EISS-2021企业信息安全峰会之上海站于11月19日圆满召开，本次峰会约有300位的安全专家、安全从业者参加，安全运营、安全新技术、数据安全+云原生安全等专场精彩呈现，为与会者带来更多具有实践与借鉴意义的干货分享。联软科技受邀出席，分享了《新形势下，企业如何构建数据安全防护体系》为主题的精彩内容。

随着企业数据化转型，企业的网络安全和业务环境都发生了很大变化，越来越多的企业在办公方式上已迈入智能移动办公。业务应用也慢慢走向云端，网络边界变得越来越模糊，业务场景变得越来越复杂。在这样的现状下，导致企业对数据的安全保护越来越困难。

根据数据安全的形势来看，在严峻的数据泄露形势下，随着网络安全法、数据安全法、个人信息保护法的颁布，法律法规逐步健全。但从现实来看，有些企业虽然部署了传统的防火墙、防毒墙、终端安全管理等安全措施，但如何发现识别敏感数据，如何做到安全与效率的平衡，如何提高员工薄弱的安全意识等问题依然存在。

在各项安全现状和政策驱动下，企业数据安全体系该如何建设？

从数据安全建设视角来看，要以数据资产为基础，从管理、技术、运营三个方面去建设，要关注基于人员相关的底线和红线（备注：底线为企业最基本的安全基线，红线为法律规定，企业人员要有很强底线思维和红线意识）。

首先是管理体系，主要根据国家要求、行业监管部门要求以及企业的现状去建设，了解企业现状，找出潜在的核心问题和风险。再去制定总体的安全策略，确定组织架构与职责、制定战略目标。最后围绕从数据采集到销毁的数据全生命周期去制定相关管理制度和实施细则。

联软数据的安全技术体系从数据梳理开始，对数据进行分类分级，然后通过准入控制、终端安全等基础安全保护措施对终端进行统一管控，保障终端自身能够持续稳定运行；通过丰富全面的技术手段，对不同业务场景下的数据进行灵活的保护；通过安全数据摆渡系统帮助企业建立安全可靠的跨网数据传输通道；针对移动办公场景下的数据保护，可基于零信任架构的统一终端安全管理去解决。最后结合数据安全中台，去做全网的数据分析和风险感知，从而为企业打造统一的数据安全管理中心、统一的安全策略管理中心、统一的端管云安全运维中心。

随着远程办公、跨安全域办公、互联网随时随地办公越来越普通，带来便利的同时也增加了许多风险，在互联网下，任何漏洞都会被黑客捕获并无限放大，攻击变得很容易，业务数据泄密的风险增加了。针对企业业务数据保护，联软以零信任理念为基础、认证授权体系为基石、业务安全为核心，实现安全和业务的统一。通过持续的信任评估、细粒度的安全访问控制手段、轻量级安全沙箱技术，提供按需、动态的可信访问。在实现网络隐身、最小授权的基础上，保障企业业务数据的安全可控。

对于企业来讲，常见的数据安全技术手段很多，数据保护方案必须基于复杂多变的业务场景，需要在不同的网络区域和应用场景下采取不同的管控手段。在办公区域主要部署终端DLP、加密、水印等；在网络层部署网络DLP、Web DLP及跨网数据交换平台，针对外部接入就部署基于零信任架构的SDP和EMM产品；服务器区主要就是内容识别、数据库审计和脱敏等。全面灵活的实施部署，使得企业的数据安全技术体系变得更加完善。

管控的技术手段很多，但如何高效的运行也是需要企业去考虑的，最关键的是数据安全运营的指标，作为运营者，即企业的IT科技部门可以通过大数据分析平台，根据指标结果情况反馈给业务部门，告知业务部门数据安全管理的能力达到的水平程度，是否达标，还存在哪些风险问题，解决这些问题的过程就需要通过培训、核查、自查等去持续不断的完善和优化，从而保障数据的“长治久安”。

联软数据安全防护体系的最佳实践，首先是基于战略体系规划，确定了管理组织、制定了管理制度。企业在做数据治理的过程中及数据治理本身都会有数据分类分级的依据，通过这些样本去得到我们的规则，从而来建立策略，通过属性和内容的规则来定义敏感，发现敏感数据，了解敏感数据的分布情况，哪些敏感数据落在哪些终端上面，从而进一步提供保护手段，针对不同的业务场景，采用不同的控制手段，去自动发现数据泄露的风险；同时通过培训、水印等技术提高员工的安全意识。

数据安全建设是一个长期的过程，不是一蹴而就的。需要从风险暴露面的终端出发，加强安全的运营，通过数据分析平台的结果，不断去提高运营指标，完善数据安全体系建设。