一、為何要構建數(shù)據(jù)中臺安全近幾年來，“中臺”一詞在企業(yè)社會數(shù)字化轉型中被不斷提起，今天，綠盟君將與大家一起討論如何構建中臺的數(shù)據(jù)安全體系。數(shù)據(jù)安全聚焦數(shù)據(jù)，那么中臺的數(shù)據(jù)安全聚焦的便是在數(shù)據(jù)中臺下如何構建數(shù)據(jù)安全體系，或者直接稱之為“數(shù)據(jù)安全中臺”。
首先我們從數(shù)據(jù)中臺的業(yè)務邏輯入手，共同找尋數(shù)據(jù)中臺中數(shù)據(jù)和安全的結合點。
1.1數(shù)據(jù)中臺通用業(yè)務邏輯
圖 1.1數(shù)據(jù)中臺通用業(yè)務邏輯
上圖中沒有出現(xiàn)任何“中臺”字眼，那么它和數(shù)據(jù)中臺有什么關系呢?顧名思義，數(shù)據(jù)中臺必然是聚焦在數(shù)據(jù)層面提供中臺能力的存在，但只論“存在”二字難免有些狹隘的把數(shù)據(jù)中臺靜態(tài)化了，數(shù)據(jù)安全更關注的是動態(tài)的數(shù)據(jù)流轉，所以我們關注數(shù)據(jù)中臺業(yè)務邏輯，是因為“以數(shù)據(jù)中臺價值為目標的建設過程和場景應用”才是安全建設防護的核心對象。
???????這也是我們?yōu)槭裁丛?ldquo;中臺數(shù)據(jù)安全”概念中為何不圈定業(yè)務中臺進來。本質(zhì)上數(shù)據(jù)中臺和業(yè)務中臺就是緊耦合的關系，數(shù)據(jù)中臺提供“數(shù)據(jù)業(yè)務化”的支撐給業(yè)務中臺，業(yè)務中臺提供“業(yè)務數(shù)據(jù)化”反哺給數(shù)據(jù)中臺，相互促進優(yōu)化。防護好了數(shù)據(jù)中臺的數(shù)據(jù)安全，業(yè)務中臺的數(shù)據(jù)安全隨之明朗。
1.2數(shù)據(jù)中臺安全關注點
???????數(shù)據(jù)安全固然聚焦數(shù)據(jù)的流轉，但在體系化的理念加持下防護的對象必然涉及數(shù)據(jù)中臺建設和應用過程中的一切，基礎設施安全、運維過程安全、數(shù)據(jù)處理安全、數(shù)據(jù)應用安全以及數(shù)據(jù)價值發(fā)揮的過程安全。
???????接下來我們將從這些關注點逐步剖析數(shù)據(jù)中臺業(yè)務過程中的安全風險和訴求。
二、數(shù)據(jù)中臺常見風險識別2.1基礎設施
???????數(shù)據(jù)中臺的建設，通常始于數(shù)據(jù)的匯聚，匯聚的過程中先暫且不關注各數(shù)據(jù)源的原始數(shù)據(jù)庫和匯聚方式，但到了數(shù)據(jù)湖區(qū)，歸集數(shù)據(jù)的存儲則是不能繞開的核心環(huán)節(jié)。
???????數(shù)據(jù)湖區(qū)的中心庫源于各種開源組件架構的大數(shù)據(jù)平臺、關系型數(shù)據(jù)庫、文件存儲服務器等基礎設施，甚至在一些特定行業(yè)領域會應用各種多媒體存儲設施。除此之外存儲服務宿主的服務器、運維管理的主機等設施都必不可少。
???????硬件服務器、主機、開源組件、數(shù)據(jù)庫以及數(shù)據(jù)導入導出的傳輸通道和過程，通常容易出現(xiàn)漏洞、弱口令、主機木馬、病毒、拖庫、撞庫等風險，這些風險并不會因為進入數(shù)字化時代而消弭，而是每時每刻都不能被忽略。
2.2數(shù)據(jù)運維
