面向大數(shù)據(jù)環(huán)境下的數(shù)據(jù)安全治理技術(shù)*

許 杰，張鋒軍，陳 捷，曾夢(mèng)岐，李慶華，牛作元

（中國電子科技集團(tuán)公司第三十研究所，四川 成都 610041）

0 引言

《中華人民共和國數(shù)據(jù)安全法》（下文簡稱：數(shù)據(jù)安全法）的正式發(fā)布標(biāo)志著數(shù)據(jù)安全已經(jīng)上升至國家戰(zhàn)略高度，數(shù)據(jù)已經(jīng)成為國家基礎(chǔ)性戰(zhàn)略資源，沒有數(shù)據(jù)安全就沒有國家安全。數(shù)據(jù)安全法指出：“維護(hù)數(shù)據(jù)安全，應(yīng)當(dāng)堅(jiān)持總體國家安全觀，建立健全數(shù)據(jù)安全治理體系，提高數(shù)據(jù)安全保障能力?！?/p>

數(shù)據(jù)安全治理[1-3]是以“讓數(shù)據(jù)使用更安全”為目的，在中國易于落地的數(shù)據(jù)安全建設(shè)的體系化方法論。數(shù)據(jù)安全治理的核心內(nèi)容如下文所述。

3 個(gè)需求目標(biāo)：數(shù)據(jù)安全保護(hù)（Protection）、合規(guī)性（Compliance）、敏感數(shù)據(jù)管理（Sensitive）。

（2）核心理念：分類分級(jí)（Classifying）、角色授權(quán)（Privilege）、場景化（Scene）。

（3）數(shù)據(jù)安全治理的建設(shè)步驟：組織構(gòu)建、資產(chǎn)梳理、策略制定、過程控制、行為稽核和持續(xù)改善。

（4）核心實(shí)現(xiàn)框架：數(shù)據(jù)安全人員組織（Person）、數(shù)據(jù)安全使用的策略和流程（Policy&Process）、數(shù)據(jù)安全技術(shù)支撐（Technology）。

隨著信息化和數(shù)字化的發(fā)展，以及數(shù)據(jù)安全法的推動(dòng)下，越來越多的政府部門、企事業(yè)單位、金融機(jī)構(gòu)、能源集團(tuán)、運(yùn)營商等各行各業(yè)，對(duì)數(shù)據(jù)安全合規(guī)的需求急劇增加，紛紛開始了數(shù)據(jù)安全治理體系的建設(shè)和探索之路。本文結(jié)合數(shù)據(jù)在實(shí)際應(yīng)用中數(shù)據(jù)面臨的安全風(fēng)險(xiǎn)[4-5]和用戶的安全需求給出了一種面向大數(shù)據(jù)環(huán)境下動(dòng)態(tài)防御的數(shù)據(jù)安全治理架構(gòu)，并對(duì)該架構(gòu)下的關(guān)鍵技術(shù)[6]進(jìn)行了研究，以滿足數(shù)據(jù)的合規(guī)使用以及數(shù)據(jù)在使用中的安全防護(hù)需求。

1 數(shù)據(jù)安全風(fēng)險(xiǎn)

1.1 數(shù)據(jù)濫用風(fēng)險(xiǎn)

在大數(shù)據(jù)環(huán)境下包含了不同等級(jí)的數(shù)據(jù)，特別是敏感數(shù)據(jù)的分類分級(jí)。如果普通數(shù)據(jù)和敏感數(shù)據(jù)界定不清晰，將無法實(shí)現(xiàn)數(shù)據(jù)安全保護(hù)的精細(xì)化管控。數(shù)據(jù)的粗管粗放，將會(huì)出現(xiàn)“一管就嚴(yán)、一松就亂”的局面，如各類數(shù)據(jù)存在越權(quán)使用的情況，部分用戶操作和使用超過自身權(quán)限的數(shù)據(jù)，還存在數(shù)據(jù)接口開發(fā)不規(guī)范的情況，交互行為未進(jìn)行嚴(yán)格控制，部分非業(yè)務(wù)需求的敏感數(shù)據(jù)可以跨系統(tǒng)訪問和交互。

1.2 數(shù)據(jù)泄露風(fēng)險(xiǎn)

