CTO周杰：五大支柱、三大跨域能力打造“韧性”数据安全体系

近日，由公安部第三研究所《信息网络安全》杂志社主办的“数据治理与安全技术研讨会”在北京召开。

中国计算机学会计算机安全专业委员会荣誉主任、公安部研究员严明，中国石油集团公司数字和信息化管理部副总经理靖小伟，中国网络安全审查技术与认证中心原党委书记、副主任王连印，国家电子政务外网管理中心办公室安全管理处处长罗海宁等展开主题演讲，来自水利部信息中心、文化和旅游部信息中心、应急管理部大数据中心、中国侨联信息中心、中国石油集团公司数字和信息化管理部、国家电子政务外网管理中心、中国建筑材料工业规划研究院、全国海关信息中心、中国海关科学技术研究中心、中国网络安全审查技术与认证中心、银保信科技（北京）有限公司、中国口岸协会等的十余位国内数据治理专家现场参与，一起探讨与应对数据安全新的挑战。

研讨会上，美创科技CTO周杰进行《如何打造“韧性”数据安全防护体系》主题演讲。周杰表示，数据作为新型生产要素，是数字化、智能化的基础，具有高价值、流动属性、以及与业务紧密贴合的特殊性，面临目前各种复杂和不确定的风险，由外而内的多层纵深网络安全防御体系已很难以实现数据的有效保护：

• 高价值的数据资产：DT时代，数据价值不断被放大，数据的破坏和泄露所造成的巨大损失，这让以降低风险为基础理念的网络安全体系很难承载数据安全的目标。

• 复杂的数据生态系统：数据作为业务的核心，海量存在且具有高度复杂性，无法简化为一个或者多个对象进行安全管理，而数据的复制和广泛的分布进一步加剧管理防护的难度。

• 不止入侵防御/攻防：网络安全是围绕着入侵和防御展开，不同于网络安全，数据安全广泛分布在用户的每一步业务和运维操作之中，数据安全需要围绕着日常操作安全性展开。

• 数据会流动且好流动：数据只有在流动中才能创造价值，但数据会本能从高安全区域向低安全区域流动，且数据的流动是复制的流动，网络安全的静态纵深防御体系对此无所适从。

打造“韧性”数据安全防护体系

显然，随着推动数据要素市场发展和数据安全产业发展上升至国家战略，面临新场景、新业务的数字化环境，仅依赖网络安全很难实现数据的有效保护，这迫切需要打造独立的具有“韧性”的数据安全防护体系。

周杰介绍，美创科技从第一代“以资产为中心，持续验证”的零信任数据安全架构，到第二代安全中台构建动态防护和主动防御能力基础上，再次升级以资产为中心，以身份为边界，以风险为界面的“韧性”数据安全防护体系。

“韧性”数据安全防护体系实现复杂系统的可见性，快速的感知、干预和恢复，当数据在遭受威胁的时候能够快速响应以及攻击发生后的快速恢复，同时通过适应性进化来持续保障身份和资产全生命周期的安全。

“韧性”数据安全的三个目标

• 韧性和弹性：有毒环境中的持续运行、快速干预和恢复如初、彻底失败的底线防御。

• 适应性进化：对身份、行为、资产动态评估，建立风险体系，并且反馈到访问控制引擎，形成闭环。让风险在实时变化中缩小，提高数据安全能力。

• 复杂系统的可见性：围绕资产、身份、行为、风险等维度，实现更为全面、综合和深入的可观测能力。

“韧性”数据安全的五大支柱

• 以资产为中心：数据是数据安全的起点，通过资产梳理、分类分级，进行资产治理，定义资产边界，建立资产拓扑，确定资产访问模式，由内而外构建防御堡垒。

• 多重防护：以网络边界为第一道边界，身份边界为第二道边界，层层纵深防护。

• 全域身份：贯穿全链路的身份，身份信息传递到每一层防御中。

• 持续自适应进化：从资产、身份、资产身份相互作用三个维度动态持续评估，根据动态数据进行策略调整，并且自动化响应。

• 极限生存：当系统遭遇彻底破坏后仍具备足够的冗余能力以支持数据和系统快速重建。

“韧性”数据安全的三大跨域能力

• 安全数字化：历史数据作为安全基线标准，风险通过数字展现，数据驱动安全。

• 多层级快速响应：从简单响应、条件反射、复杂分析等多个维度建立响应机制。响应有轻有重，我们必须建立分层的响应机制应对风险。

• 看见身份、看见资产、看见风险：看见是一切的基础，只有看得见，才能进行治理、防护、响应等安全措施。