数据安全治理白皮书

【实例截图】

【核心代码】

目录
Catalog
《数据安全治理白皮书》2.0 版本修订说明 ………………………………………… 1
一．数据安全建设需要系统化建设思路……………………………………………… 2
1.1 数据安全成为安全的核心问题 ……………………………………………… 2
1.2 数据泄露路径多元化 ………………………………………………………… 4
1.3 数据安全相关法规和标准大爆发 …………………………………………… 7
1.4 数据安全建设需要有系统化思维和建设框架 ……………………………… 9
二．数据安全治理基本理念 ……………………………………………………………10
2.1 Gartner 数据安全治理理念 ……………………………………………………10
2.2 Microsoft 的 DGPC 理念 ………………………………………………………11
2.3 数据安全治理概论 ……………………………………………………………14
2.3.1 数据安全治理的愿景 ……………………………………………………15
2.3.2 数据安全治理的需求目标 ………………………………………………15
2.3.3 数据安全治理的核心理念 ………………………………………………15
2.3.4 数据安全治理建设与演进模型 …………………………………………16
2.3.5 数据安全治理框架 ………………………………………………………17
2.3.6 数据安全治理与传统安全概念的差异 …………………………………17
2.4 数据安全治理与数据安全成熟度模型 ………………………………………18
2.5 数据安全治理与数据治理 ……………………………………………………19
三．数据安全治理的组织建设…………………………………………………………20
四．数据安全治理规范制定 ……………………………………………………………21
4.1 外部所要遵循的策略 ………………………………………………………22
4.2 数据的分级分类 ……………………………………………………………24
4.3 数据资产及使用状况的梳理 …………………………………………………26
4.3.1 数据使用部门和角色梳理 ………………………………………………26
4.3.2 数据的存储与分布梳理 …………………………………………………26
4.3.3 数据的使用状况梳理 ……………………………………………………26
4.4 数据的访问控制 ………………………………………………………………27
4.5 定期的稽核策略 ………………………………………………………………28
五．数据安全治理技术支撑框架………………………………………………………29
5.1 数据安全治理的技术挑战 ……………………………………………………29
5.1.1 数据安全状况梳理技术挑战 ……………………………………………29
5.1.2 数据访问管控技术挑战 …………………………………………………30
5.1.3 数据安全的稽核和风险发现挑战 ………………………………………30
5.2 数据安全治理的技术支撑 ……………………………………………………31
5.2.1 数据资产梳理的技术支撑 ………………………………………………31
5.2.2 数据使用安全控制 ………………………………………………………32
5.2.3 数据安全审计与稽核 ……………………………………………………38
六 . 数据安全治理的发展展望  ………………………………………………………40
附件 A 词汇列表 ………………………………………………………………………43
附件 B 国际数据安全治理理论 ………………………………………………………44
Gartner 关于数据安全治理（DSG）的框架与观点 ………………………………44
Microsoft 提出的 DGPC 框架 ………………………………………………………45
数据治理的商业案例 …………………………………………………………46
DGPC 框架组件 ………………………………………………………………46
附件 C 数据安全治理实践 ……………………………………………………………53
电信数据安全治理实践 ……………………………………………………………53
C.1.1 运营商数据安全现状与挑战 ………………………………………………53
C.1.2 运营商数据安全对策 ………………………………………………………53
C.1.3 电信数据安全治理具体实践 ………………………………………………54
C.1.3.1 建立组织 ………………………………………………………………54
C.1.3.2 建立总则 ………………………………………………………………55
C.1.3.3 梳理职责 ………………………………………………………………55
C.1.3.4 数据分类分级 …………………………………………………………56
C.1.3.5 定义岗位角色与权限 …………………………………………………56
C.1.3.6 建立账号与授权管理机制 ……………………………………………57
C.1.3.7 建立客户敏感信息操作规范 …………………………………………57
C.1.3.8 落实客户信息安全日常审查 …………………………………………58
C.1.3.9 落实客户信息系统的技术管控 ………………………………………59
C.1.4 实践总结 ……………………………………………………………………59
教育部数据安全治理实践 …………………………………………………………59
教育部数据安全治理现状与挑战 ……………………………………………59
教育部数据安全治理具体实践 ………………………………………………60
梳理敏感数据的资产 …………………………………………………………60
实践总结 ………………………………………………………………………61
市政务云数据治理实践 ……………………………………………………………61
市政务云数据治理具体实践 …………………………………………………62
基于敏感特征发现数据库敏感数据 …………………………………………62
实践总结 ………………………………………………………………………62
国家电网数据安全治理实践 ………………………………………………………63
国家电网数据安全治理面临挑战 ……………………………………………63
国家电网数据安全治理具体实践 ……………………………………………64
建立数据安全治理技术保障体系 ……………………………………………65
