数据已成为关键生产要素，是数字经济创新发展的“石油”。随着新一代信息技术的迭代发展和数字经济的快速推进，各类数据海量汇聚，数据安全问题日益凸显，成为关系国家安全和经济社会发展，关系广大人民群众切身利益的重大问题。
《数据安全法》已于2021年9月1日正式落地施行，数据安全产业进入了高速发展期，已经成为保障数字经济健康发展的基石。面对数据传输安全层出不穷的应用场景，机遇和挑战并存。数据传输安全作为数据全生命周期安全的关键环节，对于保障数据整体安全有着重要的意义。
1. 概念界定和范围
1.1 界定和范围
在2021年9月1日正式施行的《中华人民共和国数据安全法》第一章第三条中，明确将数据定义为任何以电子或者其他方式对信息的记录；将数据处理定义为数据的收集、存储、使用、加工、传输、提供、公开等；将数据安全定义为通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。
为了便于研究与交流，在此采纳上述文件中的相关定义。同时，结合数据安全相关法律法规和产业调研，本白皮书认为数据传输安全，是指通过采取必要措施，确保数据在传输阶段，处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。
从管理方面入手
通过制定数据安全规则、开展员工安全培训等方式提升数据传输安全意识； 明确规范操作流程，减少由人为操作失误而造成的数据传输安全问题。
从技术方面入手
- 利用加密技术对数据进行加密，保护传输的数据安全；
- 利用身份鉴别技术确认传输节点身份，保证传输的节点安全； 使用成熟的安全传输协议，保证传输的通道安全。
1.2 作用意义
数据传输安全作为数据全生命周期安全的关键环节，对于保障数据整体安全有着重要的意义。
从国家层面看，保障数据传输安全是保护数据安全，维护国家安全，保障数字经济健康发展，推动构筑国家竞争新优势的重要部分。对国家安全而言，保障数据传输安全与国家公共服务、社会治理、经济运行、国防安全等方面密切相关，个人信息、企业经营管理数据和国家重要数据的流动，尤其是跨境流动，存在多种安全风险挑战；对数字经济而言，随着新一轮科技革命和产业变革的加快推进，数据作为新型生产要素，有效促进数字基础设施发展与产业迭代升级，数字经济已成为我国经济高质量发展的新引擎，保障数据传输安全，已成为我国数字经济蓬勃发展的关键所在；对国家竞争优势而言，发展数字技术、数字经济，加强数据治理，综合运用政策、监管、法律等多种手段确保数据安全和有序流动，是全球科技革命和产业变革的先机，是新一轮国际竞争重点领域，是构筑国家竞争新优势的重要因素。保障数据传输安全已经为维护国家主权、安全和发展利益不可所缺的重要部分。
从企业层面看，保障数据传输安全对于保护企业数据安全，维护企业经济利益、竞争力以及持续经营能力有着重要意义。在数字化转型大趋势下，数据已成为企业日常办公、生产经营、技术创新、战略发展等活动的基础，数据安全已成为数字企业健康稳定发展的基本保证。目前，数据在传输过程中面临着传输主体多样、处理活动复杂、攻击手段升级、内部泄露频发等安全风险挑战。保障数据在传输过程中的安全性、完整性和可用性，对于维护企业业务连续性，保护企业竞争力、经济利益，确保企业安全转型和持续健康发展有着重要意义。
从个人层面看，保障数据传输安全对于保护个人信息安全，维护个人合法权益和人身安全有着重要作用。在数字社会中伴随日常活动，会产生大量个人数据，反之这些数据也能反映个人活动的方方面面。保障个人数据传输安全，确保个人数据在传输过程中不被篡改、破坏、泄露、窃取和非法利用，关系到个人的隐私权、决定权、知情权、人格权等多种权利，甚至关系到个人财产和人身安全。通过采取必要措施保护个人数据传输安全，能更加全面地保护个人信息安全，维护数字社会中个人的人格尊严和自由，保障个人合法权利、利益与人身安全不受侵害。
2. 数据传输合规要点
数据传输加密、数据传输端点安全、数据传输访问控制等合规要点逐步明确，相关主体积极响应国家政策，主动应对，探索实践。
2.1 数据传输加密
