《網(wǎng)絡(luò)空間安全導(dǎo)論》 課件 33-數(shù)據(jù)安全05-數(shù)據(jù)處理安全之數(shù)據(jù)正當使用；06-數(shù)據(jù)交換安全之數(shù)據(jù)共享安全和數(shù)據(jù)發(fā)布安全

數(shù)據(jù)處理安全-數(shù)據(jù)正當使用教學(xué)目標理解數(shù)據(jù)正當使用的含義理解常見的訪問控制模型目錄數(shù)據(jù)正當使用的含義訪問控制模型數(shù)據(jù)處理安全-數(shù)據(jù)正當使用數(shù)據(jù)正當使用的間接定義國家標準《數(shù)據(jù)安全能力成熟度模型》：

基于國家相關(guān)法律法規(guī)對數(shù)據(jù)分析和利用的要求，建立數(shù)據(jù)使用過程的責(zé)任機制、評估機制，保護國家秘密、商業(yè)秘密和個人隱私，防止數(shù)據(jù)資源被用于不正當目的。2016年某國總統(tǒng)大選大數(shù)據(jù)“殺熟”數(shù)據(jù)處理安全-數(shù)據(jù)正當使用數(shù)據(jù)正當使用的間接定義大數(shù)據(jù)的高價值《數(shù)據(jù)安全能力建設(shè)實施指南》指出，大數(shù)據(jù)時代中的數(shù)據(jù)價值越來越高，容易導(dǎo)致組織內(nèi)部合法人員被數(shù)據(jù)的價值吸引而違規(guī)、違法的獲取、處理和泄露數(shù)據(jù)。通過建立數(shù)據(jù)使用過程中的相關(guān)責(zé)任和管控機制，保證數(shù)據(jù)的正當使用正當使用安全的管理對象如何管理正當使用安全的對象目錄數(shù)據(jù)正當使用的含義訪問控制模型數(shù)據(jù)處理安全-數(shù)據(jù)正當使用身份與訪問管理（IAM）Gartner對IAM的定義：“Identityandaccessmanagement(IAM)isthedisciplinethatenablestherightindividualstoaccesstherightresourcesattherighttimesfortherightreason.”IAM是一種身份與訪問管理機制，它能有效控制什么樣的人或物的用戶在什么時間有權(quán)限訪問到什么樣的資源。即控制主體對客體的訪問，防止未經(jīng)授權(quán)的數(shù)據(jù)讀取、修改、外泄。數(shù)據(jù)處理安全-數(shù)據(jù)正當使用訪問控制模型自主訪問控制（DAC）強制訪問控制（MAC）基于角色的訪問控制（RBAC）基于屬性的訪問控制（ABAC）數(shù)據(jù)處理安全-數(shù)據(jù)正當使用訪問控制模型-自主訪問控制（DAC）自主訪問控制（DiscretionaryAccessControl，DAC），是由擁有某一客體資源控制權(quán)的用戶，自行制定訪問主體和該客體之間的訪問關(guān)系，常見用于記錄訪問關(guān)系的載體有訪問控制列表、訪問控制矩陣、訪問控制能力列表。數(shù)據(jù)處理安全-數(shù)據(jù)正當使用訪問控制模型-強制訪問控制（MAC）強制訪問控制（MandatoryAccessControl，MAC），是分別為主體、客體賦予安全級別，增加安全標簽屬性，通過訪問策略明確訪問關(guān)系，高級別主體可訪問低級別客體，低級別主體拒絕訪問高級別客體。數(shù)據(jù)處理安全-數(shù)據(jù)正當使用訪問控制模型-基于角色的訪問控制（RBAC）基于角色的訪問控制（Role-BasedAccessControl,RBAC），是基于某一類別的用戶組/崗位角色賦予權(quán)限，不面向個體賬號設(shè)置權(quán)限。用戶被分配適當?shù)慕巧?，該用戶就獲得對應(yīng)角色的所有權(quán)限，管理員根據(jù)業(yè)務(wù)角色劃分組別和權(quán)限后，對角色設(shè)定最小特權(quán)。相比于面向用戶的權(quán)限調(diào)整，基于角色的訪問控制維護成本大大降低，即簡化了用戶的權(quán)限管理方式。數(shù)據(jù)處理安全-數(shù)據(jù)正當使用訪問控制模型-基于屬性的訪問控制（ABAC）基于屬性的訪問控制（Attribute-BasedAccessControl,ABAC），是基于能區(qū)別實體的屬性，制定相關(guān)的訪問控制策略。在訪問控制模型中，涉及的實體包括主客體、環(huán)境、行為、對象等，各自有著獨特的屬性。主體屬性包括用戶名、部門名、職務(wù)、年齡、機器編碼等環(huán)境屬性包括訪問者的IP、訪問時間等行為屬性包括修改、添加、刪除、讀取等對象屬性包括文件、數(shù)據(jù)庫表、URL地址等數(shù)據(jù)處理安全-數(shù)據(jù)正當使用零信任體系零信任假設(shè)a) 內(nèi)部威脅是客觀存在的；b) 訪問主體不局限于用戶，還包括設(shè)備、應(yīng)用程序、網(wǎng)絡(luò)等類別；c) 安全是動態(tài)的，不是靜態(tài)的。每個對象的安全狀態(tài)是相對的，不是靜態(tài)不變的?！皬牟恍湃?，始終驗證”數(shù)據(jù)處理安全-數(shù)據(jù)正當使用零信任體系零信任3類技術(shù)方案軟件定義邊界（SDP）身份和訪問管理（IAM）微隔離（MSG）數(shù)據(jù)處理安全-數(shù)據(jù)正當使用零信任體系-數(shù)據(jù)權(quán)限管理身份認證管理應(yīng)用管理策略管理數(shù)據(jù)處理安全-數(shù)據(jù)正當使用零信任體系-數(shù)據(jù)權(quán)限管理數(shù)據(jù)正當使用的含義訪問控制模型總結(jié)數(shù)據(jù)交換安全-數(shù)據(jù)共享安全和數(shù)據(jù)發(fā)布安全教學(xué)目標理解數(shù)據(jù)共享安全的含義理解數(shù)據(jù)發(fā)布安全的含義目錄數(shù)據(jù)共享安全數(shù)據(jù)發(fā)布安全數(shù)據(jù)交換安全-數(shù)據(jù)共享安全數(shù)據(jù)共享安全的間接定義國家標準《數(shù)據(jù)安全能力成熟度模型》：

