近年來，經(jīng)濟(jì)全球化帶動了“數(shù)據(jù)全球化”，高頻的數(shù)據(jù)跨境流動所產(chǎn)生的數(shù)據(jù)安全隱患越來越受到關(guān)注，頻頻發(fā)生的數(shù)據(jù)泄漏事件時刻提醒著數(shù)據(jù)安全建設(shè)不可松懈，完善數(shù)據(jù)出境安全相關(guān)標(biāo)準(zhǔn)、規(guī)范是可持續(xù)性發(fā)展的重點和出發(fā)點。

2022年9月1日，由國家互聯(lián)網(wǎng)信息辦公室公布的《數(shù)據(jù)出境安全評估辦法》正式施行。該文件將指導(dǎo)全國各企事業(yè)單位規(guī)范數(shù)據(jù)出境活動，保護(hù)個人信息權(quán)益，維護(hù)國家安全和社會公共利益。其中明確規(guī)定了數(shù)據(jù)出境安全評估的范圍、條件和程序，為數(shù)據(jù)出境安全評估工作提供了具體指引。

針對國家對數(shù)據(jù)跨境安全的重視，以及《數(shù)據(jù)出境安全評估辦法》中規(guī)定的數(shù)據(jù)出境安全評估要求，基于多年數(shù)據(jù)安全領(lǐng)域的經(jīng)驗，天融信推出數(shù)據(jù)出境監(jiān)測和防護(hù)解決方案，通過天融信數(shù)據(jù)防泄漏系統(tǒng)的出境數(shù)據(jù)合規(guī)自查、敏感數(shù)據(jù)檢測與阻斷、出境傳輸協(xié)議審計與監(jiān)管和出境異常行為風(fēng)險判別能力，為數(shù)據(jù)處理者的數(shù)據(jù)出境活動保駕護(hù)航。

01 出境數(shù)據(jù)合規(guī)自查

對準(zhǔn)國家及行業(yè)的重要數(shù)據(jù)識別指南、個人信息安全規(guī)范、數(shù)據(jù)分類分級規(guī)范等要求，深入分析、測試、實驗后生成出境數(shù)據(jù)的安全策略庫。

GDPR風(fēng)險數(shù)據(jù)：

個人健康生理信息、個人財產(chǎn)信息、個人身份信息、其他信息、基礎(chǔ)信息

個人信息風(fēng)險數(shù)據(jù)：

個人健康生理信息、個人財產(chǎn)信息、個人身份信息

個人金融風(fēng)險數(shù)據(jù)：

個人身份信息、交易信息、借貸信息、財產(chǎn)信息、賬戶信息、鑒別信息

通用重要風(fēng)險數(shù)據(jù)：

內(nèi)部文件、客戶信息、常用特征、政治敏感

通過部署數(shù)據(jù)防泄漏系統(tǒng)，對出境數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)、重要數(shù)據(jù)等內(nèi)容進(jìn)行識別，精準(zhǔn)匹配內(nèi)置策略庫，對發(fā)現(xiàn)的敏感數(shù)據(jù)進(jìn)行告警，進(jìn)而完成企業(yè)內(nèi)部重要數(shù)據(jù)、個人信息數(shù)據(jù)的初次摸底，為后續(xù)詳細(xì)的數(shù)據(jù)調(diào)研、數(shù)據(jù)評估功能奠定基礎(chǔ)。

02 敏感數(shù)據(jù)檢測與阻斷

系統(tǒng)通過深度內(nèi)容識別引擎，采用多種檢測算法，如關(guān)鍵字、正則表達(dá)式、文件屬性、用戶組、數(shù)據(jù)標(biāo)識符、結(jié)構(gòu)化數(shù)據(jù)指紋、非結(jié)構(gòu)化數(shù)據(jù)指紋、權(quán)重字典、文檔指紋、機(jī)器聚類、OCR等，對所有出境的數(shù)據(jù)進(jìn)行發(fā)現(xiàn)、識別，全量審計外發(fā)的數(shù)據(jù)內(nèi)容，保證出境的數(shù)據(jù)清晰可見、事后可查。

