现网数管平台经过两年的发展，已经根据IPDR模型建设完成了数据安全运营能力，数据安全管控能力，数据安全监控能力，并实现了一二级平台的互联互通。但是在新的政策，法律法规，新技术的驱动下，平台要支持集团规范要求，要从系统架构，从识别能力，从风险场景等多方面苦练内功，提升自身的产品竞争力。在省份公司在业务操作时面临的痛点和难点，需要发现共性，设计解决方案，响应客户需求。

数据资产不全面，周期性盘点不足，数据资产的运营不够强。对外接口备案数据不完整，没有形成接口资产和负责人的对应关系链。数据分类分级技术手段不足，众多的数据无法按照传统方式进行判断。需要定期对数据资产清单进行更新确认，常态化跟踪数据资产变化。

数据资产注册不全面，很多数据资产没有登记，人工无法统计。SMP平台资产登记不完整，同步数据有缺失，数据资产台账不完整，缺少周期性盘点。数据扫描权限无法登录数据资产，数据资产联通测试无法通过，探针流量中的数据资产目前没有被纳管。来自SDC，日志信息里的数据资产信息没有被纳管。

对外接口缺少登记，成为沉默接口。登记的对外接口信息不完整，无法找到负责人。登记的对外接口无法联通无法验证准确性，成为无效对外接口。还有很多新增的对外接口因为业务需要临时开通没有被纳管。对外接口协议的类型无法通过人工或因为权限问题无法通过技术手段进行验证。对涉敏接口，没有形成业务部门-业务-应用系统-应用模块-接口/URL-业务敏感数据的实体关系，不方便处置。

数据分类分级依靠人工判断，因为认识和经验有限，失误比较大。数据特征不明显，数据特征相似性高，导致自动分类分级不准确，缺少对元数据的梳理。识别算法在扫描数据时数据样本设置阈值偏高或偏低导致判断失误。目前识别算法通过数据特征，正则表达式，数据字典的方式来实现，缺少统计模型、机器学习、语义分析、内容指纹匹配等技术手段来分析。

数据扫描识别敏感数据的过程中，由于算法不够丰富，技术不够先进，导致大量的敏感数据未被识别出来，或者识别错误，张冠李戴的现象时有发生，需要我们进一步提升识别能力，从技术，算法，流程上想办法。

缺少Web页面数据涉敏发现的能力，三四级敏感数据还不能被完全扫描识别，尤其是影音、图像类数据。企业自身数据中绝大部分目前不支持通过内容自动识别。目前支持的数据源都是常见类型，对于部分国产数据源和一些专用数据源尚不支持，对于加密或脱敏后的数据源无法识别原始数据是否敏感。

有些敏感数据虽然被人工确认，但没有被管控平台确认为敏感数据。人工和机器对敏感数据的认识存在差异。数据样本采样比值偏低或偏高影响敏感数据的判断。对于数据特征相似的表，列存在误判的情形。某些敏感数据的正则表达式不够丰富，会判断失误。

规范对于重要数据的分类分级还不够细化。对于移动规范要求的结构化的重要数据识别，部分可以通过正则表达式，数据字典，关键字信息进行识别。对于半结构化，非结构化的数据平台还没有效手段识别。

安全AI智能化分析支撑场景不足，算法积累欠缺。安全分析工作效率低，精确分析需要依赖大量的专家人员和手工分析，缺乏切实落地的模型支持，且目前模型还是基于规则的，需要加大机器学习和深度算法力度引入，并实现数量众多、精细多源、开箱即用的落地智能模型。

通过接口/账号/应用的涉敏访问频次、涉敏访问数据量是否偏离或异常于基线值来对风险行为预判，防患于未然。内置基线模型依赖人工调整基线基准偏差度，导致风险预警检测纯度不高。基线模型调优缺少智能化手段。导致基线模型与业务不符，模型可用性低。有的基线模型缺少真实风险行为场景模式做参考，在做基线建模时会让人感觉规则的堆砌。

