专栏开篇作-数据安全概念及架构

本博客地址：https://security.blog.csdn.net/article/details/120041622

一、引子

数据安全是企业在信息安全体系建设中不可或缺的一部分，本专栏写数据安全，一方面是为了扩宽自己知识视野的同时总结工作中的一些经历，另一方面也是继续补足个人能力知识库中信息安全大体系的各个板块。

二、数据安全概念

说到数据安全，先来和大家探讨下数据安全的概念。

广义的数据安全是基于 “安全体系以数据为中心” 的立场，泛指整个安全体系侧重于数据分级及敏感数据全生命周期的保护。它以数据的安全收集或生成、安全使用、安全传输、安全存储、安全披露、安全流转与跟踪、安全销毁为目标，涵盖整个安全体系，这其中也包括个人数据安全与法律合规，也就是隐私保护方面的内容。

狭义的数据安全往往是指保护静态的存储级的数据，以及数据泄露防护等。

为了更好的解释数据安全概念，这里将信息安全与网络安全作为参照，列出了信息安全、网络安全、数据安全的概念及使用场景。

术语	狭义	广义	典型使用场景
信息安全	防止敏感信息的不当扩散，包括控制有毒有害信息、内部人为泄密等	安全体系架构“以信息为中心”，泛指整个安全体系	强调安全管理体系；强调信息及信息系统的保密性、完整性、可用性；强调内容合规；强调DLP；强调对静态信息的保护
网络安全	侧重于网络安全领域、网络访问访问控制、防范网络攻击等	安全体系架构“以网络为中心”，泛指整个安全体系	强调网络边界和安全域；强调网络入侵防御；强调网络通信系统和传输安全；强调网络空间主权
数据安全	以保护数据本身为核心，包括加密、脱敏、防差分隐私分析等	安全体系架构“以数据为中心”，泛指整个安全体系	强调全生命周期中的数据保护；强调数据作为生产力；强调数据主权或数据主体权利；强调长臂管辖权；强调隐私保护

相较于信息安全和网络安全，数据安全更接近安全的目标，可看成是数据的随身保镖，随着数据的流动，数据流动到哪里，安全就覆盖到哪里。

三、数据安全架构

对于安全架构来讲，无论是进行产品的安全架构设计或评估，还是规划安全技术体系架构的时候，都有几个需要重点关注的逻辑模块，它们可以在逻辑上视为安全架构的核心元素，对于数据安全来讲，这里的核心元素共5个，这5个核心元素合起来被业内称为安全架构5A。

科普段落：5A是指以5个A为开头的单词，这5个单词代表5个核心的数据安全元素，这5个核心元素称为安全架构5A。（具体是什么单词此处不做说明，这些都是国内不知道什么人发明的概念，类似的还有4W1H这种，本人比较讨厌这些洋概念，后续不再提这种东西，只以中文表达）

以应用/产品为例，核心元素包括：

1、身份认证（对人员、设备、系统的认证）：身份主体是谁？主体的范围不局限于用户，将其扩展到所有人员（用户/员工/合作伙伴/访客等）、设备、系统。
2、授权（对人员、设备、系统的授权）：授予某些身份主体允许或拒绝访问客体的权限。
3、访问控制（立体控制措施及是否放行）：控制措施以及是否放行的执行者。
4、可审计（立体可审计）：形成可供追溯的操作日志。
5、资产保护（对数据和资源的全生命周期保护）：资产的保密性、完整性、可用性保障。

这里我们对资产、访问控制、可审计三个要素展开说明。

资产

资产包括但不限于：

数据：即信息资产，包括结构化数据（数据库、缓存、Key-Value存储系统等）、非结构化数据（文档、图片、音频、视频等），不仅包括存储的数据，也包括使用、传输、流转中的数据。
资源：网络资源、计算资源、存储资源、进程、产品功能、网络服务、系统文件等。

访问控制

访问控制的依据是授权，查询授权表或者基于设定的权限规则，拥有访问权限才允许继续访问。

● 用户首先需要通过身份认证，也就是要让系统知道用户是谁。
● 用户需要具备访问目标资产的权限。
● 访问控制模块会基于授权以及事先设定的访问控制规则，判断是否放行。
● 在访问资产之前，须经过必要的资产保护措施，如数据解密、加密传输、脱敏展示、防攻击以及防批量拉取措施、隐私保护等。

可审计

● 可审计一般是指可供追溯的操作审计记录（操作日志记录等），审计会覆盖到所有数据流程。
● 身份认证方面：SSO系统需要记录用户的登录时间、源IP地址、用户ID、访问的目标应用。
● 授权方面：需要记录权限申请流程的每个审批环节的时间、IP地址、用户ID、理由、通过或驳回权限申请的动作。
● 访问控制方面：访问控制执行的结果是放行或驳回，通常来说，需要记录所有的驳回动作，以及对敏感资产的每一个请求及动作，便于追溯。
● 资产保护方面：记录用户访问的资产（特别是敏感资产）及操作（查询、添加、修改、删除等）。