安华金和“智慧常德”政务云平台数据安全实践

伴随互联网、大数据技术的高速发展，国家对政府数字化转型和政务信息化服务相关工作的重视程度和建设要求与日俱增。作为长江经济带的重要节点城市和洞庭湖生态经济区的重要组成部分，常德市在“互联网+政务”的落地实践中走在了前列!安华金和了解到，自2013年以来，常德市委、市政府持续大力推动“智慧常德”建设，将其作为推进新常德新创业、实现区域发展的重要路径之一，逐步取得了“一个中心、十大应用、一项试点”等重要成果——其中，“一个中心”正是建成“常德云计算中心”;而“十大应用”中也包括搭建“数据共享平台”这一重点应用系统。

【常德云计算中心】

作为湖南省首个大规模、高技术标准的政务云中心，常德云计算中心能够为全市机关事业单位的政务信息系统提供统一的基础设施、支撑软件、基础信息资源以及通用软件共享、信息安全保障、系统运维管理等服务;旨在整合政府组织内部以及跨部门之间的数据，并通过对政府数据资源的集约化建设管理与有序开放共享，实现对数据价值的深入挖掘利用，从而在提升公共服务应用水平的同时，带动更多中小微企业快速发展，开创智慧城市建设的新模式。

截至目前，已有数十个市直单位的一百多个业务系统迁入常德云计算中心，包括市行政审批服务局的政府网站群、市公安局的警务云、市政法委的社会治理网格化综合信息平台、市城管局的智慧城管等。与此同时，基于云计算中心建设的政府数据资源共享平台通过汇集全市众多政府单位的数据形成政府数据资源仓库，如人口库、法人库、宏观经济库、空间地理等基础库，并在基础库之上建立主题库、应用库，用以向各需求部门提供数据。

【风险梳理与建设需求】

然而，在政务云平台支撑数据“流动”的过程中，因其涉及数据库数量大、类型多，且政务数据包含大量涉及国家安全和个人隐私的敏感信息，势必面临诸多数据安全风险和威胁!安华金和分析发现，政务大数据共享平台面临的安全风险通常源自以下问题：

· 缺乏数据安全体系建设

· 缺乏数据安全岗位人员

· 相关规范制定不够完善

· 缺乏对数据的分级分类

· 缺乏对敏感数据使用流转的监控防护

· 缺乏整体的数据安全管理及联动防护

如上所述，如何加强数据在采集、传输、存储、处理、交换、销毁等全生命周期过程中的安全保障，满足国家对政务云数据安全治理的合规性要求，是常德市政务云平台建设工作的重要内容。常德市政府于2016年出台《常德云计算中心管理办法》和《常德云计算服务考核细则》，用以规范云计算中心管理模式、优化完善服务质量。此外，工信部《基于云计算的电子政务公共平台顶层设计指南》、《湖南省信息化条例》等标准的相继发布，也对政务云平台建设、政务数据安全防护相关工作提出了更多具体要求，需要安华金和这样专业的数据安全厂商提供方案、产品、技术和服务支持。

【方案思路】

为了帮助客户解决上述问题，安华金和经过深入调研，结合常德云计算中心相关情况，重点针对政府数据资源共享平台业务架构、流程和数据安全现状进行梳理分析，根据其“数据规模大、使用场景复杂、数据资产变化快”的特点、难点，从“组织机构、制度规范、技术支撑”三个主要维度规划设计政务云平台数据安全治理框架体系与解决方案：

1. 组织机构

建立独立的数据安全管理机构或部门，是建设数据安全体系的基本前提。数据安全不应由传统的安全部门负责，而是要调动各部门相互配合，以提升对数据安全的整体管控能力;同时，应对相关人员进行清晰、明确的职责划分，从而确保各环节数据安全工作的有效开展。

2. 制度规范

完善的管理制度和规范标准是数据安全体系建设的核心，依据适用范围和适用对象的不同，可分为技术类规范和管理类规范;而制度规范的建立需要从安全性和易用性两方面进行考虑，做到明确数据相关角色(如运维者、所有者、使用者等)的数据使用和管理要求，使数据安全建设有章可循、有序运转，真正发挥监督、指导数据安全治理工作的价值作用。

3. 技术支撑

根据各部门具体情况与反馈信息进行数据使用场景分析，对数据进行分类分级、对人员权限进行细粒度划分;结合已制定的制度规范，采用相应的数据安全产品与技术手段进行管控，并通过分析审计日志等方法，不断完善数据安全治理策略，确保政务数据在使用过程中安全、合法、合规。

【实践成效】

安华金和数据安全治理方案实施后，政府数据资源共享平台实现了对敏感数据在“流动”中的有效安全监控，已初步具备并在持续提升体系化的数据安全治理能力：

1. 理清现状

通过对海量数据的梳理和分类分级，做到对数据库及数据资产分布、数据敏感级别等情况的清晰掌握，为重要敏感数据的挖掘、利用和安全防护工作奠定基础;

2. 合理防护

对不同敏感级别的数据进行差异化防护，从而在避免安全资源过度投入的同时，降低平台系统对海量数据加密、脱敏、管控、防护所带来的性能消耗，保障相关业务的正常运行;

3. 重点关注

由于外部黑客攻击、内部人员误操作等安全风险的存在，需对重要数据进行加密存储和授权访问，对基础库的攻击或异常访问行为进行实时拦截，防止拖/删库等重大安全事件发生;

4. 全面监控

全面掌握数据的处理和流转情况，重点针对敏感数据的使用情况进行访问热度分析、访问路径分析、敏感数据共享追踪和危险行为分析，通过不同防护手段间的协同联动，实现对数据资产风险的实时监控与防护;

5. 满足合规

合规是前提和基础，满足《政务信息共享 数据安全技术要求》、《政务信息资源目录编制指南(试行)》、《政府数据 数据分级分类(草案)》、《关键信息基础设施安全保护条例》、《个人信息安全规范》、《网络安全法》、等保2.0以等国家法律法规的有关要求。

作为中国专业领先的数据安全产品与解决方案提供商，中国数据安全治理理念的提出者和践行者，安华金和一直十分关注我国“互联网+政务”相关工作的发展，在政务数据安全建设领域具备丰富的项目实践经验与产品方案设计成果，树立了包括“智慧常德”“云上贵州”等省、市级行业标杆项目案例。不久前，安华金和正是凭借“政务大数据平台安全综合解决方案”从“鲲鹏应用创新大赛2020 ”北京赛区总决赛脱颖而出;同时，双方将依托理念、需求、能力方面的高度契合，在政务云数据安全治理领域持续开展更多合作!

“大数据上云”是政府数字化转型和政务信息化服务持续发展的必由之路!安华金和期待与更多政府客户携手合作，为我国政务云平台建设及其数据安全治理实践贡献力量。安华金和全力保障政务安全上云，让数据使用自由而安全!