當前，數據作為新型生產要素，促進著數字基礎設施發展與產業迭代升級，推動著數字經濟成為我國經濟高質量發展的新引擎，與此同時，有力的數據安全保障和流動監管成為確保數據優勢發揮的重要基礎底座。
2021年上半年，國家“十四五規劃”勾勒數字化發展藍圖，明確未來將高度關注“保障國家數據安全，加強個人信息保護”。2022年底出臺的“數據二十條”，將維護國家數據安全、保護個人信息和商業秘密作為促進數據合規高效流通使用、賦能實體經濟主線任務的前提。隨后2023年初發布的《數字中國建設整體布局規劃》，“數字安全屏障”作為數字中國建設整體框架的兩大能力之一被提出。2023年10月，國家數據局揭牌，2024年1月出臺“數據要素×”三年行動計劃，堅持把安全貫穿數據要素價值創造和實現全過程，嚴守數據安全底線。
在如火如荼的數字化建設征程中，在統籌發展與安全的頂層規劃下，各關鍵領域以及各地區的主管部門密集出臺相關的數據條例與安全標準，有力落實上位法的監管要求，積極探索數字治理的中國方案。安全419將以各關鍵領域為維度，觀察其在數字化建設大背景下數據安全的建設現狀、監管要求、市場需求、難點及應對，以期為各行業的數據處理者帶來一定的啟發與有益的參考。
本期，我們走進交通運輸領域。
交通是興國之要、強國之基，數字交通作為數字經濟發展的重要領域，以數據為關鍵要素和核心驅動，促進物理和虛擬空間的交通運輸活動不斷融合、交互作用。
到2025年基本建成“一腦、五網、兩體系”的發展格局，即打造綜合交通運輸“數據大腦”，圍繞智慧鐵路、智慧公路、智慧航道、智慧民航、智慧郵政領域構建交通新型融合基礎設施網絡，培育數字交通創新發展體系，構建網絡安全綜合防范體系。
如今，我國交通運輸行業基本上形成以航空、鐵路、公路、水路、管道為主要方式的綜合交通運輸系統，無時無刻不在產生大量數據。綜合交通運輸“數據大腦”的本質，是數據從離散到集中、從獨立孤島到融會貫通的演進過程。在這種數據泛在流動的狀態下，依靠價值驅動的階段中，數據安全風險日益凸顯，數據安全工作難度陡升。
數據來源眾多、量級巨大，導致全局數據資產處于混沌模糊的狀態，主要體現在，不清楚數據總量有多少，以及高價值數據的分布情況，無法全面掌握數據是否涉敏，因此開展數據分類分級工作效率低下。
海量數據的交互非常頻繁，普遍缺乏對數據訪問對象、方式、時間、內容的完整檢測，無法回答權限有無風險、接口有無風險、行為有無風險、流轉有無風險，以及如何動態識別這些風險，也就無法進行及時的預警。
業務系統匯聚大量數據，在數據提供方、交換服務方、使用方等多個主體間傳遞，各自的保密責任不清晰，每當發生數據安全事件，責任主體難以回答是什么人員、在什么時間、通過什么方式、泄露了什么數據。
基于上述幾點難題，數據安全工作并非建設部署一系列安全設備就萬事大吉，更需要一整套圍繞數據安全的風險評估機制、監測預警機制、應急響應機制以及運維服務保障機制，才能厘清風險的源頭和變化，并作出有效的處置和優化。
圍繞全鏈條、全要素、全周期
海陸空各領域監管迎頭趕上
為了促進提升交通運輸行業的數據安全防護，交通運輸部、工信部等相繼出臺相關標準和要求，指導管理部門、企業等開展各項數據安全建設。
《數字交通“十四五”發展規劃》定調新時期安全目標，圍繞全鏈條、全要素、全周期，構建事前防范、監測預警、應急處置三位一體的網絡安全防護體系。
特別強調加強重要數據和個人信息保護。建立健全行業數據安全保護制度，加強數據分級分類管理，加強數據容災備份體系建設。強化公民個人信息保護，嚴控信息收集種類和規模。積極應對新技術新應用伴生風險，明確風險應對措施，提高風險防控能力。