數(shù)據(jù)使用者安全意識(shí)不足，違規(guī)或不當(dāng)操作會(huì)泄露敏感數(shù)據(jù)，如存儲(chǔ)介質(zhì)濫用、違規(guī)傳輸、違規(guī)共享等。數(shù)據(jù)使用者還可能被引誘或收買，在日常工作任務(wù)中主動(dòng)收集、隱藏和轉(zhuǎn)移敏感數(shù)據(jù)。

1.3 數(shù)據(jù)竊取風(fēng)險(xiǎn)

外部間諜組織或其他國家網(wǎng)絡(luò)空間部隊(duì)，長期潛伏在網(wǎng)絡(luò)空間中，使用高級(jí)持續(xù)性威脅（Advanced Persistent Threat，APT）攻擊、間諜軟件、監(jiān)聽等技術(shù)竊取國家重要戰(zhàn)略數(shù)據(jù)和關(guān)鍵技術(shù)信息，以及黑客組織或個(gè)人出于技術(shù)炫耀和利益竊取重要敏感數(shù)據(jù)。

1.4 數(shù)據(jù)偽造風(fēng)險(xiǎn)

數(shù)據(jù)在使用和傳輸過程中被非法篡改，導(dǎo)致數(shù)據(jù)失真，如果涉及重要技術(shù)指標(biāo)或控制指令可能會(huì)造成非常嚴(yán)重后果。

1.5 數(shù)據(jù)破壞風(fēng)險(xiǎn)

使用數(shù)據(jù)破壞性惡意軟件或工具，對(duì)數(shù)據(jù)進(jìn)行加密、刪除、覆蓋、粉碎等操作，破壞敏感數(shù)據(jù)完整性和可用性。

2 數(shù)據(jù)安全治理架構(gòu)

2.1 數(shù)據(jù)安全治理架構(gòu)設(shè)計(jì)原則

根據(jù)數(shù)據(jù)安全治理的概念，數(shù)據(jù)安全治理核心理念可以理解為在數(shù)據(jù)生命周期過程中，以數(shù)據(jù)為中心，以分類分級(jí)為基礎(chǔ)，以安全策略為驅(qū)動(dòng)，通過權(quán)限管控，確保數(shù)據(jù)在各類場景下使用的安全。在該理念下，數(shù)據(jù)安全治理架構(gòu)設(shè)計(jì)原則[7-8]應(yīng)包含以下幾點(diǎn)。

2.1.1 數(shù)據(jù)分類分級(jí)

數(shù)據(jù)分類分級(jí)[9-10]是數(shù)據(jù)保護(hù)的核心基礎(chǔ)，只有對(duì)數(shù)據(jù)進(jìn)行有效分類，才能夠避免一刀切的控制方式。在數(shù)據(jù)的安全管理上采用更加精細(xì)的措施，使數(shù)據(jù)在共享使用和安全使用之間獲得平衡，并對(duì)數(shù)據(jù)全面摸底，進(jìn)行數(shù)據(jù)資產(chǎn)梳理、敏感數(shù)據(jù)發(fā)現(xiàn)及梳理、數(shù)據(jù)資產(chǎn)分級(jí)、用戶及敏感資產(chǎn)權(quán)限梳理。

2.1.2 細(xì)粒度權(quán)限管控

數(shù)據(jù)在分類分級(jí)后，應(yīng)明確數(shù)據(jù)的訪問角色和使用方式，針對(duì)不同的角色賦予不同的訪問權(quán)限。數(shù)據(jù)細(xì)粒度權(quán)限管控是一種精細(xì)化的訪問控制行為，目的是限制主體對(duì)于客體的訪問，防止主體對(duì)客體的任何資源進(jìn)行未授權(quán)的訪問。對(duì)大數(shù)據(jù)而言，訪問控制不僅要防止非法用戶對(duì)數(shù)據(jù)資源的惡意獲取訪問及篡改，而且要控制合法用戶的越權(quán)訪問和越權(quán)操作。

2.1.3 場景化安全策略

大數(shù)據(jù)環(huán)境下，不同的業(yè)務(wù)有不同的需求，各類業(yè)務(wù)根據(jù)業(yè)務(wù)特點(diǎn)、使用需求適應(yīng)不同的使用場景。應(yīng)根據(jù)不同的場景進(jìn)行針對(duì)性地制定數(shù)據(jù)安全防護(hù)策略，即應(yīng)將業(yè)務(wù)人員分為不同等級(jí)以及不同的角色，按照“數(shù)據(jù)訪問最小化原則”，在不影響業(yè)務(wù)正常開展的前提下，從時(shí)間和空間維度對(duì)用戶和數(shù)據(jù)行為進(jìn)行約束。

