什么是“以數(shù)據(jù)為中心的安全” | 數(shù)據(jù)防泄密似乎在IT行業(yè)里，大家都有過(guò)類似的感覺(jué)，那就是總有新名詞冒出來(lái)，大家討論的熱火朝天的同時(shí)，彼此對(duì)這個(gè)詞的含義理解并不相同。

好多年后，大家才逐漸清晰的總結(jié)出了這個(gè)詞的具體含義。

比如，大數(shù)據(jù)(Big Data)早在1983年就被提出來(lái)，在2011年進(jìn)入行業(yè)視野，又過(guò)了好多年，人們才統(tǒng)一了認(rèn)識(shí)，明確了大數(shù)據(jù)幾個(gè)“V”的特點(diǎn)。

在安全行業(yè)，這個(gè)現(xiàn)象同樣很常見(jiàn)。

近幾年，數(shù)據(jù)安全領(lǐng)域經(jīng)常出現(xiàn)的一個(gè)熱詞是 “以數(shù)據(jù)為中心的安全”，很多報(bào)告都用“以數(shù)據(jù)為中心的安全”區(qū)別“傳統(tǒng)的數(shù)據(jù)安全”，但卻很少有人具體講清楚“以數(shù)據(jù)為中心的安全”到底是什么。

因此，我們梳理了近十年國(guó)內(nèi)外對(duì)“以數(shù)據(jù)為中心的安全”這一概念的介紹和理解寫出這篇文章，希望能對(duì)大家理解“什么是以數(shù)據(jù)為中心的安全”有所幫助。

DCS是Data-centric Security的簡(jiǎn)稱，即以數(shù)據(jù)為中心的安全。

為便于閱讀，本文以下內(nèi)容將統(tǒng)一使用DCS表示“以數(shù)據(jù)為中心的安全”。

值得注意的是，有些文章提到的“以信息為中心的安全”(Information-centricSecurity)在本文中也一并以DCS代替。

本文的目的是探討DCS的具體含義，Data和Information的區(qū)別不在本文討論范圍內(nèi)。

一、什么是DCS維基百科上對(duì)DCS的解釋是：相比系統(tǒng)安全、網(wǎng)絡(luò)安全、應(yīng)用安全等更聚焦在數(shù)據(jù)自身安全的安全方法,并指出一個(gè)DCS模型具有4個(gè)關(guān)鍵組件，分別是：發(fā)現(xiàn)、管理、保護(hù)和監(jiān)測(cè)。

這4個(gè)關(guān)鍵組件的具體能力是：發(fā)現(xiàn)是指發(fā)現(xiàn)敏感數(shù)據(jù)等數(shù)據(jù)存儲(chǔ)在什么位置的能力;管理是指定義數(shù)據(jù)在不同情況下可訪問(wèn)、修改、阻斷等策略的能力;保護(hù)是指阻止敏感數(shù)據(jù)泄露或非授權(quán)使用的能力;監(jiān)測(cè)是指持續(xù)對(duì)數(shù)據(jù)使用異常行為監(jiān)測(cè)發(fā)現(xiàn)的能力。

MarketsandMarkets在《DATA-CENTRICSECURITY MARKET》報(bào)告中稱DCS市場(chǎng)規(guī)模將從2017年的20.6億美元增長(zhǎng)到2022年的58.3億美元，其增長(zhǎng)的主要?jiǎng)恿?lái)自于強(qiáng)勁的合規(guī)需求，其中亞太地區(qū)將成為增長(zhǎng)最快的地區(qū)。

然而，目前行業(yè)內(nèi)似乎還沒(méi)有對(duì)DCS形成統(tǒng)一的認(rèn)識(shí)。

于是我們參考了數(shù)十份資料，包括學(xué)術(shù)論文、產(chǎn)業(yè)研究報(bào)告、技術(shù)白皮書等資料，系統(tǒng)梳理并結(jié)合我們自己的實(shí)踐經(jīng)驗(yàn)形成本文，目的是與大家一同討論DCS的概念并統(tǒng)一對(duì)DCS的認(rèn)識(shí)。

