近日，以“计算，为了无法计算的价值”为主题的2023云栖大会在杭州云栖小镇举办，本次大会共设置2大主论坛、3个主题展馆，呈现500余场并行话题。在云环境数据风险态势管理实践的话题分享中，安恒信息高级副总裁郑赳分享了安恒信息为杭州亚运会提供数据安全保障的经验。
郑赳在演讲中介绍到，杭州亚运会作为近年来赛事规模最大、竞赛项目最多、参与人员规模最大的综合性体育赛事。6大赛区，88个场馆，49个核心业务系统、赛事成绩、赛事管理、赛事支持三大类核心系统群全面上云、1万多终端设备接入访问，系统众多、敏感数据量大、人员繁杂、接入方式多样、数据安全挑战严峻。
亚运数据安全防护中面临5大防护难点：
1、 敏感数据广泛分布在各个涉亚信息系统中，底数不清，分布不明。
2、 运维人员多，身份复杂，数据访问权限控制难。
3、 系统间数据共享频繁。数据系统间业务数据交互量大，泄露风险大。
4、 数据使用监控难度大，数据泄露事件感知、监控、溯源难度大。
终端访问、办公场景接入终端多，人员杂，敏感文件数据泄露风险大。
安恒信息通过持续三年的亚运保障，从预案准备，测试赛保障、技术演练、正赛重点保障全程参与，持续护航，累积投入35000 人天，1184台设备，累积分析800 亿条日志，防护2600 万次攻击，提交5500 份报告,不辱使命，出色完成保障任务。
云上数据安全整体架构通过云上技术体系整体保障支撑核心业务应用，并通过数据安全运营体系再护航保障过程中不断基于风险评估持续优化防护方案。
云上数据安全技术体系，通过资产梳理、数据库审计监控、接口监测、数据水印、数据脱敏、权限管控、防泄漏、态势感知等基础能力的云化部署、针对多租户场景强化云上安全资源的自动编排能力，实现安全能力服务总线，按需支撑业务系统的数据安全防护需求，并持续监控保障业务数据资产的安全态势。
云上数据安全运营体系通过赛事侧、场馆侧场景化调优与持续运营，优化数据安全风险监测模型，持续进行新业务场景的风险评估与闭环。
杭州亚运的数据安全防护整体设计上，通过在竞赛场馆侧通过堡垒机、数据库安全网关、数据库审计、一体化终端安全管控系统、网络防泄漏管理运维层面的数据访问权限控制，防范多角色用户接入层面的数据泄露安全风险。赛事系统侧应用云上数据安全资源池，防护数据访问使用中的篡改、泄露、异常请求事件。在赛事运营侧，通过统一数据安全管控平台，实现数据安全态势一屏通览，持续监测涉亚系统的数据安全态势。
安恒信息在云上数据安全防护能力上提供了敏感数据发现、数据脱敏、数据调用接口监测、数据访问权限精细管控、敏感数据防泄漏、整体态势感知能力，针对亚运防护难点，覆盖对应5个主要业务场景。
一、敏感数据发现与梳理
涉亚49个核心业务系统大量异构数据源，多种数据库中的结构化和非结构化数据。其中票务、注册中心等业务系统中含有大量运动员、注册人员、观众、工作人员等个人信息敏感信息。
整体设计规划上：安恒信息结合数安法、个人信息保护法等上位法要求，结合北京奥运会、g20峰会、成都大运会等过往重保成功经验，制定了一套契合杭州亚运会现状的《重大赛事数据安全分类分级标准》，作为系统化梳理全量数据的标准规范。
技术保障上：将云与数据安全深度耦合，通过与阿里云账号体系的打通，全面对接odps、rds、oss等云上服务模块，做到资产的自同步。同时引入ai大模型进行敏感数据建模，通过大量数据的学习，敏感数据精确识别率达到95%以上。
后续应用上：将敏感数据精确识别、分类分级后，会基于等级进行敏感数据打标，为后续数据安全防护与监测奠定基础，不同等级的敏感数据后续在跨系统调用、人员读取时进行不同等级的管控措施。同时打通分类分级与其他数据安全产品，实现直接把分类分级的结果同步给像脱敏、网关等其他数据安全能力设备，作为下一步处置的基础条件。
二、数据资产运维安全
