背景概述防御思路防御方案參考借鑒目錄CONTENTS1234Top

internalactorvarieties

inbreachesSystemadmin72End-user62Other62Doctor

or

nurse32Developer15Manager9Executive8Cashier6Finance6Humanresources50%20%

40%

60%80%

100%Topexternalactorvarieties

inbreachesOrganizedcrime681Unaffiliated215State-affiliated138Nation-state21Formeremployee15Other|

9Acquaintance|

7Activist|6Competitor|4Customer1

Verizon《數據泄漏調查報告》外部威脅占70%,內部威脅占30%,外部威脅中62%來自有組織的犯罪團伙Figure

6.Top

external

actorvarietieswithin

confirmed

data

breaches(n=1,097)Figure

7.Top

internal

actorvarietieswithin

confirmed

data

breaches

(n=277)Breaches0%20%

40%60%80%100%Breaches

各國加大數據安全監管和處罰力度口《中華人民共和國網絡安全法》口《關鍵信息基礎設施保護條例》口《網絡數據安全管理辦法》口《個人信息和重要數據出境安全評估辦法》口《信息安全技術數據安全能力成熟度模型》

口《信息安全技術個人信息安全規范》口《電信和互聯網用戶個人信息保護規定》口《信息安全技術大數據服務安全能力要求》

口《信息安全技術大數據安全管理指南》口

GDPR《

通用數據保護條例》(歐盟)

√

2018年5月出臺√個人敏感數據：1.種族或民族出身，2.政治

觀點，3.宗教/哲學信仰，4.工會成員身份，

5.涉及健康、性生活或性取向的數據，6.基

因數據(新),7.經處理可識別特定個人的

生物識別數據(新)√對違法企業的罰金最高可達2000萬歐元(約合1.5億元人民幣)或者其全球營業額

的4%,以高者為準GDPRGeneralDataProtectionRegulation口……內部人員外包人員合作伙伴更多數據來源

更多基礎應用更多外部合作

更多跨域流動數據流動保護風險數據業務過程風險數據權限風險

用戶權益風險數據存儲風險

業務質量風險個人隱私

商業機密

國家機密現實中數據安全面臨的問題統

網

絡系

統

網

挪密傳竊密存修

數據安全新挑戰傳統概念下的數據安全數據二新挑戰外部威脅監管要求A

我國涉及數據安全的法律法規-1網絡安全法《中華人民共和國網絡安全法》(以下簡稱：網絡安全法),由中華人民共和國第十二屆全國人民代表大會常

務委員會第二十四次會議于2016年11月7日通過并公布，自2017年6月1日起施行。在該報告明確地對個人隱私數據和國家重要數據提出了保護要求，其中包含一些具體化的措施要求，比如：(1)采取監測、記錄網絡運行狀態、網絡安全事件的技術措施，并按照規定留存相關的網絡日志不少于六個月；(2)

采取數據分類、重要數據備份和加密等措施；該法案，對中國所有政府單位和企業的IT系統建設、數據采集和應用產業造成深遠影響；并隨之配套產生的

《數據出境管理辦法》、《個人隱私數據管理辦法》、

《大數據安全標準》等，將對數據安全行業的發展產生重

要影響。等級保護政策全稱為《信息安全等級保護管理辦法》規定，由公安部牽頭推動，國家信息安全等級保護堅持自主定級、自

主保護的原則。信息系統的安全保護等級應當根據信息系統在國家安全、經濟建設、社會生活中的重要程度，信

息系統遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度等因素確

定。所有的政府單位、央企、金融單位、互聯網企業等都將接受該管理辦法的約束；等級保護在過去的10年中，

是我國信息安全建設中最重要的需要遵循的法規。

GB/T35273-2017《信息安全技術個人信息安全規范》個人信息安全管理規范國家編制的GB/T35273-2017《信息安全技術個人信息安全規范》于2018年5月1日實施。該規范主要針對個人信息面臨的安全問題，規范了個人信息控制者在收集、保存、使用、

共享、轉讓、公開披露等信息處理環節中的相關行為，旨在遏制個人信息非法收集、濫用、泄漏等亂象，最大程度地保障個人的合法權益和社會公共利益。例如：規范第六章“個人信息的保存”中指出："收集個人信息后，個人信息控制者宜立即進行去標識化處理，并采取技術和管理方面的措施，將去標識化后的數據與可

用于恢復識別個人的信息分開存儲，并確保在后續的個人信息處理中不重新識別個人。"該規范第七章“個人信息訪問控制措施”也提出了對個人信息控制者的要求：a)對被授權訪問個人信息的內部數據操作人員，應按照最小授權的原則，使其只能訪問職責所需的最少夠用的個人信息，

且僅具備完成職責所需的最少的數據操作權限；b)

宜對個人信息的重要操作設置內部審批流程，如批量修改、拷貝、下載等；C)應對安全管理人員、數據操作人員、審計人員的角色進行分離設置；d)