二、大家眼中的DCS1. IBM：DCS的核心是數(shù)據(jù)分類IBM是一家偉大的公司，很早就在很多技術(shù)領(lǐng)域發(fā)表過(guò)深刻的思考。

2006年，IBM的研究人員Sreedhar就已經(jīng)提出了基于角色分析的DCS方法，用于處理對(duì)象被不同方法訪問(wèn)時(shí)的安全問(wèn)題。

這個(gè)方法把角色作為重點(diǎn)考擦對(duì)象，并以角色一致為主要判別準(zhǔn)則。

2009年，IBM又提出一個(gè)基于數(shù)據(jù)的安全模型，名為DCSM(Data-centric Security Model)。

DCSM把數(shù)據(jù)、策略和角色區(qū)分開，通過(guò)自定義一套策略描述語(yǔ)言，通過(guò)策略把數(shù)據(jù)和角色關(guān)聯(lián)起來(lái)。

DCSM是基于數(shù)據(jù)的商業(yè)價(jià)值進(jìn)行制定策略，而不是基于傳統(tǒng)的IT安全規(guī)則。

更重要的時(shí)，DCSM強(qiáng)調(diào)了DCS的核心就是數(shù)據(jù)分類，而且必須是自動(dòng)化的數(shù)據(jù)分類。

這一判斷非常準(zhǔn)確，一直沿用至今。

IBM的觀點(diǎn)是，傳統(tǒng)的數(shù)據(jù)安全分類標(biāo)簽如機(jī)密、專有、限制傳播、商業(yè)秘密等是不能滿足業(yè)務(wù)需求的，如果數(shù)據(jù)分類和業(yè)務(wù)流程不匹配，則分類越多，來(lái)帶的負(fù)面影響越多。

所以IBM提出了新的數(shù)據(jù)分類方法，這個(gè)分類方法遵循三條原則：

1)數(shù)據(jù)分類一次完成;

2)策略直接體現(xiàn)在分類標(biāo)簽上;

3)業(yè)務(wù)主管直接推進(jìn)分類并直接看到執(zhí)行結(jié)果。

IBM最后還是強(qiáng)調(diào)DCS最核心的內(nèi)容就是結(jié)構(gòu)化數(shù)據(jù)的分類方法，同時(shí)也指出，數(shù)據(jù)如何有效分類是個(gè)大學(xué)問(wèn)，需要對(duì)行業(yè)規(guī)范、公司標(biāo)準(zhǔn)、業(yè)務(wù)操作、各類文檔、部門交互都非常熟悉的核心人員來(lái)主導(dǎo)分類。

2. Symantec：數(shù)據(jù)打標(biāo)和數(shù)據(jù)加密是重中之重Symantec提出了一個(gè)以信息為中心的安全模型(Symantec Information Centric Security Module ，簡(jiǎn)稱ICSM)。

這個(gè)模型包括兩個(gè)核心組件：數(shù)據(jù)打標(biāo)(Symantec Information Centric Tagging，簡(jiǎn)稱ICT)和數(shù)據(jù)加密(Symantec Information Centric Encryption ，簡(jiǎn)稱ICE)。

ICT和ICE都已在Symantec形成產(chǎn)品或解決方案。

ICT是針對(duì)郵件和文件進(jìn)行打標(biāo)簽和加水印的分類器。

ICE是基于云的一整套加密方案，包括加密算法、秘鑰管理、身份認(rèn)證、用戶和文件監(jiān)測(cè)以及終端用戶加密工具。

如果從Symantec的產(chǎn)品設(shè)計(jì)來(lái)看，還有Data Loss Prevention(DLP)和CloudSOC等產(chǎn)品。

整套的數(shù)據(jù)安全產(chǎn)品在數(shù)據(jù)防護(hù)的準(zhǔn)備、保護(hù)、監(jiān)測(cè)和響應(yīng)四個(gè)環(huán)節(jié)進(jìn)行保護(hù)，具體下圖所示。

