本解决方案主要基于风险控制的思想，协助客户建立自我持续改进和发展的数据安全管理体系，用合理的成本投入，达到可接受的数据安全目标，对内保护数据资产，将安全事件的损失和影响降到可接受程度，对外使监管部门及各利益相关方对组织充满信心。

以《网络安全法》、《数据安全法》、《个人信息保护法》等法律法规及标准规范为依据，构建数据安全风险评估标准化流程，建立数据安全风险评估辅助工具，规范数据安全风险评估过程，提高数据安全风险评估效率；并协助组织建立常态化数据安全风险评估机制，摸清数据、公民个人隐私等重要数据资源的管理情况，发现和整改在数据处理活动中的风险隐患和突出问题，防范于未然。从而为企业建立数据安全管理机制奠定基础。

一、技术框架

项目主要基于风险控制的思想，通过风险评估建立组织持续改进和发展的数据安全管理体系，用合理的成本投入，达到可接受的数据安全目标，对内保护数据资产，将安全事件的损失和影响降到可接受程度，对外使监管部门及各利益相关方对组织充满信心。

以“数据”为核心，构建数据安全风险评估标准化流程，研发数据安全风险评估辅助工具，建立常态化风险评估机制；及时发现和整改组织存在的数据安全风险隐患和突出问题，防范于未然。

项目服务内容是以《网络安全法》、《数据安全法》、《个人信息保护法》等法律法规及标准规范为依据和指导，构建数据安全风险评估标准化流程，研发配套数据安全检查工具箱等数据安全风险评估工具集，目前工具已在政务、电信、公安行业进行应用和推广。

通过专家+工具相结合的模式，开展数据安全风险评估。

二、关键技术

在项目应用中，形成了标准的数据安全治理服务体系、统一的数据安全治理服务流程、项目需求衍生的数据安全治理服务支撑工具。同时在技术层面形成了基于机器学习和自然语言的数据识别和分类分级类，在数据保护风险与访问行为监测上采用人工智能与安全方针相结合的技术解决脱敏和行为分析问题，采用同态加密技术保护数据安全性，基于数据模型与画像技术的数据安全风险监测。海量数据下敏感数据的识别定位以及非结构化数据中敏感内容识别；海量日志的异常行为挖掘分析技术；基于人工智能的用户实体行为分析技术等。

三、解决方案创新性、先进性

数据安全风险评估管理工具具备以下技术创新点：

1.内置数据安全风险标准化流程，实现评估全流程可管、可控

建立了数据安全风险评估标准，标准化数据安全风险评估流程，确保数据安全风险评估全流程规范化，保障评估过程及评估报告质量。对评测过程的统一化管理，使得以往线下无痕测评过程能够线上处理，测评业务化操作，统一进行管理，实现报告质量把控，报告针对性强，报告溯源性强。

技术上，对评测全流程进行管理，设置阈值对异常情况进行告警，对信息进行多维度的过滤和查询，能够实时监控评估过程的情况，对背离正常场景的任务进行及时纠正，有效避免因“事后”发现而造成既成事实从而带来损失的情况。

2.内置无网络环境下工作协同机制，提升评估团队工作效率

基于安全考虑，许多业务场景不允许使用外网，因此，客户端必须能够离线工作，即脱离服务器也依然能独立工作，同时也保证多方能够协同。

因此，让每个离线客户端都管理有自己的本地数据，确保能离线独立工作。当接入网络能够访问服务器时，客户端的同步程序将同步本地数据和服务器数据，进行提交、下载、更新、覆盖等操作。同步内容包括矩阵模板、文档中心列表、评估任务信息、文档资料和文档模板等信息。通过采用一系列技术如版本控制、加锁、优先级设定等措施，确保既能独立工作，又不会产生冲突，并能够协同工作，能适应各种评估业务场景，并保证数据安全评估工作做到简单灵活和高质高效。

3.工具智能化、评测过程自动化，执行傻瓜化

评测标准、评测执行、结果评审、报告产生等各个环节以任务的方式推动流程自动执行，协同工作的人无需了解复杂的评测过程和质量保障流程，只需按时完成自己的任务即可。

对于评测任务的执行，工具将每个评测项分解成简单的选择项，任务执行者只需要按给出的检查标准去检查，根据结果选择“满足”或“不满足”，并按要求提供证明。因此，对评测任务执行者的能力要求降低了很多，却不会导致质量的下降

技术上使用解析Excel的API接口，可直接处理Excel格式的评测矩阵，实现评测矩阵独立创建，能够导入到工具直接使用，既能充分利用已有的工作成果，又能提高效率。

4.自动化生成风险评估报告，提高风险评估效率

报告采用评测执行数据加载到报告模板的方式生成。在技术上，将报告固定部分实现在报告模板上，变化部分使用占位符进行标记，占位符属性包括ID和格式控制说明。评测的结果数据加工后会对应报告模板的占位符。当生成报告时，工具将报告模板的占位符替换成对应的数据，并根据格式控制说明以相应的格式嵌入到报告模板中，生成最后的报告。