???????數(shù)據(jù)進入湖區(qū)，經(jīng)過治理后形成各種主題庫/專題庫的數(shù)據(jù)倉庫，針對數(shù)據(jù)湖區(qū)、數(shù)據(jù)倉庫中存放數(shù)據(jù)的日常運維，數(shù)據(jù)治理過程的編目、梳理等服務介入，處處都是大量數(shù)據(jù)訪問行為和數(shù)據(jù)外流的真實現(xiàn)狀，大量的人員深度接觸數(shù)據(jù)的場景中，業(yè)務的需要致使數(shù)據(jù)治理、維護在得到人工服務推進的同時也給人員提供了大量獲取數(shù)據(jù)的便利。
數(shù)據(jù)治理是提升數(shù)據(jù)質(zhì)量和價值的必經(jīng)之路，但是如果完全因業(yè)務需要而驅(qū)動數(shù)據(jù)在“外人”面前裸奔是有極大風險的，所以針對不同人員、不同級別/類別的數(shù)據(jù)，應用必要的安全措施也是必不可少的。
2.3數(shù)據(jù)處理及應用
???????數(shù)據(jù)在治理過程中、在BI分析過程中、在數(shù)據(jù)開發(fā)測試中、在應用到人工智能、機器學習等使用過程中，數(shù)據(jù)的流轉是否合理、是否在有效權限下被使用、是否被有效監(jiān)控和檢測等，這些場景中在未發(fā)現(xiàn)數(shù)據(jù)泄露之前很可能在上面的一系列過程中無論數(shù)據(jù)owner還是服務提供方誰都說不清到底發(fā)生過什么，和會發(fā)生什么。
??????????????所以在數(shù)據(jù)的處理和應用過程中，每個場景、每個對數(shù)據(jù)的訪問行為和每個數(shù)據(jù)流轉的去向都是不可信的。
???????此外，數(shù)據(jù)的風險也不能單單滿足于事后發(fā)現(xiàn)再去定位回溯追蹤，事中的感知乃至事前的預判和預防都是需要主動去碰撞的。
2.4數(shù)據(jù)業(yè)務化
???????前面提到數(shù)據(jù)中臺和業(yè)務中臺的緊耦合性，意味著數(shù)據(jù)中臺對業(yè)務中臺的業(yè)務支持以及業(yè)務前臺對數(shù)據(jù)&業(yè)務雙中臺的依賴都是不能割裂的。因為數(shù)據(jù)中臺形成的數(shù)據(jù)集市最終是要把數(shù)據(jù)給到業(yè)務中臺，給到業(yè)務前臺，所以從數(shù)據(jù)流轉鏈路看，這個邊界很有必要圈住業(yè)務前臺——通常是業(yè)務應用系統(tǒng)。
???????無論是門戶網(wǎng)站也好，定制業(yè)務的集成接口服務也好，還是應用程序或是數(shù)據(jù)開放環(huán)境等基礎設施，如果Web防護的不好、接口安全機制不完備、開放原則和權限策略不明確等等，這些對象都會成為被攻擊的目標，也會成為被拖走數(shù)據(jù)的入口，如果忽略了這一環(huán)，中臺加固的再好依舊改變不了數(shù)據(jù)泄露的現(xiàn)實。
三、數(shù)據(jù)中臺下綠盟數(shù)據(jù)安全構建思路
3.1數(shù)據(jù)安全建設思路
???????數(shù)據(jù)安全建設應該走一條什么樣的路線?Gartner的DCAP，NIST CSF的IPDR，以及真實場景的實踐反饋，無一例外都指明數(shù)據(jù)安全最基礎的一環(huán)就是摸清家底——數(shù)據(jù)資產(chǎn)的管理。得益于數(shù)據(jù)中臺數(shù)據(jù)治理過程，基于數(shù)據(jù)的層層標準化治理和分類分級切分，安全已經(jīng)站在了較高的臺階，更多需要聚焦的是敏感數(shù)據(jù)和針對敏感數(shù)據(jù)應如何制定安全策略。
???????可能這里會讓人產(chǎn)生一個邏輯上的疑問——到底是先讓數(shù)據(jù)治理把數(shù)據(jù)理順，之后再搭建數(shù)據(jù)層面的安全策略，還是先設置安全的門檻然后才能動手治理數(shù)據(jù)?
