董玉樂

（中國(guó)鐵路北京局集團(tuán)有限公司 調(diào)度所，北京 100036）

數(shù)字化已成為社會(huì)經(jīng)濟(jì)發(fā)展的新引擎[1]。在5G移動(dòng)通信技術(shù)、云計(jì)算、物聯(lián)網(wǎng)、大數(shù)據(jù)、移動(dòng)互聯(lián)、區(qū)塊鏈等新興科技的加持下，我國(guó)眾多行業(yè)均迎來(lái)了一場(chǎng)數(shù)字化轉(zhuǎn)型升級(jí)的變革。

鐵路企事業(yè)單位（簡(jiǎn)稱：鐵路單位）的數(shù)字化發(fā)展對(duì)其網(wǎng)絡(luò)安全和信息安全提出了更高的要求。遠(yuǎn)程辦公、內(nèi)外業(yè)務(wù)協(xié)同、組織分支互聯(lián)等需求的變化，讓組織邊界逐漸泛化，安全防護(hù)風(fēng)險(xiǎn)增大。過往粗放型的數(shù)據(jù)使用和管理體系已很難適應(yīng)當(dāng)下的數(shù)字化業(yè)務(wù)系統(tǒng)。如何防護(hù)敏感數(shù)據(jù)泄露，讓數(shù)字化建設(shè)與網(wǎng)絡(luò)安全保障雙強(qiáng)化，成為鐵路單位急需解決的問題[2]。隨著信息安全形勢(shì)的變化和發(fā)展，數(shù)據(jù)的重要性逐漸凸顯，相關(guān)的法律法規(guī)、標(biāo)準(zhǔn)要求、行業(yè)指南層出不窮，各監(jiān)管機(jī)構(gòu)對(duì)如何保護(hù)組織和個(gè)人的敏感數(shù)據(jù)均提出了對(duì)應(yīng)的監(jiān)管要求。其對(duì)數(shù)據(jù)保護(hù)的要求越來(lái)越細(xì)化，監(jiān)管也越來(lái)越嚴(yán)格且具有強(qiáng)制性[3]。如何對(duì)與采購(gòu)業(yè)務(wù)相關(guān)的數(shù)據(jù)進(jìn)行安全治理，從而滿足不同監(jiān)管機(jī)構(gòu)的數(shù)據(jù)安全保護(hù)要求，是鐵路單位亟待解決的重要問題。

1 數(shù)據(jù)安全治理必要性

鐵路單位每年都有大量資金用于物資采購(gòu)，對(duì)采購(gòu)業(yè)務(wù)相關(guān)數(shù)據(jù)保密也是其采購(gòu)部門的重點(diǎn)工作之一。采購(gòu)業(yè)務(wù)相關(guān)數(shù)據(jù)泄密風(fēng)險(xiǎn)防控工作面臨“點(diǎn)多、面廣、戰(zhàn)線長(zhǎng)、參與人員多”的情況，且涉密信息受到投標(biāo)人及利益相關(guān)方的高度關(guān)注。鐵路單位的信息安全面臨嚴(yán)峻挑戰(zhàn)，僅依靠相關(guān)人員安全意識(shí)的提升和制度的完善，難以實(shí)現(xiàn)對(duì)泄密事件的事前預(yù)防和事后追溯，必須依靠相應(yīng)的技術(shù)和管理手段，對(duì)采購(gòu)業(yè)務(wù)領(lǐng)域涉密資料的全過程進(jìn)行監(jiān)督和管控，才能有效開展保密工作。管理者亟需通過相關(guān)措施建立單位內(nèi)部整體數(shù)據(jù)安全治理體系，有效支撐采購(gòu)業(yè)務(wù)核心資料的保密工作。

2 數(shù)據(jù)安全治理探討

相較于傳統(tǒng)的網(wǎng)絡(luò)安全建設(shè)，數(shù)據(jù)安全治理對(duì)“科學(xué)性”“系統(tǒng)性”提出更高要求，由于數(shù)據(jù)與業(yè)務(wù)相伴相生，關(guān)系密切，所以對(duì)鐵路單位采購(gòu)業(yè)務(wù)相關(guān)數(shù)據(jù)的安全治理必須采取業(yè)務(wù)場(chǎng)景與數(shù)據(jù)流轉(zhuǎn)深度綁定的措施[4]。通過組織建設(shè)、現(xiàn)狀摸底、數(shù)據(jù)分類分級(jí)、風(fēng)險(xiǎn)評(píng)估、體系建設(shè)、員工培訓(xùn)等方式科學(xué)地進(jìn)行。

2.1 組織建設(shè)

