引言
随着信息技術的不斷進步和數據的快速增長，數據流動已成爲現代社會中各個領域的重要組成部分，與此同時，數據流動所帶來的潛在風險和挑戰也日益凸顯。數據洩露、隐私侵犯、網絡攻擊、數據篡改等安全威脅不斷湧現，給個人、組織和社會帶來了巨大的損害和風險。面對這些挑戰，國家也逐步意識到數據流動安全的重要性，推動數據安全法規和法律的制定和強化，促使組織和企業加強對數據流動的保護措施。數據流動安全的發展正日益成爲保障隐私和數據安全的關鍵環節，對于實現數字化社會和可持續發展具有重要意義。
2021 年 9 月正式施行的《數據安全法》第七條提到 " 鼓勵數據依法合理有效利用，保障數據依法有序自由流動，促進以數據爲關鍵要素的數字經濟發展，增進人民福祉 "。第十一條提到 " 國家積極開展數據安全治理、數據開發利用等領域的國際交流與合作，參與數據安全相關國際規則和标準的制定，促進數據跨境安全、自由流動。" 相關法規的頒布不僅有助于預防數據洩漏、未經授權的訪問和惡意攻擊，還能夠強化對敏感信息的保護，維護用戶隐私，增強組織的信譽，爲業務發展提供可持續的基礎。
本文從數據共享安全方面切入，對數據流動安全從現狀、技術、行業、趨勢等方面解讀，并通過列舉典型廠商的經典案例來體現其落地應用情況。
嘶吼界定 | 數據流動是數據要素發揮價值的重要環節
數據共享安全是在數據共享和交換的過程中，保證數據不被非法獲取、篡改、洩露等安全問題，可以通過監測和審計機制來檢測潛在的安全威脅，并采取相應的防護措施。數據共享安全是在促進數據協作的同時，最大程度地降低數據被濫用或洩露的風險，确保數據的可信性和可控性。随着大數據的高速發展，促進跨部門、跨行業數據共享的需求日益迫切，與此同時，安全問題也成爲影響數據共享發展的關鍵問題，國家對此高度關注。
嘶吼安全産業研究院界定數據共享 / 流通安全下設六個細分：數據流動安全、數據訪問控制、安全網關、數據交換系統、數據容災備份和數據跨境安全。
數據流動是數據要素發揮價值的重要環節，保障數據流動全生命周期安全已刻不容緩。嘶吼安全産業研究院總結數據流動安全本質爲：擁抱未知、防止失控和創造價值。值得一提的是，當下數據流動安全在創造價值方面還有待提升。嘶吼安全産業研究院總結出數據流動安全幾大關鍵詞爲：數據流動安全平台、數據安全監管平台、數據安全流轉監測系統等。
嘶吼安全産業研究院認爲，數據流動安全從宏觀而言，可以分爲數據發現、分類分級、數據流轉監測、數據審計溯源、态勢感知、價值發掘等六類。
嘶吼洞察 | 市場、技術、行業三方面解讀數據流動安全
嘶吼洞察一：預計 2023 年數據流動安全市場營收超過 6 億
嘶吼安全産業研究院根據公開調研數據顯示，2022 年數據流動安全營收彙總規模爲 4.8 億元，占數據安全市場 ( 102 億 ) 規模的 4.7%。預計 2023 年，數據流動安全營收彙總将以 35% 的增長率達到 6.5 億元。在行業分布中，金融行業以 28.5% 的占比遙遙領先其他行業，互聯網、政務、運營商等行業緊随其後。
嘶吼安全産業研究院認爲，數據流動安全是确保數據在其生命周期中在傳輸、存儲和處理過程中得到充分保護的重要概念，它涉及到對數據的端到端加密、訪問控制、身份驗證、以及防止數據洩露或未經授權訪問的措施。這種安全性需要跨越各種平台和網絡，确保數據在從一個點到另一個點的傳輸過程中不受到損害或未經授權的訪問。數據流動安全的實施包括安全的通信協議、加密技術和有效的訪問管控，以确保數據即使在跨越不同系統和網絡時也能始終保持安全。
嘶吼洞察二：擁有數據流動安全産品的廠商 30 餘家
