為有效提升上海市黨政機關(guān)和重點單位的技術(shù)能力與水平，1月11日，上海市委網(wǎng)信辦組織開展以“數(shù)據(jù)安全治理與合規(guī)流動經(jīng)驗分享”為主題的第三十二期網(wǎng)絡(luò)安全技術(shù)沙龍。全市26家黨政機關(guān)和重點單位相關(guān)網(wǎng)絡(luò)安全技術(shù)人員參加此次活動。

美創(chuàng)科技作為上海市委網(wǎng)信辦網(wǎng)絡(luò)安全技術(shù)支撐單位受邀參加，CTO周杰以《數(shù)據(jù)頻繁流動下安全應(yīng)對》為主題，針對數(shù)據(jù)交換流動典型場景及其面臨的安全挑戰(zhàn)，分享流動數(shù)據(jù)安全治理目標(biāo)和防治體系構(gòu)建思路。

數(shù)據(jù)流動是發(fā)揮數(shù)據(jù)要素乘數(shù)效應(yīng)，釋放數(shù)據(jù)要素價值的重要環(huán)節(jié)，但流動狀態(tài)中的數(shù)據(jù)所帶來的潛在風(fēng)險和挑戰(zhàn)日益凸顯，由此而引發(fā)的數(shù)據(jù)泄露、濫用等安全事件不斷涌現(xiàn)，給個人、組織和社會帶來了巨大的損害和風(fēng)險。

目前，數(shù)據(jù)流動安全的重要性日益得到重視，推動數(shù)據(jù)安全法規(guī)和法律的制定和強化，促使組織和企業(yè)加強對數(shù)據(jù)流動的保護措施。

周杰表示，美創(chuàng)“韌性”數(shù)據(jù)安全防護體系框架，將數(shù)據(jù)資產(chǎn)的三種不同表現(xiàn)形態(tài)分為：訪問計算（內(nèi)容）域、物理域（存儲域）、流動域。美創(chuàng)認為，數(shù)據(jù)流動的本質(zhì)在于“從安全受控環(huán)境流動到非安全環(huán)境甚至失控環(huán)境”，具體為：

• 數(shù)據(jù)在未知中流動。不知道是否有敏感數(shù)據(jù)，不知道敏感數(shù)據(jù)在哪里，這是數(shù)據(jù)流動的最大風(fēng)險。

• 數(shù)據(jù)在失控中流動。數(shù)據(jù)流動總是從高安全區(qū)域流動到低安全區(qū)域，最終流動到不受管控的區(qū)域。

• 數(shù)據(jù)在變形中流動。數(shù)據(jù)在流動過程中總是會進行不斷的處理和加工，在各種變形中逐漸失去控制。

因此，確保數(shù)據(jù)流動安全，需要讓安全貫穿于數(shù)據(jù)流動的全過程：在數(shù)據(jù)流動之前掌控數(shù)據(jù)；在數(shù)據(jù)流動失去控制之前，控制流動路線；當(dāng)數(shù)據(jù)流動失去控制之后，完成流動溯源或?qū)崿F(xiàn)流動限制。

數(shù)據(jù)安全流動治理體系建設(shè)

結(jié)合美創(chuàng)在數(shù)據(jù)安全流動的建設(shè)實踐，周杰對數(shù)據(jù)安全流動治理體系建設(shè)進行介紹，指出：

數(shù)據(jù)流動安全治理應(yīng)以數(shù)據(jù)為中心，厘清組織數(shù)據(jù)流動現(xiàn)狀，梳理數(shù)據(jù)流向圖，通過內(nèi)部數(shù)據(jù)流轉(zhuǎn)環(huán)境及數(shù)據(jù)流轉(zhuǎn)各環(huán)節(jié)數(shù)據(jù)安全風(fēng)險識別，結(jié)合外部數(shù)據(jù)安全風(fēng)險識別分析，從管理、技術(shù)和運營完整的進行數(shù)據(jù)流動安全建設(shè)，并基于PDAC方法論由淺入深，進行可持續(xù)動態(tài)化治理，保障數(shù)據(jù)在主責(zé)明確、流動監(jiān)管過程中的安全使用，不斷激活數(shù)據(jù)價值。

具體包括：

建立健全數(shù)據(jù)安全管理制度規(guī)范，構(gòu)建自上而下數(shù)據(jù)安全治理組織，明確部門職責(zé)分工、對人員定責(zé)定崗，實現(xiàn)不同數(shù)據(jù)角色對數(shù)據(jù)流動安全監(jiān)管過程中的不同權(quán)限與職能的落地提供有效支撐。

