《数据安全实践指南》- 通用安全实践-数据资产管理

数据资产管理

• 有效的数据资产管理是组织实现数据运营与数据资产变现的基础，数据资产管理强调的是组织内生的力量，需要依赖于组织高效的人员管理架构、明确清晰的制度流程，以及可靠且可用的管理技术能力与工具。

建立负责数据资产管理的职能部门

• 数据资产管理对组织建设的要求是设立数据资产管理的专项岗位或团队，明确划分数据资产范畴，并根据划分的范畴进行数据资产管理规范输出，推进相关规范的实施，从而实现对组织数据资产的统一管理。一般而言，数据资产的管理需要一个专项团队，由团队中的不同人员负责不同维度的组织业务部门的数据资产管理。
• 数据资产管理岗位规划的总体目标是设置数据资产管理组织，按照统一的规章制度管理企业的数据资源，同时各业务团队配置具体人员负责本级业务范围内的数据资产管理工作。

明确数据资产管理岗位的能力要求

• 划分数据资产范畴，明确管理需求。如前所述，并非所有的数据都能构成数据资产，数据资产是指能够为企业产生价值的数据资源。在数据安全制度流程中，数据资产管理团队人员应能明确划分数据资产范畴，并根据该范畴规划数据资产管理。因此相关人员需要具备对数据资产的识别和划分能力，从而明确组织对数据资产的内部管理需求。
• 根据实际业务需求建立管理制度，相关人员需要能够根据业务数据资产划分、业务范围界定，以及组织对数据资产的管理需求，建立适用于组织业务实际情况的管理制度，并推进相关制度的实际落实和执行，同时在此期间，持续保证管理制度、数据资产的划分能够及时跟进组织业务的变化。

数据资产管理岗位的建设及人员能力的评估方法

• 1.调研访谈
  • 数据资产管理阶段的调研访谈，需要针对策略层、管理层、执行层各层级人员分别进行，具体访谈内容如下。
  • 访谈策略层、管理层、执行层各层级人员，确认组织机构是否已经设立了数据资产管理的专项岗位或团队；访谈上述岗位人员，确认其是否能够明确划分数据资产范畴，并根据范畴进行数据资产管理规范的输出，以及推进相关规范的落实与执行；访谈执行层及业务基层人员，确认上述规范要求及解决方案是否落实，以及组织业务运作是否正常等。
• 2.问卷调查
  • 在数据资产管理阶段，组织机构通过查阅已制定的数据资产管理规范以问卷调查的形式，确认组织整体对上述规范和解决方案的了解情况，从而反向推测组织数据资产管理的实际执行情况。
• 3.流程观察
  • 数据资产管理阶段的流程观察，主要是观察执行层团队的工作流程，并从中寻找可能的问题点和改善点，具体观察内容如下。
  • 以中立的视角观察组织执行层日常数据资产管理相关的工作流程，并通过调阅组织内部数据资产管理规范确认两者的相符度，同时观察当前组织内部数据资产管理制度规范是否符合组织数据业务的操作需求，从而反推组织中已制定的数据资产管理规范是否明确，是否符合组织现状。
• 4.技术检测
  • 数据资产管理阶段的技术检测，需要使用技术工具确认实际业务数据资产范围是否符合制度规范的资产划分表述，是否存在数据错误或伪造等情况，制度规范的实际执行覆盖率是否达到要求，是否存在因业务人员自行更改规范而导致其失效的情况等。

制定数据资产管理制度

• 数据资产管理的相关制度流程主要包含数据资产管理制度、数据资产登记机制及数据资产变更审批。
• 数据资产管理制度框架包括组织战略、管理目标、管理域和价值实现。组织战略应参考企业内外部的环境而制定，包括业务、技术和数据等方面。管理目标应依据组织战略而制定，需要覆盖数据资产管理域的关键活动。管理域明确了管理的范围和对象，并在制度、技术和资源等方面的管理措施保障下，通过一系列的管理过程活动实现管理目标。价值实现是实现数据资产保值增值的最终目标，从而挖掘并发挥数据资产的经济价值和社会价值等。
• 管理对象：包括数据资产特征和数据资产管理要素。
• 管理过程：定义了组织实施数据资产管理的一系列关键活动，包括数据资产目录管理，数据资产生命周期的识别、应用、盘点、变更和处置等过程，以及与风控和价值相关的数据资产安全、评估和审计等过程。
• 管理保障：明确了数据资产管理活动的资源条件保障，包括制度、技术和资源等方面的保障。

