前言

数字经济是继农业经济、工业经济之后的主要经济形态，事关国家发展大局，而数据安全作为促进数据开发利用和产业发展的基础支撑，是推动以数据为关键要素的数字经济高质量发展的基石。数字时代，如何构建数据安全体系，增强数据保护能力，提升数据治理水平，成为事关企业生存发展的重大战略问题。

国家高度重视数据安全发展。2021年9月1日，我国第一部数据安全领域的专门法律《数据安全法》正式施行。该法与《网络安全法》《密码法》《个人信息保护法》等一起构建了数据安全法治化发展的基本体系，引导和鼓励各行业完善数据安全工作机制，推动数据安全技术产品、应用范式、商业模式协同创新，健全数据安全生态体系，不断壮大数据安全产业规模。当下，企业数据安全建设需求迫切，但实际落地中又倍感头绪万千、无从下手。值此《数据安全法》施行一周年之际，炼石正式发布《2022数据安全与个人信息保护技术白皮书》（简称“《白皮书》”），立足全球数据安全态势和法规要求，总结数据安全发展新阶段涌现的新技术、新应用，尝试从用户视角分析数据安全建设的出发点、建设目标、建设路径、以及预期投入与回报，以期为各行业数据安全从业人员提供参考。

观点速览

业务风险驱动数据实战保护。伴随着数字经济蓬勃发展，数字产业化迫切需要数据安全能力，产业数字化转型带来数据安全新需求。《白皮书》全面梳理了数据收集、存储、使用、加工、传输、提供、公开、删除等数据处理环节中实际发生的数据安全事件，包含信创安全可控、数据跨境流动、新兴技术迭代、产业结构优化等领域潜在风险，综合分析影响企业生存发展的数据安全威胁，探索明确数据安全的覆盖范围和建设方向。

法规监管划定数据安全基线。当前，数据主权成为继边防、海防、空防之后另一个大国博弈的空间，尤其在俄乌冲突、中美摩擦等复杂多变的国际局势下，强化数据安全在全球视角下的合规建设已成为共识。《白皮书》系统梳理了我国的数据安全立法监管发展路径，并总结欧洲、北美洲、南美洲、亚洲、大洋洲、非洲六大洲，包括美国、英国、欧盟、德国、法国、日本等14个国家或组织的数据安全相关法律法规，从各国立法总体情况、法律位阶、法律关系、各法定位、内容要点等维度进行分析，以期助力企业从全球视野，对各国法规划定的基线以及各国差异有总体性了解。

安全建设围绕一实战双合规。实战与合规辩证驱动安全发展，实战检验了合规建设的成效，合规降低了实战对抗的落地成本。从应用系统看，复杂的数据开发利用场景对攻防对抗提出极高要求，而安全合规将这种偶发的、高技术水平的对抗风险，转化成常态的、可重复验证、可被审计的非对抗风险，显著降低安全手段使用门槛。此外，安全合规也解决了“外部经济学”中的消费方与受益方不一致问题，强制要求数据处理者加强数据保护。在风险驱动和合规要求下，企业数据安全需求从被动应对，升级为主动建设。《白皮书》立足企业数据安全建设目标，分析“一实战、双合规”的实现路径，以合规遵循为起点，以实战对抗为导向，通过“密评”定义密码技术基线，通过DSM数据安全管理认证等全面保障数据合规，构建实战化的数据安全防护体系。

数据保护演进新框架新战法。《白皮书》介绍了典型技术理念和架构、数据安全新框架、数据安全新战法。“典型技术理念和架构”分析了零信任、内生安全、内置式安全、安全平行切面等与数据安全之间的互生互联关系，并介绍了GARTNER、信通院等提出的技术架构。“数据安全新框架”着重论述了应对式到主动式防御的叠加演进、网络与数据并重的安全建设、经典网络攻防对抗框架ATT&CK、数据安全技术框架DTTACK、网络与数据一体化叠加演进、切面安全提升防守资源效率等理念。“数据安全新战法”则以简单堆叠防护技术、“一招制敌”的思考为切入点，重点介绍体系化对抗以及多维递进式纵深防御等层层递进、协同联动的新战法。

技术框架覆盖事前事中事后。《白皮书》迭代更新DTTACK数据安全技术框架内容，从识别（I）、防护（P）、检测（D）、响应（R）、恢复（R）、反制（C）、治理（G）七大方面扩充了相应的战术和技术，形成38个技术、110个扩展技术、161个方法，围绕数据全生命周期安全，覆盖事前、事中、事后，以期为各行业数据安全建设提供技术与工具参考。数据安全落地分阶段抓效果。

数据安全体系建设是系统工程，并非“一朝一夕”可以完成，企业须综合考量实战和合规的现实要求，开展数据安全整体规划，做好资源部署和工作推进，分阶段评估实战与合规收益，稳步提升数据安全水平。《白皮书》结合企业在数据安全建设过程中的重点难点，推荐“合规治理与实战技术并行”的建设思路，提出以数据为中心的“实战防护和合规遵循平台”新安全体系，打造以“数据保护主平台”为核心，辅助外延多种数据安全技术的多层次防御，为企业赋予“航母战斗群”级的安全能力，提高攻击者成本，持续消耗攻击者资源。同时，提出筑基础、建体系、强能力、验效能、抓测评等建设路径，给出推进策略和关键举措参考。

