Didi のセキュリティインシデントの観点からデータセキュリティ運用能力を構築

I.はじめに 

2021 年 12 月 9 日の夜、Apache Log4j2 リモート コード実行の脆弱性 (CVE-2021-44228) が世界を震撼させました。この脆弱性は、CVSS スコアが 10 点中 10 点の壮大な脆弱性と言えます。この脆弱性が存在することが明らかになった Baidu、Apple などの企業を含む、世界中のインターネット企業のほとんどが影響を受けます。

脆弱性が発生してから約 1 か月が経過しました。今月に入り、この脆弱性を悪用した攻撃が相次いで発生した。スプレッドマイニング、ランサムウェアの拡散、ボットネットの構築、およびデータを盗むための APT 攻撃の実行に使用されるものもあります。マイニングに加えて、他の攻撃活動もデータ収集に関連しています。したがって、私たちは声を上げなければなりません。大規模な侵害の後は、データの保護に戻る時が来ました。したがって、この記事では次のことについて話しますデータセキュリティそしてデータ安全な操作システム。

 

二、データセキュリティ建設の必要性

1。概要

データ セキュリティといえば、2021 年に最も印象的な企業は、他でもない Didi です。

 

• 7月2日、中国サイバースペース局は滴滴出行のセキュリティ審査を開始し、「国家データセキュリティのリスク、国家安全保障、公共利益の保護」を理由に新規ユーザー登録を一時停止した。
• 7月4日、中国サイバースペース管理局は、滴滴出行アプリに重大な違法かつ違法な個人情報の収集と使用があったとする通知を出し、アプリストアに対しアプリの削除を命じた。
• 7 月 9 日、中国サイバースペース管理局は、Didi Enterprise Edition を含む 25 のアプリの削除を求める別の通知を発行しました。
• 7月16日、中国サイバースペース局は、公安部、国家安全部、天然資源部、運輸部、国家税務総局、国家税務総局とともに、市場規制管理局とその他の部門が滴滴出行科技有限公司に常駐し、業務を遂行するサイバーセキュリティレビュー。

同時に7月5日には「ゆんまんまん」「ワゴンギャング」「BOSSダイレクトリクルーティング」がネットワークセキュリティ審査の対象となり、期間中の新規ユーザー登録は停止された。 7月10日、中国サイバー空間局は「サイバーセキュリティ検討措置（意見募集草案修正）」を発表した（この措置は2021年11月16日に開催された2021年中国サイバー空間局第20回事務会議で検討・承認され、今後も継続される） 2022 年 2 月 15 日より発効）、100 万人を超えるユーザーの個人情報を保有する事業者は海外で公開する必要があり、サイバーセキュリティ審査室にネットワーク セキュリティ審査を申請する必要があります。

一連の出来事の背景には、データセキュリティの脆弱性やデータ悪用など、近年国内のインターネットプラットフォームで起きた混乱が反映されている。現在、データセキュリティはデジタル経済時代における最も緊急かつ基本的なセキュリティ問題となっており、データセキュリティガバナンスの強化は国家安全保障と国家競争力を維持するための戦略的必要性となっている。近年では、 "サイバーセキュリティ法》、《データセキュリティ法"そして"個人情報保護法「「データセキュリティ保護法」などのデータセキュリティ保護に関連する法的枠組みの施行または公布により、データセキュリティ保護に対する制度的および法的支援が提供されてきました。

国家データセキュリティガバナンスと関連法の導入により、経済発展におけるデータの重要性がますます反映されています。デジタル経済時代の中核的かつ最も価値のある生産要素として、データは世界経済成長の新たな推進力および新たな原動力となるよう加速しています。

実際、2020年4月9日の「より完璧な市場指向の配分システムと要素メカニズムの構築に関する中国共産党中央委員会と国務院の意見」には、「データ」が書き込まれている。新しいタイプの生産要素としてドキュメントが作成され、土地、労働力、資本、技術と「データ」が並置されます。

5G、人工知能、クラウドコンピューティング、ブロックチェーンなどの新しいICT技術、新しいモデル、新しいアプリケーションはすべて大量のデータに基づいており、データ量も爆発的に増加しています。 IDC の予測によると、世界のデータ量は 2025 年に 175ZB 増加します。そのうち、中国のデータ量は2025年に48.6ZBに増加し、世界のデータサークルの27.8%を占め、世界最大のデータサークルになると予想されている。

 

2. 私の国のデータセキュリティ政策

データの重要性が高まるにつれ、データセキュリティ問題は国家安全保障、社会保障、国民の安全に関わるセキュリティ問題となり、データセキュリティガバナンスは徐々に国家安全保障ガバナンスの戦略レベルに引き上げられています。これは、近年、同国が関連法規を繰り返し発行し、データセキュリティを重要な位置に置いていることからもわかります。