數據流動安全廠商主要專注于提供多層次、多角度的數據安全保障，以應對數字化轉型帶來的複雜和多樣的挑戰。這些廠商通常具有行業分散的特點，包括綜合型的安全廠商和專注于數據安全領域的專業廠商。他們不斷創新和發展，以滿足政務數據利用和共享的需求，同時也面臨着新的機遇和威脅。
根據嘶吼安全産業研究院的數據，數據流動安全在數據共享 / 流通安全領域中，共有 32 家企業提供相關産品。如：保旺達數據安全流量監測平台、思維世紀數據安全監管平台、通付盾 WAAP 等。
嘶吼洞察三：數據流動安全加密技術保證敏感數據安全性
數據流動安全應用需要結合多種技術，包括加密、身份驗證、訪問控制、監控和審計等，以确保數據在傳輸、存儲和處理過程中的安全性，此外，還需要利用大數據分析和人工智能技術來實時檢測和預防潛在的安全威脅。嘶吼安全産業研究院選取隐私計算技術、加密算法技術、流批一體化架構來解讀數據流動安全應用的過程中應大力研發的技術。
隐私計算應用技術增強數據完整性和可信度
嘶吼安全産業研究院認爲，将隐私計算與數據流動安全結合的關鍵在于采用技術和策略，确保數據在流動的過程中能夠得到保護，同時滿足隐私保護的需求。企業通過應用同态加密、多方安全計算、差分隐私等技術，可以在數據傳輸和處理的同時維護數據的隐私性，使得敏感信息在計算過程中得以加密或匿名化，防止未經授權的訪問。結合安全計算框架和可驗證計算，确保數據在計算環境中的完整性和可信度。此外，強調制定明确的隐私政策、進行員工培訓以提高安全意識，以及遵循相關法規和合規性要求，都是确保隐私計算與數據流動安全結合的重要步驟。通過綜合考慮技術、管理和法律層面的因素，可以建立一個全面的隐私保護機制，促使安全而合規的數據流動。
利用加密算法增強數據傳輸存儲過程中的安全性
嘶吼安全産業研究院認爲，加密算法是一種對原始數據進行加密的形式，保證數據在傳輸和存儲過程中的安全性，生成密文後，隻有獲得相應的密鑰才可以還原原始信息，一般而言，安全性與密鑰的長度與算法複雜度有關，密鑰長度長，算法複雜，相應的數據安全性也更高。
首先，加密算法可用于保護敏感信息在數據傳輸過程中的隐私，防止未經授權的訪問者或惡意攻擊者獲取敏感數據。在數據流動的過程中，加密算法可以确保數據在網絡中的傳輸是加密的，即使被截獲，也難以解讀，提高了數據傳輸的安全性；其次，對于端到端的通信，加密算法可以确保數據隻在通信的兩端被解密，中間傳輸的數據仍然是加密的，防止中間人攻擊；第三，對于實時流式數據，加密算法可以實時對數據進行加解密操作，确保數據在流動過程中的安全性。
流批一體化架構保障數據實時安全
嘶吼安全産業研究院認爲，流批一體化架構在數據流動安全中的應用指的是在數據處理中将流式處理和批處理結合到統一的架構中，以提高數據處理的實時性和效率。不僅支持實時威脅檢測、動态訪問控制和實時加密解密，還提供了全面的事件溯源、審計和安全事件響應。通過這種融合，組織能夠更靈活地制定安全策略，快速響應潛在風險，同時确保合規性監測和數據保護的全面性，爲數據流動提供了高效、實時的安全保障。
首先，流批一體化架構允許實時監測數據流，通過流式處理引擎進行實時威脅檢測，同時使用批處理進行曆史數據的深度分析，提高對各種安全威脅的檢測能力；其次，結合流式處理和批處理，可以實現更靈活的動态訪問控制策略。對于實時數據流，可以立即應用訪問規則，而對于曆史數據，可以通過批處理定期更新訪問控制規則；最後，流批一體化架構允許在實時流中捕獲關鍵事件，并使用批處理進行全面的審計和溯源分析，這有助于快速檢測和響應潛在的安全問題，并追蹤數據在整個流程中的變化。
