大数据安全挑战
大数据安全风险伴随大数据应用而生。随着互联网、大数据应用的爆发，数据丢失和个人信息泄漏事件频发，地下数据交易黑灰产造成数据滥用和网络诈骗，并引发恶性社会事件，甚至危害国家安全。如 2015 年 5月，美国国税局宣布其系统遭受攻击，约 71 万人的纳税记录被泄露，同时约 39 万个纳税人账户被冒名访问； 2016 年 8 月，犯罪团伙利用非法获取得到的数万条高考考生信息实施诈骗，山东女孩徐玉玉因学费被骗出现心脏骤停，最终抢救无效死亡； 2016 年 12 月，雅虎公司宣布其超过 10 亿的用户账号已被黑客窃取，相关信息包括姓名、邮箱口令、生日、邮箱密保问题及答案等内容； 2016 年至今，全球范围内数以万计的MongoDB系统遭到攻击，大量系统被黑客索取赎金。
技术平台角度
伴随着大数据的飞速发展，各种大数据技术层出不穷，新的技术架 构、支撑平台和大数据软件不断涌现，使得大数据也面临着新的安全挑战。
（一）传统安全措施难以适配
海量、多源、异构、动态性等大数据特征导致其与传统封闭环境下的数据应用安全环境有所区别。大数据应用一般采用底层复杂、开放的分布式计算和存储架构为其提供海量数据分布式存储和高效计算服务，这些新的技术和架构使得大数据应用的网络边界变得模糊，传统基于边界的安全保护措施不再有效。同时，新形势下的高级持续性威胁（APT）、分布式拒绝服务攻击（DDoS）、基于机器学习的数据挖掘和隐私发现等新型攻击手段出现，也使得传统的防御、检测等安全控制措施暴露出严重不足。
（二）平台安全机制亟待改进
现有大数据应用中多采用通用的大数据管理平台和技术，如基于Hadoop生态架构的HBase/Hive、Cassandra/Spark、MongoDB等。这些平台和技术在设计之初，大部分考虑是在可信的内部网络使用，对大数据应用用户的身份鉴别、授权访问、密钥服务以及安全审计等方面考虑较少。即使有些软件做了改进，如增加了Kerberos身份鉴别机制，但整体安全保障能力仍然比较薄弱。同时，大数据应用中多采用第三方开源组件，对这些组件缺乏严格的测试管理和安全认证，使得大数据应用对软件漏洞和恶意后门的防范能力不足。
（三）应用访问控制愈加复杂
由于大数据数据类型复杂、应用范围广泛，它通常要为来自不同组织或部门、不同身份与目的的用户提供服务。一般地，访问控制是实现数据受控访问的有效手段。但是，由于大数据应用场景中存在大量未知的用户和数据，预先设置角色及权限十分困难。即使可以事先对用户权限分类，但由于用户角色众多，难以精细化和细粒度地控制每个角色的实际权限，从而导致无法准确为每个用户指定其可以访问的数据范围。
数据应用角度
大数据的一个显著特点是其数据体量巨大，而其中又蕴含着巨大的价 值。数据安全保障是大数据应用和发展中必须面临的重大挑战。
（一）数据安全保护难度加大大数据拥有巨大的数据，使得其更容易成为网络攻击的显著目标。在开放的网络化社会，蕴含着海量数据和潜在价值的大数据更受黑客青睐，近年来也频繁爆发信息系统邮箱账号、社保信息、银行卡号等数据大量被窃的安全事件。分布式的系统部署、开放的网络环境、复杂的数据应用和众多的用户访问，都使得大数据在保密性、完整性、可用性等方面面临更 大的挑战。
（二）个人信息泄漏风险加剧
由于大数据系统中普遍存在大量的个人信息，在发生数据滥用、内部偷窃、网络攻击等安全事件时，个人信息泄漏产生的后果将远比一般信息系统严重。另一方面，大数据的优势本来在于从大量数据的分析和利用中产生价值，但在对大数据中多源数据进行综合分析时，分析人员更容易通过关联关系挖掘出更多的个人信息，从而进一步加剧了个人信息泄漏的风险。
