中国移动浙江公司打造综合立体的数据

文

徐良编辑

张齐齐

来源

首席数字官

根据科技部数据，我国数字经济规模位居世界第二，发展数字经济是把握新一轮科技革命和产业变革新机遇的战略选择。如何发挥数据价值成为事关国家安全和经济社会发展的重大议题，构建与之相应的数据安全保障体系，合理保障数字化转型也尤为重要。在中国数字企业峰会“数据资产与安全”论坛上，中国移动浙江公司信息技术与数据管理部安全主管徐良，为大家分享了中国移动浙江公司数据安全实践探索的经验与成果。本文根据嘉宾演讲内容整理。

一、中国移动浙江公司的数据安全发展经历五个阶段

第一阶段，加强访问权限控制。建设用户管理系统、加强人员入职到离职的全生命周期管理、建立主从账号管理体系、规范账号权限的申请审批管理；建设C系统，加强系统级应用访问管控，包括集中账号授权操作、强认证、访问代理和单点登录；制定客户敏感信息的保护规定，建立涉敏人员的清单、收敛涉敏人员的数量，加强涉敏功能访问的权限控制。

第二阶段，开展数据不出网工程。收敛应有敏感信息的查询入口，制定接口的操作管理制度；将涉及客户敏感资料、订购关系、位置信息、通话详单等高价值信息的关键操作和批量操作纳入监控模式管控，强制要求必须由具备相应权限的两名及以上员工共同协作完成；开展生产运维数据导出的管控，通过云桌面规范敏感数据交换。

第三阶段，开展数据分级分类管理。建立数据分级分类的安全管理体系、进行敏感数据的检测、建立涉敏资产的清单；基于分级分类管控要求，实施敏感数据访问的动态脱敏；建设授权网关，保护数据开放共享安全。

第四阶段，重点加强个人信息保护。开展APP个人隐私保护的专项整治，避免APP违规收集使用个人信息过度索权问题。建设APP信息监测体系，针对虚假身份开卡、人脸识别、位置欺诈、设备篡改等，对移动应用上线后的动态运行安全问题进行风险监测、应急处置。另外，构建反爬卫士防范客户敏感信息非法爬取问题。

第五阶段，重点开展数据安全能力服务化，实现对外赋能。将数据库流量审计、敏感数据检测等安全能力进行云化、容器化的改造；以集中开放、智能随需为导向，建设数据安全智慧中台，通过能力上台资源领航，开展数据安全的对外的赋能。

二、打造“综合、立体”的数据安全防御体系

在数据安全能力建设方面，中国移动浙江公司参考IPDRR模型，以云化、智能化、能力内化、服务化为导向，打造“综合、立体”的数据安全防御体系，覆盖风险识别、安全防御、持续监测、安全响应、安全恢复四个方面，为业务提供快速、智能、高效的数据安全解决方案，助力公司数字化转型发展。

在数据安全运营方面，中国移动浙江公司秉承“敏感数据不出网、网内受控随便用”的理念，结合PDCA思想和方法论，构建风险态势、管控服务、分析服务、处置服务四位一体的闭环安全运营管控能力，全面直观地了解数据安全风险态势、数据安全合规、数据安全风险预警、数据安全事件响应处置的整体状况，以提高数据安全运营的效力，实现安全运营的可持续迭代优化。

敏感数据分类分级是数据安全治理的基础。对标零基础电信企业数据分类分级方法，中国移动浙江公司利用数据特征对比技术、自然语义处理技术、图像识别技术等多种方法，建设敏感数据检测及分类分级能力，对多平台、多数据源条件下的结构化和非结构化数据进行检测识别，建立数据分类分级清单，为公司数据安全治理奠定基础。

此外，深入推进数据分类分级的灌标工作，在敏感数据检测识别的基础上，推进敏感数据资产管理工作，包括变化监控、报备认领、分类分级、涉敏资产备案，有效解决了数据存储不清、分布不明、价值模糊的问题，同时也满足了国家数据安全合规监管的要求。

在数据流转监测防护方面，整合文档加密授权和终端泄露防护的能力。通过统一客户端，实现两者之间的有效协同，支持涉敏文档落地管控、内部流转管控和外发管控。

针对涉敏文档落地管控：第一，防拷贝。涉敏文件在业务系统导出时，调用文档安全管控服务，实现落地加密。由于文件权限的全局控制，即使拷贝也无法阅读。第二，权限控制。涉敏文档在流程类系统当中，分发到不同对象时，用户下载即进行权限控制，只允许本人使用，不允许随意分发，同时对使用时间等方面进行限制。