如確因工作需要，需授權特定人員超權限處理個人信息的，應由個人信息保護責任人或個人信息保護工作機構進行審批，

并記錄在冊；上述兩條規定，明確提出了針對個人信息的“數據脫敏”要求、“數據管控”要求和數據獲取過程中的“內部審批”要求。

電信和互聯網行業提升網絡數據安全保護能力專項行動方案一

總

體

要

求■以習近平新時代中國特色社會主義思想為指導，全面貫徹黨的十九大和十九屆二中、三中全會精神■嚴格落實《網絡安全法》《全國人民代表大會常務委員會關于加強網絡信息保護的決定》《互聯網信息服務管理辦法》等法律法規■堅持維護數據安全與促進數據開發利用并重，堅持數據分類分級保護■堅持充分發揮政府引導作用、企業主體作用和社會監督作用■立足我部行業網絡數據安全監管職責，開展為期一年的行業提升網絡數據安全保護能力專項行動二工作目標

三重點任務(

一)集中開展數據安全合規性評

(一)加快完善網絡數據安全制度標準

(三)強化行業網絡數據安全管理估、專項治理和監督檢查，及時整

1.強化網絡數據安全管理制度設計。

..

職“

。”管理。隱患，圓滿完成新中國成立70周年

(二)開展合規性評估和專項治理

9.加強行業網絡數據安全應急管理。等重大活動網絡數據安全保障工作。3.開展網絡數據安全風險評估。

(四)創新推動網絡數據安全技術防護能力建設(

二

)基本建立行業網絡數據安

4.深化App

違法違規專項治理。全保障體系。5.強化網絡數據安全監督執法。

10.加強網絡數據安全技術手段建設。11.推動網絡數據安全技術創新發展。(五)強化社會監督和宣傳交流

12.加強專業支撐隊伍建設。13.

強化社會監督和行業自律。14.加強宣傳展示和國際交流。四工作安排

(一)工作部署階段

(三)長效建設階段(2019

年7月)

(2019年11月-2020年5月)(二)重點保障階段

(四)總結提升階段五工作要求

(一)加強組織領導

(二)明確任務分工

(三)強化監督檢查

(四)加強宣傳通報能部門清單式絡數據安全絡數據資源網網業施企實確步明穩76改消除重大數據泄漏、濫用等安全2.完善網絡數據安全標準體系。

8.強化網絡數據對外合作安全管理。(2019年8-10月)

(2020年6-7月)2019年2

0

2

0

年重點2:標準工作已經啟動中國通信標準化協會7月份的標準制定會議將對

《電信網數據泄漏防護系統

(DLP)》、《

電信

運營商大數據安全管控分類分級技術要求》、《電信大數據平臺敏感數據識別指南》等多項標準和要求進行審查完善。2013年7月16日，工信和信息化部24號令《電信和互聯網用戶個人信息保護規定》2019年7月1日發布《電信和互聯網

行業提升網絡數

據安全保護能力

專項行動方案》影

響

：

應

對

：(1)增加迎檢、監督、整改工作內容；(1)加快建設數據安全類技術手段；(2)給現有數據安全管理提出要求；(2)在三同步等環節強化業務系統數據安全；

“行動方案”解讀重點1:數據安全政策要求的再一次升級強化行業網絡數據安全管理1、數據資產“清單式”管理2、職能部門的設置3、數據對外合作安全管理

要求4、數據安全應急管理行動方案亮點加快完善網絡數據

安全制度標準提出了手段建設、技

術創新、專業化支撐

隊伍的要求將開展合規性評估和

專項治理工作，包括

App違法違規專項強調了社會監督和

宣傳交流1

背景概述2

防御思路3

防御方案4參考借鑒目錄CONTENTS

數據安全為核心的安全立體防御體系以數據安全為核心的安全立體防御體系形態是

一

套整合了各類安全手段的安全管理平臺。可作為數據安全各項工作開展的基礎平臺。數據安全為核心的安全立體防御能力：■實現數據安全法規的對標■數據安全策略統一管理■數據安全指標化評估■數據安全資產管理■各項數據安全能力整合與驅動■各通用能力中的數據安全整合■數據安全應急響應工作支撐業務系統周期■