嘶吼洞察四：金融和互聯網是數據流動安全的主力行業
嘶吼安全産業研究院認爲，對數據流動安全需求較大的行業排序依次是：金融、互聯網、政務、運營商、醫療。從嘶吼自主調研的數據來看，金融行業對數據流動安全的需求最高，達到 28.5%，互聯網、政務、運營商緊随其後，在 13%-15% 之間。
對于金融領域而言，數據流動安全對于預防金融欺詐至關重要。首先，通過實施有效的訪問控制和監控機制，金融機構能夠防範未經授權的訪問，減少欺詐行爲的發生。其次，金融機構進行大量的交易和資金流動，這就需要确保這些交易在傳輸過程中不受到篡改或未經授權的訪問，數據流動安全可以通過加密技術和數字簽名等手段來保障交易的完整性和真實性。
對于互聯網企業而言，作爲網絡攻擊的主要目标之一，數據在流動過程中需要受到有效的網絡安全保護，包括防火牆、入侵檢測系統、安全漏洞修複等手段，以應對各種網絡威脅。
對于政府機構而言，政府機構通常處理與國家安全和防務相關的敏感信息。确保這些信息在傳輸、存儲和處理過程中的安全，是保護國家安全的首要任務。數據流動安全需要防範未經授權的訪問和攻擊，以保護關鍵信息免受敵對勢力的威脅。
嘶吼洞察五：數據流動安全能夠有效促進數據開放共享
嘶吼安全産業研究院認爲，數據流動安全爲客戶提供了關鍵的隐私保護和信任基礎。通過确保個人信息在傳輸過程中的安全，客戶得以享受無縫的用戶體驗，同時降低了個人數據被濫用或洩露的風險。這不僅彰顯企業對合規性的關注，也鞏固了客戶對品牌的信任，爲客戶創造了安全、可靠的數字交互環境，從而提升了客戶滿意度和品牌聲譽。
嘶吼洞察六：解決數據孤島難題爲數據流動安全中的首要難點
随着數據量的急劇增加和數據流動路徑的複雜化，數據的實時監控和追蹤變得更加困難，導緻企業難以有效應對潛在的安全威脅。不同組織之間的數據共享仍存在标準和協議的不一緻，造成跨系統數據流動的互操作性障礙，增加了數據洩露和未經授權訪問的風險。嘶吼安全産業研究院總結了三大發展難點亟需解決，分别是：數據孤島問題嚴重，内部安全運維風險控制有待加強、活動與設施安全有待提升。
數據孤島問題嚴重
在當今信息時代，數據作爲關鍵的和策略性資源，被稱作新時代的 " 石油 " 資源，已經貫穿于生産、分配、流通以及社會服務管理等各個領域，深刻地塑造着生産模式、生活方式以及社會治理方式。然而在現實發展中，" 數據孤島 " 的問題較爲嚴重，不同部門之間對數據的使用存在差異，因此在流通的過程中存在信息滞後性，無法互通。
嘶吼安全産業研究院認爲，未來可以通過建立統一的數據标準、開放數據接口、完善數據共享機制、引進先進技術等手段來降低數據孤島的問題。
内部安全運維風險控制有待加強
在數據的收集、存儲、使用、加工、傳輸等各個階段，如果任何一個環節出現問題，都可能導緻數據洩露或被濫用。數據本身具有流動性、多樣性、可複制性等特性，這使得數據安全風險在數字經濟時代被不斷放大。如何協調政府、行業、企業、個人等多元主體，形成協同共治機制，同時平衡數據開發利用和數據安全保護，實現發展與安全的齊頭并進，是當前數據安全治理面臨的重要問題。
嘶吼安全産業研究院認爲，未來可以發展隐私計算技術來解決數據要素流通過程中的數據安全和隐私保護問題；在對待重要的數據時，需要高度謹慎，降低因爲一些細小錯誤導緻的重大安全事件。
活動與設施安全有待提升
數據流通活動的安全和數據流通設施的安全也是重要的風險點。需要通過規範各類市場主體在數據開放、共享和交易等流通活動行爲，保障數據流通過程安全可控、可追溯；同時保護數據流通所涉及的平台設施安全，防止其承載的海量數據丢失、洩露。
