企业安全俱乐部深圳站-数据安全·安全运营思维导图模板

活动介绍：

https://www.freebuf.com/fevents/368076.html

个人信息保护二三问题的实践与构想

宁晟宇，平安产险资深数据安全工程师

个人信息与个人授权信息的概念区别

个人授权信息的主要操作还是增删改查。

授权的细化，颗粒化

参考资料

自动化决策个保评估的合规依据

《关于平台经济领域的反垄断指南》

隐私计算的概念

算子？原始数据？

个人信息删除的问题

删除不净

数据难以溯源

无法删除

数仓应用，删除困难

不敢删除

数据的完整性、一致性

数据存储期限

《互联网服务管理办法》

《互联网上网服务营业场所管理条例》

《电子商务法》

《网络交易监督管理办法》

《反洗钱法》

《金融机构客户禁止调查和客户身份资料及交易记录保存管理办法》

《征信业管理条例》

《非银行支付机构网络支付业务管理办法》

《电子签名法》

《信息安全技术网络支付服务数据安全指南》

《单用途商业预付卡管理办法》

《保险法》

5-10年

《证券法》

《证券基金投资法》

《医疗机构管理条例实施细则》

《精神卫生法》

数据删除标准

《网络安全法》

《电子商务法》

《APP违法违规收集使用个人信息行为认定方法》

《信息安全技术个人信息安全规范》

《民法典》

《个人信息保护法》

《深圳经济特区数据条例》

数据如果难以删除，个人意见，建议停止使用

是一种删除的替代方式

从DLP到DDR，不一样的数据防泄露体验

邱立宏，薮猫科技数据安全专家

DLP的问题

数据分类复杂，难度高

不支持上下文，只识别单点

误报率高，系统敏感而不准确

处理不了加密信息

安装agent，要考虑到操作系统的兼容性，如mac，各种版本

对apt攻击防护有限

安全策略严苛，影响用户体验

DDR

薮猫的一种产品，数据检测与响应

青骓 DDR（Data Detection and Response）

（没听……）

OCBC框架下企业云化数安管控实践

李磊，某互联网科技公司高级安全专家

听说是阿里

OCBC是演讲者自创的一套说法

Operation运营

Control 控制

Baseline 基准

cloud Native Security 云原生安全

以前好象在oswap会上讲过

（没听……，感觉是大杂烩，作者没讲清楚。）

某新能源企业数据安全建设实践分享

周大斌，某新能源企业信息安全负责人

2025，工业4.0，制造业强国

*工业4.0

按照目前的共识，工业1.0是蒸汽机时代，工业2.0是电气化时代，工业3.0是信息化时代，工业4.0则是利用信息化技术促进产业变革的时代，也就是智能化时代。13;这个概念最早出现在德国，2013年4月的汉诺威工业博览会上正式推出。

维度

全流程过程

全生命周期

数据全场景

治理

数据资产梳理

数据分类分级

数据安全策略

如果安全投入不够，不要向老板保证数据不会泄露，而要强调做好数据备份的意义。

整体数据安全体系

基本内容

业务战略

合规评估

责权划分

数据安全管理制度

数据安全方针

数据安全规范

数据安全流程

表单、记录

数据安全治理

数据资产梳理

数据分类分级

数据安全策略

数据安全建设维度分析（同上面的笔记）

数据全流转过程

数据全生命周期

数据全场景

数据安全管控技术能力

访问控制

认证管理

权限管理

身份管理

保护

加密

脱敏

防泄漏

审计

数据库审计

运维操作审计

业务应用审计

处理

可用不可见

备份

水印

数据安全组织

决策委员会

管理委员会

执行工作组

审计督查组

数据安全管理体系

数据安全管理组织架构

数据安全管理制度

明确责任

数据清单及归属责任部门划分

数据属主部门责任

数据使用部门责任

信息安全部门数据保护责任

业务部门数据保护责任

审计部门数据保护责任

日常管理

数据收集

数据的收集最小化判断标准

数据流转、存储和销毁

数据分级分类管控方法

流程安全

数据使用流程和方法

应急管理

数据泄露应急总体流程

通知通报

监管沟通

危机公关

应急处置

技术工具支持

数据安全管理组织架构

（略）

数据安全管理制度体系

（类似ISO标准结构，略)

数据安全技术架构

数据安全管理中心

数据安全策略

数据分类分级

数据标记

数据加密策略

数据访问策略

元数数据访问策略

数据安全审计

数据流向区块链化

数据操作证明(采集、销毁)

