大数据安全评估与测评技术.pdf

大数据安全评估与测评技术 演讲者：刘尧昌 01 政策法规 02 大数据安全评估与测评 目 录 C O N T E N T SC O N T E N T S 目 录 C O N T E N T SC O N T E N T S 02 大数据安全 评估与测评 01 政策法规 全球数据安全政策汇总 引用炼石网络 数据安全法律法规 ISO 27005 信息安全风险评估标准 ISO 31000 风险评估标准 中华人民共和国数据安全法 工业企业数据安全防护要求（草案）工业领域重要数据和核心数据识别规则（草案）工业和信息化领域数据安全管理办法（试行）工业领域数据安全标准体系建设指南（2023版）（征求意见稿）工业数据安全评估指南（草案）数据出境安全评估办法 GB/T 27921-2023 风险管理 风险评估技术 GB/T 20984-2022 信息安全技术 信息安全风险评估方法 GB/T 31509-2015 信息安全技术 信息安全风险评估实施指南 GB/T 36466-2018 信息安全技术 工业控制系统风险评估实施指南 GB/T 26333-2010 工业控制网络安全风险评估规范 中华人民共和国数据安全法 中华人民共和国数据安全法-重要条款总结 中华人民共和国个人信息保护法 网络数据安全管理条例（征求意见稿）网络数据分类分级要求（征求意见稿）工业和信息化领域数据安全管理办法（试行）2022年12月，文件再次公开征求意见：新增无线电数据、个人信息保护相关要求。第一章 总则 第二章 数据分类分级管理 第三章 数据全生命周期安全管理 第六章 监督检查 第四章 数据安全监测预警与应急管理 第七章 法律责任 第五章 数据安全检测、认证、评估管理 第八章 附则 目的依据 适用范围 数据定义 监管机构 产业发展 标准制定 分类分级工作要求 分类分级方法 一般数据 重要数据 核心数据 数据目录备案 主体责任 数据提供 委托处理 跨主体处理 数据收集 数据存储 数据传输 数据销毁 数据使用加工 数据转移 数据公开 数据出境 日志留存 监测预警机制 应急处置 信息上报共享 举报投诉处理 安全检测与认证 监督检查 和协助义务 数据安全审查 保密要求 约谈整改 法律责任 个人 信息 保护 其他 规定 参照 政务 数据 排除 国防 科工 烟草 领域 施行 日期 安全评估 工业和信息化领域数据安全管理办法（试行）安全检测与认证：鼓励、引导具有相应资质的机构，依据相关标准开展行业数据安全检测、认证工作；安全评估：工业和信息化部：制定评估机构管理制度和规范，指导评估机构开展数据安全风险评估、合规评估、能力评估、出境评估等工作；地方工业和信息化主管部门、通信管理局和无线电管理机构：组织开展本地区数据评估工作；工业和信息化领域重要数据和核心数据处理者：自行或委托第三方评估机构，每年至少开展一次安全评估，及时整改风险问题，并报送评估报告。行业（领域）监管部门 工业和信息化部 地方工业 和信息化主管部门 地方通信管理局 地方无线电管理机构 促进产业发展 推动标准规定 督促指导下级单位 监督管理本地 工业数据处理者 监督管理本地区电信数据处理者 监督管理本地区无线电数据处理者 核心数据、重要数据判别 网络数据安全管理条例（征求意见稿）第七十三条（四）：核心数据是指关系国家安全、国家经济命脉、重要民生和重大公共利益等的数据；第七十三条（三）：重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据。