以元數(shù)據(jù)為基礎(chǔ)的安全隱私治理

? ? ? ? 有決策權(quán)的公司高層已經(jīng)意識到安全隱私的重要性，在變革指導(dǎo)委員會以及各個高層會議紀要中都明確指明安全隱私是變革優(yōu)先級非常高的主題，安全是一切業(yè)務(wù)的保障。

? ? ? ? 基于這個大前提，我們構(gòu)建了以元數(shù)據(jù)為基礎(chǔ)的安全隱私保護框架。在實際的管理流程中，如何利用元數(shù)據(jù)來管理好我們的安全隱私呢？安全隱私保護好比治療過程，我們需要先做全面的體檢（元數(shù)據(jù)發(fā)現(xiàn)），建立病歷（信息架構(gòu)、數(shù)據(jù)分類等），然后由專業(yè)的醫(yī)生給出治理策略，也就是策略制定與執(zhí)行數(shù)據(jù)保護和控制。整個過程都是以元數(shù)據(jù)為基礎(chǔ)的，如圖所示。

???? 圖-元數(shù)據(jù)對安全隱私保護的作用

? ? ? ? 元數(shù)據(jù)就是描述數(shù)據(jù)的數(shù)據(jù)，即數(shù)據(jù)的上下文。而數(shù)據(jù)的管理要求、信息安全要求、隱私、網(wǎng)絡(luò)安全要求等，都是數(shù)據(jù)的管理要素，當然也可以由元數(shù)據(jù)承載，用元數(shù)據(jù)來組織、來描述安全隱私管理策略和約束，如圖所示。

????圖-元數(shù)據(jù)承載管理要素

? ? ? ? 治理安全隱私方案的思路，就是站在數(shù)據(jù)治理和元數(shù)據(jù)管理的基礎(chǔ)上，構(gòu)建對數(shù)據(jù)共享業(yè)務(wù)影響低且非介入式的治理框架。安全隱私保護的愿景是“讓數(shù)據(jù)使用更安全”。為了讓大家快速理解數(shù)據(jù)安全隱私保護的核心價值，整個數(shù)據(jù)安全隱私保護過程都要以元數(shù)據(jù)為基礎(chǔ)，也就是都是以數(shù)據(jù)治理成果為基礎(chǔ)來推進的。

數(shù)據(jù)安全隱私分層分級管控策略

? ? ? ? 在數(shù)據(jù)安全隱私管理政策一致性上，全球網(wǎng)絡(luò)安全與隱私保護辦公室和公司信息安全部發(fā)布了整體的管理策略，對整個信息安全管理、隱私保護治理體系進行了分層映射，共同管理，如圖所示。

???? 圖-數(shù)據(jù)安全隱私保護與公司安全隱私治理體系之間的關(guān)系

? ? ? ? 從公司層面，通過對整體內(nèi)外部安全隱私管理政策的解讀，將內(nèi)部信息密級維度分為五級。

? ? ? ? 1）外部公開：指可以在公司外部公開發(fā)布的信息，不屬于保密信息。

? ? ? ? 2）內(nèi)部公開：指可以在全公司范圍內(nèi)公開，但不應(yīng)向公司外部擴散的信息。

? ? ? ? 3）秘密：是公司較為重要或敏感的信息，其泄露會使公司利益遭受損害，且影響范圍較大。

? ? ? ? 4）機密：是公司非常重要或敏感的信息，其泄露會使公司利益遭受較大損害，且影響范圍廣泛。

? ? ? ? 5）絕密：是公司最重要或敏感的信息，其泄露會使公司利益遭受巨大損害，且影響范圍巨大。

? ? ? ? 基于業(yè)務(wù)管理的訴求，以內(nèi)部信息密級維度為基礎(chǔ)，從資產(chǎn)的維度增加兩類劃分，進行針對性管理。

? ? ? ? 1）核心資產(chǎn)：對應(yīng)絕密信息，特指公司真正具有商業(yè)價值的信息資產(chǎn)。

? ? ? ? 2）關(guān)鍵資產(chǎn)：屬于機密信息，特指對我司在消費者BG、5G領(lǐng)域領(lǐng)先戰(zhàn)略競爭對手，在市場競爭中獲勝起決定性作用的信息資產(chǎn)。

