作者：王振東

來源：綠盟科技?戰略規劃部?

摘要

數據中臺是大數據業務體系數據規約化建設的核心場景，數據中臺既搭建大量數據歸集的相關設施，又針對數據開展大量治理、運維、分析、加工、共享、開放等交互事務，數據暴露面、人員接觸面、數據流程等風險契機陡增。全方位全場景的中臺安全體系建設，既是數據中臺數據安全的保障，也是未來涵蓋政府、企業等各行業大數據體系建設中安全保障的立足點。

關鍵詞：數據中臺、業務中臺、數據倉庫、數據湖區、數據集市、數據業務化

1

為何要構建數據中臺安全

在我國乃至全球范圍內的數字化社會轉型大潮的今天，中臺的建設在業務需求上和技術支撐上已經成為當下的主流。其中數據作為數字化的核心價值資產，相應地，數據中臺同樣也是中臺體系的核心支柱。基于業務和安全相輔相生的真實現狀訴求來考量，以中臺建設為業務背景的安全配套也是必不可少的，所以數據中臺的安全或者中臺的數據安全建設已經逐漸成為數字化轉型大形勢下的安全趨勢之一。

中臺的數據安全體系該如何構建？數據安全聚焦數據和場景，那么中臺的數據安全聚焦的則是在數據中臺的應用場景和業務邏輯下數據的安全保障體系的構建。因此，我們從數據中臺的業務邏輯來開啟建設思路的探討，共同找尋數據中臺中數據和安全的結合點。

1.1數據中臺通用業務邏輯

圖 1.1 ?數據中臺通用業務邏輯

顧名思義，數據中臺是聚焦在數據層面來提供“中臺”能力的這樣一個架構體系，但這個架構并非完全靜態化的，除靜態部署的相關設施和組件，數據中臺體系是承接業務數據化和數據業務化的中心樞紐，其中除數據本身以外，承載的也是支撐業務運行和更新迭代的數據流轉過程。當前數字化轉型大潮下的數據安全更多圍繞的正是數據動態流轉的安全，所以關注數據中臺業務邏輯，是因為“以數據中臺價值為目標的建設過程和場景應用”才是安全建設防護的核心對象。

本質上數據中臺和業務中臺是緊密關聯的，數據中臺提供“數據業務化”的支撐給業務中臺，業務中臺提供“業務數據化”反哺給數據中臺，相互促進優化。從數據安全防護的聚焦點出發，充分保障數據中臺的數據、數據環境以及數據應用模式的安全，業務中臺的數據安全也能夠隨之得到有效支撐。

1.2數據中臺安全關注點

數字化轉型新形勢下的數據安全重點聚焦的是數據的動態流轉安全，但在充分考慮體系化建設和防護效果的基礎上，數據中臺的安全防護對象應涵蓋了數據中臺建設和應用過程中的所有相關對象，如基礎設施安全、運維過程安全、數據處理安全、數據應用安全以及數據價值兌現（數據交易）的過程安全。

接下來我們將從這些關注點逐步剖析數據中臺業務過程中的安全風險和訴求。

2

數據中臺常見風險識別

2.1基礎設施

數據中臺體系的建設，關鍵動作是對歸集數據的統一治理，歸集數據則來源于相關業務方數據在中心庫的匯聚，匯聚的支撐則需要構建相應的設施以承載歸集數據和治理數據的存儲。

數據湖區是結構化數據、半結構化數據、非結構化數據的異構共存區域，故中心庫集群通常基于各種開源組件架構的大數據平臺，但仍存在關系型數據庫、文件存儲服務器等設施共存的可能，甚至在一些特定行業領域會應用各種多媒體存儲設施。此外，存儲服務宿主的服務器、運維管理的主機等設施也是不可少的。由此可見，相關設施作為安全防護需考量的對象，其自身安全性、數據導入導出安全、傳輸通道和過程可靠性等，均需要全面考慮如漏洞、弱口令、主機木馬、病毒、拖庫、撞庫等安全風險。

