水利数据分类分级及安全保护技术

2023-04-30张晓艺戴逸聪

人民长江 2023年13期

张晓艺戴逸聪

摘要：水利数据安全是确保数字孪生水利体系、水利关键信息基础设施中数据应用的重要前提。为加强水利数据安全保护，水利部组织开展了数据分类分级，并采用管理与技术双轮驱动的方式开展了水利重要数据保护。从责任分工、数据处理活动安全管理、监测预警与应急处置、监督检查与评估管理等方面介绍了水利部数据安全组织管理体系；从数据加密、数据脱敏、访问控制等方面阐述了如何构建数据安全保护技术体系。相关技术体系和手段可为提高水利数据安全保护水平及智慧水利发展打下坚实数据安全基础。

关键词：

水利数据安全；分类分级；重要数据；责任分工；保护技术

中图法分类号： F426.91

文献标志码： A

DOI：10.16232/j.cnki.1001-4179.2023.S2.053

0 引言

数据作为新型生产要素，已经成为国家基础性和战略性资源，并催生数字经济成为中国经济高质量发展的新引擎，深刻影响着国家经济社会的发展［1-5］。习近平总书记指出，信息资源日益成为重要生产要素和社会财富，信息掌握的多寡成为国家软实力和竞争力的重要标志。国家“十四五”规划纲要提出，要迎接数字时代，激活数据要素潜能，推进网络强国建设［5-6］。

随着数据与国家经济运行、社会治理、公共服务等联系愈加密切，数据安全直接关系到国家安全，特别是数据量激增和数据流动日益频繁，给数据安全防护带来了新挑战，提出了更高要求。数据安全保障能力是确保数据发展优势的重要前提。国家先后颁布《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》，这些法律均为数据安全保护提供了法制保障。

当前，水利部正在统筹推进数字孪生流域、数字孪生水网、数字孪生水利工程建设，加快构建具有“四预”功能的数字孪生水利体系。数据底板基础数据、监测数据、业务数据、地理空间数据等建设，将带来大量数据的汇聚、集中，此外，行业重要数据类关键信息基础设施存储、运行的数据，一旦被篡改、破坏、泄露、非法获取、非法利用等，将带来严重后果，危害国家安全与公共利益。因此，只有提升水利数据安全保护能力，才能打牢坚定的数据基石，保障水利战略性资源有效利用，推动水利高质量发展。

数据安全作为国家提出的新要求，各部委在2022年着手研究落地方法，其中水利部也在积极探索，力求构建适应水利业务特点的数据安全保护体系。

本文对水利数据的分类作了基本阐述，进而提出了水利重要数据的保护方法，以为相关工作提供参考。

1 水利数据分类分级

为保障水利数据安全，需对水利数据进行分类管理，分级保护。水利数据分类分级是开展数据安全保护的第一步。按照国家开展数据分类分级工作要求，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规和数据安全有关文件要求，结合水利行业实际情况，2022年9月，水利部制定并印发《水利数据分类分级指南（试行）》（以下简称《指南》），指导行业开展分类分级并形成重要数据目录。

1.1 工作原则

水利数据分类分级工作坚持谁管业务、谁管业务数据、谁管数据安全的原则，以及界限明确原则、就高从严原则和时效性原则。

界限明确原则是指各类别、各级别界限明確，每个数据项原则上只属于一个类别、一个级别；

就高从严原则是指如果数据集包含多个级别的数据项，应按照数据项的最高级别对数据级进行定级；

时效性原则是指兼顾多因素，充分考虑其时效，以相对稳定的特征要素分类，力求目录架构稳定［7-10］。

1.2 分类分级方法

1.2.1 数据分类方法

通过多要素分析，按照数据基本属性及所属具体业务进行分类。如图1所示，将水利数据分为水利基础数据、水利业务数据、地理空间数据、行政管理数据、个人信息和其他数据6个类别，并细化具体分类，即在6个一级类别基础上，细化为37个二级类别，进一步细化为178个三级类别。

1.2.2 数据分级方法

如表1所列，按照数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益、组织或个人合法权益造成的影响和危害程度，将数据从低到高分成1～5级，其中1～3级对应一般数据，4级对应重要数据，5级对应核心数据。

核心数据，是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害政治安全或者对国家安全造成严重危害的水利数据。

