数据安全“星熠”案例 |福建省某三甲医院医疗数据安全治理案例分享

　　随着大数据时代到来，数据源多样化，数据对象范围与分布更为广泛，对数据的安全保护更为困难。在对数据进行采集、存储、使用、共享等过程中，存在个人信息窃取、数据泄露以及数据滥采滥用、不当使用和违规违法交易等风险。近年来全球数据泄露事件呈逐年增长的趋势，严重影响到国家的主权、社会秩序、公共群体和个人利益。福建省某三甲医院医疗数据安全治理项目通过数据资产梳理、分类分级标识，明确数据对象、建立组织保障、制定分类分级标准、数据安全风险评估，完成数据资产底账构建，制定合理有效的数据安全策略，实现数据资产全局可视，从而减少数据遭受篡改、破坏、泄露、丢失或非法利用的可能，并协助医院数据满足国家相关法律法规及行业监管要求，有效提升了该医院数据数据安全防护能力。

　　关键词：数据资产梳理；分类分级；安全风险评估；暴露面分析；风险监测

　　1. 数据安全治理的背景

　　1.国家经济发展变革

　　“十四五”规划提出“迎接数字新时代，要激活数据要素潜能”，推进网络强国建设，加快建设数字经济、数字社会、数字政府，以数字化转型整体驱动生产方式、生活方式和治理方式变革[1]。

　　2.国家整体安全观

　　2020年4月中共中央、国务院发布明确将数据与土地、劳动力、资本、技术并列为五大生产要素[2]。数据已成为新兴的生产要素，是国家基础性和战略性资源。国家顶层对数据安全的认知已从传统的个人隐私保护上升到维护国家安全的高度。2021年至今颁布了多部和数据安全相关的法律如《中华人民共和国数据安全法》和《中华人民共和国个人信息保护法》[3]等，其中《数据安全法》明确要求建立健全全流程数据安全管理制度，建立数据分类分级保护制度、统筹协调有关部门指定重要数据目录，建立风险监测机制、定期开展风险评估、风险审查，发现数据安全缺陷和漏洞风险时立即采取补救措施等[4]，让数据安全活动真正跨入有法可依的新时代。2023年1月，工信部、国家网信办、国家发展改革委等十六部门印发《关于促进数据安全产业发展的指导意见》，提出到2025年，数据安全产业基础能力和综合实力明显增强，数据安全产业规模超过1500亿元。

　　3.医院数据安全现状

　　医院的健康医疗数据一方面为智慧医院建设提供重要支撑，蕴含着巨大价值，另一方面也隐含了大量的个人隐私，隐藏着巨大的数据安全风险。随着医院信息化的不断建设，医院的数据库中包含了大量的用户个人身份信息和检查信息，如病人就诊记录、临床数据、药品使用、身份证号、手机号、家庭住址、特殊疾病、医疗科研信息等，这些敏感数据高度集中，使医疗数据的价值越来越高，进而许多人铤而走险将黑手伸向医疗数据，因此对医疗数据的安全提出了更高的要求。目前许多医疗单位面临着诸多共性问题，如对数据资产现状不了解、核心数据和敏感数据分布不清，特别是对敏感数据在收集、存储、流转、共享等过程中的安全状态进行监测与分析,识别出异常行为，异常行为包括合法人员利用权限管理不足的特点对涉敏数据进行查看、篡改、盗取等[5]。因此应该开展健康医疗数据分类分级建设，明确敏感数据的分布及价值刻画，防范医疗数据泄露、保护患者个人隐私，保障数据安全，在充分释放健康医疗数据的价值的基础上，满足《数据安全法》和《个人信息保护法》等法律法规要求。

　　2. 项目介绍

　　2.1项目概述

　　本项目从数据安全管理组织建设、制度建设、技术能力规划建设等方面开展建设治理工作。在完善数据安全制度建设、数据资产梳理、分类分级、数据安全风险评估工作的基础上，通过对敏感数据的分布情况、数据资产安全隐患和数据使用的实际情况的掌握，有针对性地加强数据安全整体防御的各项措施，实现数据安全管控，可以有效地防止数据库高危操作、敏感数据泄露等安全风险，提升医院的整体数据安全防护能力。

　　2.2解决思路

　　（1）数据资产底账构建。全域的资产发现、梳理，构建一个完整的数据资产底账，通过可视化视图，全面掌握数据资产概况。

　　（2）数据分类分级建设。通过可信计算理论、人工智能技术及敏感数据识别技术，依据制定的数据分类分级规范，实现数据分类分级建设，掌握敏感数据分布，刻画数据的价值，明确保护对象。

　　（3）监控高风险操作。完整记录数据库访问行为，识别越权、高危操作等违规行为，数据全记录，完整审计业务信息，重溯高危操作，准确定责。

　　（4）监控敏感数据泄漏。监控敏感数据流向，对操作的用户、时间及地点等进行监控和实时告警。

　　（5）监控外部黑客攻击。通过入侵检测技术捕获和分析入侵攻击行为，监控SQL注入行为。

　　（6）多样的预警方式。系统提供基于灵活的策略配置、风险规则，实时高效告警，对风险行为进行syslog告警、snmp告警、windows报警、发送邮件、短信等方式告警，提供事后追踪分析工具。