規

劃

：·

數據安全需求·

相關數據分類級

別■

建

設·

評估、驗收

■

運

行·

訪問控制與監測安全技術領域■數據安全■應用安全■系統安全■大數據■云安全■物聯網安全■移動互聯網安全數據生命周期■

創

建采集處理傳輸存儲使

用■

銷

毀數據安全事件■事前：防御■事中：監控■事后：回溯“

三

同

步

”終端(維護、生產、營業)數據系統安全網絡開發測試環節維護環節管控手段網絡通道銷毀數據應用系統安全網絡物理I1

跟蹤數據分析安全控制點使用處

理存

備采集創建應用系統安全網絡物理應用系統安全網絡物理內部其它系統數據第三方合作業務

數據云

、

大

、

物

、

移云

、

大

、

物

、

移數據擁有者系統云

、

大、

物、

移中間環節相關系統數據來源案例主因

解決涉嫌侵犯數百億條公民個人信息，上市公司數據堂被公安一鍋端業務違規、合作中竊取法規、管理新三板掛牌公司涉竊取30億條個人信息，非法操控公眾賬號加粉或關注業務違規、合作中竊取法規、管理圓通10億快遞信息泄漏中間環節殘留泄漏業務合理與安全能力萬豪酒店5億用戶開房信息自身安全問題、相關系統問題管理與安全能力華住酒店5億條用戶數據疑泄漏Github源代碼、數據庫暴露管理、意識與安全能力疑似官方火車票購買平臺3000萬條數據在暗網兜售第三方泄漏使用環節的數據防范國泰航空數據泄漏，940萬乘客受影響黑客攻擊安全防御能力小米有品平臺泄漏個人隱私約2000萬用戶數據遭泄漏供應商系統安全問題責任制約、數據脫敏AcFun受黑客攻擊，近千萬條用戶數據外泄自身安全問題管理與安全能力前程無憂用戶信息在暗網上被公開銷售因用戶問題被撞庫管理與安全能力央視曝光偷密碼的“萬能鑰匙”,9億人個人信息存風險業務違規法規Facebook與劍橋咨詢數據泄漏合作中竊取法規、管理

數據泄漏案例終端(維護、生產、營業)數據系統安全網絡開發測試環節維護環節

易發生數據泄漏問題的環節中間環節相關系統黑客入侵使用處理存儲采集創建數據應用系統安全網絡物理數

據擁有者系統數據應用系統安全網絡物理應用系統安全網絡物理內部其它系統數據第三方合作雷毀云、

大

、

物

、

移云

、

大

、

物

、

移管控手段網絡通道云、大、物、移數據來源■業務邏輯設計存在數據安全問題；■歷史遺留問題(缺陷遺留、敏感數據遺忘)■業務系統構成存在供應鏈安全隱患；■存儲、處理、傳輸方面存在不安全方式；■對新技術數據安全問題理解不夠(云、大、物、移、智能)■合作中涉及的數據范圍、數量、后果不清楚；■合作關系的建立缺少數據安全風險評估和審批；■合作方的違規行為未被查覺；■通用安全技術手段本身不足；■通用安全技術手段在數據安全層面不足；■缺少數據安全領域的安全評估能力；■數據安全意識；■人員行為的訪問控制審計不足；■人員終端的數據安全能力不足；■內外部人員管控；■缺少數據安全管理的組織崗位■缺少數據資產管理(分類分級、控制要求)業務系統問題業務合作問題安全手段問題管理問題人員問題主要原因法規遵從的不夠■對法規紅線、合規要求、國家標準理解和落實不足辦公環境安

全PheWireless

(Outsourced

Mar(

三同步Accesss云安全Iaa>大數據安全文檔加密、水印、權限業務系統安全員工的安全意識問題惡意內部人員

的行為審計第三方IT服務

及鏈路可靠性新技術新業務(物聯網安全)安全管理問題安全合規合作伙伴管理合同約定4A、審計、訪

問控制Corporateps安全域與邊界防護代碼安全終端安全移動安全辦公環境安全無線安全數據的分布、動態增長、流動導致數據安全相關話題多物理設施安全供應鏈安全無線安全PartnerDirectZonnection網站安全互聯網暴露面BYODe2019ViredFktops1背景概述防御思路防御方案參考借鑒目錄CONTENTS1234

數據安全的需求是在夾縫中發展法規遵從數據安全的運營和管理分類分級管控措施三同步合作關系評估審批數據識別發現泄漏防護脫敏/模糊化新技術安全手段加密敏感行為日志審計數據應用網關傳統安全手段加強企業商業利

益正常使用最大化新業務快速交付安全風險規避和抑制數據安全的策略管控措施

技術要求

組織要求安全威脅內部人員外部攻擊合作方組織的形成

數據安全的組織

全體數據安全意識方便性

安全性用戶滿意度分類分級

業務梳理數據安全的技術◆Step1:

業務需求與風險/威脅

/合規性之間的平衡◆Step2:數據分類分級◆Step3:

制定數據安全策略◆Step4:部署安全控制點√Crypto

(加密)√

DCAP

(以數據為中心的審計和保護)√DLP

(數據防泄漏)√CASB

(云訪問安全代理)√

IAM

(身份識別與訪問管理)

√

UEBA

(用戶和實體行為分析)◆Step5:統一數據安全策略Prioritize

DatasetsData

PeopleAnalyticsCrypto

DCAP

DLP

CASB

IAM

UEBA1.Balance

BusinessNeeds

vs.Risks2.Identify,Prioritize&Manage

DatasetLife

Cycles3.Define

DataSecurity

Policies4.Implement

Security

Products5.Orchestrate

PoliciesGartnerDBMSBig

DataFiles

CloudEndpoint020Gnme,m

noamAgiseseve

Gartner:

數據安全治理框架DataSecurityGovernance—A

New

FrameworkDOSTART

HERE!DON'T

START

HERE!Governance

Compliance

IT

StrategyforALL

ProductsRiskToleranceBusiness

StrategyBusinessStakeholders Gartner:管理數據安全生命周期Managethe

DataSecurity

LifeCycleDiscover/Classify·Risk

AssessmentAcquire

or

CreateDevice

Destruction

End

of

Life

CDOAsset

Management

Archive

CISOEvolution·Behavior

AnalyticsMaster

Data打

0

2

0

1

0amt,m

adr

amabs.gitnvetData

ResidencyProtectionAccess

Controls·Segregation

of

DutiesMonitor

PrivilegesMonitor

DataAccessGartnerStorageAnalysis·

Crypto

Shredding·Encrypt/Delete數據生存周期安全過程域數據采集安全·PA01數據分類分級·PA02

數據采集安全管理·PA03數據源鑒別及記錄·PA04

數據質量管理通用安全過程域·PA20數據安全策略規劃·PA26終端數據安全

國內參考(國標、行標)口《信息安全技術數據安全能力成熟度模型》

口《信息安全技術個人信息安全規范》口《信息安全技術大數據服務安全能力要求》

口《信息安全技術大數據安全管理指南》口《等級保護2.0》GB/T37988-2019

信息安全技術數據安全能力成熟度模型(2020-03-01實施),適用于對組織數據安全

能力進行評估，也可作為組織開展數據安全能力建設時

的依據數據交換安全·PA?5

數據共享安全·PA16數據發布安全·PA17數據接口安全·PA24數據供應鏈安全·PA30安全事件應急·PA22

合規管理

·PA23數據資產管理·PA28鑒別與訪問控制·PA29

需求分析數

據

交

換

安

全數

據

處

理

安

全數

據

存

儲

安

全數

據

傳

輸

安

全數

據

菜

集

安

全5級：持續優化4級：量化控制3級：充分定義2級：計劃跟蹤1級：非正式執行數據銷毀安全·PA18數據銷毀處置·PA19存儲媒體銷毀處置·PA10

數據脫敏·PA11數據分析安全·PA12數據正當使用·PA13數據處理環境安全·PA14

數據導入導出安全數據傳輸安全·PA05

數據傳輸加密·PA06

網絡可用性管理·PA21

組織和人員管理·PA27

監控與審計·PA07

存儲媒體安全·PA08

邏輯存儲安全·PA09

數據備份和恢復數據存儲安全

數據處理安全口

。。。

。。。·PA25

元數據管理能力成熟度等級維度安全能力維度數

藥

銷

毀

安

全業務戰略

合規

責權劃分

數據控制權轉移數據資產梳理數據分級分類確定數據安全策略數據生命周期安全管控數據傳輸

數據存儲

數據使用/共享

數據銷毀支撐工具數據防泄漏

數據加密

數據脫敏

數據安全分析運營設計思路：Gartner

數據安全治理框架檢測響應環境感知、行為分析阻斷、脫敏、隔離、令牌保護認證、授權、特權賬戶加密、脫敏.…識別發現數據發現、分類分級數據安全策略管理身份與權限管理

數據保護與審計管

理銜接技

術數據采集re.

rg

erve統一的數據安全管理與風險分析平臺統一管理數據安全產品和安全策略；全面、準確地掌握數據安全態勢，并以可視化的方式，向管理者和決策者提供直觀展示；基于機器學習等新技

術快速發現數據安全風險；基于大數據和多維過濾實現事件溯源取證。

立體防御的構成：統一的數據安全管控平臺+多種安全技術手段數據安全產品的集中安全策略管理敏感數據分布和流轉可

視月

奧月 日志集中存儲和搜索溯

源取證崗

風險分析感知數據安全敏感數據地圖

數據風險分析

搜索與溯源公共配置和功能基線分析引擎機器學習引擎Hive、ES

等組件Storm

實時處理框架統一DLP管理

應用數據安全管理敏感數據知識庫檢測分析引擎

規則分析引擎數據處理存儲

Spark

集群計算框架

1-集中化管理統一管理數據安全管理與分析系統可視

分析

溯源應用層數據處理

與分析應用數據安全網關應用/API接口日志匯總

統

一

策略數據庫審計數據庫存儲DLP存儲終端DLP文檔加密

終端網絡DLP郵件DLP網絡數據安全

技術工具開放接口廣城網傳輸中

數據服務器區郵件系統數據庫或存儲服務器

實際部署示意圖數據安全管理與分析存儲DLP存儲發現存儲保護終端DLP使用中數據監控、審計

阻斷、防護存儲中數據網絡DLP網

絡DLPWeb

系統辦公區A數據庫審計數據庫大數據數據庫防火墻

數據庫數據庫運維風險

D

DBI使用風險存儲DLP

存儲DLPA數據駐留風險運維B

人慶合作服務器D終端DLPDS-MAS集中化管理與有序分布的防護措施相結合日志匯總日志匯總日志匯總數據安全管理與分析系統回網絡DLP傳輸交換風險回

管控策略網絡DLP應用訪問風險應用數據安全網關應用數據

安全網關用戶域應用前端敏感數據流轉監測·

數據安全風險分析·

數據安全策略管理郵件外發風險自件服窮D郵件DLP及時發現異常事件

數據流轉違規告警數據流轉風險阻斷應用域應用后端數據域數據庫

大數據日志匯總功能·價值

·

·后服務接口服務應用數據

安全網關en終端泄漏風險管控

策略前服務管控策略日志匯總數據安全立體防御的技術實現方案

圖

例：發現

保護

檢測

響

應數據安全管理與分析數據風險分析數據泄漏感知數據分類分級知識庫數據共享API網關數據動態脫敏應用數據審計數據靜態脫敏網絡數據防泄漏認證授權管理數據庫審計大數據操作審計終端數據防泄漏可信接入網關API網關運營服務風險評估及分析

