摘要
与传统的以安全技术能力建设为目标的数据安全平台方案不同，安华金和数据安全运营平台将数据安全管理体系和数据安全运营体系提升到与安全技术能力建设同等的高度。对于一个全面的数据安全平台，相关数据安全建设中涉及的角色也必须是多元的；除了传统意义上使用技术工具进行运营的数据使用者，数据安全管理者和运营主管也要有相应的手段来完成其角色所承担的任务，使“管理、技术、运营”三大系统相辅相成，共同实施整体解决方案。
场景分析
从数据安全法的实施逻辑来看，“数据分类和分级保护”是原则和前提。首先，构建相关制度，形成数据分类分级清单，明确数据安全保护的控制基调；其次，建立健全基于数据全生命周期的数据安全管理制度和流程，根据管理要求，形成可落地的技术保护策略和防御手段，实现数据的分类分级管控；最后，在完成完善的分类分级、系统流程和技术防护后，对残留的数据风险和可能发生的数据安全事件采取必要的相关监控、应急响应、处置和防护手段，避免数据安全风险事件的发生。
安华金和倡导的数据安全治理体系建设，可以看作是围绕“重要数据和敏感信息”保护的实践，与立法宗旨是一致的。因此，只有通过数据分类分级，准确识别重要数据和敏感信息的类型和级别，整理并有效维护业务数据和个人信息权益的安全，才能合理开发利用相关数据资源，从而充分发挥数据信息的真正价值和作用。数据分类分级保护的实施不是单一的保护动作，而是一套闭环的安全管理策略，是数据安全治理体系有序发展的关键环节。
那么，如何针对涉密分级敏感数据的结果指导安全策略的实施，按照日常数据使用活动中对敏感数据的控制要求实施，实现从管理制度到数据安全技术手段的系统化运作，需要分解为具体的技术要求，即安全能力引擎的安全策略和规则配置与涉密分级数据相关。
在这种情况下，我们结合数据安全分发和数据存储加密两个典型的数据安全管理场景，分析如何依靠数据分类分级的结果来指导数据使用场景下安全管控策略的实施。
数据共享和分发
数据共享和分发是数据共享的常见场景，用于高度模拟生产数据，保护敏感数据的安全使用。首先我们分析一下这个场景中数据安全参与的角色，大致可以分为三类:数据安全系统管理人员、制定策略的安全管理者、数据业务用户。这三个小组的主要活动是:
流程管理者根据数据使用的基本原则，制定数据应用和使用的流程，根据数据使用的分类和级别，规定数据管的控制程度和受控数据使用的详细要求，从而形成数据共享和使用场景的控制流程和系统。
安全管理人员根据数据共享场景的流程和控制要求，结合所管辖的数据，划定受控敏感数据的范围，以及这些受控敏感数据将如何在满足控制要求的安全策略下被处理和使用。
使用数据的业务部门根据开发测试、数据分析等实际业务场景需求，申请使用一批生产环境的业务数据。
从上面的分析可以看出，系统管理者保证数据活动符合流程，有章可循；安全人员负责数据使用范围和控制措施，以确保提供给业务部门的数据符合敏感数据的控制要求。
但核心问题是，在业务部门不知道哪些是受控使用数据的前提下，如何在申请使用数据的过程中获取符合控制要求的受控使用数据。在这里，我们引入“敏感数据集”的概念。安全人员根据数据分类、数据级别和系统控制要求，筛选出目标范围内的受控使用数据，并根据数据类型特征制定相应的数据脱敏策略和算法，确保受控数据共享后不会被泄露或滥用。
安全专家组应制定适合本组织的数据分类和分级标准，以及敏感数据使用的程序、管理方法和控制要求；
●安全管理员根据分类分级标准完成数据的分类分级；
●安全管理员根据数据使用管理系统，确定某一分类的数据和某一级别的数据属于共享分发场景的受控范围，并由此类数据生成敏感数据集，如“重要数据下的个人信息和个人身份信息”；
●安全管理员根据敏感数据集中的数据类型特征和敏感数据的控制要求，设置数据脱敏的安全策略，如“个人身份信息数据脱敏算法”；
●业务运营商根据业务场景需求发起数据共享脱敏分发任务，选择该数据使用的数据范围，配置数据脱敏方案；
●脱敏方案中，系统根据应用自动匹配当前使用的数据范围，识别是否包含控制使用的敏感数据。当包含受控数据时，系统自动关联敏感数据集中数据特征的脱敏算法，完成本次脱敏任务的方案配置；
●在执行脱敏任务时，业务人员得到脱敏数据，该批数据中的受控敏感数据已经脱敏，满足控制要求，从而实现数据共享分发的脱敏场景下安全控制的技术措施。
数据存储加密
数据存储加密是基于数据存储层透明加密的技术手段。通过在线加密核心数据，可以防止明文存储导致的数据泄露、突破边界保护的外部黑客攻击、高权限内部用户的数据窃取、绕过合法应用系统直接访问数据库的外部攻击和数据窃取，从根本上解决数据库数据存储安全问题。同样，我们分析了数据安全参与在此场景中的作用:
流程经理制定核心数据存储的加密要求和核心数据的加密存储体系，即核心数据需要在存储层进行什么类型、什么级别的加密。
根据核心数据存储的加密管理制度，运营管理人员圈定了需要控制的敏感数据，配置了加密存储的安全策略。
资产管理人员发现管辖范围内的数据资产中存在高等级的核心数据，选择预设的加密算法，在存储层实现加密算法。
根据对参与者角色的分析，处理流程如下:
●安全管理专家组制定适合本组织的数据分类和分级标准，以及敏感数据使用的流程、管理方法和控制要求；
●安全管理人员根据分类分级标准完成数据分类分级；
●安全管理员根据数据使用管理制度，确定某一分类的数据和某一级别的数据属于核心机密数据，并将这类数据生成敏感数据集，如“重要数据下的个人信息和个人生物特征信息”；
●安全管理员根据敏感数据存储加密的控制要求，设置“个人生物特征信息加密算法”等数据存储加密的安全策略；
●根据敏感数据集的内容，系统自动识别所有需要存储和加密的数据表的分布；
●资产所有者登录系统，发现其管辖的数据资产中存在核心敏感数据表，根据管控要求选择相应的金额加密算法策略，完成存储加密方案的配置；
●执行存储加密操作，调用存储加密引擎，实现核心数据存储加密场景的安全管控技术措施。
作为中国数据安全治理理念的提出者和践行者，安华金河基于多年对大量行业客户的数据使用场景和安全防护需求的深入研究和分析，以及积累的实践经验，打破了产品堆砌产生的“方案看起来很丰富但落地不牢”的传统顽疾，推出了“实用可持续”的设计初衷。“一站式、系统化”的数据安全运营平台——结合数据活动业务场景，整合各类数据安全能力，开放所有安全能力中元数据的联动监控和防控能力，真正实现数据安全“统一部署、统一监控、统一管理、统一运营”的日常、可持续运营目标，让数据使用免费、安全！