行业案例提供数据保护参考。《白皮书》聚焦政府、金融、民航、工业互联网等十个典型场景，综合分析了各行业的安全建设现状及安全短板，通过推导企业当下亟需解决的场景化安全问题，结合DTTACK数据安全技术框架针对性设计应用示例方案以供参考。

DTTACK数据安全技术框架概览图

文章架构

一、业务风险驱动数据实战保护

1.1 数据开发利用支撑行业数字转型

    1.1.1 数字经济蓬勃发展加速数字化升级

    1.1.2 数据要素价值释放赋能高质量发展

    1.1.3 数据有效开发利用迎来跨越式变革

1.2 数据安全威胁影响企业生存发展

    1.2.1 数据安全能力建设有待加强

    1.2.2 个人信息泄漏呈现三高特征

    1.2.3 数据安全市场发展空间巨大

1.3 业务数据处理面临多重安全风险

    1.3.1 防范业务处理各环节安全薄弱点

    1.3.2 化解产业创新多维度潜在风险源

二、法规监管划定数据安全基线

2.1 数据法规确保有法可依

    2.1.1 国际数据安全发展政策概况

    2.1.2 我国数据安全立法监管加强

    2.1.3 全球公正数据安全规则构建

2.2 数据处理遵循合规要求

    2.2.1 数据安全面临国内外挑战

    2.2.2 安全需求被置于次要地位

    2.2.3 强合规监管深化鞭子效力

三、安全建设围绕一实战双合规

3.1 实战合规辩证驱动安全发展

3.2 攻防对抗有效检验防护能力

3.3 密评合规明确定义技术基线

3.4 安全认证全面保障数据合规

四、数据保护演进新框架新战法

4.1 典型技术理念和架构

    4.1.1 典型技术理念

    4.1.2 典型技术架构

4.2 数据安全需要新框架

    4.2.1 应对式叠加演进主动式安全

    4.2.2 网络与数据并重的安全建设

    4.2.3 经典网络安全框架ATT&CK

    4.2.4  数据安全技术框架DTTACK

    4.2.5  网络与数据一体化叠加演进

    4.2.6  切面安全提升防守资源效率

4.3 数据安全需要新战法

    4.3.1  数据安全建设的发展演进

    4.3.2  数据安全攻击不断体系化

    4.3.3  数据安全需放弃“一招鲜”

    4.3.4  数据安全多维递进式设防

五、技术框架覆盖事前事中事后

5.1 I:识别

    5.1.1 技术:数据源发现

    5.1.2 技术:数据资产识别

    5.1.3 技术:数据资产处理(分析)

    5.1.4 技术:数据分类分级

    5.1.5 技术:数据资产打标

5.2 P:防护

    5.2.1 技术:数据加密技术

    5.2.2 技术:数据脱敏技术

    5.2.3 技术:隐私计算技术

    5.2.4 技术:身份认证技术

    5.2.5 技术:访问控制技术

    5.2.6 技术:数字签名技术

    5.2.7 技术:DLP技术

    5.2.8 技术:数据销毁技术

    5.2.9 技术:云数据保护技术

    5.2.10 技术:大数据保护技术

5.3 D:检测

    5.3.1 技术:威胁检测

    5.3.2 技术:流量监测

    5.3.3 技术:数据访问治理

    5.3.4 技术:安全审计

    5.3.5 技术:共享监控

5.4 R:响应

    5.4.1 技术:事件发现

    5.4.2 技术:事件处置

    5.4.3 技术:应急响应

    5.4.4 技术:事件溯源

5.5 R:恢复

    5.5.1 技术:灾难恢复

    5.5.2 技术:数据迁移技术（分层存储管理)

    5.5.3 技术:集群技术

    5.5.4 技术:远程异地容灾

5.6 C:反制

    5.6.1 技术:水印技术

    5.6.2 技术:溯源技术

    5.6.3 技术:版权管理技术

5.7 G:治理

    5.7.1 数据价值

    5.7.2 数据安全策略

    5.7.3 数据安全模型

    5.7.4 数据安全管理

    5.7.5 数据安全运营

    5.7.6 意识与教育

    5.7.7 数字道德

六、数据安全落地分阶段抓效果

6.1 并行推进治理与技术手段

6.2 优先建设数据保护主平台

6.3 分段规划实战与合规需求

    6.3.1 任务与计划

    6.3.2 推进与举措

七、数据安全应用示例方案参考

7.1 政务大数据交换共享场景

    7.1.1 概要

    7.1.2 安全现状

    7.1.3 解决方案

    7.1.4 总结

7.2 电子档案数据的安全存储和使用场景

    7.2.1 概要

    7.2.2 安全现状

    7.2.3 解决方案

    7.2.4 总结

7.3 银行业数据安全增强方案

    7.3.1 概要

    7.3.2 安全现状

    7.3.3 解决方案

    7.3.4 总结

7.4 互联网金融数据安全使用场景

    7.4.1 概要

扫描下方二维码并回复关键词“数据安全08”，即可下载完整版《2022数据安全与个人信息保护技术白皮书》PDF文字版+图片版（防止个别终端字体缺失）高清文件