到因时间原因未能参与直播的客户朋友们，安华金和特别提供完整直播视频回放，精彩内容请点击下方链接：

【点击观看直播回放】

互联网、大数据技术的高速发展与普及应用，为政府数字化转型与管理模式变革创造了新契机；同时，国家十三五规划要求打破信息壁垒和信息孤岛，推动信息跨部门、跨层级共享共用。但在推动政务大数据共享的过程可以发现，原有的信息管理系统缺乏标准体系支撑，各部门采集的数据格式不统一、标准不一致；数据采集处理技术、应用平台各异，数据库接口不互通；体制制约着数据的共享，管理边界不清晰、责任区分不明确，导致对数据的归集、整合、清洗、比对在短时间内难以完成；而数据共享、数据维护所需要的经费支持不稳定，也增加了部门间数据共享的难度。安华金和资深数据安全专家沈震宇先生将以上难点概括为：管理难、监测难、防护难、追溯难。

针对政务数据开放共享中面临的主要挑战，沈震宇先生分享了针对政务云（大数据中心）数据安全治理建设的思路，即遵循数据安全治理框架体系标准，以内部或准内部人员为主要安全管控对象，平衡业务需求与安全风险；以分级分类为基础，以数据合理、安全流动为目标，以数据使用过程的安全管理和技术支撑为手段，对数据安全产品的技术应用和管理流程进行深度整合，建设“用数据说话、用数据管理、用数据决策、用数据创新”的政务云大数据平台，在保障数据安全的前提下，落实政务数据开放共享。具体建设可从组织保障、管理保障、技术保障三方面着手：

1、组织保障

充分保障政务云建设的顺畅进行，首先需要建立明确的数据安全组织保障体系，涵盖数据共享平台所涉及的所有部门，做到职责对应。确立数据所有者、数据使用者、数据管理者，联动管理层、业务部门、实施部门、安全部门、审计与合规部门的相关职责，确保有部门、有专人为数据安全管理工作切实负责。通过设置专门的数据安全治理机构，负责制定数据分级分类、安全保护、使用操作及监控管理的原则、策略、规范等：

· 针对管理部门：进行安全管理制度制定、安全检查、技术导入、事件监控与处理等；

· 针对业务部门：进行人员安全管理、业务人员行为审计、业务合作方管理等；

· 针对运维部门：对内部及第三方运维人员的行为进行规范管理与审计等。

2、管理保障

为保障政务云大数据中心内重要敏感数据的安全，维护数据所有者的权利，明确利益相关者的责任和义务，应按照分类管理、分级防护、授权使用的原则，规范相关数据管理工作。制定数据安全治理制度、完善基础管理流程、落地数据安全管理规范措施，形成并严格执行如《政务数据安全管理规范》、《政务大数据中心信息系统账号安全管理规定》、《政务敏感数据管理规范》等规范制度要求。

3、技术保障

采用咨询服务与技术工具相结合的方式，帮助政府机构将数据安全治理体系建设有效落地。

数据资产梳理

对政务信息进行数据分类，并按照安全级别对其进行敏感度识别。以某市政务云为例，安华金和帮助该客户对66个接入单位的16大类主题信息资源，共涵盖2000多个子目录与40000+字段进行了梳理，相关工作遵照《政务信息资源目录体系》、《政务信息资源目录编制指南（试行）》等国家标准。

根据数据特征、数据样本建立敏感数据识别模型，同时结合数据分类分级规则，通过主动扫描、流量分析、人工检测相结合的方式，对数据库、大数据平台、后台文件等进行发现，对其上所存储的数据进行识别及自动分类分级，形成资源清单并备案，从而摸清敏感数据资产的分布情况，确定数据资产中的保护对象和范围。

数据资产保护

通过对相关政务数据进行访问控制，确保合法访问通行、违规访问拦截，避免敏感数据在使用过程中遭到泄露：

面对外包人员巡检，建立数据访问准入机制；针对数据库行为操作，增强数据操作审批权限管理；针对敏感数据查看的权限管控，在不影响日常运维行为的前提下，对查询结果中的隐私及敏感数据进行自动遮蔽返回；针对所有运维操作进行审计，按规则对疑似违规行为进行告警。

· 在开发测试环境下，将真实数据进行仿真模拟，数据脱敏后再用于测试及其他需求场景；

· 在数据共享交换区或查询区，采用数据动态脱敏技术，将敏感数据扰乱，确保数据结果脱敏可用；

· 在数据分发过程中，先对分发源单位的数据添加水印和标签再提供给第三方，从而确保数据在分发后能够进行追溯；

· 核心存储层面，可对重要数据进行加密，让数据拿不走、看不见。

数据治理稽核

对数据流动、使用的全过程进行完整记录和分析，并根据分析结果建立数据安全基线策略；同时，根据政务数据资产运营具体情况，搭建数据安全态势感知平台，保障数据资产情况在使用过程中也能够清晰可见，通过可视化呈现实时掌握敏感数据的分布、流向及其使用者信息，及时发现并合理应对风险情况，提升对数据安全风险的感知与防护能力。

湖南省常德云计算中心，即是众多政务云大数据中心的一个缩影。作为湖南省首个大规模、高技术标准的政务云中心，旨在实现政府组织内部以及跨部门之间数据的整合；通过对政府数据资源的集约化建设管理与有序开放共享，实现对数据价值的深入挖掘利用。在此过程中，客户一直强调业务为先，安全之上，安华金和充分配合到客户的政务云建设当中，协助常德市政府提升公共服务应用水平，带动更多中小微企业快速发展，开创智慧城市建设新模式。

安华金和作为国内首家提出“数据安全治理理念”的数据安全厂商，在数据安全领域历经十余年实践沉淀，数据安全治理实践也越来越多地应用于政府之外的更多行业领域。保障数据安全，共享数据价值，让数据使用自由而安全~

来源：freebuf.com 2020-09-22 09:48:22 by: 安华金和