数据流向可视化

数据权限视图

数据审计告警

元数据操作审计

数据处理流程（由上到下）

授权

数据授权凭证管理

授权凭证多渠道审批

数据共享凭证校验

数据凭证区块链化

采集

采集合规校验

采集机脱敏

最小化按需采集

敏感数据识别

敏感数据自动加密

转移

传输通道安全隔离

数据传输加密

数据采集流控

双向证书认证

处理

数据脱敏处理

数据质量稽核

数据重算补算

数据分类分级识别（结构、非结构）

存储

数据库透明加解密

数据隔离存储

备份恢复框架

敏感数据识别

使用

ABAC数据访问控制

IBC分布式身份认证

数字暗水印

数据共享审核

销毁

到期自动销毁

数据销毁证明

人工数据销毁

数据销毁服务

安全技术层

统一认证

访问控制

日志管理

密钥管理

证书管理

安全启动

备份恢复

安全加固

一个拓扑示意

分支主题

数据安全态势感知平台

数据可视化

数据分布、数据分级分类数据风险、数据流向可视化

可感知

数据全生命周期

风险可感知

可管控

敏感数据防泄漏数据脱敏、数据加密、访问控制

可量化

数据事件趋势量化、数据风险趋势量化、用户风险趋势量化

可追溯

数据流程可追溯、数据操作可追溯、数据流向可追溯

可运营

安全运维流程、数据安全合规

基于SASE架构落地办公数据防泄漏XDLP

蒋竞阳，亿格云解决方案专家

（没兴趣，没听）

安全运营现状及发展趋势

李少鹏，数世咨询创始人兼总经理

不同时代的网络安全

攻防对抗时代的网络安全，是成本中心

数字健康时代，安全是生产力。

（不知道什么是数字健康，但安全是生产力是一种新颖的营销话术）

数字安全时代，数字秩序

（不知道在说啥）

安全管理平台发展现状

原来是soc，现在态势感知，成了安全运营

安全不是独善其身的事，是个特殊行业，特种行业

在国内，soc就是个产品，唯产品论，没能力

（老soc的概念已经落伍，一直没有真正落地）

从ipdrr到态势感知

态势感知，买不起，用不了，最后只好给领导看大屏，成为锦上添花的价值。

态势感知从兴起到落伍。（态势感知的概念也有问题，太贵，不会用，现在成了专给领导看的装逼产品。）

态势感知的定义

网络安全态势感知是一种由内外部多维数据驱动的，综合性的安全管理与运营体系。该体系对网络安全态势相关的所有安全要素进行收集并处理，结合大数据平台进行智能化关联分析，以实现对网络安全态势的全面感知、主动防护风险预测和联动响应。(数世咨询2020.3)

检测响应的定义

威胁检测与响应(TDR)是指: 以全流量检测与分析技术为核心，并结合威胁情报、脆弱性检测、加密流量解析、日志分析、EDR、SOAR、沙箱、专家服务等功能模块，以网络攻防对抗为主要场景的一体化解决方案。

（检测与响应的概念之所以流行，是因为比态势感知的概念更简单一些，没那么虚了）

报案

检测告警

立案

关联分析

破案

关联分析

结案

响应处置

安全运营

检测好做，精确难

精准依赖人工高手

响应好做，自动难

自动依赖soar

*soar

全称Security Orchestration, Automation and Response ，意即安全编排自动化与响应，主要通过剧本化、流程化的指令，对入侵行为采取的一系列自动化或者半自动化响应处置动作。

核心是分析

资产、暴露面，漏洞

漏洞 > 补丁 > 打补丁的能力

（漏洞管理的概念也比较夸张，实际上没补丁，有补丁也不敢打）

了解漏洞利用（exp）的关键路径，分析控制关键路径，收敛攻击面，如使用IAM技术

攻击面精细化运营

基于场景

基于风险

基于验证

安全运营的五要素

组织、产品、流程、平台、人

安全运营的未来

安全有效性验证

安全体系建设

渗透测试

攻防演练

入侵攻击模拟

未来

产品-能力化

运营

安全-业务化

？（没记下来）

SASE-ZTE场景（不知道想说什么）

产品分类

UTM/NGFW

防病毒

IDS/IPS

防火墙

上网行为

EPP/EDR/CWPP

防病毒

内存安全

终端审计

主机加固

HIDS

黑白名单

终端管理

基线

扫描

IAM

单点登陆

统一身份认证

双因素认证

特权账号管理

生物识别

身份访问

堡垒机

态势感知

大数据关联

资产管理

漏洞扫描

SIEM

行为分析

威胁情报

威胁捕捉

检测响应

如何发挥安全原子力效能助力企业发展

孙亚东，腾讯安全运营资深专家

（没听，就是滥用了一下ipdrr与att&ck的概念，感觉是瞎编）

*ipdrr

识别、防御、检测、响应、恢复

*att&ck

可以简单理解为描述攻击者技战术的知识库。13;MITRE在 2013 年推出了该模型，它是根据真实的观察数据来描述和分类对抗行为。13;ATT&CK将已知攻击者行为转换为结构化列表，将这些已知的行为汇总成战术和技术，并通过几个矩阵以及结构化威胁信息表达式（ STIX ）、指标信息的可信自动化交换 TAXII ）来表示。

