客户案例｜政务数据安全建设怎么做？山石网科在实践中优化出新方案

山石网科深刻理解合规要求并紧贴客户场景

依托自身数据安全能力

助力西北某市局视频专网政务数据共享安全建设

随着“数字政府”建设的持续、深化发展，西北某市局对于视频专网中的政务数据利用和共享的需求日益强烈，政务数据共享的边界不断外延，数据价值也在“流动”中得以体现。与此同时，视频专网政务数据共享对其网络安全、信息安全提出了更高的要求。远程办公、内外业务协同、组织分支互联等需求的变化，让边界逐渐泛化，极大的增加了其安全防护风险。过往粗放型的数据使用和管理体系已很难适应当下的数字化业务系统。如何防护敏感数据泄露，让数字化建设与网络安全保障双强化，成为该局迫在眉睫的问题。
另一方面，伴随着信息安全形势的变化和发展，政务数据的重要性越来越凸显，相关的法律法规、标准要求、行业指南等层出不穷，不同的监管机构均对如何保护组织和个人的敏感数据提出了对应的监管要求，从趋势来看监管机构对于政务数据保护的要求越来越细化，而且监管也越来越严格和具备强制性。因此，如何满足不同监管机构的数据安全保护要求已经成了合规的重要议题。
西北某市局视频专网政务数据共享安全建设项目整体方案以数据安全治理体系框架为依据，加强了对政务数据全生命周期的安全监测与保护，建立起政务数据全过程的纵深安全保护体系，对政务数据产业健康发展起到重要作用。

图注：山石网科以数据为中心的安全治理体系框架

项目优先建立数据安全治理委员会，安全建设过程中定岗定责，确定视频专网政务数据安全战略方针，制定符合自身的数据安全治理的政策，并落实和监督政策有效执行。为该局视频专网政务数据安全治理的开展、落实提供了基本保障，为制度的建立和落地提供了人员基础。
为了对该局视频专网政务数据进行资产梳理、分类分级和风险评估，我们首先使用山石网科数据安全综合治理平台定位和发现活跃、静默、“僵尸”类型资产，进行全面定位和记录；同时对比历史和现有数据资产底账表，对差距资产进行责任人、责任部门登记，形成整体数据资产清单；接着，通过部门访谈和技术工具调研识别视频专网业务流程、相关数据活动、参与主体等信息，遵循国家标准，按照该局视频专网实际业务需求编写数据分类分级标准及指南，并制定分类分级具体实施流程，帮助该局厘清数据资产、确定数据资产重要性及敏感度；最后，协助该局发现视频专网政务数据存在的安全隐患和风险。一方面依据资产价值评估、脆弱性评估和威胁性评估，最终形成数据资产风险评估；另一方面基于视频专网业务流程对数据在全生命周期的安全管控进行评估，用于指导安全建设。

图注：数据安全风险评估流程

在技术能力搭建上，首先我们认为数据安全治理永远不是从零开始的，需要基于基础的网络安全建设水平之上，因此通过部署防火墙、内网威胁感知、运维安全网关、智能安全运营系统、日志审计平台等产品提升其网络边界防护、内网威胁监测、运维管理等能力，在实现充分防护的基础上，实现业务影响最小化，体现了业务零感知的方案思路。其次聚焦数据安全高阶能力搭建，依托山石网科数据安全综合治理平台，提供数据资产可视化、安全能力集中化、运营分析体系化、制度流程标准化的支撑能力，全面梳理和盘点组织内数据资产，如人脸识别、车辆识别、车辆轨迹、警用地理、安防执法等核心业务数据，对数据全生命周期实施安全保障，集中化管理数据安全防控策略，有效监测数据使用、流转及共享过程中的安全态势及风险。
视频专网政务数据结构和形态会在整个生命周期中不断变化，需要釆用多种安全工具支撑安全策略的实施，确保数据安全治理需求和数据保护合理有效执行落地，达到最佳实践。因此，我们还借助山石网科数据库审计与防护系统以旁路镜像的方式部署在应用程序和数据库服务器之间的交换机上，通过对外部访问视频专网政务数据库的行为、内容等进行采集、存储、分析，实现完全独立于数据库的审计功能。同时，通过部署山石网科静态数据脱敏系统，可将视频专网政务数据从生产环境抽取并脱敏后共享到公安信息网、政务外网、社会资源网等其他外部场景，以实现政务资源的安全共享。

图注：西北某市局视频专网数据安全建设拓扑示意

数据安全运营体系建设方面，通过视频专网对安全运营的场景梳理、过程拆分，形成标准化的流程机制。基于标准化的流程，考量岗位需求、人员需求，能力需求，并有针对性的进行组织补齐和人员能力提升。通过组织建设和人员能力的针对性构建，形成西北某市局视频专网的安全运营能力，以保证其数据安全治理目标的达成。同时数据安全运营能力也能反过来保障相关规章制度落地及技术能力的有效使用，从而整体提高数据安全能力和全员数据安全意识，达到可持续数据安全建设的目的。
本次项目在明确数据共享价值的同时，厘清了视频专网政务数据应用场景，为数据安全建设提供了新思路、新方案，同时也为进一步建立政务数据共享的标准体系、开展风险评估与管控打下了坚实基础，有效提高了政务数据安全管理水平。未来，山石网科将继续依托自身技术优势和创新实践能力，优化数据安全治理能力，赋能组织数据安全建设，致力于成为您优质、可靠的伙伴！