數(shù)據(jù)治理數(shù)據(jù)安全工具建設分享

數(shù)據(jù)治理|數(shù)據(jù)安全工具建設分享01前言本期我們就先來聊一聊數(shù)據(jù)安全治理工具建設。02核心理念靈魂三問：你為什么要做數(shù)據(jù)安全建設？你為誰做數(shù)據(jù)安全建設？你做數(shù)據(jù)安全有什么價值？數(shù)據(jù)安全的終極目標為：保障數(shù)據(jù)流通的安全性，促進數(shù)據(jù)的共享和流通，讓數(shù)據(jù)為業(yè)務賦能！圖1：數(shù)據(jù)安全中心核心建設思路03工具框架如圖2，整合分散產(chǎn)品，集合權限服務、流程服務、離職轉(zhuǎn)崗服務、安全審計服務、數(shù)據(jù)流通服務幾大方面能力的工具平臺，提供綜合化安全管控治理服務。圖2：數(shù)據(jù)安全中心框架設計圖04工具設計如圖3，數(shù)據(jù)安全工具整體會圍繞身份認證、授權、訪問控制、行為審計和資產(chǎn)保護來進行設計。圖3：數(shù)據(jù)安全工具范圍身份認證（Authentication）：你是誰，以及怎么證明你是你；授權（Authorization）：允許/拒絕你對某個對象進行訪問/操作；訪問控制（AccessControl）：控制措施以及是否放行的執(zhí)行者；行為審計（Auditable）：數(shù)據(jù)血緣可以追溯，用戶行為可以審計；資產(chǎn)保護（AssetProtection）：對數(shù)據(jù)資產(chǎn)進行立法保護、預防監(jiān)控等。1.身份認證1.1賬號設計身份認證包含賬號和認證兩個部分，如圖4，其中賬號就是管控對象的身份，比如每個人都有電話、郵箱等，可以作為在登錄微信或者QQ時候的賬號，賬號是保障數(shù)據(jù)安全的最基本前提。賬號通常包含三類，分別是自然人賬號、應用/服務賬號和組織賬號。圖4：賬號類型1.2賬號實踐如圖5，對于特定系統(tǒng)，為了保障安全，是不允許用戶自己去自行注冊的，只能通過BD或者管理員去創(chuàng)建賬號，比如：商家CRM系統(tǒng)，創(chuàng)建商家賬號，用于商家貨品上單和管理；經(jīng)營參謀，創(chuàng)建分類賬號，針對不同類型的賬號制定分類授權策略；測試系統(tǒng)，創(chuàng)建測試賬號，用于系統(tǒng)測試。圖5：賬號系統(tǒng)設計demo1.3認證設計身份認證包含賬號和認證兩個部分，其中認證就是證明“你媽確實是你媽”的過程。認證通常交給公司內(nèi)部統(tǒng)一的單點登錄系統(tǒng)（SSO）去負責，用戶身份認證通常有賬號密碼認證、電話/郵件驗證碼認證、第三方認證等。圖6：賬號認證的過程2.權限管控2.1權限模型權限管控核心是聲明人和權限的關系，縱觀行業(yè)發(fā)展，權限管控模型先后經(jīng)歷了以ACL模型為代表的1.0時代和以RBAC模型為代表的2.0時代，現(xiàn)在正式邁入以ABAC模型為核心的3.0時代：ACL模型：即AccessControlList，直接維護列表中用戶與資源的關系從而達到權限管控的目的；RBAC模型：即Role-BasedAccessControl，基于角色的訪問控制，將用戶添加到角色列表從而間接獲得對應的權限；ABAC模型，即Attribute-BasedAuthorization，基于屬性的授權，通過事先定義好的規(guī)則屬性來控制用戶的權限范圍；TRFAC權限模型，即基于“對象-資源-條件-行為”的權限控制，描述了“XX對象（人/應用/組織/角色等）對XX資源（頁面/菜單/按鈕/數(shù)據(jù)等）在XX條件/因素（城市=北京等）下?lián)碛蠿X行為類型（增刪改查等）的權限”。圖7：基礎權限模型示意圖2.2權限系統(tǒng)圖8是基于權限模型設計的權限產(chǎn)品DEMO，核心思路來源于ABAC模型的改良，我命名為TRFAC模型，即基于“對象-資源-條件-行為”的權限控制，描述了“XX對象（人/應用/組織/角色等）對XX資源（頁面/菜單/按鈕/數(shù)據(jù)等）在XX條件/因素（城市=北京等）下?lián)碛蠿X行為類型（增刪改查等）的權限”。圖8：權限系統(tǒng)demo2.3權限系統(tǒng)鑒權流程基于TRFAC權限模型，接入權限中心的應用系統(tǒng)的鑒權邏輯如圖9。圖9：權限系統(tǒng)鑒權流程3.資產(chǎn)保護賬號和認證保證了我知道誰來訪問我的數(shù)據(jù)，權限保證了他能夠訪問到什么數(shù)據(jù)，那資產(chǎn)保護就是在給他安裝了一個監(jiān)控的同時，還配置了一個門衛(wèi)，時刻盯著他以防他干壞事。圖10：資產(chǎn)保護工具組成3.1事前預防事前預防的工具之一是離職轉(zhuǎn)崗交接平臺，離職轉(zhuǎn)崗是所有數(shù)據(jù)安全case中占比最高的環(huán)節(jié)，設計專門的針對角色、權限、任務、各類型資產(chǎn)的交接回收平臺能極大降低風險發(fā)生的可能性。圖11：離職轉(zhuǎn)崗交接平臺demo事前預防的第二個工具便是敏感數(shù)據(jù)識別，如果我們能及時發(fā)現(xiàn)諸如電話、身份證號等敏感數(shù)據(jù)，及時對識別出的數(shù)據(jù)做出標記和升級，就能封堵住可能的泄露風險。圖12：敏感數(shù)據(jù)識別demo事前預防的另外一個工具便是敏感數(shù)據(jù)脫敏展示/下載，提供針對特定用戶查看/下載數(shù)據(jù)時進行數(shù)據(jù)脫敏。圖13：數(shù)據(jù)脫敏工具demo3.2事中監(jiān)控事中監(jiān)控主要是針對高風險人群（比如待離職人員、外包賬號、實習生等）和高風險行為（比如敏感數(shù)據(jù)下載、敏感數(shù)據(jù)查詢等）配置監(jiān)控規(guī)則，從