電信運營商大數據對外共享安全管控機制優化研究

段煉

（中國移動通信集團江蘇有限公司，南京 210012）

大數據資產是電信運營商推動創業布局、創新發展和轉型突破的戰略性資源。電信運營商大數據的特點是豐富、精準、可信。首先，數據可以對應到具體用戶，數據真實程度很高；其次，通過對大數據的采集可以得到精確的用戶敏感信息，例如位置信息；再次，通過大數據之間的關聯分析，可以全面了解用戶各種行為愛好。電信運營商所擁有的大數據資源幾乎涵蓋了所有個人和大量設備的行為數據，理論上講可以在外部共享應用中挖掘出巨大的商業價值，但是出于個人信息保護、數據開放安全等因素的考慮，目前外部應用受到很大影響。工信部在《大數據產業發展規劃（2016-2020）》中將電信行業作為重點領域，在鼓勵大數據業務發展創新的同時要求建設完善重要數據資源和信息系統的安全保密防護體系，防止其收集的眾多用戶數據受到侵害。因此，保護好用戶隱私和數據資產，持續強化大數據安全管理和保障，已成為發展大數據業務的關鍵。

1 大數據合作業務中存在的安全管理問題

1.1 電信大數據對外開放的安全風險

電信運營商在推廣大數據業務時往往只追求業務的快速發展，當業務發展與安全要求矛盾時，未能將安全工作嵌入到業務流程中，造成了安全監管缺失。另外，目前已有的傳統安全防護手段關注的重點是通信網絡，面對大數據平臺的新特性、新變化難以進行有效管控，造成了技術手段缺失。根據往年上級主管單位檢查情況，目前公司內部的大數據信息安全存在以下風險。

一方面，電信運營商在數據共享、數據分析、運維支撐等方面與外部單位開展廣泛合作，一旦發生安全事件，將對企業聲譽、公司利益、業務開展、用戶隱私等產生重大影響?，F階段與合作方簽署的保密協議或信息安全承諾書往往沒有明確其在數據開放共享、數據試用、代分析挖掘及業務合作過程中對敏感數據保護的責任，對合作方的危險操作及敏感信息泄露無法控制和處罰。

另外，在實際工作中未建立包括合作方背景調查、安全資質審查等內容的數據安全管控制度；針對對外提供的各類數據，缺乏專項數據安全風險評估和客戶信息安全審核。特別是面向大數據金融系統在開展數據變現類大數據業務過程中，未對合作伙伴的既往合作情況及運營歷史背景進行調查，且未簽署保密協議，缺乏對數據使用、轉售等具體場景的安全保密要求。

1.2 問題根因分析

目前在電信運營商內部，大數據管理模式延續了傳統集團客戶/行業客戶業務管理模式，市場運營線條、業務支撐線條、網絡維護線條和信息安全線條分別承擔相應職責，共同為大數據消費方提供大數據業務服務。其中，政企客戶部門作為大數據業務管理方，承擔大數據業務推廣職能，負責制定大數據的業務規劃，開發大數據業務產品，實施大數據業務應用、數據運營及內容服務；業務支撐部門和網絡維護部門作為大數據提供方，承擔大數據生產職能，負責數據的采集、傳輸、處理工作，并建設運維大數據平臺，為大數據業務應用提供數據挖掘、數據分析、數據脫敏等能力支撐；信息安全部門作為大數據安全管理方，承擔大數據安全管理職能，負責制定大數據安全保護管理制度，研究大數據安全保護的技術手段，定期組織大數據安全檢查，從總體上對大數據安全管理起到指導、協調、監督等作用。

傳統的面向集團客戶/行業客戶產品主要是一些標準化產品和行業應用，這類產品運營過程中產生的數據均保存在公司內部，不涉及對外合作。因此，在傳統信息安全管理體系中，相關部門只需做到公司內部的關鍵環節可管可控，即可滿足安全防護的需求。大數據業務作為一種新興業態，較傳統業務相比增加了數據共享環節，數據消費方大多為外部合作單位，必然造成數據在大量外部合作單位中開放共享，任一方措施不當，都可能引起數據泄漏。然而目前的管理職責分工中，沒有明確各部門在大數據對外合作監管中應承擔的主體責任，造成了工作邊界不清，部門間相互推諉的現象時有發生。

