//

數(shù)據(jù)具有多樣性、復(fù)雜性等特征，如果沒有合適的數(shù)據(jù)安全風(fēng)險(xiǎn)評估方法和體系，就無法針對性地摸清所有面臨的安全風(fēng)險(xiǎn)，也無法評估與法律合規(guī)要求的差距。同時，根據(jù)《數(shù)據(jù)安全法》以及各行業(yè)相關(guān)標(biāo)準(zhǔn)要求，數(shù)據(jù)安全風(fēng)險(xiǎn)評估是開展數(shù)據(jù)安全治理工作的基礎(chǔ)，是各行業(yè)機(jī)構(gòu)必要的數(shù)據(jù)安全保護(hù)義務(wù)。

傳統(tǒng)安全防護(hù)采用邊界防護(hù)的策略，只是保證靜態(tài)數(shù)據(jù)安全，而現(xiàn)實(shí)中企業(yè)一旦開展業(yè)務(wù)，必然涉及數(shù)據(jù)流動過程中的安全風(fēng)險(xiǎn)評估和監(jiān)測。而數(shù)據(jù)安全風(fēng)險(xiǎn)評估不僅是一套簡單的評估流程或一系列的評估工具，其核心是如何平衡企業(yè)數(shù)據(jù)價(jià)值和數(shù)據(jù)風(fēng)險(xiǎn)之間的沖突。

安恒信息深耕數(shù)據(jù)安全領(lǐng)域多年，在對金融、政府、國企等行業(yè)的數(shù)據(jù)安全風(fēng)險(xiǎn)研究和評估方面積累了豐富的實(shí)戰(zhàn)經(jīng)驗(yàn)，關(guān)于數(shù)據(jù)安全風(fēng)險(xiǎn)評估開展工作，將采取以下7步走的動作進(jìn)行開展：

數(shù)據(jù)安全風(fēng)險(xiǎn)評估咨詢服務(wù)過程實(shí)踐 ▲

? 第一步（資產(chǎn)與數(shù)據(jù)發(fā)現(xiàn)）

基于企業(yè)機(jī)構(gòu)所屬行業(yè)標(biāo)準(zhǔn)規(guī)范指南識別相關(guān)系統(tǒng)的敏感數(shù)據(jù)，如金融行業(yè)的《個人金融信息保護(hù)技術(shù)規(guī)范》《金融數(shù)據(jù)安全·數(shù)據(jù)安全分級指南》等，確定不同安全級別的數(shù)據(jù)類型，進(jìn)而形成業(yè)務(wù)場景下的敏感數(shù)據(jù)范圍。

? 第二步（業(yè)務(wù)數(shù)據(jù)流調(diào)研）

依據(jù)敏感數(shù)據(jù)資產(chǎn)及對應(yīng)的承載體，分析業(yè)務(wù)邏輯架構(gòu)及數(shù)據(jù)資產(chǎn)，整合梳理出數(shù)據(jù)流轉(zhuǎn)走向。從數(shù)據(jù)、場景、用戶、環(huán)境多個維度分析數(shù)據(jù)流現(xiàn)狀，基于業(yè)務(wù)場景梳理敏感數(shù)據(jù)流走向，識別數(shù)據(jù)流轉(zhuǎn)過程中的關(guān)鍵節(jié)點(diǎn)要素，輸出數(shù)據(jù)流走向分析圖。

業(yè)務(wù)數(shù)據(jù)流調(diào)研建議內(nèi)容 ▲

? 第三步（生產(chǎn)環(huán)境靶場搭建）

基于前期業(yè)務(wù)與數(shù)據(jù)環(huán)境的咨詢調(diào)研結(jié)果，明確靶場搭建的資源環(huán)境以及已有安全防護(hù)設(shè)備配合驗(yàn)證的需求進(jìn)行搭建靶場環(huán)境工作，為數(shù)據(jù)安全攻擊模擬實(shí)施奠定基礎(chǔ)。其中靶場的搭建以保障企業(yè)業(yè)務(wù)正常進(jìn)行為首要目標(biāo)，通過模擬場景測試，發(fā)現(xiàn)目前業(yè)務(wù)環(huán)境下數(shù)據(jù)安全面臨的實(shí)際安全風(fēng)險(xiǎn)威脅。

? 第四步（安全威脅分析）

基于安恒信息原有數(shù)據(jù)安全威脅庫積累，結(jié)合實(shí)際業(yè)務(wù)及數(shù)據(jù)流分析結(jié)果、敏感數(shù)據(jù)識別結(jié)果等咨詢調(diào)研材料，以數(shù)據(jù)為中心，重點(diǎn)關(guān)注數(shù)據(jù)流轉(zhuǎn)中的動態(tài)安全風(fēng)險(xiǎn)，從數(shù)據(jù)泄露、數(shù)據(jù)篡改以及數(shù)據(jù)不可用等層面分析數(shù)據(jù)流轉(zhuǎn)各要素的安全威脅。

基于數(shù)據(jù)生命周期的數(shù)據(jù)安全威脅分析簡圖 ▲

以金融行業(yè)為例，數(shù)據(jù)應(yīng)用典型業(yè)務(wù)場景分析舉例如下：

1.數(shù)據(jù)訪問賬號和用戶權(quán)限管理：通過賬號專人專用、賬號獨(dú)立、賬號授權(quán)審批、最小授權(quán)、賬號及時回收、行為內(nèi)部審計(jì)、定期賬號稽核等方式控制。

