2020年網絡數據安全合規性評估入選優秀案例系列展示之六 浙江移動大數據業務安全評估優秀案例丨安全助力數字化服務創新

　　數字經濟是新興技術和先進生產力的代表，把握數字經濟發展大勢，以信息化培育新動能，用新動能推動新發展，助力政府“最多跑一次”改革，協助公安部門開展通信詐騙防范，承擔社會責任，是運營商的職責所在。

　　浙江移動已經率先開展大數據業務應用實踐，主要分為內部應用和外部應用。內部主要應用在網絡運維優化、市場競爭支撐、運營管理提升等場景。外部應用范圍較廣，根據國家相關部門在健康醫療、交通旅游服務、氣象、農業農村、國土資源等領域出臺的大數據發展文件，常見應用模式包括：統計報告、身份識別、客流分析等。

　　為綜合防范大數據業務安全風險、保護用戶個人隱私、保障公司業務健康發展，根據國家相關法律法規、電信主管部門及相關標準規范要求，對標工信部下發的《基礎電信企業數據安全合規性評估要點》，浙江移動制定出一套適用于自身特點的大數據業務安全評估管理機制與方法，對業務運營中可能引發的各類數據安全風險進行分析評估，并明確管理要求和安全管控技術措施。

　　浙江移動大數據業務開展需要遵循五項基本原則，即：數據不出門原則;數據脫敏原則;個人信息授權原則;信息最小化原則;保密協議簽署原則。同時建立大數據業務安全評估體系，包括評估準備、組織實施、評估總結、風險整改與復核、評估結果報備五個環節。堅持“責任明確、授權合理、流程規范、技管結合”的方針，按照“誰主管，誰負責;誰運營，誰負責;誰使用，誰負責;誰接入，誰負責”的原則，兼顧發展與安全，堅持發展與管理并重，充分發揮管理與技術的先進性優勢，嚴格落實數據安全評估的各項工作，保障大數據業務安全。

　　圖一：敏感數據分類分級示意圖

　　落實《網絡安全法》和電信主管部門要求， 按照大數據的類別屬性、重要及敏感程度、使用目的等，對大數據進行分類分級。利用敏感數據存儲檢測平臺，對目前存儲在大數據組件(Hive、Hbase等)和MPP數據庫(Gbase等)、以及關系型數據(teradata、oracle、pg等)中的海量數據進行敏感數據的識別與定位，對敏感數據標簽化，實現敏感數據的分類分級呈現。通過對敏感數據的類型和屬性分析、抽象出細粒度敏感數據關鍵字和元素。

　　圖二： 大數據業務安全評估流程

　　嚴格落實數據對外使用過程中的合規評估，將大數據業務納入互聯網新技術新業務安全評估管理范圍。明確大數據業務開展之前需要開展兩輪安全評估，第一輪評估由業務責任部門負責開展，第二輪評估由法務、業務、安全管理部門共同建立評估組，并配套建設了大數據業務上線前數據安全合規評估線上電子流程，有效改善數據安全評估過程中的跨部門協作，大幅提升協作效率，固化流程，確保數據分析挖掘與對外開放的安全風險可控。

　　在大數據業務通過安全評估上線后，為了實時監管數據庫訪問情況，及時阻止違規操作，浙江移動還建設了數據安全網關，對數據調用情況進行記錄及審計。已經建設服務管理層、服務提供層與安全管理層等模塊， 重點增強敏感數據識別、數據訪問脫敏處理、安全審計與安全控制能力等。數據安全網關提供了包括黑白名單管控(IP地址)、密鑰配置、算法配置、規則配置等功能，還可以針對API配置的內容提供豐富的支持。

　　圖三：數據安全網關管控流程

　　制定安全審計細則，包括操作審計、開發審計及輸出審計三個方面。

　　一是操作審計，對客戶合作人員的日常運維操作日志進行審計，防止在系統中違規操作或者預留后門程序。二是開發審計，對客戶程序發布上線進行審計，防止程序漏洞或把高價值數據隱藏為低價值數據輸出。三是輸出審計，對輸出的數據進行審計，防止輸出數據與申請數據不一致，預防數據資產流失，保障數據價值。

　　安全是賦能業務穩定運行、企業可持續發展的必要前提。浙江移動自上而下推動大數據業務安全管理體系建設和管控手段落地，各部門聯合作戰，實現大數據業務的全生命周期安全保障;深化大數據在各行業創新應用，促進大數據產業健康發展，助推公司數字化轉型升級，助力數字化服務創新發展。

　　聲明：本文來自人民郵電報，版權歸作者所有。文章內容僅代表作者獨立觀點，不代表萬方安全立場，轉載目的在于傳遞更多信息。如有侵權，請聯系刪除。