針對重要數(shù)據(jù)信息、個人數(shù)據(jù)信息，在內(nèi)置的安全策略庫檢測識別后再輔助以人工修改，提升重要數(shù)據(jù)和個人信息數(shù)據(jù)的識別精準(zhǔn)度，并定義出境場景、處理措施等，形成精準(zhǔn)、全面、豐富的防護(hù)策略。同時，針對數(shù)據(jù)的出境方式、文件類型、文件大小、文件名稱、數(shù)據(jù)內(nèi)容、數(shù)據(jù)類別、數(shù)據(jù)級別、出境范圍、出境量級等進(jìn)行具備配置，快速、精準(zhǔn)、全面地對業(yè)務(wù)中涉及到的個人數(shù)據(jù)信息、重要數(shù)據(jù)信息出境場景進(jìn)行定義，采用強(qiáng)管控方式保護(hù)境內(nèi)企業(yè)內(nèi)部敏感數(shù)據(jù)，實現(xiàn)出境數(shù)據(jù)流轉(zhuǎn)行為的全面可防、可控、可審計、可追溯。

03 出境傳輸協(xié)議審計與監(jiān)管

出境數(shù)據(jù)傳輸行為分為兩種：

1、數(shù)據(jù)處理者將在境內(nèi)運營中收集和產(chǎn)生的數(shù)據(jù)傳輸、存儲至境外。

2、數(shù)據(jù)處理者收集和產(chǎn)生的數(shù)據(jù)存儲在境內(nèi)，境外的機(jī)構(gòu)、組織或者個人可以訪問或者調(diào)用。

針對不同的數(shù)據(jù)傳輸方向，通過在境內(nèi)傳輸邊界節(jié)點部署數(shù)據(jù)防泄漏系統(tǒng)，對數(shù)據(jù)出境傳輸協(xié)議自動識別，解析HTTPS、HTTP、SMTPS、SMTP、POP3、IMAP、FTP、RESTful等傳輸數(shù)據(jù)包，監(jiān)測還原Web應(yīng)用、社交網(wǎng)絡(luò)、即時通訊、云盤、郵件等應(yīng)用，還原數(shù)據(jù)出境行為并進(jìn)行全量審計。

識別通過協(xié)議向境外進(jìn)行數(shù)據(jù)傳輸?shù)男袨椋瑥闹羞^濾違規(guī)數(shù)據(jù)協(xié)議通信、違規(guī)范圍傳輸、違規(guī)應(yīng)用暴露、違規(guī)API接口暴漏、違規(guī)賬戶訪問、賬戶訪問越權(quán)、傳輸時間違規(guī)、違規(guī)接口類型等風(fēng)險傳輸，清楚地知悉、發(fā)現(xiàn)“何數(shù)據(jù)”由“何人”在“何時”以“何形式”發(fā)送到了“何地”，幫助用戶實時、準(zhǔn)確地監(jiān)控和發(fā)現(xiàn)出境數(shù)據(jù)、準(zhǔn)確還原數(shù)據(jù)出境狀態(tài)、行為、風(fēng)險等。

當(dāng)發(fā)現(xiàn)應(yīng)用存在數(shù)據(jù)違規(guī)出境的外傳行為時，可通過審計、攔截、告警通知、修改內(nèi)容等措施及時、有效地降低數(shù)據(jù)出境風(fēng)險，從數(shù)據(jù)傳輸層面針對出境數(shù)據(jù)進(jìn)行監(jiān)管和保護(hù)，做到關(guān)鍵信息在應(yīng)用系統(tǒng)中合法合規(guī)地進(jìn)行流轉(zhuǎn)和使用，做到出境數(shù)據(jù)的實時監(jiān)管。

