60多個核心技術系統，涉及全世界近百家供應商，服務8大類客戶群，全球矚目的體育盛事……如何保障2022北京冬奧數據安全“零事故”?沒有能借鑒的行業成熟先例，更沒有可參考的成功經驗模式，奇安信通過在實踐中的不斷探索，尋找到了一條建設路徑。
北京冬奧會之前，業界普遍認為網絡安全不存在“絕對安全”的狀態，數據安全更是如此。從歷屆奧運會來看，數據都是黑客、不法分子們覬覦的目標，2012年倫敦奧運、2016年里約奧運、2020年東京奧運等都出現過不少數據泄露事件，這足可見數據安全保障的任務難度和艱巨性。
2022北京冬奧堪稱數字科技含量最高的一屆冬奧會，對數據安全保障提出更苛刻的要求。作為北京冬奧網絡安全官方贊助商，奇安信早在開幕前數百天，就作出了“合規不踩線、數據不出事、業務不中斷”的“零事故”承諾。在具體實踐中，奇安信以冬奧數據資產為核心，打造“監測—分析—調整—控制”的數據安全閉環體系，一方面全面保障數據安全和隱私保護合規;另一方面，確保整個冬奧期間未發生一起數據泄露事件，圓滿完成冬奧數據安全的保障任務并兌現“零事故”承諾。
第一步：梳理數據資產，做好分級分類，識別敏感數據
知己知彼，方能百戰不殆。“相比于終端、網絡、數據中心等可見設備，數據總是無形和抽象的。尤其北京冬奧會涉及的業務環境可以說空前復雜，各類數據在60多個技術系統中持續流動，如何在一團亂麻的數據資產中抽絲剝繭、理清思路,從而對癥下藥、量體裁衣，是冬奧數據安全面臨的首要挑戰。”奇安信冬奧保障數據安全負責人這樣表示。
圖：北京冬奧會涉及業務環境
針對這些挑戰，奇安信數據安全團隊很早就進入場內，系統化梳理冬奧會的網絡、信息系統及數據，并在收集、傳輸、存儲、使用和銷毀各個環節，掌握重要的數據存在哪、誰在使用、如何使用這三個核心問題。
掌握了這些基礎信息，團隊進一步梳理已有安全措施情況，是否應用于重要數據資產的環境，從而形成詳實、全面的數據資產梳理報告。依托該報告作為指導依據，團隊全面開展數據分類分級。
其中在分類方面，冬奧數據安全保障團隊根據來源和應用屬性的不同，將個人數據、競賽數據、業務數據、運行和安全數據依次分為A類、B類、C類、D類四大類。在安全分級方面，根據流轉場景和安全需求的不同，將其劃分為公開級(L1)、內部級(L2)、敏感級(L3)、高敏感級(L4)四個等級。
圖：冬奧數據分級分類
“個人信息是冬奧數據最重要的部分。拿個人信息舉例，它就可以分為四級：合法公開的某個運動員身高、生日，就是L1公開級數據;如果是內部公開的工作人員信息，如工作人員的職務、電子郵箱、工作電話等，就是L2內部級數據;而到了個人基本資料、網絡身份標識信息、個人教育工作信息、個人通信信息等牽涉私人信息的話，就屬于L3敏感級;如果是個人身份、生物識別、網絡身份鑒權、個人健康生理、個人財產或其他隱私信息的話，就屬于L4高敏感級數據了。”該負責人表示。
通過數據資產梳理和分類分級矩陣，任何數據都可以對應響應的類別和分級，并能快速識別敏感數據。
第二步：依據不同級別，識別敏感數據，制定管控策略
完成冬奧海量數據分類分級，并定位和識別敏感數據之后，相關的安全策略和措施就可以有的放矢了。
首先，加密是數據安全的最基礎工作，針對不同級別的數據制定不同的加密策略。本次冬奧首個建設完成的專項，就是奇安信實施的冬奧密碼專項。該項目遵循“冬奧網絡安全總體規劃”，是奧運歷史上首次使用國密算法保護信息系統的核心數據，實現了高安全(等保三級、密評安全三級)，高復雜環境(國內外、云與本地)，以及密碼與網絡安全密切配合的密碼服務能力。
同時，本著分層、精細化的原則，建立了與數據級別相對應的分層數據權限管理體系。其中包括：根據數據級別制定相應數據授權審批流程，合理授予、管理數據權限;高敏感級和敏感級數據僅能通過高權限賬戶訪問、提取和使用，高權限賬戶的數量應嚴格限制;采取措施保障數據細粒度訪問控制
第三步：基于管控平臺+多種組件，實現數據流轉全鏈路風險監測