《中華人民共和國(guó)數(shù)據(jù)安全法》和《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》均要求要有專門的組織和人員負(fù)責(zé)數(shù)據(jù)安全治理，并定崗定責(zé)。因此，在鐵路單位采購(gòu)業(yè)務(wù)相關(guān)數(shù)據(jù)安全治理的過程中，要成立專門的數(shù)據(jù)安全治理機(jī)構(gòu)或工作小組[5]，制定符合自身的數(shù)據(jù)安全治理政策，并落實(shí)和監(jiān)督政策的有效執(zhí)行。

2.2 現(xiàn)狀摸底

需要對(duì)數(shù)據(jù)資產(chǎn)現(xiàn)狀進(jìn)行清查摸底，即通過多種方式來(lái)發(fā)現(xiàn)數(shù)據(jù)所有者、存儲(chǔ)位置、整體業(yè)務(wù)架構(gòu)等信息。對(duì)鐵路單位進(jìn)行前期摸底調(diào)研的主要內(nèi)容包括：（1）單位的數(shù)據(jù)安全治理戰(zhàn)略方針；（2）業(yè)務(wù)及相應(yīng)的業(yè)務(wù)系統(tǒng)情況，業(yè)務(wù)系統(tǒng)的開放形式、訪問方式、交互方式，業(yè)務(wù)系統(tǒng)相關(guān)數(shù)據(jù)是否涉及個(gè)人隱私信息；（3）業(yè)務(wù)數(shù)據(jù)存儲(chǔ)的形式、位置及訪問的方式，數(shù)據(jù)的重要性、影響范圍和影響程度；（4）現(xiàn)有信息系統(tǒng)建設(shè)及數(shù)據(jù)安全建設(shè)情況。還需參考《中華人民共和國(guó)網(wǎng)絡(luò)安全法》《中華人民共和國(guó)數(shù)據(jù)安全法》《中華人民共和國(guó)個(gè)人信息保護(hù)法》等法律中的相關(guān)規(guī)定要求，合法合規(guī)管控涉密資料的流轉(zhuǎn)。

2.3 數(shù)據(jù)分類分級(jí)

基于現(xiàn)行行業(yè)標(biāo)準(zhǔn)與安全實(shí)踐經(jīng)驗(yàn)制定合理、有效的數(shù)據(jù)分類分級(jí)規(guī)則，對(duì)鐵路單位采購(gòu)業(yè)務(wù)相關(guān)數(shù)據(jù)資產(chǎn)進(jìn)行全盤梳理，為實(shí)現(xiàn)“核心數(shù)據(jù)安全優(yōu)先，其余效率優(yōu)先”的差異化防護(hù)打下基礎(chǔ)。通過訪談、文件審核、查看系統(tǒng)、查看數(shù)據(jù)庫(kù)等方式，梳理現(xiàn)有鐵路單位采購(gòu)業(yè)務(wù)相關(guān)數(shù)據(jù)覆蓋的數(shù)據(jù)范圍及預(yù)測(cè)未來(lái)可能覆蓋的數(shù)據(jù)范圍，形成數(shù)據(jù)目錄結(jié)構(gòu)；依據(jù)國(guó)家相關(guān)的法律法規(guī)及行業(yè)規(guī)范，考慮數(shù)據(jù)對(duì)國(guó)家安全、社會(huì)穩(wěn)定和公民安全的重要程度，結(jié)合以往項(xiàng)目實(shí)踐經(jīng)驗(yàn)，完成對(duì)鐵路單位采購(gòu)業(yè)務(wù)相關(guān)數(shù)據(jù)的分類分級(jí)指導(dǎo)規(guī)范；依據(jù)數(shù)據(jù)分類分級(jí)指南，通過分類分級(jí)工具，結(jié)合人工的方式，對(duì)鐵路單位的采購(gòu)業(yè)務(wù)相關(guān)數(shù)據(jù)進(jìn)行標(biāo)簽管理，明確數(shù)據(jù)的類別級(jí)別；同時(shí)隨著政策變化，并基于日常實(shí)際運(yùn)營(yíng)情況，及時(shí)對(duì)數(shù)據(jù)的分類分級(jí)指南等進(jìn)行調(diào)整和更新。

2.3.1 結(jié)構(gòu)化數(shù)據(jù)