近年、国が導入したデータセキュリティに関連する法律と規制をいくつか紹介します。

• 2015 年 7 月 1 日、中華人民共和国国家安全法が正式に公布され、データ セキュリティが国家安全保障の範囲に正式に組み込まれました。
• 2016 年 11 月 7 日、「個人情報保護」、「データ保管と国境を越えたセキュリティ」、「データ（情報）コンテンツのセキュリティ」、「データ システム」を含む「中華人民共和国サイバーセキュリティ法」が正式に公布されました。 「セキュリティ」およびその他の側面、データおよび個人情報のコンプライアンスを規制するこの法律は、2017 年 6 月 1 日に正式に施行されました。
• 2019年5月28日、機密個人情報の収集方法、正確な広告宣伝、APPの権利の過度な主張、困難性など、近年のネットワークデータセキュリティ問題を改善するため、「データセキュリティ管理対策（意見募集案）」を公表しました。アカウントのキャンセルやその他の問題。
• 2019年6月13日、「個人情報の海外移転における安全性評価に関する対応策（意見募集案）」が公表され、個人情報の海外移転における安全性評価の主要な評価内容が明確化され、すべての個人情報の移転は安全性評価の対象となることが定められました。個人情報は、法律に従って中国サイバー空間局に報告され、中国サイバー空間局に提出されるべきである 情報局は、セキュリティ評価を組織し、アウトバウンドにおける知る権利などの個人情報主体の権利履行の保証を明確にした一連の設計による海外受信者への監督の強化、ネットワーク事業者と個人情報受信者との間で締結される契約条件を包括的に規定する。
• 2019年12月30日、モバイルアプリによる個人情報の違法収集・利用を6つのカテゴリーに定義し、定義基準案を定めた「アプリによる個人情報の違法収集・利用の判断方法」が公表されました。
• 2020年5月28日、中華人民共和国民法典が採択され、プライバシーと個人情報の位置付けと定義が明確になり、個人情報処理の範囲、主体の権利、要件と原則が明確になり、データ活動の範囲が明確になりました。法的および正当な法律および規制を遵守しなければなりません。、必要性の原則。
• 2021年3月22日、「モバイルインターネット共通アプリケーションに必要な個人情報の範囲に関する規定」が公表され、一般的な39種類のアプリについて必要な個人情報の範囲が明確化され、事業者に対し不必要な個人情報を提供しないよう義務付けられました。アプリの基本機能サービスへのユーザーのアクセスを拒否する目的は、アプリによる個人情報の収集と使用を効果的に規制し、アプリの健全な発展を促進することです。
• 2021年4月26日、「インフォームド・コンセント」と「必要最小限」という2つの重要原則を定め、要件を詳細に定めた「モバイルインターネットアプリケーションにおける個人情報の保護及び管理に関する暫定規則（意見募集案）」が公表されました。アプリ開発者および運営者向け、配信プラットフォーム、サードパーティサービスプロバイダー、端末メーカー、ネットワークアクセスサービスプロバイダーを含む5種類の主体の責任と義務、苦情と報告、監督と検査、廃棄措置、そしてリスク警告が提案されます。
• 2021 年 6 月 10 日、「中華人民共和国データセキュリティ法」が正式に可決され、データセキュリティ管理のためのさまざまな基本システムが確立され、データセキュリティ保護義務の明確化とデータセキュリティ保護責任の実施が行われ、セキュリティと開発の同等の重視が強調されました。データのセキュリティと開発を促進するためのサポート措置について規定しており、この法律は 2021 年 9 月 1 日に正式に施行されます。
• 2021年8月20日、「中華人民共和国個人情報保護法」が正式に可決され、個人情報処理規則、個人情報処理活動における個人の権利と義務、個人情報保護責任を担う部門が明確化されました。 。この法律は、2021 年 11 月 1 日に正式に発効します。
• 2021年11月16日、「サイバーセキュリティ審査措置」が正式に採択され、100万人を超えるユーザーの個人情報を保有する事業者は海外に公開し、サイバーセキュリティ審査室にネットワークセキュリティ審査を申請することが義務付けられた。この措置は 2022 年 2 月 15 日から施行されます。

国家レベルの関連法律、規制、政策に加えて、さまざまな地方自治体もデータ セキュリティに関連する一連の規制やガイドラインを発行しています。その一部を以下に示します。

