《数据安全能力成熟度模型》实践指南05：数据传输加密

《信息安全技术 数据安全能力成熟度模型》（GB/T 37988-2019）简称DSMM（Data Security Maturity Model）正式成为国标对外发布，并已于2020年3月起正式实施。美创科技将以DSMM数据安全治理思路为依托，针对各过程域，基于充分定义级视角（3级），提供数据安全建设实践建议，形成系列文章。本文作为本系列第五篇文章，将介绍通用安全过程域的数据供应链安全过程域（PA05）。 

 

随着《中华人民共和国数据安全法(草案)》的公布，后续DSMM很可能会成为该法案的具体落地标准和衡量指标，对于中国企业而言，以DSMM为数据安全治理思路方案选型，可以更好的实现数据安全治理的制度合规。

DSMM三维立体模型

 

数据生命周期安全过程域

 

DSMM将6个生命周期进一步细分，划分出30个过程域。这30个过程域分别分布在数据生命周期的6个阶段，部分过程域贯穿于整个数据生命周期。

本文作为《数据安全能力成熟度模型》实践指南系列第五篇文章，将介绍数据传输安全阶段的数据传输加密过程域（PA05）。

 

01 定义

数据传输加密，DSMM官方描述定义为根据组织内部和外部的数据传输要求，采用适当的加密保护措施，保证传输通道、传输节点和传输数据的安全,防止传输过程中的数据泄漏。

DSMM标准在充分定义级对数据传输加密要求如下：

1) 组织建设

组织应设立了管理数据加密、密钥管理的人员，负责整体的加密原则和技术工作，由各业务的技术团队负责实现具体场景下的数据传输加密。

2) 制度流程

l 应明确数据传输安全管理规范，明确数据传输安全要求(如传输通道加密、数据内容加密、签名验签、身份鉴别、数据传输接口安全等)，确定需要对数据传输加密的场景；

l 应明确对数据传输安全策略的变更进行审核的技术方案。

 

3) 技术工具

l 应有对传输数据的完整性进行检测，并具备数据容错或恢复的技术手段；

l 应部署对通道安全配置、密码算法配置、密钥管理等保护措施进行审核及监控的技术工具。

 

4) 人员能力

l 应了解常用的安全通道方案、身份鉴别和认证技术、主管部门推荐的数据加密算法，基于具体的业务选择合适的数据传输安全管理方式；

l 负责该项工作的人员应熟悉数据加密的算法,并能够基于具体的业务选择合适的加密技术。

 

实践指南

1) 组织建设

美创亏专家认为组织结构应该设立数据加密管理部门并至少指定两名相关人员负责公司整体的数据加密管理和密钥管理、为公司制定整体的数据加密制度和原则，指定公司应统一采用的数据加密算法、技术等，并推动相关要求确实可靠的落地执行。除此之外，还需要指定公司的各业务部门中的技术团队负责实现具体场景下的数据传输加密工作，包括但不限于数据传输通道的安全配置、密码算法配置、传输数据的完整性检测等。

 

2) 人员能力

针对数据加密管理部门的相关人员，必须具备良好的数据安全风险意识，熟悉国家网络安全法律法规以及组织机构所属行业的政策和监管要求，在进行数据加密管理以及制定数据加密制度的时候，严格按照《网络安全法》、《数据安全法》等相关国家法律法规和行业规范执行，同时还需要相关人员具备良好的数据传输安全建设基础、了解主流的安全通道和可信通道的建立方案、身份鉴别和认证技术，熟悉基本的数据加密算法、了解行业内常用的数据加密算法和国家推荐的数据加密算法，能够结合公司自身的实际情况选择合适的数据加密方法、数据传输方法、设计符合具体业务场景的数据传输安全管理方案。

针对业务部门的技术团队人员，必须具备良好的对不同数据传输安全建设方案的落地执行能力，拥有良好的数据安全风险意识，熟悉组织机构的不同业务场景，能够根据不同的业务场景在执行数据传输安全建设方案时合理地调度自己部门与其他部门的资源、有良好的团队协作性，以及一定的应急响应能力，遇到突发紧急情况能够优先进行处理并及时向上汇报。

 

3) 落地执行性确认

针对数据传输加密管理岗位人员能力的实际落地执行性确认，可通过内部审计、外部审计等形式以调研访谈、问卷调查、流程观察、文件调阅、技术检测等多种方式实现。

 