通過部署數(shù)據(jù)庫(kù)掃描監(jiān)控系統(tǒng)，實(shí)現(xiàn)對(duì)鐵路單位采購(gòu)業(yè)務(wù)相關(guān)數(shù)據(jù)的自動(dòng)發(fā)現(xiàn)、分析和梳理，按照內(nèi)置或自定義策略進(jìn)行分類分級(jí)，確保鐵路單位用戶對(duì)大數(shù)據(jù)平臺(tái)內(nèi)數(shù)據(jù)資產(chǎn)的可視化管理，為用戶對(duì)采購(gòu)業(yè)務(wù)相關(guān)數(shù)據(jù)的使用和管理提供依據(jù)。同時(shí)，通過數(shù)據(jù)庫(kù)掃描監(jiān)控系統(tǒng)的風(fēng)險(xiǎn)掃描和監(jiān)控功能，確保提前發(fā)現(xiàn)、提前處置數(shù)據(jù)庫(kù)漏洞和不穩(wěn)定因素，保障數(shù)據(jù)庫(kù)安全穩(wěn)定運(yùn)行。

2.3.2 非結(jié)構(gòu)化數(shù)據(jù)

采用基于語(yǔ)義特征的自然語(yǔ)言處理內(nèi)容識(shí)別技術(shù)對(duì)鐵路單位采購(gòu)業(yè)務(wù)相關(guān)數(shù)據(jù)進(jìn)行實(shí)時(shí)、精準(zhǔn)分類。該技術(shù)通過無(wú)監(jiān)督機(jī)器學(xué)習(xí)引擎分析大量未經(jīng)標(biāo)注的原始文檔集，自動(dòng)按照內(nèi)容進(jìn)行主題梳理，并通過人工干預(yù)，靈活調(diào)整語(yǔ)義相似度，獲得滿意的聚類結(jié)果；將聚類結(jié)果作為標(biāo)注樣本，實(shí)施有監(jiān)督機(jī)器學(xué)習(xí)，提取短句或長(zhǎng)組合詞作為語(yǔ)義特征，自動(dòng)生成分類規(guī)則庫(kù)。在此過程中，用戶亦可人工干預(yù)特征選擇，進(jìn)行漏報(bào)及誤報(bào)樣本的提取及規(guī)則優(yōu)化，使用反向?qū)φ諛颖炯訌?qiáng)訓(xùn)練，進(jìn)而提升工作效率及分類準(zhǔn)確性。將文本分類規(guī)則推送至部署在業(yè)務(wù)系統(tǒng)中端點(diǎn)、服務(wù)器和網(wǎng)絡(luò)等處的輕量化分布式分類器，即可實(shí)時(shí)感知關(guān)鍵數(shù)據(jù)的分布和使用狀況。

2.4 風(fēng)險(xiǎn)評(píng)估

完成數(shù)據(jù)分類分級(jí)后，結(jié)合《GB/T 37 988-2019信息安全技術(shù)數(shù)據(jù)安全能力成熟度模型》中對(duì)數(shù)據(jù)安全能力成熟度等級(jí)及數(shù)據(jù)生存周期安全過程域劃分的定義，可發(fā)現(xiàn)鐵路單位采購(gòu)業(yè)務(wù)相關(guān)數(shù)據(jù)全生命周期安全管控能力在技術(shù)與管理方面的脆弱性，從而發(fā)現(xiàn)自身數(shù)據(jù)安全問題和短板，明確數(shù)據(jù)安全保護(hù)需求，為數(shù)據(jù)安全治理的建設(shè)指明方向[6]。

2.5 體系建設(shè)

為遵循同步規(guī)劃、同步建設(shè)、同步運(yùn)行的思想，有序落地?cái)?shù)據(jù)安全防護(hù)措施，鐵路單位需建立采購(gòu)業(yè)務(wù)相關(guān)數(shù)據(jù)安全治理體系，本文提出的體系建設(shè)包括數(shù)據(jù)安全制度規(guī)范、數(shù)據(jù)安全技術(shù)防護(hù)、數(shù)據(jù)安全運(yùn)行管理和數(shù)據(jù)安全監(jiān)查與應(yīng)急4個(gè)部分。

2.5.1 數(shù)據(jù)安全制度規(guī)范

采購(gòu)業(yè)務(wù)數(shù)據(jù)安全管理制度規(guī)范主要包含以下4個(gè)方面內(nèi)容。

（1）保護(hù)方針策略。根據(jù)鐵路單位采購(gòu)業(yè)務(wù)數(shù)據(jù)安全保護(hù)需求，包括數(shù)據(jù)安全管理相關(guān)方的要求，建立采購(gòu)業(yè)務(wù)數(shù)據(jù)安全保護(hù)方針策略。

