基于IPDRR框架的矿山企业数据安全治理体系研究
时间：2024-01-10 来源：中国煤炭杂志官网 分享：★ 科技引领 ★
基于IPDRR框架的矿山企业数据安全治理体系研究
0 引言
当前，矿山企业利用云计算、大数据、人工智能、混合现实等新兴技术提供的强大动力，推动数字化、智能化技术与矿山业务的深度融合，有效提升了矿山企业生产效率和安全生产水平。但矿山企业转型升级的同时也带来了新的数据安全风险和挑战[1]。网络攻击者通过漏洞利用、防护绕过等手段侵入矿山企业内部网络，使得数据窃取或破坏安全的事件时有发生，网络安全整体形势愈发严峻。除了持续升级的外部数据安全威胁，日益严峻的内部数据安全风险也日益严重。随着比特币、暗网等增强级网络匿名技术的出现，以及数据贩卖黑灰色产业链的成熟，给企业内部人员利用数据非法牟取利益提供了更容易变现的途径，这种诱惑无疑会催生严重的内部安全风险，从而引发数据窃取、数据篡改、数据泄露等风险[2]。
矿山企业数据的安全至关重要，一旦发生数据泄漏、攻击窃取等安全事件，危害较大。因此，矿山企业做好数据安全建设工作意义重大，现阶段矿山企业均在积极探索数据安全保障措施，并不断完善数据安全机制和体系，但数据的多样性给相关工作带来巨大挑战。通过参考国内外数据安全框架及应用实践可以发现，数据安全建设是一个体系化的工程，需要对组织、流程、技术、人员进行综合考虑，结合矿山企业的业务特征和数据特点构建一套科学、合理的矿山数据安全治理体系十分必要[3-4]。
1 矿山企业数据安全存在的问题
数据能对矿山企业的决策质量、品牌影响、生产效能起决定性作用，已经成为矿山企业的重要资产。加强矿山企业数据安全建设是保障企业核心竞争力、顺利完成数字化转型必须重视的基本工作。基于矿山企业实际业务情况，目前矿山企业面临的数据安全主要问题如下。
1.1 数据安全管理体系不完善
矿山企业现有安全体系主要以信息安全组织架构为核心构建，体系架构上倾向等级保护，部分单位基于传统IT部门叠加通用安全的方式加以实现，然而并没有配套数据安全人员开展指定数据工作，更加缺乏围绕数据安全主体的组织架构、流程导入等体系搭建[5]。主要表现为如下几个方面。
(1)在组织架构与规范设计方面，没有完善的数据安全组织架构，相关工作基本原有管理/运维人员授命指定工作，工作内容职责不明确；缺少完善的管理规范、制度和流程，数据相关工作部署安排相对混乱。
(2)在数据分类分级规范设计方面，针对机构内数据分类分级工作，没有规范指导且不清楚分类分级的目标及作用，不同级别数据的安全策略缺失。
(3)在生命周期管理设计与导入方面，针对数据的各生命周期阶段或各处理活动，没有明确的管理要求或者原则，很难开展或指导日常管控工作。
1.2 数据安全技术防护手段缺失
矿山企业数据安全工作的落地在于管理流程和技术工具的管控。数据安全技术防护手段缺失主要表现为以下几个方面。
(1)面向海量数据的资产梳理与分类分级实施难度大，安全防护措施未能覆盖到重要数据资产。
(2)难以精确感知当前面临的数据安全风险点，虽然能够掌握单点或部分风险点的存在，但很难全面了解基于全生命周期的数据安全风险点。
(3)缺乏对各类风险进行监测审计的手段，如针对工控系统协议层面存在的恶意攻击、异常流量进行审计，对工控指令攻击和控制参数篡改进行实时监测和预警等。
(4)缺乏多维度的数据安全风险感知能力，即使对特权账号、访问权限、访问行为进行了监控审计，但都是单一维度，无法掌握全貌，导致风险感知不及时。
(5)审计节点多、日志量大且分散，人工分析处置难度高，风险感知能力缺失，无统一审计、风险分析和告警处置机制，敏感数据分布及流动情况不明，数据安全态势感知能力缺失。
1.3 数据安全运营机制尚不健全
数据驱动业务发展是数字经济时代的显著特征，顺应市场发展，企业业务在持续发生变化或调整，承载有任务的数据也在动态变化。与此同时，外部数据安全监管合规的要求也在不断变化，单纯依靠管理、技术构建相对静态的防护体系，无法及时跟进业务需求，存在安全策略设置滞后、数据资产不准确、防护不到位等问题。