通過業(yè)務(wù)系統(tǒng)、產(chǎn)品對外部組織提供數(shù)據(jù)時，以及通過合作的方式與合作伙伴交換數(shù)據(jù)時執(zhí)行共享數(shù)據(jù)的安全風(fēng)險控制，以降低數(shù)據(jù)共享場景下的安全風(fēng)險。數(shù)據(jù)交換安全-數(shù)據(jù)共享安全數(shù)據(jù)共享安全的間接定義《數(shù)據(jù)安全能力建設(shè)實施指南》背景和目標：“數(shù)據(jù)共享過程中面臨巨大安全風(fēng)險，數(shù)據(jù)本身存在敏感性，共享保護措施不當將帶來敏感數(shù)據(jù)和重要數(shù)據(jù)的泄漏。因此，在本過程域中，需要采取安全保護措施保障數(shù)據(jù)共享后數(shù)據(jù)的完整性、保密性和可用性，防止數(shù)據(jù)丟失、篡改、假冒和泄露”數(shù)據(jù)交換安全-數(shù)據(jù)共享安全數(shù)據(jù)共享安全需求（風(fēng)險）合規(guī)風(fēng)險內(nèi)部風(fēng)險外部風(fēng)險數(shù)據(jù)交換安全-數(shù)據(jù)共享安全數(shù)據(jù)共享安全技術(shù)工具要求數(shù)據(jù)安全合規(guī)授權(quán)與審計共享數(shù)據(jù)格式規(guī)范日志與審計政務(wù)信息共享數(shù)據(jù)安全技術(shù)要求框架（參考）數(shù)據(jù)交換安全-數(shù)據(jù)共享安全數(shù)據(jù)共享安全技術(shù)工具要求政務(wù)信息共享數(shù)據(jù)安全技術(shù)要求框架（參考）來源：GB/T39477-2020《信息安全技術(shù)政務(wù)信息共享數(shù)據(jù)安全技術(shù)要求》數(shù)據(jù)交換安全-數(shù)據(jù)共享安全數(shù)據(jù)共享安全技術(shù)工具舉例數(shù)據(jù)水印技術(shù)API調(diào)用與溯源審計數(shù)據(jù)流轉(zhuǎn)監(jiān)控與溯源審計目錄數(shù)據(jù)共享安全數(shù)據(jù)發(fā)布安全數(shù)據(jù)交換安全-數(shù)據(jù)發(fā)布安全數(shù)據(jù)發(fā)布安全的間接定義國家標準《數(shù)據(jù)安全能力成熟度模型》：“在對外部組織進行數(shù)據(jù)發(fā)布的過程中，通過對發(fā)布數(shù)據(jù)的格式、適用范圍、發(fā)布者與使用者權(quán)利和義務(wù)執(zhí)行的必要控制，以實現(xiàn)數(shù)據(jù)發(fā)布過程中數(shù)據(jù)的安全可控與合規(guī)”數(shù)據(jù)交換安全-數(shù)據(jù)發(fā)布安全數(shù)據(jù)發(fā)布安全的間接定義《數(shù)據(jù)安全能力建設(shè)實施指南》背景和目標：“數(shù)據(jù)發(fā)布是指組織內(nèi)部數(shù)據(jù)通過各種途徑向外部組織公開的一個過程，如數(shù)據(jù)開放、企業(yè)宣傳、網(wǎng)站內(nèi)容發(fā)布、社交媒體發(fā)布、PPT資料對外宣講等，防止出現(xiàn)違規(guī)對外披露造成對組織的名譽損害，資產(chǎn)損失等不良影響