1 未公开的政务数据工作秘密、情报数据和执法司法数据;2 出口管制数据，出口管制物项涉及的核心技术、设计方案、生产工艺等相关的数据，密码、生物、电子信息、人工智能等领域对国家安全、经济竞争实力有直接影响的科学技术成果数据:3 国 家 法 律、行 政 法 规、部 门 规 章 明确 规 定 需 要保 护 或 者 控制 传 播 的 国家 经 济 运 行数 据、重 要行 业 业 务 数据、统 计 数据等:4 工业、电信、能源交通、水利、金融、国防科技工业、海关、税务等重点行业和领域安全生产运行的数据，关键系统组件、设备供应链数据;5 达 到 国 家 有关 部 门 规 定的 规 模 或 者 精度的基因、地理、矿产、气 象 等 人 口与 健 康、自然 资 源 与 环境 国 家 基 础数据 6 国家基础设施、关键信息基础设施建设运行及其安全数据，国防设施、军事科研生产单位等重要敏感区域的地理位置、安保情况等数据 7 其 他 可 能 影响国家政治、国土、军事、经济、文化、社会、科技、生态、资源、核 设 施、海外 利 益、生物、太 空、极 地 深 海 等安全的数据 重要数据识别规则 重要数据描述格式 重要数据处理者的数据安全责任 网络数据安全管理条例（征求意见稿）第三十二条：自行或委托数据安全服务机构 每年一次 于1月31日前提报上一年度数据安全评估报告 开展数据安全评估 市级网信部门 企业【定期评估】年度数据安全评估报告的内容：1、重要数据处理情况 2、发现风险及处置措施 3、管理制度及实施情况，防护措施及有效性 4、国家法律、行政法规和标准落实情况 5、安全事件及处置情况 6、共享、交易、委托处理、向境外提供重要数据的安全评估情况 7、投诉及处理情况 8、国家网信部门和主管、监管部门明确的其他数据安全情况 【场景评估】重点评估内容：1、提供方与接收方的合法性、正当性、必要性 2、泄露、损毁、篡改、滥用的风险，以及对国家安全、经济发展、公共利益带来的风险 3、数据接收方背景情况及有效保障数据安全的能力 4、合同中针对数据安全保护义务的有效约束性 5、管理和技术措施的风险防范能力 评估认为可能危害国家安全、经济发展和公共利益，数据处理者不得共享、交易、委托处理、向境外提供数据。保留期限：数据处理者应当保留风险评估报告至少三年。报告共享：依据部门职责分工，网信部门与有关部门共享报告信息。目 录 C O N T E N T SC O N T E N T S 01 政策法规 02 大数据安全评估与测评 基于风险控制的数据安全管理体系 基于风险控制的思想是建立自我持续改进和发展的数据安全管理体系，使用合理成本投入达到可接受的数据安全目标。保护数据资产，将安全事件的损失和影响降到可接受程度。开展数据安全风险评估，识别、分析和评价风险 为处理风险选择控制目标和控制措施 数据安全风险评估 数据安全风险评估在原有信息安全风险评估理论基础上，更多关注于数据资产本身的安全性，呈现出围绕数据资产、强调数据应用场景的特点。其核心是对潜在风险进行发现，包括数据资产类型识别、处理活动合规点识别、已有合规措施识别、数据价值识别、已有技术安全措施识别、脆弱性识别、威胁识别等。数据安全风险评估能够帮助企业发现自身数据安全问题和短板，明确数据安全保护需求，为建设数据安全管理和技术手段指明方向。保护对象关注系统资产评估过程关注资产所在系统安全，资产所处环境相对静态稳定 保护对象关注数据资产 评估过程关注数据所在应用场景，数据资产所处环境相对复杂变化 数据安全风险评估-评估手段 数据安全风险评估技术 静态分析 符号执行 污点分析 模糊测试 通过对程序源代码或变体（如AST）执行模式匹配，发现疑似风险片段，或者通过反汇编代码中的控制流和数据流等信息分析发现威胁。通过符号表达式来模拟程序执行，根据不同的分支条件收集路径约束信息，求解出可以触发每个分支的解集合，不断沿着不同分支进行路径探索，发现潜在威胁。将外部的输入数据标记为污点，通过跟踪和污点数据相关的信息流向，监测他们是否会影响某些关键的程序操作，进而挖掘程序漏洞。通过向目标系统构建非常规输入数据，通过不断的变异和调整，在执行过程中监控目标程序的异常行为来发现漏洞。机器学习 提取风险特征训练机器学习分类器，使其能自动化地识别疑似风险。