2022-2023数据安全体系数据绿洲建设指南

数据安全体系 数据绿洲建设指南 内部使用版（2022-2023） FOREWORD 前言 党的二十大报告指出，必须坚定不移贯彻总体国家安全观，确保国家安全和社会稳定，并明确数据安全作为国家安全保障体系的重要组成部分。《数据安全法》《个人信息保护法》施行以来，我国数据安全体系化建设快速发展，数据安全保障作为信息化建设的重要组成部分尤为重要。 启明星辰信息技术有限公司作为国内信息安全领域的领头企业，全面落实总体国家安全观，统筹发展与安全，始终把安全发展贯穿于信息化建设各领域和全过程。本文以国家法律法规和政策要求为基础，全面分析了当前数据安全领域发展特点，落实数据安全建设体系，结合项目实践经验和能力基础，提出“安全规划、分类分级、风险识别、安全建设、安全运营”五步走的数据安全实施路径。 特别感谢 指导专家 （按姓氏拼音排序，排名不分前后） 毕亲波、鲍启凡、陈建、韩明畅、潘柱廷、乔鹏、赵呈东 参编人员 （按姓氏拼音排序，排名不分前后） 程顺川、何文兵、张妮、吕波、刘雅丹、司文、王超、杨显兵、张黔荣 版权声明 北京启明星辰信息安全技术有限公司版权所有，并保留对本文档及本声明的最终解释权和修改权。 本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，部分来自网络，如有疑问，请联系北京启明星辰信息安全技术有限公司。方案内容未经北京启明星辰信息安全技术有限公司书面同意，任何人不得以任何形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其它语言、将其全部或部分用于商业用途。 免责条款 本文档依据现有信息制作，其内容如有更改，恕不另行通知。 北京启明星辰信息安全技术有限公司在编写该文档的时候已尽最大努力保证其内容准确可靠，但北京启明星辰信息安全技术有限公司不对本文档中的遗漏、不准确或错误导致的损失和损害承担责任。 信息反馈 如有任何宝贵意见，请反馈： 信箱：北京市海淀区东北旺西路8号中关村软件园21号楼启明星辰大厦邮编：100093 电话：010-82779088传真：010-82779000 您可以访问启明星辰网站：www.venustech.com.cn获得最新技术和产品信息。 CONTENTS 目录 0方案1概述/背景01 1.1.数据安全上升国家战略01 1.2.数据安全技术发展趋势05 1.3.数据安全风险与需求06 0数据2安全体系框架07 2.1.设计原则07 2.2.设计目标08 2.3.总体框架09 2.4.实施路径10 数0据3安全管理体系建设方案16 3.1.数据安全组织建设16 3.2.数据安全制度建设18 04 21 4.1.数据安全治理管控平台21 4.2.数据流通安全管控平台59 4.3.隐私计算平台75 4.4.全生命周期管控88 数0据5安全运营体系建设方案116 5.1.运营目标 5.2.运营内容 5.3.能力支撑 116 117 122 0数据6安全典型场景解决方案 125 6.1.数据安全治理场景 6.2.数据开发运维安全场景 6.3.业务访问安全场景 6.4.数据流转监测场景 6.5.数据库存储加密场景 6.6.数据共享安全场景 0数据7安全项目案例 125 133 142 153 158 161 117 7.1.无锡市大数据管理局 7.2.智慧蓉城数据安全治理 170 174 0附录8179 8.1.附录1:数据绿洲数据安全全景图 8.2.附录2:数据安全能力清单 179 180 01 方案 概述/背景 1.1.数据安全上升国家战略 当前，数据作为新型生产要素，正深刻影响着国家经济社会的发展。数据安全保障能力是国家竞争力的直接体现，数据安全是国家安全的重要方面，也是促进数字经济健康发展、提升国家治理能力的重要议题。 