從傳統數據脫敏技術看《數據安全法》實施的挑戰
責編：gltian ｜2021-08-27 11:43:00本文作者：徐曉麗
隨著高級威脅攻擊的常態化，數據泄露和竊取已成為成功攻擊的判斷依據。從官宣“數據成為第五生產要素加快培育數據要素市場”到《數據安全法》的發布，數據安全的重要性成為不爭的事實。傳統的數據安全技術在《數據安全法》實施后會面臨哪些挑戰呢？
在最近一次數據安全產品發布會的訪談中，神州數碼云業務集團安全技術總監徐元明針對傳統數據脫敏技術在數字化轉型中面臨的挑戰中提到：早期的數據脫敏是將數據中的敏感信息從A變形到B，實現對敏感隱私數據的可靠保護，在數據安全上要求較高的大型企業通常會購買一些數據脫敏工具，或者是使用數據庫的腳本對數據進行脫敏處理，但是數字化轉型后，整個數據脫敏的業務模式存在很多問題，主要表現在以下三個方面：
（一）數據安全合規問題，也是最關鍵的問題。
傳統的數據脫敏工具只有工具的使用人員知道自己做了什么，但對于數據從產生到銷毀整個過程的可視化不足，單一的工具不能解決數據安全合規的問題。
（二）傳統脫敏技術的質量不能滿足新智能場景化的需求
傳統的脫敏技術把敏感信息去掉可以實現數據脫敏的結果，但如果需要將脫敏數據應用于開發測試、大數據分析、數據挖掘、BI、培訓、科研等場景的話，對脫敏數據的質量以及數據的關聯性提出更高的要求。
（三）業務流程一體化的問題
數字化轉型環境下企業數字業務的復雜性在增加，數據安全不是只從合規管控的方面解決有和無的問題。更多需要將整個的數據脫敏業務，融入企業的整個IT架構管理體系里，單一的數據安全技術需要與用戶權限對接、調度對接、流程對接、密碼管理系統對接等，實現數據安全管理的自動化、智能化和一體化。
徐元明在數據脫敏技術發展中提到的問題，引起我們對傳統數據安全技術面臨的數字化轉型挑戰的思考。
供應市場和政策驅動的新需求
2021版的安全?！吨袊W絡安全行業全景圖》，新版全景圖中數據安全的細分子類從2020年的8類擴展到10類，去掉了勒索軟件防護和數據平臺安全，新增了數據庫安全、保密檢查、數據安全評估、數據安全管控平臺4個二級子類。
圖 1 2021中國網絡安全行業全景圖中的數據安全子類
政策驅動方面，6月份頒布的《中華人民共和國數據安全法》作為數據安全的最高綱領明確了數據處理的七個階段，并從管理制度、保護義務和國家重要核心數據安全方面明確了監管職責。其中，數據安全保護義務中要求在網絡安全等級保護制度（訪問控制、數據加密和審計）的基礎上，增加了下述數據安全保護義務：
- 依法建立健全全流程數據安全管理制度，組織開展數據安全教育培訓，采取相應的技術措施和其他必要措施，保障數據安全；
- 數據處理活動中應加強風險監測，具備相應的安全補救措施和應急處置措施，并按照規定及時告知用戶并向有關主管部門報告；
- 按照規定對其數據處理活動定期開展風險評估，并向有關主管部門報送風險評估報告。
從市場發展和政策要求中看出，除了數據防護和審計，基于治理的數據安全評估和基于合規的全流程數據安全監管已成為法律監管的新要求。
圖 2數據安全保護的義務
《數據安全法》的數據處理活動包括數據收集、存儲、使用、加工、傳輸、提供、公開七大環節，在等保2.0的數據安全基本要求（審計、訪問控制加密）及場景化要求（云、大、物、移）基礎上又擴展了數據全生命周期管理的要求，企業不僅要分類分級識別重要數據，還要能監控數據的來源和去向、對數據進行確權。然而，后數字化時代企業的數據流是無邊界的，全生命周期的數據監管給企業數據安全合規帶來了另一個新的挑戰。
圖 3全流程數據監管
數字化轉型驅動傳統數據安全防護產品變革
傳統的數據安全防護產品多應用于金融、生產等傳統行業的數據加密、脫敏及防篡改。但在數字化轉型和新型基礎設施建設的變革中，數據防護產品與所有的傳統安全設施一樣正在面臨著場景化變革的挑戰。云計算、大數據、物聯網、5G、人工智的場景對數據性能和精細化處理的要求遠遠高于傳統數據中心，純靠堆設備的方式已經不能滿足新場景中數據處理的復雜度和時效性要求。比如，政務、稅務希望調取自然人實體或企業的數據為貸款計算依據，數據在多方共享中如何同時保證數據計算過程中的隱私性和可用性？傳統防護產品只有適配于新的環境，并用新的算法和算力才能解決新場景、全流程的數據安全問題。
數據安全相關政策和依據
數據安全法需要由工業、電信、交通、金融、自然資源、衛生健康、教育、科技等主管部門承擔各自行業、領域數據安全的監管職責，并通過相關行業標準自上而下落實。從圖 4統計數據中可以看出，數據處理安全規范、管理、評估的相關依據整體來看才剛剛起步，還在逐步完善。
圖 4數據安全相關政策和依據
數據安全服務的挑戰
除了安全防護能力，數據安全體制的建設、數據安全認證、檢測評估、數據安全運維、數據泄露后應急響應等安全服務也是數據安全的一大挑戰，從最新的行業全景圖調研看數據安全的專業服務機構目前還很有限，專業的數據安全人才更是缺乏。
總結：數據脫敏技術面臨的挑戰毋庸置疑也是當下數字化轉型中所有企業在數據安全方面面臨的挑戰，僅工具化的數據安全防護已不能滿足《數據安全法》對數據安全的要求，《數據安全法》的實施除了等保合規要求的審計、訪問控制和加密外，企業還要完善數據安全的管理制度、構建有效的全流程數據監管體系、做好數據安全的服務支撐。
根據當前市場在數據安全產品領域的覆蓋能力，安全牛進一步探索了數據安全法后的數據安全新視角如圖 5所示，傳統的數據安全防護在持續迭代和演進，數據治理和數據監管成了企業的剛需，數據安全服務或會成為網絡安全的一個新賽道。
圖5 數據安全的新視角
來源：安全牛