1 背景

1.1 安全背景

针对当前数据加工过程中面临的第三方/特权用户管理-缺手段、数据开发运维使用-无管控、数据使用过程-难监管等安全问题，虎影数据访问安全系统（以下简称“虎影”），主要以“核心数据不出域，数据可用不可得”为目标，依托数据沙箱技术构建安全隔离的数据加工可信空间，对数据加工过程中的使用、共享和流转进行管控。

1.2 政策要求

安全是信息化、数字化发展的基础，国家的“十三五”规划明确指出，加强数据资源安全保护，建立大数据安全管理制度，实行数据资源分类分级管理，保障安全高效可信应用。《中华人民共和国网络安全法》中指出，采取数据分类、重要数据安全保护等措施，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、泄漏。

《数据安全法》

第四章 数据安全保护义务

第二十七条 开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。

 《网络数据安全管理条例》

第二章  一般规定

第九条 数据处理者应当采取备份、加密、访问控制等必要措施，保障数据免遭泄露、窃取、篡改、毁损、丢失、非法使用，应对数据安全事件，防范针对和利用数据的违法犯罪活动，维护数据的完整性、保密性、可用性。

第十二条 数据处理者向第三方提供个人信息，或者共享、交易、委托处理重要数据的，应当与数据接收方约定处理数据的目的、范围、处理方式，数据安全保护措施等，通过合同等形式明确双方的数据安全责任义务，并对数据接收方的数据处理活动进行监督。

2 数据隔离访问安全解决方案

2.1 方案概述

虎影基于轻量化的应用级虚拟隔离沙箱，通过构建面向应用的虚拟隔离环境，为每个用户分配独立的数据安全空间，用户可以在安全空间内调用各类数据访问、运维及开发等应用，同时确保数据使用全过程被隔离在沙箱环境，用户无法直接下载、复制、外发数据，在确保第三方人员数据共享使用的同时，对数据运维、开发、授权运营等各类数据加工场景进行使用控制。

2.2 核心能力

2.2.1打造服务端数据加工安全空间安全边界

针对第三方运维开发人员接入数据资源的场景，可能存在数据泄露、违规访问的情况，虎影主要通过细粒度数据授权控制、数据审批、计算审批等，保证数据安全和保护隐私。

• 实现数据所有权和使用权分离，运维开发人员仅可访问已分配权限的远程桌面、数据库等资源，给予最小化的用户权限。
• 无需安装客户端，支持浏览器方式访问资源。
• 集成chrome、dbeaver等运维开放工具，可连接各种数据资源。
• 对核心研发数据的下载、流转、复制等权限进行严格控制，不影响数据使用，实现数据传输、使用、共享安全。
• 所有应用的文件出安全域需进行审批，审批通过后才可下载，避免数据泄露。

2.2.2实现数据开发运维等加工全过程隔离

核心运维开发数据资源运行在完全独立的安全域，限制安全域的网络访问，采用白名单机制，仅授权用户才可以访问。

• 运维开发人员不能直接接触服务器资源，无需知道数据资源位置，使用便捷安全性高。
• 运维开发人员不能获得资源的实际地址、登陆账号密码等各种具体信息，从而有效防止恶意信息收集和特权信息泄漏。
• 数据资源发布在安全域中，安全域中的资源可自由使用统一安全数据盘。

2.2.3构建全链路数据安全权限管控机制

支持面向运维研发人员远程容器管理、Telnet远程登录、虚拟网络控制、linux远程管理、windows远程桌面、远程浏览器、远程数据库连接等应用的数据安全管控，在确保便捷访问核心研发数据的同时，确保数据的共享、传输和使用安全。

• 基于运维开发等工具应用的访问权限控制，防扫描、防勒索病毒、防数据泄露。
• 支持研发应用环境自动重置，自动创建新运行环境。
• 支持从同一入口直接访问研发服务器、数据库、云端服务器等各种服务端资源。
• 每个运维开发人员即时创建独立的安全数据盘，数据下载需审批。

2.2.4核心数据资源流转管控

实现运维开发数据资源安全的管控，通过安全数据盘、下载审批、数据水印和拷贝权限限制进行数据资源的管控。

• 支持对研发敏感数据资源如代码数据、数据库的访问、操作和下载进行审计；
• 可根据用户、资源和环境的属性设置及实时状态，确定用户对资源的访问和操作权；
• 每个运维开发人员分配专属安全数据盘（可配置），用户下载数据需审批，不同用户之间数据转发需审批。

2.2.5统一数据加工安全通道&入口

运用跨平台的安全数据盘，开通技术IT运维通道，IT运维人员通过SSH、RDP等登录服务器而接触数据；

数据库通道，数据库DBA和数据处理人员通过各种数据库软件；

WEB数据中台通道，数据处理人员通过数据中台WEB应用通道。实现所有数据资源随时随地文件共享&传输。

3 预期效果

3.1 构建虚拟隔离的数据资源安全边界

数据资源运行在完全独立的安全域，用户不能直接接触目标资源，不能获得资源的实际地址、登陆账号等各种具体信息，从而有效防止恶意信息收集和特权信息泄漏。为每个用户即时创建动态数据安全盘，用户下线即自动进行环境重置，不再占用任何资源，能够从根本上避免内部恶意软件窃听、勒索病毒攻击等问题。

3.2 实现数据资源流转全流程管控

可根据用户、资源和环境的属性设置及实时状态，确定用户对资源的访问和操作权限，每个用户专属安全数据盘（可配置），确保数据安全访问，用户下载数据需审批，不同用户之间数据转发需审批。

3.3 图形与日志结合的多样化数据安全审计

用户直接访问和使用分布在不同区域和网络的各种资源，支持图形方式进行运维审计，交互过程系统都能够以图形化录像的方式记录。

3.4 无感知的便捷部署方式

用户直接使用浏览器访问，无需安装终端软件或进行专门配置。支持用户从同一入口直接访问桌面电脑、应用、云端服务器等各种服务端资源，也可以为不同来源或位置的用户提供不同的访问入口。