嘶吼安全産業研究院認爲，有效保證數據流動過程中的活動與設施安全，需要建立以數據爲中心的數據安全治理體系。這包括規範各類市場主體在數據開放、共享和交易等流通活動行爲，保障數據流通過程的安全可控和可追溯。同時，也需要關注數據處理活動的安全性，如數據的收集、存儲、使用、加工、傳輸等各個階段，如果任何一個環節出現問題，都可能導緻數據洩露或被濫用。
數據流動安全典型廠商 - 保旺達
保旺達數據安全流量監測平台通過深度流量解析監測應用層數據流轉，實現接口和業務訪問地址自動梳理、賬号訪問行爲和軌迹識别，動态感知全域敏感數據流動狀況，從數據流動中發現數據安全風險問題，實現全域數據動向的實時監控。同時平台提供應用資産台賬梳理、訪問行爲安全審計、應用資産脆弱性風險場景分析、數據洩漏溯源追查等功能實現了應用數據流動的 " 可視 "、應用接口的 " 可管 "、數據流動風險的 " 可控 "、數據洩漏事件的 " 可溯 "、數據安全日志的 " 可審 "，全面賦能用戶的數據安全管理及運營工作。
保旺達的數據安全流量監測平台有兩個應用場景，分别是 API 數據流動安全監測、業務人員敏感數據接觸監測。
保旺達應用案例 - 某電信數據安全流量監測平台
項目背景：
随着雲計算、大數據等新技術的廣泛應用，電信行業的業務模式和數據處理方式正在發生深刻變化。業務系統上雲後，雲化、微服務化和容器化使得數據在系統和服務之間的流動更加頻繁和複雜，使得追蹤和控制數據的流向的難度大大增加，增大了數據洩露和濫用的可能性。
某電信省公司已經采取了各種安全防護措施，包括部署大量的網絡安全監控系統，以保護數據安全。然而，由于技術限制以及對數據流量監測的缺失，需要建設一套結合創新技術的數據安全流量監測平台以進一步提升公司應用層數據安全監測手段和能力和滿足監管需求。
項目挑戰：
數據流轉已成爲當今企業發展的重要驅動力，通過數據交互、共享，提升資源配置的合理性，節約了企業運營成本，但同時也帶來了新的數據安全風險，包括監管、合規、流轉難題。某電信省公司作爲關鍵信息基礎設施單位，承載着大量企業重要管理與運營數據以及客戶運營數據，爲保障數據安全亟需構建持續化的動态數據流轉安全防護能力。
海量數據分析和處理：在大數據時代，數據流量數據量巨大且複雜度較高，如何有效地進行數據分析和處理是一個巨大的挑戰。傳統的數據處理方法往往無法滿足大數據分析的需求，需要采用更高效、更準确的分析方法和工具。
未知數據資産加劇數據安全風險：業務變更、流程變化、架構變動都帶來新的數據流動，産生新的數據存儲，商密信息、配置數據、個人隐私等重要數據資産持續增加、實時變化。不能全面、實時、準确的識别資産、實現分類分級管理，就可能導緻違規操作、過失行爲的産生，出現、加劇數據安全風險。
數據跟蹤溯源難度升級：充分數據流轉在帶來數據價值彰顯的同時，也給數據跟蹤溯源帶來難度。一方面，流轉方式更靈活，頁面訪問、接口調用、工具分析、文件分發，不同途徑、不同載體、不同協議，全技術覆蓋難度增大。另一方面，爲保證流轉安全的鏈路加密手段更加嚴密，防護隐私洩漏的同時也加大了獲知流轉内容的難度。既無法确認是否涉敏，同時無法評估是否合規。
數據暴露擴大升級防護難度：雲化、微服務化和容器化架構将不同的系統、服務和組件相互連接和交互，增加了攻擊者的攻擊面。一旦攻擊者成功入侵一個系統或容器，可能會利用漏洞和弱點跳躍到其他系統和容器，導緻整個系統的數據安全風險。
解決方案：
（1）結合 AI 構建分類分級模型識别海量敏感數據