2.2 數(shù)據(jù)安全治理架構(gòu)設(shè)計(jì)

遵循上述的數(shù)據(jù)安全治理架構(gòu)設(shè)計(jì)原則，在該原則的基礎(chǔ)上結(jié)合用戶實(shí)際需求設(shè)計(jì)數(shù)據(jù)安全治理架構(gòu)，如圖1 所示。

圖1 數(shù)據(jù)安全治理架構(gòu)

圖1 中的數(shù)據(jù)安全治理架構(gòu)以數(shù)據(jù)分級(jí)分類、授權(quán)管理、數(shù)據(jù)安全策略、統(tǒng)一審計(jì)、統(tǒng)一身份認(rèn)證、人工智能等技術(shù)為基礎(chǔ)，構(gòu)建包括數(shù)據(jù)梳理、行為分析、威脅分析、態(tài)勢感知、追蹤溯源、評(píng)估優(yōu)化等主要能力的大數(shù)據(jù)安全治理體系。該體系體現(xiàn)了動(dòng)態(tài)防護(hù)的理念，能夠作為大數(shù)據(jù)動(dòng)態(tài)防御體系[11-15]的重要組成部分，為實(shí)現(xiàn)動(dòng)態(tài)防御能力提供支撐。

3 數(shù)據(jù)安全治理關(guān)鍵技術(shù)

本文基于上述的大數(shù)據(jù)安全治理架構(gòu)，梳理出了大數(shù)據(jù)環(huán)境下數(shù)據(jù)安全治理的5 個(gè)關(guān)鍵技術(shù)，如圖2 所示。

圖2 大數(shù)據(jù)安全治理技術(shù)

3.1 數(shù)據(jù)安全風(fēng)險(xiǎn)主動(dòng)感知技術(shù)

數(shù)據(jù)安全風(fēng)險(xiǎn)主動(dòng)感知技術(shù)是從多維度、全方位進(jìn)行數(shù)據(jù)收集，并利用數(shù)據(jù)行為分析、內(nèi)容分析、全流量分析技術(shù)對(duì)安全風(fēng)險(xiǎn)進(jìn)行主動(dòng)發(fā)現(xiàn)和感知。

數(shù)據(jù)安全風(fēng)險(xiǎn)分析技術(shù)架構(gòu)包含兩個(gè)層次，分別是數(shù)據(jù)層和算法分析層，如圖3 所示。其中，算法分析層一般運(yùn)行在實(shí)時(shí)流處理、近線增量處理、離線批量處理的大數(shù)據(jù)計(jì)算平臺(tái)上。

圖3 數(shù)據(jù)安全風(fēng)險(xiǎn)主動(dòng)感知技術(shù)架構(gòu)

數(shù)據(jù)層負(fù)責(zé)對(duì)各類分析所需數(shù)據(jù)進(jìn)行采集和預(yù)處理。采集數(shù)據(jù)包括：安全類數(shù)據(jù)（防火墻、入侵檢測、病毒查殺、前置機(jī)、數(shù)據(jù)庫防火墻等）、用戶類數(shù)據(jù)（用戶權(quán)限、用戶行為等）、數(shù)據(jù)資產(chǎn)類數(shù)據(jù)（數(shù)據(jù)屬性、數(shù)據(jù)分級(jí)分類、數(shù)據(jù)共享等）、流量行為類數(shù)據(jù)（網(wǎng)絡(luò)流量、數(shù)據(jù)流量），采集后的數(shù)據(jù)經(jīng)過抽取-轉(zhuǎn)換-加載（Extract-Transform-Load，ETL）處理后，按照算法分析層的要求為各類算法提供分析數(shù)據(jù)包，形成的算法包主要為數(shù)據(jù)實(shí)體和用戶提供安全風(fēng)險(xiǎn)監(jiān)測。

算法分析層主要包括在線分析處理（實(shí)時(shí)流處理）、分析建模（近線增量處理）和離線分析（離線批量處理）3 類時(shí)效分析。分析算法主要包括特征統(tǒng)計(jì)學(xué)習(xí)、動(dòng)態(tài)行為策略、時(shí)序前后分析3 類。其關(guān)鍵技術(shù)包括基線及群組分析、異常檢測、安全知識(shí)圖譜和強(qiáng)化學(xué)習(xí)，具體如下文所述。

