工信领域数据安全典型案例丨数据流动风险监测数据安全典型案例

申报单位：天翼爱音乐文化科技有限公司

天翼爱音乐文化科技有限公司成立于2013年06月09日，独家运营中国电信数字音乐、视频彩铃等信息业务。坐标广州，业务覆盖全国，以音乐+短视频内容为核心，以5G+AI等科技创新为驱动力，为各类用户提供5G视频彩铃、家庭娱乐、高品质音乐等泛娱乐产品及数字化智能云服务，致力于发展成为数字文化价值经营领先者，以文化+科技助力数字社会建设。

联合申报单位：全知科技（杭州）有限责任公司

全知科技（杭州）有限责任公司成立于2017年，在网络安全攻防、机器学习、数据保护、风险治理等方面拥有前沿的技术实力及丰富的实践经验。作为业界率先提出“以数据为中心的数据流动安全解决方案”的先行者和践行者，全知科技一直专注于数据安全领域的探索与研究。“以数据为中心，风险为驱动”，站在风险视角下，致力于刻画数据在存储、传输、应用、共享等各个节点上的流动可见性，实现数据的全面管控和保护。

近年来，政府部门、重点行业数据安全事件频发，安全形势严峻。一方面，企业内部数据资产分布不清、业务数据流动的整体过程和路径不明，数据处理者对于数据资产的了解、掌控程度有待加强。另一方面，因第三方开发系统中遗留后门等风险导致重要数据泄露且难以追查、溯源的问题时有发生，亟待有效解决。

1、整体设计架构

爱音乐数据流动风险监测项目主要由统一登录认证子系统、数据分类分级子系统、应用风险监测子系统、数据库风险监测子系统、数据安全评估子系统和全链路数据安全运营子系统组合而成 。

2、建设内容

本案例建设了一套覆盖全面、功能强大、性能优秀的数据安全防护平台。平台基于全流量分析技术，完成应用、数据库、邮件、文件资产的识别管理能力，创新性提出了“人－应用－数据库”的三层关联技术，绘制敏感数据全轨迹流动链路，并结合机器学习、数据建模等方式识别合规链路下的人员异常访问行为，完成事前防范、事中保护、事后追溯的完整防护体系的构建。以防护平台为基础工具，建立资产梳理、数据风险评估、数据风险监测、数据风险保护、数据风险处置的数据安全运营体系。

3、功能特点

一是数据资产全量梳理。平台支持数据库资产、Web应用资产、文件资产及邮件资产等跨云、跨平台资产聚合，并支持结构化、非结构化、文本文件等文件类型，支持数据资产自动去重，提供统一标签识别及分类分级，支持数据资产实时更新。

二是数据权限关系自动关联。平台通过识别用户部门、角色和活跃状态，并与用户访问系统、获取数据等进行关联，生成用户习惯及偏好，建立用户历史行为基线并生成用户与数据之间的映射关系。

三是数据流转链路可视化。在构建数据调用拓扑和数据调用链路的基础上，平台通过企业数据标准、API及数据库操作动作、业务属性以及用户组织关系，完成数据流转链路关系映射。

四是数据访问要素全记录。平台根据访问数据量、访问系统场景分类盘点、账号身份及状态识别等完成主体特征关联，记录数据访问全要素。

五是接口安全弱点、风险行为实时监测。通过接入旁路流量，实时监测用户风险行为，并自动化检测接口可能存在的弱点，并实时反馈。

六是数据泄露全轨迹追踪。结合数据分类分级清单，通过会话关联、日志分析等技术进行操作行为分析，建立用户数据访问行为分析模型，实现数据泄露事件溯源分析和链路调查。

在数据安全监管日益紧迫的背景下，本项目在运营商行业中具有方案可落地性强、平台能力覆盖广、整体实用性高、拓展性强和对业务零改造无侵入等特点，具备较强的可复制性和推广前景。

一是可落地性强。方案产品均采用旁路部署模式，基于流量分析技术及前沿关联算法自动完成资产梳理、关联分析、风险评估等操作，不依赖与业务方对接，对应用无侵入零改造。

二是能力覆盖广。基于一个平台即可覆盖接口管理、弱点评估、风险监测、溯源分析等数据安全关键能力项，能力符合数据安全相关能力考核要点，可以帮助运营商企业快速完成既满足合规要求又符合自身业务场录需要的数据安全体系建设。

三是可实用性高。平台内置多种贴合运营商实际业务场景的数据识别标签、弱点评估观则库、风险监测模型库、数据分类分级模板等，可帮助运营商企业快速上手使用平台，减少安全运营成本，具备极高的实用性。

四是交互能力强。平台支持OpenAPI、Syslog、kafka等方式开放系统风险监测结果和分类分级结果。如与网络安全日志关联，可进一步提升风险研判精准度。与网关等阻断类产品联动，则可及时对风险行为进行反制处理。