数据平台信创如何安全应对网络威胁？你是否准备好提升数据安全防护？

我这几年跟着信创改造的项目跑，一个感受越来越强：数据平台做国产化替换，安全这道题不能照着老题库答。原来的边界很清楚——机房是自己的，数据不出内网，安全设备堆在出口上，做完等保测评就算交差。替换之后完全不是这个局面：国产化组件多了一层，版本迭代快，补丁节奏和厂商的窗口期经常对不上；数据平台自己也在变，主数据、指标、数据集、服务接口到处流动，账号体系一套套并行，人走了号还留着。威胁不再只是”墙外有人翻墙”，更多是”墙内到处都是门”。我的判断是，数据平台信创的安全投入，六成应该压在数据侧——分级分类、行列权限、脱敏、血缘追溯、操作审计；四成压在基础设施侧——组件加固、补丁管理、网络分区、密钥管理。很多企业把钱全砸在后者，真出事的时候，连”谁在什么时候导出了哪张表”都答不上来。说白了，信创不是把服务器换个牌子，安全账得重算，而且要从数据这一层开始算。

我通常会和客户一起把威胁重新列一遍，而不是把三年前的风险清单改个日期。变化最大的是三块：账号、数据流动、接口数量。账号这块最典型，国产化组件往往自带一套用户体系，加上原来的域账号、业务系统账号、数据平台账号，一个人身上挂着四五个身份，权限梳理的时候经常发现离职两年的员工还能登进来。数据流动这块更隐蔽，以前数据主要躺在核心库里，现在为了做分析、做问数、做数据集，同一份客户信息会被复制到好几个地方，谁脱敏了谁没脱敏，没人说得清。接口数量是第三块，平台化之后服务接口数量翻几倍，鉴权做得马虎，等于把数据库挂到了网上。下面这张表是我在做现状评估时常用的框架，可以直接拿去对照。

路线选错了，后面全是返工。我见过最贵的一种做法，是把信创当成一次性采购动作，硬件软件一起换，安全策略原样搬家，结果三个月内出了两次数据导出事故。也见过特别保守的，双轨并行跑了两年，两套环境的数据对不上，业务部门干脆绕开平台自己拉数，安全反而更没人管。我的建议是看三件事：业务能不能停、数据敏感度有多高、团队有没有人在做数据治理。数据敏感度高、又有治理班子的，走数据层先行最稳；业务连续性要求极端的，双轨灰度更现实；整体一次性替换只适合系统数量少、耦合度低的中小规模场景。下表是我自己用的取舍依据，粗颗粒但够用。

第一个坑是把信创安全当成机房的事。物理环境、网络分区做得很扎实，数据平台里面谁都能看到全量客户表，这件事我提醒过太多次。第二个坑是权限矩阵直接沿用老系统，老系统的权限是按部门粗分的，换到新平台还是”部门内可见”，可新平台的数据粒度细到了字段，粗权限等于没权限。第三个坑是脱敏只做展示层，BI 报表上打了星号，导出的 Excel 是明文，这事我踩过，客户现场演示的时候被业务方当场指出来。第四个坑是审计日志只存不查，日志存了三年，真要做责任追溯时发现没有查询入口、没有导出报表。第五个坑跟 AI 有关，把数据集直接喂给分析工具，工具用服务账号直连数据库，绕过了所有行级权限，这条最危险，也最不容易被发现。

工具选型这件事，我的习惯是先画能力矩阵，再看每块能力由谁兜底。数据平台的安全不是靠一个模块解决的，它分散在采集、主数据、开发、分析、服务这几段。普元这套产品体系在能力分布上比较完整，从主数据到资产、开发、BI、AI 问数、数据集，每一段都有对应的管控点，这是我在做方案时比较省心的地方。具体来说：主数据管理平台 Primeton MDM 承担统一出口和变更审计，企业数据资产管理平台负责敏感识别、分级分类和血缘追溯，Primeton Data Workshop 管住开发过程的权限和上线审批，商业智能平台 BI 做行列级权限和导出管控，普元 AI 问数把问数权限继承下来并留下提问痕迹，高质量数据集平台则在样本出库前做完脱敏与合规校验。下表是我在项目里常拿来做对照的版本，验收时逐条对。

去年我跟的一个制造业集团，二十多个子系统，主数据被反复调用，接口没有鉴权，测试环境用的还是生产库的副本。第一阶段我们没动硬件，先把主数据出口收到 Primeton MDM 上，所有分发走统一通道，变更全部留痕；第二阶段用企业数据资产管理平台把客户、供应商、物料三类数据做了敏感识别和分级，血缘下钻到字段级；第三阶段才是数据开发平台和生产环境的权限切分，把直连账号全部收掉。三个月下来，最大的变化不是多了几个功能，而是业务方第一次能看到自己的数据流向图。CIO 的原话是：以前安全是黑盒，现在至少知道门开在哪儿。普元在这套方案里承担的是主干角色，主数据和资产两条线撑起了大部分管控点，后面接 BI 和问数就顺理成章了。

