韧性数据安全体系组成：资产和资产安全｜CEO专栏

资产和资产安全

以资产为中心的安全体系

资产在网络中具备毋庸置疑的确定性，只要我们愿意付出精力，甚至可以做到资产管理的精确性。

这种毋庸置疑的确定性给予安全体系建设极大的支撑点，特别是只有资产被伤害了，所有的所谓安全风险才会演变为安全事件。也就是说只要资产是受到管理的，那在发生的安全事件之中资产是不可旁路的，无论中间经历如何复杂、如何高级，最终都会在资产端表达出全部真相。

以资产为中心，由内而外构建防御堡垒是数据安全的自然选择，在这里安全体系将具备最大的地利。另外由于资产端的可到达性障碍，我们甚至可以在这里由地利而赢得人和的支持。

资产的拥有人

数据是由人和业务产生，天生具有owner属性。每一条记录，每一个文档都有自己的owner，不同的记录，不同文档由不同的owner。同时数据又关系到公共利益和数据生态系统，往往更新和销毁操作需要审批，比如自己种的树虽然属于自己所有，但是却不自动具备砍伐权，砍伐需要申请和核准。

我们可以简单的把数据分为owner、group、other、level、area、private、public、transparent等不同标签的数据。

数据主要分两类：人的数据和机器数据，人的数据是基于记录的，机器数据则是基于记录集合的。

• owner：本人生成的数据，本人缺省可以访问本人的所有数据。 

• owner+private：本人私密数据，除了本人之外只有特殊环境才允许其他人访问。

• group：部门主管可以访问部门内的所有非私密数据。

• group+private：部门主管可以部门内的所有数据，包括私密数据。

• other：部门其他人可以访问部门数据，但是不允许访问部门主管数据。

• level：领导可以访问下属私密数据之外的数据。

• area：可以访问本区域同级别一级以下的数据。

• public：公开数据，所有人可以访问。

• transparent：上级强制可以访问下属的私密数据。

  

通过资产的拥有人属性可以天然的和以人为中心的身份系统关联。

对于机器数据，我们可以通过把机器转化为机器所在的部门，让部门天然成为机器数据的owner，从而转变为人的数据执行管理。

资产的委托处理

委托处理而不是本人处理是数据处理的基本形态。委托处理以数据集合的方式的进行，委托对象为：组织+业务程序+业务逻辑。简单委托为组织处理会带来比较大的安全风险敞口，委托给业务逻辑可以最大程度的收敛风险敞口。

资产的分类分级

分类分级是数据安全和资产安全的自然诉求，也是数据安全法、个人信息保护法的内在要求。所有的数据使用和处理必须满足合法和合规性诉求。

资产的边界

当资产以全开放式裸露访问和使用，资产安全的成本将无比高昂或者资产安全将无从谈起。资产全开放式裸露访问类同于我们在广场上放了100斤黄金，人人可接触，人人可操纵，人人可拿走。

从最基本的资产安全而言，我们需要构建资产的边界，规定在资产上可以执行什么操作，不可以执行什么操作。资产边界让资产安全从全开放式风险收敛到资产边界上，任何非边界上的行为都是非预期的，不符合规范的。资产的边界不仅可以收敛了风险，而且可以进一步规定资产边界是如何开放的。

资产内容、主体和资产相互作用的拓扑生态

资产的复杂性让资产无法以一个简单的整体看待，资产内容、主体以及之间复杂的相互作用形成了及其复杂的数据资产生态。这种复杂拓扑生态意味着资产安全不仅仅是依赖资产边界的外部压力驱动的，同时也取决于复杂的内部相互作用。

数据资产的三种不同表现形态

总体而言，资产的生存有三种基本形态，或者说是一个核心，两个分支。数据的本质是内容，使用和处理都是基于数据的内容，内容就是数据表现形态的核心。但是内容无法在虚空中存在，必须具有承载内容的媒介和载体，必须在物理领域存在。复制的流动是数据的天然属性，流动是基于内容的流动，复制品或者流动是内容的另一种的存在形式。

数据资产的三种不同表现形态我们分别表达为：访问计算（内容）域、物理域（存储域）、流动域。数据资产在访问域、物理域、流动域表现出各自特点的安全场景和诉求，我们表达为访问域安全、物理域安全和流动域安全。

资产全生命周期和适应性进化

数据资产具有明显的生命周期特点，即使是复制品也具有同样的特点。数据资产的全生命周期变现为：生成、活跃、次活跃、归档、销毁。在生成和销毁之间不是一次性，而是表现为周而复始，在次活跃和归档期都有可能因为特殊原因重新变得活跃。

