供应链安全体系建设方案

数据供应链安全

过程域设定背景和目标

数据供应链是数据生产及流通过程中，涉及将数据产品或服务提供给最终用户所形成的网链结构。 数据供应链安全管理的核心是厘清各方权力责任边界，对各方数据交互行为进行合规管理，防范组织上 下游的数据供应过程中的安全风险。

过程域具体标准要求解读

l 制度流程：
——根据法律法规和企业规定，制定数据供应链安全管理的基本要求，包括数据供应链上下游的 责任和义务、合同要件、数据交互审批和审计原则。
——通过协议方式，明确数据供应链上下游数据使用目的、使用方法、供应方式、保密约定等。 ——对数据服务商的数据安全能力进行评估，并将评估结果应用于供应商选择、供应商审核等供 应商管理过程中。
l 技术工具： ——通过技术工具完整的记录数据供应链授权信息、流转对账信息、场景使用信息等元数据信息，
实时监测和查询数据链路整体情况。通过日志分析等事后追踪分析手段，审计数据供应链上
下游合规遵循情况。 ——基于数据供应记录，利用技术工具对数据供应链上下游相关方的开展数据处理合规性审核和分析。

过程域充分定义级实施指南

参考案 例：

全链路数据追踪技术

全链路数据追踪是针对数据从哪里来、到哪里去，数据加工链路是什么，数据被哪些产品 使用，一个产品的加工链路如何保障等企业数据管理痛点问题，提出的产品及技术应用体系。 全链路数据追踪技术覆盖采集端、数据端、应用端、数据接口四个部分，能打通数据采集、生 产、消费、到产品服务的整个生产链路，服务于数据治理、数据安全、数据ROI评估等数据管理 各个方面。

l 标准参考

——GB∕T 35274-2017《信息安全技术 大数据服务安全能力要求》5.5 节“供应链管理”

PA25元数据管理

过程域设定背景和目标

元数据主要是描述数据属性的，或者描述信息资源或数据等对象的数据。同时元数据本身也是数据， 因此可以用类似数据的方法在数据库中进行存储和获取，进行元数据管理目的在于：识别和评价数据资源， 追踪数据资源在使用过程中的变化；实现简单高效地管理大量网络化数据；实现信息资源的有效发现、查 找、一体化组织和对使用资源的有效管理。如果没有元数据，组织IT系统中收集和存储的所有数据都会失 去意义，也就没有业务价值。

元数据根据本不同维度有不同分类，常见的按功能分为管理元数据、技术元数据和业务元数据。

管理元数据：面向管理人员，对管理相关信息的描述，如管理流程、人员职责、工作内容分配等；

技术元数据：面向技术人员，对数据结构和数据处理细节等方面的技术化描述，如数据库结构，数据 集市定义，数据处理过程描述等；

业务元数据：面向业务分析人员的数据和处理规则业务化描述，比如业务规则、业务术语、指标口径 和信息分类等。

DSMM对元数据及其管理的定义相对比较窄，主要是指技术元数据。

过程域具体标准要求解读

l 制度流程：

——元数据及数据字典定义；
——元数据统一编写要求，比如数据格式、数据域、字段类型、表结构等；
——元数据访问控制要求，比如数据管理角色及其授权；
——元数据的更新和变更管理要求；
——元数据变更和访问操作日志记录和审计要求；

l 技术工具：
——元数据管理平台将各个领域的元数据集中起来统一提供服务，在同一领域应“标准化”；在不 同领域，应妥善解决不同格式的互操作问题；
——对元数据本身的访问需要进行身份验证和授权，根据不同角色合理需求开放，并记录操作日 志以便于监控和审计。

过程域充分定义级实施指南
l 技术工具参考：

元数据管理系统参考示意：

图9：元数据管理系统架构设计

l 相关实践参考：

• 电信元数据管理 64 页
• 信息集成 ： 元数据管理全景 40 页
• 浅谈电子政务元数据框架 3 页
• 电子文件管理中的元数据 21 页
• 中国移动元数据 经营分析 47 页

l 标准参考

——GB∕T 35274-2017《信息安全技术 大数据服务安全能力要求》5.4 节“元数据安全”

数据终端安全

过程域设定背景和目标

终端是组织存储、处理、交换大量敏感数据的环境，一方面终端环境的复杂、多变、使用体验等都 给终端数据安全管控的实践带来更多的挑战，另一方面在不同人员角色、复杂使用场景以及跨国、组织 和系统的数据流动下，给组织数据安全带来更多的威胁。本过程域的设定，即要求建立相关管理和技术 的终端保护措施来保证数据可用性和安全性的平衡。