用这种方式，报告模板和数据各自独立，可以很容易地生成不同格式和风格的报告，既保证了报告的完整性，也保证了报告的灵活性，保证质量的同时大大提高了效率。

5.基于多重算法聚合技术，实现海量数据下的敏感数据实时识别能力

本项目利用深度图像识别技术、样例图片匹配技术、数据特征对比技术、自然语义处理技术等算法相结合，实现对个人敏感信息与重要数据的发现与定位，内置50余种敏感数据对象，可实现身份证号、电话号码、地址、邮箱、银行卡号、车牌号，护照号，军官证、位置信息等敏感数据的识别。此外，工具支持自定义敏感对象识别规则，满足业务个性化检测需求。

6.基于人工智能+规则库+策略干预的模式，实现高可扩展应用

本工具利用大数据技术与数据模型构建平台，完成模型、数据识别特征库、数据分类分级策略库等行业规则库输出，帮助形成数据资产分级分类、重要数据识别、数据资产梳理等行业标准。

只有利用人工智能技术才能实现技术平台与完成行业标准与规则库，经过自学技术与人工干预的模式，不断完成人工智能模型与算法训练；以此提炼出通用的行业标准与实用性规则库。

7.基于海量网络流量下的实时解析与敏感数据识别的能力

本平台具备20GB/S以上的实时流量、针对200多种协议的解析处理，利用内置敏感数据识别模型，能快速精准地识别与定位敏感数据及数据流转流向。

8.基于数据模型与画像技术地有机结合，实现了系统违规操作行为分析与甄别

1）敏感数据访问/操作行为分析模型，本平台利用大数据技术、聚类分析等方法构建的敏感数据操作行为分析，能有效地甄别96%以上已知违规行为。

2）标签体系建立与用户画像

通过对系统访问者的打“标签”与特征标识，将访问者划分成不同的群体（即角色），勾勒出了用户的立体“画像”（即每类角色的特征、权限、访问时间、周期等行为规则），构建用户画像的标签体系建模。从原始数据进行统计分析，得到事实标签，再进行建模分析，得到模型标签，再进行模型预测，得到预测标签。

对于标签权重取值本平台经过研究与实际应用可几个方面评估：

涉及敏感信息级别越高的行为权重越高，根据敏感数据分类分级参照评估；

操作频率越高的行为权重越高，例如：客户信息查询5分钟50次大于5分钟10次；

非工作时间操作权重高于工作时间；

重要业务权重高于普通业务；

业务办理权重高于业务查询等。

3）二者有机结合

行为分析模型结合人工策略的干预，虽然能甄别96%以上已知违规行为，但未知违规行为识别上仍然存在较低准确率。而基于画像技术有效地弥补与大大地提升了未知违规行为的识别率和准确性，如下所示：

四、应用效果

智能化数据安全合规风险评估解决方案在电信、政务、公安行业等多个项目中已应用，并取得良好效果与成效，并获得客户的感谢信与表扬。本方案已经在全国电信多省份得到应用落地，如北京、浙江、广东、四川、云南、贵州、陕西等省的运营商多个项目应用，其应用效果突出。

本项目主要通过以下几种模式应用推广，取得收益：

（1）风险评估服务：通过该产品及匹配服务的方式，向企事业单位提供风险评估服务。

（2）安全云服务：与云运营商合作，实现智能风险评估工具SAAS模式部署，为租户提供免费基础服务（引流），提供收费增值服务（大流量、行业策略，根据功能需求计算费用），以实现获利。

（3）产品封装销售：对政企客户、风险测评机构、安全服务厂商提供数据安全检查工具箱，向具有私有云企业提供商售卖软件，以实现获利。

（4）通过搭建数据安全治理解决方案，实现“产品+专家+解决方案”增值模式。

当前该方案已累计实现经济收益达3000万元。

在社会效益角度，该方案能够帮助政企做好数据安全风险闭环管理工作，确保个人信息、敏感级重要数据的安全，为政企带来良好的社会效应，具备较强示范效应及推广价值。并具有推动行业技术水平的进步，促进就业等社会效益。

针对拥有大型信息系统和复杂业务的企业或部门单位，以国家法律法规和行业监管要求为依据，从管理层面、技术层面、运营层面进行全面的对标评估，逐一佐证合规要求的落地情况，发现组织和信息系统的管理不足、技术手段缺失、安全运营落实不到位的短板风险，在安全风险分析基础上，提供专业的安全整改方案及数据安全规划，提升企业数据安全保护整体水平，可应用于以下场景：

1.监管机构对企业的检查

(1)数据泄漏检测

检测并识别敏感数据、掌握数据流向，检测系统脆弱性，发现明文密码泄漏、伪脱敏、脱敏策略不一致、多类型敏感数据泄漏等风险。

针对业务系统自身存在的密码明文、弱密码、登录认证方式不合理、登录请求单因素认证等安全风险进行检测分析，发现数据账号风险。

(2)跨境数据安全评估

通过对网络数据流向分析，梳理企业数据关系，识别敏感数据的出入境行为，发现跨境数据的安全问题和风险以及发布情况，对访问者访问时间、访问次数、访问量以及访问内容进行分析记录和呈现，，并提供详细的出境日志，用于进一步分析和安全评估，能有力支撑有海外业务的企业进行数据出境安全评估申报并按规定在网信办备案。

