數(shù)據(jù)安全風險分析及應對策略（2022年）前言數(shù)據(jù)作為一種新興生產(chǎn)要素，已成為經(jīng)濟社會發(fā)展的核心驅(qū)動力，與此同時日益嚴峻的數(shù)據(jù)安全風險為數(shù)字化轉(zhuǎn)型的持續(xù)深化帶來嚴重威脅。為保障數(shù)字經(jīng)濟的健康有序發(fā)展，提高數(shù)據(jù)安全風險防控能力，國家、行業(yè)、地方相繼出臺多項數(shù)據(jù)安全法律法規(guī)，并接連開展相應的審查整治行動。總體來說，國內(nèi)數(shù)據(jù)安全已進入合規(guī)合法的強監(jiān)管新階段。面對日益嚴格的合規(guī)要求及數(shù)字化場景下的新型安全威脅，本報告梳理了當前數(shù)據(jù)安全面臨的幾個突出問題：APP對用戶信息的過度采集不僅滋生數(shù)據(jù)濫用等安全風險，也帶來合規(guī)問題。二是賬號弱口令的使用普遍。低成本的攻擊門檻，容易導致特權(quán)賬號被盜取，帶來內(nèi)部管理難題的同時引入數(shù)據(jù)安全風險。越權(quán)訪問、數(shù)據(jù)濫用等問題將無法管控。API接口成為新型攻擊手段。API作為應用與數(shù)據(jù)服務(wù)的五是數(shù)據(jù)安全的持續(xù)狀態(tài)難以保持。一方面，應用數(shù)字化改造及數(shù)據(jù)消費場景較為復雜；另一方面，管理要求和技術(shù)落地存在一定脫節(jié)，導致持續(xù)的數(shù)據(jù)安全狀態(tài)難以保障。針對以上問題，本報告結(jié)合實戰(zhàn)化攻防演習的實踐經(jīng)驗，提出數(shù)據(jù)安全體系建設(shè)的行動思路和關(guān)鍵舉措，旨在為組織開展數(shù)據(jù)安全體系化建設(shè)提供參考和建議。目錄一、數(shù)字化時代數(shù)據(jù)安全發(fā)展現(xiàn)狀 1（一）數(shù)據(jù)安全進入法治化的強監(jiān)管時代 1（二）數(shù)據(jù)安全事件頻發(fā)安全威脅日益嚴峻 2（三）技術(shù)架構(gòu)演進伴生數(shù)據(jù)使用場景改變 3二、數(shù)字化時代下的數(shù)據(jù)安全痛點 4（一）個人信息合規(guī)合法使用的監(jiān)管應對難度增加 4（二）賬號、權(quán)限、API成數(shù)據(jù)保護脆弱環(huán)節(jié) 5（三）數(shù)據(jù)安全狀態(tài)持續(xù)保障成落地難點 8三、解決數(shù)據(jù)安全痛點問題行動思路 8（一）明確數(shù)據(jù)安全總體戰(zhàn)略 9（二）建立數(shù)據(jù)安全管理機構(gòu) 9（三）落實安全策略精準管控 9（四）持續(xù)保障數(shù)據(jù)安全運營 10四、解決數(shù)據(jù)安全痛點問題關(guān)鍵舉措 11（一）管理與技術(shù)結(jié)合助力個人信息保護合規(guī)落地 （二）特權(quán)賬號安全治理持續(xù)強化安全內(nèi)控 12（三）零信任數(shù)據(jù)動態(tài)授權(quán)賦能精細化管控 15（四）完善API安全防護體系的閉環(huán)建設(shè) 17（五）圍繞數(shù)據(jù)安全態(tài)勢感知統(tǒng)籌數(shù)據(jù)安全運營 20五、數(shù)據(jù)安全建設(shè)發(fā)展建議 22（一）聚焦關(guān)鍵環(huán)節(jié)完善數(shù)據(jù)安全能力建設(shè) 22（二）結(jié)合業(yè)務(wù)流程深化數(shù)據(jù)安全工作開展 23（三）高度重視技術(shù)創(chuàng)新破局作用 23參考文獻 24圖目錄圖1最常見的初始化攻擊路徑 5圖2不同場景下API使用情況 7圖3API業(yè)務(wù)發(fā)展流程 7圖4基于屬性的數(shù)據(jù)動態(tài)授權(quán)機制 16圖5API安全防護體系 17圖6數(shù)據(jù)安全運營總體架構(gòu) 20數(shù)據(jù)安全風險分析及應對策略研究（2022數(shù)據(jù)安全風險分析及應對策略研究（2022年）11數(shù)據(jù)安全風險分析及應對策略研究（2022數(shù)據(jù)安全風險分析及應對策略研究（2022年）22一、數(shù)字化時代數(shù)據(jù)安全發(fā)展現(xiàn)狀數(shù)字化時代，數(shù)據(jù)已成為數(shù)字經(jīng)濟發(fā)展的核心生產(chǎn)要素。