電力行業(yè)數(shù)字化轉(zhuǎn)型中的數(shù)據(jù)安全治理

2021年（第四屆）電力信息通信新技術(shù)大會暨數(shù)字化國際高峰論壇上海觀安信息技術(shù)股份有限公司董事長張照龍2021年（第四屆）電力信息通信新技術(shù)大會暨數(shù)字化國際高峰論壇 電力行業(yè)數(shù)字化轉(zhuǎn)型趨勢。將越來越依賴互聯(lián)智能的基礎(chǔ)設(shè)施和云平臺，人工智能數(shù)字化轉(zhuǎn)型為網(wǎng)絡(luò)安全發(fā)展注入新機遇數(shù)字化轉(zhuǎn)型下網(wǎng)絡(luò)安全發(fā)展方向安全芯片，在新基建中從硬件層面實現(xiàn)對安全芯片，在新基建中從硬件層面實現(xiàn)對5G、物聯(lián)網(wǎng)、工業(yè)互聯(lián)網(wǎng)等應(yīng)用場景安全性的提升。安全OS，研發(fā)適合新基建IT環(huán)境的物聯(lián)網(wǎng)安全OS、工控安全OS，促進(jìn)新基建整體安全建設(shè)。多方聯(lián)合云與邊緣計算安全，云端和邊緣側(cè)匯聚大量的機密數(shù)據(jù)、敏感數(shù)據(jù)，需要保證所存儲的數(shù)據(jù)不被泄漏，需要保障邊緣計算向云端和終端設(shè)備所傳輸數(shù)據(jù)的安全性、真實性，甚至需要確保邊緣側(cè)的算多方聯(lián)合固件安全，固件安全，把安全能力延伸到微小的固件層面，提前發(fā)現(xiàn)固件中的安全隱患，對固件異常進(jìn)行感知，管控好種類繁多固件的安全性。數(shù)字化轉(zhuǎn)型給網(wǎng)絡(luò)安全帶來新挑戰(zhàn)魯泛威脅感知，隨著新基建所覆蓋領(lǐng)域的廣闊化，威脅感知也需實現(xiàn)泛在化。轉(zhuǎn)變傳統(tǒng)的安全理念，化被動為主動主動主動智能全面以重大項目為牽引，建立網(wǎng)絡(luò)安全技術(shù)協(xié)同創(chuàng)新平臺對網(wǎng)絡(luò)安全專業(yè)人才的培養(yǎng)力度亟待加強加速前沿技術(shù)在網(wǎng)絡(luò)安全領(lǐng)域的人工智能預(yù)先研判智能防護(hù)云計算區(qū)塊鏈邊緣計算融合人工智能預(yù)先研判智能防護(hù)云計算區(qū)塊鏈邊緣計算融合自動抵御……生態(tài)打通產(chǎn)業(yè)上下游，多維度構(gòu)建大安全生態(tài) 治理目標(biāo)可知-可識-可控-可察-可見可知-可識-可控-可察-可見↓關(guān)鍵合法合規(guī)可知分類分級可識使用流程可控數(shù)據(jù)風(fēng)險可察管控提升可見需求價值1價值2價值3價值4價值5提升合規(guī)識別分布安全使用洞察風(fēng)險明確職責(zé)加強意識明確保護(hù)減少違規(guī)稽核監(jiān)控治理落地 合法正當(dāng)目的明確選擇同意最小夠用全程可控動態(tài)控制權(quán)責(zé)一致1級：如公開數(shù)據(jù)2級：如合作單位基本信息3級：如個人聯(lián)系信息4級：如個人財產(chǎn)信息5級：如重要數(shù)據(jù)個人主個人主體外部機構(gòu)數(shù)據(jù)采集數(shù)據(jù)傳輸數(shù)據(jù)傳輸備份與備份與恢復(fù)數(shù)據(jù)存儲存儲安全存儲安全數(shù)據(jù)使用公開披露數(shù)據(jù)轉(zhuǎn)讓委托數(shù)據(jù)使用公開披露數(shù)據(jù)轉(zhuǎn)讓委托處理數(shù)據(jù)共享發(fā)試開測據(jù)示數(shù)展據(jù)工數(shù)加據(jù)出數(shù)導(dǎo)據(jù)問數(shù)訪聚合匯融數(shù)據(jù)刪數(shù)據(jù)刪除數(shù)數(shù)據(jù)銷毀組織組織結(jié)構(gòu)制度制度體系人員人員管理第三方第三方機構(gòu)管理邊界邊界管控訪問訪問控制安全安全監(jiān)測安全安全審計檢查檢查評估應(yīng)急響應(yīng)與應(yīng)急響應(yīng)與事件處置組織保障 2021年（第四屆）電力信息通信新技術(shù)大會暨數(shù)字化國際高峰論壇2.