（1）基線及群組分析。通過歷史策略，構(gòu)建群組分析，可以跨越單個(gè)用戶或?qū)嶓w的局限，發(fā)現(xiàn)更大的事實(shí)，易于進(jìn)行異常檢測；通過概率評(píng)估可以降低誤報(bào)，提升信噪比；通過組合基線分析、群組分析，可以構(gòu)成全時(shí)空的上下文環(huán)境。

（2）異常檢測。該技術(shù)專注于發(fā)現(xiàn)統(tǒng)計(jì)指標(biāo)異常、時(shí)序異常、序列異常、模式異常等異常信號(hào)。采用的技術(shù)包括孤立森林、K 均值聚類、時(shí)序分析、異常檢測、變點(diǎn)檢測等傳統(tǒng)機(jī)器學(xué)習(xí)算法；也可以利用深度學(xué)習(xí)技術(shù)，包括基于變分自編碼器（Variational Auto Encoder，VAE）的深度表征重建異常檢測、基于循環(huán)神經(jīng)網(wǎng)絡(luò)（Recurrent Neural Network，RNN）和長短時(shí)記憶網(wǎng)絡(luò)（Long Short-Term Memory，LSTM）的序列深度網(wǎng)絡(luò)異常檢測、圖神經(jīng)網(wǎng)絡(luò)（Graph Neural Network，GNN）的模式異常檢測等。

（3）安全知識(shí)圖譜。知識(shí)圖譜已經(jīng)成為人工智能領(lǐng)域的熱點(diǎn)方向，在網(wǎng)絡(luò)安全中同樣也有巨大的應(yīng)用潛力。知識(shí)圖譜可以從事件、告警、異常、訪問中抽取出實(shí)體及實(shí)體間關(guān)系，并構(gòu)建成一張網(wǎng)絡(luò)圖譜，任何一個(gè)事件、告警、異常，都可以集成到網(wǎng)絡(luò)圖譜中，從而直觀、明晰地呈現(xiàn)多層關(guān)系，能夠讓安全分析師近似真實(shí)地復(fù)現(xiàn)攻擊全過程，了解攻擊的路徑與脆弱點(diǎn)，評(píng)估潛在的受影響資產(chǎn)，從而更好地進(jìn)行應(yīng)急響應(yīng)與處置。

（4）強(qiáng)化學(xué)習(xí)。不同客戶的環(huán)境數(shù)據(jù)源具有多元性及差異性，以及用戶對(duì)異常行為的定義各有不同，因此，數(shù)據(jù)行為分析需要具有一定的自適應(yīng)性，做到“入鄉(xiāng)隨俗”輸出更精準(zhǔn)的異常風(fēng)險(xiǎn)。強(qiáng)化學(xué)習(xí)能夠根據(jù)排查結(jié)果自適應(yīng)地調(diào)整正負(fù)權(quán)重反饋給系統(tǒng)，讓整體效果持續(xù)優(yōu)化改進(jìn)，進(jìn)而得到更符合客戶期望的風(fēng)險(xiǎn)評(píng)分。

3.2 統(tǒng)一訪問控制與數(shù)據(jù)安全策略管理技術(shù)

如圖4 所示，統(tǒng)一訪問控制與數(shù)據(jù)安全策略管理技術(shù)包括服務(wù)端與客戶端。服務(wù)端通過資源發(fā)現(xiàn)功能實(shí)現(xiàn)資源的管理和生成，并依據(jù)基于屬性的訪問控制安全策略進(jìn)行判決，從而對(duì)數(shù)據(jù)進(jìn)行管理，并基于資源和訪問控制實(shí)現(xiàn)數(shù)據(jù)安全策略的定制和下發(fā)，客戶端從服務(wù)端獲取數(shù)據(jù)安全策略。

圖4 統(tǒng)一訪問控制與數(shù)據(jù)安全策略管理技術(shù)架構(gòu)

數(shù)據(jù)安全策略采用3 級(jí)結(jié)構(gòu)模式，將組織中非常復(fù)雜的技術(shù)性數(shù)據(jù)安全策略由粗到細(xì)進(jìn)行實(shí)現(xiàn)。第一級(jí)是權(quán)限控制策略，第二級(jí)是分級(jí)分類保護(hù)策略，第三級(jí)是數(shù)據(jù)防泄漏策略。

