DPO数据安全白皮书

DPODataSecurityWhiteBook StartDTResearchCenter隶属于国内独立第三方科技集团StartDT，由原本的奇点研究院升级而来，旨在通过研究、实践和交流，探索数据商业的前沿边界，思考未来世界的堆栈结构，从趋势中学习、理解、建立认知，进而指导当下的数据实践。 DPO是什么？ DPO是DataProtectionOfficer的简写，中文一般通译成数据保护官，最早来源于GDPR（《（欧洲）通用数据保护法规》）中关于企业必须要设置数据安全责任人（也即DPO）的规定，在中国的个人信息保护法（以下简称“PIPL”）中也有类似的规定。在有些成熟企业里也有CSO（ChiefSecurityOfficer，首席安全官）或者CISO （ChiefInformation/SecurityOfficer）的同类项管理职位。因为目前企业最急迫的数据安全需求通常来自于个人信息和个人隐私保护，所以消费品企业通常把DPO翻译成首席隐私官，来凸显个人信息保护合规的重要性。 02 DPO数据安全白皮书 目Co录ntents 前言03 背景04 1.1全球范围内数据安全事件愈演愈烈04 1.2数据安全的发展历程06 1.3数据安全的定义07 1.4数据安全的核心概念/要素解读07 价值10 2.1DPO的发展历史10 2.2企业为什么需要DPO10 2.3DPO需要关注哪些数据安全问题11 2.4数据安全治理方法论12 2.5企业级数据安全产品选型的方法论14 策略16 3.1如何开展数据安全治理16 3.2如何进行数据安全产品选型19 3.3规划路径和蓝图设计20 技术22 数据安全技术介绍22 4.1数据防泄漏技术23 4.2数据库安全技术24 4.3数据可用性保障技术30 4.4大数据安全防护技术32 产品36 5.1DataBlack产品功能介绍37 5.2DataBlack产品技术选型39 参考文献43 前言 数据安全和隐私保护是当今大数据时代的主流课题。数据安全问题面临着越来越严格的监管要求、越来越多样化的威胁和挑战。数据安全保护的讨论和政策合规趋势也让大众开始更多地意识到个人隐私数据的重要性。企业有义务控制滥用和误用数据等风险的发生。 2019年国外Facebook因8700万用户数据泄漏事件被美国政府罚款50亿美元，国内也有2022年的微盟员工删库事件直接导致企业市值蒸发30亿港元。 立法方面，近几年全球范围内密集颁布了数据安全相关的法规及标准，如欧盟的《通用数据保护条例》（GeneralDataProtectionRegulation，简称GDPR），美国加州的《加州消费者隐私法案》，国内的《网络安全法》、《数据安全法》和《个人信息保护法》。 监管方面，相关主管部门从个人信息保护、数据出境安全等方面对各行业数据合规问题进行穿透监管。消费者方面，全社会对个人信息保护的关注度与日俱增，消费者在享有产品和服务的过程中，越来越关注自身的信息安全，力求保障个人合法权益。 企业数据安全保护官（DataProtectionOfficer，简称DPO）承担着建立和管理企业的数据保护和数据合规的工作。创建一个综合的企业级的数据安全和隐私保护体系，对DPO们来说是极大的挑战。DPO既要考虑监管越来越严格的监管要求，也要管理好内部的组织问题。这本白皮书目标是向DPO（为主的人群）解释我们如何理解数据安全，如何定义和规划数据安全，如何技术选型和落地。 背景 1.1全球范围内数据安全事件愈演愈烈 国家高度重视数据安全。2016年11月7日，第十二届全国人大常务委员会正式通过《网络安全法》，第十八条特别针对数据安全指出： 国家鼓励开发网络数据安全保护和利用技术，促进公共数据资源开放，推动技术创新和经济社会发展。 