（2）保護(hù)目標(biāo)。根據(jù)數(shù)據(jù)安全保護(hù)策略，針對(duì)采購(gòu)申請(qǐng)、采購(gòu)訂貨、進(jìn)料檢驗(yàn)、倉(cāng)庫(kù)收料、供應(yīng)商、價(jià)格及供貨信息等數(shù)據(jù)，確定每類數(shù)據(jù)的數(shù)據(jù)安全保護(hù)目標(biāo)，形成采購(gòu)業(yè)務(wù)數(shù)據(jù)安全保護(hù)目標(biāo)文件。

（3）保護(hù)計(jì)劃。由數(shù)據(jù)安全保護(hù)責(zé)任人對(duì)實(shí)現(xiàn)數(shù)據(jù)安全保護(hù)目標(biāo)進(jìn)行策劃，并依據(jù)策劃文件，制定采購(gòu)業(yè)務(wù)數(shù)據(jù)安全保護(hù)計(jì)劃。

（4）人力資源與保障。確定采購(gòu)部門為承擔(dān)數(shù)據(jù)安全保護(hù)職責(zé)的主要部門，采購(gòu)需求部門和倉(cāng)庫(kù)部門協(xié)助落實(shí)保護(hù)措施，采購(gòu)業(yè)務(wù)的數(shù)據(jù)安全責(zé)任人對(duì)數(shù)據(jù)安全負(fù)直接責(zé)任。

2.5.2 數(shù)據(jù)安全技術(shù)防護(hù)

以現(xiàn)有的安全基礎(chǔ)設(shè)施、網(wǎng)絡(luò)安全等級(jí)保護(hù)措施為基礎(chǔ)，有針對(duì)性地對(duì)采購(gòu)申請(qǐng)、采購(gòu)訂單、采購(gòu)審核、采購(gòu)到貨、采購(gòu)入庫(kù)等采購(gòu)業(yè)務(wù)全生命周期數(shù)據(jù)實(shí)行數(shù)據(jù)加密、數(shù)據(jù)訪問控制、數(shù)據(jù)防泄漏、數(shù)據(jù)脫敏、容災(zāi)備份等多種數(shù)據(jù)安全技術(shù)措施，與現(xiàn)有安全防護(hù)手段相結(jié)合，構(gòu)建全方位的采購(gòu)業(yè)務(wù)相關(guān)數(shù)據(jù)防護(hù)體系[7-8]。還可結(jié)合大數(shù)據(jù)分析技術(shù)，建立采購(gòu)業(yè)務(wù)相關(guān)數(shù)據(jù)的安全治理平臺(tái)，實(shí)現(xiàn)數(shù)據(jù)安全態(tài)勢(shì)感知，全面提升數(shù)據(jù)安全防護(hù)能力，筑牢數(shù)據(jù)安全防線。

以數(shù)據(jù)泄露防護(hù)系統(tǒng)為例。該系統(tǒng)由統(tǒng)一管理平臺(tái)和終端組成，采用人工智能引擎，可處理采購(gòu)業(yè)務(wù)中的采購(gòu)訂單數(shù)據(jù)、采購(gòu)合同數(shù)據(jù)、供應(yīng)商數(shù)據(jù)及財(cái)務(wù)數(shù)據(jù)等，依靠數(shù)據(jù)識(shí)別與內(nèi)容標(biāo)記，區(qū)分不同類型的數(shù)據(jù)價(jià)值。通過無(wú)監(jiān)督聚類及有監(jiān)督的機(jī)器學(xué)習(xí)算法，快速、準(zhǔn)確地實(shí)現(xiàn)不同類型采購(gòu)合同、采購(gòu)物料信息數(shù)據(jù)的梳理和分類。同時(shí)，該系統(tǒng)可依靠網(wǎng)絡(luò)發(fā)送者的IP追溯到風(fēng)險(xiǎn)事件的發(fā)起源，審計(jì)網(wǎng)絡(luò)泄露行為的來(lái)源、目的地、傳輸內(nèi)容、文件等，監(jiān)控終端部分應(yīng)用程序后臺(tái)違規(guī)傳輸數(shù)據(jù)及采購(gòu)合同類敏感數(shù)據(jù)的拷貝、打印、截屏，采購(gòu)清單類數(shù)據(jù)的網(wǎng)絡(luò)發(fā)送、網(wǎng)絡(luò)共享、微信發(fā)送、QQ發(fā)送等行為。

2.5.3 數(shù)據(jù)安全運(yùn)營(yíng)管理

為使采購(gòu)業(yè)務(wù)數(shù)據(jù)安全運(yùn)行管理得到有效執(zhí)行和落實(shí)，需采取以下3方面的數(shù)據(jù)安全運(yùn)行管理措施。

