摘　要

　　伴随着网络信息安全产业集聚式发展，数据安全形势日益严峻，我国近年来相继出台多项法律、制度、规定对数据使用进行安全规范。随着政府、企业对数据安全的认知愈加完善，数据安全建设需求也更加强烈。为了进一步完善数据安全防护要素，以分析现有的数据中心数据安全建设落地困难为切入点，结合已有的数据安全治理能力，提出了一种基于数据安全网关的数据防护体系设计，为数据安全建设实践提供新的方案参考。

　　内容目录：

　　1　数据安全防护现状

　　1.1　数据安全问题分析

　　1.2　数据安全技术研究现状

　　2　数据安全防护体系设计

　　2.1　数据安全网关防护

　　2.2　数据安全综合保护

　　2.3　数据安全监管

　　2.4　数据全生命周期安全

　　3　基于数据安全网关的数据安全防护体系应用

　　4　结　语

　　数据作为推动经济社会发展和数据化转型的主要推动力，社会各界越发重视对数据安全的防护。国务院正式发布的《“十四五”数字经济规划发展》一文中指出：“要求着力强化数字经济安全体系，提升数据安全保障水平。”数据安全在政府机关、事业单位、普通企业中的地位再一次被提升。

　　2021 年 9 月，我国《中华人民共和国数据安全法》（以下简称《数据安全法》）出台，为我国数据安全稳固发展奠定了基础。《数据安全法》中指出：“支持数据开发利用和数据安全技术研究，鼓励数据开发利用和数据安全等领域的技术推广和商业创新，培育、发展数据开发利用和数据安全产品、产业体系……建立集中统一、高效权威的数据安全风险评估、报告、信息共享、监测预警机制。” 从《数据安全法》中可见，国家鼓励持续在数据安全防护体系中寻求新的解决方案，以适应复杂多变的数据安全新威胁，满足我国在数据战略、数字中国方面的新要求。因此，加强我国信息化建设，数据安全研究尤为重要。本文通过对当前数据安全防护思路进行调研、分析和研究，最终提出一种新的数据安全防护体系并给出在建设中基本的应用方式。

　　1

　　数据安全防护现状

　　2022 年最新发布的《国家数据资源调查报告（2021 年）》 中 显 示，2021 年全球数据总产量达到 67 ZB，我国数据产量总规模达到 6.6ZB，同比增长了 29.4%，仅次于美国的 16 ZB，位居全球第二位。近 3 年来，我国数据产量呈井喷式增长，保持每年 30% 左右的增长速度。在各行各业信息化数据中心，充分体现数据规模大、系统接口多、实时处理要求高、数据交互关系复杂等特点，随之出现的是数据管理混乱、流转困难、泄露事件频发、数据价值难以充分挖掘等问题。近年来，数据安全在政、产、学、研、法领域不断加强交流，需探索数据全治理更加全面的解决思路。

　　1.1　数据安全问题分析

　　随着各行各业数据资产规模快速增长，多层次数据之间的相互影响关系也更加复杂，数据面临的安全威胁也变得多样化。数据安全问题主要体现为以下 6 点。

　　1.1.1　敏感数据意外泄露

　　在数据中心存储着大量个人敏感信息或者敏感数据，但由于数据使用规范的缺失、人员的违规操作、数据安全防护技术手段不健全，经常导致数据在流转、共享、传输过程中遭到意外泄露。Verizon 发布的《2022 年数据泄露调查报告》中指出，由于数据安全防护整体解决方案的缺失，让黑客有机可乘，从凭证窃取、网络钓鱼、漏洞利用和僵尸网络等多种手段非法获取各类敏感数据。

　　1.1.2　数据非法访问和滥用

　　由于不同标识的数据在数据流转过程中需要进行分类分级处理，但目前应用系统之间数据流转普遍存在数据滥用情况，大量高密数据资产、高权限接口、未授权接口被低权限用户和未授权系统访问。应用系统之间海量数据在流转、处理、分析过程中如何做到高效、快速的数据权限访问控制，也是各企业在数据安全治理过程中的痛点之一。