運營監控

響應處置數據動態脫敏應用數據審計數據庫訪問控制運維操作監控虛擬桌面數據安全產品技術數

據

使

用數據存儲數據庫加密數據發現分類分級數據標記數據安全日志

數據安全協同處置咨詢服務數據分類分級

策略制定數據采集身份認證準入控制分類分級數據傳輸隔離交換傳輸加密完整性校驗數據銷毀介質銷毀內容銷毀數據梳理工具數據安全策略敏感數據地圖數據流轉可視協同處置追蹤溯源安全

服務職責梳理類別子類范圍對應數據A

.

用戶身份和鑒權信息A1.用戶身份和標識信息A1-1:自然人身份標識客戶姓名、證件類型及號碼、駕照編號、銀行賬戶、客戶實體編號、集團客戶編號、集團客戶名稱、集團客戶負責人\聯系人信息等可以精確標識定位具體實體客戶的信息A1-2:網絡身份標識聯系電話、郵箱地址(如139郵箱地址)、網絡客戶編號、即時通信賬號(如飛信號)、網絡社交用戶賬號等可以精確標識網絡用戶或通信用戶的信息類別子類范圍對應數據B

.

用戶數據及

服務內容信息B1:服務內容和

資料數據B1-1:服務內容數據電信網服務內容數據：短信、彩信、話音等通信內容；移動互聯網服務內容信息：包括：飛信、融合通信、139郵箱等移動互聯網服務所涉及通話內容、及時

涵信中空由出在中空粉坭立l件郵件中空田宀網注問由空坐

·

田門二左起inc坐左類別子類范圍對應數據C

.

用

戶

服

務

相關信息C1:用戶服務使用數據C1-1:業務訂購關系基本業務訂購關系：品牌、套餐定制等情況增值業務訂購關系：139郵箱、飛信、和通訊錄、來顯、彩鈴、和包等增值業務的注冊、修改、注銷C1-2:服務記錄和日志服務詳單及信令：包括語音、短信、彩信和上網日志詳單、2G/3G/LTE用戶面XDR及信令面XDR等，內含

主叫號碼、主叫歸屬地、被叫號碼、開始通信時間、時長、流量等信息移動互聯網服務記錄：包括Cookie內容、上網日志、連接APP等，內含主叫號碼、網址、網購記錄等C1-3:消費信息和賬單消費信息：停開機、入網時間、在網時間、積分、預存款、信用等級、信用額度、繳費情況、付費方式、

和包余額、交易歷史記錄賬單：每月出賬的固定費用、通信費用、欠費信息、數據費用、代收費用C1-4:位置數據精確位置信息(如小區代碼、基站號、基站經緯度坐標等)大致位置信息(如地區代碼等)C1-5:違規記錄數據用戶違規記錄，包括垃圾短信、騷擾電話等記錄、黑名單、灰名單等業務違規記錄，包括端口濫用、違規渠道、不良網站域名等記錄、黑名單、灰名單等C2:設備信息C2-1:終端設備標識唯一設備識別碼IMEI、設備MAC地址、SIM卡IMSI信息等等可以精確標識定位具體設備的信息C2-2:終端設備資料終端型號、品牌、廠商、OS類型、預置\安裝軟件應用、使用時長等

數據分類分級-客戶信息(ABC)子類范圍對應數據D1:企業管理數據D1-1:企業內部核心管理數據公司發展戰略及規劃數據、公司年度投資計劃數據、公司年度預算數據、公司經營財務

報表、中高層人員考核信息、財務審計信息、人力具體薪酬數據D1-2:企業內部重要管理數據會計憑證及賬本數據、招投標及采購類數據、供應商考核數據、人工成本及薪酬福利統

計數據、納稅申報數據、人事檔案數據、法律案卷數據、專項及經濟責任審計數據D1-3:企業內部一般管理數據內部公開后企業核心管理數據、內部公開后企業重要管理數據、內部通信網絡及IT系統

結算決算類數據、其他內部管理類數據、合作伙伴費用計提及結算數據D1-4:市場核心經營類數據公司經營分析數據、營銷方案及資費信息D1-5:市場重要經營類數據市場經營考核數據、號碼等資源分配數據D1-6:市場一般經營類數據其他內部公開的市場經營類數據D1-7:企業公開披露信息資本市場要求披露的數據D1-8:企業上報信息工信部、國資委要求上報的數據D2:業務運營數據D2-1:重要業務運營服務數據高端客戶名單、白名單、套餐資費管理信息等D2-2:一般業務運營服務數據渠道(傭金、業務受理等)數據，