重要数据，是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全，或者对国家安全造成一般危害或轻微危害，或者对公共利益造成严重危害或一般危害的水利数据。

一般数据，是指除重要数据、核心数据以外的水利数据。

当数据类别精细到一定程度，就可以切割判定出该类数据的重要程度，即对每一数据三级类别给出对应最低数据级别建议，表2列出建议为重要数据（4级）的部分类别示例，如险工险段、工程险情、水旱灾情、纪检数据、身份鉴别信息等。

此外，满足以下条件的可参考认定为重要数据：

① 反映水利关键信息基础设施运行维护和安全保护情况的；

② 可能被利用对水利工程关键设备、系统组件供应链发起高级持续性威胁等网络攻击的；

③ 可能被其他国家或组织利用发起对我国的军事打击的；

④ 不宜公开的水旱灾害防御、国家水资源、水环境基础数据；

⑤ 重点水利工程物理安全保护情况；

⑥ 通过安全检测、风险评估等识别的可被利用的脆弱性数据；

⑦ 关系科技实力、影响国际竞争力的数据；

⑧ 在向政府机关、军工企业及其他敏感重要机构提供水利服务过程中产生的不宜公开的信息；

⑨ 未公开的行政管理数据、情报数据等；

⑩ 涉及个人信息达100万条记录的；

B11 其他可能影响国家政治、国土、军事、经济、文化、社会、科技、生态、资源、核设施、海外利益、生物、太空、极地、深海等安全的。

数据经过脱敏、标识、统计、汇聚融合等加工活动而产生的衍生数据，应在原始数据定级基础上，依据就高从严原则，同时综合考虑数据加工处理后对数据规模、精度、联合度、影响范围的影响，评估数据级别，在原始数据级别基础上进行升级或降级，安全级别变化情况见表3。

1.3 数据分类分级工作流程

如图2所示，水利部机关司局、流域管理机构、部直属单位负责组织梳理本司局、本单位（含下属单位）数据，建立数据资源目录，通过数据分类确定、数据级别判定、经相关业务主管司局审核并上报、水利部审定等过程开展水利数据分类分级，识别重要数据，形成重要数据目录，并对数据进行分级保护［11-13］。

2 水利重要数据安全保护方法

2.1 完善数据安全组织管理体系

为进一步加强水利部数据安全管理，明确数据安全责任分工，规范数据处理活动，保障数据依法有序流动，提高数据安全保障能力，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规，结合《水利网络安全管理办法（试行）》等安全保护要求，2022年12月，水利部制定并印发《水利部数据安全管理办法（试行）》（以下简称《办法》）。该办法重点从行政关系角度深入剖析各类单位承担的数据安全保护责任与要求，在“数据安全保护元年”明确并细化责任分工与工作内容，提出数据安全保护要求等，为水利数据安全保护工作打牢坚实基础。

2.1.1 责任分工

根据谁管业务、谁管业务数据、谁管数据安全原则，以部机关司局和直属单位关系为例，某直属单位在业务上充分支撑某司局，部分业务数据由该单位收集和产生，甚至数据整个生命周期过程都在该单位进行，但由于这些数据是为支撑该业务而产生的，是为该司局服务的，或者说是由该司局发起的相应业务需求，所以该司局要为所属业务领域据安全保护负指导、监督责任。其他承担业务主管职责的单位同理。据此原则，《办法》明确水利部网络安全和信息化领导小组、水利部网络安全和信息化领导小组办公室（以下简称部网信办）、水利部机关司局、流域管理机构、水利部直属单位数据安全责任分工，如图3所示。

水利部网络安全和信息化领导小组贯彻落实国家有关数据安全工作的重大决策部署、工作要求，研究制定、指导实施水利数据安全政策和战略，承担数据安全监管职责。

部网信办具体承担领导小组日常工作，指导、监督开展数据安全保护工作。

水利部机关司局首先承担对本司局收集和产生数据的安全保护责任，同时对其所属业务领域的数据安全保护工作进行指导、监督。

流域管理机构首先承担对本单位收集和产生数据的安全保护责任，同时对本流域（含下属单位）相关工作进行指导、监督。

水利部直属单位承担对本单位收集和产生数据的安全保护责任；明确数据安全工作机构和责任人；组织数据分类分级工作，建立重要数据目录；落实数据处理者及时对存在的数据安全风险和隐患进行整改。