(3)技术能力验证

根据产品提供的数据资产管理、分类分级功能，脱敏检查等功能，对受检企业相应的技术能力进行检查，根据比对的结果进行验证、分析和评估。

(4)漏洞与安全事件预警

产品自动采集最新的漏洞和安全事件信息，经过内置数据分析算法对情报信息进行去重、整理、可信度验证等处理，形成漏洞知识库和安全事件，辅助监管机构全面掌握最新漏洞和安全信息，及时发布安全预警。

2.执法机构对企业数据安全监督检查

(1)数据安全保护管理措施测评

按照《网络安全法》《数据安全法》《个人信息保护法》以及数据安全保护制度、网络安全等级保护制度、关键信息基础设施安全保护制度中的数据安全要求，检查各单位在组织机构、制度建立、机制流程、策略措施等方面是否有效落实。工作平台提供检查的各类别和检查项，知识库生成并调研模板和检测规则，对受检企业进行访谈调研以及技术检测，全面评估企业数据安全保护的管理措施，包括数据分类分级、组织管理、数据生命周期安全防护、个人信息保护等多个不同方面。检查结果通过统一工作平台进行统一上报。

(2)技术检测

技术检测采用网络接入、流量镜像等技术检测措施检查各单位数据安全保护措施落实情况，发现重大数据安全风险问题隐患。技术检测包括系统漏洞检测、数据库安全检测、数据传输检测、WEB安全检测等多个功能，根据调研情况接入环境，配置合适参数，能够开展自动检测，检测结果可通过统一工作平台进行上报。

(3)统一检查工作流程

检查人员的工作流程分为检查准备、实施和结果处理，对监管和执法机构进行数据安全保护检查过程中的信息收集与检查设计、现场检查实施以及检查结果的上报分析等工作制定统一规范提供技术支持。

检查工具具备检查工作任务管理功能，实现对检查任务全生命周期管理，基本操作流程为检查任务制定、预检信息获取、检查任务执行、检查结果收集、检查报表生成、检查结果导出、检查结果上报。

3.企业数据安全自查

(1)数据泄漏检测

检测并识别敏感数据、掌握数据流向，检测系统脆弱性，发现明文密码泄漏、伪脱敏、脱敏策略不一致、多类型敏感数据泄漏等风险。

针对业务系统自身存在的密码明文、弱密码、登录认证方式不合理、登录请求单因素认证等安全风险进行检测分析，发现数据账号风险。

(2)数据安全合规评估：

根据国家法律，行业标准，监管要求，对企业数据安全管控情况进行全面的合规评估，发现企业数据安全管理过程中的合规风险。

(3)跨境数据安全评估

掌握数据流向，对跨境的数据资产识别和统计，包括WEB数据、业务接口数据、FTP数据和邮件数据，并提供详细的出境日志，用于分析和安全评估。

(4)网络数据监控

协助发现非法用户操作、合法身份违法操作、恶意程序/木马处理敏感信息等风险。

(5)业务数据监测：

业务流程异常、业务逻辑异常。

(6)风险检测

业务数据泄漏检测。

(7)数据安全合规评测

通过客户企业上传评测矩阵，根据规范化流程实现指定部门或自行开展数据安全保护现状评测，并最终输出评测报告。

4.数据安全治理

(1)应用/接口资产发现

应用资产是指人机交互的URL资产，接口资产是指服务器之间的交互访问URL资产。通过对电信和互联网行业中敏感数据传输、使用、共享等过程中安全状态分析与判断，梳理出接口资产中敏感数据分布、流转等关系，提升数据安全管控技术能力。

(2)业务系统/账号发现

流量检测工具根据网络流量数据协议解析还原的结果，自动发现网络站点服务，根据协议解析还原标准日志，自动发现访问日志中的业务账号和接口账号，并对这些账号进行标记（是否涉敏）并管理。

(3)敏感数据识别与分类分级

内置了多个行业的数据分类分级模型，具备自动实现个人隐私信息及业务信息、行业重要信息等敏感数据分类分级能力 完成资产系统化管理、数据分级分类保护体系建设。

(4)操作行为分析

违规操作回溯与取证。

(5)建立漏洞知识库/安全事件库

自动采集最新的漏洞和安全事件信息，经过内置数据分析算法对情报信息进行去重、整理、可信度验证等处理，形成漏洞知识库和安全事件，帮助企业全面掌握最新漏洞和安全信息，保障企业的IT资产安全。

5.敏感识别分类分级

流量检测工具对个人信息与重要数据的分析识别。个人信息如以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份或者反映特定自然人活动情况的各种信息。

流量检测工具内置了多个行业的数据分类分级模型，具备自动实现个人隐私信息及业务信息、行业重要信息等敏感数据分类分级能力。