工信领域数据安全典型案例丨主被动融合双向防御数据安全创新服务平台典型案例

申报单位：中国移动通信集团山西有限公司

中国移动是网络规模最大、客户数量最多、品牌价值领先、市值排名前列的世界级电信企业，山西移动子公司，致力于保障数据安全。建立了完善的数据安全管理机制，实施个人信息加密、模糊化处理等措施，确保客户数据安全。

联合申报单位：北京亚鸿世纪科技发展有限公司

亚鸿世纪是一家专注于互联网空间数据治理、网络、数据、信息安全及数据增值解决方案及服务的高科技公司。亚鸿世纪定位于网络空间资源大数据治理，辅助政府、运营商对网络及通信数字资源进行管理，基于大数据治理手段及网络信息安全技术手段构建新型网络空间安全体系。

联合申报单位：北京浩瀚深度信息技术股份有限公司

浩瀚深度作为互联网流量和数据智能化的领航者，持续探索新技术、新业态、新模式，多年来为中国互联网提供高性能、高精度、高可靠性的整体解决方案，实现了网络可视、资源优化、智能管控、安全防护和数据价值。

近年来，数据成为国家战略资源，对经济发展和社会治理产生了重要影响，与此同时，用户信息过度采集、非法交易等数据安全问题日益严重，风险识别和溯源能力有待进一步加强。山西移动在前期完成数据安全管理制度建设、数据分类分级工作流程建设等工作基础上，布局主被动融合的双向防御数据安全创新服务平台建设，进一步加强数据安全防护能力。

（一）整体设计架构

整体架构通过融合解析技术，对山西移动互联网出口流量进行分析，输出山西移动自身数据泄露风险事件，定期对域名、IP、协议进行轮巡监测，随时下发指令对现网流量进行监测。引入主动探测技术，对重点监测企业的网络资产进行网站域名爬取，端口扫描，接口探测是否存在安全隐患，为自身及行业客户提供数据安全服务能力。

（二）建设内容

主被动融合双向防御数据安全创新服务平台典型案例通过对IDC/互联网专线流量进行分析，建立主被动探测能力，通过流量分析、网站爬取，端口扫描等技术，发现明文传输等数据安全风险。通过输出风险事件报告，为客户提供增值服务。

实现功能包括：

1.协议识别能力。

2.文件还原及文件内容识别能力。

3.数据安全检测引擎：包括特征识别、正则识别、关键词识别、自然语言分析识别、机器学习算法识别、图片分类识别、图片OCR识别等。同时引擎支持多种模型识别，包含数据接口不安全识别模型、数据高频访问判别模型、数据批量访问判别模型、数据跨境判别模型等。

4.域名网站爬取：根据爬虫能力，发现网站域名是否有重要数据明文传输、个人信息未去标识化等风险。支持网页数据获取、网页链接提取、数据解析和抽取、网页状态判断、频率控制和限制、数据存储和处理、异常处理和容错机制等功能。

5.端口扫描能力：端口扫描用于探测和识别目标主机上开放的端口和提供的网络服务。

6.接口探测：接口探测是一种通过发送请求来发现和分析目标系统商开放的接口。通过接口探测，可以获取关于接口的信息，以评估接口的安全性和功能。

7.创新安全服务：实现对业务负责的灵活调整和优化，适应不同行业的数据安全合规要求和企业客户需求。

（三）解决方案及思路

针对数据分类，需收集企业内各部门数据资源，按业务属性分类。在分类基础上，根据数据重要程度及潜在危害，对数据进行分级。为支持扫描和监测，需创建业务系统信息管理，实现资源发现与信息补录。同时，建立数据资源备案管理功能，实现数据资产报备。通过主动探测及流量分析，发现核心数据处理活动的节点，并判断服务类型。最后，通过敏感数据识别功能，对多范围、多数据源的数据进行扫描识别，并打上特征标签，实现数据资产识别管理。

（四）功能特点

一是有效的数据识别、分类分级。配备相关技术能力，定期对相关平台的系统数据资产进行扫描，能够发现和识别个人敏感信息并形成资产清单。支持数据自动分类分级，为采取差异化数据安全管控措施和数据资产威胁识别提供依据。

二是丰富的数据加密方式。主要通过对称加密和非对称加密等方法对信息进行加密保护。

三是智能的AI数据脱敏。在数据分类分级的基础上对数据源中存在的敏感数据进行脱敏。构建脱敏流程审批机制，利用人工智能技术自定义脱敏规则，支持多种脱敏算法，支持批量脱敏和实时访问脱敏。

四是数据防泄漏检测技术。针对企业涉及存储、个人敏感信息处理和重要数据平台等系统配备数据防泄漏检测能力，优先从网络侧和终端侧进行部署，逐步扩大能力覆盖范围。

五是安全的接口管理。面向互联网及合作方开放的数据接口建设接口认证鉴权和安全监控能力，限制违规设备接入，实时自动监控和处理接口调用情况。对涉及个人信息和重要数据的传输接口实施调用审批，定期开展接口日志审计。

六是策略操作审计。规划具有自动化操作审计能力的平台系统，建设数据操作权限配置、异常操作告警与处置等核心功能，分批次将数据处理活动平台系统接入安全系统，配置数据操作审计内容和企业平台系统权限分配表。

七是数据可溯源。采用数字签名、数据水印等方式，实现数据流动轨迹标记，建立数据流动画像，建立数据溯源回查和分析能力，支持配置多种溯源策略。

（五）性能指标

一是时效性，预警应在数据安全风险发生前或发生10秒内触发，保证预警的时效性。

二是预警准确率，数据安全风险预警准确率达到95%以上。

三是系统稳定性，系统可7*24小时稳定运行。

四是可维护性，系统可维护性高，适应不同的需求变化，预警应具备较高的自动化程度，能够自动识别、评估和预警数据安全风险，预警应易于理解和使用，能够为管理员提供清晰、直观的预警信息和操作建议。

五是扩展及裂变，预警应具备良好的可扩展性，能够根据需要扩展新的功能和检测项。

（一）实践成果

本案例基于互联网信息安全管理系统进行升级改造，统筹建设了数据安全平台，共针对13个IDC/专线机房进行各100G流量处理能力的数据安全监测系统建设，支持协议解析和文件还原、数据分类分级、数据安全监测溯源等能力。并通过流量轮询的方式，充分发挥数据安全设备的效能，实现更大监测范围覆盖。并和数安管系统、部系统实现三级联动，成为数据安全体系中重要的一环。

系统自运行以来，共监测发现数据识别分析结果2,695,739条，其中个人敏感信息283,018条，通信业数据37,518条，工业数据8,423条。监测发现数据安全风险日志3,185,625条，其中数据接口不安全风险198,263条，个人信息未去标识化风险2,223,900条，数据批量访问风险479,273条，数据批量跨境风险5条。

（二）案例推广

本案例可应用于全国各个省份、各个地市相关IDC、2G、4G、5G移动网等相关系统，同时可推广至政企客户内部，完善全省乃至全国的数据安全能力。健全完善企业数据资产梳理与分类分级保护技术措施，实现数据流转动态监测、数据安全风险源头定位、态势感知、快速响应、高效管理能力，全面提升行业数据安全风险事件的事前、事中、事后管理水平。