涉密事件频繁曝出 “数据安全”成为信息 “数据安全”成为“新“数据安全”成为新一 安全体系重要的第二维 一代信息安全体系”的主要特征 代信息安全体系竞争制高点 2013 2014 2015 2016 斯诺登曝光的“棱镜门” 事件，美国国家安全局数 据泄露 《纽约时报》数据泄露Zendesk数据泄露 TargetCorp.信用卡数据 泄露 Facebook数据泄露 棱镜门事件继续发酵 支付宝、汉庭酒店、小米 等企业均被曝光数据安全 事件 国家机关禁采Win8操作 系统、禁用赛门铁克数据 防泄漏产品等政策出台 十大酒店泄露房客信息 汇丰银行发生史上最大规 模银行泄密事件 支付宝实名认证存在漏洞 多省社保信息遭泄露，泄 密千万个人隐私 “数据安全”纳入主流行 业信息安全标准体系中 （数据安全意识开始快速 普及并产生影响） Yahoo被黑客盗取5亿用 户账户信息 Tumblr算法漏洞泄露超 6500万邮箱账号密码 Linkedin超1.67亿个账 户在黑市被公开销售 2.723亿电子邮箱信息以 1美元价格流入俄罗斯黑 市，涉及Yahoo、微软、 Google等 数据安全成为新一代数据 安全标准的基本内容 欧盟议会通过GDPR Gartner开始发布DCAP 的报告，即以数据为中心 的防护理念 www.startdt.com 数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。 引用自《数据安全法》 信息安全重要性被提升到前所未有的高度，国内关于信息安全的政策不断加码，高度逐渐提升到战略层面 全球掀起数据安全与隐私的立法热潮，对企业数据安全合规提出了更高的要求 数据保护元年 2017 2018 2019 美国共和党营销公司托管在AWSS3上的数 据库泄漏，暴露超1.98亿美国公民资料 Uber在AWS上的账号和密码被黑客通过 Github盗取，泄露5700万乘客信息 MongoDB超33000个数据库遭遇入侵勒索 剑桥分析公司非法获取Facebook用户数据 通过定向投送影响美国大选 美国征信机构Equifax数据库遭受攻击，1.43 亿用户个人信息遭窃取 勒索软件全球蔓延 2017年5月全球爆发的永恒之蓝勒索蠕虫 （WannaCry） 在乌克兰等地流行的NotPetya病毒《网络 安全法》正式实施，“网络安全等级保护2.0 制度”发布 欧盟GDPR全面施行（2016年 已决议通过）；CCPA正式颁布 （2020年正式执行） 信通院发布《大数据安全白皮 书（2018）》 国内大规模开启个人信息保护 标准制定和相关清查行动 1.2数据安全的发展历程 传统的数据安全是指静态数据的加密保护等，进化到大数据平台安全、云计算安全和传统网络信息系统安全，再进化到3.0的大数据和智能化时代下，从不同视角关注的数据防窃取/破坏、防滥用和防误用。 网络信息系统安全是以系统为中心的安全，技术上以IT系统安全和网络安全为中心，管理上以规则建设为中心。网络安全并没有完全覆盖数据安全，随着企业安全工作的侧重点变迁，数据安全会更贴近安全的目标。数据安全是数据的随身保镖，随着数据流动，数据流到哪里，安全就覆盖到哪里。数据 安全的定义也在演变。安全体系架构逐步由原先的“以网络为中心”过渡到“以数据为中心”。数据时代企业需要的数据安全体系应该考虑数据安全架构设计、数据安全治理与数据全生命周期的预防性设计，安全建设以数据为中心，并围绕数据生命周期的各个阶段引入安全措施进行保护。 发展阶段 安全体系 安全目标 驱动因素 1.0的系统安全时代 IT系统安全 系统安全 系统合规要求 3.0的数据安全时代 以数据为中心，以 组织为单位，以数 据安全治理为抓手 数据防窃取、防 滥用、防误用 《个人信息保护法》 《数据安全法》 2.0的网络安全时代 以系统安全和网络安 全为中心，管理上以 规则建设为中心 保障数据完整性、 保密性、可用性 《网络安全法》 图1：数据安全发展的三个阶段 1.3数据安全的定义 首先，我们先来定义什么是数据。 