数据传输过程的数据加密，是确保数据传输安全最有效的技术之一。数据传输加密包括网络通道加密和信源加密，其中网络通道加密包括基于SSL和IPSEC协议的VPN技术，依托协议中的加密和认证技术，实现对网络数据包的机密性和完整性保护，满足移动办公接入、安全组网等需求。信源加密会在数据流动之前先应用加密技术进行加密，在接收端对加密的数据进行解密。每一次两点之间的数据传输过程，都会有加密及解密的过程，一个数据到达目的地之前，可能会经过很多的传输链路，也会经历很多加解密的过程。在线加密技术可以有效确保在网络传输过程的数据流是处于非明文状态，纵使被黑客拦截，也可以有效保障数据安全性，防止非授权用户的搭线窃听和入网，以及数据传输过程中被窃取和篡改。这是比较成熟的技术方案，但在实践应用过程，需要结合以下要点综合全面考虑环境部署。
- 数据机密性
数据传输过程的数据机密性，即传输的数据不能明文，这是数据传输安全最基本的要求。常见的数据加解密算法有以下几种：对称算法(国产算法SM1、SM4， 国际算法DES、3DES、AES)，非对称算法（国产算法SM2，国际算法RSA）以及哈希算法(国产算法SM3，国际算法SHA512)。对称算法加解密优点是加密解密的速度快，适合于大量数据的加密；非对称算法的加解密效率低，一般也没有必须用于大量数据的加密，通常可以用于数据加密秘钥交换的加密。一般数据传输过程，采用TLS、SSH等加密协议，可以认为数据传输过程中数据保密性合规。
这些加密算法应用非常成熟，组织在应用加密技术时，不能以技术至上，需要从整个组织的角度，综合考量技术与经济效率的平衡，围绕“价值-风险”双元统 一的风险管理思想，在保障数据传输安全基本要求的前提下，做出适合组织实际应用的决策。组织并不会使用单一的加密技术，往往会各类技术混合使用、互补优缺点使数据的传输更加安全。
- 数据完整性
数据传输过程的数据完整性，可以通过校验技术或密码技术来检测包括鉴别数据、业务数据、审计数据、配置数据、重要个人信息、网络数据等数据，确保数据正常传输、不掉包、传输过程未被篡改以及非授权访问。数据传输过程一般会通过协议来实现数据报文的完整性校验。如数据传输应用TLS、SSH协议，会通过MAC来校验，可以认为数据传输过程中数据完整性合规。
- 数据可用性
数据传输过程的数据可用性，主要为了保障对数据的持续访问以及当数据遭受意外攻击或破坏时，可以迅速恢复并能投入使用。具体包括为了避免网络设备以及通信线路出现故障时引起数据通信中断，针对关键链路采用冗余技术设计等手段增强数据访问的可靠性；为保障应用场景下的业务连续性，实现冗余系统的平稳及时切换，快速恢复运行，尽可能减少数据传输的中断时间，例如通过磁盘阵列、数据备份、异地容灾等手段，以规避硬件故障、软件故障、环境风险、人为故障、自然灾害等风险，确保合法用户可以对信息和资源的顺利的使用。
近两年来，在政策驱动和需求牵引的共同作用下，隐私计算技术创新与落地应用快速推进。隐私计算是涉及密码学、统计学、人工智能、计算机硬件等多学科交叉融合的技术体系，具体是指由两个或多个参与方在不泄露原始数据的前提下，通过硬件可信执行环境、联邦学习、多方安全计算等技术手段，保障数据在使用、加工、传输、提供、公开等数据处理活动中的“可用不可见”，保护数据不透明、不泄露、无法被恶意攻击及被其他非授权方获取，同时满足数据开放共享和数据安全保护的双重要求，最终产生超出自身原始数据的更高价值。
2.2 数据传输端点安全
一般来说，应用加密技术能够有效确保数据存储安全。但是在实践中，对所有数据存储使用加密解密技术，会影响业务数据访问时效性，尤其是高频交互数据。因此，通过对数据传输端点搭建有效的安全防护体系，选取关键增强点进行加密， 也是组织在实践中应用比较多的数据安全方案，主动防御数据不被篡改或泄露。
- 应用服务器到数据库
数据可分为结构化数据和非结构化数据，结构化数据存储于数据库，例如组织的人事资料、财务数据、销售采购数据等，一般会存储于数据库。数据库是一个应用系统、平台系统最核心的部分，随着数据的资产化，组织最重要的资产在于数据库。应用服务器数据流转到数据库，可以进行前置代理加密以及后置代理加密技术在数据出口第一时间进行数据加密。数据库加密网关，是数据库前置代理加密技术的一种，一般是独立的组件产品，部署在数据库服务器及应用服务器之间， 解析数据库协议，在数据保存到数据库之前对敏感数据进行加密，并将密文存储于数据库中，从而起到保护数据安全的效果。
- 应用服务器到互联网