CP/SP(結算、業務訂購等)數據，客服數據，充值數據，各類精準營銷用戶號碼，各類預繳、促銷、捆綁和營銷獎勵用戶號碼，終端業務各

類指標完成數據、終端經營日常生產數據D2-3:公開業務運營服務數據產品資費信息、公開的業務運營數據D2-4:數字內容業務運營數據業務平臺文本、視頻、閱讀、音樂、知識庫等數字內容運營數據等D3:網絡及IT系統運維數

據D3-1:網絡設備及IT系統密碼及關聯信息系統網絡設備及IT系統登錄訪問賬號密碼及IP信息D3-2:核心網絡設備及IT系統資源類數據核心網絡設備和IT系統內部IP及端口信息、核心網絡設備互連接口信息、核心網絡設備機

房及基站位置信息、重要網絡設備通信能力數據D3-3:重要網絡設備及IT系統資源類數據重要網絡設備和IT系統內部IP及端口信息、重要網絡設備互連接口信息、重要網絡設備機

房信息、重要網絡設備通信能力數據D3-4:一般網絡設備及IT系統資源類數據一般網絡設備和IT系統IP及端口信息、

一般網絡設備互連接口信息D3-5:公開網系統資源類數據公開網絡設備和IT系統IP及端口信息、公開網絡設備互連接口信息

數據分類分級-企業運營管理數據(D)參考：運營商客戶信息的分布大類系統名稱包含的客戶信息支撐系統BOSS集團客戶資料、個人客戶資料、各類特殊名單、用戶密碼、詳單、賬單、客戶消費信息、基本業務訂購關系、增值業務(含數據業務)訂購關系、增值業務信息、統計報表、渠道及合作伙伴資料、資源數據等經分集團客戶資料、個人客戶資料、各類特殊名單、用戶密碼、詳單、賬單、客戶消費信息、基本業務訂購關系、增值業務(含數據業務)訂購關系、增值業務信息、統計報表、渠道及合作伙伴資料、資源數據等網管系統(性能管理系統等)位置信息、用戶上網記錄、短彩信發送記錄、通話記錄等。CRM集團客戶資料、個人客戶資料等不良信息治理系統短彩信記錄及內容、通話記錄、用戶上網記錄、黑名單、白名單等上網日志留存系統用戶上網記錄等統一DPI系統Mc口、2/3G/LTE信令面及用戶面、省網/IDC/省網網間/骨干網網間出口等XDR、位置信息等通信系統MSC客戶位置信息、原始話單等HSS/HLR客戶位置信息、用戶狀態等WAP網關用戶上網記錄、彩信記錄等端局原始話單文件、位置信息等關口局原始話單文件等業務平臺短信中心短信記錄等彩信中心(MMSC)彩信記錄等行業網關短信內容、短信記錄等短信網關短信記錄等彩信互通網關彩信記錄等企信通短、彩信內容等LBS客戶當前位置信息等彩鈴平臺訂購關系等和包客戶消費記錄、和包余額等MISC(DSMP)訂購關系、用戶狀態、用戶品牌等ADC位置類系統從LBS上獲取定位信息等ADC業務平臺訂購關系、消費記錄、集團客戶資料等和飛信用戶好友列表、通話內容、即時通信內容、群內發布內容、通信記錄等139郵箱郵件內容等和通訊錄客戶通信錄等大數據平臺各類客戶信息等公有云平臺客戶上傳的私有文字、多媒體等資料、所承載的業務系統中的敏感信息等范圍對應數據模糊化參考規則A1-1:自然人身份標識客戶姓名、證件類型及號碼、駕照編號、銀行賬戶、客戶實體編號、集團各字段均需要進行模糊化處理客戶編號、集團客戶名稱、集團客戶負責人\聯系人信息等可以精確標識定名稱類信息需要驗證時，兩個字或三個字的至少1個字用*代替，大干三個字的至少范圍對應數據模糊化參考規則BB范圍對應數據模糊化參考規則C1-1:業務訂購關系基本業務訂購關系：品牌、套餐定制等情況增值業務訂購關系：139郵箱、飛信、和通訊錄、來顯、彩鈴、和包等增

值業務的注冊、修改、注銷根據具體業務需求通過標簽化實現AC1-2:服務記錄和日志服務詳單及信令：包括語音、短信、彩信和GPRS詳單、2G/3G/LTE用戶面XDR及信令面XDR等，內含主叫號碼、主叫歸屬地、被叫號碼、開始通

信時間、時長、流量等信息移動互聯網服務記錄：包括Cookie內容、上網日志、連接APP等，內含主叫號碼、網址、網購記錄等使用6個月以前的數據，并且被叫號碼、位置信息等應模糊化處理主被叫號碼除公共、特服號外，其他號碼全部用8個*代替用戶歸屬地模糊化到市一級開始通話時間模糊化到某一天A1-A1-C1-3:消費信息和賬單消費信息：停開機、入網時間、在網時間、積分、預存款、信用等級、信

