軟考-資訊安全-大資料安全需求分析與安全保護工程

26.1 大資料安全威脅與需求分析

• 主要闡述大資料的基本概念，分析大資料面臨的安全問題，并給出大資料的安全需求。

26.1.1 大資料相關概念發展

• 随着數字化，網絡化，智能化等相關資訊技術的應用發展，資料産生及擷取日益友善，資料規模已超出了傳統的資料庫存儲及分析處理能力範圍，進而形成大資料的新概念。
• 一般來說，大資料是指非傳統的資料處理工具的資料集，具有海量的資料規模，快速的資料流轉，多樣的資料類型和價值密度低等特征。
• 大資料的種類和來源非常多，包括結構化，半結構化和非結構化資料。
• 大資料主要包括大規模資料分析處理，資料挖掘，分布式檔案系統，分布式資料庫，雲計算平台，網際網路和存儲系統。

26.1.2 大資料安全威脅分析

• 1.“資料集”安全邊界日漸模糊，安全保護難度提升

• 多源，海量，異構，分布存儲等大資料新技術導緻資料集的安全邊界日漸模糊，造成基于網絡安全邊界的安全防護措施難以完全有效。
• 資料交易和共享促使資料流動日益頻繁，靜态安全措施難以完全滿足資料安全保障要求。
• 複雜分布式計算環境使得網絡攻擊的影響增大，單個節點遭受侵害影響整個系統安全，例如資料儲存設備，域名伺服器，認證伺服器等。

• 2.敏感資料洩露安全風險增大

• 資料丢失或被盜取，有可能影響國家安全，社會安全和經濟安全。
• 對于公司企業來說，客戶資料的丢失導緻品牌的損害，競争中處于劣勢，以及嚴重法律責任。

• 3.資料失真與大資料污染安全風險

• 攻擊者利用資料輸入或資料平台缺陷，構造惡意資料并将其注入資料處理系統中，幹擾資料處理系統的正常運作或誤導計算。
• 例如：網絡水軍發送虛假評論資料。
• 典型事例有電商産品的評分，網站通路流量，網頁虛假排名等。

• 4.大資料處理平台業務連續性與拒絕服務

• 随着大資料的應用普及，許多關鍵業務依賴于大資料處理平台的連續穩定運作。

• 5.個人資料廣泛分布于多個資料平台，隐私保護難度加大
• 6.資料交易安全風險

• 例如非法資料交易，虛假資料交易，交易服務不完整，交易資料彙聚導緻敏感資料洩露，跨境資料流動安全等安全風險。

• 7.大資料濫用

• 綜合關聯分析微信圖檔資料，智能手機位置資料，可以識别到自然人，挖掘出個人隐私資訊。

26.1.3 大資料安全法規政策

• 1.氣象資料共享管理辦法
• 2.中國人民銀行關于銀行業金融機構做好個人金融資訊保護工作的通知
• 3.全國人民代表大會常務委員會關于加強網絡資訊保護的決定
• 4.電信和網際網路使用者個人資訊保護規定
• 5.中華人民共和國消費者權益保護法（2013修正）
• 6.地圖管理條例
• 7.中華人民共和國網絡安全法
• 8.網絡預約出租汽車經營服務管理暫行辦法
• 9.網絡出版服務管理規定
• 10.人口健康資訊管理辦法
• 11.保險公司開業驗收指引
• 12.保險機構資訊化監管規定

26.1.4 大資料安全需求分析

• 1.大資料自身安全

• 大資料安全涉及資料的采集，存儲，使用，傳輸，共享，釋出，銷毀等全生命周期的多個方面。
• 具體安全包括資料的真實性，實時性，機密性，完整性，可用性，可追溯性。