常见的应用服务器系统有Web服务器、FTP服务器以及邮件服务器，这些服 务器均需要发布到互联网让用户进行访问。Web服务器通过HTTP协议规范了浏 览器和Web服务器通信数据的格式，FTP服务器通过FTP协议实现服务器与客户 端之间的文件传输及共享，邮件服务器则通过SMTP及POP协议与客户端进行收 发邮件。但HTTP协议、FTP协议是以明文方式进行数据传输，没有提供任何方式 的数据加密。如果攻击者截取终端与服务器之间的报文，将存在巨大的的安全隐患。因此，目前多数服务器会在应用层协议与TCP/IP协议间，增加SSL协议，保障数据传输安全合规。
- 应用服务器到终端
除了上述通过安全通信协议来确保应用服务器到互联网的数据传输安全之外，组织还会通过安全代理网关来进一步加强访问终端与应用服务器之间的传输安全。常见的安全代理网关，如CASB代理网关，是利用云访问安全机制的委托式 安全代理技术，不需要改造目标应用，通过适配目标应用，对客户端请求进行解析，并分析出包含的敏感数据，结合用户身份，通过安全策略对访问请求进行脱敏等控制来进行数据传输的安全管控。
2.3 数据传输通道安全
- 代理服务器到终端
基于SSL协议的传输加密技术主要应用于传输层的安全，采用密码算法和数字证书认证技术，确保登录用户的身份安全可信，以及数据传输的机密性、完整性，满足固定台式终端、移动办公用户、移动智能终端等不同场景、不同平台的可信接入需求。
- 代理服务器到互联网
https在http的基础上加入了SSL协议，SSL依靠证书来验证服务器的身份，并为浏览器和服务器之间的通信加密。可信安全SSL站点证书用于标识网站真实身份，它能够实现网站身份验证，确保用户访问网站的真实性，确保用户所浏览的信息是真实的网站信息，能有效防范假冒网站和钓鱼网站。
- 代理服务器到代理服务器
基于IPSEC协议的传输加密技术主要应用于网络层IP包传输的安全，包括传输模式和隧道模式，也就是网络层的安全传输。采用密码算法对用户报文进行加密，采用ESP协议对用户报文进行重新封装，确保用户信息传输安全，满足不同分支机构之间以及分支机构与总部之间的加密组网需求。
2.4 数据传输访问控制
除了数据传输过程中对数据本身的安全考量，对数据进行访问控制管理，也能够有效控制数据传输安全。数据传输访问控制可以防止非授权人员访问、修改、篡改以及破坏系统资源，防止数据遭到恶意破坏。访问控制主要有以下实现方式。
- 身份认证
身份认证访问控制是指通过身份认证技术限制用户对数据或资源的访问。常见的身份认证方式，包括口令认证技术、双因素身份认证技术、数字证书的身份认证技术、基于生物特征的身份认证技术、Kerberos 身份认证机制、协同签名技术、标识认证技术等。常见的身份认证访问控制应用场景，包括：已经离职以及在职时采用生理特征进行访问控制的员工，应于离职后及时删除基于生物特征录入的信息；外部人员访问时应进行身份认证来进行访问控制；数据处理中心的物理安全也应进行身份认证来进行访问控制，如机房门口应配置电子门禁系统等技术手段进行访问控制。
- 权限限制
权限限制访问控制是指基于最小特权原则、最小泄露原则、多级安全策略来限制用户对数据或资源的访问。常见的权限限制访问控制方式，包括：访问控制表、访问控制矩阵、访问控制能力列表、访问控制安全标签列表等，例如，通过对比用户的安全级别和客体资源的安全级别（绝密、秘密、机密、限制以及无级别） 来判断用户是否有权限可以进行访问；对用户进行角色划分，并授予管理用户所需的最小权限，实现管理用户的权限分离；对系统资源的访问是通过访问控制列表加以控制的，即当用户试图访问资源或者数据时，系统会控制用户对有安全标记资源的访问。
- 端口开放访问控制
服务器传输数据过程，除了需要目标IP地址外，还需要开放一些服务端口。通过系统的端口，能够使运行不同操作系统的计算机应用进程互相通讯。端口分为公认的默认端口和动态端口。默认端口是用于明确某种服务的协议，例如默认情况2端口是分配给FTP服务，25端口分配给SMTP服务，80端口分配给HTTP服务； 动态端口则是用于动态分配给一些系统进程或应用程序。应用服务器应根据提供服务的需求，有限开放对应端口，限制不必要的端口开放，从而有效限制数据传输泄密的风险。
本文摘编自工业和信息化部网络安全产业发展中心发布的《数据传输安全白皮书》，全文下载：
更多标准、白皮书、报告等高质量纯净资料下载，在文末扫码关注官方微信公众号“idtzed”，进入公众号菜单“治库”，或按自动回复发送引号内关键词。
