数据安全治理三步走之一：数据资产状况梳理

数据安全治理三步走之一：

数据资产状况梳理

数据安全治理是以“数据安全使用”为目标的综合管理理念，具体实现数据安全保护、敏感数据管理与合规性三个需求；数据安全治理涵盖数据的分类、梳理、管控与审计四大重要环节。由于数据的分级分类根据不同行业特点有着显著的区别，缺乏普遍性，所以笔者将在后续的文章中针对不同行业的数据分级分类进行说明，本系列文章将主要对数据的梳理、安全管控与稽核进行深入的说明。

本文从数据资产状况梳理的需求、技术挑战以及技术支撑三方面进行详细的阐述。

一. 数据资产状况梳理需求

1.1 数据使用部门和角色梳理

在数据资产的梳理中，需要明确这些数据如何被存储，需要明确数据被哪些部门、系统、人员使用，数据被如何使用。对于数据的存储和系统的使用，往往需要通过自动化的工具进行；而对于部门和人员的角色梳理，更多是要在管理规范文件中体现。对于数据资产使用角色的梳理，关键是要明确在数据安全治理中不同受众的分工、权利和职责。

组织与职责，明确安全管理相关部门的角色和责任，一般包括：

安全管理部门：制度制定、安全检查、技术导入、事件监控与处理；

业务部门：业务人员安全管理、业务人员行为审计、业务合作方管理；

运维部门：运维人员行为规范与管理、运维行为审计、运维第三方管理；

其它：第三方外包、人事、采购、审计等部门管理。

数据治理的角色与分工，需要明确关键部门内不同角色的职责，包括：

安全管理部门：政策制定者、检查与审计管理、技术导入者业务部门：根据单位的业务职能划分

运维部门：运行维护、开发测试、生产支撑

1.2 数据的存储与分布梳理

敏感数据在什么数据库中分布着，是实现管控的关键。

只有清楚敏感数据在什么库中分布，才能知道需要对什么样的库实现怎样的管控策略；对该库的运维人员实现怎样的管控措施；对该库的数据导出，实现怎样的模糊化策略；对该库数据的存储实现怎样的加密要求。

1.3 数据的使用状况梳理

在清楚了数据的存储分布的基础上，还需要掌握数据被什么业务系统访问。只有明确了数据被什么业务系统访问，才能更准确地制订这些业务系统的工作人员对敏感数据访问的权限策略和管控措施。

图5某运营商对敏感系统分布的梳理结果

以运营商行业上述梳理结果为例，这仅仅是一个数据梳理的基础，更重要的是要梳理出不同的业务系统对这些敏感信息访问的基本特征，如访问的时间、IP、访问的次数、操作行为类型、数据操作批量行为等，在这些基本特征的基础上，完成数据管控策略的制订。

二. 数据安全状况梳理技术挑战

组织需要确定敏感性数据在系统内部的分布情况，其中的关键问题在于如何在成千上百的数据库和存储文件中明确敏感数据的分布；组织需要确定敏感性数据是如何被访问的，如何掌握敏感数据在被什么系统、什么用户以什么样的方式访问；组织需要迅速确定当前的账号和授权状况，清晰化、可视化、报表化的明确敏感数据在数据库和业务系统中的访问账号和授权状况，明确当前权控是否具备适当的基础。

三. 数据安全状况梳理的技术支撑

3.1 数据静态梳理技术

静态梳理是基于端口扫描和登录扫描的方式完成对敏感数据的存储分布状况、数据管理系统的漏洞状况、数据管理系统的安全配置状况的信息采集技术，通过该技术帮助安全管理人员掌握系统的数据安全状态。

通过静态的扫描技术可以获得数据的以下基本信息：

a) 系统内的数据库列表，所分布的IP；

b) 根据数据特征，发现系统内不同类别和级别的数据如何分布；

c) 这些数据库中的安全漏洞和补丁状况，最严重的安全风险；

d) 数据库的账号和权限信息，特别是敏感信息标的账号和权限信息；

e) 数据库的安全配置状况。

3.2 数据动态梳理技术

动态梳理技术是基于对网络流量的扫描，实现对系统中的敏感数据的访问状况的梳理，包括：敏感数据的存储分布、敏感数据的系统访问状况、敏感数据的批量访问状况、敏感数据的访问风险。

通过动态梳理技术可以获得数据的以下基本信息：

a) 哪些IP（数据库主机）是数据的来源；

b) 哪些IP（业务系统或运维工具）是数据的主要访问者；

c) 敏感数据是如何被业务系统访问的（时间、流量、操作类型、语句）；

d) 敏感数据是如何被运维人员访问的（IP、用户、操作）。

3.3 数据状况的可视化呈现技术

通过可视化技术将静态资产和动态资产梳理技术梳理出的信息以可视化的形式呈现；比如敏感数据的访问热度、资产在组织内不同部门或业务系统内的分布、系统的账号和权限图、敏感数据的范围权限图：

图7 数据资产分布图

图8 数据访问热度图

图9 敏感数据账号和授权状况概况图

四. 小结

数据资产梳理是数据安全治理的核心步骤，只有了解了敏感数据的存储分布以及使用状况，才能更好的做好敏感数据的安全防护及稽核，为数据的使用安全做好必要的准备。