（1）采購(gòu)數(shù)據(jù)使用過程管理。采購(gòu)業(yè)務(wù)數(shù)據(jù)的使用是數(shù)據(jù)全生命周期中最重要的部分，主要分為：外部獲得（如采購(gòu)發(fā)票、合同、稅單、罰單、各類銀行票據(jù)、銀行結(jié)算單等）；內(nèi)部自制（如入庫(kù)單、送貨單、存貨庫(kù)存期報(bào)表等）。需對(duì)這些環(huán)節(jié)采取相應(yīng)的安全管控措施，包括使用授權(quán)、自動(dòng)決策、信息公開和展示等方面。

（2）采購(gòu)數(shù)據(jù)委托處理、共享、轉(zhuǎn)讓管理。對(duì)供應(yīng)商、采購(gòu)招標(biāo)書、招標(biāo)公告等數(shù)據(jù)委托處理、共享、轉(zhuǎn)讓的合規(guī)性和風(fēng)險(xiǎn)性進(jìn)行管理，確保共享、轉(zhuǎn)讓和委托處理時(shí)的數(shù)據(jù)安全。

（3）采購(gòu)數(shù)據(jù)第三方應(yīng)用接入管理。當(dāng)采購(gòu)業(yè)務(wù)系統(tǒng)接入財(cái)務(wù)系統(tǒng)、資產(chǎn)管理系統(tǒng)或其他第三方產(chǎn)品時(shí)，應(yīng)對(duì)接入和涉及的產(chǎn)品和服務(wù)進(jìn)行管理，明確數(shù)據(jù)讀取權(quán)限及內(nèi)容，確保不因第三方應(yīng)用的接入而危害采購(gòu)業(yè)務(wù)的數(shù)據(jù)安全。

2.5.4 數(shù)據(jù)安全監(jiān)查與應(yīng)急

鐵路單位需針對(duì)數(shù)據(jù)全生命周期各階段的安全管理情況進(jìn)行監(jiān)查，以保證數(shù)據(jù)安全治理可以有效、持續(xù)地產(chǎn)生價(jià)值。數(shù)據(jù)安全監(jiān)查與應(yīng)急著重于預(yù)警通報(bào)、安全監(jiān)測(cè)和綜合評(píng)價(jià)3個(gè)功能。

針對(duì)數(shù)據(jù)安全事件，落實(shí)重大事件報(bào)告制度和突發(fā)數(shù)據(jù)安全事件應(yīng)急響應(yīng)制度，建立健全安全應(yīng)急預(yù)案、應(yīng)急處置工作指南和處置流程。常態(tài)化開展數(shù)據(jù)安全攻防演練、應(yīng)急演練，組建專家隊(duì)伍和支撐力量，提升全天侯、全場(chǎng)景、常態(tài)化、實(shí)戰(zhàn)化的網(wǎng)絡(luò)安全應(yīng)急處置水平。

2.6 員工培訓(xùn)

數(shù)據(jù)安全治理是一項(xiàng)持續(xù)的、需要全員參與、全員維護(hù)的工程。因此，為提升采購(gòu)業(yè)務(wù)相關(guān)崗位工作人員的數(shù)據(jù)安全意識(shí)，每年需要開展不少于20 h的數(shù)據(jù)安全培訓(xùn)，對(duì)數(shù)據(jù)安全委員會(huì)領(lǐng)導(dǎo)和高層管理人員開展數(shù)據(jù)安全體系、數(shù)據(jù)安全方法論等培訓(xùn)，對(duì)采購(gòu)業(yè)務(wù)人員及運(yùn)行維護(hù)團(tuán)隊(duì)開展數(shù)據(jù)安全流程、數(shù)據(jù)安全運(yùn)行維護(hù)技能、數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估等技能培訓(xùn)。

3 結(jié)束語(yǔ)

該數(shù)據(jù)安全治理解決方案可為鐵路單位采購(gòu)業(yè)務(wù)領(lǐng)域保密工作提供強(qiáng)有力的支撐，促進(jìn)部門整體防護(hù)能力和規(guī)范管理水平不斷提升，彌補(bǔ)了采購(gòu)過程中信息防泄密工作的不足之處，實(shí)現(xiàn)采購(gòu)過程信息保密工作全方位管控，強(qiáng)化了采購(gòu)業(yè)務(wù)人員的保密意識(shí)，保障了采購(gòu)保密管理的剛性執(zhí)行，有效杜絕了采購(gòu)業(yè)務(wù)信息泄密事件的發(fā)生，為鐵路單位提升采購(gòu)業(yè)務(wù)保密工作的能力和效率、杜絕信息泄密事件提供參考。