筆者曾就大數據對外合作責任歸屬問題訪談了大數據提供方、大數據業務管理方、大數據安全管理方的相關人員。大數據提供方認為，一旦數據離開了大數據平臺，數據的權屬就轉移到數據業務管理方，按照“誰使用、誰負責”的原則，應該由大數據業務管理方對外部合作單位進行監管。大數據業務管理方認為，作為前臺的經營部門，其職責主要在業務開發和推廣上，安全管理工作應該由信息安全管理部門統一扎口。大數據安全管理方認為，大數據保護與業務流程緊密相關，只有將安全管控嵌入到日常業務流程中，才能將大數據安全管理辦法真正落地，大數據業務管理方作為大數據主管部門責無旁貸。從訪談結果可以看出，由于公司內部缺少大數據對外合作監管的框架，各方對于職責劃分看法不一致，使得合作單位成為了“三不管”的監管死角。

2 運營商大數據安全管控機制優化建議

大數據業務涉及數據的全生命周期管理，與傳統業務相比關鍵環節多，涉及到眾多外部合作單位，在實際工作中容易造成監管缺失。要解決合作單位安全監管職責不清的問題，需要各部門通力合作，加強溝通協調，厘清工作界面，共同推動監管工作落地，如圖1所示。

圖1 合作單位安全監管分工界面

大數據業務管理部門與合作單位的聯系最為密切，需要把好第一道關卡。在合作單位提出合作申請時，應該對其基本資質進行嚴格審核，篩選掉以往存在不良記錄的合作單位。大數據業務管理部門還承擔著合作單位和其他相關部門的溝通橋梁作用，牽頭協調相關部門對合作單位開展各層面的調查，并將合作單位的情況及時反饋到公司內部。在大數據業務完成后，大數據業務管理部門還需要對合作方進行后評估，為后續合作開展提供參考。

大數據提供部門作為數據所有者，在開展安全監管時擁有很大的主動權。在業務開展之前，應該對合作單位需求的可行性進行審核，對于違反數據保護規定的需求應予以拒絕。圍繞著數據的全生命周期的各個階段，大數據提供部門應采取相應的安全管理和技術手段直接對合作單位進行過程管控。大數據提供部門還應定期對合作單位的大數據使用情況進行審計，及時發現問題并責令其整改，確保形成管理閉環。

大數據安全管理部門作為安全歸口管理部門，應對合作單位的安全資質進行審查，對于安全管理制度和安全防護手段進行評估，防止合作單位存在安全管理或技術漏洞而導致數據泄露。大數據安全管理部門以問題為導向對合作單位進行監管，通過定期檢查的方式發現各類安全隱患和違規問題，及時為業務發展“踩剎車”。

通過對合作單位安全監管要求的梳理，按照事前、事中、事后的順序將監管職責細分3個階段、9項任務，并明確大數據提供方、大數據業務管理方和大數據安全管理方的責任矩陣，如表1所示。

表1 合作單位安全監管責任矩陣

2.1 事前安全防范

2.1.1 合作單位資質審查

要解決合作單位監管問題，首先必須從源頭抓起，在大數據業務開展之前針對合作單位開展全面的調研審查，確定其是否具備開展大數據業務相關的能力，是否具備完善的安全管理和技術能力，是否存在數據泄露而危害國家安全、用戶權益的風險。

在這一過程中，由大數據業務管理部門開展合作單位背景調查，重點做好合作方股權關系、境內外合作關系、既往合作情況、運營歷史背景等的調查。如涉及與境外單位合作，需要及時上報上級主管部門，經批準后方可開展合作。合作單位自身的安全水平也非常重要，應由大數據安全管理部門開展合作方安全資質審查，包括綜合評估合作單位的信息安全保障能力、安全管理制度、技術防護手段等。

2.1.2 業務需求審查

合法合規是開展大數據相關業務的前提。對于合作單位來說，如能獲取原始數據，經過二次分析后便能得到更多更有價值的信息。合作單位在提出合作需求時，總是希望能共享到原始數據而不是經過處理的數據。針對這個情況，必須制定完善的大數據業務需求審批流程，按照公司大數據分類分級標準，對合作單位需求中涉及的數據內容、交接方式、敏感程度以及應用范圍等進行嚴格審核，對應用輸出數據的必要性和安全性進行審核。未經正式審批的企業內部數據嚴禁泄露、出售或者非法向他人或外部單位提供。

2.1.3 簽訂保密協議

目前與合作單位的安全保密協議仍沿用傳統集團客戶業務的模板，未包含數據共享相關責任條款。應該在《網絡安全法》、《全國人民代表大會常務委員會關于加強網絡信息保護的決定》、《電信和互聯網用戶個人信息保護規定》、《侵害消費者權益行為處罰辦法》等法律法規的框架內重新修訂安全保密協議，界定雙方在大數據業務開展中的安全責任，對于用戶授權、數據應用、權責分配、接入細節等內容進行約定，明確合作單位的保密責任、保密內容、保密有效期及違約罰則；明確合作單位數據使用范圍和場景，限制數據轉租轉售行為，明確合作單位應承擔的安全責任，并明確處罰機制；要求合作單位建立數據保護制度，具備應有的數據保護手段，與其員工簽訂保密協議，并明確員工的保密責任、違約罰則。