2 矿山企业数据安全治理体系框架
通过分析《信息安全技术数据安全能力成熟度模型》(GB/T 37988-2019)、《信息安全技术 个人信息安全规范》(GB/T 35273-2020)、《信息安全技术 大数据安全管理指南》(GB/T 37973-2019)、《信息安全技术 网络数据处理安全要求》(GB/T 41479-2022)等数据安全相关标准及各行业最佳实践发现，数据安全治理体系构建需要从管理维度、技术维度、运营维度多方面开展[6-9]。
在管理方面，需要构建权责分明的数据安全管理制度体系。通过从企业内部选派一支由决策层、管理层、支撑层、监督层构成负责推动数据安全治理工作的团队，健全数据安全组织，推动矿山企业开展数据安全治理工作。同时，建立数据安全管理制度四级文件，最终形成“一级方针文件，二级制度规范文件，三级细则指引文件，四级表单、模板、记录文件”。在技术方面，需要基于组织人员架构和拟定的制度规范，选择和实施适宜的数据安全产品等技术手段。在运营方面，以组织业务安全需求和满足法律法规及行业标准为驱动力，建立一套规范化、流程化的数据安全运营工作办法。
通过系统性的研究和思考，为保障数据安全治理体系在矿山企业有效落地，笔者参考“IPDRR”提出适用于矿山企业实践落地的安全治理体系框架，该框架以技术保障为基础，以管理运营为抓手，以合法合规、安全可控、持续运营为目标，通过业务梳理(I)、安全防护(P)、风险发现(D)、监测审计(R)、安全恢复(R)5个基本步骤，推动矿山企业提升数据安全能力，促进矿山企业数据的使用、交换与共享，释放数据潜在价值[10]。
(1)“I(Identify)”指业务梳理，该阶段围绕管理维度及资产梳理开展，通过资产梳理掌握核心数据资产分布、数据责任确权、数据使用流向，使数据资产安全管理更为全面。
(2)“P(Protect)”指安全防护，针对数据采集、数据存储、数据传输、数据交换、数据应用、数据展示、数据销毁全生命周期流转过程构建全面安全防护能力。
(3)“D(Detect)”指风险发现，该阶段面向数据本身及其数据处理活动，围绕资产的重要程度、面临的安全威胁，从数据全生命周期维度进行考量。
(4)“R(Response)”指监测响应，数据安全防护工作是动态稳定的，需要结合当下需求不断变化，因此需要构建针对数据访问全链路的动态监测响应能力，并实时监控运行情况和执行效果，不断进行策略调优。
(5)“R(Recovery)”指安全恢复，在重大安全事件发生后，为最大限度降低事件对企业生产经营的影响，对数据进行备份恢复，消除攻击过程中残留的恶意脚本、僵尸主机，对安全事件进行闭环处置，并有效防范后续的攻击过程。
3 矿山企业数据安全治理体系构建
矿山企业数据安全治理体系构建的首要工作是业务梳理，快速有效掌握企业生产经营重要数据的分布和访问权限现状，评估风险制定分类分级应对策略，有的放矢也完善数据全生命周期安全防护体系。其次，针对数据访问全链路进行动态监测，为各类安全事件提供全方位预警处置和应急响应，有效对抗恶意软件等安全攻击，协助企业短时高效恢复系统的正常运行，并支撑数据安全策略的持续优化，完成“事前安全风险管理+事中智能威胁感知+事后快速应急响应”三道防线的构筑工作。数据安全治理体系架构如图1所示。
图1 数据安全治理体系
3.1 业务梳理(I)
业务梳理阶段首先应该制定数据安全管理要求，建立全面的数据安全管理制度，同时作为后续数据安全技术体系建设的指引和基础。数据安全管理制度包括总体方针政策、安全管控策略、操作步骤与指南以及支撑表单与模版，从上到下逐步细化。
其次，对矿山企业目标环境中的数据资产进行全面清查、摸排后，在矿山企业满足国家法律法规及行业主管部门有关规定的基础上，需要充分结合实际业务需求，根据矿山企业工业生产数据的类型、敏感程度等差异，划分不同的数据安全层级；保证数据定级规则具备可执行性，避免过于复杂导致难落地；可以灵活地对各类数据安全级别设置有效期限，矿山企业在实际应用过程中，可对不用数据级别的数据及时调整。数据分类分级如图2所示。