（三）数据真实性保障更加困难
大数据系统中的数据来源广泛，可能来源于各种传感器、主动上传者以及公开网站。除了可信的数据来源外，同时存在大量不可信的数据来源。甚至有些攻击者会故意伪造数据，企图诱导数据分析结果。因此，对数据的真实性确认、来源验证等需求非常重要。然而，由于采集终端性能限制、技术不足、信息量有限、来源种类繁杂等原因，对所有数据进行真实性验证存在很大的困难。
（四）数据所有者权益难以保障
大数据应用过程中，数据会被多种角色用户所接触，会从一个控制者流向另外一个控制者，甚至会在某些应用阶段挖掘产生新的数据。因此，在大数据的共享交换、交易流通过程中，会出现数据拥有者与管理者不同、数据所有权和使用权分离的情况，即数据会脱离数据所有者的控制而存在，从而会带来数据滥用、权属不明确、安全监管责任不清晰等安全风险，将严重损害数据所有者的权益。
大数据安全标准化需求
大数据安全标准是应对大数据安全需求的重要抓手。基于对上面大数据安全风险和挑战的综合分析，以及对当前大数据技术和应用发展现状，以及当前我国对大数据安全合规方面的要求，提出五个方面的大数据安全 标准化需求。
（一）规范大数据安全相关术语和框架
当前，大数据技术和应用在快速变化之中，人们对一些大数据概念和术语的认知水平不同，包括大数据定义、大数据安全角色、大数据生命周期等，所有这些都将影响大数据行业的快速和健康发展；同时，当前缺乏一个通用的能够清晰描述大数据生态中各安全角色之间关系和以及各角色安全活动的安全参考框架，以指导后续大数据安全标准的制定。因此，应优先制定包括大数据安全概念和框架、角色和模型等基础标准，为其它标准的制定打好坚实基础。
（二）为大数据平台安全建设、安全运维提供标准支撑
大数据平台和应用是支撑数据收集、传输、存储、处理和共享等数据活动的分布式信息系统，它包括底层的基础平台和上层的大数据应用。大数据平台和应用的安全建设和安全运维对整个大数据系统的安全产生重要影响。但当前，我国缺乏针对大数据基础平台和上层大数据应用的安全规范和指南，覆盖管理、工程、技术、平台系统和应用服务等各个方面，以指导大数据系统所有者、建设者、运营者对大数据平台和应用的安全建设、安全运维和安全风险管理。
（三）为数据生命周期管理各个环节提供安全管理标准
数据是大数据系统中的重要资源，其安全性至关重要。当前我国缺乏针对大数据环境下的数据管理安全规范，需要制定规范大数据系统中的数据安全管理活动、流程和方法的安全标准，以指导数据控制者的数据生命周期管理活动，包括数据收集、传输、存储、共享、处理、共享等安全活 动，减少来自组织内部和外部的各种大数据安全风险。
（四）为大数据服务安全管理提供安全标准支撑
大数据服务可以为大数据生态中的数据提供者和数据消费者提供数据分析处理、数据交易等服务。在提供大数据服务的过程中，大数据服务组织的安全能力至关重要，它直接影响到数据的安全性。当前，我国缺乏指导组织建立大数据服务安全能力的规范，以及对大数据服务组织的安全能力成熟度进行评级的标准规范，需要制定相关的标准，规范大数据服务组织的基础安全能力、数据安全管理能力和系统安全建设、安全运维能力，以及对组织安全能力成熟度进行有效评价，并指导其安全能力提升的标准。目前，我国大数据交易服务安全面临没有标准规范的局面，亟需建立大数据交易服务相关安全标准规范，支撑《网络安全法》在大数据交易领域的落地实施，为提升对大数据交易服务安全的管控能力，促进大数据交易服务产业安全健康发展提供标准依据。
（五）为行业大数据应用的安全和健康发展提供标准支撑