大数据安全评估法 生命周期数据安全评估法 数据采集阶段：数据分级分类、数据采集安全处理、数据源鉴别和记录、数据质量管理；数据传输阶段：数据传输加密、网络可用性管理；数据存储阶段：存储媒体安全、逻辑存储安全、数据备份和恢复；数据处理阶段：数据脱敏、数据分析安全、数据正当使用、数据处理环境安全、数据导入导出安全；数据交换阶段：数据共享安全、数据发布安全、数据接口安全；数据销毁阶段：数据销毁处置、存储媒体销毁处置；在数据通用过程中，加强数据安全策略、组织和人员管理、数据供应链安全、元数据安全、终端数据安全、监控与内部审计、鉴别与访问控制、需求分析、安全事件应急。场景化数据安全评估法 数据访问账号和用户权限管理：通过账号专人专用、账号独立、账号授权审批、最小授权、账号及时回收、行为内部审计、定期账号稽核等方式控制；数据使用过程的访问权限管理：建议批量操作审批、高敏感数据访问审批、批量操作和高敏感数据访问的指定设备、地点、访问过程内部审计记录、开发测试访问模糊化、访问行为定期稽核等方式控制；数据共享（提取）权限管理：通过最小共享和泛化、共享（提取）审批、最小使用范围、责任传递、定期稽核等方式控制；定期权限稽核：主要通过数据安全的合规性检查、操作监管或稽核、数据访问账号和权限的监管与稽核、业务单位和运维的数据访问过程的合法性监管与稽核、日志风险分析与数据安全性测试等方式控制；数据存储管理：通过涉密数据存储的网络区隔、敏感数据存储加密、备份访问管理、存储设备的移动管理、存储设备的销毁管理等方式控制。数据安全风险矩阵 建立风险差距矩阵：明确数据流的业务目的、涉及系统和业务流程的数据安全、保密和合规要求；执行安全威胁建模：识别数据流的机密数据所需跨越的信任边界，应对数据安全性、策略、流程或实施要求的可能变化；分析数据安全风险：针对现有数据安全的保护控制、技术和行为进行风险/差距分析，识别现有保护措施未能解决的威胁，评估相关风险；确定风险消除措施：列出使各项风险达到可接受水平所需额外控制措施、技术和活动，评估每项风险成本/收益，决定是否以及如何降低、转移确定风险；评估消除措施有效性：如存在不可接受风险，审查前述结果并重新启动整个风险评估周期 建立 数据安全风险评估框架 制度流程 组织机构 分类分级 人员管理 合作外包管理 安全威胁和应急管理 开发运维 云数据安全 数据安全管理 数据处理者基本情况 业务和信息系统 数据资产情况 数据处理活动情况 安全防护措施 信息调研 网络安全防护 身份鉴别与访问控制 监测预警 数据脱敏 数据防泄漏 接口安全 备份恢复 安全审计 数据安全技术 基本原则 告知同意 保护义务 主体权利 投诉举报 个人信息处理 敏感个人信息保护 大型网络平台 个人信息保护 数据收集 数据存储 数据传输 数据使用 数据加工 数据提供 数据公开 数据删除 数据处理活动安全 数据安全风险评估内容框架 数据安全风险评估的基础-数据资产识别 数据资产识别是一个“摸清家底”的过程，从而建立企业数据资产台账，掌握数据重要程度，是风险评估的基础，也是数据分类分级管理的基础。数据资产评估 数据安全风险评估的主线-数据应用场景 数据应用场景与数据生命周期息息相关，不仅包括数据收集/产生、传输、存储等过程，还包括数据调取、加工分析、外发等处理活动。每个数据类型都对应着多个数据应用场景，随之而来潜在的安全风险和合规风险。在应用场景中分析 数据 应用场景 安全风险 数据授权管理问题 数据流向追踪问题 安全审计问题 流转于 以应用场景为背景，挖掘数据可能面临的威胁与存在的脆弱性 大 数 据 时 代 数据安全风险评估结果支撑数据安全分类分级管理 根据数据安全风险评估结果，针对每一个数据安全风险，结合被影响的数据资产重要程度，选择适当的数据安全控制措施，实现数据分类分级管理与保护。风险 评估环节 风险 评估输出 数据安全风险得到有效控制 数据安全风险评估-评估方式 数据处理者可根据相关法律法规及相应标准自行开展评估工作。自评估 第三方评估 数据处理者委托第三方具有数据安全测评服务资质的机构进行评估工作。