2020年全球47個國家數(shù)字經(jīng)濟增加值規(guī)模達到32.6萬億美元，我國數(shù)字5.4萬億美元1成為事關(guān)國家安全與經(jīng)濟社會發(fā)展的重大問題。（一）數(shù)據(jù)安全進入法治化的強監(jiān)管時代國家層面9120211了國家、社會、個人對個人信息保護的關(guān)切。行業(yè)監(jiān)管層面，2021930日工業(yè)和信息化部發(fā)布《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理（試行征求意見稿202214日，國家營者開展數(shù)據(jù)處理活動影響或者可能影響國家安全等情形納入網(wǎng)絡(luò)地方政府層面2021629日《深圳經(jīng)濟特區(qū)數(shù)據(jù)條例》1數(shù)據(jù)來源：中國信息通信研究院《全球數(shù)字經(jīng)濟新圖景（2020年）——大變局下的可持續(xù)發(fā)展新動能》2021930（草案體系。（二）數(shù)據(jù)安全事件頻發(fā)安全威脅日益嚴峻根據(jù)風險基礎(chǔ)安全（RiskBasedSecurity）2的數(shù)據(jù)顯示，2020年360API接口攻擊等方面。弱口令成數(shù)據(jù)泄漏爆發(fā)點20213分析，61%的數(shù)據(jù)泄露與憑證數(shù)據(jù)泄漏有關(guān)。API成熱門攻擊入口成為業(yè)務(wù)API接口成為新型2021452019API5.3億用戶。2安全內(nèi)參：歷史新高！2020年數(shù)據(jù)泄露數(shù)量突破360億條https://\h/articles/267123Verizon2021年5月發(fā)布https://\h/數(shù)據(jù)安全風險分析及應對策略研究（2022數(shù)據(jù)安全風險分析及應對策略研究（2022年）PAGEPAGE3數(shù)據(jù)安全風險分析及應對策略研究（2022數(shù)據(jù)安全風險分析及應對策略研究（2022年）67Facebook67Facebook50https://\h/articles/18981\h/2021-12/09/c_1640647038708751.htm4權(quán)限濫用仍是數(shù)據(jù)安全事件的重要觸發(fā)點20202月，港股某上市公司VPN登入服務(wù)器，對線上生產(chǎn)環(huán)境進行惡意刪庫，造成旗1.5億元4。隱私泄露成為數(shù)據(jù)安全的重要威脅Canalys統(tǒng)計，202015年總和，成為影響個人權(quán)益、組織發(fā)展甚至國家安全的重要因素5。（三）技術(shù)架構(gòu)演進伴生數(shù)據(jù)使用場景改變20213142035年遠景目標綱要》全文發(fā)布，就數(shù)字經(jīng)濟、數(shù)組織內(nèi)組織間4https://\h/tech/article/F6MSOQN4000999LD.html5安全內(nèi)參：2020年全球個人信息泄漏超過去15年總和\h/articles/30202目標。二、數(shù)字化時代下的數(shù)據(jù)安全痛點。（一）個人信息合規(guī)合法使用的監(jiān)管應對難度增加國外因違規(guī)向數(shù)據(jù)分析公司提500050億美元的罰金，是歷史上最大的隱私違規(guī)罰款6。國內(nèi)，《APP違法違規(guī)收集使用個人信息監(jiān)測分析報告》7顯示，20215月以來，被通報的12351APP257款由于存在“違反必要原則，收集與其的重大議題。（二）賬號、權(quán)限、API成數(shù)據(jù)保護脆弱環(huán)節(jié)賬號憑證泄漏是導致數(shù)據(jù)泄露的主要因素限賬號的共享及弱口令設(shè)置等問題日益突出。IBMSecurity發(fā)布的《2021年數(shù)據(jù)泄露成本報告》8指出，數(shù)據(jù)泄漏事件中最常見的初始化攻擊路徑就是直接竊取憑證，如圖1所示。