零信任数据动态授权 桔皮书 奇安信科技集团股份有限公司 2022年1月 版权声明 本文中出现的任何文字叙述、文档格式、插图、图片、 方法、过程等内容，除另有特别注明，版权均为 奇安信集团 （指包括但不限于奇安信科技集团股份有限公司、网神信息 技术 （北京） 股份有限公司、 北京网康科技有限公司） 所有， 受到有关产权及版权法保护。任何个人、机构未经 奇安信集 团的书面授权许可，不得以任何方式复制或引用本文的任何 片段。 前 言 随着数字化的深入， 数据成为重要生产要素。 数据伴随着业务和 应用，在不同载 体间流动和留存，贯穿信息化和业务系统的各层面、 各环节， 在复杂的应用环境下，保证重要数据、核心数据以及用户个 人隐私数据等敏感数据不发生外泄， 是数据安全保障工作的重要挑战。 数据安全靠的不是单点技术，而是能力体系。真正做好数据安全 防护，需要从零散建设升级到体系化建设，内生安全 框架是安全体系 化建设的核心，“一中心两体系”是 内生安全框架落地的具体方法 ， 即网络安全态势感知与管控中心、 网络安全防护体系以及零信任动态 授权体系，从而打造认知、安全、授权三个重要能力。其中 零信任数 据动态授权体系，则是授权能力的落地 。从实体安全、身份可信、业 务合规三个目标出发，抽象出主体、客体、主体环境，通过动态评估 主体的数字身份、安全状态和信任、数据安全治理的成果，进行动态 细粒度授权及访问控制，并结合数据安全防护体系的技术能力，实现 对应用和数据的、服务， API接口、大数据平台、数据库行、列等级 别的精准管控。 本报告总结分析了 数字化时代数据 安全的背景和挑战， 结合零 信任理念， 提出构建 数据动态授权 能力的建设思路，以及以工程化思 维推进零信任架构演进的建设方法， 旨在为组织开展数据安全体系化 建设提供参考和建议。 目 录 一、 数字化时代的数据安全发展现状背景 .................... 1 (一) 数据安全成为数字化发展基石 .......................... 1 (二) 数据成为关键生产要素加速数据流转 .................... 1 (三) 应用架构演变伴生数据使用场景日趋复杂 ................ 2 二、 数字化时代的数据安全挑战 ............................ 3 (一) 边界弱化，企业资源暴露面增加 ........................ 3 (二) 攻击的目标从网络转向身份、应用和数据 ................ 4 (三) 远程办公增加数据泄漏和权限滥用风险 .................. 4 (四) 内部威胁成数据泄漏主要原因 .......................... 5 三、 基于零信任思路构建数据安全保护体系 .................. 5 (一) 数据保护需要新思路新方法 ............................ 5 (二) 零信任理念和方法 ................................ ... 6 (三) 在数字化背景下理解和实践零信任 ...................... 7 (四) 在“一中心两体系”框架下构建零信任动态授权能力 ...... 9 四、 构建零信任数据动态授权能力的关键举措 ............... 12 (一) 基于数据安全治理成果，构建数据视图 ................. 12 1. 数据分类分级 ................................ ...... 12 2. 元数据管理及数据视图 .............................. 13 (二) 构建身份视图，明晰数据访问上下文 ................... 14 1. 构建主体信任，需要丰富的上下文数据 ................ 14 2. 身份视图：人、设备、应用的数字身份化及整体视图 .... 15 (三) 构建以资源为中心的统一策略管控体系 ................. 16 1. 基于数据视图、身份视图和环境因子构建动态访问策略 .. 16 2. 数据脱敏策略 ................................ ...... 18 3. 行过滤策略 ................................ ........ 19 4. 基于任务和事由的权限策略 .......................... 19 5. 零信任动态策略和数据业务平台的内生聚合 ............ 19 (四) 持续的信任评估与策略治理 ........................... 20 五、 以工程化思维推进零信任架构演进 ..................... 21 (一) 以系统思维推进零信任架构演进 ....................... 21 1. 零信任目标及策略 ................................ .. 22 2. 零信任能力 ................................ ........ 22 3. 零信任技术 ................................ ........ 22 4. 零信任特性 ................................ ........ 22 (二) 制定阶段性行动计划 ................................ . 23 1. 确立建设思路 ................................ ...... 23 2. 厘清项目性质 ................................ ...... 23 3. 制定分步迭代建设方案 .............................. 24 零信任数据动态授权桔皮书 © 奇安信集团 股票简称 ：奇安信 股票代码 ：688561 第 1 页，共 25 页 一、数字化时代的数据安全发展现状背景 (一) 数据安全成为数字化发展基石 2021年9月1日，《数据安全法》正式颁布实施，明确提出了 数据安全保护要求， 包括从战略上将数据安全上升到国家总体安全观 层面；从组织责任上明确数据流转过程中组织的安全责任与义务，明 确监管要求；在安全保护方面完善数据安全保护体系，提升数据安全 能力；在安全监管方面建立数据安全应急机制和审查制度。《数据安 全法》同时也阐明了数据安全与发展的关系，即“国家统筹发展和安 全，坚持以数据开发利用和产业发展促进数据安全，以数据安全保障 数据开发利用和产业发展”。坚持安全与发展并重，在数据作为生产 要素之一的大背景下，探索全新数据安全体系、保障新形 势下的数据 安全，已成为维护国家安全和国家竞争力的战略需要。 (二) 数据成为关键生产要素加速数据流转 今年是我国“十四五” 规划实施的第二年 ，是迎接数字时代、激 活数据要素潜能、推进网络强国建设的重要一年。全球也进入全面数 字化转型时期， 数据作为关键生产要素发挥着巨大作用，推动着数字 经济的发展。 传统信息技术开始向以数据和业务为核心的新一代信息 技术转变， 数据资源的种类数量、对接程度、应用领域、价值实现不 断扩张，数据资源逐步走出企业物理边界；大数据、物联网等新业务 的开放协同集合企业的业务和数据，多部门、多平台、多业务的数据 融合打破了业务之间、部门之间的数据边界。 其典型特征是企业间的 信息化交互大幅增加，企业与外部合作伙伴的关系也更加密切，通过 零信任数据动态授权桔皮书 © 奇安信集团 股票简称 ：奇安信 股票代码 ：688561 第 2 页，共 25 页 业务协同、数据共享实现流程优化、合作共赢已经成为共识。 同时，可以预见到，未来数据流转情况将更加开放，业务生态将 更加复杂，参与数据处理的角色将更多元，系统、业务、组织边界将 进一步模糊，导致数据的产生、流动、处理等过程比以往更加丰富和 多样。数据的频繁跨界流动，多环节的信息隐性留存，带来了严峻的 数据安全挑战。一方面，数据在各组织、部门之间流动，系统和数据 安全的责权边界变得模糊， 主体责任划分不清，权限控制不足，导致 数据泄漏事件频发；另一方面，数据在跨组织间的流转，导致原本的 边界安全机制无法有效保护流转到边界外的数据， 基于边界的安全管 理和技术措施，已经无法适应当前的安全需要 。在数据安全风险与日 俱增的新形势下，安全作为发展的前提，数据安全已成为数字经济时 代最紧迫和最基础的安全问题。 (三) 应用架构演变伴生数据使用场景日趋复杂 随着云计算平台、 大数据算力融合平台技术架构的演进， 硬件平 台和网络体系经过多次结构化重组，以容器、微服务、 DevOps为代 表的云原生技术发展，以及边缘计算技术的大规模 采用，企