企业为什么需要进行脱敏核查？
·SECURITY·
随着政府、机构、企业内部信息系统采集、存储、传输、处理的信息量越来越大，信息的重要程度也越来越高，各企业拥有大量的敏感数据信息及用户个人隐私信息，种类繁杂、敏感度高。为迎合数据安全监管需求，满足相关数据安全法律法规的要求，在数据使用过程中采用最小化原则，最常用的方法就是对敏感数据进行脱敏处理，降低数据泄露风险。
按国家数据安全法规要求，对各应用系统中的敏感、隐私数据在存储、使用和共享环节应进行脱敏处理。各行业制定的实施细则中，针对敏感信息、个人信息、客户数据等在数据生命周期相关环节中的脱敏要求和去标识化要求都进行了详细的要求,以实现对开发、测试、运维、分析等非生产环境或外包环境中的敏感、隐私数据进行保护。
然而，具体脱敏的要求执行结果如何？敏感数据在使用各环节是否都进行了脱敏？脱敏是否符合要求？是否有未脱敏的数据在进行传输？以及是否存在部分脱敏的情况？企业应该如何确保脱敏执行效果呢？
数据脱敏核查难点在哪里？
·SECURITY·
数据流转环节复杂、隐蔽，数据种类多、体量大，企业很难做到对数据脱敏状态的全面核查：
（1）企业业务众多，数据分散：有多个业务系统，涉及大量客户个人信息，存在数据存储分散、数据资产不明、信息记录不完善等情况，导致数据脱敏工作很难开展。
（2）无法主动发现未脱敏敏感数据：目前无法对未脱敏敏感客户个人信息进行主动识别，缺少主动发现并进行数据未脱敏情况的技术手段。
（3）人工效率低容易存在遗漏：仅通过人员梳理和核查的手段，无法对海量数据的存储和脱敏情况进行准确、高效的判断。
脱敏核查对象主要是哪些？
·SECURITY·
结合数据使用场景，企业需要核查的脱敏场景包括页面浏览、页面导出、接口集成、数据分析、系统测试、对外共享。核查工作具体从这几个点进行，核查要点难点包括：
① 前端网页中展示的数据
② 需要导出的报告、报表中的数据
③ 业务之间传输的数据
④ 接口调用时传递的数据
⑤ 测试、开发数据库存储的临时数据
⑥ 维护、测试主机/终端上文件中的数据
⑦ 数据分析生成的数据报表
⑧ 对外共享生成的文档
⑨ ……
企业应该如何开展脱敏核查工作？
·SECURITY·
核查工作归结到几个层面：
页面脱敏核查
验证能否通过页面源代码、页面获取敏感信息。
传输脱敏核查
验证网络流量中是否有非脱敏敏感信息在进行流放。
非生产环境脱敏核查
检查测试、维护环境数据库、文件是否存在未脱敏敏感信息。
离线环境脱敏核查
检查主机、终端上存储的文件、报表等内容是否存在未脱敏信息。
企业也可借助一些工具开展脱敏核查工作，包括：
1
存储抽样检测
对数据库、主机文件、大数据组件中存储的数据进行全量或抽样检测，核查是否存在未脱敏客户敏感信息。
2
抓包脱敏监测
对服务端和浏览器之间、网络进出口、关键业务节点的网络流量进行采集还原，核查是否能还原未脱敏客户敏感信息。
1
WEB脱敏拨测
通过WEB拨测工具进行自动化网页浏览，同时核查网页源码、网页内容是否存在未脱敏客户敏感信息。
往期回顾
喜报|半岛.综合体育入口荣获“天府铸网2022”网络安全应急演练优秀支撑奖？
喜讯|半岛.综合体育入口成功入选浙江省互联网协会2022年度数据安全技术支撑单位！
