大数据安全评估与测评技术

01 02 大数据安全评估与测评 政策法规 02 数据安全法律法规 中华人民共和国数据安全法 中华人民共和国个人信息保护法 网络数据安全管理条例（征求意见稿） 网络数据分类分级要求（征求意见稿） 工业和信息化领域数据安全管理办法（试行） 工业和信息化领域数据安全管理办法（试行） •安全检测与认证：鼓励、引导具有相应资质的机构，依据相关标准开展行业数据安全检测、认证工作； •工业和信息化部：制定评估机构管理制度和规范，指导评估机构开展数据安全风险评估、合规评估、能力评估、出境评估等工作； •工业和信息化领域重要数据和核心数据处理者：自行或委托第三方评估机构，每年至少开展一次安全评估，及时整改风险问题，并报送评估报告。 核心数据、重要数据判别 《网络数据安全管理条例（征求意见稿）》 第七十三条（四）：核心数据是指关系国家安全、国家经济命脉、重要民生和重大公共利益等的数据； 第七十三条（三）：重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据。 出 口 管 制 数 据 ，出 口 管 制 物 项 涉及 的 核 心 技 术 、设 计 方 案 、 生 产工 艺 等 相 关 的 数据， 密码、生物、电 子 信 息 、 人 工智 能 等 领 域 对 国家 安 全 、 经 济 竞争 实 力 有 直 接 影响 的 科 学 技 术 成果数据: 未公开的政务数据工作秘密、情报数据和执法司法数据; 工业、电信、能源交通、水利、金融、国防科技工业、海关、税务等重点行业和领域安全生产运行的数据，关键系统组件、设备供应链数据; 国 家 法 律 、行 政 法 规 、部 门 规 章 明确 规 定 需 要保 护 或 者 控制 传 播 的 国家 经 济 运 行数 据 、 重 要行 业 业 务 数据 、 统 计 数据等: 达 到 国 家 有关 部 门 规 定的 规 模 或 者精 度 的 基 因 、地 理 、 矿 产 、气 象 等 人 口与 健 康 、 自然 资 源 与 环境 国 家 基 础数据 国家基础设施、关键信息基础设施建设运行及其安全数据，国防设施、军事科研生产单位等重要敏感区域的地理位置、安保情况等数据 其 他 可 能 影响 国 家 政 治 、国 土 、 军 事 、经 济 、 文 化 、社 会 、 科 技 、生 态 、 资 源 、核 设 施 、 海外 利 益 、 生物 、 太 空 、极 地 深 海 等安全的数据 重要数据识别规则 重要数据描述格式 重要数据处理者的数据安全责任 《网络数据安全管理条例（征求意见稿）》第三十二条： 开展数据安全评估 市级网信部门 自行或委托数据安全服务机构 每年一次 于1月31日前提报上一年度数据安全评估报告 【定期评估】年度数据安全评估报告的内容： 保留期限：数据处理者应当保留风险评估报告至少三年。 【场景评估】重点评估内容： 1、重要数据处理情况2、发现风险及处置措施3、管理制度及实施情况，防护措施及有效性4、国家法律、行政法规和标准落实情况5、安全事件及处置情况6、共享、交易、委托处理、向境外提供重要数据的安全评估情况7、投诉及处理情况8、国家网信部门和主管、监管部门明确的其他数据安全情况 1、提供方与接收方的合法性、正当性、必要性2、泄露、损毁、篡改、滥用的风险，以及对国家安全、经济发展、公共利益带来的风险3、数据接收方背景情况及有效保障数据安全的能力4、合同中针对数据安全保护义务的有效约束性5、管理和技术措施的风险防范能力 报告共享：依据部门职责分工，网信部门与有关部门共享报告信息。 评估认为可能危害国家安全、经济发展和公共利益，数据处理者不得共享、交易、委托处理、向境外提供数据。 01 基于风险控制的数据安全管理体系 基于风险控制的思想是建立自我持续改进和发展的数据安全管理体系，使用合理成本投入达到可接受的数据安全目标。