过程域具体标准要求解读

l 制度流程： ——建立终端安全管控规范，至少覆盖网络准入、补丁管理、安全基线、入侵防御、防病毒、数 据防泄漏、软件管理、行为审计等方面。终端防护对象需根据组织实际资产展开，包括但不限于：各类办公终端、业务终端、移动终端等； ——建立员工终端行为管理规范，对用户在终端上的数据访问、处理、存储和交换行为进行明确要求、检测和管控，并明确责任和义务； ——建立或在原有信息安全事件处置中新增数据丢失、泄露、篡改类事件的应急预案、处置流程。

l 技术工具：

组织应整体考虑终端安全解决方案，包括终端环境的安全性和数据流动的安全管控： ——建立一套或兼容的终端管理平台，实现终端准入、资产管理、补丁管理、安全基线、入侵检 测、防病毒、行为审计等方面的管控；

——建立数据防泄漏（DLP）平台，可根据组织业务场景需要构建基于加密或边界管控的思路来实 现，辅助以水印、标记、协议管控、打印管控等手段，实现发现、加密/边界管控、审计的 数据泄露闭环防护体系； ——建立移动安全管理平台，对移动端的数据存储、数据传输、数据分发、数据访问等行为进行 管控。

过程域充分定义级实施指南

某行业 案例 1： 某 组织 数据终端安全管理实践

1）制度建设

《终端安全管理办法》关键内容

• 总则，说明背景、管理对象和范围、名词解释等
• 组织管理，说明组织架构、管理职责等
• 终端管控，说明网络准入、补丁管理、安全基线、入侵防御、防病毒、数据防泄漏、软件管 理、行为审计等方面的管理要求等
• 附则，约定罚则、制度生效日等

《员工桌面计算机使用安全管理手册》

• 总则，说明背景、管理对象和范围、名词解释等
• 总体原则，约定员工使用等
• 使用规范，包括系统使用、办公安全、病毒防护等方面；
• 附则，约定罚则、制度生效日等

2） 数据防泄漏（ DLP）平台

通过部署数据防泄漏（DLP）平台，以统一策略为基础，以敏感数据为保护对象，根据数据 内容主动防护，对所有敏感数据的输入输出通道如邮件、U盘拷贝、打印、共享等多渠道进行监 管，根据策略管控要求进行预警、提示、拦截、阻断、管控及告警等。平台实施后，4个高风险 不复存在,完全被降低为中低风险。并通过强化敏感数据审核与管控机制以降低敏感数据外泄的 发生几率及提升可追朔性。

某行业 案例 2： 某 组织 桌面管理 系统、杀毒软件、入侵检测系统

该组织在全国各地均有办公地点，在业务合作、系统开发测试和运维领域均有大量的合作 外包，通过桌面管理系统、杀毒软件、入侵检测系统和桌面虚拟化实现了接入、设备、应用、 数据等多维度管控，从而保证了数据的安全性：

1. 通过桌面管理系统实现办公终端网络准入控制，实现终端使用者身份验证、终端设备 安全合规检查、使用者访问权限控制；

2. 通过桌面管理系统实现办公终端安全运维管理及审计,包括并不限于终端软、硬件信息 搜集、设备拓扑发现、设备定位、本地安全管理、终端流量控制、补丁管理、软件分 发、远程协助、非法外联、移动介质管理和操作审计等；

3. 通过主机入侵防御系统（HIPS），实时监控系统异常操作行为，第一时间发现和阻断入 侵行为；

4. 通过统一管理的杀毒软件系统，实现覆盖全网的、可快速应急的防病毒体系；

5. 通过桌面虚拟化环境，对驻场的开发、测试、业务等外包场景进行集中管理、统一配 置，杜绝私自的数据交换场景，避免了数据外泄的风险。

某行业 案例 3： 移动安全管理平台

该组织的移动办公和业务开展场景应用广泛，办公类包括移动审批、移动OA、移动财务、 移动HR等，业务开展场景包括移动展业、移动营销等。通过部署了MDM解决业务场景，部署MAM 和MCM结合管控解决BYOD场景。基于以上举措解决了移动终端的数据安全风险。

1. 移动终端部署虚拟安全域，通过对应用增加一个“壳”文件，使应用运行在安全的容 器内，监控管理应用的各种操作，实现安全防护；
2. 应用级安全接入隧道，仅允许指定的工作应用，例如邮箱、OA应用，通过应用级的VPN 连接到组织内部网络，保证敏感数据在传输过程中的安全性；
3. 移动应用本地敏感数据根据需要进行转加密，并控制应用调用权限；
4. 移动应用截屏保护、录屏保护、应用限制分享。

l 标准参考

——GB∕T 34977-2017《信息安全技术 移动智能终端数据存储安全技术要求与测试评价》 ——GB/T 34978-2017 《信息安全技术 移动智能终端个人信息保护技术要求》