本次亚运会合作商众多，涉及不同维度、多层面的系统维护保障工作，数据范围十分广泛。因此需要负责开发运维的人员也繁多，因此如何精准管控运维动作、实时发现高峰风险操作并能够及时处理将会变得十分关键。
针对数据资产运维安全，安恒信息构建起“身份权限管控 数据处理管控”的双重保障机制。一方面，运维人员全部要通过浙政钉扫码登陆，进行身份认证，获取唯一的权限账号，保证专人、专账号、专权限，一旦发生问题，能够快速定位人员进行精准回溯。另一方面，通过数据安全安全网关对于通过sql语句对数据库进行的操作进行细颗粒度管控，结合前面场景讲到的分类分级结果的同步，针对高敏感数据的运维操作进行风险告警或向上审批的不同防护机制。同时实现操作过程录像、操作命令记录、传输文件备存等功能，便于后期全面审计溯源。
三、数据共享交换安全
当前产业数字化发展如火如荼，数据的传递也从1.0阶段的表格复制共享，到2.0阶段的前置机文件共享交换，慢慢到3.0阶段通过api接口进行调用。因此如何加强对于api的监控，对于数据安全的管控来说异常关键。
为做好数据的交换管控：首先方案中先对于api接口资产进行精确识别，通过对报文头的检测有效区分url静态地址与restful api接口资产，防止出现大量无效告警，影响运维人员的判断；其次对于api接口调用流量进行双向识别，通过与分类分级能力的打通，对于回包流量中的敏感数据进行精确定位；同时，安恒信息通过与阿里云的深度合作解决了云上租户业务引流的难题，通过与阿里云odps的对接，实现了无agent情况下的流量解析分析。
四、办公网数据防泄漏
办公网场景是最容易发生数据泄露的场景之一。办公网涉及人员众多，场馆办公场所条件不一，导致办公网的管控措施难以有效落地。针对此场景，我们首先进行了泄露路径的盘点，主要分两大类，一类是通过网络流量侧的泄露（如：im软件、邮件等），另一类是终端侧的泄露（如：u盘、移动硬盘等外设，以及摄屏）。紧接着便基于不同的路径进行针对性措施加以管控，网络侧封堵各类即时通讯软件发送模式，基于邮件的发送做好流量审计；终端侧通过一体化终端办公组件的加持，对接入用户进行认证、杀毒和外接终端的安全监测。同时通过暗水印的方式做好屏摄的回溯审计，有效震慑此类泄露行为。
除了对于外泄途径的管控，办公网场景方案还进行了防护左移，终端用户接入赛事agis专网之前，除了通过浙政钉进行身份认证以外，还通过agent进行了终端环境的安全感知，检查终端运行状态，评估运行环境达到安全要求后，才会基于权限放开后端应用的访问。
五、数据安全监测与审计
前面分类分级、运维、共享交换、办公网是整个亚运安保过程中最重要的几个细分场景，那如何将亚运数据安全态势做整体呈现？这时候就要发挥整体监测审计的能力了，通过数据安全管控平台与各数据安全探针的对接，能够对场馆侧、赛事侧、供应链服务商侧的数据安全状态进行一体化展示，真正的做到了数据安全风险态势的一屏通览。
通过数据的汇集，也可以从最前端用户通过应用对数据的调用动作，到通过应用中间件对相应api接口发起访问，到最终通过sql语句对于数据库落盘数据进行访问的全链条数据行踪链进行梳理，真正做到数据全生命周期的血缘分析，理清风险脉络。同时数据安全管控平台也可以通过与探针的对接，基于风险类别，一键下发处置策略，高效完成数据安全风险的操作闭环。
同时，安恒信息在本次云栖大会云安全产品板块展出了安恒云安全的整体pg电子试玩入口的解决方案，通过底层等保合规、云数据安全、商用密码、攻防实战等原子能力，构建面向公有云、私有云、混合云、行业云、边缘云等全场景云安全方案。同时灵活提供安全托管服务mss、在线saas安全服务的服务模式，解决客户上云过程中的安全建设和安全运营问题。
此次深度参与云栖大会，安恒云再次亮相。基于自身前沿的技术与丰富的经验，安恒信息将继续与阿里云开展全面开放的合作，共建安全云生态，为用户提供更安全可靠的云安全服务。
往期精彩回顾