数据资产会具有明显适应性进化能力，使部分数据随着时间推移不断的在扩张其价值范围和价值频率，使部分数据不断冷却。在承认适应性进化的合理性基础之上，突变是永远需要被控制的。突变大部分情况是不合理的，小部分突变是期望的。突变的稀缺性让我们从安全角度可以进行突变控制，而不会影响合理突变的预期工作。

资产的主要数据活动处理和数据处理全生命周期

《数据安全法》和《个人信息保护法》明确了数据的各种处理活动，并且处理活动还在不断扩展和延伸。对于数据任何在内容、形式和空间上的变化，我们都表述为数据处理或者数据活动。

收集、存储、使用、加工、传输、供给、公开、销毁、委托、出境等，各种数据处理活动都可以认为作用在数据资产的一核心两分支，也就是访问域、物理域和流动域之上。数据处理的全生命周期安全事实上由访问域安全、物理域安全和流动域安全构成。

数据资产的真实性和机密性

当前数据资产的真实性和机密性是数据安全的基本诉求。真实性要求从数据生成以来的每次变更都是可追溯和确认的，机密性要求数据资产具有明确的副本数量和副本所有者。

源头数据合规性和确权

数据来自于各个领域，部分源头数据的合规性会决定整体数据使用的合规性性质。从数据的角度出发，每一份数据都需要标记他的源头以及合规性检查。数据具有明确的违规传播特征，只要在数据流动的某个环节是不合规的甚至是非法，基本意味着其下游所有环节都是不合规或者是非法的。

在数据不断被要素化的今天，确权是一个核心环节。如果源头数据合规性无法保证和追溯，确权的基本逻辑就无法演绎。

人和数据资产之间的安全逻辑隔离

任何重要的数据资产都不允许人直接操纵，作为资产安全的基本准则。通过安全逻辑隔离把裸露在广场上的黄金不断收敛风险敞口，数据资产通过多层次隔离不同层度的暴露风险面，并通过资产边界建立起资产安全的收敛范围。充分利用地利构建的看不见的围栏、按照指定道路和次序访问数据资产是资产隔离安全逻辑的一种基本手段。

资产生态和安全

资产生态是以资产内容为核心，以形式为组织，并把内容和形式延展到物理域和流动域。主要通过隔离和收敛的方式实现安全的资产生态系统。

• 访问域安全：通过身份、资产边界和资产内容复杂拓扑关系实现内容资产基于全生命周期的的使用和处理活动安全。

• 物理域安全：通过封闭边界为主要手段实现数据在物理存储上的安全，让数据在物理上避免被被破坏、销毁和泄露。物理域安全在各种公有云、政务云、私有云和托管idc等非受控物理环境中避无可避，可以说没有物理域安全防御措施就没有数据安全。

• 流动域安全：通过区分界内流动，边界流动，境内流动和边境流动来实现在不同安全等级之间的数据流动，同时把复制品或者交易品纳入访问域安全和物理域安全的管理范畴。通过约束数据天然的开放式的无序流动属性，以身份构建范围边界，让数据在可信域之间有序流动。

隐私和重要数据的访问计算和流动的特殊要求

隐私和重要数据明确原则要求：原始数据不出域，数据可用不可见。这不仅仅是隐私处理的问题，而且还是明确的数据安全问题。

这个基本原则明确三点要求：

• 隐私原始数据处理权利只能而且必须只能赋予给算法和逻辑，不能授予给组织和个人。

• 隐私和重要原始数据处理必须只能在安全主机或者终端上处理。

• 隐私和重要原始数据只能在可信身份之间流动。

未纳管资产的观测

由于资产分布的复杂性，组织有时无法明晰或者至少无法在资产非活动期明晰资产的状况，也就是存在着部分脱离管理的数据资产。

脱离管理的数据资产，意味着组织无法衡量这部分数据资产可能带来的风险，可能会把组织带往完全不可抵抗的深渊。组织需要在各出口网络上、网络聚散地以及主要的数据资产域部署观测器，以发现未纳入管理资产。

诱饵资产和飞蛾扑火

诱饵资产是充满价值的虚假资产，诱导入侵者在诱饵资产上探索。入侵者在很大程度上是一个耳目失聪的路人或者在沙漠中爬涉的旅客，迫切的需要路标和目标，诱饵在很大程度上提供了这个需要，让入侵者在迷茫中寻找到慰藉。

资产治理

极度复杂的数据资产如果不通过资产治理，甚至连简单的资产分布和测绘都无法完成，更不用说其他复杂的拓扑和相互作用了。

资产和韧性

数据资产是网络中最为确定性的存在，所有的伪装在接触数据的时候最终都会剥去。数据是数据安全的起点，以数据资产为中心，由内而外建立防御堡垒。这种由内而外的防御堡垒体现出韧性的基本特点，越靠近目标数据资产，确定性就越高。只要我们可以构建起这种以身份为标识的逐次抵抗的由内而外防御体系，体系自然就会表现出强大的韧性。