9月28日，由深圳市福田企业发展服务中心、中国大数据学会、深圳市信息产业协会、香港互联网专业协会、前海行政驻香港联络处共同主办的第五届深港澳大数据论坛在深港澳举行。中国工程院院士、深圳大学智慧城市研究院院长郭，深圳市政协经济委员会主任贾兴东，深圳市政府服务数据管理局副局长王，深圳市工业和信息化局领导，深圳市信息产业协会会长、深圳市科学技术协会一级研究员孙楠， 深圳市科技发展交流中心主任、中科院深圳先进技术研究院院长助理毕、华为企业BG高级副总裁薛明等 参加了深圳
联盟首席科学家程朝辉博士受邀发表“政府信息共享与大数据安全标准与实践”主题演讲。大数据作为新基础设施的重要组成部分，正在深刻影响人类的生产、生活和消费行为，不断催生新组织、新业态、新模式。“深港澳大数据论坛”旨在与深港澳三地的优秀大数据专家、学者和企业分享大数据最新应用成果，推动深港澳大数据跨界合作，促进深港澳共谋大数据创新发展，共同打造国际创新合作新平台和智慧湾区建设新引擎。
在“数字城市解决方案共享”环节，阿盟首席科学家程朝辉分享了“政府信息共享与大数据安全标准与实践”的主题演讲，介绍了安全在政府信息共享和大数据平台建设过程中的意义，详细解读了国家标准GB/T 39477-2020《信息安全技术政府信息共享数据安全技术要求》的安全框架和实践经验，强调了密码学在数据生命周期保护中的重要作用。以下演讲节选:
一、政府信息共享的政策要求党中央高度重视政务信息的整合与共享。习近平总书记强调，“要通过推进电子政务、建设智慧城市，推动技术融合、业务融合、数据融合，通过数据集中和共享，突破信息壁垒，形成覆盖全国、统筹使用、统一接入的数据共享平台，建设全国信息资源共享系统，实现跨层次、跨区域、跨系统、跨部门、跨业务的协同管理和服务。2017年5月，国务院办公厅印发《关于政府信息系统整合共享实施方案的通知》等一系列重要文件，明确部署政府信息整合共享工作。因此，编制政府信息共享的数据安全标准势在必行。
二、GB/T 39477-2020标准的目标和范围
本标准的目标是提出政府信息共享数据流转过程中数据安全的技术要求，包括政府信息共享数据的准备、共享数据交换、共享数据使用等环节的技术要求。
本标准的适用对象和范围主要适用于指导各级政府信息数据共享交换平台的数据安全体系建设，规范各级政府部门利用政府信息数据共享交换平台交换非国家秘密数据时的数据安全工作。
三。政府信息共享交换平台的数据共享交换系统
国家数据共享交换平台作为政府信息资源共享交换的枢纽，部署在国家电子政务外网公共区域，为中央部门和地方单位提供信息资源目录采集管理、信息资源共享交换、业务协同应用支撑等服务。
政务信息共享交换平台由国家、省、地市级等多层次数据共享交换平台组成。各级共享交换平台横向连接所辖区域政府部门的信息资源，纵向多层次连接，形成横向连通、纵向贯通的数据共享交换体系。
第四，构建安全能力——基于数据生命周期的数据安全成熟度模型。
在标准制定方法论上，本标准充分结合了GB/T 37988-2019《信息安全技术数据安全成熟度模型》的相关思想。按照数据生命周期分为数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全和数据销毁安全六个阶段，并进一步细化流程域；根据数据能力的成熟程度，可分为五个层次:一级非正式执行、二级计划跟踪、三级全定义、四级量化控制、五级持续优化；根据安全能力的维度，可以分为组织建设、制度流程、技术工具和人员能力四大类。
动词 （verb的缩写）政府信息共享数据安全技术框架
政府信息共享数据安全技术要求体系框架由数据安全技术要求和基础设施安全技术要求两部分组成。其中，数据安全技术要求部分涵盖了共享数据准备、共享数据交换、共享数据使用三个阶段各功能集所要求的安全技术要求。如图所示:
基础设施安全技术要求定义了政府信息共享交换业务基础网络、云平台、前置交换子系统、资源共享网站的安全防护要求，为政府信息共享交换业务提供基础安全支撑。
不及物动词应用实践
1.政府数据安全保护机制的总体架构设计
随着该标准的正式实施，将为各级政府信息共享平台的数据安全建设提供指导和参考。以政府敏感数据管控、敏感数据安全风险控制和安全运营为重点，构建一套完整的政府信息共享场景下的数据安全保护机制势在必行。
遵循政府信息共享数据安全的技术要求和标准，构建政府数据安全保护机制的总体架构。数据安全总体框架主要包括敏感数据识别模块、数据安全风险策略模块、数据安全保护模块和数据安全运行管理模块四个主要模块。
2.敏感政府数据的识别-数据资产的分类保护。
根据该标准提出的数据安全技术要求，构建政府数据安全保护机制，首先应识别敏感政府数据，建立政府数据资产分类保护和敏感数据安全风险评估机制，有效改变数据资产管理混乱局面。它可以通过以下四个步骤来实现:
首先，确定数据安全分类分级规范，明确数据分级粒度，识别数据安全等级要素，制定数据安全等级判定规则；
其次，实现数据资产排序，完成全资源列表的排序，粒度需要达到数据项级别；
第三，实施数据安全等级分级，根据分级规则对全量数据资源进行分级，需要进行二次审核确认，并根据实际数据情况优化数据等级；
最后实现安全策略配置，根据数据级别实现相应的安全。
3.政府数据安全保护-透明数据加密。
根据本标准提出的数据安全技术要求，构建政府数据安全保护机制，采用新的数据安全保护技术和手段，提升数据安全保护能力。为政府敏感数据和涉及个人隐私的数据提供数据库级的透明加密存储和密文访问控制，让敏感数据无法被带走或看到。
透明数据库加解密技术是基于透明加解密技术的安全加密技术，可以实现数据库数据加密存储、访问控制增强、应用访问安全、权限隔离、三权分立等功能。密码基础设施系统基于主动防御机制，可有效防止明文存储导致的数据泄露、高权限内部用户的数据窃取、绕过合法应用系统直接访问数据库，从根本上解决数据库敏感数据泄露问题，实现数据安全性高、应用完全透明、密文高效获取的技术特点。
4.政府数据安全保护-数据脱敏
根据本标准提出的数据安全技术要求，构建政务数据的安全保护机制，应采用合适的数据动态脱敏技术，针对不同身份、不同权限的用户配置实时数据脱敏规则和脱敏算法，在满足业务分析的数据需求的同时，确保敏感业务数据的安全使用和业务系统的正常运行。数据脱敏技术用于实现数据安全保护效果，应采用的主要方法包括:
防止敏感数据泄露；
对敏感数据进行转换、屏蔽等脱敏后，使原文不可见；
支持多种脱敏算法，包括定值、模糊舍入、随机化、多字符替换等。
自定义脱敏算法；
支持保留原始数据的数据格式；
记录数据动态脱敏操作及其自身运行状态日志。
5.政府数据安全风险策略-风险分析和风险控制
根据本标准提出的数据安全技术要求，构建政府数据安全保护机制，构建数据安全风险分析机制和风险控制策略，消除数据采集和交换过程中潜在的数据安全风险，包括数据流风险分析和检测、行为风险分析和检测、风险审计溯源、数据风险控制等。
6.政府数据安全运营管理-数据安全态势感知
根据本标准提出的数据安全技术要求，构建政府数据安全保护机制，建设数据安全运行管理和安全审计能力。首先，集中管控，搭建统一的数据运营管理平台；其次是态势感知与监控，使数据安全监控的状态和效果显形，将抽象的数据安全态势转化为直观可见的实体；最后，从日常运维、安全事件应急处理和安全策略强化三个维度对安全运营进行了定义。
标签
2021年是第十四个五年计划的第一年，也是中国数字化转型的第一年。在本次论坛上，深港澳三地政府和企业如何进一步推进数字化转型和布局，推动数字城市建设和智慧湾区生态发展成为交流热点，将为推动深港澳数据产业发展和湾区生态建设，共同打造国际创新合作新平台和智慧湾区建设新引擎发挥重要作用。