实施数据资产登记机制

• 数据资产登记机制，旨在明确数据资产管理的范围和属性，确保组织内部重要的数据资产已有明确的管理者或责任部门负责管理。
  • 可增值属性：数据资产的价值易发生变化，随着应用场景、用户数量和使用频率的增加，其经济价值和社会价值也会持续增长。
  • 可共享属性：在权限可控的前提下，数据资产可被组织内/外部多个主体共享和应用。
  • 可控制属性：为满足风险可控、运营合规的要求，数据资产需要具备权限可控制和行为可追溯的属性。
  • 可量化属性：数据资产的质量、成本和价值等具备可计量、可评估的特征。
• 具备上述特征属性的资产，可登记为数据资产，在此基础之上，借助数据资产的如下特征要素，组织机构可以进一步确认其责任归属，将其划分给对应的管理者或责任部门。
  • 基本信息：描述数据资产的基本属性信息，如数据来源、数据类型、数据结构、数据规模、数据标准和数据质量等。
  • 业务信息：描述数据资产的业务指代信息，如业务描述、业务指标、业务规则和关联关系等。
  • 管理信息：描述数据资产的管理相关信息，如数据权属、敏感性信息、安全信息、分类分级、数据溯源、职责权限和应用情况等。
  • 价值信息：描述数据资产的价值评估信息，如市场信息、领域信息、属地信息、使用价值和金融属性等。

明确数据资产变更审批

• 当数据资产管理活动或业务需求触发数据资产变化时，应通过变更管理流程确保变更活动有序实施，并及时更新数据资产目录，确保数据资产目录信息与实际情况的一致性。
  • 应建立数据资产变更申请机制，明确数据资产变更申请的触发条件，并有效管控变更申请过程。
  • 应对提交的数据资产变更进行评审，包括信息的完整性、业务的必要性、需求的符合度、影响范围和权属关系等。
  • 应对数据资产变更影响进行分析，并发布变更影响通知。
  • 应依据数据资产变更评审结果实施变更操作，并更新数据资产目录。
  • 应对变更过程进行记录，并建立数据资产变更的持续跟踪、回顾和改进机制。

使用技术工具

• 数据资产管理部分的技术实现主要涉及对数据资产进行梳理登记的自动化梳理技术、登记后对数据资产进行持续管理的管理技术，以及在此过程中涉及各类密钥使用的密钥管理系统（KMS）。

数据资产自动化梳理技术

• 数据资产梳理是数据库安全治理的基础，对数据资产进行梳理，可以确定敏感性数据在系统内部的分布、如何访问敏感数据，以及当前的账号和授权的状况。目前，数据资产自动化梳理技术主要包含静态梳理技术和动态梳理技术，具体内容如下：
• 1.静态梳理技术
  • 静态梳理技术主要用于完成对敏感数据的存储分布状况的摸底，从而帮助安全管理人员掌握系统的数据资产分布情况。
  • 静态梳理技术可以分为结构化数据梳理和非结构化数据梳理两大类。
  • 对于结构化数据的梳理，静态扫描技术可用于获得数据的以下基本信息。
  • 通过端口扫描和特征发现，可以得到系统网段内存在的数据库列表及其所分布的IP地址，从而获得数据库资产清单。
  • 根据所定义的企业内不同敏感数据的特征，以及预先定义的这些数据的类别和级别，通过对表中的数据进行采样匹配，可以获得不同的列、表和库中的数据所对应的级别和类别。
  • 非结构化数据的梳理可以采用磁盘扫描技术，根据预先定义的数据特征，对CSV、HTML、XML、PDF、Word、Excel和PPT等文档中的内容进行扫描，可以获得这些文件中信息的类别和级别。
  • 无论是结构化数据还是非结构化数据的梳理，都要建立对应的敏感数据资产清单。
• 2.动态梳理技术
  • 动态梳理技术主要基于对网络流量的扫描，对系统中敏感数据的访问状况进行梳理，具体包括敏感数据的存储分布、系统访问状况、批量访问状况和访问风险等内容。
  • 动态梳理技术可用于获得数据的以下基本信息。
  • 哪些IP（数据库主机的）是数据的来源。
  • 哪些IP（业务系统或运维工具的）是数据的主要访问者。
  • 业务系统是如何访问敏感数据的（时间、流量、操作类型、语句）。
  • 运维人员是如何访问敏感数据的（IP、用户、操作）。
  • 动态梳理技术同样也可分为对结构化数据访问网络流量的扫描，以及对非结构化数据访问网络流量的扫描。结构化数据的网络流量，主要是对各种RDBMS、NoSQL、MPP数据库的通信协议的流量监控；非结构化数据则主要是对Mail协议、HTTP、FTP等协议的监控和解析。