2.2 事中安全管控

2.2.1 人員賬號權限管理

當合作單位需要與我公司系統對接，或者使用我公司系統進行數據分析時，可以向大數據業務管理部門提交賬號申請，說明需要使用的系統、訪問數據范圍、數據類型等信息，由大數據業務管理部門按照“權限明確、職責分離、最小特權”的原則進行審批，為合作單位分配適當的權限，避免合作單位越權訪問數據。

尤其是未經脫敏處理的用戶個人隱私數據等敏感數據，數據必須經數據輸出審核（包括技術和管理雙重審核），審核通過后才能對外輸出。

2.2.2 數據全生命周期管理

從數據運營的角度，依據數據全生命周期各環節面臨不同的安全環境和安全威脅，將日常安全管理工作嵌入到采集、傳輸、存儲、使用、共享和銷毀各環節中。并將身份認證、訪問控制、金庫模式、安全審計、異常行為監測預警、數據加密、數據脫敏、數據防泄漏等數據安全防護能力嵌入到大數據平臺、后臺運維管理系統中，或與其進行無縫對接，從而實現安全責任制、數據分級分類管理等管理制度在實際業務流程中充分落地。

2.2.3 安全預警管理

大數據安全管理部門應按照“誰主管誰負責、誰運行誰負責”的原則，組織相關干系方對大數據基礎設施開展安全監測工作，從管理、技術、人員等方面建立完善的監測預警和應急響應機制，為大數據基礎設施制定應急響應計劃，做好應急預案、風險監測、實時預警、事態遏制、問題根除、系統恢復、跟蹤總結等各項舉措，并定期演練，確保在緊急情況下重要信息資源的可用性。

2.3 事后稽核審計

2.3.1 安全審計

根據“職責分離”原則在大數據提供部門設置獨立的安全審計員，安全審計員應開展定期的大數據安全日常審計和不定期的專項審計。日常審計至少每月一次，主要針對大數據平臺的系統訪問日志進行審計，一是審計操作人員、操作時間、操作內容等信息，確認是否存在違規訪問與操作；二是對數據導出行為進行審計，確認行為是否規范、數據是否模糊化處理。

專項審計主要聚焦大數據平臺和業務的安全管理和技術要求落實情況、大數據平臺系統和業務訪問情況、大數據平臺用戶個人信息訪問情況。通過人員訪談、審閱臺賬、現場驗證、技術檢測等方式及時發現系統存在的安全隱患和安全威脅，并有針對性的提出改進措施，跟蹤整改情況，對未在規定時限內完成整改的，應依據相關規定進行處罰。安全審計員將情況匯總后，梳理存在問題，通報審計結果；針對發現的重大安全隱患或違規行為，應向管理層匯報。

2.3.2 安全合規檢查

大數據安全管理部門負責對合作單位進行大數據管理合規性檢查，主要分為日常合規檢查和專項合規檢查兩種。日常合規檢查至少每月一次，檢查數據合作單位的數據使用、管理等方面的安全制度和執行情況。對檢查過程中發現的問題應責成合作單位在規定時限內整改，未及時完成的應依據相關規定進行處罰。專項合規檢查范圍更廣，每年至少進行一次。在開展安全合規檢查前，與合作單位溝通檢查范圍、檢查內容、檢查方法、檢查任務、檢查報告及相應流程。檢查結束后及時匯總檢查情況，梳理存在問題，通報結果；針對發現的重大安全隱患或違規行為，應向公司管理層匯報。

2.3.3 評價追責

圍繞以往安全協議的履行情況建立合作伙伴評價機制和黑名單機制，評價結果作為開展后續合作的依據。黑名單內的合作單位在一定期限內不予準入。在后評估中如果發現合作單位違反合同協議中明確規定的數據安全保護的義務，公司可以采取必要手段進行處懲，例如解除合同關系，甚至對合作單位提起違約或侵權民事訴訟，要求承諾人承擔相應的民事責任。

3 結語

電信運營商作為央企，構筑國家通信基礎設施和重要信息系統的安全屏障是義不容辭的政治任務和社會責任；提供安全可信的大數據服務是維護用戶權益、提升客戶感知的必然要求；“以安全保發展，以發展促安全”是企業在新常態下持續健康發展的有力保障。大數據安全保障工作無所不在，涉及到大部分業務部門和單位，涉及大量重點崗位，涉及所有第三方合作伙伴，也是公司所有員工的共同責任。大數據安全管理工作是一個復雜的系統性工程，我們要充分意識到目前面臨的威脅并做好各項應對措施，只有這樣才能更好地利用大數據而不被大數據利用。