保护数据资产，将安全事件的损失和影响降到可接受程度。 开展数据安全风险评估，识别、分析和评价风险为处理风险选择控制目标和控制措施 数据安全风险评估 数据安全风险评估在原有信息安全风险评估理论基础上，更多关注于数据资产本身的安全性，呈现出围绕数据资产、强调数据应用场景的特点。其核心是对潜在风险进行发现，包括数据资产类型识别、处理活动合规点识别、已有合规措施识别、数据价值识别、已有技术安全措施识别、脆弱性识别、威胁识别等。 数据安全风险评估能够帮助企业发现自身数据安全问题和短板，明确数据安全保护需求，为建设数据安全管理和技术手段指明方向。 数据安全风险评估-评估手段 数据安全风险评估技术 大数据安全评估法 场景化数据安全评估法 生命周期数据安全评估法 •数据采集阶段：数据分级分类、数据采集安全处理、数据源鉴别和记录、数据质量管理；•数据传输阶段：数据传输加密、网络可用性管理；•数据存储阶段：存储媒体安全、逻辑存储安全、数据备份和恢复；•数据处理阶段：数据脱敏、数据分析安全、数据正当使用、数据处理环境安全、数据导入导出安全；•数据交换阶段：数据共享安全、数据发布安全、数据接口安全；•数据销毁阶段：数据销毁处置、存储媒体销毁处置； •数据访问账号和用户权限管理：通过账号专人专用、账号独立、账号授权审批、最小授权、账号及时回收、行为内部审计、定期账号稽核等方式控制；•数据使用过程的访问权限管理：建议批量操作审批、高敏感数据访问审批、批量操作和高敏感数据访问的指定设备、地点、访问过程内部审计记录、开发测试访问模糊化、访问行为定期稽核等方式控制；•数据共享（提取）权限管理：通过最小共享和泛化、共享（提取）审批、最小使用范围、责任传递、定期稽核等方式控制；•定期权限稽核：主要通过数据安全的合规性检查、操作监管或稽核、数据访问账号和权限的监管与稽核、业务单位和运维的数据访问过程的合法性监管与稽核、日志风险分析与数据安全性测试等方式控制；•数据存储管理：通过涉密数据存储的网络区隔、敏感数据存储加密、备份访问管理、存储设备的移动管理、存储设备的销毁管理等方式控制。 在数据通用过程中，加强数据安全策略、组织和人员管理、数据供应链安全、元数据安全、终端数据安全、监控与内部审计、鉴别与访问控制、需求分析、安全事件应急。 建立 数据安全风险矩阵 •建立风险差距矩阵：明确数据流的业务目的、涉及系统和业务流程的数据安全、保密和合规要求；•执行安全威胁建模：识别数据流的机密数据所需跨越的信任边界，应对数据安全性、策略、流程或实施要求的可能变化；•分析数据安全风险：针对现有数据安全的保护控制、技术和行为进行风险/差距分析，识别现有保护措施未能解决的威胁，评估相关风险；•确定风险消除措施：列出使各项风险达到可接受水平所需额外控制措施、技术和活动，评估每项风险成本/收益，决定是否以及如何降低、转移确定风险；•评估消除措施有效性：如存在不可接受风险，审查前述结果并重新启动整个风险评估周期 数据安全风险评估的基础-数据资产识别 数据资产识别是一个“摸清家底”的过程，从而建立企业数据资产台账，掌握数据重要程度，是风险评估的基础，也是数据分类分级管理的基础。 数据安全风险评估的主线-数据应用场景 数据应用场景与数据生命周期息息相关，不仅包括数据收集/产生、传输、存储等过程，还包括数据调取、加工分析、外发等处理活动。每个数据类型都对应着多个数据应用场景，随之而来潜在的安全风险和合规风险。 数据安全风险评估结果支撑数据安全分类分级管理 根据数据安全风险评估结果，针对每一个数据安全风险，结合被影响的数据资产重要程度，选择适当的数据安全控制措施，实现数据分类分级管理与保护。 数据安全风险评估-评估方式 自评估 数据处理者可根据相关法律法规及相应标准自行开展评估工作。 第三方评估 数据处理者委托第三方具有数据安全测评服务资质的机构进行评估工作。 