???????其實原則很簡單，安全和業(yè)務不應有先后，需要尋找的是平衡，莫不如讓安全出面來治理數(shù)據(jù)，讓安全為數(shù)據(jù)治理保駕護航，狹隘一點姑且將其也稱之為“數(shù)據(jù)安全治理”。
???????綜上所述，做好數(shù)據(jù)中臺的數(shù)據(jù)安全體系構建，敏感數(shù)據(jù)的管理能力是貫穿安全防護整個中臺建設過程和所有應用場景的大前提。無論是針對數(shù)據(jù)庫、大數(shù)據(jù)平臺等基礎設施的防護，還是數(shù)據(jù)運維場景、BI分析、數(shù)據(jù)處理訪問的風險控制，精確到數(shù)據(jù)層面的權限策略和相應措施，都是把數(shù)據(jù)安全做到位，做徹底的關鍵。
???????下面我們一起來看一下綠盟科技在數(shù)據(jù)中臺下搭建數(shù)據(jù)安全體系時如何兌現(xiàn)這一理念和思路。
3.2綠盟數(shù)據(jù)安全體系構建路線
圖 1.2 綠盟數(shù)據(jù)中臺安全體系架構
???????結合前文提到的理念和數(shù)據(jù)中臺業(yè)務邏輯中識別的風險及防護對象，我們的思路如上圖所示：
???????敏感數(shù)據(jù)資產(chǎn)化的管理能力，是貫穿始終的核心和關鍵，“發(fā)現(xiàn)識別->分類分級->權限策略”和IPDR架構的“Identification”理念高度契合。同時可視化技術也是資產(chǎn)化管理的有效手段，為整個體系的安全目標打好數(shù)據(jù)資產(chǎn)可見、可管、可控的扎實基礎。
???????結合數(shù)據(jù)中臺業(yè)務邏輯的風險識別分析，我們把能力架構分層次的摞了一下，先從基礎設施的防護做起，基礎設施/組件的漏洞發(fā)現(xiàn)、配置核查，基礎數(shù)據(jù)庫的防護，服務主機終端的加固防泄漏，傳輸安全等能力來保障基礎環(huán)境和設施的安全。
???????依據(jù)數(shù)據(jù)中臺的建設邏輯，數(shù)據(jù)的運維層面，結合敏感數(shù)據(jù)管理策略，應用運維堡壘機、脫敏、加密、水印等技術保障簡單業(yè)務邏輯場景下的數(shù)據(jù)安全訪問，并沉淀可審計、可追溯的能力基礎——日志和水印。
???????到了數(shù)據(jù)被分析、處理、應用的場景下，面對在BI分析過程中、在數(shù)據(jù)開發(fā)測試中、在應用到人工智能、機器學習等使用過程中，數(shù)據(jù)的流轉是否合理，是否在有效權限下被使用，是否被有效監(jiān)控和檢測等需求和痛點問題時，因場景的復雜多元，安全也需要更多的數(shù)據(jù)、更智能的技術、更多維的視角來支撐。
???????綠盟數(shù)據(jù)安全體系中以ISOP-DS平臺為牽引，通過探針、終端、邊界的產(chǎn)品聯(lián)動，針對應用系統(tǒng)日志、安全審計日志、數(shù)據(jù)訪問和流轉的流量日志等安全大數(shù)據(jù)的采集和建倉形成支撐解決問題和風險的核心基座?；诿舾袛?shù)據(jù)權限策略貫穿牽引和全場景零信任的權限管控，通過UEBA、NTA等技術支撐多維數(shù)據(jù)分析、多環(huán)節(jié)數(shù)據(jù)關聯(lián)、多路徑行為監(jiān)控能力的應用，有效實現(xiàn)敏感數(shù)據(jù)異常流轉感知、敏感數(shù)據(jù)訪問行為識別和監(jiān)控。多源采集數(shù)據(jù)同樣支撐著對已發(fā)生數(shù)據(jù)安全風險事件的追溯定位和風險預警后的處置決策，采集數(shù)據(jù)的分析充分和ISOP-DS的運營工作臺結合，融合Soar的自適應編排響應處置能力快速實現(xiàn)風險閉環(huán)。
???????此外，前文提到數(shù)據(jù)中臺安全的邊界是要延展到業(yè)務前臺的，針對Web應用的防護和防篡改，集成接口服務的接口流量監(jiān)控檢測，開發(fā)測試環(huán)境主機自身及應用的終端防泄漏，數(shù)據(jù)開放的風險控制，ISV的終端和網(wǎng)絡邊界防泄漏……同樣都是數(shù)據(jù)中臺下數(shù)據(jù)安全體系中不可缺少的一環(huán)。
???????最后，還是回到安全行業(yè)的那句老話上——“安全三分靠產(chǎn)品七分靠服務”。數(shù)據(jù)場景的咨詢評估、數(shù)據(jù)運營、數(shù)據(jù)安全運營等服務在數(shù)據(jù)安全領域都是必不可少的，無論對象是數(shù)據(jù)中臺還是數(shù)據(jù)平臺。安全運營是充分發(fā)揮產(chǎn)品能力價值和持續(xù)保障安全效果的最直接有效的手段，同樣也是提升產(chǎn)品能力和智能化程度的有效指引。