数据安全风险评估实施步骤-评估流程 各单位开展数据安全自评估 从提高数据安全治理能力、阔时法规和主管监管部门要求、高风险数据处理活动、安全态势等方案，确定评估目标 根据评估目标确定评估对象、范围和边界，明确涉及的数据资产、数据处理活动、业务等 组建自评估团队或委托第三方机构，组织业务、安全、法务、合规、运维、研发等相关部门参与 开展前期准备，制定工作计划、确定评估依据、确定评估内容、建立评估文档 制定评估方案，并获得本单位负责人支持与认可 评估准备 数据处理者识别 业务和信息系统识别 数据资产识别 数据处理活动识别 安全防护措施识别 信息调研 从数据安全管理、数据处理活动、数据安全技术、个人信息保护等方面识别安全风险 风险识别 评估实施 分析总结 形成风险清单 提出整改建议 综合分析 编制评估报告 运行风险处置 评估结果 数据安全风险评估-具体工作和主要产出物 数据安全风险评估实施步骤涵盖评估准备、信息调研、风险识别（数据应用场景识别、数据威胁识别、脆弱性识别、已有安全措施识别）综合分析和评估总结5大步骤。最终分别输出数据资产清单、数据应用场景分析报告、数据威胁报告、脆弱性报告和风险分析报告。数据安全风险评估实施步骤-数据应用场景识别 数据应用场景识别包括业务流程或使用流程、相关数据活动、参与主体。数据应用场景包括主业务调用数据的场景、数据被其他业务系统调取的场景、对组织外部提供数据的场景（合作业务）、员工访问数据的场景、第三方服务人员访问数据的场景等 数据活动包括但不限于数据提取、数据获取、数据整合、数据分析、结果存储、数据下载、数据外发、结果展示等。流程各环节参与主体包括人员、内外部系统、内外部接口等。数据应用场景分析报告 数据应用场景中业务流程或使用流程举例 数据安全风险评估实施步骤-数据威胁识别 数据威胁分类识别表 主要分析数据在应用场景流转过程中，可能影响数据机密性、完整性、可用性及可控性的威胁类型，并进一步分析其属性，包括攻击动机、攻击能力、威胁发生概率，并对其属性进行赋能 数据威胁报告 数据安全风险评估实施步骤-脆弱性识别 通过分析脆弱性对数据机密性、完整性、可用性、可控性影响，判断对数据影响的严重程度。脆弱性识别所采用的方法主要有：问卷调查、工具检测、人工核查、文档查阅、渗透性测试等。脆弱性识别内容表 类型类型 识别对象识别对象 识别内容识别内容 技术脆弱性 物理环境 从机房场地、机房防火、机房供配电、机房防静电、机房接地与防雷、电磁防护、通信线路的保护、机房区域防护、机房设备管理等方面进行识别 网络结构 从网络结构设计、边界防护、外部访问控制策略、内部访问控制策略、网络设备安全配置等方面进行识别 系统软件 从补丁安装、物理保护、用户账号、口令策略、资源共享、事件审计、访问控制、新系统配置、注册表加固、网络安全、系统管理等方面进行识别 应用中间件 从协议安全、交易完整性、数据完整性等方面进行识别 应用系统 从审计机制、审计存储、访问控制策略、数据完整性、通信、鉴别机制、密码保护等方面进行识别 管理脆弱性 技术管理 从物理和环境安全、通信与操作管理、访问控制、系统开发与维护、业务连续性等方面进行识别 组织管理 从安全策略、组织安全、资产分类与控制、人员安全、符合性等方面进行识别 脆弱性报告 数据安全风险评估实施步骤-已有安全措施识别 预防性安全措施可以降低数据威胁，利用脆弱性导致安全事件发生的可能性，如威胁情报系统、数据安全审计、数据安全风险评估等。保护性安全措施可以减少因安全事件发生后对数据、业务或组织造成的影响。已有安全措施分析报告 数据安全风险评估实施步骤-数据威胁与脆弱性的关系 数据威胁 脆弱性 恶意代码注入 采集/处理/存储组件存在漏洞。数据无效写入/数据污染 数据入库时无校验机制。传输信道被监听/遭到中间人攻击 数据以明文传输;敏感元数据未加密或脱敏。物理环境变化/自然灾害/硬件故障 无数据备份/恢复机制;云计算等第二方平台缺乏安全保障机制，越权访问与数据资源滥用 内部员工、合作方员工安全管理存在漏洞，内部员工、合作方员工违规操作;人员或其他业务系统访问权限粒度太粗、访问授权有误:系统或组件存在漏洞 数据分类分级、标记错误 数据分类分级无标准;系统错误。