用額度、繳費情況、付費方式、和包余額、交易歷史記錄賬單：每月出賬的固定費用、通信費用、欠費信息、數據費用、代收費用使用6個月以前的數據或根據具體業務需求通過標簽化實現A1-C1-4:位置數據精確位置信息(如小區代碼、基站號、基站經緯度坐標等)大致位置信息(如地區代碼等)禁止導出A2-信息C1-5:違規記錄數據用戶違規記錄，包括垃圾短信、騷擾電話等記錄、黑名單、灰名單等業務違規記錄，包括端口濫用、違規渠道、不良網站域名等記錄、黑名單、

灰名單等各類特殊名單采用測試號碼替代C2-1:終端設備標識唯一設備識別碼IMEI、設備MAC地址、SIM卡IMSI信息等等可以精確標識定位具體設備的信息IMEI第八位以后用*代替，或全部用*代替MAC48比特中后24位用*代替，或全部用*代替IMSI第11位以后用*代替，或全部用*代替SIM卡第13位以后用*代替，或全部用*代替C2-2:終端設備資料終端型號、品牌、廠商、OS類型、預置\安裝軟件應用、使用時長等根據具體業務需求通過標簽化實現

參考：運營商客戶信息的模糊化安全要求數據特性描述示例保持數據類型脫敏后的數據與原始數據類型一致，

數據類型包括但不限于字符串、數字、日期、時間。日期數據脫敏后仍為有效合法的日期類型保持數據格式脫敏后的數據需要符合原始數據的

編碼規則和類型。原手機號若脫敏后滿足手機號碼格式要求，若脫敏后為99988887777則不滿足手機號碼格式

要求保持數據間依存關系常見數據間依存關系包括但不限于：數據引用完整性，不同的數據間通

過敏感數據的相互引用產生關聯關

系

；數據之間沒有引用關系，但存在業

務邏輯上的依存關系。■數據引用完整性示例：比如詳單表與月賬單表都存在客戶標識，且這兩張表中的客戶標識

存在引用關系，那么這兩張表的客戶標識數據在脫敏后仍要存在引

用

關

系

；業務邏輯依存關系示例：客戶信息表中存儲居民身份證號、出生日期兩類業務數據，脫敏后

的身份證號碼與出生日期數據要保持業務一致。那么這兩類數據間

存在關聯關系。保持數據統計特征脫敏后數據，在業務所需的維度上

保持統計總體特征不變。員工工資表中包含工資收入信息，數據脫敏后仍要保持工資總和不

變保持數據頻率分布脫敏后的數據，在按業務所需劃分

的各組內保持數量不變。按年齡區間分組統計用戶數：20歲以下150人，20歲到30歲300人，30歲到40歲180人，40歲以上120人；數據脫敏后，仍舊保持各年齡段分組內人數不變保持數據唯一性不相同的數據脫敏后不會有同樣的

數據，相同的數據脫敏后一定相同。不同的身份證號碼脫敏后，不能生成相同的數據(身份證號碼),

相同的身份證脫敏后一定生成相同的數據(身份證號)

參考：模糊化數據的可分析要求算法描述適用數據類型重排跨行隨機互換原始敏感數據，打破原始敏感數據與本行其他數據關聯關系。通用關系映射原始敏感數據間存在業務關聯關系，需要在數據脫敏后仍舊保持這種關系。因此

在脫敏處理過程中，利用算法表達式對脫敏后的數據進行函數映射，使其脫敏后

仍舊保持業務關聯關系。通用偏移取整按照一定粒度進行偏移取整。日期、時間、數字散列對原始數據通過散列算法計算，使用計算后的散列值來代替原始數據。目前應用較多的散列算法是SHA-256等。通用加密通過加密密鑰和算法對原始數據進行加密，從而使敏感數據變成不可讀的密文。常見加密算法：3DES,RC2、RC4、IDEA、DSA、AES、PKCS等。通用格式保留算法(FPE)一種特殊的加密脫敏算法，對敏感數據進行加密脫敏，密文與原始數據保持格式

一致。通用常量替換使用常量偽裝數據對原始數據進行替換(偽裝數據生成與原始數據值無關)。通用隨機替換保持數據格式，按照特定原始數據的編碼規則重新生成一份新的數據。通用截斷截斷內容。通用掩碼對原始數據的部分內容用通用字符進行統一替換，從而使敏感數據僅保持部分內容公開。字符串標簽化按預定義類別進行分類，將使用類別標簽替換原始敏感數據。通用泛化用更一般的值取代原始數據，降低敏感數據精確度，達到無法識別個體的目的。通用參考：可用模糊化算法(平衡業務需求與安全性)其它數據安全類產品Alsosee:■Hype