只有全鏈路監測、全穿透識別，才能做到數據安全風險看得清。在冬奧數據安全專項上，奇安信部署了數據庫監測、身份認證監測、流轉數據監測、跨境數據監測、應用訪問監測、API訪問監測、運維訪問監測、終端訪問監測等多種監測組件，采用多種監測方法，清晰地看全數據流轉和訪問的完整路徑，直觀了解數據的流轉情況，能及時發現異常和風險，做到數據流轉的全鏈路可視。
北京冬奧是全球性的體育盛事，有91個國家和地區參加，存在廣泛的數據跨境流動的場景。針對該場景，奇安信可以看清數據出境的數量、種類、范圍、敏感程度，清晰掌握企業數據的出境情況，及時發現違規行為，對于出現數據出境違法違規的情況進行溯源取證。在發生數據違規情況后，通過數據安全管控平臺與跨境數據監測系統、零信任安全網關的聯動，及時制定處置策略，降低風險發生概率。
冬奧業務系統和網絡部署多種監測組件，并依托數據安全管控平臺，最終實現了數據流轉全鏈路風險監測。
第四步：風險關聯分析，實現更精準的綜合研判
能看見風險、看清風險固然重要，但如果安全策略過嚴，可能影響正常業務運行和數據流動，過松則會導致風險事件升級。因此，對風險進行關聯分析，實現更精準的綜合研判至關重要。
圖：冬奧風險關聯分析及綜合研判
在冬奧項目中，安全團隊基于復雜多樣的業務場景特性，配置專有的風險分析策略，并構建風險分析模型，實現多源數據的關聯分析。例如對用戶登錄活動、訪問行為、數據庫查詢、API調用等監測數據進行關聯分析，一旦發生數據違規事件，及時發現并告警;產生告警后，結合預置的各類檢測規則和策略，實現告警歸并和事件快速定位，同時綜合敏感數據分布、數據流轉情況、用戶行為畫像、異常行為監測等信息，對數據安全事件進行可視化呈現。
通過多維度、多規則、精細化的風險分析策略，以及強大的風險分析模型，安全團隊能夠用全局視角，及時發現“隱蔽”的數據安全事件，并進行精準的綜合研判。
第五步：動態策略調整及控制措施下達
在訪問控制上，奇安信為冬奧打造了多維訪問控制模型，能對數據操作、特權訪問、應用訪問等不同顆粒度進行精準管控。這樣一來，能及時制止高危數據安全行為，有效化解從內部“正常用戶”對外泄露敏感數據的危機。
比如，通過數據安全管控平臺，可以實現動態策略調整，并將調整后的策略下發到相應的控制網關，如在運維安全網關方面，調整運維操作權限，高危指令阻斷，敏感操作二次授權;在零信任安全網關方面，通過調整身份賬號權限，縮小數據訪問權限范圍;在API安全網關方面，針對高危API進行限流限速，緊急情況下阻斷該API;在終端安全網關方面，結合策略，阻斷該終端敏感文件外發行為;在數據庫運維網關方面，對數據庫的操作進行細粒度審計和管控，并憑借強大的風險關聯分析能力，發現數據庫管理員針對數據庫的惡意拖庫、刪庫行為，并及時進行動態策略調整。
通過面向5W1H的細顆粒度訪問控制策略，正確的人(WHO)、正確的時間(WHEN)、正確的地點(WHERE)、正確的原因(WHY)，用正確的方法(HOW)訪問授權數據(WHAT)，并基于多屬性、多來源風險進行動態策略調整，覆蓋端到端的全鏈路風險納管與綜合評估，提升風險響應實時性，確保冬奧數據資產安全。
結束語：
圖：冬奧數據安全產品部署圖
如果說2022北京冬奧網絡安全保障是一張空前復雜的考試答卷，那么數據安全堪稱這份考卷中復雜度最高的壓軸大題。在北京冬奧數據安全保障中，奇安信基于體系化理念，制定了包括數據資產梳理/分級分類、制定管控策略、全鏈路風險監測、風險關聯分析及綜合研判、動態策略調整及控制措施下達等分步驟的完整方案，解決各種主要的數據安全問題，做到“能看清、能管好、能防住”，成了史上最復雜的數據安全保障任務。
數據顯示，整個冬奧防護期間，奇安信成功抵御了含社會面攻擊超過3.8億次，創造了包括數據安全在內的“零事故”記錄。更重要的是，“零事故”讓數據安全建設結果可評估、可衡量，為客戶構建其全新的安全建設結果評價體系提供了范式，顯著提升了行業競爭門檻，形成了公司差異化的競爭壁壘。