图2 数据分类分级
在定级时，可结合《数据分类分级管理办法(试行)》《工业数据分类分级指南(试行)》等行业规范，结合数据影响对象、影响程度定义数据，最终形成树形分类层次结构，并为最低一级的数据子类逐一分配安全级别。
3.2 安全防护(P)
安全防护阶段应以矿山企业大数据应用中心为核心，围绕数据生命周期流转过程建设整体化数据安全防护能力，包括数据采集安全、数据传输安全、数据存储安全、数据交换安全、数据应用安全、数据展示安全、数据销毁安全等。
3.2.1 数据采集安全
目前矿山企业通过物联网采集到海量的监测监控、生产过程等数据，上传到各企业建设的不同业务系统中，需要在满足数据采集的必要性原则和最小化原则的前提下，采用业务数据关联分析、流量分析等手段进行监测，识别各系统数据流量中的敏感数据内容，分析是否存在超范围收集数据以及系统自动化决策等风险。
3.2.2 数据传输安全
当前矿山企业建立的智能化综合管控平台，接入了掘进、开采、主运输等各类生产子系统，监测监控、视频识别、人员定位等各类安全子系统，基础信息、人力资源等各类管理子系统。各系统通过监测感知类工业环网、视频监控和工控类工业环网进行数据传输，在传输链路中需要加强采掘业务、安监业务、机电业务、调度业务、运输业务、选煤业务等各类场景的传输保护，保障重要数据传输安全。
3.2.3 数据存储安全
需加强矿山企业大数据平台通过关系型数据库、分布式数据库、分布式文件系统、时序数据库搭建的“混搭式”数据湖存储介质、存储区域、数据加解密、备份恢复等能力建设，重点防范数据库内部出现DBA越权访问、数据拖库等情况而导致的数据泄密事故。
3.2.4 数据交换安全
对各类数据访问场景、运维管理、开发测试、数据共享场景、数据接口联动等场景部署不同的数据安全能力。
(1)数据访问场景。当前矿山企业在进行智能化建设的过程中，基本实现基于角色到用户、从系统到功能模块等访问权限的统一认证能力，但对各类重要数据缺乏访问控制能力，应该依据数据的安全级别，对业务数据进行细粒度访问控制，防止数据越权/非授权访问和利用数据库漏洞发起的攻击行为。具体实现时，采用“零信任”理念，在整个访问流程中，要求只有通过SDP方式安全访问，确保只有可信用户、合规的终端可以访问业务环境；非注册可信终端无法通过身份认证，无法连接到SDP网关，对其不开放任何端口和网络权限。
同时，采用动态授权策略，而非一次认证通过即加入白名单。除了初始阶段要验证终端的身份、用户的身份外，还应该持续监控访问的上下文，例如终端状态是否安全，以及用户访问行为是否有异常，来综合评估访问持续可信度，当发现异常时系统会执行授权降级，比如发起二次认证，需要用户提供更强的身份证明以表明其可信程度，或者不允许访问，提示终端环境不安全，需要按照组织安全合规要求处理后才可继续访问业务资源。
(2)数据共享场景[11]。以矿山企业业务系统数据共享为例，地质勘探数据、巷道掘进数据、开拓开采数据、主辅运输数据、通风排水数据以及供水供电数据均需要进行跨业务系统的对外数据共享、分析决策与智能联动控制，需要结合矿山企业数据安全分级，建立相应的数据共享安全策略，明确数据共享范围的内容和数据共享的有效控制机制；建立安全共享的交换区域，综合采用数据脱敏、安全多方计算、同态加密、数据加密、安全通道等措施，确保矿山数据在对外共享场景中的安全合规，并对共享进行监控审计。
(3)数据接口流转场景。当前矿山企业为实现各类生产、安全业务系统的数据共享和智能联动控制，提供多种数据服务、通讯协议和接口，能够从各类传感器、系统模块中获取数据，并能够通过开放接口向各种应用提供数据，能够从各种服务系统、应用系统和控制端获取命令，并能自动转发和执行命令。因此，在建设数据接口安全能力时，需明确对外提供业务信息系统的接口范围，根据最小授权原则，进行身份鉴别和访问控制。同时，提供接口访问审计、安全通道、加密等安全能力。
