数据暴露面管理：数据安全和合规的基础与起点

0 背 景 

（1）《网络数据安全管理条例》于2024年9月30日正式发布，并定于2025年1月1日开始实施。该条例作为网络数据安全领域的首个行政法规级文件，标志着我国在数据安全治理方面迈出了重要一步。在数字经济时代，数据不仅是基础性资源，也是战略性资源。数据成为新时代核心生产要素的当下，数据安全不仅是技术领域的重大挑战，更是推动数据交易、促进数据流通不可或缺的关键环节。数据暴露面评估是“摸清数据家底”的重要步骤，是确保数据安全和合规性的基础。
（2）数据暴露面：数据暴露面是指数据或信息系统暴露在外部环境中，可能被其他责任主体获取的访问点/访问途径，通过这些暴露面数据可能被未授权的用户访问、修改、窃取或滥用。这种暴露可能由于多种原因造成，包括但不限于系统配置错误、缺乏足够的访问控制、系统漏洞或者数据存储位置不当等。数据暴露面风险评估通过主动探测与被动链路数据分析，全面梳理系统中的敏感数据暴露面及其流动路径，分析数据各种脆弱性风险的关键环节，从用户类型、访问途径、使用需求、场景特性、安全策略五个维度，对数据暴露面进行深入分析，并评估其数据类型、规模、影响范围及潜在危害。

1  数据暴露面管理框架 

数据暴露面管理以“数据”为中心，围绕“数据处理活动”，包括数据资产识别、数据暴露面分析、数据暴露面评估、暴露面处置。

其中：敏感数据识别、数据流分析是两个关键的环节。

2、数据暴露面管理过程

2.1 数据资产识别

数据资产识别将“数据”和“数据处理活动”作为核心对象，摸清数据种类、规模、分布等基本情况，摸清数据处理活动的情况。涵盖了数据扫描、分类定级、业务关联和数据流转映射等多个环节，

数据类型主要有以下三类，

• 生产数据：如业务和IT系统的账号密码、标识标签、角色权限；

• 业务数据：包括一般数据、重要数据等。

• 敏感个人信息：主要指个人身份信息、财务信息、健康信息、位置信息、联系方式等。

网络资产如API接口、数据库、文件服务和云端数据等，作为数据承载的基础，也应被整合进数据资产管理范畴。

以下为数据流转示意图。

2.2 数据暴露面识别

通过梳理数据应用和数据处理活动，采用扫描、数据流分析等技术手段，掌握敏感数据暴露面的底账。

（1）API接口暴露：

监测企业API的数据暴露面，通过系统可获取API接口的数据信息，包括：获取API接口的关键执行点的API名称、API入参和出参、API接口查询的数据条数、API接口查询的数据库表和字段；根据预配置的数据安全分级属性，确定所述数据库表的安全属性级别及字段的安全属性级别。
通过帮助企业分析API接口的变化，及时掌握存在的API风险隐患。主要的API弱点类型包含：口令认证类、安全规范类、接口权限类、数据暴露类和访问权限类等。

（2）数据处理暴露：

数据处理活动主要从数据收集、数据传输、数据存储数据使用、数据加工、数据提供、数据公开、数据删除等。数据处理过程中，存在多种数据暴露风险。

• 存储暴露面：数据在存储中面临的风险，包括数据库、云存储、文件服务器等。未经加密的存储或过时的访问控制策略可能使得敏感信息暴露于不安全环境中。
  

• 传输暴露面：数据在网络上传输的过程中存在被窃听、劫持或篡改的风险。传输数据时如果没有使用安全协议（如HTTPS、VPN等），就可能导致数据在传输过程中被攻击者拦截。

• 应用暴露面：应用程序对外提供的接口和服务（如API、Web应用）可能成为攻击的切入点。攻击者利用漏洞（如SQL注入、XSS）、弱口令窃取数据。很多应用在开发时就存在安全不规范的问题，如接口开发时，允许通过get方式向后台请求传输敏感信息、接口URL中存在一些可供遍历的敏感参数增加了数据暴露面的范围。

• 用户访问暴露面：授权用户的行为、身份验证机制和权限管理决定了谁可以访问数据。如果缺乏有效的身份验证（如多因素认证）或权限控制不严格，用户账户被盗用后可能导致数据泄露。外部请求数据时没有进行数据量限制、外部请求数据的类型或内容不符合其权限范围（越权情况）等等，都会形成用户访问的数据暴露面。

• 第三方和供应商暴露面：与外部第三方共享数据或使用第三方工具和服务时，存在供应商数据安全控制不严格的问题，从而增加了暴露面。

跨境传输暴露侧重于跨国敏感传输的数据安全风险，而非单纯的境内不同数据处理企业主体之间的数据传输交换。跨境传输面临的暴露风险，除了来自明文敏感数据暴露问题之外，还面临合规性数据传输暴露的风险。即不允许出境的敏感、重要、核心数据，由于安全管理规范疏忽或恶意人为等原因，以隐秘的方式将数据输出境外，形成了国家战略或监管层面的暴露面（暴露给境外势力）。

（4）敏感数据泄露：

如果数据流转到组织外部以后，数据可见性和可控性的问题可能会变得更糟糕。越来越多的数据资产游离于组织检测和管理范围之外，这为关键业务带来了新的暴露风险，例如系统源代码、密码密钥、技术方案、个人信息等数据泄露已是组织常态化面临的安全隐患。

• 暗网情报监控：监控暗网中与客户相关的敏感数据泄露、地下黑产交易等情报，及时告警并协助处置。

• 代码泄露监控：覆盖主流代码托管平台，为客户发现并阻断代码泄露风险。

• 敏感文件监控：监控主流网盘、文库等文件共享平台，帮助客户管控机密文件外泄风险。

• 黑产舆情监控：通过对全球黑产社区的布控，监控与客户相关的黑产舆情和黑客动向。
  

• 资产失陷监控：依托威胁情报能力，对客户的互联网暴露资产进行失陷监测。

2.3 数据暴露面评估

数据暴露面风险评估主要考虑暴露的数据价值、数据重要性、威胁源发生可能性三个因素，分析方法如下：
    a)数据价值：从数据的经济效益、业务效益等要素进行价值评估。
    b)数据重要性：主要从数据分级角度衡量，数据级别越高代表数据重要性越高，数据安全级别可参考《数据安全技术 数据分类分级规则》（标准号：GB/T 43697-2024）确定。
    c)威胁源发生可能性：主要考虑威胁源发生频率以及威胁源的关联性。

2.4 数据暴露面处置

暴露面收敛：对于未形成数据安全事件的暴露面风险，跟进成因分析进行处置修复。处置措施包括下线未受许可的敏感数据暴露面，限制用户的访问权限，敏感数据加密传输等。
事件处置：对于已经形成的数据泄露事件，根据暴露面展示的泄漏数据进行评估，选择对应的应急预案进行处置。处置核心是定位出数据源，泄露路径、可能的泄漏人员等。