來源：IBMSecurity《CostofaDataBreachReport2021》圖1最常見的初始化攻擊路徑8https://\h/cn-zh/security/data-breach數(shù)據(jù)安全風險分析及應對策略研究（2022數(shù)據(jù)安全風險分析及應對策略研究（2022年）77數(shù)據(jù)安全風險分析及應對策略研究（2022數(shù)據(jù)安全風險分析及應對策略研究（2022年）PAGEPAGE10庫、刪表等高危操作，達到破壞或竊取敏感數(shù)據(jù)的目的。（如：BYOD及各類人員的接入也帶來了更多不可控因素，增加了數(shù)據(jù)風險暴露面。APIAPI作為數(shù)據(jù)連接利器，其安全風險重視程度有待提高2所示，Imvision發(fā)布的《EnterpriseAPISecuritySurvey》9報告展示了APIAPI71%。也成為攻擊者竊取數(shù)據(jù)的重點APIAPI通信中9https://\hwww.imvision.ai/2021-api-security-survey/

來源：Imvision：《EnterpriseAPISecuritySurvey》報告圖2不同場景下API使用情況API3API在廣泛應用的同時，也引入了大量數(shù)據(jù)安全挑戰(zhàn)。201912APISecurity10的安全風險10，其中失效的對象級別API面臨的重API來源：奇安信科技集團股份有限公司圖3API業(yè)務(wù)發(fā)展歷程10OWASP:2019年10大API風險/www-project-api-security/（三）數(shù)據(jù)安全狀態(tài)持續(xù)保障成落地難點數(shù)據(jù)資產(chǎn)梳理不全面導致安全保障不徹底PB據(jù)存儲在分散的數(shù)據(jù)載體中。這給組織的數(shù)據(jù)資產(chǎn)梳理造成了困難，而建立在數(shù)據(jù)資產(chǎn)梳理基礎(chǔ)之上的持續(xù)安全保障更是難以實施。數(shù)據(jù)快速流轉(zhuǎn)增加數(shù)據(jù)安全持續(xù)保障難度數(shù)據(jù)流轉(zhuǎn)過程中的安一是安全域的變化二是數(shù)據(jù)載體的變化三是數(shù)據(jù)主體的變化三、解決數(shù)據(jù)安全痛點問題行動思路為解決以上數(shù)據(jù)安全痛點問題，本報告從戰(zhàn)略規(guī)劃、機構(gòu)管理、精準管控、安全運營等方面提出數(shù)據(jù)安全建設(shè)行動思路。數(shù)據(jù)安全風險分析及應對策略研究（2022數(shù)據(jù)安全風險分析及應對策略研究（2022年）PAGEPAGE13數(shù)據(jù)安全風險分析及應對策略研究（2022數(shù)據(jù)安全風險分析及應對策略研究（2022年）PAGEPAGE10（一）明確數(shù)據(jù)安全總體戰(zhàn)略（二）建立數(shù)據(jù)安全管理機構(gòu)任與意識，推動數(shù)據(jù)安全戰(zhàn)略的有效執(zhí)行與充分協(xié)同。一是決策層，二是管理層三是執(zhí)行層四是監(jiān)督層11。（三）落實安全策略精準管控11中國信息通信研究院云計算與大數(shù)據(jù)研究所：《數(shù)據(jù)安全治理實踐指南（1.0）》座。通過發(fā)現(xiàn)、識別數(shù)據(jù)資產(chǎn)，進行資產(chǎn)盤點，開展數(shù)據(jù)分類分級，（四）持續(xù)保障數(shù)據(jù)安全運營持續(xù)運營保障的目的一是看清數(shù)據(jù)流轉(zhuǎn)關(guān)系SQLAPI二是識別發(fā)現(xiàn)數(shù)據(jù)安全風險實現(xiàn)對數(shù)據(jù)安全威脅的及時預警和處置。三是實現(xiàn)常態(tài)化安全運營。保障運營。四、解決數(shù)據(jù)安全痛點問題關(guān)鍵舉措API（一）管理與技術(shù)結(jié)合助力個人信息保護合規(guī)落地常的業(yè)務(wù)活動和產(chǎn)品管理中，從根本上建立個人信息保護合規(guī)體系，保障數(shù)據(jù)價值。工作重心、工作方法和計劃，與業(yè)務(wù)發(fā)展進行平衡；協(xié)調(diào)安全、IT、人信息保護現(xiàn)狀開展合規(guī)評審活動，重點關(guān)注APP超范圍收集個人信息、誤導收集個人信息、SDK越權(quán)收集問題等熱點難點問題，提升整體個人信息保護工作的合規(guī)落地有效性。