数据算改 采集/处理/存储组件存在漏洞:数据算改 缺乏操作指导，有权限员工操作错误或配置错误;内部员工或第三方合作人员越权操作。数据窃取 数据以明文传输;在数据库服务器、文件服务器、员工终端等存储系统上执行后门、病毒、木马、蠕虫、窃听软件、谋软件等恶意工具或代码数据失效或业务关闭后，遗留了敏感数据仍然可以被访问或数据销毁不彻底，可被技术性恢复;内部员工或第三方合作人员越权获取;关键岗位员工被收买窃取数据，安全意识培训机制、考核机制、数据行为审核手段、审计监控措施存在漏洞,数据不可控 内部员工与第三方合作人员的数据安全管理机制存在漏洞 办公终端缺乏技术监控手段;对第三方合作机构缺少协议或数据安全相关条款约束:对第二方合作机构与人员部署技术监控措施 数据安全风险评估实施步骤-风险分析 评估后果 输入：应用场景内已识别的相关事件情景，包括威胁、脆弱点、数据资产、已有和计划的控制措施。活动：应用场景中脆弱性与具体安全措施关联分析后，判断脆弱性可利用程度和脆弱性对数据资产影响的严重程度；根据脆弱性对数据影响严重程度及数据重要程度计算安全事件后果。评估事件可能性 输入：应用场景内已识别的相关事件情景，包括威胁、暴露的脆弱点、现有和计划的控制措施数据。活动：根据应用场景中数据威胁与脆弱性利用关系，结合数据威胁发生可能性与脆弱性可利用性判断安全事件发生的可能性。估算风险级别 活动：根据应用场景中安全事件发生的可能性以及安全事件后果，判断风险值。数据应用场景识别 数据威胁识别 脆弱性识别 已有安全措施识别 数据资产识别 数据威胁发生可能性 脆弱性可利用性 脆弱性对数据影响严重程度 数据重要程度 安全事件可能性 安全事件后果 风险值 风险分析报告 数据安全风险评估实施步骤-残余风险评估 被评估组织按照风险安全整改建议全部或部分实施整改工作后，对仍然存在的安全风险进行识别、控制和管理的活动。降低风险 依据组织的风险评估准则进行残余风险评估，判断是否已经将至可接受水平，为风险管理提供输入。增加管控措施 残余风险仍处于不可接受的风险范围内，则应由管理层依据风险接受原则考虑是否接受此类风险或增加更多的风险控制措施。定期开展 应定期开展残余风险再评估，评估结果应作为风险管理重要输入。大数据风险评估 识别 分类 分级 报表 数据字典 特征规则 语义分析 自然属性 数据属性 分类数据 分级标准 数据分级 级别标识 资产梳理 资产全景 分类分级报告 组织建设 人员能力 合规需求 制度流程 安全监测 边界管控 安全审计 应急响应 教育培训 全生命周期建设 需求梳理 符合评估 安全测试 行业实践 数据分类分级 数据安全合规评估 XX金融数据安全案例 客户需求：XX集团商业保理系统是一套以融资、账款、授信管理为综合的金融保理系统，系统主要托管于运营商机房，考虑到系统托管的安全问题，特别是数据安全问题，需要针对托管区域进行安全整体加固；同时，保理系统作为一套金融相关系统，需要满足三级等保的要求，方可进行业务开展。解决方案：1.为客户提供整体等保三级设计方案，相关产品的选型服务，后期实施服务，以及等保测评的技术支持；2.提供自主研发产品，包括：大数据安全总控平台、大数据安全风险评估工具箱、数据库审计、堡垒机等，同时协助客户进行其它产品选型支持及运维服务。项目效果：有效满足该金融系统的业务安全及数据安全需求，同时满足三级等保的合规要求。XX监管单位数据安全案例 客户需求：XX药监局当前已将多套重要业务系统迁移到“首信云”上，数据上云后，数据的维护工作由第三方公司进行负责，用户担心敏感数据会被泄露，同时希望有数据安全风险评估工具，亟需解决数据安全问题 解决方案：采用数据库加密系统，实现药品申报审批等业务系统的核心数据密文存储，同时产品提供的独立于数据库权控体系之外的权限管控功能，能够有效确保敏感数据保密性，防止非授权人员非法查看敏感数据。另通过数据安全风险评估工具常态化进行检测。项目效果：实现数据存储加密，防止拖库，防止高权限人员窃取数据，同时满足单位定期安全风险评估需求，符合安全合规。