新形势下企业数据传输安全治理白皮书

飞驰云联新形势下企业数据传输安全治理白皮书2023年2月飞驰云联（南京）科技有限公司编写前言随着大数据时代的到来，数据的重要性日渐得到重视，当前数字经济正在引领新的经济发展，数字经济也成为继农业经济、工业经济之后的主要经济形态，是充足全球要素资源，重塑全球经济结构、改变全球竞争格局的关键力量。伴随着数据要素市场化进程的发展，数据和以其为基础的数字经济的巨大价值和重要意义已经得到强调和凸显，但数据相关的生产、采集、使用、传输、销毁等全生命周期流程却并不是平稳没有波折的，当数据创造价值的同时，也面临着被窃取、泄露、滥用、非法利用的风险。传输和交换使数据流动，进而释放和深度创造数据价值。我国企业在数据传输治理层面，却依然在历经一些挑战：法律体系不完整、结构内容不丰富；众多网络攻击和数据暴露的风险；企业在管理意识上不足而导致实际建设乏力；技术层面需求多样却难以统一落地；非结构化数据日渐重要但却易被忽视 等等，那么，在新形势下，企业该如何进行数据传输安全治理呢？本报告从企业数据传输安全治理组织建设角度、制度管理角度、技术体系角度三大方面进行了研究和探索，给出具体性的、具有参考价值的意见和建议，最后基于实际案例的实践价值，给企业可落地的指引参考，期望以此为更多企业进行数据安全传输治理带来支持。目录（CONTENTS）TOC\o"1-5"\h\z\o"CurrentDocument"一、数据传输安全治理的重要性愈加凸显 1\o"CurrentDocument"1、 数据安全是数字经济发展的前提和基础 1\o"CurrentDocument"2、 逐步完善的数据安全法律体系推进数据安全治理 2\o"CurrentDocument"3、 数据传输安全治理不容忽视 4\o"CurrentDocument"二、企业数据传输安全治理面临的主要痛点和需求 5\o"CurrentDocument"1、 数据传输治理政策层面缺乏系统性指导 5\o"CurrentDocument"2、 数据传输治理面临来自网络环境层面挑战 5\o"CurrentDocument"3、 数据传输治理面临在企业意识和管理上的问题 6\o"CurrentDocument"4、 数据传输治理急需解决在应用技术层面的需求 6\o"CurrentDocument"5、 非结构化数据传输治理愈发重要但却容易被忽视 7\o"CurrentDocument"三、 新形势下，企业进行数据传输安全治理的战略和方案 8\o"CurrentDocument"1、 构建企业内部合理的数据传输安全组织架构 9\o"CurrentDocument"2、 搭建企业内部完善的数据传输安全制度体系 10\o"CurrentDocument"3、 建设企业内部专业的数据传输安全技术体系 11\o"CurrentDocument"3.1、 企业数据安全传输技术规划 12\o"CurrentDocument"3.2企业数据安全传输关键技术 15\o"CurrentDocument"四、 数据传输安全落地实践案例 17\o"CurrentDocument"1、 政府政务行业 17\o"CurrentDocument"1.1、 某国家事业单位海量数据安全传输的实践 17\o"CurrentDocument"2、 金融行业 19\o"CurrentDocument"2.1、 某全国性股份商业银行跨网络文件安全传输的实践 19\o"CurrentDocument"2.2、某全球知名再保险公司内外部数据交换实践 21\o"CurrentDocument"3、 半导体行业 22\o"CurrentDocument"3.1、 某全球领先的半导体IP提供商文件传输实践 22\o"CurrentDocument"4、 高新技术行业 25\o"CurrentDocument"4.1、 某全球安检领军企业非结构化数据传输实践 25\o"CurrentDocument"参考资料 27#•专业数据交换平台，安全可控通过专业的数据交换平台从事前的权限管控、事中的文件内容检查和审批控制、事后的审计追溯和原文件审计对数据交换的整个流程进行控制，通过实现数据收发的连续性和统一管控。•提高数据交换全过程安全从发端到收端全程加密传输，支持私有传输协议提高数据传输安全。