　　1.1.3　数据恶意篡改

　　内部人员或者黑客攻击者通过利用系统账号登录到内网中，非法篡改后台任意数据内容或者数据格式，往往会造成系统瘫痪、数据价值丢失，影响企业正常运行并造成巨大的经济损失。

　　1.1.4　数据管理混乱

　　大量数据的合理性管理，一直是通过海量数据分析、数据挖掘、机器学习等技术进行数据潜在价值提取的前提条件。但由于数据中心各类数据格式类型的不统一、数据量巨大、数据质量参差不齐，直接使用将严重影响数据分析结果，数据价值大打折扣。加之外部采集数据中往往容易混杂病毒或者木马程序，严重影响了内网系统的安全。

　　1.1.5　数据安全防护技能缺乏

　　由于数据安全防护技术还处于发展期，安全运维人员缺乏数据安全防护技能，企业数据安全防护体系建设的思路普遍不清晰、数据安全防护意识淡薄，导致企业整体数据安全防护能力低下。

　　1.1.6　数据安全措施与应用系统结合难度大

　　数据安全防护的对象为应用系统中的全量数据，在应用系统设计之初对安全问题考虑较少是一种普遍现象，即使设计者在设计前期会从单一问题点出发去解决某一个系统安全问题，但由于缺乏整体数据安全考虑，也会导致应用系统与数据安全防护措施后期设计融合困难、技术对接难度大、整改时间长等问题，数据安全防护手段被应用系统绕行的情况也常有发生。

　　1.2　数据安全技术研究现状

　　数据安全技术发展是推动数据安全防护能力提升的基础，越来越多的安全学者对数据安全技术展开研究。数据安全技术一方面把数据作为主体，是实现数据安全保护的核心手段，另一方面为实现数据安全监管、隐私保护的安全措施提供技术支撑。张素芳等人提出了以零信任作为基础的数据安全解决方案；李雪妮等人 提出了从评估项、评估维度、评估等级分析数据安全治理能力；胡贞华等人从安全保障措施、数据治理安全架构、数据安全管理制度、关键信息数据保护 4 个方面论述数据安全治理措施；彭雅讨论了大数据云计算环境下数据安全保护方法；高磊等人 以分类分级为切入点，提出一种数据安全治理的思路、原则、方法以及技术架构。不同于上述学者在数据安全方向展开的安全治理技术、数据治理理论的研究，本文着重针对大型数据中心网络结构复杂、应用系统服务众多、数据交互困难等痛点，通过研究数据安全网关，设计一种结合数据网关的数据安全防护体系，致力于解决应用系统与数据安全防护手段结合困难、数据安全治理措施利用率低下等问题。

　　2

　　数据安全防护体系设计

　　数据安全网关是一种从用户客户端、数据采集端与提供业务服务的应用系统之间的数据安全防护手段，本文设计的数据安全网关以解耦安全系统与应用系统为目的，提供可灵活扩展的、分布式的、具有数据防护能力的网关系统。数据安全防护不再单单是通过数据安全管理对数据资产进行安全管理，数据中心的数据安全防护需要多维度、多形式对数据全生命周期进行安全治理。结合数据安全网关的数据安全防护体系是利用数据安全治理核心手段，整合数据安全网关关键技术，从数据产生到消亡整体考虑数据安全防护方法，具体体系框架设计如下。

　　如图 1 所示，本文所阐述的数据安全防护体系从数据安全网关防护、数据安全综合保护、数据安全监管 3 个安全防护层次与一个安全防护对象进行整体设计，核心防护对象贯穿数据全生命周期，致力于提高数据安全防护能力。