不同行业和领域的大数据应用具有不同特点，所涉及的数据敏感度因政策环境、行业环境不同存在差异，需要制定相应的行业大数据安全标准规范我国的行业大数据安全：一是在构建大数据安全标准体系时，统筹考虑数据在行业之间或组织之间的交换与共享问题，支撑行业大数据应用的快速发展；二是在标准制定层面，需要对电子政务、电子商务、电信、健康医疗等重点行业大数据应用适时出台相应的大数据安全指南类标准，指导各行业的大数据安全建设和运营。
大数据安全标准体系框架
基于国内外大数据安全实践及标准化现状，参考大数据安全标准化需求，结合未来大数据安全发展趋势，构建了如图3-1所示的大数据安全标准体系框架。该标准体系框架由五个类别的标准组成，分别为：基础类标准、平台和技术类标准、数据安全类标准、服务安全类标准和行业应用类 标准。
（一）基础类标准
为整个大数据安全标准体系提供包括概述、术语、参考架构等基础标准，明确大数据生态中各类安全角色及相关的安全活动或功能定义，为其它类别标准的制定奠定基础。
（二）平台和技术类标准
该类标准主要针对大数据服务所依托的大数据基础平台、业务应用平台及其安全防护技术、平台安全运行维护及平台管理方面的规范，包括系统平台安全、平台安全运维和安全相关技术三个部分。系统平台安全主要涉及基础设施、网络系统、数据采集、数据存储、数据处理等多层次的安全技术防护。平台安全运维主要涉及大数据系统运行维护过程中的风险管理、系统测评等技术和管理类标准。安全相关技术主要涉及分布式安全计 算、安全存储、数据溯源、密钥服务、细粒度审计等安全防护技术。
（三）数据安全类标准
该类标准主要包括个人信息、重要数据、数据跨境安全等安全管理与技术标准，覆盖数据生命周期的数据安全，包括分类分级、去标识化、数据跨境、风险评估等内容。
（四）服务安全类标准
该类标准主要是针对开展大数据服务过程中的活动、角色与职责、系统和应用服务等要素提出相应的服务安全类标准，包括安全要求、实施指南及评估方法；针对数据交易、开放共享等应用场景，提出交易服务安全类标准，包括大数据交易服务安全要求、实施指南及评估方法。
（五）行业应用类标准
该类标准主要是针对重要行业和领域大数据应用，对涉及国家安全、国计民生、公共利益的关键信息基础设施的安全防护，形成面向重要行业和领域的大数据安全指南，指导相关的大数据安全规划、建设和运营工作。
大数据安全标准规划
根据大数据安全标准体系框架，通过对大数据基础标准、平台和技术、数据安全、服务安全、行业应用五个类别的标准需求梳理，明确了大数据安全标准化需求，通过对已发布及在研大数据安全相关标准的适用性分析和大数据安全标准缺口分析，编制了如图3-2所示的大数据安全标准规划，为我国近期的大数据安全标准的制修订提供指引。由于大数据技术和应用仍然处于快速演变之中，对于还未达到一定成熟度的可标准化的大数据安全主题，暂时不在本标准规划中列出，后续可以根据标准化需求不 断对该标准规划进行补充。
更多大数据相关材料
GB/T 38664.3-2020 信息技术 大数据 政务数据开放共享 第3部分：开放程度评价
GB/T 38666-2020 信息技术 大数据 工业应用参考架构
GB/T 38667-2020 信息技术 大数据 数据分类指南
GB/T 38672-2020 信息技术 大数据 接口基本要求
GB/T 38673-2020 信息技术 大数据 大数据系统基本要求
GB/T 38675-2020 信息技术 大数据计算系统通用要求
GB/T 38676-2020 信息技术 大数据 存储与处理系统功能测试要求