文/张承亮 宁欣 郭军 李俊

2018年3月，Facebook 5000万用户，未经用户许可被Cambridge Analytica用于政治广告。

2017年11月，五角大楼AWS S3，配置错误，18亿条公民相关信息暴露；

2017年11月，趣店或遭内部员工泄露，数百万学生数据泄露

2017年10月，雅虎或遭入侵，导致30亿帐号泄露；

2017年9月，信用机构Equifax网站，遭入侵，近半用户信息泄漏

图1：贵阳烟草局网络数据泄漏防护

对此，国外相继发布了相关法律，如欧盟的《一般数据保护条例GDPR》，俄罗斯《个人数据保护法案》，欧盟委员会《隐私盾协议》，《联邦隐私法案》，我国《中华人民共和国网络安全法》也于2017年6月1日起实施，其中多项法律条款都与数据安全密切相关，内容如下：

第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

第四十条 网络运营者应当对其收集的用户信息严格保密，并建立健全用户信息保护制度。

第四十五条依法负有网络安全监督管理职责的部门及其工作人员，必须对在履行职责中知悉的个人信息、隐私和商业秘密严格保密，不得泄露、出售或者非法向他人提供”。

国家烟草专卖局《烟草行业计算机信息网络安全保护规定》早在1998年6月1日就已实施，其第五条“任何单位和个人不得利用行业网络危害国家安全和行业安全，不得泄露国家秘密和行业秘密，不得侵犯国家的、社会的、行业的、集体的利益和个人的合法权益，不得从事违法犯罪活动”。

本文围绕数据防泄漏主题，首先介绍了数据泄漏防护的含义，并对敏感信息进行了分析，然后，对数据泄漏问题进行了深入分析，最后给出了烟草行业的具体数据泄漏防护实践案例。

1 数据防泄漏定义

根据Gartner公司给出的定义描述，数据防泄漏DLP（Data Loss/Leakage Prevention/Protection）是指基于深度内容识别技术，对传输中、存储中、使用中的数据进行检测，识别敏感数据，依据预先定义的策略，实施特定响应，敏感数据泄漏达到有效防护效果的解决方案。

2 敏感信息分析

敏感信息是指不当使用或未经授权被人接触或修改后，会产生不利于国家和组织的负面影响和利益损失，或不利于个人依法享有的个人隐私的所有信息。

敏感信息根据其信息种类的不同，可以分为个人敏感信息、商业敏感信息、国家秘密。由于涉及国家秘密的信息系统通常采用专用网络、系统、管理方式进行保护，泄露风险相对较低。

2.1 个人敏感信息

中华人民共和国最高人民法院、最高人民检察院对“公民个人信息”进行了解释，即：是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。

工信部《信息安全技术公共及商用服务信息系统个人信息保护指南》中则将个人信息分为一般信息和敏感信息。一般信息则是指可以在网络或者媒体上根据个人基本情况而获取的信息。个人敏感信息，是指“一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息”

2.2 商业敏感信息

《中华人民共和国反不正当竞争法》(1993年12月1日正式实施):商业敏感信息指“不为公众所知悉、能为权利人带来经济利益、具有实用性并经权利采取保密措施的技术信息和经营信息”。其中，技术信息指“权利人采取了保密措施保护不为公众所知晓（未取得工业产权保护）的，具有经济价值的技术知识，如：设计、程序、产品配方、制作工艺等”。经营信息指“权利人采取了保密措施不为公众所知晓的具有经济价值的有关商业、管理等方面的方法、经验或其他信息，如：企业的战略规划、管理方法、商业模式等”。

3 数据泄漏问题分析

数据是开展烟草信息化建设的基础，数据是否安全将直接影响烟草数据安全的价值实现。

烟草信息化建设和发展过程中，员工可能将经常访问的数据存储在个人电脑中，如果缺乏相应的防泄漏措施，那么数据很容易通过终端渠道或网络应用泄漏出去，从而给贵阳烟草局带来巨大的经济和声誉损失。

数据泄漏风险主要涉及以下三个方面：

3.1 数据传输中泄漏

由于烟草系统目前数据传输的渠道有多种，通过网络如邮件、网盘、webmail、ftp等方式泄露，这种泄露方式更多的是内部员工有意或无意从计算机上外发造成泄密。

3.2 数据使用中泄漏

使用过程包括泄漏情况包括：通过U盘、移动存储设备拷贝数据；通过打印机打印带出公司或者通过传真机、截屏、蓝牙文件传输、即时通信(微信、QQ、钉钉、企业微信等)、网络共享、应用程序文件访问外发等方式也是数据泄露的重要的层面。

3.3 数据存储中泄漏

很多敏感信息从产生开始就存放在重要的服务器，由于缺乏对敏感数据的管理，管理人员不清楚敏感数据的分布情况及使用情况，导致敏感数据从产生和存储的过程中被非法或者无意间泄露。

4 烟草行业的数据泄漏防护实践

随着贵阳烟草局信息化发展，对数据泄漏防护的需求日益迫切。根据实际业务的安全需求，构建了以网络数据泄漏防护为核心的数据泄漏防护方案（图1）。

该方案选择了天融信数据防泄漏产品，该产品技术核心是深度内容识别技术。初级识别，包括关键字、正则；自动识别，包括标识符、结构数据指纹、文档指纹、图片指纹；智能识别，包括机器分类和机器聚类，可以对敏感信息或商业敏感信息实施更加深入和有效识别分析，同时，当发现数据泄漏行为是可以快速实施响应，如记录、告警、加密等，从而降低敏感信息泄露风险。

说明：如图1所示，方案在贵阳烟草局的网络出口部署了一台数据防泄漏系统网络DLP（Data Loss Protection），通过旁路镜像方式接入到网络中。

方案效果分析：网络DLP通过对网络流量（SMTP、HTTP/S、FTP、HTTP）进 行 深度分析，精确识别判断流量的协议，并从协议中提取出文本信息，根据预置策略记录相关事件。同时，管理人员可以通过事件报表进行后期的审计管理，定位出收发件人的邮箱，IP，事件发生的时间，触发了哪条策略，事件违规的详细信息等。管理人员还可以根据不同业务部门数据的流转设置不同的数据保护策略，实现对贵阳烟草局各业务部门外发数据的识别与保护。除了可以对单位电子邮件、HTTP上传（包括Web Mail、论坛、微博发帖、网盘上传等）以及其他网络应用实施有效的监控和审计。该方案部署后有效地增强了数据泄漏防护能力，同时也增强了该单位的信息化安全合规的能力。

5 总结

数据防泄漏是个非常复杂的系统工程，必要的技术手段是前提，最后的落地依赖于公司相关数据安全管理策略的执行，其次，单靠某一种或某一类的产品来解决贵阳烟草局内部数据安全问题是不可行的，必须从数据全生命周期着手，基于数据的每个阶段的特性进行安全防护，才是彻底解决数据安全问题的唯一途径。