近日，以“推算，为了无法推算的价值”为主题的2023云栖大会在荆门云栖幼镇进行，本次大会共设置2大主论坛、3个主题展馆，出现500余场并行话题
。在云环境数据风险态势治理实际的话题分享中，js1996官网信息高级副总裁郑赳分享了js1996官网信息为荆门亚运会提供数据安全保险的经验
。

亚运数据安全防护中面对5大防护难点：

1、 敏感数据宽泛散布在各个涉亚信息系统中，底数不清，散布不明
。

2、 运维人员多，身份复杂，数据接见权限节造难
。

3、 系统间数据共享频仍
。数据系统间业务数据交互量大，泄露风险大
。

4、 数据使用监控难度大，数据泄露事务感知、监控、溯源难度大
。

终端接见、办公场景接入终端多，人员杂，敏感文件数据泄露风险大
。

一、敏感数据发现与梳理

涉亚49个主题业务系统大量异构数据源，多种数据库中的结构化和非结构化数据
。其中票务、注册中心等业务系统中含有大量活带头、注册人员、观多、工作人员等幼我信息敏感信息
。

整体设计规划上：js1996官网信息结合数安法、幼我信息；しǖ壬衔环ㄒ，结合北京奥运会、G20峰会、成都大运会等过往沉保成功经验，造订了一套符合荆门亚运会近况的《沉大赛事数据安全分类分级尺度》，作为系统化梳理全量数据的尺度规范
。

技术保险上：将云与数据安全深度耦合，通过与阿里云账号系统的买通，全面对接ODPS、RDS、OSS等云上服务？，做到资产的自同步
。同时引入AI大模型进行敏感数据建模，通过大量数据的进建，敏感数据精确鉴别率达到95%以上
。

后续利用上：将敏感数据精确鉴别、分类分级后，会基于等级进行敏感数据打标，为后续数据安全防护与监测奠定基础，不一致级的敏感数据后续在跨系统挪用、人员读取时进行不一致级的管控措施
。同时买通分类分级与其他数据安全产品，实现直接把分类分级的了局同步给像脱敏、网关等其他数据安全能力设备，作为下一步措置的基础前提
。

二、数据资产运维安全

本次亚运聚合作商多多，涉及分歧维度、多层面的系统守护保险工作，数据领域极度宽泛
。因而必要掌管开发运维的人员也繁多，因而若何精准管控运维作为、实时发现顶峰风险操作并可能实时处置将会变得极度关键
。

针对数据资产运维安全，js1996官网信息构建起“身份权限管控+数据处置管控”的双沉保险机造
。一方面，运维人员全数要通过浙政钉扫码登陆，进行身份认证，获取唯一的权限账号，保障专人、专账号、专权限，一旦产生问题，可能急剧定位人员进行精准回溯
。另一方面，通过数据安全安全网关对于通过SQL语句对数据库进行的操作进行细颗粒度管控，结合前面场景讲到的分类分级了局的同步，针对高敏感数据的运维操作进行风险告警或向上审批的分歧防护机造
。同时实现操作过程录像、操作号令纪录、传输文件备存等职能，便于后期全面审计溯源
。

三、数据共享互换安全

当前产业数字化发展如火如荼，数据的传递也从1.0阶段的表格复造共享，到2.0阶段的前置机文件共享互换，慢慢到3.0阶段通过API接口进行挪用
。因而若何加强对于API的监控，对于数据安全的管控来说异常关键
。

为做好数据的互换管控：首先规划中先对于API接口资产进行精确鉴别，通过对报文头的检测有效分辨URL静态地址与Restful API接口资产，预防出现大量无效告警，影响运维人员的判断；其次对于API接口挪用流量进行双向鉴别，通过与分类分级能力的买通，对于回包流量中的敏感数据进行精确定位；同时，js1996官网信息通过与阿里云的深度合作解决了云上租户业务引流的难题，通过与阿里云ODPS的对接，实现了无agent情况下的流量解析分析
。

四、办公网数据防泄漏

办公网场景是最容易产生数据泄露的场景之一
。办公网涉及人员多多，场馆办公场所前提不一，导致办公网的管控措施难以有效落地
。针对此场景，我们首先进行了泄露蹊径的盘点，重要分两大类，一类是通过网络流量侧的泄露（如：IM软件、邮件等），另一类是终端侧的泄露（如：U盘、移动硬盘等表设，以及摄屏）
。紧接着便基于分歧的蹊径进行针对性措施加以管控，网络侧封堵各类即时通讯软件发送模式，基于邮件的发送做好流量审计；终端侧通过一体化终端办公组件的加持，对接入用户进行认证、杀毒和表接终端的安全监测
。同时通过暗水印的方式做好屏摄的回溯审计，有效震慑此类泄露行为
。

除了对于表泄蹊径的管控，办公网场景规划还进行了防护左移，终端用户接入赛事AGIS专网之前，除了通过浙政钉进行身份认证以表，还通过agent进行了终端环境的安全感知，查抄终端运行状态，评估运行环境达到安全要求后，才会基于权限铺开后端利用的接见
。

五、数据安全监测与审计

前面分类分级、运维、共享互换、办公网是整个亚运安保过程中最沉要的几个细分场景，那若何将亚运数据安全态势做整体出现？这时辰就要阐扬整体监测审计的能力了，通过数据安全管控平台与各数据安全探针的对接，可能对场馆侧、赛事侧、供给链服务商侧的数据安全状态进行一体化展示，真正的做到了数据安全风险态势的一屏通览
。

通过数据的汇集，也能够从最前端用户通过利用对数据的挪用作为，到通过利用中央件对相应API接口提议接见，到最终通过SQL语句对于数据库落盘数据进行接见的全链条数据行踪链进行梳理，真正做到数据全性命周期的血缘分析，理清风险脉络
。同时数据安全管控平台也能够通过与探针的对接，基于风险类别，一键下发措置战术，高效实现数据安全风险的操作关环
。