數(shù)據(jù)安全治理體系 數(shù)據(jù)安全治理步驟。是指在數(shù)據(jù)安全戰(zhàn)略的指導(dǎo)下，為確保數(shù)據(jù)處于有效保護(hù)和合法2.數(shù)據(jù)分類分級制定原則1.確定組織架構(gòu)2.數(shù)據(jù)分類分級數(shù)據(jù)定級1.確定組織架構(gòu)2.數(shù)據(jù)分類分級1.確定組織架構(gòu)3.制定數(shù)據(jù)安全策略持續(xù)優(yōu)化建立治理團(tuán)隊分配管理職責(zé)3.制定數(shù)1.確定組織架構(gòu)3.制定數(shù)據(jù)安全策略持續(xù)優(yōu)化建立治理團(tuán)隊分配管理職責(zé)與稽核據(jù)安全策略基本權(quán)限劃分限定使用場景與稽核據(jù)安全策略制定安全策略和措施5.審計與監(jiān)督4.管控數(shù)據(jù)使用過程4.管控數(shù)據(jù)處理過程安全審計4.管控數(shù)據(jù)使用過程4.管控數(shù)據(jù)處理過程建立數(shù)據(jù)安全技術(shù)架構(gòu)建設(shè)數(shù)據(jù)安全組件安全檢查建立數(shù)據(jù)安全技術(shù)架構(gòu)建設(shè)數(shù)據(jù)安全組件監(jiān)督整改持續(xù)監(jiān)測評估日常管理、業(yè)務(wù)執(zhí)行和運維工作將流程規(guī)定落地執(zhí)行，采用數(shù)據(jù)安全支撐工具，融入到辦公和運維過程。步驟一：確定組織架構(gòu)。建立由決策層、管理層、執(zhí)行層、監(jiān)督層組成的數(shù)監(jiān)督層監(jiān)督層層管理層分公司分公司子公司X司總部直屬中心總部總部X司X司XXXX中心XX部法律事務(wù)部內(nèi)控合規(guī)部X數(shù)據(jù)管理部人力資源部執(zhí)行層執(zhí)行層步驟二：數(shù)據(jù)分類分級。數(shù)據(jù)分類級是指根據(jù)法律法規(guī)以及業(yè)務(wù)需求，明確組織內(nèi)級別級別數(shù)據(jù)特征4級數(shù)據(jù)的安全屬性保密性、遭到破壞后數(shù)據(jù)損失后：①影響國家安全②對公眾權(quán)益造成“非常嚴(yán)重”的影響①對公眾權(quán)益造成“嚴(yán)重影響”②對相關(guān)個人隱私及企業(yè)合法權(quán)益造成“非常嚴(yán)重”的影響，但不影響國家安全①對公眾權(quán)益造成“中等”或“輕微”影響②相關(guān)個人隱私及企業(yè)合法權(quán)益造成“嚴(yán)重”的影響，但不影響國家安全①對相關(guān)個人隱私造成“輕微”影響②對企業(yè)合法權(quán)益造成響國家安全對企業(yè)合法權(quán)益造成一定影響，但不影響國家安全、公眾權(quán)益及個人隱私通常主要用于重要核心節(jié)點類機構(gòu)中的關(guān)鍵業(yè)務(wù)使用②一般針對特且僅為必須知悉的對象訪問或使用①數(shù)據(jù)通常主要用于大型或特大型機構(gòu)、重要核心節(jié)點類機構(gòu)中的重要業(yè)務(wù)使用②一般針對特定人員公開，且僅為必須知悉的對象訪問或使用①數(shù)據(jù)用于重一般針對特且僅為必須知悉的對象訪問或使用①數(shù)據(jù)用于一般業(yè)務(wù)使用，一般針對受限對象公開，通常為內(nèi)部管理且不應(yīng)廣泛公開的數(shù)據(jù)①數(shù)據(jù)一般可被公開或可被公眾獲知、使用國家安全公眾權(quán)益影響對象企業(yè)合法權(quán)益?zhèn)€人隱私國家安全公眾權(quán)益影響對象企業(yè)合法權(quán)益?zhèn)€人隱私定級要素定級要素非常嚴(yán)重非常嚴(yán)重影響程度嚴(yán)重影響程度嚴(yán)重中等中等輕微輕微步驟二：數(shù)據(jù)分級保護(hù)策略。