3.2.5 数据应用安全
矿山企业数据应用场景较多，既有常见的结构化数据应用场景，也有采掘工作面视频识别、人员违章行为视频识别、胶带跑偏撕裂视频识别等非结构化数据应用场景。数据应用安全应区分结构化与非结构化数据，做好数据加密处理、数据动态与静态脱敏处理以及数据溯源等工作，保障数据分布式处理与数据分析等业务安全、稳定运行。
3.2.6 数据展示安全
以矿山企业大数据平台中常见的安全数据分析模块为例，模块从不同维度对安全生产数据进行深度关联分析，实现对矿山各类安全生产、调度管理等信息的综合展示，需进行保密性和完整性的验证，针对涉及敏感、个人隐私的数据，在展示前进行脱敏处理(把涉及核心机密技术的内容去掉)，以保障用户关键信息不泄露，同时防止数据篡改导致信息、事件等内容误判，提高管理效能，避免决策失误。
3.2.7 数据销毁安全
加强对涉外数据、敏感数据销毁过程的监督控制，关注数据销毁阶段所涉及的介质销毁安全管理等内容，对用户访问归档类数据进行权限控制，在数据整体迁移过程中，杜绝数据残留。
同时安全防护阶段需要建立集中化、联动化的安全防护平台，将数据安全生命周期需要建设的数据安全能力进行有效串联，数据安全管理模块作为整个IT系统的大脑，对整个网络的威胁、日志持续监控，针对内外部态势数据、评估数据、情报数据，利用大数据分析系统对事件进行快速分析，当发现敏感数据泄漏风险、黑客入侵风险、数据篡改风险、越权访问风险等数据安全风险时，智能判断风险发生的位置、路径、方式等，从而快速向风险发生最近的或最直接的安全防御系统发出指令，安全防御系统根据指令调整安全策略，对链路、会话、行为等做出警告并阻断操作，实现自动化的响应能力。
3.3 风险发现(D)
在业务梳理阶段，矿山企业已经可以清晰的获悉当前重要数据资产分布、数据分类分级情况，需要进一步开展“风险发现”工作，全面获悉数据安全风险情况，为矿山企业制定有针对性的改进措施提供支持。
本阶段应着重分析数据被未经授权的访问、控制、处理所产生的风险，基于合法路径、合法行为的非法攻击风险，以及数据被泄露、窃取、篡改、滥用的风险，需要全面评估矿山企业现有环境数据管理能力、数据安全能力、数据安全防护能力等，并形成全面数据安全风险评估报告。
同时应在矿山智能化新业务系统上线、数据迁移以及数据出境、数据开放等重大操作行为涉及第三方管理的情况下启动数据安全评估工作，分析可能存在的风险、造成的问题和影响等，并形成相应的数据安全专项评估报告[12]。
3.4 监测响应(R)
监测响应的对象多为企业重要、敏感数据，以矿山企业经营管理平台为例，平台汇聚涉及企业战略决策、生产经营的各类核心关键数据，如煤矿采煤机、液压支架各类工作参数等生产数据，露天矿山边坡状况等各类环境数据。同时应重点监测与经营管理平台重要数据相关的行为或动作，高效识别出勒索加密与非授权访问、敏感数据访问等异常访问行为，尤其是经营管理平台中各类业务子系统的API接口调用，要进行API敏感信息监测、API鉴权及差异控制，做好事中危险感知工作。
安全事件包括系统本身监视发现的告警和来自上级或外单位的协助请求。以矿山企业智能化综合管控平台为例进行说明。
平台部署的IDS、IPS、WAF等设备从网络会话、业务应用中基于特征规则匹配进行统一分析，实时进行威胁检测数据的采集分析，实现已知威胁检测。如果平台经安全分析后发现重要数据未加密的安全漏洞，会自动触发告警，并同步创建安全事件。当平台安全管理员接收到安全事件后迅速展开排查等应急响应动作，判断该安全漏洞是否需要处理、需要由谁处理，并派发至漏洞所在分业务系统，由相关业务系统负责人、业务人员、安全管理人员及系统研发人员研判处理安全事件。
