数据安全问题就像一把“达摩克利斯之剑”堪堪悬在头顶。尽管国家层面出台的数据安全相关“五法两标一典”（“五法”指的是《国家安全法》、《网络安全法》、《数据安全法》、《个人信息保护法》、《密码法》，“两标”分别是《数据安全能力成熟度模型》和《个人信息安全规范》，“一典”是《民法典》）从法律层面给予了充分指导，但在实际落地的过程中，由于高校业务错综复杂，缺乏数据安全的整体规划和有效可行的管理工具、管理制度，使得数据安全难以保障。所以本期话题想聊聊从迪塔维的角度，我们能帮学校的数据安全治理做些什么。
防止非法入侵系统数据被窃取只是安全治理的一部分，广义上讲数据安全治理是一项需要多方联动的复合型工作，以数据为中心，涵盖数据收集、存储、使用、加工、传输、公开、销毁的全生命周期和人员、组织、制度、工具的全链路管理，通过建设可见、可控、可管的能力，让数据资产看得见、控得住、管得好。要全方位筑牢安全防线，事前防护、事中检测、事后审计缺一不可。
事前
要制定数据安全管理组织架构，对数据资产进行摸底盘查、分类定级和风险评估，形成数据安全管理的制度规范，通过制度的执行来动态保障数据安全。
事中
要加强对数据日常使用、共享等阶段的行为判断、告警阻断，防范恶意操作带来的数据泄露和系统破坏风险。
事后
建立可定责到人的数据操作行为审计体系，一旦事故发生，可在事故处理和应急恢复过程中做到精确溯源，事后审计坚决杜绝同类事故的再次发生。
▲ 高校数据安全体系总体建设
数据安全体系建设以法律法规监管要求和业务发展需要为输入，结合数据安全在组织建设、制度流程和技术工具的执行要求，以数据生命周期各个过程域来综合体现，分为硬件安全、软件安全、数据库安全的静态安全和数据治理层面的动态安全。这里着重要说的就是我们通过数据安全技术工具在动态安全治理方面发挥的作用。
▲ 动态数据安全治理建设步骤
01
数据采集安全
数据采集安全是整个安全治理过程的首要任务，既要满足学校数据全方位采集的要求，又要兼顾业务数据源头的安全防护，因此核心原则是：避免操作人员干预、查看权限范围外的业务数据，同时又能实现数据的汇聚。数据采集涉及数据库定位、打标和数据源鉴别，我们可以基于数据库字典的自动识别和人工识别的方式，快速识别和管理全业务域的数据范畴，进行数据溯源管理。为保障源头采集安全，提供权限过滤、业务隔离、非侵入式集成、加密采集和行为审计等防控措施。
▲ 数据资产安全评估
02
数据存储安全
根据国家法规及教育数据管理规范的要求，结合业务数据对保密性、完整性的需求，我们可以帮助学校制定数据加解密存储与传输、数据脱敏等制度。对国家重要信息、院校机密信息、个人隐私信息等进行数据存储加固，保障数据安全。
◆数据加密：根据《密码法》相关规定，针对普通数据加密按照SM2非对称加密机制，针对隐私及重要数据提供SM4对称加密机制进行加密，保证数据的机密性和完整性。
▲ 迪塔维KMS密钥管理服务
◆数据解密：支持对已加密的数据应用端解密的能力，本身数据存储、传输均为密文，到达应用端后，再根据自身的秘钥和系统授权的SDK进行动态解密，即“端到端”的加解密制度，为的就是全面保障数据存储、传输过程安全。
◆数据脱敏：评估数据资产的安全级别，制定不同的脱敏策略。针对重要数据（一般包括敏感数据、个人信息、公民信息及其他学校认定的重要数据）进行脱敏操作。
03
数据管理安全
动态数据安全治理的核心过程，以资产梳理、分类定级、评估稽查、运营支撑、处置审计为完整的数据治理体系。
◆资产梳理：大前提和基础。主要确定敏感数据在系统内的分布、访问方式，确定当前数据访问账号和授权情况。
◆敏感识别：建立高校敏感数据识别规则库→全业务域数据识别扫描→自动打标→归纳至数据分类定级体系→使用和共享环节自动提示风险、提示审核。
▲ 敏感数据识别过程
◆风险评估：风险评估途径有基线评估、详细评估、组合评估等方式，评估方法有基于知识、定性及定量分析，该部分理论性较强，在此不做展开，感兴趣的老师欢迎详聊。
◆分类定级：划重点，很重要！“先分类、再定级”（根据数据损坏、丢失、泄漏对组织造成的影响可设定3～5级的等级划分）→“横八域、纵五层”（“八域”是指学生数据域、教工数据域、财务数据域、资产数据域、教学数据域、科研数据域、行政管理域、公共服务域；“五层”指数据域、数据集、数据子集、数据表、数据字段）。数据分类定级的目的是防止“一刀切”，有效平衡数据使用和保护的关系，落实更精细化的安全管理，需要明确不同数据的访问权限和方式，采取不同的安全保护措施（如申请流程、加密、脱敏等）。
▲ 教育行业数据分类标准
◆访问控制：基于分类定级的数据访问条件，明确有权访问数据的用户或用户组，定义正确使用数据的构成等。
◆安全审计：通过监控体系，掌握全局动态。可自动完成对数据的识别、敏感重要度的判断，实时监测变化痕迹，主动推送预警信息。
▲ 敏感数据流向及行为预警分析
04
数据传输安全
在数据使用、传输、公开的链路上实现安全防护保障，提供节点加密、链路加密、端到端加密等多方位的数据加密传输和可信站点访问控制。比如链路加密就是在数据传输前进行加密，再在数据应用的接收端进行解密。再如SSL，使用公钥加密、私钥解密，都是为了最大程度上规避传输过程中的数据泄露。
05
数据共享安全
数据共享阶段平衡“最大共享”原则和数据安全保护的核心是使数据资源管理体系化、流程化。数据开发者根据自身的权限范围，可以在线管理应用和API、视图等。根据分类定级要求，对重要数据、敏感数据、隐私数据进行自动识别、多级审核、重点脱敏、加密提醒和保密签章；对数据发布、使用过程加以逻辑存储安全控制，例如鉴权认证、访问控制、日志管理、通信举证等安全配置；对已开放的数据接口提供各类权限控制机制，且整个流程均线上化，处处留痕，层层可溯。
▲ 数据申请审批
06
数据应用安全
数据应用、运营环节涉及的业务和人群复杂，如何保障数据公开后的安全访问和使用一直是各高校密切关注的问题。我们的做法是在数据运营领域，以数据资源目录为载体，一数一源为目标，联接数据和组织、人员之间的权责关系，落实数据安全管理制度和数据运营体系规范。首先通过资源目录的编制形成校级标准目录和开放市场分类，再纵向从数据域到字段级通过线下批量确权和线上认领仲裁，完成一数一源编制，落实权责范围，最后提供给面向各类数据使用者的统一数据工作台，围绕数据资产运营的全生命周期，日常数据申请、审批、治理一站式办事，同时也提供了数据质量反馈的渠道，完善治理闭环。
▲ 数据门户承载接口申请审批、数据质量反馈
以上就是动态数据安全治理的全过程，比较侧重技术与工具，前面也讲到“人员、组织、制度、工具”缺一不可，为了让大家更清楚地看到整个流程的治理任务和人员配合，迪小数从某高校用户现场拿到了一张“数据安全任务清单”，从中可以清晰地看到事前、事中、事后的各个环节校我双方的配合计划，希望能给各位一些有益的启发。