2.數(shù)據(jù)使用過程的訪問權(quán)限管理：批量操作審批、高敏感數(shù)據(jù)訪問審批、批量操作和高敏感數(shù)據(jù)訪問的指定設(shè)備、地點(diǎn)、訪問過程內(nèi)部審計(jì)記錄、開發(fā)測試訪問模糊化、訪問行為定期稽核等方式控制。

3.數(shù)據(jù)共享（提?。?quán)限管理：通過最小共享和泛化、共享（提?。徟?、最小使用范圍、責(zé)任傳遞、定期稽核等方式控制。

4.定期權(quán)限稽核：通過數(shù)據(jù)安全合規(guī)檢查、操作監(jiān)管或稽核、數(shù)據(jù)訪問賬號和權(quán)限的監(jiān)管與稽核、業(yè)務(wù)單位和運(yùn)維的數(shù)據(jù)訪問過程的合法性監(jiān)管與稽核、日志風(fēng)險(xiǎn)分析與數(shù)據(jù)安全性測試等方式控制。

5.數(shù)據(jù)存儲管理：通過涉密數(shù)據(jù)存儲的網(wǎng)絡(luò)區(qū)隔、敏感數(shù)據(jù)存儲加密、備份訪問管理、存儲設(shè)備的移動管理、存儲設(shè)備的銷毀管理等方式控制。

? 第五步（安全脆弱性分析）

通過工具監(jiān)測、人工核查、滲透測試、文檔查閱等手段，分別分析管理以及技術(shù)層面在數(shù)據(jù)安全管理、系統(tǒng)運(yùn)維管理、數(shù)據(jù)庫、數(shù)據(jù)應(yīng)用各模塊具體內(nèi)容的數(shù)據(jù)安全脆弱性節(jié)點(diǎn)，明確數(shù)據(jù)安全脆弱性分布。

? 第六步（數(shù)據(jù)安全攻擊模擬）

結(jié)合業(yè)內(nèi)成熟的攻防框架，例如MIRTE推出的ATT&CK，并基于數(shù)據(jù)安全威脅場景以及勒索攻擊威脅場景，劃分攻擊模擬戰(zhàn)術(shù)，具體從數(shù)據(jù)使用時的初始訪問、數(shù)據(jù)的收集、數(shù)據(jù)的滲出及數(shù)據(jù)處理、銷毀等造成的影響等威脅場景處出發(fā)，針對每一威脅場景，確定所需戰(zhàn)術(shù)對應(yīng)的技術(shù)手段，進(jìn)行數(shù)據(jù)安全攻擊突破模擬。

基于ATT&CK框架解析勒索軟件威脅場景模擬評估 ▲

? 第七步（數(shù)據(jù)安全風(fēng)險(xiǎn)識別）

最后以數(shù)據(jù)安全咨詢以及攻擊模擬的結(jié)果，分析基于業(yè)務(wù)場景的數(shù)據(jù)全生命周期過程中存在的風(fēng)險(xiǎn)，通過定性分析展現(xiàn)風(fēng)險(xiǎn)嚴(yán)重程度以及分析可能性，通過定量計(jì)算輸出風(fēng)險(xiǎn)分值，綜合得出數(shù)據(jù)安全風(fēng)險(xiǎn)評估結(jié)果。

數(shù)據(jù)安全風(fēng)險(xiǎn)識別 ▲

隨著《數(shù)據(jù)安全法》和《個人信息保護(hù)法》相繼推出，以及各行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)的不斷完善，建立完整的數(shù)據(jù)安全治理體系已是迫在眉睫。其中，數(shù)據(jù)安全風(fēng)險(xiǎn)評估作為數(shù)據(jù)安全建設(shè)的基礎(chǔ)和前提，在發(fā)現(xiàn)數(shù)據(jù)安全威脅和風(fēng)險(xiǎn)方面意義重大。

傳統(tǒng)的信息安全風(fēng)險(xiǎn)評估服務(wù)，依靠信息系統(tǒng)為單位進(jìn)行經(jīng)驗(yàn)分析，難以聚焦梳理數(shù)據(jù)安全威脅場景，僅通過通用的技術(shù)手段進(jìn)行輔助安全驗(yàn)證，難以準(zhǔn)確且有效的分析數(shù)據(jù)安全風(fēng)險(xiǎn)。安恒信息數(shù)據(jù)安全風(fēng)險(xiǎn)評估服務(wù)的最佳實(shí)踐，基于業(yè)務(wù)場景的數(shù)據(jù)安全風(fēng)險(xiǎn)評估服務(wù)，能夠在獲得授權(quán)的前提下，以攻擊者的角度，通過真實(shí)模擬攻擊者使用的工具、分析方法進(jìn)行模擬攻擊，驗(yàn)證當(dāng)前業(yè)務(wù)場景下數(shù)據(jù)全生命周期的各種事前事中事后安全措施，找出數(shù)據(jù)安全風(fēng)險(xiǎn)點(diǎn)，提供有價(jià)值的數(shù)據(jù)安全整改建議和提升舉措，全面、有效保障數(shù)據(jù)的安全性。