数据是用来记录信息的可识别的符号，是信息的载体和具体表现形式。 数据的概念在数据处理领域中已大大地扩宽了，其变现形式不仅包括数据和文字，还包括图形、图像、声音等。这些数据可以记录在纸上，也可以记录在各种存储器中。 在安全领域的发展历程中，使用了信息安全、网络安全、网络空间安全、数据安全等概念。广义的数据安全（DataSecurity）是基于“安全体系以数据为中心”的立场，泛指整个安全体系侧重于数据分级及敏感数据全生命周期的保护。它以数据的安全收集、安全使用、安全传输、安全存储、安全共享、安全销毁为目标，涵盖整个安全体系。 1.4数据安全的核心概念及要素解读 1.4.1什么是安全架构 安全方向专业性强且涉及领域多，以安全性为方向的架构有必要单独提取出来，并重点关注。以下是常见的三类安全架构： ·产品安全架构 ·安全技术体系架构 ·审计架构 产品安全架构是构建产品自身安全特性的主要组件及其关系，帮助解决如何打造一个安全的产品的核心问题。安全技术体系架构则是构建安全技术体系的主要组成部分及其关系。安全技术架构体系解决了如何构建并完善通用的安全技术基础设施的问题。审计架构是指独立的审计部门或其所能提供的风险发现能力。以上的三类安全架构构成了IT产品的三道防线。 1.4.2安全架构5A方法论 安全架构5A是安全工作的通用思维方式。它给出了安全架构的几大核心要素，包括： ·身份认证（Authentication） ·授权（Authorization） ·访问控制（AccessControl） ·可审计（Auditable） ·资产保护（AssetProtection） 身份认证通过对用户主体的认证提供最基础的信任。授权是对用户主体授予允许或拒绝访问客体的权限，并给访问控制执行提供依据，比如用户访问资产，会查询授权表或者基于设定的权限规则，执行控制措施以及是否放行。可审计一般指可供追溯的操作审计记录，范围会覆盖到以上的所有模块。资产保护是指对数据和资源的全生命周期保护。 1.4.3什么是安全的目标 数据采集是指企业在提供产品和服务、开展经营管理等活动中，直接或间接从个人信息主体，以及企业客户、外部数据供应商等外部机构获取数据的过程。数据采集过程存在数据泄漏、数据篡改等安全风险。 数据传输是指企业将数据从一个实体发送到另一个实体的过程，存在数据传输中断、篡改、伪造及窃取等安全风险。 数据存储是指企业在提供产品和服务、开展经营管理等活动中，将数据进行持久化保存的过程，包括但不限于采用磁盘、磁带、云存储服务、网络存储设备等载体存储数据。数据存储过程，可能存在数据泄漏、篡改、丢失、不可用等安全风险。 数据处理是指企业在提供产品和服务、开展经营管理等活动中，进行数据的访问、导出、加工、展示、开发测试、汇融聚合、公开披露、数据转让、委托处理、数据共享等活动。数据处理不应超出数据采集时所声明的目的和范围，数据处理过程中存在数据非授权访问、窃取、泄漏、篡改、损毁等安全风险。 数据共享是指数据在不同部门或者机构之间进行分享。数据共享存在数据泄漏、窃取等安全风险。 数据销毁是指企业在停止业务服务、数据使用及存储空间释放再分配等场景下，对数据库、服务器和终端中的剩余数据以及硬件存储介质等，采用数据擦除或者物理销毁的方式确保数据无法复原的过程。 安全的目标是保障产品里信息资产的保密性 （Confidentiality）、完整性（Integrity）和可用性（Availability）。 ·保密性：使信息不泄漏给未授权的个体、实体、进程。 ·完整性：保障信息资产准确和完整的特性。 ·可用性：保障已授权实体合法访问数据和资源 的权利。 漏、数据窃听等。完整性被破坏的场景包括主机感 染病毒或木马、网站被入侵等。典型的可用性被破 保密性被破坏的场景包含黑客攻击导致的数据泄 坏的场景包括DDoS攻击导致网络堵塞、主机资源耗尽，网站无法使用等。 1.4.4数据全生命周期