さらに、金融および保険業界、電気通信およびインターネット業界、車両のインターネット業界、産業用インターネット業界などのデータ セキュリティ関連業界も、近年、データおよびデータ セキュリティの問題にますます注目を集めています。中国人民銀行、中国銀行保険監督管理委員会、工業情報化部など 科学技術部などの部門は、さまざまな分野のデータセキュリティ管理を標準化するために、対応する規制を発行しています。データセキュリティ保護機能を向上させます。データの分類と分類、管理能力の評価、セキュリティ保護、およびその他の関連作業に関するポリシー ガイダンスを提供します。のように：

 

一般に、我が国のデータ セキュリティに関する現在の法規制は、国家安全保障法、サイバーセキュリティ法、民法法に基づいており、各省および市は地域の状況に基づいて対応する現地法を発行します。国境を越えたデータの問題は積極的に調査されています。幅広いデータアプリケーションに対応して、さまざまな業界の規制当局は、業界内のデータを管理および保護するために独自の義務を遂行する必要があります。

3. データセキュリティを巡る大国間のゲーム

実際、データセキュリティの問題は決して中国に限ったものではなく、全世界が直面する共通の問題です。世界中の政府は、データが国家安全保障と国際競争力に密接に関係する主要な要素となっていることに徐々に気づき始めており、データセキュリティに対する理解も従来の個人プライバシー保護から国家安全保障の維持へと高まっています。

2018 年 5 月 25 日、欧州連合は正式に一般規則を導入しました。データ保護私たちがよく知っているGDPR（一般データ保護規則）に相当する規制で、企業システムにおけるプライバシー保護措置のより詳細な規定、データ保護契約のより詳細な規定、企業のプライバシーとデータ保護の開示を義務付けています。プラクティスはよりユーザーフレンドリーで詳細です。 2020 年 6 月 30 日、欧州データ保護局も「欧州データ保護局戦略計画 (2020 ～ 2024 年)」を発表しました。これは、将来を見据えた、実行可能、調整された 3 つの側面からデータ セキュリティを継続的に強化することを目的としています。個人のプライバシー権を保護します。

ヨーロッパに加えて、米国ホワイトハウス管理予算局（OMB）も2019年12月23日に「連邦データ戦略と2020年行動計画」を発表し、データの完全性を保護し、流通するデータの信頼性を確保するための要件を確立しました。 、データストレージ、安全性およびその他の基本原則。

データセキュリティが徐々に国家レベルに高まるにつれて、国家間のデータ競争も徐々に真剣に受け止められるようになってきています。今回の滴滴出行の見直しにより、国家レベルでのデータ漏えいの可能性が高まっているが、米国の法律によれば、監査書類、ユーザーデータ、都市データは外国企業責任法に基づいて提出されなければならない。地図は国家データ主権に関連する中核データであり、国家安全保障、公共の利益、社会の安定に直接影響を与える可能性があります。

今日、大国間の競争が激化し続ける中、データは国の生産および戦略的資源の重要な要素となっており、国境を越えたデータのやり取りがますます頻繁になり、潜在的な国家安全保障上のリスクをもたらしています。まず、海外に転送された諜報データは外国政府によって入手される可能性が高くなります。第二に、我が国の戦略的行動は予測されやすく、政策消極性に陥りやすい。例えば、米国が精力的に推進しているミクロデータの集計分析は、我が国の戦略をマスターすれば、国際金融ゲームで優位に立つことができる。財務データ。第三に、データ駆動型の新興技術における我が国の競争上の優位性は徐々に弱まっています。例えば、我が国には世界有数の顔認識会社センスタイムがありますが、そのデータが他国に取得されると、この分野における我が国の競争上の優位性は大幅に弱まってしまいます。 。

一部の国、特に米国は現在、中国のデータを抑圧しており、我が国を世界的なデータセキュリティガバナンスシステムから除外しており、我が国のデータセキュリティレビュールールを策定し、データセキュリティの分野で我が国の周囲に「包囲網」を形成する可能性があります。 . .例えば、2020年には米国、インド、オーストラリアなどが共同でデータセキュリティを理由にTikTokの取り締まりを開始し、セキュリティ調査の結果が規制に違反しているとして利用や開発を制限した。

Synergy Research Group のデータによると、2020 年の時点で、世界の主要なクラウドおよびインターネット サービス企業 20 社が 597 のハイパースケール データセンターを運営しており、そのうち米国のデータセンターの数は他国のデータ センターをはるかに上回り、40% 近くを占めています。中国 2 位ですが、10% のみです。

情報化時代において、この圧倒的なデータの優位性は非常に恐ろしいものです。中国は「データセンター国」ではないが、「データ衛星国」に貶められるわけにはいかず、データ主権を徹底的に守り、データのセキュリティと保護を強化する必要がある。