数据资产管理技术

• 数据资产管理技术主要包括数据标准管理、数据质量核查、数据模型设计与管理、元数据管理、主数据管理、数据资产分析和非结构化数据管理等技术。
• （1）数据标准管理
  • 数据标准化是指研究、制定和推广应用统一的数据分类分级、记录格式及转换、编码等技术标准的过程。从上述定义可以看出，数据标准指的是针对数据所定义的各种规则或约束，如数据的类别、口径、安全级别、格式、取值范围和类型等。数据标准可以看作是一种特定类型的元数据，数据标准管理是指管理所有数据相关的标准和规范，除了提供一般的查询展示、修改发布管理功能之外，还要能建立数据标准与数据间的关系。同时，数据标准就是数据的业务或技术规则，数据标准管理工具应该能够支持数据标准到数据质量规则的自动同步，数据质量核查工具应能够用于核对数据是否符合数据标准的定义。
• （2）数据质量核查
  • 数据资产管理战略的一个重要目标是保证数据的准确性、一致性和完整性。数据质量核查工具的目的在于通过制定的数据质量规则，实现软件工具支撑下的数据合法性校验、数据质量问题监控、数据质量分析报告等功能，以实现企业数据质量的改进和提升。数据质量核查工具的核心是能够快速高效地校验数据问题，一旦出现数据问题就要及时通知管理人员给予重视和治理。
• （3）数据模型设计与管理
  • 针对企业在不同业务发展阶段建设的一个个竖井式系统，数据资产管理所面临的最大挑战莫过于系统集成过程中数据模型不一致的问题，解决这个问题的唯一方法就是从全局入手，设计标准化数据模型，构建统一的数据模型管控体系，在这个过程中，针对数据模型的管理、比对、分析和展示都离不开工具的支撑，对企业数据模型的管理将直接影响企业数据资产一致性的程度。其中，数据模型设计工具不仅要具备对于新建系统的正向建模能力，还应具备对原有系统的逆向工程能力，对数据模型进行标准化设计，可以使数据模型与整个企业架构保持一致，从源头上提高企业数据的一致性。
• （4）元数据管理
  • 元数据管理的作用是统一管理企业所有的元数据，包括业务元数据、技术元数据、流程元数据和数据管理制度元数据，另外还应包括非结构化数据的元数据。元数据的数据地图可以图形化展示各信息系统之间数据的流转情况，利用血缘分析和影响分析帮助企业快速定位问题数据的源头及系统改造的影响范围。
• （5）主数据管理
  • 主数据管理可以通过数据整合工具（如ETL）、数据清洗工具、作为主数据总线的操作型数据存储（ODS），或者专门的主数据管理工具来实施主数据的管理，目标是通过跨数据源的整合，为企业提供“黄金数据”——主数据的最佳版本，并保证这些主数据在各个信息系统之间的准确性、一致性和完整性。
• （6）数据资产分析
  • 数据资产分析可以帮助数据管理人员快速、可视化地发现数据问题，同时增强企业数据资产的易用性和对外服务能力，一般需要集成开源或商业的数据统计分析工具和分析评估模型。
• （7）非结构化数据管理
  • 越来越多的企业开始重视非结构化数据（如文档、图像、音频、视频等）的管理，需要结合企业自身发展长远考虑，选取对自身发展最有利的支撑手段并加以使用。
  • 基于上述技术，数据资产管理涉及的领域众多，目前主要有两种形式的数据资产管理工具产品：一是基于传统数据管理方法，在某个业务领域精耕细作形成的完善产品，比如，独立的主数据管理工具、元数据管理工具、数据建模工具、数据质量管理工具等；二是将几个相关数据管理工具的功能整合到一起，打通数据连接，形成互相之间有接口的工具平台，比如，由元数据、数据标准、数据质量集成起来形成的数据资产管理平台。目前以后者（即整合性的数据资产管理平台）更为常见。
  • 数据资产管理平台通过资产发现系统，对多类型数据的资产进行识别和分析，并采集到资源库。支持数据表技术字段、业务类型、字段业务类型识别，以标准数据格式存储，通过后端服务实现对目录和资源的数据管理，内置流程引擎可以支持目录和资源的审批流程，在自定义结点之后进行审批流转。服务内部保存有资源缓存数据，可用于保证资源能够进行快速检索。