4) 制度流程

l 数据传输安全管理规范

①在对数据进行传输时，组织首先应进行风险评估，评估内容包括数据的重要程度，数据的对机密性和完整性的要求程度以及其安全属性破坏后可能导致系统受到的影响程度。根据风险评估结果，采用合理的加密技术。在选择加密技术时，应符合如下规范：

a. 必须符合国家有关加密技术的法律法规；

b. 根据风险评估确定保护级别，并以此确定加密算法的类型、属性，以及所用密钥的长度；

c. 根据实际情况选择能够提供所需保护的合适的工具。

②机密和绝密信息在存储和传输时必须加密，加密方式可以分为：对称加密和非对称加密。

③机密和绝密数据的传输过程中必须使用数字签名以确保信息的不可否认性，使用数字签名时应符合以下规范：

a. 充分保护私钥的机密性，防止窃取者伪造密钥持有人的签名。

b. 采取保护公钥完整性的安全措施，例如使用公钥证书；

c. 确定签名算法的类型、属性以及所用密钥长度；

d. 用于数字签名的密钥应不同于用来加密内容的密钥。

 

l 数据安全等级变更审核

对于任何数据信息的安全等级都一不定自始至终固定不变，数据信息可以按照一些预定的策略发生改变。如果把安全等级划定的过高就会增加不必要的数据防护成本，因此，数据信息安全等级需要经常变更。

数据信息安全等级变更需要由数据资产的所有者进行，然后改变相应的分类并告知信息安全负责人进行备案。对于数据信息的安全等级，应定期进行评审，只要实际情况允许，就可以进行数据信息安全等级递减，这样可以降低数据防护的成本，并增加数据访问的方便性。

 

l 密钥安全管理规范

密钥管理对于有效使用密码技术至关重要。密钥的丢失和泄露可能会损害数据信息的保密性、重要性和完整性。因此，应采取加密技术等措施来有效保护密钥，以免密钥被非法修改和破坏；还应对生成、存储和归档保存密钥的设备采取物理保护。此外，必须使用经过业务平台部门批准的加密机制进行密钥分发，并记录密钥的分发过程，以便审计跟踪，统一对密钥、证书进行管理。

 

密钥的管理应该基于以下流程：

①密钥产生：密钥的产生包括为不同的密码系统和不同的应用生成密钥。密钥采用人工产生或加密机产生的方式；

②密钥分发：向目标用户分发密钥，包括在收到密钥时如何将之激活；

 

密钥分发管理应满足如下要求：

①密钥存取：为当前或近期使用的密钥或备份密钥提供安全存储，包括授权用户如何访问密钥；

②密钥更新：包括密钥变更时机及变更规则，处置被泄露的密钥；

③密钥备份：密钥备份用于防止密钥丢失；

④密钥销毁：需要销毁的密钥包括过期密钥、废除密钥、泄露密钥、被攻破密钥，密钥销毁将删除该密钥管理下数据信息客体的所有记录，将无法恢复，因此，在密钥销毁前，应确认由此密钥保护的数据信息不再需要。

 

5) 技术工具简述

数据从一个节点流向下一个节点的过程就是数据传输过程，在组织内部、外部每时每刻都在进行数据传输。在数据传输过程中有三个要素：传输的数据、传输节点、传输通道。所以，为了保证数据传输过程的安全，就需要对这三个节点进行相应的安全防护。

对于传输的数据，要在传输前先使用加密技术对数据进行加密，如果数据明文传输，将会面临巨大的安全风险；对于传输节点，需要利用身份鉴别技术校验传输节点的身份，防止传输节点被伪造；对于传输通道，数据传输的通道需要是加密、可信、可靠的。通过对这三个部分的安全防护，达到数据传输的机密性、完整性、可信任性。

l 数据加密技术

所谓数据加密技术是指将一个明文信息经过加密密钥及加密函数转换，变成无意义的、无法直接识别的密文，而接收方则将此密文经过解密函数、解密密钥还原成明文。美创科技坚定加密技术是网络安全技术的基石，只有掌握可靠的加密技术，才能在此基础上搭建起网络安全防护的壁垒。

数据加密技术一般常见的有两种，对称加密和非对称加密。另外还有一种特殊的加密手段：哈希。哈希是进行数据加密的一种手段之一，但是并不属于加密的范畴。因为加密技术是可逆的，而哈希是不可逆的。

 

l 哈希算法

HASH：也叫散列、杂凑，音译为哈希，其过程是将输入的任意长度的明文信息通过哈希算法转换成固定长度的散列值。由于哈希过程是从任意长度转换到固定长度，所以对于数据来说往往是一种压缩变换。输出的散列值的空间大小也要小于原数据的空间大小。而且哈希算法有一种关键的特性就是，不同的数据在经过散列算法后可能会得出同一个散列值，所以无法通过散列值得到一个唯一的原数据，这也就是为什么哈希算法不可逆不可破解的原因。