? ? ? ? 基于對GDPR的解讀和企業(yè)內(nèi)部的管理需求，將涉及潛在隱私管控需求的數(shù)據(jù)分為五類進行管理。

? ? ? ? 1）個人數(shù)據(jù)：與一個身份已被識別或者身份可被識別的自然人（數(shù)據(jù)主體）相關(guān)的任何信息。

? ? ? ? 2）敏感個人數(shù)據(jù)：指在個人基本權(quán)利和自由方面極其敏感，一旦泄露可能會造成人身傷害、財務(wù)損失、名譽損害、身份盜竊或欺詐、歧視性待遇等的個人數(shù)據(jù)。通常情況下，敏感個人數(shù)據(jù)包括但不限于可以揭示種族或血統(tǒng)、政治觀點、宗教或哲學信仰、工會成員資格的數(shù)據(jù)，用于唯一識別自然人的基因數(shù)據(jù)、生物數(shù)據(jù)（如指紋），與自然人的健康、性取向相關(guān)的數(shù)據(jù)。

? ? ? ? 3）商業(yè)聯(lián)系個人數(shù)據(jù)：指自然人基于商業(yè)聯(lián)系目的提供的可識別到個人的數(shù)據(jù)。

? ? ? ? 4）一般個人數(shù)據(jù)：除敏感個人數(shù)據(jù)、商業(yè)聯(lián)系人以外的個人數(shù)據(jù)，作為一般個人數(shù)據(jù)。

? ? ? ? 5）特種個人數(shù)據(jù)：GDPR法律中明文確定的特殊種類個人數(shù)據(jù)，嚴禁物理入湖，嚴禁共享及分析。

數(shù)據(jù)底座安全隱私分級管控方案

? ? ? ? ? ? 分析洞察時數(shù)據(jù)獲取難，甚至有時即使知道數(shù)據(jù)在哪兒也拿不到。

? ? ? ? ? ? 則，需要逐個向各數(shù)據(jù)Owner索取相應(yīng)授權(quán)，造成了“自己產(chǎn)生的數(shù)據(jù)自己無權(quán)訪問”的現(xiàn)象。導(dǎo)致以上問題的原因就在于，公司雖然發(fā)布了數(shù)據(jù)共享的政策，但由于政策未完全落地，數(shù)據(jù)授權(quán)和權(quán)限控制機制不完善，導(dǎo)致數(shù)據(jù)獲取需要通過郵件等方式層層審批，尤其是跨業(yè)務(wù)領(lǐng)域的數(shù)據(jù)獲取需求，往往需要審批一二個月，極大地影響了業(yè)務(wù)決策的效率。

? ? ? ? 但是在數(shù)據(jù)底座建設(shè)好以后，我們又面臨另一個重大問題，那就是在大量的數(shù)據(jù)匯聚到數(shù)據(jù)底座之后，如何才能保證這些數(shù)據(jù)的安全？當前在數(shù)據(jù)底座中已有超過數(shù)萬個邏輯數(shù)據(jù)實體，上百萬張物理表，如果沒有完善的安全管理措施，這些數(shù)據(jù)一旦泄露將會是一個巨大的災(zāi)難。

? ? ? ? 所以公司數(shù)據(jù)底座從建設(shè)起，就與公司安全、隱私治理體系之間建立了緊密的關(guān)系，在遵從公司安全隱私管理策略的同時，數(shù)據(jù)底座根據(jù)需要，發(fā)布相關(guān)操作流程、規(guī)范，指導(dǎo)數(shù)據(jù)工作。在應(yīng)用數(shù)據(jù)安全與隱私保護框架和方法基礎(chǔ)上，構(gòu)建了數(shù)據(jù)底座的安全隱私五個子方案包。

? ? ? ? 1）數(shù)據(jù)底座安全隱私管理政策：說明數(shù)據(jù)底座的責任邊界，數(shù)據(jù)風險標識標準、數(shù)據(jù)加工、存儲、流轉(zhuǎn)規(guī)范。

? ? ? ? 2）數(shù)據(jù)風險標識方案：平臺提供的數(shù)據(jù)標識能力。

? ? ? ? 3）數(shù)據(jù)保護能力架構(gòu)：數(shù)據(jù)底座分級存儲架構(gòu)能力。

? ? ? ? 4）數(shù)據(jù)組織授權(quán)管理：數(shù)據(jù)在組織內(nèi)共享的規(guī)則。

? ? ? ? 5）數(shù)據(jù)個人權(quán)限管理：個人訪問數(shù)據(jù)的權(quán)限管理方案。

? ? ? ? 數(shù)據(jù)底座的安全隱私保護方案如圖所示。

? ? ? ? 在數(shù)據(jù)安全方面，根據(jù)公司信息保密規(guī)定，數(shù)據(jù)底座安全管理總體原則與數(shù)據(jù)管理原則是一致的，即“核心資產(chǎn)安全優(yōu)先，非核心資產(chǎn)效率優(yōu)先”。數(shù)據(jù)安全管理的基本原則如圖所示。