——GB/T 35278-2017 《信息安全技术 移动终端安全保护技术要求》

监控与审计

过程域设定背景和目标

数据安全保护的一个前提是知晓数据在组织内的安全状态，由于数据风险通过数据流动，贯穿多个 系统和阶段中，形成了一个难以分割的风险整体，所以需要组织在数据生命周期各阶段（数据采集、数 据传输、数据存储、数据处理、数据交换、数据销毁）开展安全监控和审计，以实现对数据安全风险的 防控。本过程域的设定，即要求建立相关的措施对非法采集、未授权访问、数据滥用、数据泄漏进行监 控和审计。通过数据分析来支撑有效的安全、合规决策，从而降低数据安全风险。

过程域具体标准要求解读

l 制度流程：
——建立或在数据安全整体策略中规范数据安全监控审计策略，覆盖数据采集、数据传输、数据存储、数据处理、数据交换、数据销毁各阶段的监控和审计；
——建立或在原有信息安全事件处置中新增监控审计出数据安全类事件的应急预案、处置流程。

l 技术工具： ——建立数据安全监控审计平台，对组织内所有网络、系统、应用、数据平台等核心资产中的数 据流动进行监控和审计，并进行风险识别与预警，以实现数据全生命周期各阶段的安全风险防控；

过程域充分定义级实施指南

某行业 案例 1： 制度建设

《数据安全日常监控和审计管理办法》

• 总则，说明背景、管理对象和范围、名词解释等
• 组织管理，说明组织架构、管理职责等
• 管理内容，说明监控和审计的策略、对象、内容、监控要求、日志保存要求等；
• 异常流程处置，约定发生事件的处理流程和参考文件；
• 附则，约定罚则、制度生效日等

某行业案例 2： 数据安全监控审计平台 该组织的业务场景变化迅速、组织和人员角色复杂、数据输出管控有待完善，通过部署数

据安全监控审计平台，对人员、业务、系统、合作伙伴进行全面布控，有效提高风险预警能力 和风险运营能力。

工具平台：

• 数据采集，数据来源包括了员工基础数据、网络数据、终端数据、系统和应用数据等；日志 数据获取的方式支持了JDBC、文本文件、Syslog、SNMP、 API、Agent 、WINDOWS事件日志、 Netflow等，日志内容支持文本、XML、 JSON等，可针对特殊采集场景进行定制化；
• 数据整合，通过关联业务数据对采集的信息进行补全和数据的标准化定义，按照5W1H的方法 进行数据统一，并根据行为共性，抽像出归一化的数据流动和行为主题域；
• 数据分析，以敏感数据为中心，建立多维度行为基线，利用机器学习算法和预定义规则找出 严重偏离基线的异常行为，及时发现内部用户、合作伙伴窃取数据等违规行为；
• 平台运营，建立了发现、审计、处置和反馈的运营循环机制。
• 风险大图，可视化、可感知使得风险统一监控、统一告警、统一处置、统一恢复；

覆盖场景：

• 敏感数据外发
• u盘大量拷贝文件或大量打印文件
• 内网机器向外网大量发送文件
• 特定账号从FTP下载大量文件
• FTP账号被暴力破解后窃取数据
• 文件服务器下载大量文件
• 数据库dump操作（数据库拖库）
• 特定账号FTP下载文件后上传同名文件
• FTP账号被暴力破解后篡改数据
• 发现勒索软件
• 数据库危险操作或高危命令
• API滥用
• ……

l 标准参考

——GB/T 35274-2017 《信息安全技术 大数据服务安全能力要求》 ——GB/T 22239-2008《信息安全技术 信息系统安全等级保护基本要求》

11 参考文献

1. DB 52/T 1123—2016《政府数据 数据分类分级指南》
2. 国发〔2016〕51 号《政务信息资源共享管理暂行办法》
3. BMB21-2007《涉及国家秘密的载体销毁与信息消除安全保密要求》
4. SJ 20901-2004《硬磁盘信息消除器通用规范》
5. 美国国防部 DoD 5220.22-M国家工业安全计划操作手册（National Industrial Security Program Operating Manual，NISPOM）
6. 美国国防部所属国防保安处（Defense Security Service，DSS）提供数据清除与销毁方法参考矩阵 表（Clearing and Sanitization Matrix，C&SM）
7. GA/T 1143-2014《信息安全技术 数据销毁软件产品安全技术要求》
8. BMB21-2007《涉及国家秘密的载体销毁与信息消除安全保密要求》
9. GBT19710-2005《地理信息元数据》
10. GB∕T 35274-2017 《信息安全技术 大数据服务安全能力要求》
    [11]GB∕T 34977-2017《信息安全技术 移动智能终端数据存储安全技术要求与测试评价》
    [12]YD/T 1699-2007《移动终端信息安全技术要求》
    [13] GBT 22239-2008《信息安全技术 信息系统安全等级保护基本要求》

参考资料

数据安全能力建设实施指南 V1.0(征求意见稿)