传输过程中提供文件内容识别、文件特征判断、病毒查收、人工审核等多重安全检查机制，对高密网或公司内部文件流出前实行严格管控，防止重要数据资产的非法泄露。4、高新技术行业4.1、某全球安检领军企业非结构化数据传输实践（1） 背景某大型高科技企业，是全球安检产品和安全检查解决方案的领导厂商，该企业安检产品和服务遍布全球160个国家和地区，广泛应用于民航、海关、铁路、公路、轨道交通、公安司法等众多领域。作为一家高度重视核心技术和知识产权的大型高科技企业，该企业长期存在对内部研发数据、文档进行统一存储、共享、协作和管控的需求。大量影像检测结果都是以文件的形式存在，伴随着安检技术的发展，其内容体量也越来越大。在该企业文件数据的管理和应用过中，主要存在着以下问题：•内部文件型数据的存储和管理比较分散，大量文件交换和协作行为，都是通过邮件、即时通讯工具、介质拷贝甚至外部云盘等方式进行的，终端用户的文件操作行为随意性较强，不仅难以统一管理和维护，终端用户的工作体验和协作效率也比较差；•邮件系统的文件附件承载能力较差，附件大小普遍限制在数十MB；在数千人的用户规模下，邮件服务器的存储和访问压力巨大，维护难度日益增高；•内外部各种文件共享和交换行为缺乏日志记录，无法进行有效的合规管控，存在着信息泄露和知识产权流失的风险。针对以上问题，该企业需要引入新的信息技术，通过建立一个统一的文件数据交换管理平台，实现内外部文件数据安全、高效、可靠地进行共享、交换和协作。（2） 传输治理对策该企业引入外部企业文件共享管控平台，作为内外部文件存储、共享和应用的统一平台。图7：该企业引入文件共享管控平台后的文件流转示意图通过该方案的部署和实施，重点解决该企业以下三大业务场景的需求：Outlook邮件超大附件在原有内部Exchange邮件服务和Outlook邮件客户端保持不变的前提下，通过引入系统的Outlook超大附件插件，实现邮件系统和文件共享管控平台的集成和配套使用。终端用户在撰写邮件时，可以一键呼出Outlook插件，不受文件数量、大小限制，轻松发送本地终端或者平台内部存储的大规模文件。所有附件均纳入文件共享管控平台的管理范畴，独立于Exchange之外进行附件的存储和传输，大幅降低了邮件系统的服务压力。内部文件共享协作公司各部门、分支机构均使用统一的文件共享管控平台，自助、独立地进行文件资源的存储和管理。终端用户可以通过共享文件夹、分享链接、收发文件包等多种方式，方便快捷地实现跨部门、多用户之间的文件共享和协作。•外部远距离文件收发公司内部用户可以通过文件共享管控平台，将大体量的文件型数据发送给在外部工作的同事或者客户现场，采用相同的方式还可以完成外部数据的高效回传。所有内外部员工均服从公司域的统一管理和授权，所有文件交换过程都可以做到有据可查。(3)实践总结该企业文件共享管控平台上线后，快速进行了内部的推广使用，承载了总部、研发中心和全球分支机构，共计超过2000名终端用户的文件管理和交换业务，全面替代增强了Exchange企业邮件系统的文件交换能力，并将各业务部门的文件交换行为纳入统一合规的管理体系。高新技术企业需保持自身技术优势并不断探索突破才能长远发展，这其中，对核心数据的管理和保护是必不可少的。如何控制建设成本、降低内部用户因改变使用习惯而带来的学习成本、同时又能规范文件传输行为，提高风险管控能力，该领先的安检企业的非结构化数据传输实践具有很强的参考意义。参考资料李晓伟，吴迎，邹彧，等.数据安全治理体系与技术研究:J].信息通信技术与政策,2021,47(8):51-55.中关村网络安全域信息化产业联盟数据安全治理专业委员会.数据安全治理白皮书4.0[R]北京,2022.闫德利.数据何以成为新的生产要素.[J/0L].北京,2020年5月13日.安静.审视数据安全在国家层面的重要意义.[J/0L].中国社会科学报,2021年2月24日.工业和信息化部网络安全产业发展中心.数据传输安全白皮书[R]北京,2022.数说安全研究院有限公司.数据安全市场研究报告.[R]河南,2022年9月.王慧，王锐，胡兆华.未来终端安全防护的发展方向.[J/OL].通信技术,2019年.安恒信息，《数据安全法全面解读》，2021年，http://www.iii./info/1058/2668.htm成立