第一、数据安全保障能力是国家竞争力的直接体现 习近平总书记在中央网络安全和信息化领导小组第一次会议上指出，“信息资源日益成为重要生产要素和社会财富，信息掌握的多寡成为国家软实力和竞争力的重要标志”，强调了数据对于提升国家竞争力的重要价值。数据作为新型生产要素，促进了数字基础设施的发展与产业的迭代升级，使得数字经济成了我国经济高质量发展的新引擎。同时，随着大数据广泛应用于治理领域，国家治理能力与治理水平也得到了有效提升。数据对于国家发展的重要意义早已不言而喻，能否始终确保数据作为助力经济社会发展的正面因素，规避因为数据 安全问题带来的安全隐患，是国家数据安全保障工作的重要关切。数据安全保障能力是确保数据发展优势的重要前提，也是国家竞争力的直接体现。围绕数据安全保障能力建设，“十三五”规划中明确提出了要强化信息安全保障，加快数据资源安全保护布局。如建立大数据管理制度、实行数据分类分级管理，加强数据资源在采集、存储、应用和开放等各环节的安全保护，加强公共数据资源和个人数据保护等。近些年，我国更是加快了在数据安全领域的立法工作，相继颁布实施了《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》。目前，世界一些主要经济体和大国均发布了以发展数字经济、保护数据安全为核心的数据战略，如欧盟的《通用数据保护条例》（2018）、 《欧盟数据战略》（2020），美国的《联邦数据战略与2020年行动计划》（2019）、 《数据战略》（2020）等。数据安全保障能力正成为国家发展数字经济、维护数据安全的主要能力，多个国家都在积极进行数据安全保障领域的立法与战略规划，数据安全保障能力也成为评价国家竞争力高低的重要指标。 第二、数据保护与安全是国家安全的重要方面 2015年，国务院发布《促进大数据发展行动纲要》，提出了“数据已成为国家基础性战略资源”的重要判断。2016年，习近平总书记在网络安全和信息化工作座谈会上指出，“要依法加强对大数据的管理。一些涉及国家利益、国家安全的数据，很多掌握在互联网企业手里，企业要保证这些数据安全”。2017年，习近平总书记在中共中央政治局第二次集体学习时强调，“要切实保障国家数据安全”。数据安全与国家安全联系密切，保护数据安全这一任务随着数据的激增而日渐紧迫。据相关数据显示，2018—2025年，预计中国数据总量的年平均增长速度将达到30%，超过全球平均水平，2025年，中国数据圈将增至48.6ZB，占全球数据总量的27.8%，成为世界最大数据圈。随着数据量激增和数据跨境流动日益频繁，有力的数据安全防护和流动监管将成为国家安全的重要保障。数据与国家 的经济运行、社会治理、公共服务、国防安全等方面密切相关，一些个人隐私信息、企业运营数据和国家关键数据的流出，将可能造成个人信息曝光、企业核心数据甚至是国家重要信息的泄露，给国家安全带来各种隐患。 除此之外，在全球范围内，以数据为目标的跨境攻击也越来越频繁，并成为挑战主权国家安全的跨国犯罪新形态。我国高度重视数据安全，《中华人民共和国数据安全法》明确了数据安全保护的法律责任，为保障数据安全，更好地促进数据的开发与利用，保护公民、组织的合法权益，以及维护国家主权、安全和发展利益等方面夯实了法治根基。党的十九届五中全会审议通过的《中共中央关于制定国民经济和社会发展第十四个五年规划和二〇三五年远景目标的建议》，更明确了未来我国将更加注重“保障国家数据安全，加强个人信息保护”。中国从国家战略高度审视数据安全问题，将之置于当下发展和未来建设的重要位置，数据安全已经成为国家安全的重要组成部分。 第三、数据安全有序是数字经济健康发展的基础 随着新一轮科技革命和产业变革的加快推进，数字经济为各国经济发展提供了新动能，并且已经成为世界各国竞争的新高地。在新冠肺炎疫情的冲击下，世界经济陷入低迷，传统商贸及国际贸易均遭受了巨大打击，保障数字经济的健康发展对世界经济复苏意义重大。当前，我国的数字经济获得了新的发展空间，并深刻融入到了国民经济的各个领域。