四、小結 ???????除了前面已經(jīng)提到的“Identification”，我們從基礎設施安全、數(shù)據(jù)運維安全、數(shù)據(jù)服務安全在數(shù)據(jù)中臺的安全體系中來看，契合的剛好是IPDR的“Protection”，而數(shù)據(jù)處理及應用安全更多體現(xiàn)的是“Detection”，同時結合運營服務剛好完整閉合了“Response”這一環(huán)。
???????值得一提的是，傳統(tǒng)安全的防護能力并非到了大數(shù)據(jù)場景和數(shù)字化時代、人工智能時代就過時了，在我們的核心理念中，敏感數(shù)據(jù)的資產(chǎn)化管理來穿針引線，貫穿整個體系架構中的每一層每一環(huán)，形成點到面的拉通覆蓋，讓數(shù)據(jù)庫的防護也踏踏實實落到數(shù)據(jù)層面，字段粒度乃至內(nèi)容粒度，那么每一種安全的能力都不是一個人在戰(zhàn)斗。
五、綠盟數(shù)據(jù)安全產(chǎn)品系列 ???????綠盟數(shù)據(jù)安全團隊，致力于融合平臺、產(chǎn)品、服務等能力構建體系化數(shù)據(jù)安全解決方案，從頂層設計規(guī)劃、咨詢評估到產(chǎn)品落地、綜合運營保障，全方位保障數(shù)據(jù)全生命周期安全。
???????目前綠盟科技已經(jīng)形成集：數(shù)據(jù)安全智能運營平臺(ISOP-DS)、敏感數(shù)據(jù)發(fā)現(xiàn)于風險評估系統(tǒng)(IDR)、數(shù)據(jù)防泄漏系統(tǒng)(網(wǎng)絡DLP+終端DLP+郵件DLP+存儲DLP)、數(shù)據(jù)庫審計(DAS)、數(shù)據(jù)庫防火墻(DAS-FW)、數(shù)據(jù)脫敏系統(tǒng)(DMS)、零信任系統(tǒng)\全流量探針(UTS)等全系列數(shù)據(jù)安全產(chǎn)品，并提供數(shù)據(jù)安全合規(guī)評估、數(shù)據(jù)安全管理體系建設咨詢、數(shù)據(jù)分類分級、個人信息安全影響評估、數(shù)據(jù)安全駐場運營、數(shù)據(jù)安全遠程專家咨詢等服務。
???????專業(yè)的數(shù)據(jù)安全專家團隊，成熟的產(chǎn)品、服務模式，才能提供前沿安全的數(shù)據(jù)體驗。
綠盟科技相關產(chǎn)品簡介
·數(shù)據(jù)安全智能運營平臺(ISOP-DS)
結合探針與大數(shù)據(jù)智能分析能力，提供數(shù)據(jù)資產(chǎn)管理、數(shù)據(jù)風險監(jiān)控、數(shù)據(jù)事件閉環(huán)處理、數(shù)據(jù)安全綜合態(tài)勢能力。
·敏感數(shù)據(jù)發(fā)現(xiàn)于風險評估系統(tǒng)(IDR)
捍衛(wèi)數(shù)據(jù)安全的第一步!全網(wǎng)數(shù)據(jù)資產(chǎn)測繪，智能數(shù)據(jù)分類分級，實時數(shù)據(jù)流轉測繪，平臺組件安全掃描。
·數(shù)據(jù)防泄漏系統(tǒng)(網(wǎng)絡DLP+終端DLP+郵件DLP+存儲DLP)
敏感信息定位，泄露風險防控、安全事件取證。
·數(shù)據(jù)庫審計(DAS)
數(shù)據(jù)操作異常實時發(fā)現(xiàn)，數(shù)據(jù)風險事件閉環(huán)追蹤。
·數(shù)據(jù)庫防火墻(DAS-FW)
攻擊風險可防，非法訪問可控、可疑行為可審。
·數(shù)據(jù)脫敏系統(tǒng)(DMS)
一款能量化敏感數(shù)據(jù)重識別風險，同時做到敏感數(shù)據(jù)可用不可見、所需方可見的集脫敏數(shù)據(jù)風險評估、動態(tài)脫敏、靜態(tài)脫敏功能于一體的產(chǎn)品。
·零信任系統(tǒng)
基于認證授權、鏈路加密等技術的的零信任訪問安全系統(tǒng)，可建立統(tǒng)一的用戶可信訪問控制通道，通過持續(xù)驗證、動態(tài)多層級、細粒度的授權控制，打造基于用戶、設備、應用、API的動態(tài)可信訪問安全。并支持與數(shù)據(jù)安全運營平臺對接提供完整基于數(shù)據(jù)與人員權限的管控能力。
（免責聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準確性及可靠性，但不保證有關資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網(wǎng)站對有關資料所引致的錯誤、不確或遺漏，概不負任何法律責任。
任何單位或個人認為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權或存在不實內(nèi)容時，應及時向本網(wǎng)站提出書面權利通知或不實情況說明，并提供身份證明、權屬證明及詳細侵權或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關文章源頭核實，溝通刪除相關內(nèi)容或斷開相關鏈接。 ）