3. 一般的なデータセキュリティの脅威

データ セキュリティの脅威は、国家安全保障、社会保障、国民の安全保障、企業の安全保障に影響を及ぼし、現在、国、企業、個人が直面している大きなセキュリティ課題となっています。データに関連する主なセキュリティ脅威には次のものがあります。

• 現在、データセキュリティの分野で最も一般的な問題は、データ盗難とデータ漏洩です。スノーデン事件や華珠事件など、データ漏洩によって引き起こされる国家的・社会的問題はよくあることです。
• データは暗号化され、強要されます。ランサムウェアは、近年および今後もネットワーク セキュリティ分野で最大の脅威となっています。また、さまざまな州政府機関、重要インフラ業界、企業などが直面する非常に大きなセキュリティ問題でもあります。 。たとえば、2017 年のワナクライ事件は、グローバル社会全体の安全保障問題を引き起こしました。
• データは削除され、破壊されます。「データベースを削除して逃げる」とはよく冗談で言われる言葉ですが、実際にはデータベースの削除事件も時々発生します。
• 違法なデータ収集の脅威は主に、企業や個人の開発者がアプリやその他のプログラムを使用して、個人のプライバシー データなど、プログラムに必要なデータを収集することによって引き起こされます。

データ セキュリティの脅威を引き起こす主な方法は次のとおりです。

• 従来のネットワーク攻撃: [フィッシング]: 特定のメディア (マシン、メールボックスなど) にログインして特定の情報を盗むために、マシン、ドメイン、メールボックス、IM ツールなどのユーザー アカウントをフィッシングします。 [サイバー攻撃]:悪意のあるトロイの木馬を侵入させ、そのトロイの木馬を使用してターゲット マシンを制御し、機密ファイルを盗みます。攻撃手法には、Web 侵入、サプライチェーン、ハープーン、APT 攻撃などが含まれます。 [ランサムウェア]: 攻撃後、ランサムウェアが実行され、マシン上のデータ ファイルが暗号化されます。もちろん、攻撃者はランサムウェアを実行する前に、マシン上の重要なファイルを盗んでからランサムウェアを実行することが多いことに注意してください。これにより、身代金を強要されるだけでなく、ローカル マシン上の攻撃者の操作ログが破壊され、追跡可能性が妨げられる可能性があります。
• プログラムの脆弱性: [設定エラー]: 機密ファイルのディレクトリ アドレスの公開、機密ファイル アクセスの権限の設定解除、API 呼び出しインターフェイスの権限設定など、[脆弱性]: 任意のファイル読み取りの脆弱性、アカウント ログインなしの脆弱性、権限昇格の脆弱性など; 構成エラーや脆弱性を悪用して関連データを取得し、アクセス頻度の制限や異常なアカウント ログイン プロンプトなどの未実装のリスク制御を使用して、クローラやその他の方法で大量のデータを盗みます。
• 人的要因 [窃盗]: 企業内の機密データを内部関係者が直接盗んで漏洩する; [無視]: 内部システムのアドレスやアカウントのログイン情報などを github などの外部ネットワークに公開する; rm -rf などの操作を誤って実行する。

