網絡安全等級保護下數據安全治理初探

李 越，張振川，林川倩

（1. 中國鐵路北京局集團有限公司 信息技術所，北京 100860；2. 國家鐵路局 運輸監督管理司，北京 100891）

隨著信息化的不斷發展，信息化已經融入運輸、經濟、生產、醫療和金融等各行各業中，促進了經濟社會的繁榮進步，同時也帶來新的安全風險和挑戰[1]。隨著國家網絡安全等級保護2.0系列標準（簡稱：等級保護2.0）2019版的發布實施，網絡安全等級保護的建設也在各行業逐步推進實施[2]。各個行業應充分利用等級保護2.0進行數據安全治理，提高數據安全性，全面提升數據安全管控能力[3]。

等級保護是指對信息和信息載體按照重要性分等級進行保護[4]，等級保護2.0是我國施行信息安全保護和安全管理的一項法律、法規制度，維護國家信息安全，構建保護信息體系建設需要全面開展等級保護工作[5]。

國家對網絡和數據安全越來越重視，相關法律、法規陸續頒布實施，體系日趨完善[6]，這些法律、法規的發布和實施能有效地提升數據的安全性，全面保障網絡安全。從國家層面，等級保護2.0在網絡和數據安全方面起到了舉足輕重的作用；從法律層面，新頒布的等級保護 2.0涵蓋的內容較為廣泛，涉及的技術有深度，基于等級保護 2.0進行的數據安全治理，更加有效，更加合法、合規[7]。

1 等級保護2.0對數據安全的要求

等級保護2.0安全要求是信息處理的基礎安全，同時要求有安全的區域范圍界限和信息傳輸網絡，形成完整的信息安全保障體系，提高安全防護體系的完整性[8]。等級保護2.0在數據安全方面，對各個級別都有明確要求，數據安全主要涉及數據保密性、數據完整性、數據備份、數據恢復和個人敏感信息保護等幾個方面[9]。等級保護2.0中從1～5級，對數據的安全性從低到高都有要求[10]。

2 數據全生命周期安全治理

數據安全的各項需求涉及到數據管理的各個方面，依據數據安全能力成熟度模型（DSMM，Data Security Capability Maturity Mode）將數據生命周期分為采集、傳輸、存儲、處理、交換和銷毀6個階段[10]，對數據在從采集到銷毀的生命周期里進行安全管理，對數據分類、分級定制不同防御保護策略，建立數據安全體系結構和組織機制保障，對數據全生命周期形成完整的安全管理和控制。其中包括數據保密性、數據可用性、數據完整性、訪問數據身份鑒定識別、安全審計、驗證可信性、防范入侵、防范惡意代碼、數據的備份、數據的恢復、保護剩余信息、保護個人信息保護等安全控制點。

數據生命周期安全治理涉及6個方面：數據生成采集管理、數據傳輸管理、數據存儲管理、數據處理應用管理、數據共用分享管理和數據銷毀管理。

3 等級保護2.0數據安全技術保障體系建設

區別于網絡安全保障體系建設，數據安全保障體系建設的核心是數據，因而要以數據為基礎，保障自身信息業務中最核心的數據安全。等級保護中，應在數據全生命周期進行安全技術保障體系的建設和執行。

3.1 數據采集保障

數據采集是數據安全技術體系中的第1個部分，對不同分類、分級的數據采取不同的技術手段進行安全治理。

（1）可公開的數據按照等級保護2.0分級要求進行日志記錄和保存，如常用的等級保護三級要求日志保存180天等。

（2）內部數據在日志記錄的同時使用定期人工審計等進行完善。

（3）核心數據在內部數據安全治理手段的基礎上，引入完整性校驗，對操作這部分數據的人使用雙因子認證等核驗手段。

（4）對數據收集中可能出現的安全風險進行分析，并完成風控標準。

（5）對數據的采集流程要合法合規，要在國家、地方和行業等法律法規制度的監管下進行采集，建立數據安全保障技術體系的數據來源基礎，確保數據采集符合等級保護要求。

3.2 數據傳輸保障

（1）傳輸敏感和重要的業務數據、管理數據和鑒別數據，在傳輸的流程中都要符合其分級定義的保密性。

（2）技術上將傳遞的數據進行加密保護，使用滿足國家和行業標準的加密算法，如國密SM2、SM3、SM4等，對這類數據進行加密傳輸。

（3）對內部和核心數據傳輸要保障數據傳輸過程符合等級保護要求，使用身份認證技術對傳輸用戶進行確認、記錄傳輸日志、進行日志審核，通過數據防泄漏技術保障數據傳輸安全。