具體到交通運輸行業的各個領域：
2021年8月，國家網信辦聯合其他部委發布《汽車數據安全管理若干規定（試行）》，同月，工信部發布《關于加強智能網聯汽車生產企業及產品準入管理的意見》，明確企業應當建立健全汽車數據安全管理制度。同時為響應工信部2022年2月發布的《車聯網網絡安全和數據安全標準體系建設指南》要求，《智能網聯汽車 數據通用要求》等相關國家標準亦在緊鑼密鼓地制定當中。
2022年1月，民航局發布《智慧民航數據治理規范》系列的五部行業標準，其中的“數據安全規范”明確提出“民航數據安全治理應基于數據安全原則，以數據安全分級為基礎，建立覆蓋數據生命周期全過程的安全防護體系，并建立健全數據安全組織支撐”的整體建設思路框架。2022年11月，民航局發布《民航領域數據分類分級辦法（征求意見稿）》，進一步提出詳細落地要求。
另外，《智慧城市軌道交通信息技術架構及網絡安全規范》規定了對云平臺、系統軟件、系統備份、容災、網絡、安全及RAMS保障等的總體需求。交通運輸部印發《公路水路交通運輸數據分類分級指南》等多份政策文件，《交通運輸數據安全管理辦法》《交通運輸數據安全分級和保護要求》《交通運輸數據安全風險評估指南》等制度標準也正在研究編制之中。
國家從頂層設計上強調了加強交通運輸行業的核心生產系統數據安全工作的重要性和緊迫性。下面，我們選取軌交、汽車、民航三種交通運輸行業的典型領域，介紹應對新時期安全威脅和滿足新時期防護要求的數據安全建設方案。
城市軌道交通是現代化交通體系中載客量最大、運送速度最快的交通方式，隨著智慧城軌的技術發展，各類數據及信息的產生、流轉、傳輸變得非常快捷。傳統的僅圍繞邊界防護的安全管理體系難以滿足新時期的數據安全管理需求。
某省會城市軌道交通線網中的一條半圓環形繞城加密線路，19座車站中含6座換乘站，堪稱“換乘之王”，且采用最高等級（GOA4）全自動駕駛系統。中電安科按照“邊界隔離、區域劃分、縱深防護、業務分離”的指導思想，針對該線路通信系統進行了安防集成平臺的安全防護設計。
同時根據安防集成平臺的業務功能、特點及各業務系統的安全需求，將安防集成平臺按訪問對象和等級保護要求的不同，劃分不同的安全區域，對安防集成平臺的高級別安全域進行保護，使之免受可能導致高級別數據被低級別安全的用戶泄漏、篡改、破壞的攻擊，高級別安全域中的資源不能由非授權的低級別安全用戶使用、修改、破壞或禁用。
依據等級保護安全防護原則，對地鐵安防集成平臺進行安全區域劃分。
安全區域邊界防護，整體安防集成平臺和其他系統互聯處劃分邊界安全區，并且在安防集成平臺和其他系統互聯處部署第二代防火墻，通過訪問控制策略實現邏輯隔離。
安全通用網絡防護，在控制中心安防集成平臺到路網平臺之間串聯部署入侵防御設備，對網絡進行風險檢測和分析，從網絡層面對安防集成平臺形成閉環的安全技術防護體系。
安全計算環境防護，在控制中心、車站、停車場、車輛段等主機分別部署防病毒軟件對主機進行安全防護，提高主機終端的抗病毒攻擊、木馬攻擊等能力。
安全管理中心防護，在中央級專用通信控制中心設立安全管理區，部署日志審計、運維堡壘機、數據庫審計系統、防病毒軟件產品實現統一監測、統一運維、集中管控。
智能汽車的電子電器架構、功能和數據等都十分復雜，在監測和安全運營的前提下充分有效地利用數據才是未來發展的必經之路。汽車數據安全管理訴求凸顯在相關組織架構的設立，數據的全生命周期防護與保障，以及數據安全運維保障。