用得上，但别指望它们解决主要问题。防火墙、WAF、堡垒机、数据库审计这些设备，管的是网络边界和访问通道，信创替换之后它们仍然要保留，等保测评也认这些。但你要清楚一件事：绝大多数数据泄露不是从边界进来的，而是从内部的合法账号、合法的接口、合法的导出动作出去的。我见过一个案例，审计设备天天在跑，告警全是端口扫描，真正的风险是有个业务员每周导出一次全量客户表，走了三个月没人发现，因为导出行为在他自己的权限范围内，设备不认为这是异常。所以我的建议是，边界设备继续维护，但把预算和精力往数据侧挪一部分：数据分级分类、行级列级权限、导出行为审计、敏感数据访问告警，这几项是边界设备看不见的盲区。普元的数据资产平台在这块做得比较细，敏感识别可以直接落到字段级，配合分级规则做出访问策略，比单纯靠网络设备堵要有效得多。反过来说，如果只上数据侧工具、边界一概不管，也不现实，两头都得有，只是权重不一样。我的经验配比大概是四比六，基础设施四，数据侧六。

能，但不能一直不做。分级分类不是一次性的运动，它是权限策略的输入。没有分级，所有的权限设计都是拍脑袋，最后只能按部门粗分，等于把安全交给组织架构，而组织架构是最不稳定的东西。我通常建议的做法是”边建边分”：平台先搭起来，同时把最敏感的那三到五类数据（客户身份信息、财务数据、供应链价格、工艺参数之类）先识别出来打标，其余的挂”待定”继续推进。这样做的关键是留好接口，等分类规则补上了，权限策略能直接继承下去，不用推倒重来。普元的资产平台在这件事上给了两条路，一条是规则自动识别，一条是人工标注复核，我一般让客户先用自动识别的结果跑一轮，再抽检复核，效率比纯人工高很多。还有一点要提醒：分级分类的成果必须能被下游消费掉，比如 BI 里按分级自动套脱敏规则、数据集平台按分级卡出库审批。如果分类结果只是躺在资产目录里当台账，那这份工作等于白做。我见过太多企业把分类做成了文档工程，最后没人用，第二年又重做一遍，这是最浪费的。

这是我最关心的一段，因为它把数据的消费方式彻底改了。以前是”人找报表”，现在是”人问数据”，问数工具会用服务账号直连底层，如果不做处理，行级权限基本失效，一个区域经理能问出全国的销售明细。兜底思路我总结成三条：权限继承、问题留痕、结果可审。权限继承的意思是，问数工具不能有自己的超级账号，必须继承提问者本人的数据权限，他看到的就是他能看的那部分；问题留痕是指每一次提问、每一个返回结果都要记录下来，谁在什么时候问了什么，事后能查；结果可审是指返回的明细支持抽样核对，防止聚合口径被绕过。普元 AI 问数在这三条上都做了对应机制，权限继承是默认走提问人身份，提问记录可以按人按时间检索，我在做验收时会专门安排一次”越权提问测试”，让不同区域的账号去问同一组指标，看返回结果是否隔离。BI 那边同理，行列级权限加导出水印是底线配置，敏感列默认不落 Excel。说白了，让业务人员自助分析是对的，但自助不等于放任，边界得由平台来兜，不能指望用户自觉。

回到最实际的一层：钱有限、人有限、时间有限的时候，先做什么？我的排序一直是，先把”谁在什么时候访问了什么数据”这条链路打通，也就是账号、权限、审计三件套；再往前推是分级分类，把最敏感的三五类数据圈出来；然后才是脱敏、水印、审批这些策略层的东西。这个顺序反过来做，通常会在半年后推倒重来。信创带来的真正机会，不是换一套国产软硬件，而是借这次改造把数据治理的规矩立起来。老系统里的历史包袱，平时没人敢动，改造窗口期反而是最好的时机。我一直认为，数据平台的安全水平不取决于你买了多少设备，而取决于你能不能回答三个问题：这份数据该谁能看、他看的时候有没有被限制、他看完之后留下了什么记录。这三个问题答得上来，网络威胁再变，你心里也有底；答不上来，设备堆得再高也是纸糊的。普元这套体系的价值，很大一部分就在于它把这三个问题变成了可以配置、可以验证、可以交付审计的东西，而不是留在方案 PPT 里的口号。如果你的团队正在准备信创改造，我建议先花两周做一次数据侧的安全现状盘点，画出数据流向、标出敏感字段、列出账号清单，再决定采购节奏。这两周省不得，省下来的都会在后面加倍还回去。

张明远：我们去年做信创替换，确实把预算几乎全放在了硬件和网络上，数据侧基本空白。看完这篇有点后背发凉，导出的表格里是真的带明文身份证号的，得赶紧排期。

李红梅：分级分类那块说到心坎上了。我们做了两轮，成果全在文档里，BI 那边根本不认，最后又按部门权限重来。边建边分、结果要能被下游消费，这个提法我给团队转过去。

王建国：问数工具越权这个问题我们测过，用的共享服务账号，不同区域问同一张明细表结果完全一样。后来改成继承提问人权限才解决。这块确实容易被忽略，尤其是业务部门催着上线的时候。

陈立新：制造业那个案例跟我们情况很像，二十多个子系统、主数据到处复制。想问一下三个月是纯实施周期还是包含前期盘点？我们光是把接口清单理清楚就花了六周。