美创“数据资源管理局数据使用监管项目”荣获数据安全“星熠”案例

近日，由中国信息通信研究院联合高校、科研院所、企事业单位共同发起的“数据安全共同体计划”，正式公布2023年数据安全“星熠”案例评选结果。

美创 科技 与杭州市临平区数据资源管理局联合申报的“数据使用监管建设项目”成功入选“数据安全技术与产品应用优秀案例”，充分彰显美创科技在数据安全技术推广与落地实践等方面的示范引领作用。

据悉，为推动数据安全产业蓬勃、可持续发展，发挥优秀案例示范引领作用，加强优秀案例推广，2023年7月，“数据安全共同体计划”启动数据安全“星熠”案例征集活动，吸引了 金融 、IT、科研、制造等行业的多家企业积极参报，申报案例涉及数据安全合规治理实践、隐私计算技术应用、SDK产品和数据安全技术与产品应用四个方向。经过5个月的案例征集、初评和终评工作，共有54个案例入选数据安全“星熠”案例。

杭州市临平区数据资源管理局数据使用监管项目

以党的二十大、浙江省第十五次党代会精神为指引，统筹发展与安全，贯彻落实“两法一条例”和全省数字化改革推进会工作部署，杭州市临平区数据资源管理局持续迭代完善公共数据平台制度规范、技术防护、运行管理“三大体系”。

“杭州市临平区数据资源管理局数据使用监管项目”旨在强化“数据运维开发使用、日常业务使用、API调用使用和批量数据调用使用等场景下”的数据使用监管，具体建设目标包括：

API接口调用接管：在API调用过程中，开展API接口实名认证，实时监测API应用状态，防止API二次封装和水平越权；分析API日常调用行为，识别API接口调用及数据转存情况，判定数据调用场景合规性，阻止数据及接口二次封装转发。

批量数据共享接管：在开发运维使用场景中，对人员、权限开展分类分级，对数据的操作行为监测，及时发现违规的或非正常性的操作行为，防止批量数据落地后的非法使用和泄露事件发生。

结合临平区数据资源管理局建设目标，参考国家行业监管与标准要求，美创科技通过API安全监测系统、数据脱敏脱密平台、权限管控系统，助力强化数据安全能力，促进数据安全使用；落实用数行为监测，洞悉数据流转态势：

◼︎ API安全监测系统，由平台和agent探针组成，主要能力：用户画像模块、行为基线模块、脆弱性评估、可视化数据流转态势、API水印。

◼︎ 数据脱敏平台，主要能力：降敏算法生成、数据降敏、数据复敏、数据水印；

◼︎ 权限管控系统，主要能力：身份认证、表字段级访问控制、文档加密、文档权限管理、授权时效性管理；

本次项目建设，持续迭代优化杭州市临平区数据资源管理局数据安全能力，实现从平台防护延伸到平台使用监管，由“应归尽归”转为“应享尽享”、“应用尽用”；保证公共数据合理合法合规、安全可信基础上，建立共享数据使用侧监管新方式。针对特定场景下数据使用行为按需执行解密申请并留痕，对异常数据使用行为予以告警和拦截，确保不发生重大的数据安全事件，保障公共数据安全可靠使用。具体实现：

非法（未授权）应用智能识别：当未授权应用服务通过授权应用服务调用公共数据平台共享接口时，Agent劫持流量对请求方上下文信息进行分析提取，并将上下文信息与接口申请时递交的应用程序信息进行对比，以此发现识别未授权应用，拒绝共享数据调用请求。

接口二次封装、转发识别与拦截能力：从授权可信应用服务中抓取该应用对外提供的API服务流量进行流量解析和审计，分析API返回内容是否包含水印信息，应用调用数据时进行智能研判，通过画像和行为基线识别二次封装和非法调用。

共享开放数据多节点密态存储：为确保批量数据全生命周期安全，在数据申请时降敏后数据以密态同步至降敏库；执行复敏并添加水印数据通过透明加密完成部门侧数据加密；数据离线导出时，终端侧加解密客户端自动完成数据文件加密保护。

有效限制批量共享数据非法使用：批量数据按需复敏后，通过权限管控系统数据资产管理模块和文件外发管理模块，对共享数据集的更新、删除、导出等行为进行管控，杜绝数据非法使用。数据离线使用场景下，完成文件解密加壳，确保数据文件在合规场景下受限使用。

在“数字政府”建设持续、深化发展下，政务数据利用和共享需求日益强烈，让数据流动使用更安全，美创科技结合政务数据安全治理与数据安全建设实践经验，已配合多省市地区大数据局进行数据安全的建设，为数字化转型构筑数据安全屏障，助力安全释放数据价值。