為了深入落實國家大數據戰略，推動大數據產業交流與合作，展示我國大數據產業最新發展成果，2019年6月4日至5日，由中國信息通信研究院、中國通信標準化協會主辦，大數據技術標準推進委員會承辦的2019大數據產業峰會在北京國際會議中心隆重開幕。6月5日，大數據安全論壇隆重舉行。

關先生從中國電信的大數據安全管理實踐經驗講解了對大數據安全的認識和理解。對企業來說，大數據安全問題不僅對數據安全管理和保護能力帶來了嚴峻的挑戰，也使得數據安全技術攻堅勢在必行。下面有請中國信通院安全所行業網絡安全事業部副主任廖璇淺述《安全數據檢測技術研究》，有請廖主任。

中國信通院安全所行業網絡安全事業部副主任廖璇

謝謝陳主任介紹，各位專家、各位老師、各位安全的同仁以及朋友們：

大家上午好！

很榮幸這次有這么一個機會能夠在這里跟大家做一個比較廣泛的交流，同時剛才聽了各位專家老師相關議題的這種分享，我這邊也是深受啟發，無論從國際到國內、從產業到行業，還是從相應的法律政策法規到標準建設，數據安全的重要性實際上是不言而喻的，同時數據安全所涉及的方方面面實際需要在座的各位同仁進行共同的努力跟探討。今天我選擇的題目實際上是從實戰的角度，從找問題以及發現問題的角度來談一談數據安全檢測技術的研究與實踐的工作。

主要內容為數據安全檢測框架以及數據安全檢測技術。已經臨近中午了，我簡要地闡明我的一些觀點，大家都知道，現在我們談的數據安全不僅僅是傳統的信息安全，以及網絡安全，以前我們談的數據安全可能就是數據安全保護以及面臨的網絡安全與數據安全的衍生品，但是我們現在談的數據安全一定是一個自成體系的框架，而且在這個獨立體系中，我們常用的網絡與信息安全的檢測風險評估的方式跟方法依然是可行的，但只是我們發現問題的切入點以及隨著業務的變化和信息的重要程度逐漸演變為我們在目前我們所談的數據安全保護，所以網絡安全、信息安全和數據安全三者之間共進共演的現狀一定是成為常態化的工作，也是將成為安全工作的一個常態化進程。

回到今天數據安全的檢測來看，數據安全包含的條塊其實可以分為很多，可以有不同的方式方法，可以有不同的維度來進行切入。比方說可以從傳統的七層模型進行細分，也可以從傳統的數據安全所說的全生命周期來進行細分等等，同樣我們的檢測框架實際上可以分為多個條塊，但是從實戰角度，我這里簡單粗暴地分為了兩個部分，也是在實際的檢測過程中我們需要主要關注和投入的重點，一個是檢測的過程，一個是檢測的內容。我這里分別從每個點進行簡要的敘述，首先是檢測的依據。

上位的法律法規我這里不再做復述，剛才很多專家提到了，這是網絡信息安全的首要，在上位法的要求跟指引下，各個行業、各個部門實際上是按照自身的管理需求跟實際情況制定實施符合自身實際情況的，比方說各個部門的法規，比方說工信部的11號令、24號令、368號文等等，以及指導行業進行相應的發展，同時，在行業內制定相應的通用性的檢測方法，來進行標準化的要求，來進行工作的具體落地。但是從近年所出現的案例以及實際問題的事實來看，寬泛性和通用性檢測的方式和方法，和數據安全的監督和管理的要求，并不能完全解決數據安全所面臨的問題，因此我們也看到了越來越多的專項整治系統，比方說我們公安部牽頭的大數據專項整治行動，網信辦牽頭的專項治理，工信部牽的行政監察等等，都會涉及。

檢測方法并不超脫于現有的風險評估與我們在傳統信息安全領域所做的等級保護，但是在數據安全的檢測當中我們一定要強化相應的訪談跟調研的問卷，不單純依靠傳統的白、灰、黑和檢測的技術，而是我們一定要打破一些傳統檢測過程中的邊界，讓所有的業務人員參與，讓所有的安全人員參與，讓所有的數據處理人員參與以及數據使用人員以及數據保護人員，以及在整個過程中，包括審計人員進行深度的參與、調查，因為如果不這樣做的話就無法覆蓋整個數據安全的生命周期，就會存在檢測過程中的天然的死角和盲區。所以從檢測的環境來看，我選擇了通用的檢測環境，在檢測環境來說，數據安全檢測實際上需要一些人為所需要忽略人為所涉及的網絡邊界和安全域，站在數據處理的動態流程來出發，由外到內，以及由內及外，無論從辦公網再到生產網，從內部處理再到第三方合作，實際上我們有一些天然的邊界，但是在檢測，實際上我們要深入到各個環節進行逐步的解剖。