ここに、近年発生したいくつかの主要なデータ セキュリティ インシデントのリストを示します。

• 2013 年 5 月、元 CIA 職員で国家安全保障局 (NSA) の外注技術者であるエドワード ジョセフ スノーデンが、大量の米国政府の機密文書を英国に漏洩したとガーディアン紙とワシントン ポスト紙が報じた。 NSA のプリズム監視プログラムを含む公共の関心のある資料。この資料には、米国政府による大量のサイバー攻撃資料が含まれており、米国国民の監視も含まれており、米国国民の個人的権利が侵害されています。この漏洩は大騒ぎを引き起こし、スノーデン自身も米国政府から指名手配された。
• 2016年3月、ヒラリーの選挙対策委員長ジョン・ポデスタは電子メールフィッシング攻撃を受けた。攻撃者はポデスタ氏の電子メール アカウントのパスワードを盗んだ後、メールボックスにログインし、大量のヒラリーの電子メールを含むすべての電子メールを盗みました。そしてそのデータはウィキリークスに漏洩し、公開されました。この事件によりヒラリーの選挙状況は悪化し、最終的には米国選挙の結果、さらには世界全体のパターンさえも変えてしまった。
• 2017 年 5 月 12 日、wannacry ランサムウェアが発生しました。このランサムウェアは EternalBlue の脆弱性を悪用して拡散し、世界 150 か国以上の 300,000 台以上のマシンに急速に感染しました。感染したマシン上のすべてのデータ ファイルは暗号化されており、身代金が支払われるまで復号化できません。このウイルスは政府機関、病院、ガソリンスタンド、製造会社などを麻痺させ、深刻な経済的損失を引き起こした。
• 2018年8月28日、そこハッカー華珠グループが所有するホテルチェーンのユーザーデータは、ダークウェブ上で8ビットコインまたは520モネロ（現在の価格は約37万元）で販売されている。このデータには、Hanting、Xiyue、Orange、Ibis など、Huazhu が所有する 10 以上のブランド ホテルの宿泊客情報が含まれています。流出した情報には、華珠公式ウェブサイトの登録情報、ホテルのチェックイン識別情報およびホテルの宿泊予約記録、宿泊客の氏名、携帯電話番号、メールアドレス、ID番号、ログインアカウントのパスワードなどが含まれる。
• 2020年2月23日、WeimobのSaaSビジネスが突然崩壊し、Weimobをベースにしたマーチャントミニプログラムもすべてダウンし、300万のマーチャントのビジネスが基本的に停止した。調査の結果、Weimeng のサーバー上にある中核的なビジネス データが悪意を持って削除されていたことが判明しました。 「データベースを削除して逃亡する」というドラマは現実に起きている。結局、この事件によりワイモブの市場価値は10億ドルも暴落した。データベースを削除して逃走した従業員には懲役6年の判決が下された。
• 2021年4月5日、アメリカのソーシャルメディアFacebook（フェイスブック）のユーザー約5億3300万人の電話番号やメールアドレスなどの個人情報が流出した。ロシアメディアは、フェイスブック創設者ザッカーバーグ氏の電話番号も流出したと伝えた。

4. データセキュリティとネットワークセキュリティ

セキュリティの分野では、次の 3 つの用語がよく聞かれます。情報セキュリティー、ネットワークセキュリティ、データセキュリティ。 『データ セキュリティ アーキテクチャの設計と実践』という本の議論によると、開発の順序は情報セキュリティ - ネットワーク セキュリティ - データ セキュリティです。

セキュリティ管理体制、情報や情報システムの機密性、完全性、可用性、コンテンツコンプライアンス、DLP（内部の人為的情報漏洩の防止）、静的情報の保護（ストレージシステム、 「情報セキュリティ」という用語は、光ディスク上の情報などのシナリオでよく使用されます。

「ネットワーク セキュリティ」という用語は、ネットワーク境界とセキュリティ ドメイン、ネットワーク侵入防止、ネットワーク通信システムや伝送セキュリティ、サイバースペースやその他のシナリオを強調する必要がある場合によく使用されます。

「データ セキュリティ」という用語は、ライフサイクル全体でデータ保護を強調する必要がある場合、生産性のためにデータが使用される場合、またはデータ主権、データ主体の権利、長期管轄権、プライバシーなどのシナリオでよく使用されます。保護が重視されます。

サイバー空間はコンピューティング環境を提供し、データは情報の伝達手段として機能し、コンピューティングの対象となります。ネットワークセキュリティは、コンピューティングオブジェクト（データ）のセキュリティを確保するために、コンピューティング環境（サイバースペース）のセキュリティを重視します。したがって、ネットワーク セキュリティはデータ セキュリティの前提であり、データ セキュリティはネットワーク セキュリティの現れであり、ネットワーク セキュリティはより広い範囲をカバーし、データ セキュリティの範囲はより明確かつ対象を絞ったものになります。

実際の状況から判断すると、ネットワーク セキュリティの最終目標は、データの盗難、転送、暗号化、悪意のある削除などを含むデータ セキュリティです。 2つ目はマイニングウイルスです。

5. データセキュリティ構築

データ セキュリティはネットワーク セキュリティの拡張または具体化であり、データ セキュリティの構築とネットワーク セキュリティの構築には多くの共通点があります。

ネットワーク セキュリティ保証の最終的な資産または対象は、従来の PC、サーバー、IoT デバイスなどの機器です。クラウド時代に保証される資産は、仮想マシン、コンテナ、クラウド サービス サーバーレスなどを含むワークロードです。

ネットワーク セキュリティでは、セキュリティ運用は通常、資産のインベントリから始まり、次に資産のリスク スキャンを実施して、脆弱性スキャン、ポート スキャン、脆弱なパスワード、その他の検出項目などのセキュリティ ベースラインを確立します。その後、一連のルールを確立するか機械学習を使用して、不審なファイルの検出、悪意のあるプロセスの実行、不審なネットワーク リンク、異常な動作など、クラウドとパイプエンド上の多次元からマシンの異常を監視しました。

データ セキュリティに関して言えば、データ セキュリティで保護される資産またはターゲットはデータです。したがって、データセキュリティはデータ資産を中核として、一連のセキュリティ機能の構築を実行する必要があります。

データ セキュリティを構築する上で重要な点は、どのようなデータがあるのか、データの出所、データはどこにあるのか、誰がデータを使用しているのかということです。したがって、これら 4 つのポイントを中心にデータ セキュリティ運用システムを構築する必要があります。これらの 4 つの中核ポイントは、データ ライフ サイクルもカバーしています。

1. どのようなデータがありますか?