　　图 1　数据安全防护体系

　　2.1　数据安全网关防护

　　通过整合传统数据安全治理部分技术到数据安全网关，主要解决数据安全治理体系与应用系统整合技术壁垒高、实际应用落地困难大等问题。利用数据安全网关在数据进出口对数据的集中控制，通过集成数据安全综合保护能力，实现全量数据的安全保护，为更进一步提升数据安全治理能力提供支撑。数据安全网关作为多种类型安全能力的聚合接口，集成了身份认证、数据标识、数据接入控制、流量采集、日志上报、反向代理等功能。数据安全网关能够实现对外部请求权限的统一控制，对其数据访问进行统一安全策略控制。在数据采集场景，重点解决在大型数据中心结构化和非结构化数据混杂、传统手段无法完成数据全量管理、管理效率低下问题，通过手动和自动两种方式对所有接入数据完成分级分类标识，明确数据的身份属性、敏感性和重要性，依据分级分类属性从多维度制定数据流转保护策略，实现不同级别数据流转过程中的安全保护。数据安全网关作为内网与外界流量的进出口，针对数据流转的具体场景制定不同标准的数据安全保护策略，实现数据中心不同业务系统之间，关联数据流转过程中对敏感数据进行相应的脱敏、加解密、防泄露检测处理等保护措施，提高数据使用安全性，同时保护用户隐私且不降低数据的可用性。

　　2.2　数据安全综合保护

　　数据安全综合保护作为集中式数据安全治理能力的提供者，由统一身份鉴别、统一安全策略管理、统一访问控制、统一数据脱敏、统一数据防泄露、统一密码服务和统一安全事件应急处置多个子系统构成，为数据全生命周期安全治理过程中安全需求提供统一、简便、全面的安全防护服务。针对应用系统数据安全防护需求，提供统一用户身份鉴别、各类用户请求和应用请求实现细粒度访问控制；利用数据脱敏系统、数据防泄露系统、数据密码服务系统为数据在处理或者流转过程中提供安全防护。针对应用系统内所有系统运行日志、用户操作日志、安全日志进行集中采集分析，实现各类日志信息关联分析。

　　2.3　数据安全监管

　　数据安全防护结果需要直观地反馈给使用者，让用户或者安全员快速获取数据中心存在的安全风险。通过数据流转溯源记录数据在整个生命周期内，从生成到消亡处理整个过程，实现对数据流转过程以全路径图形化方式进行追溯。数据安全监控为数据中心提供统一的、高效的海量数据安全审计、综合安全态势分析，从而提升数据安全威胁事前防御、事中告警、事后溯源能力。

　　2.4　数据全生命周期安全

　　数据安全防护需要从数据采集、传输、存储、处理、共享和销毁 6 个过程进行全生命周期防护。在采集阶段，需要对采集数据身份和数据内容进行合规性检测，防止非法来源数据进入内部系统，依据分级分类规则对采集数据实现安全标签标识。在传输阶段，根据数据访问控制策略控制数据传出、传入等敏感操作；通过密码组件结合数据安全策略，利用完整性校验、不同密码算法加密保护等手段为数据传输过程提供保护。在数据存储阶段，以分级分类结果为基础对数据进行隔离存放；利用密码组件实现存储数据分级分类保护，防止存储设备遗失导致数据泄露；制定存储系统容灾备份与恢复机制，防止意外风险导致数据遗失。在数据处理阶段，把数据细粒度访问级别控制作为目标，通过解析访问控制策略与业务请求权限判定结果对业务数据访问阻断、放行。依据分级分类保护策略完成脱敏、加解密加工处理，杜绝明文处理、存储引起的数据意外泄露和内外部威胁引发的数据窃取。在数据共享阶段，对数据共享、移交、下载等高危敏感操作进行权限判定，依据数据属性解析结果实现对操作数据的防泄露安全检查。在数据销毁阶段，对整个数据销毁过程进行监督；通过采用覆盖式清除模式，防止数据被恢复导致信息泄露；对物理介质采用物理方式进行完全销毁，最终保证已销毁的数据不可再恢复。