从还原论到系统论--安全运营再讨论

刘志诚，乐信集团信息安全中心总监

还原论

重叠

多个agent同装一个电脑的例子

遗漏

（没记住，没听明白）

误报

ips的例子

漏报

白盒测试的例子？

无法实际运行模仿全量可能性？

（没听明白)

系统论

发现威胁，脆弱性，事件

发现，分析，响应，评价

智能化，自动化，简单化

纽约律所使用chatgpt提供的案例，上当受骗的例子，没有一个案例是真的，都是chatgpt编的。

数据驱动，有效评价

（没太听明白作者想说什么，可能是强调单点，孤立的概念，不如全局，系统的概念好？）

万科集团信息安全运营实践

吴致远，万科集团信息安全负责人，广东省互联网协会副会长

没听全，主要是说万科自己开发了一个安全运营平台，功能由少到多，一个个往上叠加，现在主要是四个功能，不断迭代出来的。

1. 漏洞管理

2. 产品管理

3. 基线管理

4. 风险管理

以及应急响应等

软件供应链安全治理及软件安全运营实践方案

覃阳青，安信证券开发安全负责人

券商开发模式

厂商定制开发

一些有技术难度的项目

合作开发

一般难度的项目

券商内部开发

低难度的项目（券商自己开发水平一般）

开源软件的痛点

复杂性

（记录不全）13;版本多13;……

依赖性

软件风险获取不及时

漏洞整改依赖上游更新

升级变更后稳定性得不到保证

冲突性

业务与安全目标的冲突

实际使用很多开源版本，不一致

*应该是技术栈的问题

评估、准入流程不一致

风险性

漏洞多

特殊场景功能稳定性问题

*不知道指什么？信创？

断更、停更风险

软件供应链安全解决方案实践

软件开发安全

自研+合作开发

外购软件安全治理

外购软件+软件供应商

开源软件治理

开源组件+开源代码+开源系统+开源工具等

管理体系

管理流程

流水线(DevSecops)

*敏捷开发类

流水线(SDL)

*传统瀑布开发类

外购(软件供应链治理)