2.2數據運維

數據進入湖區，經過治理后形成各種主題庫/專題庫的數據倉庫，針對數據湖區、數據倉庫中存放數據的日常運維，數據治理過程的編目、梳理等服務介入，大量數據訪問行為和數據共享開放的業務需求場景中，因業務的需要致使數據治理、維護在得到人工服務推進的同時也存在著數據暴露面放大、人員接觸面增多的變化，給人員提供了大量獲取數據便利的同時，也埋下了大量安全風險隱患。

數據治理是提升數據質量和價值的必經之路，但是如果完全因業務需要而驅動數據以明文暴露式的流動是有極大風險的，所以針對不同人員、不同級別/類別的數據，應用必要的安全措施也是必不可少的。

2.3數據處理及應用

數據在治理、BI分析、開發測試、應用到人工智能、機器學習等使用過程中，數據的流轉是否合理，是否在有效權限下被使用，是否被有效監控和檢測等，這些場景中很可能在用戶尚未知曉數據安全風險發生時，大量敏感數據已經外泄，甚至重要數據被篡改后仍在被使用。

所以在數據的處理和應用過程中，每個場景下對數據的訪問行為以及數據流轉的去向都需要充分監控起來，因為從當前已公開的數據泄漏事件原因調查分析的統計結果看，超八成的事件是源于內部或內外勾結方式造成的，由此現狀呈現出的是大量數據訪問的不軌意圖和數據異常流轉都是在合法合理權限范圍內執行新的風險特征。所以，讓數據的訪問和流轉以零信任視角被全天候全方位監控是十分必要的。

此外，數據風險發生后才被發現再去溯源定位是難以滿足數據安全訴求的，因為數據已經泄漏，而泄漏出去的數據將會面臨無限擴散和肆意非法利用且不可回收的局面，所以對于事中的感知乃至事前的預判和預防都是針對數據中臺的安全建設需要重點考慮的。

2.4數據業務化

鑒于數據中臺和業務中臺在實際建設中的緊密關聯性，數據中臺對業務中臺的業務支持以及業務前臺對數據+業務雙中臺的依賴決定了上述對象之間都是不能割裂開來做安全防護的。因為數據中臺形成的數據集市最終是要把數據給到業務中臺，給到業務前臺，所以從數據流轉路線看，安全的防護范圍中應涵蓋到承載大量業務應用的業務前臺。

業務前臺往往因其應用方式的多樣化，可能涵蓋了門戶網站，定制業務的集成接口服務，應用程序或是數據開放環境等設施對象。中臺體系、業務應用、基礎設施等作為一個整體，安全建設應充分考慮整體策略一致性的保證和“木桶效應”的規避，因此針對業務前臺中不同的對象應有對應的安全機制、原則、技術手段和統一的策略，以防止業務前臺中的對象成為被攻擊的目標，并以此為入口拖走數據。

3

數據中臺下安全體系的構建思路

3.1數據安全建設思路

數據中臺下數據安全建設是一個體系化的大工程，應該充分考慮以數據生命周期為主線的各階段安全過程并分層分步驟規劃目標和路徑。參考國際權威理論指引可見，Gartner的DCAP，NIST CSF的IPDRR，以及真實場景的實踐反饋，數據安全最基礎的一環就是摸清家底——數據資產的盤點和管理。得益于數據中臺搭建中的數據治理過程，基于數據的層層標準化治理和分類分級，安全建設已經站上了較高的臺階，更多需要聚焦的是敏感數據訪問和針對敏感數據防護應如何制定安全策略。

另外數據安全的建設需要梳理清楚一個邏輯：數據安全的建設是否完全基于數據治理的基礎，另行搭建數據層面的安全措施？還是先設置安全保障基礎后才能開始治理數據？

對于安全和業務不建議強行劃分先后，尤其數據的業務和安全是構建相互平衡的體系，讓安全為數據業務保駕護航，讓數據業務充分發展，充分兌現數據價值。

綜上所述，數據中臺的數據安全體系構建中，敏感數據的安全管理能力是貫穿支撐整個中臺體系建設過程安全和所有應用場景安全的基座與支柱。無論是針對數據庫、大數據平臺等基礎設施的防護，還是數據運維場景、BI分析、數據處理訪問的風險控制，精確到數據層面的權限策略和相應措施，都是把數據安全做到位、做徹底的關鍵。

