零信任数据动态授权桔皮书

零信任数据动态授权 桔皮书 奇安信科技集团股份有限公司 2022年1月 版权声明 本文中出现的任何文字叙述、文档格式、插图、图片、方法、过程等内容，除另有特别注明，版权均为奇安信集团（指包括但不限于奇安信科技集团股份有限公司、网神信息技术（北京）股份有限公司、北京网康科技有限公司）所有，受到有关产权及版权法保护。任何个人、机构未经奇安信集团的书面授权许可，不得以任何方式复制或引用本文的任何片段。 前 言 随着数字化的深入，数据成为重要生产要素。数据伴随着业务和应用，在不同载体间流动和留存，贯穿信息化和业务系统的各层面、各环节，在复杂的应用环境下，保证重要数据、核心数据以及用户个人隐私数据等敏感数据不发生外泄，是数据安全保障工作的重要挑战。 数据安全靠的不是单点技术，而是能力体系。真正做好数据安全防护，需要从零散建设升级到体系化建设，内生安全框架是安全体系化建设的核心，“一中心两体系”是内生安全框架落地的具体方法，即网络安全态势感知与管控中心、网络安全防护体系以及零信任动态授权体系，从而打造认知、安全、授权三个重要能力。其中零信任数据动态授权体系，则是授权能力的落地。从实体安全、身份可信、业务合规三个目标出发，抽象出主体、客体、主体环境，通过动态评估主体的数字身份、安全状态和信任、数据安全治理的成果，进行动态细粒度授权及访问控制，并结合数据安全防护体系的技术能力，实现对应用和数据的、服务，API接口、大数据平台、数据库行、列等级别的精准管控。 本报告总结分析了数字化时代数据安全的背景和挑战，结合零信任理念，提出构建数据动态授权能力的建设思路，以及以工程化思维推进零信任架构演进的建设方法，旨在为组织开展数据安全体系化建设提供参考和建议。 目 录 一、 数字化时代的数据安全发展现状背景 .................... 1 (一) 数据安全成为数字化发展基石 .......................... 1 (二) 数据成为关键生产要素加速数据流转 .................... 1 (三) 应用架构演变伴生数据使用场景日趋复杂 ................ 2 二、 数字化时代的数据安全挑战 ............................ 3 (一) 边界弱化，企业资源暴露面增加 ........................ 3 (二) 攻击的目标从网络转向身份、应用和数据 ................ 4 (三) 远程办公增加数据泄漏和权限滥用风险 .................. 4 (四) 内部威胁成数据泄漏主要原因 .......................... 5 三、 基于零信任思路构建数据安全保护体系 .................. 5 (一) 数据保护需要新思路新方法 ............................ 5 (二) 零信任理念和方法 ................................... 6 (三) 在数字化背景下理解和实践零信任 ...................... 7 (四) 在“一中心两体系”框架下构建零信任动态授权能力 ...... 9 四、 构建零信任数据动态授权能力的关键举措 ............... 12 (一) 基于数据安全治理成果，构建数据视图 ................. 12 1. 数据分类分级 ...................................... 12 2. 元数据管理及数据视图 .............................. 13 (二) 构建身份视图，明晰数据访问上下文 ................... 14 1. 构建主体信任，需要丰富的上下文数据 ................ 14 2. 身份视图：人、设备、应用的数字身份化及整体视图 .... 15 (三) 构建以资源为中心的统一策略管控体系 ................. 16 1. 基于数据视图、身份视图和环境因子构建动态访问策略 .. 16 2. 数据脱敏策略 ...................................... 18 3. 行过滤策略 ........................................ 19 4. 基于任务和事由的权限策略 .......................... 19 5. 零信任动态策略和数据业务平台的内生聚合 ............ 19 (四) 持续的信任评估与策略治理 ........................... 20 五、 以工程化思维推进零信任架构演进 ..................... 21 (一) 以系统思维推进零信任架构演进 ....................... 21 1. 零信任目标及策略 .................................. 22 2. 零信任能力 ........................................ 22 3. 零信任技术 ........................................ 22 4. 零信任特性 ........................................ 22 (二) 制定阶段性行动计划................................. 23 1. 确立建设思路 ...................................... 23 2. 厘清项目性质 ...................................... 23 3. 制定分步迭代建设方案 .............................. 