甲
唉，最近压力有点大呀。
乙
细说，想听??。
甲
我们医院刚建立了医疗大数据平台，里面汇集了大量的个人数据和医疗数据，一旦发生数据安全事件，会造成隐私数据泄露和医疗服务停摆，后果真是不堪设想，愁呀，做好平台数据的安全使用可真是太难了！
乙
深有同感呀，我们也建设了医疗大数据平台，要愁的还不止这些呢，比如：
上级单位要求梳理内部数据资产的
敏感数据目录
在等保测评和重大活动的安全检查过程中
我们的数据库被检查出了漏洞
甲
唉，要不说压力大呢，我也想建设覆盖数据全生命周期的数据安全防护能力，可是资金投入压力太大，建设周期也很长！
所以我目前最迫切的需求，就是让数据能够在单位内部流通起来，能够为业务赋能，不然建设了大数据平台，收集了海量的数据，但又发挥不了数据的价值，这么大的一座金山利用不了，真是太浪费了。
乙
是啊，数据能够在内部流通起来，才能真正为业务提供价值。我也有同样的需求，凑巧打听到医疗圈内流传着一个数据内循环的解决方案，正好解决咱们的问题。
甲
抱大腿，求分享。
乙
抱好了，且听我来分享。
什么是数据内循环？
“数据内循环”，指的是以“乐高化”为核心思想，将数据安全整体建设规划进行拆分和聚类，实现数据安全建设以大化小、以点打面，把周期长、投入大的整体安全建设转变为小而精、快见效的数据安全能力提升，最终实现连点成面拼接成完整的乐高，实现数据安全整体防护能力的提升闭环。
图：数据内循环整体建设思路
数据内循环如何建设？
数据内循环主要涉及到上下级行业单位和应用调用数据，运维人员日常维护过程中操作数据，需要针对数据内循环的各个环节进行安全防护，共分为三个环节：
1、敏感数据识别环节：
满足敏感数据识别上报的需求，同时为数据流转过程中细化管控提供基础。
2、数据调用安全防护环节：
数据调用分为两种情况，一是通过API接口进行数据调用；二是直连数据库进行数据调用。针对两种情况需分别建设防护能力，基于敏感数据做好安全管控措施。
3、数据运维管控环节：
数据运维是数据的隐形流动行为，运维人员可直接访问数据库。每次查询都是数据流动的行为，因此需对上述人员做好安全管控，保障数据流动安全。
图：数据内循环建设流程
数据内循环建设“三步走”
第一步：敏感数据梳理
（1）构建分类分级框架
首先基于《医疗卫生机构网络安全管理办法》《信息安全技术健康医疗数据安全指南》《卫生健康行业数据分类分级指南（试行）》等行业文件，以数据安全分类分级目标为导向，以数据资产盘点调研为输入，持续梳理单位的数据资产，搭建匹配现状所需的数据安全分类分级逻辑框架。确保数据分类分级规范能够符合行业要求。
图：分类分级框架搭建流程
（2）AI+分类分级
数据分类分级工具同步数据内容给AI大模型。AI大模型基于大文本总结能力对扫描的数据内容进行解读完善释义，使用数据标注框架对解释后的字段名、注释、样例进行分类分级识别，输出数据分类分级后的数据资产目录，并给出数据分类分级的字段解释含义，完善数据分类分级的判断依据，增强人员对数据识别可读性。
图：AI赋能数据分类分级流程
（3）分类分级结果赋能
数据安全分类分级落地方案的价值，不仅是输出一份敏感数据目录，更在于确保数据安全分类分级结果的可视化展现，确保数据安全分类分级成果能够为业务和安全提供强大支撑，具体来说，表现为以下三点：
?数据分类分级建设完成后，可通过大屏清晰掌控数据资产的级别和类别信息，摸清数据资产家底；
?分类分级结果可同步给医疗大数据平台，前端应用在调用敏感数据时可通过医疗大数据平台对敏感数据脱敏；
?分类分级结果可同步给安全防护设备，设备基于数据级别自动执行安全防护策略。
图：数据分类分级结果赋能流程
第二步：数据调用安全建设
通过构建数据调用安全防护能力，防护针对数据库的安全攻击和API接口的安全攻击，通过以下两方面的安全建设保障数据使用安全。
（1）数据库攻击防护建设
通过数据安全网关建设数据库隐身能力，阻断外部发起的扫描攻击行为；建设漏洞攻击防护能力，确保应用访问数据库的攻击防护被阻断；建设虚拟补丁防护能力，针对发现的数据库漏洞通过启用虚拟补丁的方式进行安全修复，数据库不需要重启。数据库安全攻击防护流程如下：
图：数据使用防护流程
（2）API接口调用安全防护
通过API风险监测系统，盘点医疗大数据平台开放的全量API资产，识别API中传输的敏感数据；通过检测API自身的脆弱性风险，快速进行修复；通过分析调用行为，找出异常API访问调用行为；自动绘制API风险链路关系，结合线索关联排名分析，推测出可疑的数据泄露路径，实现数据泄露风险溯源。
图：API接口访问防护流程
第三步：数据库运维管控安全建设
运维人员日常访问数据库属于隐性数据流通，因此需要对运维人员进行重点管控。可基于数据安全网关细化运维人员访问数据库的权限，记录运维人员访问数据的行为，基于梳理的敏感数据目录按照运维权限进行数据动态脱敏，防止多次、少量数据查询导致的点滴式数据泄露风险。
图：数据库运维安全防护流程
甲
这个数据内循环的解决方案来的是真及时，解决了我的一块心病呀。改天细聊，咱们互相交流一下数据内循环建设的心得。
安恒信息医疗行业“数据内循环”解决方案目前已为全国多个医疗伙伴提供了数据安全流通的防护能力，为医疗行业数据数字化转型和医疗数据价值释放保驾护航。期待更多的医疗伙伴与我们携手并进，探索安全赋能数据使用新天地。