　　3

　　基于数据安全网关的数据安全防护

　　体系应用

　　基于数据安全网关的数据安全防护体系的设计，着重点在于充分利用数据安全网关在大型数据中心安全防护体系建设中心侧、边缘侧灵活部署的特点，结合统一的数据安全综合保护能力和安全监管能力，为数据全生命周期提供一种可落地的安全防护思路，如图 2 所示。

　　图 2　数据安全防护体系应用

　　下面以通用的数据中心应用系统使用场景为例，说明数据安全网关如何在数据安全防护体系中发挥关键作用。

　　整体体系中数据的采集是数据安全防护的第一道关卡，从各终端进行采集后的全量数据流经数据安全网关赋予安全属性身份，通过实现对全量数据进行自动或者手动强制打标操作，确保每一个数据都具有分级分类属性，以便在后续数据传输、流转、处理等各个环节中识别数据对象身份，进而提供细粒度的安全防护措施。数据中心及各网点应用系统业务请求经过数据安全网关实现统一的权限认证，数据安全网关联动安全子系统调用统一认证服务、策略管理服务，根据预置的安全策略对用户身份、请求类型、数据类型进行分析，判定每一次用户请求的合法性，判别数据访问请求主体、客体、动作和结果的合规性。根据策略管理服务器制定的数据安全保护策略及安全防护设备的灵活运用，用户请求数据在应用系统之间流转之前，通过数据分级分类属性与安全访问策略结合分析结果实现对敏感数据脱敏、防泄露、加密等安全手段保护，最终形成一套纵深动态防御体系，形成授权、认证、隔离、安全保护（脱敏、防泄露、加解密等）多层次数据安全威胁防御体系。数据安全网关作为整个体系的“安全守卫”，数据中心内部应用系统的所有应用程 序 接 口（Application Programming Interface，API）都不会再对外暴露，由安全网关实现统一的 API 安全性保护，根据访问请求权限动态判决结果，决定是否将请求路由到后端应用系统。首先，利用数据中心流量信息、业务系统与安全系统运行日志、关系型与非关系型数据库操作信息、硬件设备运行信息实现全量采集；其次，数据安全网关联动应用系统与安全防护设备统一上报信息给数据安全风险分析区，实现数据流转溯源分析、数据操作风险审计、数据异常告警与威胁阻断、安全态势实时展示，为大型数据中心提供一套无监管的数据安全防护解决方案。

　　4

　　结　语

　　数据安全作为数字时代发展的核心要素，为创新数据开发利用保驾护航，需要持续对数据安全体制、技术、标准深化研究，才能实现我国建设数字中国的宏伟目标。本文针对当前业务数据使用过程中普遍存在的问题以及数据安全治理落地困难等问题进行分析，从应用系统建设和数据安全防护建设融合出发，提出了一种结合数据安全网关应用的数据安全防护体系设计，并说明该体系中数据安全防护能力应用模式，提升数据精准管控、动态授权、全量安全治理能力，为大型数据中心实施数据安全保护提供一种可行的解决新思路。

　　引用格式：赵思宇 , 唐晋 , 刘晓毅 , 等 . 基于数据安全网关的数据安全防护体系研究 [J]. 信息安全与通信保密 ,2023(4):105-112.

　　作者简介 >>>

　　赵思宇，男，硕士，工程师，主要研究方向为数据安全、云计算安全；

　　唐　晋，男，硕士，高级工程师，主要研究方向为数据安全、信息安全；

　　刘晓毅，男， 硕 士， 高 级 工程师，主要研究方向为云计算、大数据和信息安全；

　　尚　旭，男，硕士，高级工程师，主要研究方向为云计算、信息安全；

　　林琦力，男，学士，工程师，主要研究方向为云计算安全、网络安全。

　　选自《信息安全与通信保密》2023年第4期（为便于排版，已省去原文参考文献）