APP研發(fā)階段規(guī)問題能極大降低合規(guī)風險帶來的成本，可通過合規(guī)培訓、SDK準發(fā)布階段APP違規(guī)行為進行檢測，運營階段（二）在賬號存儲階段明確特權(quán)憑證的安全策略管理在賬號使用階段明確特權(quán)賬號使用的安全管控措施在賬號銷毀階段建立賬號刪除/回收/凍結(jié)機制。需重點關(guān)注第三/凍結(jié)/刪除，防止因管理的疏忽造成特權(quán)賬號變成幽靈賬號。特權(quán)賬號自動發(fā)現(xiàn)能力號、幽靈賬號造成的安全隱患。特權(quán)憑證安全保管能力加強對特權(quán)異常行為監(jiān)測預警能力在監(jiān)測管控之下，一是能夠針對操作指令進行解析，識別操作指令；二是OCR文字識別等方式識別圖形協(xié)議，審計特權(quán)用戶操作內(nèi)三是IP加強特殊場景特權(quán)賬號安全治理能力通常會出現(xiàn)應用系統(tǒng)將賬號及密碼明文寫在代碼或配置文件中的現(xiàn)（三）零信任數(shù)據(jù)動態(tài)授權(quán)賦能精細化管控字化時代解決信任問題的手段。什么地方、因為什么任務(wù)、訪問了什么數(shù)據(jù)里的什么字段”的問題?；跀?shù)據(jù)視圖、身份視圖構(gòu)建動態(tài)訪問策略。在零信任架構(gòu)下，采用基于屬性的訪問控制機制（AttributeBasedAccessControl，簡稱ABAC），從實體安全、身份可信、業(yè)務(wù)合規(guī)三個目標出發(fā)，依賴數(shù)據(jù)視圖、身份視圖等內(nèi)容，如圖4所示，通過角色、訪問主體所在地精細化管控。來源：奇安信科技集團股份有限公司圖4基于屬性的數(shù)據(jù)動態(tài)授權(quán)機制一是二是三是（四）完善API安全防護體系的閉環(huán)建設(shè)API安全問題的最佳解決方案是在API的設(shè)計過程嵌入安全思想，API安全建設(shè)的落地需要結(jié)合現(xiàn)狀需求以及實戰(zhàn)化的APIAPI的安全照“發(fā)現(xiàn)”、“檢測”、“防護”、“響應”的安全模型進行API5所示。來源：奇安信科技集團股份有限公司圖5API安全防護體系A(chǔ)PIAPIAPI的資產(chǎn)發(fā)現(xiàn)與管理能力API部署情API類型、活躍接口數(shù)量、失活接口數(shù)API解不同應用程序使用的API以及API對應的業(yè)務(wù)屬性。API漏洞發(fā)現(xiàn)能力。隨著攻擊面和攻擊手段的變化，應APIAPI濫用發(fā)現(xiàn)能力API在運行時的外部風險感知API的濫用情況，并阻斷攻擊者的進一步行動。API加強API安全檢測能力一是API漏洞的攻擊行二是API調(diào)用鏈可視化能三是強化數(shù)據(jù)異常流轉(zhuǎn)及泄露檢測能力。一是開展敏感數(shù)據(jù)識別，APIAPI訪問的數(shù)API二是開展三是構(gòu)建威脅APIAPI接口的安全防護能力建設(shè)，包括但不限于：認證授權(quán)體系，API訪問控制數(shù)據(jù)加解密能力API中敏感信息的交互進行加密或脫敏，減少敏感信息的泄露風險；API限流限速，需考慮系統(tǒng)的處理能力，對APIAPIDDoSAPI請求上。首先應建立威脅預警能力前預防。其次是構(gòu)建漏洞管理與響應機制API攻擊面及隱秘多變的攻擊手段。最后是建立威脅分析與處置能力，API的統(tǒng)一監(jiān)控與威脅事（五）圍繞數(shù)據(jù)安全態(tài)勢感知統(tǒng)籌數(shù)據(jù)安全運營6所示。來源：奇安信科技集團股份有限公司圖6數(shù)據(jù)安全運營總體架構(gòu)警上報通道，并結(jié)合具體的數(shù)據(jù)安全防護組件，統(tǒng)一下發(fā)安全策略，及時發(fā)現(xiàn)數(shù)據(jù)安全風險是開展數(shù)據(jù)安全運營工作的重要一環(huán)。數(shù)據(jù)安全風險分析基于在數(shù)據(jù)流轉(zhuǎn)監(jiān)測環(huán)節(jié)中對數(shù)據(jù)使用場景的精真正實現(xiàn)可控的風險管理。開展數(shù)據(jù)安全評估工作是安全合規(guī)的需要，也是組織自身數(shù)據(jù)保護的需求。數(shù)據(jù)