3.3 數據存儲保障

（1）針對數據存儲，等級保護2.0要求對敏感和重要的業務數據、管理數據和鑒別數據的保存要符合其分級定義的保密性。

（2）數據及存儲介質應使用加密技術或其他有效的技術來確保數據保密。

（3）在數據存儲技術安全體系中，要確保數據的保密性、可用性和完整性。

（4）在可用性上對重要數據的管理建立有容災和備份機制，通過定期災備切換和備份恢復測試保障備份數據有效。

（5）按照等級保護2.0中不同級別的要求做好數據備份與恢復，使用數據掃描、數據審計、隔離多副本、數據自動校驗等技術手段確保數據完整性。

3.4 數據處理保障

（1）數據使用和處理中做到合法、合規，按要求規范處理數據。

（2）數據安全治理技術體系中數據處理安全防護目標是在等級保護2.0的要求下，數據只能在授權許可的范圍內被訪問，進行數據處理，保障數據不被竊取、泄露和損毀。

（3）僅處理必要數據。

（4）對數據的操作行為進行審計，確保數據的處理都是合法、合規的。

（5）使用數據脫敏技術標識內容，對敏感數據進行數據轉換、變形等數據操作，確保數據安全治理技術體系中數據處理符合等級保護要求。

3.5 數據共享保障

（1）數據安全治理體系中數據共享建設主要是管理和控制高密級數據流向低密級業務。

（2）建設一套符合等級保護2.0對數據安全要求的數據共享體系。

（3）業務上對共享數據可能造成安全影響范圍和程度進行風險估算評判。

（4）技術上對共享數據及接口間進行共享監測；對數據所有操作行為都有相應日志記錄，對操作行為及數據流進行審計；對數據進行共享操作時，要有識別高危風險的行為和管控。

（5）在信息共享傳輸的過程中，要保障數據的完整性，對數據來去可追溯，如果數據共享中數據完整性受到破壞，系統能夠及時檢測出，并有相應措施進行恢復。

3.6 數據銷毀保障

（1）數據銷毀要求有完善的機制來確保數據有效的銷毀，其中，對存儲介質如磁盤、磁帶和光盤等應有不同的刪除數據和銷毀技術，用可靠、有效、不可逆的銷毀技術保障被刪除的數據和被銷毀的信息不能被還原。

（2）技術上可分為邏輯數據銷毀和物理銷毀。邏輯數據銷毀可使用低級格式化、扇區破壞、多次覆寫磁盤數據等方式；物理銷毀可使用消磁、鹽酸滴注、焚毀等方式。

（3）等級保護2.0中要求存儲敏感信息數據和鑒定審核等信息數據的硬盤、移動存儲、磁帶和光盤等存儲設備在被清理或再次使用前要完全清除數據。

（4）數據安全技術保障體系建設，要按照數據的生命周期執行，在分類場景建設過程中，都要符合其對應的等級保護要求，才能形成一套完整的數據安全治理技術保障體系。

4 等級保護2.0的數據安全保護策略

等級保護2.0對數據安全防護的要求如下。

（1）能夠檢查、檢測業務信息系統中重要節點的數據風險，能夠分析識別預警數據攻擊行為、分析安全事件，對威脅數據安全的攻擊能夠及時檢測和響應，及時加以防御。

（2）對數據安全防護范圍從業務區域邊界開始，加強縱深防御。

（3）構建安全的計算環境，對數據進行動態防護，提高對數據安全的風險管理和控制。據此，提出以下數據安全保護策略。

4.1 檢查評估

依據國家相關法規的規定對信息系統數據進行分類、分級合規性檢查，審查這些重要信息數據在存儲、傳輸或使用上的安全性和合規性。對信息系統中的各類網絡安全威脅、信息系統脆弱漏洞環節等方面進行檢測，評估出業務信息系統的數據風險點和風險閾值，控制信息數據安全風險，消除數據安全隱患。

4.2 監控審計

對重要信息數據進行實時完整的動態監控和審計，對數據事件進行分析、判斷安全事件、識別報警和分析事件，發現對數據操作有不合法、不合規行為，需要按預定的應急預案進行處理和響應，及時制止不合法、不合規的數據操作，并保存相關證據，用于后續追查。

4.3 態勢感知

對各類風險評估事件和重要數據的安全檢查結果進行處理和分析，形成數據安全風險態勢，將結果應用于事件安全模型，分析出數據安全信息事件分布與走勢，發現信息系統中數據安全威脅，回溯發起威脅的源頭和路徑，有效地預防、阻止和追蹤產生數據安全風險的數據攻擊行為。

4.4 持續改進

隨著企業業務的不斷變化，其相應業務信息系統的范圍也會變化。因此，信息系統的安全等級需要根據實際情況重新定級；同時，按等級保護2.0要求重新確定數據安全的目標和要求。

根據等級保護2.0要求，運營使用單位或其主管部門在其信息業務系統實現后，應當依據相應法律、法規和制度要求，選擇符合規定條件和有評測資質的相關機構，定期測評信息系統的安全等級情況，例如等級保護2.0定義的三級系統，需要至少一年評測一次。在數據生命周期里，需要不斷地修訂數據安全的標準、制度和流程等，從而不斷提高信息安全水平，提升數據安全管理和控制能力。

5 結束語

本文分析等級保護2.0中對數據安全等級保護的要求，從數據安全治理的視角，結合數據全生命周期安全治理涉及的內容，提出依托等級保護2.0的數據安全技術保障體系建設方案，以及相關措施，使得數據在全生命周期中，滿足數據的完整性、保密性、可用性需求，滿足合法、合規要求和數據安全防護需求，確保重要數據安全，為企業信息系統安全保駕護航。