基于研发流程的数据安全建设实践-陈继安.pdf

基于研发流程的数据安全建设实践陈继安• 2009 年开始从事研发工作；• 2012 年开始关注安全；• 2015 年 7 月开始负责安全体系建设；• 2019 年底开始负责安全和 DevOps 相关工作；• 目前就职于猪八戒网，主要负责项目全生命周期管理、CI/CD、全链路监控、应用和数据安全、ServiceMesh 落地等；支撑公司 500+ 研发人员高效、自助、安全的完成研发工作。关于我数据安全落地难点• 数据在哪里？谁在收集、存储、使用；• 系统运行很久、改造成本极高，新业务层出不穷；• 数据安全专业人员招聘难；• 数据安全事故仅仅是安全部门的责任；• ....明确目标和责任如何定义数据安全目标？ 1、符合各类合规要求； 2、不出现重大数据泄露事件；明确目标和责任如何划分数据安全责任？ 1、数据收集方是数据安全第一责任方； 2、安全部门承担数据安全监管责任； 3、合理设置主次责任；数据安全组织结构数据安全治理方数据安全执行方数据安全管理方决策方公司副总安全管理 1人（含运营）安全技术 1人（+运维、DBA、大数据）业务团队 300+人依托研发流程将数据安全左移1、数据归属管理2、数据分类分级3、数据使用管理数据归属管理通过研发平台实现业务、工程、数据的关联；数据归属管理通过研发流程+数据库规范推动数据和工程关联落地 1、一个表只能被一个工程关联； 2、所有数据查询、数据订正、数据结构变更均需要表对应的工程负责人审核； 3、表对应工程的负责人有权回收其他工程的读写权限；（需提供相应的业务接口） 4、工程的数据库账号权限由库级权限改为表级权限； 5、新工程原则上只能连接和工程关联的表；（推荐一个工程一个库） 6、没有关联的表无法进行操作并会根据情况进行备份下线处理；数据分类分级定义敏感信息数据特征；（字段名称特征、字段内容特征）数据分类分级在数据库 DDL 的时候对字段名称进行检查；数据分类分级根据字段内容特征实时扫描数据库内容实现数据自动打标数据使用管理1、数据分析或人工提取数据使用管理2、监控与审计数据使用管理3、基于零信任的数据访问数据使用管理4、应用间调用权限控制数据使用管理5、基于 nginx+lua 的 web 接口敏感数据识别数据使用管理5、基于 nginx+lua 的 web 接口敏感数据识别数据使用管理6、业务场景提供公共服务阶段性成果83.2%59.7%38.6%<5数据库表和业务的关联度；未关联的陆续下线敏感 web 接⼝识别覆盖率；并对完成不合规的接⼝进⾏整改；敏感数据加密覆盖率；个⼈敏感数据的识别和标记 100%个⼈敏感数据的⽉提取次数和查询次数降⾄个位数总结1、制定让老板放心的目标；2、通过运营持续推动落地；3、依托研发流程进行管控和赋能；4、建立完善的安全体系；（SDL、红蓝对抗、安全文化...）安全是为业务服务的，安全可以间接提高业务的竞争力知可以战与不可以战者胜，识众寡之用者胜，上下同欲者胜，以虞待不虞者胜，将能而君不御者胜。---《孙子兵法》