2.1.2 数据处理活动安全管理

数据处理者按照网络安全等级保护的要求，加强数据处理系统、数据传输网络、数据存储环境等安全防护，处理重要数据的系统原则上应当满足三级及以上网络安全等级保护要求。数据处理者采取备份、加密、访问控制等必要措施实行数据安全保护，保障数据免遭泄露、窃取、篡改、损毁、丢失、非法使用，并在数据处理活动过程中，记录数据处理、权限管理、人员操作等日志，日志留存时间不少于6个月。同时，在数据收集、存储、使用、加工、传输、提供、公开、销毁等数据处理活动环节中，数据处理者满足相应安全要求。

2.1.3 监测预警与应急处置

水利部、流域管理机构、部直属单位对本单位及下属单位风险隐患及事件做好监测预警、及时处置与信息通报。

水利部将数据安全内容纳入网络安全事件应急预案，流域管理机构、部直属单位制定详细数据安全事件应急预案或将数据安全内容纳入本流域、本單位网络安全事件应急预案，并根据不同类别、不同级别数据安全事件启动相应应急预案。

水利部、流域管理机构、部直属单位每年至少组织1次含重要数据的网络安全应急演练，提高应急能力。

2.1.4 监督检查与评估管理

水利部将数据安全纳入水利网络安全监督检查机制，负责开展数据安全检查。流域管理机构、部直属单位负责对本级及下级单位开展数据安全检查。

水利部、流域管理机构、部直属单位建立数据安全责任制考核制度或将数据安全内容纳入网络安全责任制考核制度。

水利部指导开展数据安全风险评估工作。重要数据处理者定期开展数据安全风险评估。

2.2 构建数据安全保护技术体系

构建数据安全保护技术体系，重点通过数据加密、脱敏、访问控制等进行数据安全治理，开展水利数据安全技术保护。

2.2.1 基于商用密码技术的数据加密

为解决行业重要数据在使用过程中性能、便利性与安全难以平衡的难题，在现有水利部密码基础设施基础上，基于商用密码技术进行数据加密，采用“点”“面”结合的双层防护策略对重要数据进行防护，即为降低攻击者“拔盘”窃取数据风险，采用透明数据加密技术进行“面防护”，同时为降低合法用户窃取数据风险，采用应用内加密方式进行“点防护”，对重要、敏感数据进行字段加密，实现行业重要数据“双保险”，如图4所示［14-16］。

在密码应用合法合规的基础上，优化升级商用密码对各类数据格式、各类应用场景的服务支持，利用网内SM2/SM4/SM9等密码算法和密码计算资源，为数字孪生流域、数字孪生水网、数字孪生水利工程建设及其他重要数据提供数据资源存储和传输加密服务支撑。基于商用密码、多方安全计算、联邦学习、同态加密、区块链等技术应用，研究数据本身不出域、不可见情况下进行跨域数据应用和计算共享的方法。

2.2.2 基于动静态脱敏技术的数据脱敏

如图5所示，为对水利重要数据进行安全保护，将运维侧和业务侧访问重要数据进行统一纳管，利用脱敏算法和规则对数据内容开展动静态脱敏。

基于动态脱敏技术，在数据库读写操作中对数据库返回值进行实时脱敏。为不同的应用系统接口设置相应的脱敏规则，实现不同应用场景不同的脱敏效果。通过对应用系统账号识别，根据不同应用账号权限对返回的应用页面进行差异化脱敏。自动化发现源数据中的敏感数据，并对数据按需进行漂白、变形、遮盖等处理，避免信息泄露。

基于静态脱敏技术，在数据脱敏前统一设置好脱敏策略，将脱敏结果导入到新的数据中，包括文件或者数据库。通过屏蔽、变形、替换、随机、FPE、AES等脱敏算法，针对不同数据类型进行数据掩码扰乱，将脱敏后的数据装载至不同环境。