针对文档内部流转管控：第一，内部流转加密，主要针对内部信息共享类文档。按照用户体验优先、不影响生产效率的原则，只要安装了文档加密授权的客户端员工，就可以查看文档。第二，针对敏感级别比较高的文档，在加密授权后进行流转。对于此类文档流转给其他非授权的人员，属主需要根据需求，进行转授权。授权策略由服务端进行全局控制，实时生效。

针对文件外发管控：第一，加密文档通过密文外发包与外部进行交互，第三方通过密码校验、授权码校验才能打开外发包。从而防止截屏、防打印、防拍照，并且打开的次数和有效时间均有限制，防止外发文档二次泄密。第二，明文外发审批。系统提供解密的流程以及明文外发的审批流程，与OA之间集成，明文文件审批后外发，日志全程更新。

通过建设反爬卫士实现外挂监测、拦截、封停一站式处理。中国移动浙江公司的业务系统大多数采用BS架构，虽然具备一定的安全防护能力，但是，对于高频访问、爬虫等外挂行为仍是力不从心。为防止用外挂程序违规批量办理业务、批量登陆爬取数据、进行虚假交易等，中国移动浙江公司建设反爬卫士集成监测审计、AI分析、动态防护、自动化应急处置等安全能力，以智能威胁检测加动态安全，实现从用户端到服务端的全方位“主动防护”，有效甄别非法客户端及仿冒正常请求等自动化攻击，保护业务交易及数据安全。反爬卫士自运行以来，累计封停的账号有余个，封停准确率达到了98%以上。

中国移动浙江公司将大数据对外业务合作纳入互联网新技术新业务安全评估管理范围，建立安全运营九步法，加强数据分析挖掘与对外开放的安全管理。其中，安全设置为两个环节。第一环节，安全一审。主要协同公司的安全部门、法务部门对业务合作模式、合作方是否有外资背景、合作运营安全条例的承诺情况、数据分析挖掘与对外开放的合理性、合法性以及合作协议的条款进行审核，确保大数据对外业务合作满足合法、用户知情同意、服务数据最小化、数据对外脱敏等原则。第二环节，安全二审。主要对网关配置的合规性、数据输出的符合性、安全网关日志记录的完整性进行审核，确保实际数据的输出与安全一审的结果保持一致。评审备案通过后，数据方可对外开放。

中国移动浙江公司探索“原始数据不出域、数据可用不可见”的交易范式，打造“1+X”多方安全计算技术框架和技术底座。“1”指一个自由统一的技术底座。实现对资源数据和系统的统一管控；“X”指同时集成多个软件功能提供方的算法，满足不同用户多样性的需求，例如疫情防控、公共安全、态势感知等数据安全服务场景。

在疫情防控精准施策方面，与政府部门合作，通过共享联邦学习，联合建立疫情密接人群的识别模型，识别精准度提高14.5%；在银行信贷风控审核方面，与杭州银行合作，联合建立信用分规则模型，加强信贷风控的审核；在公共安全态势感知方面，与政府部门合作，联合建立区域安全态势感知模型，日均提供有效管控预警提醒余条；在电商平台营销洞察方面，联合建立电商平台洞察营销模型，查准率提升5%，查全率提升13.6%，广告点击率提升14.6%。

三、“商羊”数据安全能力中心实现安全能力服务协同

中国移动浙江公司提供“一湖四中心”数据安全能力，构筑“多元立体、集中开放、智能随需”的企业级数据安全防御体系，实现数据安全能力的服务化、协同化。“商羊”数据安全能力中心包括数据治理中心、访问控制中心、数据监控中心、数据管控中心以及安全数据库。

数据治理中心以数据资产为中心，提供敏感数据资产检测识别、分类分级和资产管理能力。同时针对各类合规检查要求，提供自动化的合规检测服务，支持访问控制中心将数据安全访问控制能力进行集中管理，统一调用，面向业务系统提供敏感数据脱敏、文档加密水印、访问控制、数据销毁等服务。

数据监控中心开发了60余种安全威胁模型，实现对生产运营各环节数据的异常访问和泄露行为的实时监测，提升了数据安全风险管控能力，实现了高精准率的恶意内部人员威胁行为检测、敏感数据外发、业务数据异常访问、敏感数据泄露等场景的实时风险监测分析能力，有效解决数据流转威胁分析难的问题，数据安全风险预警的误报率和漏报率得到了明显的改善，人工审计处理的工作量减少40%。

数据管控中心借助安全编排技术，将人员流程编入剧本中，为应急处置场景提供恶意账号、IP域名智能分堵、高VIP账号

转载请注明：http://www.abuoumao.com/hytd/2997.html