2021信息安全工程师学习笔记（二十六）

大数据安全需求分析与安全保护工程

1、大数据安全威胁与需求分析

大数据相关概念发展：大数据是指非传统的数据处理工具的数据集；特征：海量的数据规模、快速的数据流转、多样的数据类型和价值密度低；种类：结构化、半结构化和非结构化数据；

大数据安全威胁分析：

• “数据集”安全边界日渐模糊，安全保护难度提升；
• 敏感数据泄露安全风险增大；
• 数据失真与大数据污染安全风险；
• 大数据处理平台业务连续性与拒绝服务；
• 个人数据广泛分布于多个数据平台、隐私保护难度加大；
• 数据交易安全风险；
• 大数据滥用；

大数据安全需求分析：

• 大数据自身安全；
• 大数据安全合规；
• 大数据跨境安全；
• 大数据隐私保护；
• 大数据处理平台安全；
• 大数据业务安全；
• 大数据安全运营；

2、大数据安全保护机制与技术方案

大数据自身安全保护技术：是指有关数据本身的安全问题，如数据的真实性、数据的完整性、数据的机密性、数据的准确性等；

大数据平台安全保护技术：涉及物理环境、网络通信、操作系统、数据库、应用系统、数据存储等安全保护；通常采用安全分区、防火墙、系统安全加固、数据防泄漏等安全技术；

大数据业务安全保护技术：包括业务授权、业务逻辑安全、业务合规性等内容；

• 业务授权：主要基于角色的访问控制技术；
• 业务逻辑安全：针对业务流程进行安全控制；
• 业务合规性：业务满足政策法规及安全标准规范要求；

《信息安全技术个人信息安全规范》：2020年10月1日实施；

隐私保护主要技术有：

• 数据身份匿名；
• 数据差分隐私；
• 数据脱敏；
• 数据加密；
• 数据访问控制；

数据资源经营过程安全：涉及数据使用、数据交易、数据跨境流动等安全问题；数据脱敏、数据监控、数据安全网关等常用于数据经营安全保护；

2016年成立大数据安全标准特别工作组

3、大数据安全综合应用安全分析

阿里巴巴大数据安全实践：

• 业务安全掌控：建立了以私域数据为基础的店铺内服务闭环、以公域数据为基础的平台内渠道闭环和价值闭环；
• 数据安全掌控：基于数据业务链路构建了全面的数据管控体系，主要包括：数据加工前、数据加工中、数据加工后、数据合规；
• 生态安全管控：对数据的ISV的准入准出、基于垂直化行业的标签体系；

大数据自身安全保护技术：是指有关数据本身的安全问题，如数据的真实性、数据的完整性、数据的机密性、数据的准确性等；

大数据平台安全保护技术：涉及物理环境、网络通信、操作系统、数据库、应用系统、数据存储等安全保护；通常采用安全分区、防火墙、系统安全加固、数据防泄漏等安全技术；

大数据业务安全保护技术：包括业务授权、业务逻辑安全、业务合规性等内容；

• 业务授权：主要基于角色的访问控制技术；
• 业务逻辑安全：针对业务流程进行安全控制；
• 业务合规性：业务满足政策法规及安全标准规范要求；

上海数据交易中心安全保护：制定规则+技术的模式，即交易规则和技术共同保障交易安全；

上海市交易准则：

• 个人数据保护原则；
• 数据互联规则；
• 流通数据处理准则；
• 流通数据禁止清单；
• 交易要素标准体系；

个人数据保护原则：

• 告知同意原则；
• 禁止公开原则；
• 选择退出原则；
• 数据正确原则；
• 维护权益原则；
• 应急补救原则

流通数据处理基本原则：

• 保护个人权益原则；
• 诚实守信原则；
• 保护正当数据权益原则；
• 数据安全原则；

华为大数据分析平台的安全措施：

• 网络安全；
• 主机安全；
• 用户安全：平台提供身份认证、权限控制、审计控制；
• 数据安全：平台提供集群容灾、备份、数据完整性、数据保密性；

《科学数据管理办法》：

• 第二十五条：涉及国家秘密、国家安全、社会公共利益、商业秘密和个人隐私的科学数据，不得对外开放共享；
• 第二十六条：涉及国家秘密的科学数据的采集生产、加工整理、管理和使用，按照国家有关保密规定执行；
• 第二十七条：主管部门和法人单位应加强科学数据全生命周期安全管理；
• 第二十八条：法人单位和科学数据中心应按照国家网络安全管理规定，建立网络安全保障体系；
• 第二十九条：科学数据中心应建立应急管理和容灾备份机制；

支付卡行业数据安全规范：PCI-DSS的规范目标在于严格控制对支付卡持卡人数据的处理、存储和传输；