实践总结 ………………………………………………………………………66
附件 D 数据安全生态环境 ……………………………………………………………67
全球数据安全现状 …………………………………………………………………67
国内外重要数据安全事件列举 ……………………………………………………68
万豪集团 5 亿用户数据或外泄 ………………………………………………68
台积电遭勒索病毒 3 天损失 17.6 亿元 ………………………………………69
华住旗下酒店 5 亿条信息泄露 ………………………………………………69
Exactis 或泄露 2.3 亿人隐私数据 ……………………………………………69
Aadhaar 中 11 亿公民信息遭泄露 ……………………………………………70
国泰航空 940 万乘客信息遭泄露 ……………………………………………70
驱动人生木马 2 小时感染十万电脑 …………………………………………71
AI 安防企业泄露 680 万条个人数据 …………………………………………71
Mongodb、CouchDB、Hadoop 等非关系数据库勒索事件 …………………71
云上 mysql 数据库勒索事件 …………………………………………………72
Oracle Rushql 勒索病毒 ………………………………………………………72
Facebook 数据泄露事件 ………………………………………………………72
Wannacry 蠕虫勒索软件事件 …………………………………………………73
美国 2 亿选民个人资料泄露事件 ……………………………………………74
瑞士最大电信运营商信息泄露事件 80 万用户数据被盗 ……………………75
美国征信巨头 Equifax 数据泄露事件 ………………………………………75
优酷上亿条用户账户信息在暗网 2000 元售卖 ………………………………76
58 同城简历信息泄露事件 ……………………………………………………76
医疗卫生系统被入侵 7 亿公民信息泄露 ……………………………………77
香港宽带公司数据库被黑：38 万名客户信息泄露 …………………………77
网络安全法第一案——国内高校数据泄密被处罚 …………………………77
数据泄露成本分析 …………………………………………………………………78
国内相关法律的判罚标准 ……………………………………………………78
全球性的数据保护法规化 ……………………………………………………79
权威机构对数据泄露成本的研究结果 ………………………………………80
附件 E 数据安全成熟度模型 …………………………………………………………82
附件 F 数据安全治理重要相关技术 …………………………………………………86
F.1 DCAP 技术 ………………………………………………………………………86
F.1.1 核心功能 ……………………………………………………………………86
F.1.2 相关技术 ……………………………………………………………………88
F.2 脱敏技术 …………………………………………………………………………88
F.2.1 核心功能： …………………………………………………………………89
F.2.1.1 数据和关系发现 ………………………………………………………89
F.2.1.2 数据脱敏规则定义 ……………………………………………………89
F.2.1.3 数据脱敏操作与管理 …………………………………………………90
F.2.2 主要技术 ……………………………………………………………………90
F2.2.1 静态数据脱敏（SDM） ………………………………………………91
F2.2.2 动态数据脱敏（DDM） ………………………………………………91
F.2.2.3 非结构化和半结构化数据改写 ………………………………………92
F.3 DLP 技术 …………………………………………………………………………92
F.3.1 关键技术 ……………………………………………………………………93
F.3.2 产品组成 ……………………………………………………………………94
F.4 CASB 技术 ………………………………………………………………………94
F.4.1 核心功能： …………………………………………………………………95
F.4.2 工作模式 ……………………………………………………………………96
F.5 IAM 技术 …………………………………………………………………………96
F.5.1 基于两方认证的 IAM ………………………………………………………97
F.5.2 基于第三方独立 CA 的 IAM …………………………………………………98
F.6 UEBA ………………………………………………………………………… 100
F.6.1 核心技术 ………………………………………………………………… 100
F.6.2 主要场景和功能 ………………………………………………………… 101
F.7 数据透明加密保护技术 ……………………………………………………… 102
F.7.1 核心功能 ………………………………………………………………… 102
F.7.1.1 透明数据加密 ……………………………………………………… 102
F.7.1.2 加密算法合规 ……………………………………………………… 102
F.7.1.3 密文访问控制 ……………………………………………………… 102
F.7.1.4 性能影响小 ………………………………………………………… 103
F.7.2 主要技术 ………………………………………………………………… 103
F.7.2.1 数据库透明加密技术（列加密） ………………………………… 103
F.7.2.2 数据库透明加密技术（TDE 表空间加密） ……………………… 104
F.7.2.3 文件系统透明加密技术（TDE 表空间加密） …………………… 105
F.7.2.4 透明数据加密技术比较 …………………………………………… 106
F.8 数据库防勒索技术 …………………………………………………………… 108
F.8.1 数据库勒索手段分析 …………………………………………………… 108
F.8.1.1 防勒索技术 ………………………………………………………… 109
附件 G 白皮书参与单位介绍 …………………………………………………… 110
发布单位介绍 …………………………………………………………………… 110
委员会成员名单 ………………………………………………………………… 110