通過制定不同等級數(shù)據(jù)的安全保護(hù)策略，針對不同安全級數(shù)據(jù)級別數(shù)據(jù)級別 產(chǎn)生、獲取傳輸存儲使用共享歸檔銷毀·步驟三：制定數(shù)據(jù)安全策略。數(shù)據(jù)安全相關(guān)制度流程從業(yè)務(wù)需求、風(fēng)險控制需要，數(shù)據(jù)安全管理制度數(shù)據(jù)安全管理辦法與細(xì)則數(shù)據(jù)訪問基本權(quán)限數(shù)據(jù)安全控制基線期建立管理框架，優(yōu)化管控流程，落實管控策略 /生成數(shù)據(jù)傳輸使用與留存披露跨境轉(zhuǎn)移權(quán)利保障數(shù)據(jù)留存明些數(shù)據(jù)？輸求置目的地過成境安措通集跨，障計果統(tǒng)行移保設(shè)如系執(zhí)轉(zhuǎn)全施?理據(jù)清數(shù)現(xiàn)動期實自到的?核核審布?的跟通目范致收數(shù)審過標(biāo)圍?理步驟四：企業(yè)級安全架構(gòu)與數(shù)據(jù)安全組件關(guān)系。企業(yè)級安全架構(gòu)承接安全服務(wù)能企業(yè)級安全架構(gòu)實現(xiàn)對數(shù)據(jù)安全組件策略及事件信息統(tǒng)一納管，提供數(shù)據(jù)發(fā)現(xiàn)、供數(shù)據(jù)發(fā)現(xiàn)、策略管控等多種數(shù)據(jù)安全場景落地。能力服務(wù)化安全能力輸出與數(shù)據(jù)安全管理系統(tǒng)建立接口連接，能力服務(wù)化安全能力輸出與數(shù)據(jù)安全管理系統(tǒng)建立接口連接，通過接收數(shù)據(jù)安全管理系統(tǒng)的業(yè)務(wù)策略申請，實現(xiàn)安全策略生成及下發(fā)，為數(shù)據(jù)安全管理系統(tǒng)提供安全支撐。編排調(diào)度中心建立標(biāo)準(zhǔn)的南向接口規(guī)范，建立標(biāo)準(zhǔn)的南向接口規(guī)范，用于注冊數(shù)據(jù)安全相關(guān)的組件，可實現(xiàn)策略、事件、日志等內(nèi)容的互通，為企業(yè)打造統(tǒng)一的數(shù)據(jù)安全防護(hù)策略平臺。識保檢響恢別護(hù)識保檢響恢別護(hù)測應(yīng)復(fù)治理和持續(xù)的流程改進(jìn)資產(chǎn)總覽資產(chǎn)認(rèn)責(zé)資產(chǎn)認(rèn)責(zé)分類分級資產(chǎn)定位數(shù)據(jù)索引數(shù)據(jù)標(biāo)簽用戶標(biāo)簽數(shù)據(jù)標(biāo)簽用戶標(biāo)簽標(biāo)簽分級應(yīng)用標(biāo)簽應(yīng)用標(biāo)簽標(biāo)簽分類策略下發(fā)數(shù)據(jù)安全規(guī)范數(shù)據(jù)安全規(guī)范策略申請數(shù)據(jù)交換監(jiān)控數(shù)據(jù)交換監(jiān)控 數(shù)據(jù)采集監(jiān)控數(shù)據(jù) 數(shù)據(jù)存儲監(jiān)控數(shù)據(jù)存儲監(jiān)控 步驟四：數(shù)據(jù)安全技術(shù)架構(gòu)。承載企業(yè)數(shù)據(jù)安全管理和技術(shù)手段的集中化支撐平臺數(shù)據(jù)安全態(tài)勢大屏數(shù)據(jù)安全應(yīng)急響應(yīng)數(shù)據(jù)安全告警與預(yù)警數(shù)據(jù)安全風(fēng)險展示數(shù)據(jù)安全管控效果數(shù)據(jù)安全態(tài)勢大屏數(shù)據(jù)安全應(yīng)急響應(yīng)數(shù)據(jù)安全告警與預(yù)警數(shù)據(jù)安全風(fēng)險展示數(shù)據(jù)安全管控效果重大涉敏數(shù)據(jù)資