統(tǒng)一訪問控制與數(shù)據(jù)安全策略管理技術(shù)進(jìn)行訪問權(quán)限的統(tǒng)一管理和下發(fā)，業(yè)務(wù)系統(tǒng)和數(shù)據(jù)庫防火墻通過調(diào)用應(yīng)用程序接口（Application Programming Interface，API）接口，實(shí)現(xiàn)訪問判決功能。統(tǒng)一訪問控制與數(shù)據(jù)安全策略管理技術(shù)將訪問權(quán)限推送至對(duì)應(yīng)的業(yè)務(wù)系統(tǒng)進(jìn)行本地緩存，實(shí)現(xiàn)高效的本地權(quán)限查詢、匹配和判決功能。

3.3 業(yè)務(wù)行為分析與安全監(jiān)控技術(shù)

如圖5 所示，業(yè)務(wù)行為分析與安全監(jiān)控技術(shù)在業(yè)務(wù)系統(tǒng)關(guān)鍵數(shù)據(jù)訪問和處理點(diǎn)位上，采集系統(tǒng)行為上下文日志與數(shù)據(jù)流轉(zhuǎn)信息。經(jīng)過數(shù)據(jù)采集、數(shù)據(jù)清理、數(shù)據(jù)集成、數(shù)據(jù)轉(zhuǎn)換、數(shù)據(jù)規(guī)約、數(shù)據(jù)存儲(chǔ)和結(jié)果展示等步驟，實(shí)現(xiàn)業(yè)務(wù)系統(tǒng)操作日志的采集、存儲(chǔ)、查詢、審計(jì)、可視化和聚合分析等功能。同時(shí)，使用狀態(tài)機(jī)建模技術(shù)、頻繁序列挖掘技術(shù)和異常檢測技術(shù)等關(guān)鍵技術(shù)對(duì)業(yè)務(wù)應(yīng)用過程中行為活動(dòng)上所表現(xiàn)出來的規(guī)律進(jìn)行歸納和總結(jié)，建立正常業(yè)務(wù)行為基線，實(shí)現(xiàn)基于行為基線的異常行為分析、監(jiān)控和異常上報(bào)等功能。最終達(dá)到對(duì)各個(gè)業(yè)務(wù)系統(tǒng)的提供安全保障，發(fā)現(xiàn)潛在安全威脅和預(yù)警的目的。

圖5 業(yè)務(wù)行為分析與安全監(jiān)控技術(shù)架構(gòu)

在數(shù)據(jù)采集層方面，以數(shù)據(jù)采集、數(shù)據(jù)清洗、數(shù)據(jù)集成、數(shù)據(jù)轉(zhuǎn)換和數(shù)據(jù)規(guī)約等技術(shù)為支撐，形成數(shù)據(jù)采集技術(shù)，完成底層數(shù)據(jù)來源的引接與采集。在數(shù)據(jù)存儲(chǔ)層方面，以數(shù)據(jù)管道、熱存儲(chǔ)和冷存儲(chǔ)等技術(shù)為支撐，并融合分布式隊(duì)列、分發(fā)網(wǎng)絡(luò)、檢索引擎、關(guān)系型數(shù)據(jù)庫、文件存儲(chǔ)和對(duì)象存儲(chǔ)等關(guān)鍵技術(shù)，確保采集數(shù)據(jù)的安全存儲(chǔ)。在數(shù)據(jù)計(jì)算層方面，主要運(yùn)用了數(shù)據(jù)查詢技術(shù)、數(shù)據(jù)聚合技術(shù)和并行計(jì)算技術(shù)，確保分析數(shù)據(jù)的時(shí)效性和準(zhǔn)確性。最后在狀態(tài)機(jī)建模技術(shù)、頻繁序列挖掘技術(shù)和異常檢測技術(shù)的支撐下，實(shí)現(xiàn)業(yè)務(wù)系統(tǒng)行為分析智能判斷，并融合數(shù)據(jù)可視化技術(shù)，對(duì)分析告警結(jié)果進(jìn)行有效展示。

3.4 數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估與策略調(diào)整技術(shù)