サイバーセキュリティにおける資産インベントリに似ています。会社がどのようなデータ資産を保護したいのかを知る必要があります。データ資産が何であるかさえ分からない場合、どうやってデータのセキュリティを保護できるのでしょうか?どのようなデータがあるかを把握した後、データを分類して等級付けする必要があります。

データ主体の観点から、データは公的データ、個人情報、法人データの 3 つのカテゴリに分類されます。

• 公共データ: 法律に従って公的管理およびサービス責任を遂行する過程で公的管理およびサービス機関によって収集および生成されるデータ、および公共サービスの提供において他の組織および個人によって収集および生成される公益に関わるデータ。政務データ、水道、電力、ガス、暖房、公共交通機関、高齢者介護、教育、医療保健、郵便等の公共サービスにおける公益に関わるデータの提供など。
• 個人データ：電子的またはその他の手段によって記録された、特定または特定可能な自然人に関連するさまざまな情報。ただし、匿名化された情報は除きます。個人識別情報、個人生体情報、個人財産情報、個人通信情報、個人位置情報、個人の健康および生理学的情報など;
• 法人データ: ビジネスデータ、運用および管理データ、システム運用および安全性データなど、生産、運用および内部管理プロセス中に組織によって収集および生成されるデータ。

データが改ざん、破壊、漏洩、または違法に取得または使用されると、国家安全保障、公共の利益、または個人や組織の正当な権利と利益に生じる損害の程度に応じて、データは公開レベル（レベル 1）に分けられます。内部レベルは低レベルから高レベルまであり、レベル2（レベル2）、機密レベル（レベル3）、重要レベル（レベル4）、コアレベル（レベル5）の5段階に分かれています。このうち、重要データは重要レベル（レベル４）に属し、国家基幹データはコアレベル（レベル５）に属する。

• パブリックレベル (レベル 1): パブリックレベルのデータは公開コミュニケーション属性を持ち、外部に公開および転送できますが、カテゴリが多すぎて相関分析に使用されないよう、公開データの量とカテゴリも考慮する必要があります。または量が多すぎる。このレベルのデータが改ざん、破壊、漏洩、または違法に取得または違法に使用されると、個人や組織の正当な権利や利益にわずかな損害を与える可能性がありますが、国家安全保障や公共の利益を危険にさらすことはありません。
• 内部レベル (レベル 2): 内部レベルのデータは、通常、組織および関係者内で共有および使用されますが、関係者の許可を得て組織外に共有することもできます。このレベルのデータが改ざん、破壊、漏洩、または違法に取得または違法に使用されると、個人や組織の正当な権利と利益に全般的な損害を与えるか、公共の利益に軽度の損害を与える可能性がありますが、国家安全保障を危険にさらすことはありません。 ;
• 機密レベル (レベル 3): 機密レベルのデータには、許可された内部機関または担当者のみがアクセスできます。データを外部に共有する場合は、関連条件を満たし、関係者から許可を得る必要があります。このレベルのデータが改ざん、破壊、漏洩、または違法に取得または使用されると、個人や組織の正当な権利や利益に重大な損害を与えたり、公共の利益に一般的な損害を与えたりする可能性がありますが、国家安全保障を危険にさらすことはありません。
• 重要レベル（レベル4）：重要レベルのデータは、承認された権限リストに従って厳重に管理され、管理された範囲内で厳格な審査、承認、評価を経た上でのみ共有・配布することができます。このレベルのデータが改ざん、破壊、漏洩、または違法に取得または使用されると、個人や組織の正当な権利と利益に特に重大な損害を与えたり、公共の利益に重大な損害を与えたり、軽微または全体的な損害を引き起こしたりする可能性があります。国家安全保障に。
• コア レベル (レベル 5): コア レベルのデータは、外部への共有または配布が禁止されています。このレベルのデータが改ざん、破壊、漏洩、または違法に取得または違法に使用されると、国家安全保障に重大な、または特に重大な損害を引き起こす可能性があり、あるいは公共の利益に特に深刻な損害を引き起こす可能性があります。

また、データ普及の観点からは、データは公的配布データと非公的配布データに分けることもできます。公衆通信データとは、公衆通信属性を有し、公開および転送可能なデータを指します。パブリックレベルのデータはパブリック通信データに属します。非公開通信データとは、国家機密、重要データ、企業秘密、個人情報、条件付きまたは禁止事項付きの公開データなど、公開通信の属性を持たず、許可された限られた範囲内でのみ配布または配布が禁止されているデータを指します。共有、知的財産の無断使用など。内部レベル、機密レベル、重要レベル、およびコアレベルのデータはすべて非公開配布データです。

データの分類と格付けの基本的な枠組みは次のとおりです。

 

2. データはどこから来たのですか?