风险因子作为安全风险预警的判断因素，是构建基线模型的重要参考，由于缺少数据支撑，积累不足。对于发生的数据安全事件重点在于处置，忽略了潜在风险因子的挖掘，对风险因子的重要程度认识不足。对于运维区的终端风险监测不足，导致内鬼不断，外鬼频频。不支持用户自定义风险因子，不支持多个风险因子组合形成特定的风险场景。

受限于现网流量探针的能力限制仅支持针对接口/应用的HTTP协议的风险分析。对涉及文件，邮件、数据库的风险监测还有待加强。对于海量数据的采集分析驾驭能力不足，导致数据遗漏结果有偏差。针对很多风险因子的识别，探针还支持不到位，如压缩文件，僵尸接口，明文密码传输，接口注入漏洞等。

数管平台目前的使用人员主要是安全管理员，只有业务系统的负责人经常使用数管平台才能最大程度的发挥能力。敏感数据在流转环节的监测力度低，对于全链路的数据分析还未实现。安全能力还未向第三方系统共享，业务价值没有体现。

数管平台大部分功能使用面向安全岗位设计，业务岗位使用这部分能力的途径主要基于工单或数管平台与业务平台的接口。业务部门未能充分利用数管平台的能力，导致安全职责难以有效分解，涉及与业务部门协同工作时，安全岗位责任重、压力大。数据未能完成数据隔离，各业务系统数据不能实现分区域查管处。

数管平台未对业务侧数据的薄弱环节做全流量监测和安全风险分析。针对敏感数据的部门间流转，系统间流转，应用程序间流转还未配置探针，无法对流转环节的数据做监测分析。通过对用户访问业务系统路径进行流量还原，在用户行为路径上通过系统审计控制非法行为，了解用户违规行为的轨迹路线。

数管平台尚未提供服务API，无法形成服务化能力，无法快速将能力向外扩展；数管平台数据分类分级清单和业务侧数据内容识别服务还未从功能解耦，尚不具备对外输出的能力。数管平台的流量探针安全监测服务，业务侧基础数据安全防护能力效果验证服务，还未具备对外服务的能力。数管平台的整体安全能力以服务共享的方式提供给第三方系统尚未实现。

对于工信部或集团经常性的检查，缺少电子化流程支撑，目前仅通过Excel文件流转，工作量大，用户使用积极性低。合规上报的工作量繁琐细碎，费时费力。针对集团巡检，缺少安全态势大屏统一呈现整体数据资产分布，整体数据安全风险趋势评估。

合规填报数据分散存储在各个业务系统，数据收集通过excel进行流转，数据稽核和确认通过邮件来完成，周转时间长，效率低。数管平台沉淀的数据没有技术手段输出到合规性报告，需要人工输入，易出错。

合规性检查常态化，合规报告很多数据通过人工寻找，容易出错，和可管情况差距巨大。合规数据很多需要人工统计，难免有遗漏。和其他安全能力平台输出的数据出入较大。数据填报稽核以人工为主，主要考核指标缺少电子化流程支撑。人工填报耗时长，效果差，疲于应付检查，缺少精力检查数据的合理性，完整性和正确性。

省分公司面临检查时，缺少抓手能够对整体数据安全情况进行直观汇报。目前平台更多的是数据资产，敏感数据，安全风险趋势等进行的统计分析报表，整体的安全情况没有得到完整的呈现。

数管平台要适用云计算业务弹性拓展防护需要，必须实现原有已建安全能力面向基础云化结构的适配，以适应云环境下安全能力内置同步部署、管理、运营要求。目前数管平台能力组件紧耦合，尚未完全支持接入云平台。