產(chǎn)訪問路徑呈現(xiàn)敏感數(shù)據(jù)分布態(tài)勢數(shù)據(jù)消費違規(guī)分析數(shù)據(jù)泄露風(fēng)險分析數(shù)據(jù)安全一鍵處置重大涉敏數(shù)據(jù)資產(chǎn)訪問路徑呈現(xiàn)敏感數(shù)據(jù)分布態(tài)勢數(shù)據(jù)消費違規(guī)分析數(shù)據(jù)泄露風(fēng)險分析數(shù)據(jù)安全一鍵處置數(shù)據(jù)安全處置跟蹤數(shù)據(jù)安全合規(guī)評估數(shù)據(jù)安全現(xiàn)狀評估安全接口統(tǒng)一身份認(rèn)證接口資產(chǎn)安全管理接口運維支撐接口OA安全接口統(tǒng)一身份認(rèn)證接口資產(chǎn)安全管理接口運維支撐接口OA對接接口分子公司對接接口生命周期管控專項場景分析數(shù)據(jù)分類分級標(biāo)準(zhǔn)法律法規(guī)要求主管/監(jiān)管要求集團(tuán)監(jiān)管要求企業(yè)管理要求系統(tǒng)管理數(shù)據(jù)安全管控數(shù)據(jù)采集數(shù)據(jù)傳輸數(shù)據(jù)存儲數(shù)據(jù)處理數(shù)據(jù)交換數(shù)據(jù)銷毀數(shù)據(jù)泄露場景數(shù)據(jù)安全管控數(shù)據(jù)采集數(shù)據(jù)傳輸數(shù)據(jù)存儲數(shù)據(jù)處理數(shù)據(jù)交換數(shù)據(jù)銷毀數(shù)據(jù)泄露場景數(shù)據(jù)審計場景數(shù)據(jù)生命周期場景安全事件追溯場景安全孿生場景賬號/權(quán)限/認(rèn)證運行監(jiān)測系統(tǒng)配置/備份模型學(xué)習(xí)模型調(diào)整模型定義規(guī)則/關(guān)聯(lián)/統(tǒng)計/AI建模、機器學(xué)習(xí)敏感數(shù)據(jù)訪問與消費建模能力開放與數(shù)據(jù)運營安全能力開放安全規(guī)則輸出安全數(shù)據(jù)共享管控策略發(fā)現(xiàn)/分類分級規(guī)則敏感數(shù)據(jù)發(fā)現(xiàn)規(guī)則分類分級規(guī)則數(shù)據(jù)脫敏策略數(shù)據(jù)審計策略敏感數(shù)據(jù)掃描策略API接口策略對外接口監(jiān)控策略數(shù)據(jù)加密策略數(shù)據(jù)水印策略數(shù)據(jù)DLP策略檢測策略防護(hù)策略數(shù)據(jù)安全能力安全服務(wù)平臺安全服務(wù)平臺敏感數(shù)據(jù)發(fā)現(xiàn)探針數(shù)據(jù)自動發(fā)現(xiàn)能力與分類分級敏感數(shù)據(jù)發(fā)現(xiàn)探針敏感數(shù)據(jù)流轉(zhuǎn)監(jiān)控探針敏感數(shù)據(jù)流轉(zhuǎn)監(jiān)控探針動態(tài)脫敏數(shù)字水印數(shù)據(jù)庫審計API接口監(jiān)控數(shù)據(jù)加密模糊化安全銷毀動態(tài)脫敏數(shù)字水印數(shù)據(jù)庫審計API接口監(jiān)控數(shù)據(jù)加密模糊化安全銷毀數(shù)據(jù)地圖靜態(tài)脫敏靜態(tài)脫敏違規(guī)阻斷違規(guī)阻斷文件系統(tǒng)/數(shù)據(jù)庫系統(tǒng)/大數(shù)據(jù)系統(tǒng)/網(wǎng)絡(luò)流量/文件系統(tǒng)/數(shù)據(jù)庫系統(tǒng)/大數(shù)據(jù)系統(tǒng)/網(wǎng)絡(luò)流量/應(yīng)用前端/應(yīng)用API接口/數(shù)據(jù)中臺/…步驟四：敏感數(shù)據(jù)發(fā)現(xiàn)組件。全面、快速、明確數(shù)據(jù)對象制定分類分級規(guī)范構(gòu)建數(shù)據(jù)目錄敏感數(shù)據(jù)發(fā)現(xiàn)明確數(shù)據(jù)對象制定分類分級規(guī)范構(gòu)建數(shù)據(jù)目錄敏感數(shù)據(jù)發(fā)現(xiàn)?