針對這三方面的訴求，我們從為辰信安了解到，在思路框架的搭建中要注意管理和技術兩個維度，在數據安全治理過程中可分為三個步驟：在事前開展數據安全體系建設咨詢和數據資產的分類分級，在事中開展數據安全防護和安全測試，在事后持續開展數據的安全監測和共享。
落地實踐上，基于數據資產分類分級系統，數據平臺的資產可被快速、自動化地掃描，通過智能標簽方式進行分類分級，形成數據資產的地圖。
通過在座艙、自動駕駛、T-BOX等控制器上集成數據安全加密SDK、數據通信安全SDK、數據脫敏SDK、數據安全監測程序等安全組件實現汽車數據的安全防護。數據安全監測系統車云融合部署，可以對車端和云端的數據安全同時進行持續監測。
針對數據全生命周期中的數據共享重要環節，需要滿足數據共享各方的便利性和安全性訴求，一方面要推動數據的合理利用，另一方面也要注意數據是車企需要保護的資產。為辰信安的數據安全共享系統將推動更好地實施這個環節。
車企的數據資產通過資產上架的方式進行安全管理，比如不同算法數據模型的使用有其獨有的方式，將這樣的模型算法上架到一個運行環境中，并且也要確保這個運行環境是在安全沙盒中運行，這樣不需要開放其源代碼，就可以解決數據使用和提供方之間的問題。針對數據控制方不敢、不愿、不便等問題，基于隱私計算、區塊鏈等技術，能夠有效保障相關方的權益。
機場作為民航領域的重要組成部分，屬于“關鍵信息基礎設施”明確的八大重點行業之一， 依據《智慧民航數據治理規范-數據安全》等相關文件，極盾科技提出數據安全治理四大體系。
數據安全管理體系：組織建設、人員管理、定崗定責等工作是基礎前提。然后制定完整的制度體系，包括明確數據安全管理總綱，制定數據安全管理辦法以及相關的制度規范、內部流程、操作模板等。此外還需要在充分了解數據安全現狀及目標的基礎上形成可落地的安全規劃。
數據全生命周期技術防護體系：數據采集階段，數據資產發現、敏感數據識別、分類分級、數據源認證和質量風險；數據傳輸階段，需關注數據/API發現、通過傳輸加密等方式防止數據篡改風險；數據存儲階段，通過加密、脫敏、數據庫防火墻、審計等手段防止數據竊取或丟失；數據使用階段，建設數據訪問控制、動態脫敏、水印、風險響應等動態防護體系；數據交換階段，主要關注數據隱私和越權訪問風險；數據銷毀階段，主要關注殘余風險等。
絕大部分風險來源于數據動態流動使用過程中。從數據暴露面角度，數據使用過程最為復雜，暴露面最大，風險相對也最高。從建設基礎層面，數據使用和共享保護措施薄弱，其余階段相對建設難度低，且有一定基礎。
數據安全運營體系：數據安全的最終形態是構建起完整的運營體系。一方面圍繞數據使用過程的能力，從事前的資產梳理、風險評估、合規評估，到事中的風險監測，再到事后的應急響應及處置、審計等；另一方面圍繞數據安全運維管理、認證檢測、評估教育、策略優化等“外圍”能力進一步完善提升。
數據安全監督審計體系：企業還應當建立相對獨立的數據安全監督審計體系，對應相關部分直接負責，通過認證評估、預警通報、合規審計、安全整改等內外部綜合監督，實現數據安全的高水準運行。
數字交通建設正處于關鍵發展期，數據安全工作首當其沖。監管方正進一步健全數據安全管理制度規范，明確工作機制和工作方法，企業聯合行業用戶在持續探索行之有效的建設方案。
歡迎更多在數據安全方向面向交通運輸領域具有前瞻思考和成功實踐的甲乙方與我們交流，為業界呈現豐富且有益的建設參考，步履不停守護數據安全。
浙公網安備 33010502006954號 