　　（7）性能优化、辅助决策。为数据库安全管理与业务系统性能优化提供决策依据，掌控业务运行情况，直观评估运行性能，辅助决策。

　　（8）高效运维、提高内控。三权分立独立审计，高效运维，提高内控。

　　（9）合规审计。提供符合法律法规的报告，满足等级保护、企业内控、网络安全法、数据安全法、个人信息保护法等合规性要求。

　　2.3解决方案

　　（1）数据资产分析

　　数据资产分析服务以数据资产为基础，通过对业务系统发现、识别、梳理，掌握数据资产分布，帮助用户构建数据资产底账，通过对敏感数据识别、刻画数据的价值，明确保护对象，持续性对数据资产变更及数据库安全配置基线进行监测，及时发现数据资产变化、高危等漏洞和不合理安全配置，为用户打造好数据安全精细化管理的基础。

　　（2）数据分类分级

　　根据国家、地方或行业法律法规，结合用户实际业务，协助企业共同制定《数据分类分级规范》，并依据制定的规范对目标系统开展分类分级工作，基于个人信息安全规范、语义内容分析、正则表达式等对个人敏感数据和重要业务进行自动识别辅以人工打标相结合，完成数据资产分类分级打标工作，标识敏感数据，进行分类统计，建立重要的数据目录，为数据安全治理各项工作开展提供参考依据。

　　（3）数据安全风险评估

　　依据国家、行业等有关数据安全技术与管理标准，以数据资产为核心，从风险管理的角度，对数据资产的重要程度进行分析，确定重点评估对象，识别评估对象价值，评估数据资产在各应用场景面临的威胁及威胁利用脆弱性导致安全事件的可能性，全面掌控数据资产风险，并结合实际情况，给出合理数据资产风险应急处置预案。

　　（4）数据安全运营

　　常态化的安全运营是后续数据安全可持续性的保障，通过数据安全监管系统结合安全服务人员的专业技能，提供数据安全的日常驻点、重保值守、应急响应、安全事件溯源等，为业务系统提供全方位安全服务。

　　3. 关键技术

　　3.1整敏感数据识别技术

　　数据资产特征表示是敏感数据识别的关键，采用人工智能的表示学习方法，从大规模无标注的数据中自动学习得到语义和语法信息，利用神经网络建模数据间的关系，将各类数据映射至同一向量空间，自动学习得到数据资产的特征表示，敏感数据与非敏感数据呈现不同类型的数据分布，能够自主学习敏感数据特征，同时学习数据表示间的关系，从而区分敏感数据与非敏感数据。

　　3.2基于数据亲密度模型的数据资产安全动态监测技术

　　数据资产安全动态监测主要目的是安全态势要素的提取，以简单的方式对原始威胁信息的行为属性进行描述，得到有效信息。然后通过多种途径对数据流动的流量和日志信息进行解析，绘制数据流动大图，刻画数据资产之间的亲密度和动态关系图谱，可利用该图谱对用户行为进行综合分析，发现重要数据的流转过程。

　　3.3基于博弈体系的APT主动防御方法

　　APT高级可持续威胁是数据资产安全重大风险，在识别出敏感数据前提下，针对敏感数据资产的APT攻击，能够启动主动防御措施。防御者的最终目的是在纳什均衡的前提下使自身的收益提高、对方的收益下降。防御者通过识别敏感数据，在攻击发生时，计算攻击者收益，大致测算攻击者的攻击路线，及时对敏感数据做出防御响应策略。

　　4. 结束语

　　该项目成果目前已服务于政府、医疗、教育、金融、电力、等多行业的用户，帮助用户建立健全数据安全治理体系，通过对敏感数据的分布情况、数据资产安全隐患和数据使用的实际情况的掌握，有针对性的加强数据安全整体防御的各项措施，实现数据安全管控，为赋能我国数字经济、数字中国和智慧社会建设高质量发展保驾护航。

　　参考文献：

　　[1]中华人民共和国中央人民政府.中国国民经济和社会发展第十四个五年规划和2035年远景目标纲要[EB/OL].（2021.03.13）[2022.08.14]http://www.gov.cn/xinwen/2021-03/13/content_5592681.htm

　　[2]中华人民共和国中央人民政府.关于构建更加完善的要素市场化配置体制机制的意见[EB/OL].（2020.04.09）[2022.08.14]http://www.gov.cn/zhengce/2020-04/09/content_5500622.htm

　　[3]中国人大网.中华人民共和国个人信息保护法[EB/OL].（2021.08.20）[2022.08.14].http://www.npc.gov.cn/npc/c30834/202108/a8c4e3672c74491a80b53a172bb753fe.shtml

　　[4]中国人大网.中华人民共和国数据安全法[EB/OL].（2021.06.10）[2022.08.14].http://www.npc.gov.cn/npc/c30834/202106/7c9af12f51334a73b56d7938f99a788a.shtml

　　[5]曾礼，刘超. 面向政务数据泄露风险的数据安全监测方案[J]. 信息安全研究，2021，7（增刊）：83-86

　　[6]国家标准化管理委员会.GB/T 35273—2020 信息安全技术个人信息安全规范[S]．北京：中国标准出版社，2020

　　[7]国家标准化管理委员会.GB/T 39725-2020 信息安全技术健康医疗数据安全指南[S]．北京：中国标准出版社，2020

　　[8]全国信息安全标准化技术委员会.TC260-PG-20212A 网络安全标准实践指南—数据分类分级指引[S]．北京：全国信息安全标准化技术委员会秘书处,2021

　　本文作者：张信勇，福建中信网安信息科技有限公司，主要研究方向为网络安全、数据安全、数据安全风险评估及相关治理服务。