如圖6 所示，數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估與策略調(diào)整技術(shù)在數(shù)據(jù)風(fēng)險(xiǎn)分析感知的基礎(chǔ)上，對(duì)風(fēng)險(xiǎn)感知信息進(jìn)行綜合評(píng)估，將評(píng)估后的結(jié)果、應(yīng)用場景、策略執(zhí)行反饋信息等多維度信息作為輸入，通過環(huán)境（environment，E）、風(fēng)險(xiǎn)（risk，R）、主體（subject，S）、客體（object，O）、行為（act，A）五維度防御策略調(diào)整模型給出策略調(diào)整建議。

圖6 數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估與策略調(diào)整技術(shù)架構(gòu)

3.4.1 綜合風(fēng)險(xiǎn)評(píng)估引擎

由于多維風(fēng)險(xiǎn)檢測往往是異常檢測類型的弱指示器，在實(shí)際部署過程中，會(huì)出現(xiàn)誤告警事件，而真正的檢出問題往往淹沒在大量無關(guān)的告警中。為了解決這個(gè)問題，可以使用打分技術(shù)，針對(duì)每個(gè)用戶，給出綜合的風(fēng)險(xiǎn)評(píng)判分?jǐn)?shù)或等級(jí)，直觀地呈現(xiàn)給管理者，從而可以更好地聚焦發(fā)現(xiàn)真正的安全風(fēng)險(xiǎn)，提升風(fēng)險(xiǎn)預(yù)警的實(shí)用價(jià)值。

風(fēng)險(xiǎn)綜合打分機(jī)制通常主要由算法、優(yōu)化策略和閾值設(shè)定3 部分組成。

（1）算法

基于機(jī)器學(xué)習(xí)的方法主要是使用貝葉斯網(wǎng)絡(luò)、高斯核分布等方法，對(duì)直接帶權(quán)累加的方案進(jìn)行優(yōu)化。深度學(xué)習(xí)的方案則需要先針對(duì)預(yù)先設(shè)置的時(shí)間段對(duì)時(shí)間做編碼（encoding），然后使用長短時(shí)記憶網(wǎng)絡(luò)（Long Short-Term Memory，LSTM）模型進(jìn)行分?jǐn)?shù)預(yù)測。

（2）優(yōu)化策略

優(yōu)化策略包括對(duì)于數(shù)值的歸一化處理，以及從計(jì)量策略上的優(yōu)化，比如歷史分?jǐn)?shù)按照時(shí)間的推移，對(duì)風(fēng)險(xiǎn)等級(jí)的影響程度逐漸變小，總體分?jǐn)?shù)按照事件數(shù)量有一定的衰減嗎，利用貝葉斯網(wǎng)絡(luò)根據(jù)事件實(shí)際分布動(dòng)態(tài)調(diào)整權(quán)重等。

（3）閾值設(shè)定

風(fēng)險(xiǎn)綜合打分引擎的輸出是針對(duì)每個(gè)用戶/賬號(hào)的風(fēng)險(xiǎn)分?jǐn)?shù)，需要結(jié)合相應(yīng)的閾值，來判斷用戶的風(fēng)險(xiǎn)等級(jí)。通常，閾值的設(shè)定有人工設(shè)定、按環(huán)境變量動(dòng)態(tài)變化或者根據(jù)歷史分?jǐn)?shù)的預(yù)測值進(jìn)行判斷3 種方法。

3.4.2 策略調(diào)整模型

策略調(diào)整模型以風(fēng)險(xiǎn)綜合分析評(píng)估后的結(jié)果、應(yīng)用場景、策略執(zhí)行反饋信息等多維度信息作為輸入，通過五維度防御策略調(diào)整模型給出策略調(diào)整建議。五維度具體為：環(huán)境（environment，E）、風(fēng)險(xiǎn)（risk，R）、主體（subject，S）、客體（object，O）、行為（act，A）。集合（E,R,S,O,A）是一個(gè)基本要素集，在實(shí)際的評(píng)估過程中，可根據(jù)需要對(duì)維度要素進(jìn)行擴(kuò)展。

模型將風(fēng)險(xiǎn)綜合分析評(píng)估后的結(jié)果作為模型中的風(fēng)險(xiǎn)信息（R），應(yīng)用場景信息作為環(huán)境信息（E），策略執(zhí)行反饋信息作為行為信息（A），主體（S）為用戶或數(shù)據(jù)，客體（O）為用戶或數(shù)據(jù)，構(gòu)建五維調(diào)整判斷向量，按照設(shè)定的權(quán)值得出最終策略部調(diào)整建議，權(quán)值設(shè)定主要有人工設(shè)定、風(fēng)險(xiǎn)評(píng)定結(jié)果動(dòng)態(tài)變化或者根據(jù)歷史分?jǐn)?shù)的預(yù)測值3 種方法進(jìn)行設(shè)定。