???? 圖-數(shù)據(jù)底座安全管理

? ? ? ? 數(shù)據(jù)安全規(guī)范主體包括三部分。

? ? ? ? 1）數(shù)據(jù)密級分級標準：數(shù)據(jù)定密的標準，包括外部公開、內(nèi)部公開、秘密、機密、絕密五個等級。

? ? ? ? 2）存儲保護的基線：描述每一個級別的數(shù)據(jù)資產(chǎn)的存儲要求以及入湖原則。

? ? ? ? 3）流轉(zhuǎn)審批層級：描述每一個級別的數(shù)據(jù)資產(chǎn)在申請數(shù)據(jù)共享時應(yīng)該經(jīng)過哪些控制審批。一般控制審批流程下，內(nèi)部公開數(shù)據(jù)不需要審批，在流程中自動存檔并知會數(shù)據(jù)消費方直屬主管。秘密數(shù)據(jù)由消費方直屬主管審批即可，機密數(shù)據(jù)需要數(shù)據(jù)生成方和消費方雙方數(shù)據(jù)Owner共同審批。

? ? ? ? 在隱私保護方面，根據(jù)公司隱私保護總體綱領(lǐng)文件和數(shù)據(jù)底座自身的特點，發(fā)布了數(shù)據(jù)底座隱私保護規(guī)定，總體原則是“個人數(shù)據(jù)原則上不入湖，并盡可能脫敏處理”。數(shù)據(jù)底座隱私保護管理原則如圖所示。

???? 圖9-8　數(shù)據(jù)底座隱私保護

? ? ? ? ?隱私保護規(guī)范主體包括三部分。

? ? ? ? 1）個人數(shù)據(jù)分類、分級標準：非個人數(shù)據(jù)、商業(yè)聯(lián)系個人數(shù)據(jù)、一般個人數(shù)據(jù)、敏感個人數(shù)據(jù)，共4個級別。

? ? ? ? 2）個人數(shù)據(jù)保護基線：根據(jù)個人數(shù)據(jù)分級，敏感個人數(shù)據(jù)、一般個人數(shù)據(jù)、商業(yè)聯(lián)系人分別需要做不同程度的數(shù)據(jù)保護，其中法律明文規(guī)定的特種個人數(shù)據(jù)嚴禁入湖。

? ? ? ? 3）流轉(zhuǎn)審批層級：隱私審批層級基本與安全一致，但新增了隱私專員的介入，以專家評審身份，參與控制數(shù)據(jù)流轉(zhuǎn)業(yè)務(wù)，判別數(shù)據(jù)消費的目的限制以及最小化授權(quán)。

分級標識數(shù)據(jù)安全隱私

? ? ? ? 在明確數(shù)據(jù)分類分級標準的基礎(chǔ)上，還需要有具體的平臺支撐數(shù)據(jù)風險標識。這就包括傳統(tǒng)的元數(shù)據(jù)人工標識方案以及通過規(guī)則、AI自動推薦方案。

? ? ? ? 1）人工識別數(shù)據(jù)風險。數(shù)據(jù)安全隱私分級標識必須基于元數(shù)據(jù)管理平臺，在平臺中構(gòu)建對數(shù)據(jù)字段級別的風險標識。

? ? ? ? 2）基于規(guī)則與AI的自動識別。在數(shù)字時代，隨著數(shù)據(jù)資產(chǎn)的膨脹，數(shù)據(jù)風險標識工作量非常巨大，字段的數(shù)量是數(shù)據(jù)表數(shù)量的100倍有余，依靠人工的方式無法識別全面，需要通過工具，基于規(guī)則（正則表達式）以及AI機器學習的方式，構(gòu)建自動推薦、識別風險標識的能力。

? ? ? ? 在數(shù)字時代，數(shù)據(jù)的安全隱私也得到了越來越多企業(yè)的重視，這其中也包括非數(shù)字原生企業(yè)，因為這類企業(yè)手中的生產(chǎn)工藝和研發(fā)數(shù)據(jù)中往往包含大量的專利成果和機密配方，而識別數(shù)據(jù)資產(chǎn)、管理元數(shù)據(jù)、標識安全隱私，只是“安全合規(guī)”共享數(shù)據(jù)的第一步。文章來源地址http://www.zghlxwxcb.cn/news/detail-830866.html

到了這里，關(guān)于【華為數(shù)據(jù)之道學習筆記】9-3構(gòu)建以元數(shù)據(jù)為基礎(chǔ)的安全隱私保護框架的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！