方案背景
随着网络信息技术创新日新月异，数据规模不断扩大。在以数据为关键要素的数字经济发展历程中，数据价值也由最初的数据资源发展成为数据资产，再进一步发展为数据资本。
《2022年基础电信企业专业公司网络与信息安全工作考核要点与评分标准》中要求，一是重要数据识别备案。按照《电信领域重要数据和核心数据识别指南（试行）》要求，梳理识别本企业重要数据和核心数据。二是按照电信主管部门关于重要数据(含核心数据）安全管理要求，建立数据安全工作体系，明确数据安全负责人和管理机构；明确数据处理关键岗位和岗位职责；建立内部登记、审批机制，对于重要数据的处理活动进行严格管理并留存记录。三是重要数据安全风险评估和监测处置。落实《数据安全法》对重要数据处理活动的风险评估要求。
综上所述，目前国家侧、社会侧、企业内部侧已越来越重视数据安全建设，电信行业监管单位在技术手段、综合管理手段也相继提出了更多要求。保障数据安全、确保业务稳定运行，已经成为每一个电信企业应该严格遵循且持续保障的。
用户需求
1、合规方面
根据《网络安全法》、《数据安全法》、《个人信息保护法》以及省级基础电信企业网络与信息安全工作考核要点和行业标准规范，以可持续发展、逐层迭代为核心理念，建设以数据分类分级、差异化管控为基础的数据资产管理平台。以数据全生命周期保障为核心，建设具备审计、访问控制、加密、脱敏及数据防泄漏等技术能力的安全保障平台。建设以全局视角、精细化管理为核心的数据安全管控平台。
2、合需方面
过去“创可贴”式安全已不能满足新技术、新业务综合应用下的新业务场景数据安全保障。目前主要数据安全风险或问题：
（1）当前缺少数据分类分级规范，防护措施不清晰；
（2）缺少访问控制，存在异常行为无法阻断的问题；
（3）数据审计维度不足，不能满足内部审计需要；
（4）缺少统一管理手段，资产理不清、管控能力不足；
（5）缺少数据脱敏和敏感数据监测机制，存在数据泄露风险等问题或风险。
技术方案
1功能架构
中安威士针对电信行业的数据安全建设，以合规、可视、可控、可管为目标，利用相关技术能力，实现围绕数据全生命周期的数据安全帮助。整体架构如下图所示。
2部署架构
数据安全管控平台。与访问和操作审计管理、接口安全管理、数据资产管理、数据数据脱敏管理网络可达，以便进行统一安全管理。同时提供对外服务能力。
数据透明加密。与业务区数据库网络可达，以便对数据进行加密。
数据动态脱敏。与数据库网络可达，便可实现数据动态脱敏。
数据静态脱敏。与业务区（源数据库）及开发测试区各数据库（目标数据库）网络可达，对源数据库中数据脱敏处理后发送至目标库中。
数据访问控制。直路代理模式，透明部署，直连数据库之前；单臂代理模式。数据库防火墙旁路接入，系统需设置IP地址。
数据安全审计。将流量镜像至系统中，如果数据库为虚拟化方式，需要在对应数据库服务中安装流量采集探针，系统需与流量采集探针网络可达。
接口安全管理。将流量镜像至系统中，以便实现对跨安全域及互联网传输场景下的接口管理。
数据水印管理。与业务区（源数据库）及开发测试区各数据库（目标数据库）网络可达，对源数据库中数据加水印后发送至目标库中。
数据泄露监测管理。将镜像至系统中，以便实现对非结构化数据的泄露监测。
数据资产管理。与数据库网络可达；将流量镜像至系统中（如部署了访问和操作审计管理系统则无需镜像流量）。
方案价值
1、经济效益
通过建设贴身、动态、可持续性的数据安全技术保障体系，保障业务相对安全稳定运行，助力产业转型升级和提质增效,支撑经济发展新动能，保障组织发展战略更好落地。通过对业务及战略的有效支撑，实现组织业务可持续、稳定的产生价值。同时有数据安全作为保障，减少因数据泄露产生的经济损害，摘掉安全威胁“紧箍咒”，提升组织数字竞争力和拓展数字经济空间潜力。
2、社会效益
通过建设数据安全管控技术体系，让数据在社会治理过程中安全、持续、高效应用，协助相关单位提供一系列的社会治理服务，助力社会精细治理模式完善。
3、技术效益
通过建设数据安全管控技术体系，加强对数据的保护能力，弥补传统安全防护体系技术的缺点，实现数据的全方面安全治理；利用数据识别技术，确保各类数据处理场景中数据脱敏的有效性和合规性；利用操作审计技术，能够防范数据操作违规或攻击事件；利用数据防泄漏技术，及时对异常数据操作行为进行预警监测，防范数据泄露风险；利用接口安全管理技术，能够限制违规设备接入，对接口调用进行必要的自动监控和处理；利用加密、去标识化等技术，有效防止个人敏感信息的泄露。通过多项技术能力建设，形成事前防范、事中管控、事后稽查与审计的管控闭环。
新技术应用是为了更好支持业务不断发展，在应用过程中，如何解决新技术产生的新风险则尤为重要。以数据为核心的安全管控技术体系建设，在业务技术与数据之间建立“护城河”，有效解决新技术风险对数据的破坏行为，提升组织持续保障和管控能力。