未脫敏數(shù)據(jù)?未脫敏數(shù)據(jù)?未加密數(shù)據(jù)數(shù)據(jù)分類分級?數(shù)據(jù)分類分級?分類規(guī)范?分級規(guī)范?管控原則識別安全風(fēng)險識別安全風(fēng)險?敏感類型??敏感類型?發(fā)現(xiàn)規(guī)則構(gòu)建數(shù)據(jù)目錄發(fā)現(xiàn)敏感數(shù)據(jù)?數(shù)據(jù)庫審計?發(fā)現(xiàn)敏感數(shù)據(jù)?數(shù)據(jù)庫審計?數(shù)據(jù)脫敏?水印溯源下發(fā)管控策略數(shù)據(jù)對象?位置信息?標(biāo)簽信息?數(shù)據(jù)流轉(zhuǎn)?數(shù)據(jù)庫?數(shù)據(jù)庫?數(shù)據(jù)安全風(fēng)險?周期性對比? 步驟四：水印溯源組件。通過優(yōu)化數(shù)據(jù)對外分發(fā)流程，管控數(shù)據(jù)外發(fā)行為。通過事前 b)b)對數(shù)據(jù)接口、數(shù)據(jù)系通過算法模型檢測內(nèi)部潛進(jìn)行可視化展示各類風(fēng)險數(shù)據(jù)資源安全運營數(shù)據(jù)資源安全運營敏感數(shù)據(jù)分布視圖數(shù)據(jù)分布視圖數(shù)據(jù)安全監(jiān)測展示層數(shù)據(jù)安全策略運營數(shù)據(jù)安全事件運營數(shù)據(jù)安全風(fēng)險運營數(shù)據(jù)安全監(jiān)測數(shù)據(jù)安全監(jiān)測指標(biāo)管理安全運維事件管理安全運維事件管理數(shù)據(jù)安全態(tài)勢數(shù)據(jù)安全態(tài)勢數(shù)據(jù)安全策略視圖數(shù)據(jù)安全策略視圖敏感數(shù)據(jù)事件視圖敏感數(shù)據(jù)事件視圖數(shù)據(jù)風(fēng)險監(jiān)測視圖數(shù)據(jù)風(fēng)險監(jiān)測視圖數(shù)據(jù)安全功能層事件監(jiān)測能力事件監(jiān)測能力數(shù)據(jù)生命周期監(jiān)測違規(guī)行為監(jiān)控和追溯泄露途徑監(jiān)測對外數(shù)據(jù)接口監(jiān)測違規(guī)監(jiān)測分析模型分析模型智能數(shù)據(jù)資產(chǎn)風(fēng)險評價模型敏感數(shù)據(jù)訪問異常檢測模型敏感數(shù)據(jù)訪問行為序列模型數(shù)據(jù)泄露預(yù)測模型對外數(shù)據(jù)接口風(fēng)險模型統(tǒng)一認(rèn)證中心接口統(tǒng)一認(rèn)證中心接口認(rèn)證平臺區(qū)塊鏈操作日志審計系統(tǒng)審計系統(tǒng)日志接口系統(tǒng)日志接口安全日志審計系統(tǒng)數(shù)據(jù)安全接口層業(yè)務(wù)側(cè)風(fēng)險監(jiān)測賬號接口數(shù)據(jù)加密數(shù)據(jù)脫敏認(rèn)證接口數(shù)據(jù)水印審計系統(tǒng) 步驟四：數(shù)據(jù)安全監(jiān)測場景示例：業(yè)務(wù)接口常見脆弱性風(fēng)險黑客機器行為惡意攻擊導(dǎo)致泄露{敏感數(shù)據(jù)批量拉取敏感數(shù)據(jù)批量拉取——身份鑒權(quán)——身份鑒權(quán)登錄接口敏感數(shù)據(jù)批量拉取敏感數(shù)據(jù)批量拉取身份鑒權(quán)身份鑒權(quán)訪問敏感業(yè)務(wù)訪問敏感業(yè)務(wù)敏感接口敏感接口--針對敏感接口進(jìn)行爬蟲檢測，一旦在一個周期內(nèi)，既存在惡意掃描探測，又有涉敏 步驟五：審計與監(jiān)督。包括鑒別訪問、風(fēng)險分析、數(shù)據(jù)全生