目前常用的哈希算法有三种，MD4、MD5和SHA1三种算法。

 

l 对称加密和非对称加密

对称加密和非对称加密工作原理都是一样的，这两个加密技术之间的区别在于在对称加密中，加密密钥和解密密钥用的是同一个密钥，而在非对称加密中，加密密钥和解密密钥使用的是不同的两个密钥。

对称加密算法是应用较早的加密算法，其技术也相对更加成熟。数据在被发送之前，需要将数据和对称加密的密钥一起经过特定的对称加密算法进行加密，加密后形成复杂的密文，然后再讲密文数据发送出去。接收到密文数据之后，如果想得到明文数据，就必须使用同一个密钥经过解密算法的解密，才能得到加密前的明文数据。由于对称加密加密和解密使用的都是同一个密钥，这就要求接收方需要事先持有发送方进行加密的密钥。

对称加密算法的优缺点比较明显，优点是其过程简单、计算量小、加密解密的速度都很快、效率高。缺点就是安全性不好，因为加密解密使用的都是同一个密钥，一旦密钥泄露，那么任何人都可以使用密钥来解密信息；另外一个就是由于加解密使用同一个密钥，为了保证安全性每次传输都要生成一个唯一的密钥，在大数据时代，海量的数据传输，那密钥数量将几何级增长，密钥难以管理。

对称加密算法主要有DES、3DES、AES、RC2、RC4、RC5和Blowfish等，其中比较常用的是DES、3DES和AES这三种加密算法。

非对称加密算法需要两个密钥：公开密钥（publickey）和私有密钥（privatekey）。公开密钥与私有密钥是一对，如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。

非对称加密算法的优点是由于公私钥是不同的，所以在分发和管理上相对简单，密钥数量也远远小于对称加密的密钥数量；其安全性远远高于对称加密的安全性，即使公钥任何被泄露，也无法解密信息。其缺点就是在加解密的速度上要比对称加密慢不少，计算量和资源消耗大。

常见的非对称加密算法有RSA、DSA、ECDSA等。

 

l 数字证书技术

对称加密和非对称加密解决了数据传输过程中的保密性问题，但是对称加密和非对称加密都不能解决“中间人攻击”的问题，也就是无法鉴别数据传输双方的身份的问题。即使进行了加密传输，但是如果对方是恶意者伪造的接收方，那么数据传输也会出现严重的安全问题。数字证书技术的出现就是为了解决如何在计算机网络中识别对方身份的问题的，数字证书是由权威机构CA证书授权中心发行的，能提供在Internet上进行身份验证的一种权威性电子文档。数字证书保证了数据传输过程中的不可抵赖性和不可篡改性。

 

l 密钥管理技术

密钥管理技术，英文名称为Key Management Service，简称KMS。所以密钥管理系统也被成为KMS系统。密钥管理是数据加密的核心部分，负责加密密钥的生成、分发、销毁等工作。KMS中的密钥一般可以分为三级，三级密钥是用来对数据进行加密的密钥，也叫数据加密密钥；二级密钥是用来加密数据加密密钥的密钥，也叫密钥加密密钥；一级密钥是用来加密密钥加密密钥的密钥，也是KMS系统中的根密钥。KMS系统的设计一般由三部分组成，首先是生成和存储密钥的部分，用于密钥的生成和存储；然后是分发和管理密钥的服务部分，用于获取生成和存储中的密钥进行分发管理；最外层是提供KMS的接口，如SDK、编程接口等。利用KMS系统，可以大大提高密钥保护的安全性，同时可以减少管理密钥的成本。

 

l 安全传输通道

利用上述的数据加密技术和数字证书技术就可以构建一个比较安全的数据传输过程了，我们可以使用对称加密算法加密我们需要传输的数据，然后使用非对称加密算法传输对称加密算法的密钥，而非对称加密使用的公钥可以使用数字证书进行传输和鉴别。同时可以在传输过程中加入时间戳校验防止数据传输过程中的重放攻击，重放攻击就是攻击者重复发送一个接收方已经接收过的数据包来进行欺骗，在数据包中加入时间戳的绑定可以有效地解决这一问题。

在数据传输过程中使用成熟的安全传输协议可以方便的构建安全的数据传输过程，可以使用SSL、TLS、IPSec等协议。

受限于篇幅，美创科技专家不再对此处技术工具进一步展开，数据传输加密技术工具应能实现密钥管理、数据加解密、数字证书、传输协议以及数据校验等。下图为数据传输加密的技术工具进行数据源鉴别及记录作业的基本流程图。

数据传输加密基本流程图

 

数据传输加密过程域的实践指南就展开至此，《数据安全能力成熟度模型》实践指南系列持续更新中，欢迎持续关注。可拨打美创科技服务热点：4008113777了解更多。