以上为平台安全管理员进行的人工响应，矿山企业还可运用SOAR技术实现安全事件自动响应，从而形成人工与自动相结合的处置模式。通过可视化编排将人、安全技术、流程进行深度融合，构建安全事件处置的工作流，自动化触发不同安全设备执行响应动作。由于自动响应对安全事件上下文有更全面、端到端的理解，有助于将复杂的事件响应过程和任务转换为一致的、可重复的、可度量的有效工作流，能够变被动应急响应为自动化持续响应。自动化响应处置流程如图3所示。
图3 自动化响应处置流程
3.5 安全恢复(R)
实现整体的数据安全建设是一个长期的过程，需要矿山企业持续性地落实数据安全相关制度和流程，并基于矿山企业的业务变化和技术发展不断调整和优化。矿山企业在完成管理体系、技术体系建设后，需要引入持续动态调整的安全恢复机制。
当安全事件发生后，采用智能损害评估与自动化恢复技术，快速定位被攻击破坏的数据与最新备份的版本，通过虚拟备份镜像挂载技术实现分钟级恢复，缩短攻击后所需的恢复时间，消除攻击过程中残留的恶意脚本，实现事后快速响应恢复。此外，根据安全事件研判处理结果，矿山企业应定期针对防火墙、IPS、防火墙、WAF等设备策略配置巡检及优化，配置适用于内部安全运行的防护策略，全面提升边界、网络、应用安全防护强度，进一步保障智能化平台安全稳定运行。
4 结语
矿山企业数据具备体量大、价值高、种类繁多等特征，其数据安全治理过程是一项复杂且漫长的过程。本文依据“IPDRR”方法论，从技术和管理2个方面构建标准、高效的治理体系，能够以统一范式帮助矿山企业降低数据安全运营成本，让数据发挥更大价值。通过数据安全治理体系的构建与相应措施落地，矿山企业数据的使用和保障将会逐渐成熟和高效，推动矿山企业在数字化新生态中稳步快速前进。
[1] 王康,王晓慧.国内数据安全研究热点与前沿分析[J].新世纪图书馆,2018(9):88-91.
[2] 王世伟.论大数据时代信息安全的新特点与新要求[J].图书情报工作,2016(6):136.
[3] 杨琳,高洪美,宋俊典,等.大数据环境下的数据治理框架研究及应用[J].计算机应用与软件,2017(4):65-69.
[4] 王欣亮,任弢,刘飞.基于精准治理的大数据安全治理体系创新[J].中国行政管理,2019(12):121-126.
[5] 张莉.数据治理与数据安全[M].北京:人民邮电出版社,2019.
[6] 全国信息安全标准化技术委员会.信息安全技术数据安全能力成熟度模型:GB/T 37988-2019[S].北京:中国标准出版社,2019:5-9.
[7] 全国信息安全标准化技术委员会.信息安全技术个人信息安全规范:GB/T 35273-2020[S].北京:中国标准出版社,2020:5-6.
[8] 全国信息安全标准化技术委员会.信息安全技术大数据安全管理指南:GB/T37973-2019[S].北京:中国标准出版社,2019:8.
[9] 全国信息安全标准化技术委员会.信息安全技术网络数据处理安全要求:GB/T 41479-2022[S].北京:中国标准出版社,2022:6-8.
[10] 杨子怡,李璇.基于ATT&CK的工控系统网络安全防护强化研究[J].工业信息安全,2023(1):18-26.
[11] 盛小平,郭道胜.科学数据开放共享中的数据安全治理研究[J].图书情报工作,2020,64(22): 25-36.
[12] 牛春华,吴艳艳,刘红兵.公共安全数据管理能力成熟度模型构建[J]. 图书与情报,2019(4): 22-28.
Research on data security governance system for mine enterprises based on IPDRR framework
移动扫码阅读
ZHANG Dongyang. Research on data security governance system for mine enterprises based on IPDRR framework[J].China Coal，2023，49(11)：80-86.DOI：10.19880/j.cnki.ccm.2023.11.011
- 相关推荐