密钥管理系统

• 密钥管理系统（Key Management System，KMS）也称密码学密钥管理系统（Crytographic Key Management System，CKMS），是用于生成、分发和管理设备和应用程序密钥的一种集成手段。与术语密钥管理相比，密钥管理系统针对特定用例进行了定制，如安全软件更新、机器对机器通信等。整体来说，密钥管理系统涵盖了安全性的所有方面——从通过密钥安全交换生成密钥，到客户端安全密钥的处理和存储。因此，一个密钥管理系统包含了用于密钥生成、分发和替换的后端功能，以及用于注入密钥、存储和管理设备上的密钥等客户端功能。随着物联网的发展，密钥管理系统已成为决定互联设备安全性的关键部分。
• 密钥管理一般包含三个步骤：交换、存储和使用。下面就来具体讲解这三个步骤。
• 1.密钥交换
  • 进行安全通信之前，各用户之间需要确立加密程序的细节，尤其是密钥。在对称密钥加密系统中，各用户间需要确立共同使用的单一密钥，该步骤就是密钥交换。交换对称密钥必须通过另外一条安全通信管道来进行；否则，如果以明文形式在网络中发送，窃听者就会立即得知密钥，以及据其加密的数据。以前，对称密钥的交换过程是非常麻烦的，可能需要使用到物理邮寄等安全渠道。
  • 公开密钥加密的出现大大降低了对称密钥交换的难度，公钥可以公开（通过不安全、可被窃听的渠道）发送，用以加密明文。不过，公钥加密在计算上相当复杂，性能也欠佳，远远比不上对称加密；因此，一般来说，实际情况中往往是通过公钥加密来随机创建临时的对称密钥，即对话键，然后再通过对称加密来传输大量的主体数据。
• 2.密钥存储
  • 对称加密使用的单一密钥会被收发双方分别存储，公开密钥加密的私钥由于含有数字签名的功能，所以全都必须安全存储，以保障通信安全。业界已发展出各种各样的技术来保障密钥的妥善存储，包括定期或不定期的系统检测是否有入侵之虞，以及对存储媒体或服务器提供高强度的物理防护及监控。最常见的方式是由加密应用程序负责管理用户的密钥，使用密钥时则需要输入识别用户的访问密码。对于认证机构，一旦私钥外泄，就将导致整个信任链被摧毁，影响将会波及众多客户，所以认证机构会使用硬件安全模块，有些用于存储私钥的电脑平时甚至不会连线，只有在固定的调度下，经过一系列严谨的行政程序重重把关，才会取出私钥为客户证书签名。在信任链设计中，绝大部分的根证书都不会直接为客户签名，而是先签名一个（或多个）中继证书，再由中继证书为客户签名，这可以加强管控能力，以及当签名私钥被泄时，将损失控制到最低程度。
• 3.密钥使用
  • 密钥的有效期限是一个重要的问题，一个密钥应该在产生后多久被淘汰替换掉呢？密钥被淘汰替换掉之后，旧有的密钥就会无法再解密新产生的密文，从而丧失对窃听者的价值，这会增加攻击者需要投入的精力，所以密钥应该经常替换。同时，万一信息被破解了，这样做也可以降低泄密对企业造成的损失；因为窃听者可能会在破解密钥之前一直存储截取到的加密消息，等待成功破解密钥的那一刻；所以密钥更换得越频繁，窃听者可解读的消息就会越少。在过去，如果可靠的密钥交换程序非常困难，或者仅仅是间歇可行，那么对称密钥就会被长期使用。在理想情况下，对称密钥应该在每次交换消息或会话时进行转换，从而使得如果某一密钥被泄（例如，被盗窃，密码分析或社会工程化）时，只有单一消息或会话能被解读出来。基于公开密钥加密的特性，一对公钥和私钥的有效期一般会长于对称加密所使用的单一密钥，尤其是需要认证机构签核的电子证书，当中涉及行政及部署成本，所以可能是三个月至一两年不等，考虑的因素包括：配合加密算法的密钥长度、存储私钥的强度、一旦外泄可能引致的风险、更换程序对运行中的服务的影响，以及运行成本。基于上述情况，目前的密钥管理系统在提供加密密钥对的同时，往往会提供对这些密钥对的备份、归档、恢复、更新等相关服务。
• 目前，常见的开源密钥管理系统包括Barbican、KeyBox、EPKS等，商业产品则非常多。