盘盘政务大数据安全的“拦路虎”，你被拦住了吗？
2020-11-19
一、数字经济时代加速到来
在我国互联网行业高速发展的这二十年，随着以消费互联网为主流的商业模式发展成熟，沉淀了包括电商、支付、信用、沟通协同、定位等众多的全新数字架构和解决方案能力。与此同时，数字政务、智慧城市、智慧产业等均已陆续进入高速发展的进程。一方面，商业互联网的数字架构和能力作为成长的养分输出给政府、城市和产业；另一方面，政府、城市和产业也将随着自身的成熟而衍生出全新的智慧商业架构和解决方案能力。
今天，在全新数字化发展、变革的大浪潮下，我国已经进入到一个新型的数字化社会，其中数据作为支柱型资产已经凸显出空前的产业价值，并随着国家、各级政府进入数字化战略时代，数字中国、数字政府、互联网+政务等进程的推进，以数据汇聚、共享、开放为主要事务内容的政务大数据建设也遭遇到了前所未有的新挑战——大数据环境下数据流动中的数据安全问题。
二、探寻政务大数据管理职责发展“三阶段”
时至2020年，我国各地省级政务大数据管理部门均已建立，甚至个别省份地市在政务大数据主管部门的牵引下，整体城市数字化建设已经初步兑现数据的智慧创新和交易价值。纵观我国整体政务领域大数据发展进程和大数据管理部门职责，以数据建设进程和价值兑现路径的视角来看，不难发现普遍性的政务大数据管理部门发展的阶段性特征明显，大致可分为三阶段：
以数据归集中心建设为核心的1.0阶段；
以数据运营中心建设为核心的2.0阶段；
以数据价值中心建设为核心的3.0阶段。
图1 政务大数据管理部门职责发展阶段
1.0阶段，聚焦在数据互联互通、集中汇聚以支撑解决各地民众办事难、政府服务体验差问题的“最多跑一次”、“一次办妥”等政策落地；
2.0阶段，聚焦数据治理、主题库/专题库重要设施等建设，优化数据资产管理的数据运营能力，聚焦优化政务办事、优化民生等智慧政务的发展和成熟；
3.0阶段，聚焦大量发展智慧应用、数据价值兑现支撑应用创新并迭代完善数据全生命周期管理，构建数据价值中心，以支撑智慧城市、城市大脑的运营。
三、政务大数据安全的“拦路虎”
1、数据场景的颠覆性变化
以往我们常见的政务系统建设更多是烟囱式的独立体系，数据孤岛式存储和加工，数据责任单一明确，有限地在安全域内流动和被使用，数据流程短、接触人员少，正所谓“门前三包、各管一摊”。
于此同时，也存在民众和职能部门办事繁琐、流程复杂、效率低下等问题。如老百姓买房，往往要多次跑民政局、房产局等不同部门开具各种证明材料、填写各种表格，且审核、批准等流程周期极长，政务服务质量、口碑极低。
如今随着“最多跑一次”、“一次办妥”、“一网通办”等便民政策的推进和落实，原有的各部门、各系统的孤岛数据被拉通，随着数据的互联互通、共享开放，数据呈现跨系统、跨部门的跨安全域流动使用的趋势。在每天高频次的海量数据交换和开放中，数据流程变长，打破了原有的安全域内流动的约束，数据提供方、使用方、相关服务方等共同介入数据流转路径，接触人员多、责任界限不清等状况打破了原有数据流转环境的安全稳定。
图2 数据流转场景的颠覆性变化
2、新形势下政务数据流动带来的风险特征
随着数据流转场景的颠覆性变化，以及变化过程中所应用的创新技术，在带来惠及民生的便利和进步的同时，也随着大量数据安全问题事件的爆发为政府、民众带来了对数据的恐慌。
而回归到政务大数据业务建设的本身，数据流动带来的数据安全风险都有哪些特征呢？
鉴于职能和业务需要，往往大数据管理部门会作为拉通各政府部门、地市、区县等数据所有者实现数据互联互通的牵引者，同时也会成为为业务需求而做数据汇聚的数据归集管理者。海量数据汇聚在基于开源技术的大数据平台存储，不可避免因大数据平台组件的开源性存在源生安全机制薄弱等问题。同时海量敏感数据的集中存储，严重缺乏有效的分级保护措施，而在大数据平台上的复杂数据加工处理过程，往往也缺乏细粒度的审计、授权、防泄漏机制。
政务数据的互联互通，其基础即为数据的共享交换，在数据共享交换以及使用过程中，数据所有者、使用者分割了数据的管理权和使用权，同时在数据共享交换过程中相关服务方的介入则进一步放大数据跨部门、跨系统流转和留存的暴露面、接触面，每一个流转、留存的板块上普遍缺乏一致的安全策略，极易出现安全短板。
政务数据的价值兑现，离不开数据治理、创新应用、智慧应用等建设，另外建设过程中数据资产对共享、开放等应用开发场景所需的支撑同样不能缺位。而数据的开放往往因业务的紧迫和数据管理粒度的粗糙，无法有效地、充分地评估数据开放的安全影响。此外，因数据开放场景下内外部技术对接中的安全技术应用不充分，数据接口安全机制不完备，数据权限控制、数据防泄漏、数据脱敏、安全审计等有效的隐私保护手段缺位等情况也广泛存在。
综上所见，颠覆性场景变化的新形势下，数据汇聚、数据共享、数据开放场景中数据流动带来了不胜枚举的安全风险和挑战，为政务大数据建设和发展的前路也蒙上了一层阴影。
四、应对措施和建议
政务大数据管理部门，作为整体统筹多级别多类别政务部门数据业务协同的主导者，数据管理以及数据安全问题解决策略与传统企事业以及单一行业数字化转型的组织存在较大差异，需要从顶层规划做体系化设计做起。
首先应构建垂直贯通各级领导和执行团队的组织架构，让整体战略方针有的放矢切实落地；其次应结合组织架构特征、地方特色、业务需要等关键要素制定管理制度体系，包括整体方针策略、管理制度规范、流程指南、监督审计依凭等；最后仍需结合真实场景需求引入相应的技术能力，其中包含人员、工具、平台等不同维度技术能力的有效结合，在整体流程规范体系指导下开展相关建设和运营。
技术层面需充分考虑结合政务大数据业务场景的特色特征，精细识别具体场景中面向政务外网区、互联网区的数据流转态势和环境安全。政务数据资源目录、前置机、共享交换平台、数据治理平台、主题库、专题库、便民智慧应用门户等关键设施的安全防护，各设施运转协作中对数据异常流转、异常数据访问行为等能够有效监控识别，数据开发测试环境的数据安全开放和第三方使用监控等。由此不难看出，技术层面也随着业务场景的复杂性变化，应对难度不断攀升，现实中基本已经找不到一种特效技术或产品能解决所有问题，所以未来在政务大数据场景中安全问题的解决办法也将更趋向于体系化解决方案。
五、小结
2016年以来，全球范围内数据泄漏、数据滥用等数据安全事件层出不穷。据金雅拓等国际权威机构统计分析，每年发生的数据安全事件中，数据泄漏造成的成本损失逐年递增，且组织面对的单纯外部攻击造成的数据泄漏等事件不足两成，超八成是内部人员或内外部勾结所造成。由此可见，未来数据安全的建设方向，也将存在颠覆性的变化趋势。
下期预告
今天，绿盟君与您共同探讨了政务大数据发展中的安全风险与挑战。下一期，海王捕鱼将与您进一步探讨如何构建政务大数据安全体系，敬请期待！