文化建设

技术培训

流程培训

制度宣贯

devops&SDL

安全需求

项目需求评审

版本需求评审

安全设计

架构安全设计

功能安全设计

安全设计门禁

安全编码

代码安全检查

组件安全检查

IDE自查

代码安全门禁

组件安全门禁

安全验证

安全需求测试

灰盒测试

渗透测试

应用安全门禁

安全发布

基线检查

系统漏扫

上线/发布审批

扫描与加固工具

IDE

容器安全

IAST

数字签名

SAST

主机漏扫

DAST

基线扫描

SCA

基线加固

MAST

APP加固

支撑工具

安全漏洞库

安全知识库

开源组件库

安全组件库

支持平台

需求管理平台

漏洞管理平台

度量平台

开发安全管理平台

软件安全开发规范

管理规范

信息安全管理办法

数据安全管理办法

软件研发管理办法

技术规范

信息安全技术规范

客户数据安全管理规范

数据分类分级规范

安全配置基线

(具体的规范分类略）

组织保障

(第三方)人员安全管理细则

安全培训管理细则

技术风险评估管理细则

供应商安全管理办法

安全工具管理

自动化扫描/加固工具

IDE

SAST

SCA

IAST

DAST

MAST

基线加固

基线扫描

容器安全

APP加周

主机漏扫

数字签名

安全库/清单

安全合规库

安全需求库

安全威胁库

安全漏洞库

安全知识库

开源组件库

安全测试用例库

安全代码/组件库

支持平台

安全需求管理平台

安全漏洞管理平台

安全度量平台

软件开发流程

主要是以下内容：（图是从左到右，导图是从上到下，带星的是安全环节）

需求申请

安全需求评估

项目规划

架构设计

架构安全评审

详细设计

威胁建模

编码部分

安全编码指南

开发环境搭建

编码

组件入库检测

IDE代码安全扫描

编译构建

DEV

单元测试

代码安全扫描

代码扫猫

打包

制品上传

组件安全扫描

部署

SIT

编译构建

单元测试

代码安全门禁

代码扫描

打包

制品上传

组件安全门禁

部署

API自动化

应用安全扫描

UI自动化

SIT全阶段

安全需求测试

UAT

路径一

部署

API自动化

应用安全门禁

UI自动化

路径二

拉取制品

APP安全扫描

APP安全加固

APP签名

UI测试

UAT全阶段

安全验收测试

收尾阶段

安全检测

安全审批

上线评审

例外管理

安全培训

安全意识培训

应用安全外部形式

安全事件影响

漏洞产生原因

流程规范培训

安全开发流程

安全活动及要求

安全卡点设置

安全规范制度介绍

安全质量红线

安全技术培训

安全设计

安全编码

安全测试

开源软件安全使用

安全工具使用指引

安全考试与活动

定期+不定期各项安全考试

安全比赛

安全社区

安全度量

S-SAMM 4大评估域及下属15个评估子域

监管

能力

开发过程接触点

部署&运维

（具体内容略）

《研发运营一体化(DevOps)能力成熟度模型第6部分 : 安全及风险管理》

控制开发过程风险

控制交付过程风险

按制运营过程风险

沟通控制风险

（具体内容略）

软件安全开发度量

基于风险度量

基于工具有效性度量

推广情况度量

方案效果度量

（具体内容略）

软件供应链治理框架

主要内容

制度、流程、规范

主要管控对象

重要软件供应商

外购软件

主要环节

供应链引入环节

软件生产环节

软件应用环节

（具体内容略）

管理

供应链风险评分

优质供应商推荐

供应商风险监控

软件供应链交付流程

（略)

软件供应商存在的问题

企业资质

财务实力

项目经历

技术储备

安全管理规范能力

安全开发管控方案

安全组织建设状况

安全交付能力

产品安全能力先查

……

开源软件范围

组件依赖

（开发框架类）

中间件

数据库

操作系统

基础平台

容器类

基础设施

虚拟化类

运维工具

开发工具

开源软件风险约束

漏洞等级

可用性评估

可靠性

易用性

成熟度

兼容性

服务能力评估

更新能力

维护团队/人数

开源协议分类及评估

开源软件治理组织架构

（略）

企业数据安全能力体系化建设

张志遥，斗象科技解决方案专家

不同时代的关键生产要素

农业经济时代

劳动力

工业经济时代

技术、资本

数字经济时代

数据

“数据”目前在企业的主要应用

客户画像

精准营销

风险管控

运营优化

数据安全现状--数据安全与网络安全的关系

两者有较大重叠

数据安全与业务关系密切，超出了安全部分职责的范围，比如有些属于业务部门管理。

落地难

网络安全更多偏于基础设施。

数据安全现状--企业现有常常见数据安全措施

说的主要是与数据库相关的，如数据库防火墙，数据库审计，数据库脱敏，数据库加密之类

数据安全体系化建设痛点

技术体系

数量庞大，资产梳理与分类级落地难

数据交互多样，风险暴露点多

工作边界模糊，风险追溯困难

单点防御薄弱，难以应对数据流通风险

管理体系

1、缺乏合规确定性依据

2、权责不分，数据安全人员不足

3、流程不严，安全措施无法固化

数据安全体系化建设目标与方法论

《数据安全能力成熟度模型(GB/T37988-2019)》站在数据生在命周期维度，给出不同级别安全建设能力的方法论

数据安全体系化建设关键点

数据资产管理

全面盘点，数据资产目录

数据分类管理

业务活动，需要数据管理团队参加

识别有价值的数据类别

数据分级管控

不同级别，不同管控策略

数据安全体系化建设关键点--技术基础能力建设

数据采集

数据分类分级

数据源认证

数据传输

加密技术

脱敏技术

数据存储

加密技术

密钥管理

备份/恢复

数据处理

脱敏技术

加密技术

数据交换

数据接口管理

数据交换监控

数据销毁

数据清理/销毁

介质清理/销毁

通用技术工具

权限管理平台

流程审批平台

数据资产管理平台

监控/审计平台

日志管理平台

数据供应链管理平台

数据安全门户

元数据管理

数据关联管理

数据质量管理

数据合规管理

数据安全体系化建设关键点一场景化落地保护

四步法

API资产梳理

缩减核心业务API的暴露面

有哪些API?

有哪些核心数据的API?

有哪些提供对外调用的API?

敏感数据分类分级

缩减高危敏感数据暴露面

有哪些敏感数据?

有哪些对外暴漏的敏感数据?

有哪些核心业务相关的高敏感数据?

API弱点发现

发现API安全漏洞，推动修复，消除数据安全隐患

有哪些存在安全漏洞的API?

有哪些要紧急修复安全漏洞的API?

有哪些具有数据泄露的安全隐患的API?

风险监测

监测网络攻击和API异常行为，及时响应避免引发安全事件

监测尝试利用API漏洞的风险。

监测大量外发高敏感数据的风险。

监测异常访问核心业务API的风险。

数据安全运营--技术指标

数据安全运营

数据安全标识

新增业务系统

新增数据

业务系统变更

数据变更

数据安全管控