比如，直播带货、在线游戏、在线教育和在线办公等新业态迅速成长，数字经济显示了拉动内需、扩大消费的强大带动效应，促进了我国经济的复苏与增长。据国家统计局数据显示，2020年我国前三季度GDP同比增长了0.7%，而同期信息消费规模达到3.6万亿，同比增长6.5%，有效拉动了经济涨势。数字经济不仅助力经济复苏，还催生了新机遇，创造了新的就业岗位和个人发展机会，保障了经济社会在疫情中的正常运转。而在数字经济蓬勃发展的过程中，数据安全是关键所在。除了数据本身的安全，对数据的合法合规使用也是数据安全的重要组 成部分。滥用数据或进行数据垄断，不合法合规地使用数据，将大大削弱数字经济的发展活力与动力。因此，如何进一步保障数据安全及其合法有序流动将成为我国数字治理的施策重点。2021年2月，国务院反垄断委员会制定出台了《国务院反垄断委员会关于平台经济领域的反垄断指南》，其中多处提及了数据的安全和合法使用问题，为预防和制止平台经济领域垄断行为，引导平台经济领域经营者依法合规经营，促进线上经济持续健康发展指明了方向。数据安全是数字经济健康发展的基础，我们要确保数据安全及其合法有序流动，促进以数据为关键要素的数字经济持续蓬勃发展。 第四、数据安全是国家数字治理的重要议题 数字治理涉及政府部门、互联网企业、数据交易平台、信息使用者等多个主体。如何统筹协调多个主体，在数据安全风险评估的基础上，进一步规范数字确权、开放、流通、交易各个环节，建立相应的法治和管理机制，综合运用政策、监管、法律多种手段确保数据安全和有序流动，是数字治理的关键环节。作为新的治理领域，数字治理应注重因跨境数据流动带来的安全问题。2020年9月8日，中国发起《全球数据安全倡议》，秉持发展和安全并重的原则，倡导各方在相互尊重基础上，加强沟通交流，深化对话与合作，平衡处理技术进步 、经济发展与保护国家安全和社会公共利益的关系。数据安全越来越成为中国多边外交的重要议题，也是中国参与全球数字治理的重要方面。《全球数据安全倡议》的提出，充分展现了中国对全球数字治理的积极态度和共同构建和平、安全、开放、合作、有序的网络空间命运共同体的理念。中国将为加强数据安全有序流动，促进全球数字经济发展，制定全球数字治理规则，贡献更多中国智慧和中国方案。 1.2.数据安全技术发展趋势 数据作为数字经济关键要素，实施数据战略、保障数据安全逐步成为全球共同的战略选择。由于数据具备广泛性、分散性、多样性、复杂性等特性，构建系统的数据安全体系、增强数据保护能力、提升数据治理水平，成为各行各业的迫切需求，也激发了人工智能、数据共享和数字生态等一系列技术手段在数据安全方面的应用。 （1）场景化防控手段体系化 数据资产与业务存在强相关性，需要根据业务的流程和特点，面向数据资产价值及防护诉求不同，针对数据流转的风险暴露面，确定合适的数据安全防护技术手段。突破传统的基于网元的一刀切式防护手段，构建动态、按需的体系化技术防护框架。 （2）单点技术向融合化平台发展 围绕数据全生命周期，在周期各阶段节点的单点防护技术手段已日益健全，但基于安全木桶效应，数据流转需要体系化防护，建立集中化、联动化的安全防护平台，实现面向数据安全风险的动态、纵深防御已成业内共识，零信任平台，隐私计算平台、安全监测平台、安全运营平台等平台化技术蓬勃发展，在数据收集、存储、使用、加工、传输等场景广泛应用。 （3）密码应用成为热点 从数据安全的角度来看，保护数据完整生命周期的安全，其根本目的是确保数据在“使用”时是真实可信的，对数据进行“加工”所获得的价值是有效的。随着“数据可用不可见”的理念不断普及，同态加密、联邦学习、安全多方计算、数据匿名等基于密码技术的快 速发展，为数据安全、个人隐私保护等提供新思路，有效支撑先进产品在各个领域的落地实施。 （4）AI技术融合愈加成熟 随着企业数字化转型进程加快，非结构化数据快速增长，单纯依赖传统的基于人工设定规则/策略的防护技术，在处理效率、准确性、全面性等方面已经无法满足日趋复杂的数据安全防护需求，通过引入自然语言处理(NLP)、用户异常行为