制定访问数据库和业务系统的数据安全基线策略，对违规访问敏感数据进行实时阻断拦截，审计操作全流程。

2.2.3 基于风险监测处置技术的访问控制

加强水利部数据安全基础防御建设，进行数据访问控制。结合API应用安全网关，以关键字识别、正则表达式、文件指纹、语义分析等多种技术识别重要数据所属类别、级别、数据量等，检测系统版本、配置文件内容、脚本源代码、用户个人信息等系统及用户重要数据传输；利用密码SSL网关建立数据隧道，将传输中的公私数据进行隔离，分别走VPN加密通道和互联网通道，保证数据在传输过程中的保密性、完整性、可用性；开展针对内部窃取、越权操作、误操作等和外部攻击、漏洞攻击、SQL注入等场景下的数据库综合防护，及时发现、预警并阻断数据库导库、字段猜测、代码更改、非法窃取数据、查询时间过长导致数据库服务性能降低等危害数据库行为；跟踪各种对数据库操作的行为，对IP、操作语句、账号等黑白名单，数据库备份，SQL指令危险性、SQL语句变量值等语句，加密流量，数据库连接方式等进行数据库审计。

依据数据特点及数据泄露场景，设置对应规范，保障数据资产传输、存储安全，研发终端DLP数据防泄露系统。基于沙箱技术进行访问控制，限定办公终端区的上网终端在安全沙箱内访问业务应用区网络，在安全沙箱外访问互联网，实现业务应用区网络和互联网访问的安全隔离，通过一个终端进行多域安全接入，确保安全的同时又能平衡用户体验。在终端访问业务应用区业务系统时，终端DLP数据防泄漏系统自动对下载的数据进行加密、隔离等，并通过限制沙箱桌面截屏、录屏、拷贝策略，以及增加屏幕水印等方式确保数据安全。

以水利部已有网络安全威胁感知系统为基础，强化数据安全风险监测处置。通过数据安全情报收集、利用，主动搜寻发现敏感数据的互联网泄露情况和黑客组织贩卖线索，同时综合各类相关数据，开发数据安全相关规则算法模型，如注入攻击、无条件删除、删除整张表、大量修改数据、返回大量身份证号或手机号等数据库高危告警筛选及其它分析算法，算法示例见图6。对API访问数据、数据库安全风险进行实时监测，识别缺乏身份认证API接口、大规模数据拉取、非工作时间访问、非常用IP访问、用户越权访问、敏感数据访问、个人信息泄露等安全风险，及时发现数据遭到的外部攻击和内部违规等隐患，并在水利部网络安全威胁感知系统中进行统一处置和闭环流程管理。

3 结语

本文主要介绍了水利数据分类分级的工作原则、分类方法、分级方法、工作流程等。从组织管理体系与保护技术体系两个层面提出水利重要数据安全保护方法，通过基于商用密码技术的数据加密、基于动静态脱敏技术的数据脱敏、基于风险监测技术的访问控制等，不断提升数据安全保护技术，不断推动数字孪生水利体系、水利关键信息基础设施中重要数据在收集、存储、使用、加工、传输、提供、公开、销毁等过程中的安全应用，提高数据安全保护水平。

参考文献：

［1］曹东.数字孪生流域建设过程中的数据安全探讨［J］.东北水利水电，2023，41（4）：66-67，70.

［2］曹俊启，黎伟，杨涛.南水北调中线工程信息化建设及安全防护对策［J］.人民长江，2015，46（6）：93-95.

［3］何向阳，谭界雄，高大水，等.基于云平台的水库安全管理信息化方案研究［J］.人民长江，2019，50（11）：233-236.

［4］钱峰，张潮.以数据为核心开展网络安全攻防演练防守［J］.水利信息化，2020（6）：17-20，42.

［5］高亚楠.大数据系统数据安全保护研究［J］.电子技术与软件工程，2023（6）：17-20.

［6］黄勇，矫子龙，杨岁立，等.海关数据安全风险评估方法研究［J］.網络安全技术与应用，2023（3）：96-99.

［7］王玎.论数据处理者的数据安全保护义务［J］.当代法学，2023，37（2）：40-49.

［8］张玉炳，周启，何向阳.水库管理信息化中工程安全管理体系设计与实现［J］.人民长江，2015，46（16）：97-100.

［9］罗静.向家坝电厂网络安全建设与管理［J］.人民长江，2022，53（增2）：212-214.

［10］龙飞.信息时代大数据安全治理策略：评《大数据安全治理与防范：反欺诈体系建设》［J］.中国安全科学学报，2023，33（3）：229.

［11］韩旭，马贵生，蒋园，等.国内外堤防工程数据库发展综述［J］.人民长江，2019，50（增1）：346-349.