下面我們一起來看一下在數據中臺下搭建數據安全體系時如何落實這一理念和思路。

3.2數據安全構建路線

數據中臺安全體系架構

結合我們前文提到的理念和數據中臺業務邏輯中識別的風險及防護對象，數據安全體系建設思路如上架構圖所示：

敏感數據資產化的管理能力，是貫穿始終的核心和關鍵，“發現識別->分類分級->權限策略”和IPDRR架構的“Identification”理念高度契合。同時可視化技術也是資產化管理的有效手段，為整個體系的安全目標打好數據資產可見、可管、可控的扎實基礎。

結合數據中臺業務邏輯的風險識別分析，我們也把能力架構拆分響應，先從基礎設施的防護做起，基礎設施/組件的漏洞發現、配置核查，基礎數據庫的防護，服務主機終端的加固防泄漏，傳輸安全等能力來保障基礎環境和設施的安全。

依據數據中臺的建設邏輯，數據的運維層面，我們結合敏感數據管理策略，應用運維堡壘機、脫敏、加密、水印等技術保障簡單業務場景下的數據安全訪問，并沉淀可審計、可追溯的能力基礎——日志和水印。

數據被分析、處理、應用的場景下，面對在BI分析過程中、在數據開發測試中、在應用到人工智能、機器學習等使用過程中，數據的流轉是否合理，是否在有效權限下被使用，是否被有效監控、檢測等需求和痛點問題時，因場景的復雜多元，安全也需要更多的數據、更智能的技術、更多維的視角來支撐。

數據中臺安全體系中通過探針、終端、邊界的能力聯動，針對應用系統日志、安全審計日志、數據訪問和流轉的流量日志等安全大數據的采集和建倉形成支撐解決問題和風險的核心基座。基于敏感數據權限策略貫穿牽引和全場景零信任的權限管控，通過UEBA、NTA等技術支撐多維數據分析、多環節數據關聯、多路徑行為監控能力的應用，有效實現敏感數據異常流轉感知、敏感數據訪問行為識別和監控。多源采集數據同樣支撐著對已發生數據安全風險事件的追溯定位和風險預警后的處置決策，采集數據的分析充分和運營能力結合，融合SOAR的自適應編排響應處置能力快速實現風險閉環。

此外，前文我們提到，數據中臺安全的邊界是要延展到業務前臺的，針對Web應用的防護和防篡改，集成接口服務的接口流量監控檢測，開發測試環境主機自身及應用的終端防泄漏，數據開放的風險控制，ISV的終端和網絡邊界防泄漏等能力響應都是數據中臺下數據安全體系中不可缺少的。

最后回歸到安全建設的效果保障上，技術和策略的應用是需要不斷稽核、校正和優化的，所以數據場景的咨詢評估、數據運營、數據安全運營等服務在數據安全領域都是必不可少的，無論對象是數據中臺還是數據平臺。安全運營是充分發揮產品能力價值和持續保障安全效果的最直接有效的手段，同樣也是提升產品能力和智能化程度的有效指引。

4

總結

除了前面已經提到的“Identification”，我們從基礎設施安全、數據運維安全、數據服務安全在數據中臺的安全體系中來看，契合的剛好是IPDRR的“Protection”，而數據處理及應用安全更多體現的是“Detection”，同時結合運營服務剛好完整閉合了“Response”這一環。

另外，在數字化和人工智能時代，傳統安全的防護能力并不會因大數據創新應用的普及化就過時了。因為在數據的全生命周期安全為目標的發展路線上，敏感數據的資產化管理穿針引線，貫穿整個體系架構中的每一層每一環，既能深入到讓數據庫的防護也踏踏實實落到數據層面的字段粒度乃至內容粒度，也廣泛覆蓋到數據的處理場景安全、使用場景安全、應用場景安全等點到面的拉通，每一種安全能力都各司其職守衛一方并互聯互通。

往期推薦

一則有趣的機場廣告

微軟云打印將直接與 OneDrive 集成等

這個數據倉庫，竟然把淘寶和京東干翻了。。

被 AI?算法“監控”的打工人

點分享

點收藏

點點贊

點在看

總結

以上是生活随笔為你收集整理的浅谈数据中台安全体系构建思路的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。