24 零信任数据动态授权桔皮书 © 奇安信集团 股票简称：奇安信 股票代码：688561 第 1 页，共 25 页 一、数字化时代的数据安全发展现状背景 (一) 数据安全成为数字化发展基石 2021年9月1日，《数据安全法》正式颁布实施，明确提出了数据安全保护要求，包括从战略上将数据安全上升到国家总体安全观层面；从组织责任上明确数据流转过程中组织的安全责任与义务，明确监管要求；在安全保护方面完善数据安全保护体系，提升数据安全能力；在安全监管方面建立数据安全应急机制和审查制度。《数据安全法》同时也阐明了数据安全与发展的关系，即“国家统筹发展和安全，坚持以数据开发利用和产业发展促进数据安全，以数据安全保障数据开发利用和产业发展”。坚持安全与发展并重，在数据作为生产要素之一的大背景下，探索全新数据安全体系、保障新形势下的数据安全，已成为维护国家安全和国家竞争力的战略需要。 (二) 数据成为关键生产要素加速数据流转 今年是我国“十四五”规划实施的第二年，是迎接数字时代、激活数据要素潜能、推进网络强国建设的重要一年。全球也进入全面数字化转型时期，数据作为关键生产要素发挥着巨大作用，推动着数字经济的发展。传统信息技术开始向以数据和业务为核心的新一代信息技术转变，数据资源的种类数量、对接程度、应用领域、价值实现不断扩张，数据资源逐步走出企业物理边界；大数据、物联网等新业务的开放协同集合企业的业务和数据，多部门、多平台、多业务的数据融合打破了业务之间、部门之间的数据边界。其典型特征是企业间的信息化交互大幅增加，企业与外部合作伙伴的关系也更加密切，通过 零信任数据动态授权桔皮书 © 奇安信集团 股票简称：奇安信 股票代码：688561 第 2 页，共 25 页 业务协同、数据共享实现流程优化、合作共赢已经成为共识。 同时，可以预见到，未来数据流转情况将更加开放，业务生态将更加复杂，参与数据处理的角色将更多元，系统、业务、组织边界将进一步模糊，导致数据的产生、流动、处理等过程比以往更加丰富和多样。数据的频繁跨界流动，多环节的信息隐性留存，带来了严峻的数据安全挑战。一方面，数据在各组织、部门之间流动，系统和数据安全的责权边界变得模糊，主体责任划分不清，权限控制不足，导致数据泄漏事件频发；另一方面，数据在跨组织间的流转，导致原本的边界安全机制无法有效保护流转到边界外的数据，基于边界的安全管理和技术措施，已经无法适应当前的安全需要。在数据安全风险与日俱增的新形势下，安全作为发展的前提，数据安全已成为数字经济时代最紧迫和最基础的安全问题。 (三) 应用架构演变伴生数据使用场景日趋复杂 随着云计算平台、大数据算力融合平台技术架构的演进，硬件平台和网络体系经过多次结构化重组，以容器、微服务、DevOps为代表的云原生技术发展，以及边缘计算技术的大规模采用，企业普遍应用新技术，帮助企业提升决策水平、构建新型业务模式，实现产业升级。如微服务架构的盛行，导致数据被调用得更加频繁。单体应用架构下数据只经过单个服务的处理就流向了访问主体（人、应用、终端等），而在微服务架构下，服务的职能被切分得更加细致，数据可能需要经过几个甚至十几个服务的处理才会流向访问主体。同时，组织的数据业务交互变得更加开放，数据的访问可能来源于组织内部，也 零信任数据动态授权桔皮书 © 奇安信集团 股票简称：奇安信 股票代码：688561 第 3 页，共 25 页 可能来自于分支结构，甚至是外部的第三方合作伙伴。 另外，新技术、新业态的应用架构带来数据交互日益频繁的同时，业务上云、远程办公、应用程序的频繁调用，数据的流动区域、传输链路、访问行为等都发生了根本性的改变。数据使用场景的日益复杂化，数据安全防护需求随之动态变化，但由于各组织的数据安全能力不一致，属性不同，难以进行有效管控。数据安全的违规行为往往隐藏在正常的应用场景中，如数据API滥用——数据API按业务需求开放后，可能有具备权限的第三方服务没有按约定场景使用，或长时间没有使用形成暴露在外的幽灵API等；由于从业务视角短期来看这些行为都属于正常行为，但实际上已成为潜在的数据安全风险，需要用动态的安全思路来应对这些新需求、新挑战。 二、数字化时代的数据安全挑战 (一) 边界弱化，企业资源暴露面增加 随着新一代信息技术的快速演进，移动互联网、物联网、工业互联网、车联网等新技术新场景的不断涌现，应用架构随技术发展不断演进，打破了传统单体架构部署于数据中心内的模式，由数据中心向云端、终端等各个环节不断延伸，组织的网络环境愈发多样，如移动网络、固定网络接入、虚拟化网络等；接入方式也愈发复杂，如手机、台式机、平板电脑及各类终端等；传统网络安全边界逐渐消失，用户、设备、业务、平台等多样化趋势不可阻挡。新技术态势下的网络安全威胁和风险同样不断涌现、扩散，企业与组织等的数字化系统正在面临来自多方面严峻的安全挑战，对安全防护能力的要求随之提升，传 零信任数据动态授权桔皮书 © 奇安信集团 股票简称：奇安信 股票代码：688561 第 4 页，共 25 页 统安全防护的劣势凸显。 (二) 攻击的目标从网络转向身份、应用和数据 数据的要素化促进了数据的价值体现和价值释放，数据已成为各企业或组织的重要资产。而另一方面，数据价值凸显引来更多的攻击者，从近年来的主要网络安全事件结果来看，由于利益驱使，网络攻击从原来针对平台、网络、系统已经向数据资源转变。据威胁情报公司Cyble透露，2021年8月，美国电信巨头T-Mobile遭遇重大安全事件，攻击者声称窃取了多个数据库，总计106GB的数据，涉及近1亿用户数据，其中包括T-Mobile的客户关系管理（CRM）数据库，并且攻击者将数据在地下黑产信息售卖赚取高额非法回报。 (三) 远程办公增加数据泄漏和权限滥用风险 远程办公已经逐步成为一种常态化的工作模式，这也是移动办公延展后的必然结果。办公场景也不再局限于日常工作协同