04 出境異常行為風(fēng)險判別

系統(tǒng)內(nèi)置針對出境異常行為的監(jiān)測能力，對數(shù)據(jù)出境過程中違規(guī)行為、違規(guī)操作，進(jìn)行監(jiān)控審計，對于數(shù)據(jù)出境的異常行為對準(zhǔn)兩大基礎(chǔ)場景：

數(shù)據(jù)向境外傳輸

數(shù)據(jù)在向境外傳輸?shù)倪^程，系統(tǒng)可通過自身數(shù)據(jù)包解析、協(xié)議分析、內(nèi)容識別、日志分析等能力進(jìn)行數(shù)據(jù)異常風(fēng)險行為的監(jiān)測，監(jiān)測內(nèi)容包含數(shù)據(jù)隱匿外發(fā)風(fēng)險、未申報數(shù)據(jù)出境風(fēng)險、出境時間異常風(fēng)險、出境數(shù)據(jù)量級異常風(fēng)險、傳輸基線異常風(fēng)險、賬戶越權(quán)風(fēng)險、重要數(shù)據(jù)未處理風(fēng)險等。

數(shù)據(jù)被境外調(diào)用

針對向境外提供的應(yīng)用（Web應(yīng)用、共享應(yīng)用、郵箱）、API接口、賬戶通過防泄漏系統(tǒng)進(jìn)行檢測、審計，嚴(yán)格監(jiān)控、控制境外訪問、調(diào)用境內(nèi)數(shù)據(jù)的范圍、內(nèi)容、操作等行為，發(fā)現(xiàn)訪問基線異常風(fēng)險、賬戶越權(quán)異常風(fēng)險、調(diào)用數(shù)據(jù)量級異常、請求數(shù)據(jù)時間異常等。

2022年8月31日，國家互聯(lián)網(wǎng)信息辦公室發(fā)布的《數(shù)據(jù)出境安全評估申報指南（第一版）》中明確指出，數(shù)據(jù)處理者需要具備數(shù)據(jù)安全管理能力和數(shù)據(jù)安全技術(shù)能力，并嚴(yán)格遵守網(wǎng)絡(luò)和數(shù)據(jù)安全法律法規(guī)。天融信作為國內(nèi)數(shù)據(jù)安全領(lǐng)域的先導(dǎo)者，從率先提出“以數(shù)據(jù)為中心的安全技術(shù)架構(gòu)”到形成了“以數(shù)據(jù)安全治理為基礎(chǔ)、數(shù)據(jù)全生命周期為核心、數(shù)據(jù)安全防護(hù)為手段、數(shù)據(jù)安全運營為支撐”的方法論，可為數(shù)據(jù)處理者提供相關(guān)能力的建設(shè)支撐。在多年的經(jīng)驗積累中，天融信已形成一套涵蓋數(shù)據(jù)全生命周期、多種場景的產(chǎn)品體系和一系列解決方案，實現(xiàn)政務(wù)、運營商、能源、教育、金融、稅務(wù)以及醫(yī)療等行業(yè)落地實踐。

TOPSEC

2021年9月1日《數(shù)據(jù)安全法》正式施行，標(biāo)志著我國在數(shù)據(jù)安全領(lǐng)域有法可依、有章可循。今天，《數(shù)據(jù)出境安全評估辦法》正式施行，進(jìn)一步規(guī)范數(shù)據(jù)出境活動，保護(hù)個人信息權(quán)益，維護(hù)國家安全和社會公共利益，促進(jìn)數(shù)據(jù)跨境安全，為數(shù)字化經(jīng)濟(jì)的安全健康發(fā)展提供有力支撐。作為中國網(wǎng)絡(luò)安全、大數(shù)據(jù)與云服務(wù)提供商，天融信將始終秉持開放融合的理念，不斷加強(qiáng)在數(shù)據(jù)安全領(lǐng)域研究與實踐，為客戶提供全面的數(shù)據(jù)出境保護(hù)監(jiān)管方案，筑牢數(shù)據(jù)出境安全屏障，為數(shù)字中國建設(shè)保駕護(hù)航。