圖1. SynmantecDCS框架3. IDC：DLP是DCS的神經(jīng)系統(tǒng)IDC指出DCS是解決數(shù)據(jù)安全的優(yōu)選方案。

數(shù)據(jù)具有三種主要的保護(hù)方式：定義和分類、監(jiān)測(cè)和強(qiáng)化治理策略、加密和混淆。

數(shù)據(jù)防護(hù)的推薦方式就是將這三種方式有效的結(jié)合起來(lái)，而結(jié)合起來(lái)就是DLP、加密和訪問(wèn)控制。

其中，DLP是在DCS策略中像神經(jīng)系統(tǒng)一樣重要。

4. Sirius：完整的DCS策略具有10個(gè)核心要素Sirius Edge的一篇文章列出了一個(gè)完整的DCS必須具備的10個(gè)核心要素，分別是：

1)數(shù)據(jù)發(fā)現(xiàn);

2)數(shù)據(jù)分類;

3)數(shù)據(jù)打標(biāo)和數(shù)據(jù)水印;

4)DLP;

5)數(shù)據(jù)可視化;

6)加密策略;

7)增強(qiáng)的網(wǎng)關(guān)控制;

8)身份管理;

9)云訪問(wèn)管理;

10)持續(xù)教育。

值得一提的是，這10個(gè)要素中強(qiáng)調(diào)了持續(xù)教育這一非技術(shù)要素，提醒我們做數(shù)據(jù)安全防護(hù)的時(shí)候一定不能只盯著技術(shù)、盯著功能性能，而忽略了教育、培訓(xùn)等非技術(shù)要素。

三、DCS離不開數(shù)據(jù)生命周期DCS強(qiáng)調(diào)數(shù)據(jù)處于中心位置，如何體現(xiàn)中心位置呢?這就需要站在數(shù)據(jù)的視角，把數(shù)據(jù)的完整生命周期(Data Life Circle)梳理出來(lái)，然后從數(shù)據(jù)生命周期的每個(gè)關(guān)鍵環(huán)節(jié)重新審視安全問(wèn)題和解法。

通過(guò)數(shù)據(jù)生命周期來(lái)看待DCS并不是某一家獨(dú)有的觀點(diǎn)，而是很多機(jī)構(gòu)共同支持的觀點(diǎn)。

只不過(guò)，大家對(duì)數(shù)據(jù)生命周期的劃分?jǐn)?shù)量和階段類型都不同。

一些文章用DLCM(Data Life Circle Model的簡(jiǎn)稱，數(shù)據(jù)生命周期模型)來(lái)表述數(shù)據(jù)的生命周期。

為便于閱讀，本文統(tǒng)一使用DLCM表示數(shù)據(jù)生命周期，并用DLCM-X來(lái)區(qū)分不同的數(shù)據(jù)生命周期模型，其中X表示劃分的階段數(shù)量。

針對(duì)DLCM的討論和劃分有很多種，有些機(jī)構(gòu)將數(shù)據(jù)生命周期分為5個(gè)階段，形成DLCM-5，有些則劃分成更多的階段，例如DLCM-6、DLCM-7、DLCM-10等。

本文，我們僅介紹幾個(gè)代表性的DLCM。

1. DLCM-6Securosis將數(shù)據(jù)生命周期劃分為6個(gè)階段，分別是：創(chuàng)建、存儲(chǔ)、使用、分享、存檔、銷毀。

而且，Securosis將這6個(gè)階段表示為單向流動(dòng)，即從創(chuàng)建開始依次流動(dòng)，直到銷毀結(jié)束，并在每個(gè)關(guān)鍵階段列出了對(duì)應(yīng)的數(shù)據(jù)安全技術(shù)，如下圖所示。

圖2. 數(shù)據(jù)生命周期模型DLCM-6圖中，數(shù)據(jù)分享階段的CMP技術(shù)是“Content Monitoring and Protection”的簡(jiǎn)稱，即數(shù)據(jù)內(nèi)容監(jiān)測(cè)與防護(hù)技術(shù)，這是DLP的核心技術(shù)。