次のセキュリティ問題に対処するには、データがどこから収集されたかを知る必要があります。

• 収集プロセスは合法かつ準拠していますか? 「データセキュリティ法」、「一般的なモバイルインターネットアプリケーションに必要な個人情報の範囲に関する規制」、GDPRなどを厳守する必要があります。
• 収集端末と収集プロセスは安全ですか?端末セキュリティ検出、入力セキュリティを確保するためのセキュアキーボードなど。
• データをクラウドに収集する場合、送信は安全ですか?伝送チャネルの暗号化。

3. データはどこにありますか?

データの保存場所と保存環境のセキュリティを解決する必要があります。

• データストレージ: 暗号化、感度解除、透かし;
• ストレージメディアのセキュリティ: 物理メディア、オペレーティングシステムなど、ランサムウェアウイルス、盗まれたパスワードなどを回避するための従来のネットワークセキュリティカテゴリ。
• データのバックアップ: 複数のコピー、複数のデータセンターなど。災害後の迅速な復旧のために。

4. データを使用しているのは誰ですか?

データ使用時のセキュリティ問題には対処する必要があります。

• ユーザーの身元と権限の検証
• データAPIインターフェースのセキュリティ
• DLP、データ漏洩を防ぐ
• データアクセスのシナリオと頻度
• データの再処理

したがって、上記の概念に基づいて、可視化、制御可能、操作可能、追跡可能、回復可能であるデータセキュリティ運用システムを確立する必要があります。詳細については、次のセクションで説明します。

6. データセキュリティ運用体制

この記事では、以下に基づいたデータセキュリティ運用フレームワークを提案します。ゼロトラストDataSecOps データ セキュリティ運用フレームワーク。

まずはゼロトラストについて話しましょう。ゼロトラストは、現在ネットワーク セキュリティの分野で広く使用されているセキュリティの概念またはフレームワークです。実際、データセキュリティの分野でもゼロトラストの概念を採用することができます。この哲学の中心にあるのは、決して信頼せず、常に検証することです。データ セキュリティの分野では、ゼロ トラストの基本原則は変わりません。

• アイデンティティに基づいて
• 最小特権の原則
• 戦略と戦略の動的検証

実際、国防総省 (DOD) のゼロトラスト リファレンス アーキテクチャには、データがゼロトラストの目標の柱の 1 つであることが記載されています。

残りには、アイデンティティ、デバイス、ネットワーク、アプリケーションが含まれます。したがって、データのセキュリティを保護することがゼロトラストの最終目標です。

したがって、ゼロ トラスト フレームワークは次のシーケンスと段階に分けることができます。

1. ゼロトラスト ネットワーク アクセス (ZTNA、ゼロトラスト ネットワーク アクセス) は、最新のゼロトラスト製品が配置されている段階で、主にビジネス システムへのゼロトラスト アクセスに使用され、主に SDP アーキテクチャを使用します。

2. ゼロトラスト アプリケーション アクセス (ZTAA、ゼロトラスト アプリケーション アクセス) は、最新のゼロトラスト製品が配置されている段階であり、主にマイクロ分離をコアとして構築されています。

3. ゼロトラスト データ アクセスとゼロトラスト データ保護 (ZTDA、ゼロトラスト データ アクセス、ZTDP、ゼロトラスト データ保護) は、主にデータ セキュリティを目的として構築されています。

したがって、データ アクセスはネットワークとアプリケーションの次の段階であり、対応するフレームワーク図は次のようになります。

ゼロトラスト 1.0

ゼロトラスト 2.0

いくつかのコンポーネントは次のとおりです。

• データ アクセス プロキシ: すべてのデータベースのアクセスは、直接データベース操作であっても API インターフェイスであっても、直接アクセスして操作することはありません。代わりに、エージェントを通じて転送されます。デフォルトのデータベースアクセス権限および操作権限は禁止されています。政府機関では、ID、権限、その他のポリシーの検証が行われた後にのみ、アクセス権限が付与され、関連するデータベース操作が実行できるようになります。
• 意思決定センター: 意思決定センターはゼロトラスト システムの頭脳であり、どのユーザーとどのアプリケーションがどのデータを操作できるかを決定します。意思決定センターはアイデンティティベースの制御システムを採用しています。アクセス制御にはRBAC、ABACなどが使用できます。制御の次元には、ID、デバイス、ネットワーク、APP、動作などが含まれます。さらに、シナリオや期間などに基づいて動的戦略を調整できます。
• データセンター: データストレージは、データカテゴリ、レベルなどに応じて個別に保存できます。各データが互いに分離されていることを確認してください。ストレージディレクトリ、コンピュータルーム、権限などが含まれます。