3.5 數(shù)據(jù)安全風(fēng)險(xiǎn)追蹤溯源技術(shù)

數(shù)據(jù)安全風(fēng)險(xiǎn)追蹤溯源技術(shù)通過采集數(shù)據(jù)全生命周期的行為日志，構(gòu)建數(shù)據(jù)數(shù)量分布情況信息庫、數(shù)據(jù)等級(jí)分布情況信息庫、數(shù)據(jù)使用情況信息庫以及數(shù)據(jù)血緣關(guān)系庫；以數(shù)據(jù)標(biāo)簽為基礎(chǔ)，將數(shù)據(jù)標(biāo)簽與數(shù)據(jù)結(jié)合并貫穿于數(shù)據(jù)整個(gè)生命周期；利用大數(shù)據(jù)綜合關(guān)聯(lián)分析及機(jī)器學(xué)習(xí)對(duì)數(shù)據(jù)行為進(jìn)行分析并實(shí)行監(jiān)管；提供對(duì)已知和未知的數(shù)據(jù)安全威脅事件在事前、事中、事后的規(guī)避、發(fā)現(xiàn)和解決以及追蹤溯源等功能，為大數(shù)據(jù)安全提供動(dòng)態(tài)閉環(huán)的智能化治理能力。數(shù)據(jù)安全風(fēng)險(xiǎn)追蹤溯源技術(shù)架構(gòu)如圖7 所示。

圖7 數(shù)據(jù)安全風(fēng)險(xiǎn)追蹤溯源技術(shù)架構(gòu)

如圖7，數(shù)據(jù)安全風(fēng)險(xiǎn)追蹤溯源技術(shù)首先通過數(shù)據(jù)資產(chǎn)的自動(dòng)識(shí)別與發(fā)現(xiàn)和數(shù)據(jù)資產(chǎn)血緣分析，實(shí)現(xiàn)對(duì)數(shù)據(jù)資產(chǎn)全體系、全譜系的統(tǒng)一梳理。其次，基于數(shù)據(jù)資產(chǎn)構(gòu)建以任務(wù)為中心的數(shù)據(jù)物理拓?fù)浜瓦壿嬐負(fù)?，并基于任?wù)、用戶、數(shù)據(jù)資產(chǎn)的上下文數(shù)據(jù)，利用機(jī)器學(xué)習(xí)和人工智能，動(dòng)態(tài)構(gòu)建面向任務(wù)和用戶的數(shù)據(jù)行為基線，通過數(shù)據(jù)行為基線可進(jìn)行異常行為檢測。最后，通過基于人工智能的追蹤標(biāo)識(shí)和內(nèi)容標(biāo)識(shí)學(xué)習(xí)和標(biāo)記，以及通過基于機(jī)器學(xué)習(xí)的追蹤標(biāo)識(shí)跨域更新技術(shù)對(duì)多源異構(gòu)數(shù)據(jù)（結(jié)構(gòu)化、半結(jié)構(gòu)化、非結(jié)構(gòu)化）進(jìn)行追蹤標(biāo)識(shí)和內(nèi)容標(biāo)識(shí)，實(shí)現(xiàn)全路徑數(shù)據(jù)追蹤溯源。

4 結(jié)語

數(shù)據(jù)安全治理是數(shù)據(jù)安全保護(hù)的一種思路或體系，是一種將數(shù)據(jù)安全技術(shù)與數(shù)據(jù)安全管理融合在一起，并綜合業(yè)務(wù)、安全、網(wǎng)絡(luò)等多部門多角色的訴求，系統(tǒng)化總結(jié)歸納的方法。本文從技術(shù)的角度，圍繞數(shù)據(jù)安全治理的核心理念，給出了數(shù)據(jù)安全治理體系的架構(gòu)，并對(duì)該架構(gòu)下的關(guān)鍵技術(shù)進(jìn)行了梳理和研究。本文提出架構(gòu)和方法體現(xiàn)了數(shù)據(jù)安全治理的先進(jìn)性和實(shí)用性，能夠?yàn)橄嚓P(guān)的研究提供指導(dǎo)和借鑒。