結(jié)合智能化數(shù)據(jù)安全分類分級平臺形成數(shù)據(jù)資產(chǎn)目錄和安全數(shù)據(jù)清單，全面掌握數(shù)據(jù)資產(chǎn)分類分級及重要/個人數(shù)據(jù)的情況，實現(xiàn)數(shù)據(jù)安全標(biāo)準(zhǔn)化、規(guī)范化、常態(tài)化的管理，確保數(shù)據(jù)可見可知，保障數(shù)據(jù)在安全的基礎(chǔ)上合規(guī)流動。

美創(chuàng)科技敏感數(shù)據(jù)可信流動管控系統(tǒng)是從數(shù)據(jù)流轉(zhuǎn)業(yè)務(wù)場景出發(fā)，通過數(shù)據(jù)資產(chǎn)梳理、數(shù)據(jù)流轉(zhuǎn)監(jiān)測、安全風(fēng)險監(jiān)測、泄密審計追溯等能力，建立數(shù)據(jù)在跨界、跨境流轉(zhuǎn)過程中的數(shù)據(jù)安全治理及風(fēng)險進行監(jiān)控的一體化系統(tǒng)。系統(tǒng)通過分類分級技術(shù)手段，配合合規(guī)訴求，建立敏感資產(chǎn)；對可信流動網(wǎng)絡(luò)內(nèi)的節(jié)點執(zhí)行動態(tài)身份檢測，確保只有可信的身份節(jié)點才能存在于可信流動網(wǎng)絡(luò)中；對于敏感數(shù)據(jù)流出可信流動網(wǎng)絡(luò)，增加脫敏、水印、加密等技術(shù)手段，用于在失控的環(huán)境里面最大程度保護敏感數(shù)據(jù)。

美創(chuàng)數(shù)據(jù)安全管理平臺，基于云端架構(gòu)，全面融合數(shù)據(jù)安全管理、數(shù)據(jù)安全能力、數(shù)據(jù)安全可視化，實現(xiàn)流動場景防護和云上各種場景的覆蓋，并從風(fēng)險評估、風(fēng)險檢測、風(fēng)險治理、工單處置、處置核查、安全績效考核提供一站式安全運營能力，量化安全運營過程和結(jié)果，通過處置稽核、策略校驗等方式沉淀知識庫，讓安全運營具有可持續(xù)優(yōu)化的能力，不斷提升安全水位。

五大基礎(chǔ)技術(shù)支撐流動安全保護

數(shù)據(jù)流動安全需要結(jié)合多種技術(shù)，采用最小授權(quán)原則，縮小信任面，在數(shù)據(jù)流動路徑上設(shè)置監(jiān)測點，跟蹤數(shù)據(jù)流動的全生命周期。周杰詳細分享數(shù)據(jù)流動安全保護的五大基礎(chǔ)技術(shù)支撐，以及前沿探索創(chuàng)新替代技術(shù)發(fā)展路徑：

從CPU、操作系統(tǒng)到數(shù)據(jù)庫，使用安全可靠產(chǎn)品，從底層核心保護數(shù)據(jù)，縮小風(fēng)險。創(chuàng)新替代技術(shù)：安全可信計算中心(TEE，Trusted Execution Environment) 。

靜態(tài)脫敏解決數(shù)據(jù)的外發(fā)問題，動態(tài)脫敏解決數(shù)據(jù)的實時訪問問題，從而讓敏感數(shù)據(jù)始終處于一個安全的邊界內(nèi)。創(chuàng)新替代技術(shù)：基于FPE算法的數(shù)據(jù)密態(tài)流轉(zhuǎn)、差分隱私。

安全一般分事前，事中，事后，其中，事后追溯是很重要的一環(huán)。任何安全問題必須追蹤到人，安全說到底是人和人之間的對抗，只有真正追溯到人，才會有威懾力。水印進階技術(shù)探索實踐：通過水印鏈構(gòu)建數(shù)據(jù)流動的可信流動網(wǎng)絡(luò)

加密技術(shù)，以密鑰確定訪問邊界，最大程度縮小可信范圍。加密應(yīng)該無處不在，從存儲加密、傳輸加密、訪問加密到數(shù)據(jù)生命周期的控制，加密技術(shù)都可以提供很大的幫助。創(chuàng)新替代技術(shù)：基于區(qū)塊鏈的數(shù)據(jù)確權(quán)。

如果基于密文的計算能夠更進一步，那么隱私計算所能帶來的收益是非常巨大的。目前類似TEE的技術(shù)其實也能在一定程度縮小可信范圍。

此外，周杰對“政務(wù)數(shù)據(jù)頻繁的橫向、縱向流動”、“行業(yè)特性數(shù)據(jù)在上下游頻繁流動”、“ 企業(yè)集團、分支數(shù)據(jù)頻繁的縱向流動”等典型場景進行分析，分享美創(chuàng)數(shù)據(jù)安全流動案例實踐，并和與會人員就數(shù)據(jù)安全權(quán)責(zé)劃分、數(shù)據(jù)安全和網(wǎng)絡(luò)安全體系構(gòu)建差異性等展開討論。