圖中剩余關(guān)鍵技術(shù)都是常見(jiàn)技術(shù)，在本文不再詳細(xì)介紹。

2. DLCM-7Bloomberg在《7 phasesof a data pfe cycle》一文中，將數(shù)據(jù)生命周期劃分為7個(gè)階段，分別是：數(shù)據(jù)獲取、數(shù)據(jù)保存、數(shù)據(jù)合成、數(shù)據(jù)使用、數(shù)據(jù)發(fā)布、數(shù)據(jù)歸檔、數(shù)據(jù)清洗。

這個(gè)7段分法中，比較有特色的是數(shù)據(jù)合成(Data Synthesis)。

數(shù)據(jù)合成是一種數(shù)據(jù)分析過(guò)程，主要指通過(guò)多種數(shù)據(jù)共同計(jì)算產(chǎn)出更多數(shù)據(jù)價(jià)值的過(guò)程。

文章也提到，數(shù)據(jù)合成這個(gè)階段并不是常見(jiàn)的數(shù)據(jù)生命周期階段。

數(shù)據(jù)合成是連接數(shù)據(jù)保存和數(shù)據(jù)使用的中間階段，其中，對(duì)于數(shù)據(jù)最初的預(yù)處理是在數(shù)據(jù)保存階段完成的，而與實(shí)際業(yè)務(wù)直接相關(guān)的數(shù)據(jù)計(jì)算都在數(shù)據(jù)使用階段完成。

3. DLCM-11Uttaranchal University 的一篇論文將DLCM劃分為11個(gè)階段，分別是：收集、重要性判斷、用戶授權(quán)、分類、存儲(chǔ)、傳輸、存檔或轉(zhuǎn)換、發(fā)布、備份、留存、評(píng)估或移除。

DLCM-11增加了用戶授權(quán)階段，這一階段主要是通過(guò)訪問(wèn)控制相關(guān)技術(shù)實(shí)現(xiàn)正確的主體訪問(wèn)正確的數(shù)據(jù)。

不過(guò)，用戶授權(quán)并不是一個(gè)數(shù)據(jù)概念，而是一個(gè)系統(tǒng)概念，出現(xiàn)在數(shù)據(jù)生命周期中并不多見(jiàn)。

此外，DLCM-11也標(biāo)出了每個(gè)階段的風(fēng)險(xiǎn)等級(jí)，其中用戶授權(quán)、存儲(chǔ)、存檔或轉(zhuǎn)換這三個(gè)階段的風(fēng)險(xiǎn)等級(jí)最高。

而且，文章提到的風(fēng)險(xiǎn)等級(jí)都是指“數(shù)據(jù)泄露”的風(fēng)險(xiǎn)，并沒(méi)有考慮“數(shù)據(jù)濫用”和“數(shù)據(jù)誤用”問(wèn)題。

圖3. 數(shù)據(jù)生命周期模型DLCM-11

四、小結(jié)本文前面介紹了IBM、Symantec等幾個(gè)機(jī)構(gòu)對(duì)DCS的理解，不難看出，不同機(jī)構(gòu)在不同時(shí)期對(duì)DCS的理解角度不同，關(guān)注的重點(diǎn)也不同。

便于大家直觀理解各家DCS概念的區(qū)別，我們基于各家材料梳理形成了下表。

其中，部分機(jī)構(gòu)的DCS未在本文中展開介紹，感興趣的讀者可以根據(jù)參考文獻(xiàn)進(jìn)一步了解。

表1. 各家DSC核心組件對(duì)比大數(shù)據(jù)時(shí)代的數(shù)據(jù)安全是“舊瓶裝新酒”。

DCS(以數(shù)據(jù)為中心的安全)看上去是一個(gè)老的概念，但實(shí)際上是完全不同的新概念，所以不能用過(guò)去的思路理解今天的含義，也不能用過(guò)去的經(jīng)驗(yàn)來(lái)解決今天的數(shù)據(jù)安全問(wèn)題。

想要解決今天面對(duì)的數(shù)據(jù)安全問(wèn)題，創(chuàng)新是必不可少的。