2023云栖大会丨安恒信息携杭州亚运会数据安全实践，共话云安全之道

近日，以“计算，为了无法计算的价值”为主题的2023云栖大会在杭州云栖小镇举办，本次大会共设置2大主论坛、3个主题展馆，呈现500余场并行话题。在云环境数据风险态势管理实践的话题分享中，安恒信息高级副总裁郑赳分享了安恒信息为杭州亚运会提供数据安全保障的经验。

亚运数据安全防护中面临5大防护难点：

1、 敏感数据广泛分布在各个涉亚信息系统中，底数不清，分布不明。

2、 运维人员多，身份复杂，数据访问权限控制难。

3、 系统间数据共享频繁。数据系统间业务数据交互量大，泄露风险大。

4、 数据使用监控难度大，数据泄露事件感知、监控、溯源难度大。

终端访问、办公场景接入终端多，人员杂，敏感文件数据泄露风险大。

一、敏感数据发现与梳理

涉亚49个核心业务系统大量异构数据源，多种数据库中的结构化和非结构化数据。其中票务、注册中心等业务系统中含有大量运动员、注册人员、观众、工作人员等个人信息敏感信息。

整体设计规划上：安恒信息结合数安法、个人信息保护法等上位法要求，结合北京奥运会、G20峰会、成都大运会等过往重保成功经验，制定了一套契合杭州亚运会现状的《重大赛事数据安全分类分级标准》，作为系统化梳理全量数据的标准规范。

技术保障上：将云与数据安全深度耦合，通过与阿里云账号体系的打通，全面对接ODPS、RDS、OSS等云上服务模块，做到资产的自同步。同时引入AI大模型进行敏感数据建模，通过大量数据的学习，敏感数据精确识别率达到95%以上。

后续应用上：将敏感数据精确识别、分类分级后，会基于等级进行敏感数据打标，为后续数据安全防护与监测奠定基础，不同等级的敏感数据后续在跨系统调用、人员读取时进行不同等级的管控措施。同时打通分类分级与其他数据安全产品，实现直接把分类分级的结果同步给像脱敏、网关等其他数据安全能力设备，作为下一步处置的基础条件。

二、数据资产运维安全

本次亚运会合作商众多，涉及不同维度、多层面的系统维护保障工作，数据范围十分广泛。因此需要负责开发运维的人员也繁多，因此如何精准管控运维动作、实时发现高峰风险操作并能够及时处理将会变得十分关键。

针对数据资产运维安全，安恒信息构建起“身份权限管控+数据处理管控”的双重保障机制。一方面，运维人员全部要通过浙政钉扫码登陆，进行身份认证，获取唯一的权限账号，保证专人、专账号、专权限，一旦发生问题，能够快速定位人员进行精准回溯。另一方面，通过数据安全安全网关对于通过SQL语句对数据库进行的操作进行细颗粒度管控，结合前面场景讲到的分类分级结果的同步，针对高敏感数据的运维操作进行风险告警或向上审批的不同防护机制。同时实现操作过程录像、操作命令记录、传输文件备存等功能，便于后期全面审计溯源。

三、数据共享交换安全

当前产业数字化发展如火如荼，数据的传递也从1.0阶段的表格复制共享，到2.0阶段的前置机文件共享交换，慢慢到3.0阶段通过API接口进行调用。因此如何加强对于API的监控，对于数据安全的管控来说异常关键。

为做好数据的交换管控：首先方案中先对于API接口资产进行精确识别，通过对报文头的检测有效区分URL静态地址与Restful API接口资产，防止出现大量无效告警，影响运维人员的判断；其次对于API接口调用流量进行双向识别，通过与分类分级能力的打通，对于回包流量中的敏感数据进行精确定位；同时，安恒信息通过与阿里云的深度合作解决了云上租户业务引流的难题，通过与阿里云ODPS的对接，实现了无agent情况下的流量解析分析。

四、办公网数据防泄漏

办公网场景是最容易发生数据泄露的场景之一。办公网涉及人员众多，场馆办公场所条件不一，导致办公网的管控措施难以有效落地。针对此场景，我们首先进行了泄露路径的盘点，主要分两大类，一类是通过网络流量侧的泄露（如：IM软件、邮件等），另一类是终端侧的泄露（如：U盘、移动硬盘等外设，以及摄屏）。紧接着便基于不同的路径进行针对性措施加以管控，网络侧封堵各类即时通讯软件发送模式，基于邮件的发送做好流量审计；终端侧通过一体化终端办公组件的加持，对接入用户进行认证、杀毒和外接终端的安全监测。同时通过暗水印的方式做好屏摄的回溯审计，有效震慑此类泄露行为。

除了对于外泄途径的管控，办公网场景方案还进行了防护左移，终端用户接入赛事AGIS专网之前，除了通过浙政钉进行身份认证以外，还通过agent进行了终端环境的安全感知，检查终端运行状态，评估运行环境达到安全要求后，才会基于权限放开后端应用的访问。

五、数据安全监测与审计

前面分类分级、运维、共享交换、办公网是整个亚运安保过程中最重要的几个细分场景，那如何将亚运数据安全态势做整体呈现？这时候就要发挥整体监测审计的能力了，通过数据安全管控平台与各数据安全探针的对接，能够对场馆侧、赛事侧、供应链服务商侧的数据安全状态进行一体化展示，真正的做到了数据安全风险态势的一屏通览。

通过数据的汇集，也可以从最前端用户通过应用对数据的调用动作，到通过应用中间件对相应API接口发起访问，到最终通过SQL语句对于数据库落盘数据进行访问的全链条数据行踪链进行梳理，真正做到数据全生命周期的血缘分析，理清风险脉络。同时数据安全管控平台也可以通过与探针的对接，基于风险类别，一键下发处置策略，高效完成数据安全风险的操作闭环。