Cycle

for

Privacy,2017·HypeCycle

for

Identityand

Access

ManagementTechnologies,2017·HypeCycle

for

Information

Governance

and

Master

Data

Management,2017·Hype

Cyclefor

Data

Management,2017Hype

Cycle

for

Enterprise

InformationManagement,2017GartnerInfonomies●DLPforEmail9

t

Dispersal

LInte-

r

l

r

l

i

urityDatabaseAuditand

ProtectionDmamic

Data

Masking

aaSFData

Loss

PreventionEnterprise

Key

ManagementCloudAooessSecunty

Brokers-FEnterprise

Digital

Rights

Managemen-CloudstorageGatewaysnooeEnenypttorage

SeSgeoattSoePerabstedpuroTsnAlgorithInformatimeYearsto

mainstream

adoption:Olessthan2years0

2to5years●

5to10years▲morethan10yearsFomat-Preserving

Encryption-Userand

Entity

BehaviorAnalytiosCloud

Data

Protection

GatewaysHypeCycleforData

Security,2017InnovationTriggerPeak

ofInflated

ExpectationsTrough

ofDisillusionmentSlopeofEnlightenmentexpectationsKMaas

0Ela

AnshsiData

ClassificationDevicesMutipartyComputingAsofJuly2017Plateau

ofProductivityobsolete?

before

plateauBlockchain

for

Data

Seountye

OData

Sanizaion

Database

Eneryptionm"HypeCycleforDataSecurity.2017*27July2017(G00314204)02015Gaer,reanrame6.AgntsresevedTokenization—Mobile

Data

Protection

for

Workstations—

Fraud

DetectionDataAocessGovemance1

背景概述2

防御思路3

防御方案4

參考借鑒目錄CONTENTS某部委數據安全建設方案用戶區

終端應用數據審計數

據分類

外部委數據

某部位內部數據

社會及互聯網數據數據泄漏檢測API網關數據泄漏檢測API網關數據脫敏數據服務…公開數據區磁盤加密電子政務外網VPC

指揮信息網VPC

接入前置數據目錄服務

數據檢索服務大數據安全審計內部數據區文件加密數據接入處理元數據服務敏感數據區

數據庫加密應用…應用數據審計云桌面

終端數據防泄漏數據

服務數據

存儲區互聯網

電子政務外網應用BAPI

網關業務區

數據區開發

測試區數據安全交換存儲隔

離測試

應用互聯網VPC數據

來源數據脫敏存儲-應用A隔

離

(中國移動)數據安全管控平臺規劃目標及演進思路口目前三地均未具有數據安全管控平臺，深圳中心(原)部署辦公終端DLP,

南方基地(原)部署生產終端DLP,北京未部署DLP手段，缺乏未

對數據全生命周期建立集中的管控手段。依照“統一策略和要

求，分布部署數據安全管控手段，保障全網IT領域數據安全”的思路，為了迎接兩部委關于數據安全的檢查，需對全網數據安全管控能力進行規劃和指導。按照短期、中期和長期目的三個階段穩步演進，最終構建IT領域數

據安全運營防護體系，保障數據安全可管、可控。階段工作內容做好數據安全的基礎防護，對數據安

全管控手段進行管理對目前已部署的數據脫敏和數據加密手段進行完善

和管理，建立敏感數據識別發現、定級機制。覆蓋數據周期關鍵節點的“實效化”管

控

能

力實現管控能力、運營組織、管理策略

“同步建設、閉環整合”建設架構

能力體系敏感數據分析引擎IT公

司

敏感數據采集管控組件數據管控策略敏感數據上傳

下發數據安全管控前置組件增強敏感數據流轉監控建立敏感數據存儲和流轉地圖，通過可視化技術展示平臺中的數據分布及數據訪問情況，及時感

知異常訪問行為并告警，確保異常行為可追蹤。統一數據安全策略制定加強與數據安全管控技術手段的聯動機制，

實現數據安全統一策略制定和下發。數據安全防護體系框架敏感數據琮義和分類數據加工安全規則

數據合規審核眼則

救據泄露應身流程IT公司數據安全管控平臺敏感數據全景視圖建設目標數據安全基礎防護能力合規化、標準化標準數據安全組件

基礎安全技術手段教能教據流

轉視脂數據源

敏球數據規則敏感數據標記語義分析引摩敏康數指淵源數腔庫5

網結準入控制

網結防泄密金庫手段

數居核二終端數據控制終演文件掃貓白然語義分析文檔加密

下數教據加密文檔訪問權限數據脫敏政據眥散規則

主機文件脫敏

數回庫脫敏

應用系統稅敏數

據

外

聯酸據訪問報備

網結流量采集

非法外聯比對

非法外聯整改輸出審核

數國市核標準

數據內容事核

數握大小審核

數據類型市核數據發現

敏感數據規則

服務備掃描

數據庫掃描

數據家引標記敏感數貓

數

據

安

全

視

圖

全銀視面數據安全

監控數據安全

管理數據安全

策略各基地、中心合作伙伴教據安

全運營23安

全

策

略

體

系安

全

運

營

體

系據

用

程

控數

使

流

管(中國移動)數據安全防護體系框架數據安全防護體系框架敏感數據流

轉視圖