通過系統定義規則、數據字典、機器學習識别模型等手段快速識别海量數據中的敏感數據，在掃描識别的過程中對數據庫、表、字段、文件打标簽與自動分類分級，建立清晰、直觀的數據資産目錄。
（2）數據資産全局深度治理
基于流量自動識别，實時發現新增資産、沉默資産、異常資産，并對資産分類分級。建立和完善數據治理機制，明确數據的歸屬、使用和流轉規則，防止數據的濫用和無序流動，确保數據的合規性和正确性。
（3）數據風險全鏈動态監測
采用智能分析、關系圖譜、空間測繪等技術，實現數據鏈路挖掘，鏈路還原，鏈路追蹤，鏈路治理。實時監測和分析數據流，一旦發現異常行爲或潛在的安全威脅，即刻進行預警，實現及時應對和防止安全事件的發生，減少了數據安全風險。
（4）數據态勢全維智能感知
基于入侵檢測、文件檢測、機器學習、威脅情報、流量模型等技術實現對入侵行爲、流量攻擊、文件威脅、加密流量威脅等安全風險的識别與分析，态勢量化與預測以及處置跟蹤與評價。實時監測異常數據流量并進行審計告警。
建設成果：
對數據資産的監測實現數據資産新增、變更的感知識别；
建設對外接口數據訪問行爲監測，實現異常違規行爲的審計和告警；
基于數據資産監測和用戶行爲審計，對發生的數據洩露事件進行溯源；
基于流程驅動的方式對安全事件的處置實現自動化、規範化，真正做到閉環管理；
基于管理手段的合規化、規範化，技術手段的能力化、可視化，保障數據安全管理運營工作的持續化。
客戶價值：
系統上線至今共計發現各類安全違規事件 2445 起、其中帳号借用、濫用 1854 起；
用戶惡意繞行越權訪問核心涉敏業務系統事件 267 起；
營業員少量多次竊取客戶敏感數據事件 18 起；
勒索軟件及其變種病毒内網滲透攻擊事件 317 起。
通過流量采集分析的實時性，有效降低了日志彙聚分析帶來的時間損耗，從安全事件發生到告警産生時間由原來的 5 分鍾縮短至 1 分鍾，效率提升 500%，爲數據安全管理人員争取了寶貴的安全事件處置響應時間，及時阻斷安全事件擴大、蔓延。
嘶吼前瞻 | 數據流動安全呈現 " 共享化、全球化、全流程化 " 趨勢
嘶吼安全産業研究院認爲，随着數據流動的方式和路徑日益複雜，數據流動安全需要綜合考慮多方面因素，未來需要深化數據要素流通工具、打造數據共享交換平台、全球化布局數據流動安全規模并采用具有多重安全措施和防範控制機制，以确保數據的安全流動。
共享化方面，首先需要明确打造數據共享平台的預期效果；其次在考慮平台的靈活性、安全性、集成性後，選擇能夠滿足需求的數據共享平台；接着通過制定數據标準和協議，建立數據治理策略，從而支持組織内外數據的有序流動和交換；最後，實施監控機制，持續監測數據共享過程，及時發現和解決潛在的問題，并建立數據交換平台的管理團隊，負責維護和更新平台。
全球化方面，首先需要各國推動數據安全标準和框架的落地，确保不同國家和組織在數據流動方面的基準保持一緻，也會降低法規差異；其次，各國之間在保證安全的前提下開發信息共享、聯合演練、技術研發合作的模式；最後，需要全球聯合制定應急響應計劃，以便在數據發生洩露或遭遇網絡攻擊時，能夠快速反應，及時恢複工作。
全流程化方面，首先，将數據分級分類，根據敏感性和機密性給予相應的标記；其次，從數據的源頭就采取加密技術，确保在數據流動的過程中是加密的；第三，要采取先進的網絡安全措施，比如防火牆、入侵檢測等，以保護數據在傳輸過程中的安全；通過全流程的安全化措施，可以有效地降低數據洩露和安全漏洞的風險，确保數據在流動過程中的安全性和完整性，這需要企業在技術、管理和文化層面上全方位地推動數據安全的全流程化。