もちろん、ゼロトラスト データ保護ソリューションを実装するには、DataSecOps と組み合わせる必要があります。 DataSecOps は、データ分野における DevSecOps の概念の拡張として、データを後で保護するのではなく、データの開発、運用、保管のプロセスにセキュリティ属性を組み込む必要性も強調しています。

セキュリティ エンジニアリング、データ エンジニアリング、およびその他の関連する関係者間の継続的なコラボレーションのための共同チームを確立するには、最小特権の原則を確立し、ユニット レベルおよび行レベルの権限制御を実施し、セキュリティを維持しながらデータ アクセスを簡素化する必要があります。プロセス。のように：

最後に、機器とアーキテクチャだけでは十分ではなく、ネットワーク セキュリティの柔軟性が高く、完全なデータ オペレーション センターも必要です。データを可視化、制御可能、操作可能、追跡可能、回復可能にします。

• 可視化: データ資産の適切なインベントリを作成し、データのカテゴリと分類、ユーザーに必要な権限、データ使用記録などを明確にします。
• 制御可能: きめ細かい ID と権限の制御、データの感度解除、データ暗号化ストレージ、メディア ネットワーク セキュリティの監視 (端末、ファイアウォールなど)、DLP など。
• 運用：ログ監査、動作異常監視など。
• トレーサビリティ: データの色付け、画像上の非表示/明示的な透かしなど、データに電子透かしを追加します。
• 復旧可能：バックアップ等の災害復旧対策。

7. まとめ

現在、データセキュリティの問題は依然として深刻であり、安全なデータセンターの構築が急務となっています。国と国民のデータセキュリティを侵害から守ることは社会全体のコンセンサスとなっています。

ネットワーク セキュリティとデータ セキュリティの攻撃と防御の最も重要な側面は依然として人々の間の攻撃と防御であり、人々は常にバレル内で最も短いリンクであることを指摘しなければなりません。ゼロトラスト アーキテクチャは、システムを通じて人間の欠点を最大限に補い、全体的なセキュリティ機能を向上させることができます。

もちろん、ゼロトラストは万能薬ではなく、依然としてすべてのセキュリティ問題を解決できるわけではないことを指摘しなければなりません。したがって、データ セキュリティをより確実に確保するには、高度に成熟したデータ セキュリティ オペレーション センターを構築する必要があります。

データ セキュリティは現在、ネットワーク セキュリティの資金調達トラックで最も人気のある分野であり、データ セキュリティを中核とするスタートアップ企業やセキュリティ製品が増えていることは注目に値します。

我が国のデータセキュリティに関する法規制がますます完璧になるにつれ、さまざまな機関、部門、企業がデータセキュリティにますます注目し、データセキュリティへの投資がますます増え、我が国のデータセキュリティ構築は確実なものになると我々は考えています。どんどん良くなっていきます。

8. 参考リンク

1. データセキュリティ問題の拡大: 主要分野における影響、対策、機会: http://n1.sinaimg.cn/finance/9b213f90/20210826/ShuJuAnQuanBaoGao20210823.pdf

2. ネットワーク セキュリティ標準実践ガイド - データの分類とグレーディングのガイドライン: https://www.tc260.org.cn/upload/2021-09-30/1633014582064034019.pdf

3、中国网络安全产业分析报告（2021年）:http://www.mogesec.com/%e4%b8%ad%e5%9b%bd%e7%bd%91%e7%bb%9c%e5%ae%89%e5%85%a8%e4%ba%a7%e4%b8%9a%e5%88%86%e6%9e%90%e6%8a%a5%e5%91%8a%ef%bc%882021%e5%b9%b4%ef%bc%89/

4、Department of Defense (DOD) Zero Trust Reference Architecture（国防部零信任参考架构）：http://www.mogesec.com/department-of-defense-dod-zero-trust-reference-architecture%ef%bc%88%e5%9b%bd%e9%98%b2%e9%83%a8%e9%9b%b6%e4%bf%a1%e4%bb%bb%e5%8f%82%e8%80%83%e6%9e%b6%e6%9e%84%ef%bc%89/