数据安全风险评估实施步骤-评估流程 数据安全风险评估-具体工作和主要产出物 数据安全风险评估实施步骤涵盖评估准备、信息调研、风险识别（数据应用场景识别、数据威胁识别、脆弱性识别、已有安全措施识别）综合分析和评估总结5大步骤。最终分别输出数据资产清单、数据应用场景分析报告、数据威胁报告、脆弱性报告和风险分析报告。 数据安全风险评估实施步骤-数据应用场景识别 数据应用场景识别包括业务流程或使用流程、相关数据活动、参与主体。 数据应用场景包括主业务调用数据的场景、数据被其他业务系统调取的场景、对组织外部提供数据的场景（合作业务）、员工访问数据的场景、第三方服务人员访问数据的场景等 数据活动包括但不限于数据提取、数据获取、数据整合、数据分析、结果存储、数据下载、数据外发、结果展示等。 流程各环节参与主体包括人员、内外部系统、内外部接口等。 数据应用场景分析报告 数据安全风险评估实施步骤-数据威胁识别 主要分析数据在应用场景流转过程中，可能影响数据机密性、完整性、可用性及可控性的威胁类型，并进一步分析其属性，包括攻击动机、攻击能力、威胁发生概率，并对其属性进行赋能 数据安全风险评估实施步骤-脆弱性识别 通过分析脆弱性对数据机密性、完整性、可用性、可控性影响，判断对数据影响的严重程度。脆弱性识别所采用的方法主要有：问卷调查、工具检测、人工核查、文档查阅、渗透性测试等。 数据安全风险评估实施步骤-已有安全措施识别 预防性安全措施可以降低数据威胁，利用脆弱性导致安全事件发生的可能性，如威胁情报系统、数据安全审计、数据安全风险评估等。保护性安全措施可以减少因安全事件发 生后对数据、业务或组织造成的影响。 数据安全风险评估实施步骤-风险分析 评估后果–输入：应用场景内已识别的相关事件情景，包括威胁、脆弱点、数据资产、已有和计划的控制措施。 –活动：应用场景中脆弱性与具体安全措施关联分析后，判断脆弱性可利用程度和脆弱性对数据资产影响的严重程度；根据脆弱性对数据影响严重程度及数据重要程度计算安全事件后果。评估事件可能性 –输入：应用场景内已识别的相关事件情景，包括威胁、暴露的脆弱点、现有和计划的控制措施数据。 –活动：根据应用场景中数据威胁与脆弱性利用关系，结合数据威胁发生可能性与脆弱性可利用性判断安全事件发生的可能性。估算风险级别 –活动：根据应用场景中安全事件发生的可能性以及安全事件后果，判断风险值。 数据安全风险评估实施步骤-残余风险评估 被评估组织按照风险安全整改建议全部或部分实施整改工作后，对仍然存在的安全风险进行识别、控制和管理的活动。 定期开展 降低风险 增加管控措施 依据组织的风险评估准则进行残余风险评估，判断是否已经将至可接受水平，为风险管理提供输入。 应定期开展残余风险再评估，评估结果应作为风险管理重要输入。 残余风险仍处于不可接受的风险范围内，则应由管理层依据风险接受原则考虑是否接受此类风险或增加更多的风险控制措施。 大数据风险评估 XX金融数据安全案例 客户需求：XX集团商业保理系统是一套以融资、账款、授信管理为综合的金融保理系统，系统主要托管于运营商机房，考虑到系统托管的安全问题，特别是数据安全问题，需要针对托管区域进行安全整体加固；同时，保理系统作为一套金融相关系统，需要满足三级等保的要求，方可进行业务开展。 解决方案：1.为客户提供整体等保三级设计方案，相关产品的选型服务，后期实施服务，以及等保测评的技术支持； 2.提供自主研发产品，包括：大数据安全总控平台、大数据安全风险评估工具箱、数据库审计、堡垒机等，同时协助客户进行其它产品选型支持及运维服务。 项目效果：有效满足该金融系统的业务安全及数据安全需求，同时满足三级等保的合规要求。 XX监管单位数据安全案例 客户需求：XX药监局当前已将多套重要业务系统迁移到“首信云”上，数据上云后，数据的维护工作由第三方公司进行负责，用户担心敏感数据会被泄露，同时希望有数据安全风险评估工具，亟需解决数据安全问