通过规则管理、规则检查、规则变更处理等功能，实现对统一的安全策略管理、合规核查，实现数据安全策略的集中展示，实现安全策略的增删改，做到安全策略的可视可管。

数据探针采集流量的大小，对流量还原的完整性和准确性，对于数据资产分布，数据安全风险趋势，数据流转的路径还原，数据溯源都有很大的影响。在对指定接口敏感数据，指定账号要进行实时监测，并产生预警信息，探针需要很强的实时监测能力。目前支持流量分光或镜像方式旁路部署采集探针，也支持在业务主机部署采集代理进行流量采集。亚信的数据采集探针还原的协议范围广，具备不同级别的流量吞吐性能，内容识别支持多种信息格式。

通过完善数据资产备案信息，能够准确全面的发现安全风险；通过引入机器学习算法简化风险监测配置过程，自动学习历史行为，通过人工或自动校正偏移量，能够从流量和日志中发现更多的安全风险，在备案、监测、处置环节形成闭环管理。

建设统一的安全事件处置中心，完善安全风险监测策略，建立安全事件的标准化，归并安全事件，简化安全事件处置流程，闭环处置安全事件。

针对联通数据安全面临的现状，亚信通过建设1个平台+N种能力来构建完善的数据安全管理体系。1个平台是数据安全管控平台，以IPDRR理论为基础从6个维度建设数据发现、分类分级、策略、监测、处置、合规等功能。N种能力指的是安全防护能力网关，能够在数据全生命周期进行对敏感数据分类分级保护的能力。通过数据安全管理体系的构建提升安全集中智慧能力，提升主动防护能力，主动发现异常风险，实现安全风险可视化等目标。

通过构建统一的数据脱敏能力平台，为运维和业务应用部门提供统一的脱敏引擎，规则管理，策略配置，实现对多源、异构的数据进行脱敏，实现脱敏的场景化落地实践 。保护数据使用的安全性，降低数据泄露风险。

面向互联网及合作方开放的数据接口具备接口认证鉴权与安全监控能力，能够限制违规设备接入，对接口调用进行必要的自助监控和处理。对涉及个人信息和重要数据的传输接口实施调用审批，定期开展接口日志审计。

《⼯业和信息化领域数据安全管理办法（试⾏）》国内首次提出要求数据处理者建⽴数据销毁策略和管理制度，明确销毁对象、流程和技术等要求，对销毁活动进⾏记录和留存。销毁重要数据和核⼼数据的，不得以任何理由、任何⽅式对销毁数据进⾏恢复。

数据溯源系统以防止用户信息泄露为核心点，通过相关算法，结合密钥，将水印或其他标记加注到文件中去，为用户提供数据泄露后的溯源。当数据发生泄露是，可以通过水印迅速知道是谁泄露，什么时间泄露，泄露了什么内容。

业务需求：数据安全管控平台能够对分域数据进行管理，域内管理员可以按照自己的权限对域内的数据进行数据安全管理和运营。平台管理员可以操作各域的数据。业务价值：通过数据分权赋能给系统内的业务系统责任人、业务部门安全接口人、安全管理员、运维人员和系统管理员等角色，方便业务操作使用，便于将数据安全管控平台横向纵向推广使用。平台管理员可以跨域操作，方便进行统一的数据呈现。

业务需求：为了方便运维管理人员的使用，可以通过钉钉账号，统一认证平台平台单点登录到数据安全管控平台，而且能够集成关键能力网关的管理界面，实现统一认证的目标。业务价值：能够简化管理员的登录操作，提升管理效率，方便在不同的系统和能力网关做切换。

业务需求：数据安全能力的建设需要从体系化的角度进行完善，不仅需要支持南北向流量的安全能力联动，还需要支持东西向流量的安全能力联动。需要能够和加密机联动实现数据的加解密功能，能够对接日志审计平台，采集系统日志实现统一安全信息的分析和展示。业务价值：以数据安全管控平台为抓手，统一调度和查看相关的安全能力网关和能力平台的安全信息，能够做到协同联动，提供统一的安全能力服务于企业用户。