• 2.大資料安全合規
• 3.大資料跨境安全

• 《一般資料保護法案》（General Data Protection Regulation，GDPR）

• 4.大資料隐私保護
• 5.大資料處理平台安全
• 6.大資料業務安全
• 7.大資料安全營運

26.2 大資料安全保護機制與技術方案

• 大資料被列為網絡安全等級保護2.0的重要保護對象，主要闡述包括大資料自身及平台，業務，隐私，營運等方面的安全保護技術。

26.2.1 大資料安全保護機制

• 大資料安全保護是一個綜合的，複雜性的安全工程，涉及資料自身安全，資料處理平台安全，資料業務安全，資料隐私安全，資料營運安全以及資料安全法律政策與标準規範。
• 常見的基本安全機制主要有資料分類分級，資料源認證，資料溯源，資料使用者辨別和鑒别，資料資源通路控制，資料隐私保護，資料備份與恢複，資料安全審計與監測，資料安全管理等。

26.2.2 大資料自身安全保護技術

• 例如：資料的真實性，資料的完整性，資料的機密性，資料的準确性等
• 目前資料簽名可以驗證資料來源的真實性，Hash算法用于確定資料的完整性，加密算法則用來保護資料的機密性

26.2.3 大資料平台安全保護技術

• 大資料平台涉及實體環境，網絡通信，作業系統，資料庫，應用系統，資料存儲等安全保護。
• 通常采用安全分區，防火牆，系統安全加強，資料防洩漏等安全技術用于保護大資料平台。
• 防火牆又可細分為網絡防火牆，資料庫防火牆，應用防火牆，這些防火牆分别用于大資料平台的安全區域之間隔離及通路控制。

26.2.4 大資料業務安全保護技術

• 大資料業務安全主要包括業務授權，業務邏輯安全，業務合規性等安全内容。
• 業務授權主要基于角色的通路控制技術，按照業務功能的執行所需要的權限進行配置設定。
• 業務邏輯安全針對業務流程進行安全控制，避免安全缺陷導緻業務失控。
• 業務合規性是指業務滿足政策法規及安全标準規範要求。
• 敏感資料安全檢查，系統安全配置基準資料監控等技術常用于解決業務合規性安全需求。

26.2.5 大資料隐私安全保護技術

• 《資訊安全技術 個人資訊安全規範》

• 主要技術有資料身份匿名，資料差分隐私，資料脫敏，資料加密，資料通路控制等。

26.2.6 大資料營運安全保護技術

• 大資料營運安全是指大資料平台及資料的運作維護及資料資源經營過程的安全。
• 大資料平台及資料的運作維護包括大資料處理系統的安全維護，安全政策更新及安全裝置配置，資料資源容災備份，安全事件監測與應急響應等。
• 網絡入侵檢測，網絡安全态勢感覺，網絡攻擊驗證，網絡威脅情報分析，安全堡壘機等技術常用于大資料平台運維安全保護。
• 資料資源經營過程安全涉及資料使用，資料交易，資料跨境流動等安全問題。
• 資料脫敏，資料監控，資料安全網關等常用于資料經營安全保護。

26.2.7 大資料安全标準規範

• 《資訊安全技術 個人資訊安全規範》
• 《資訊安全技術 大資料服務安全能力要求》
• 《資訊安全技術 大資料安全管理指南》
• 《資訊安全技術 資料交易服務安全要求》
• 《資訊安全技術 個人資訊去辨別化指南》

26.3 大資料安全綜合應用案例分析

26.3.1 阿裡巴巴大資料安全實踐

• 《大資料安全标準化白皮書 2018版）
• 1.業務安全管控
• 2.資料安全管控

• 主要參考标準規範《資訊安全技術 個人資訊安全規範》（GB/T 35273-2017），《資訊安全技術 大資料服務安全能力要求》（GB/T 35274-2017），《資訊安全技術 雲計算服務安全能力要求（GB/T 31168-2014)，ISO27001系列标準

• 3.生态安全管控

• 《資訊安全技術 資料安全能力成熟度模型》

26.3.2 京東大資料安全實踐

26.3.3 上海資料交易中心安全保護

26.3.4 華為大資料安全實踐

• 1.網絡安全
• 2.主機安全
• 3.使用者安全
• 4.資料安全

26.3.5 科學資料安全管理

26.3.6 支付卡行業資料安全規範

• 支付卡行業資料安全标準（PCI-DSS）

• 建構和維護安全的網絡
• 保護持卡人的資料
• 維護漏洞管理程式
• 實施嚴格的存儲控制措施
• 定期監控和測試網絡
• 維護資訊安全政策