摘　要

　　政務(wù)部門之間根據(jù)政府管理和政務(wù)服務(wù)的需求開展數(shù)據(jù)共享。做好數(shù)據(jù)共享的授權(quán)管理是保障數(shù)據(jù)安全的前提和基礎(chǔ)。訪問控制策略不合理，將限制數(shù)據(jù)共享工作的推進， 無法滿足數(shù)據(jù)使用需求。通過分析當前數(shù)據(jù)共享授權(quán)方式存在的問題，提出政務(wù)數(shù)據(jù)共享的3 種授權(quán)決策機制，并說明其適用的場景，以期為進一步促進政務(wù)數(shù)據(jù)安全高效共享提供有益參考。

　　隨著數(shù)字經(jīng)濟引領(lǐng)經(jīng)濟增長的作用日趨顯著，數(shù)據(jù)共享得到持續(xù)推進。近年來，國務(wù)院及相關(guān)部門相繼下發(fā)了《政務(wù)信息資源共享管理暫行辦法》（國發(fā)〔2016〕51 號）、《政務(wù)信息系統(tǒng)整合共享實施方案》（國辦發(fā)〔2017〕39 號）等一系列文件指導(dǎo)政務(wù)數(shù)據(jù)資源整合共享工作。根據(jù)國務(wù)院部署的相關(guān)工作要求，按照“先聯(lián)通、后提高”的原則，加快各級數(shù)據(jù)共享交換平臺建設(shè)，推進政務(wù)信息系統(tǒng)整合共享，全面化解互聯(lián)互通難、信息共享難、業(yè)務(wù)協(xié)同難的問題。

　　在國家的大力推動下，國家數(shù)據(jù)共享平臺體系建設(shè)已基本完成。政務(wù)數(shù)據(jù)共享在助力“放管服”改革、推進政務(wù)服務(wù)“一網(wǎng)通辦”業(yè)務(wù)， 在支撐我國數(shù)字政府建設(shè)中起到了重要作用。同時，隨著數(shù)據(jù)共享的深入推進，數(shù)據(jù)供給和數(shù)據(jù)需求對接成為持續(xù)發(fā)展需要解決的問題。

　　在不同的業(yè)務(wù)場景中，數(shù)據(jù)共享的內(nèi)容和要求不盡相同。例如，政務(wù)服務(wù)“一網(wǎng)通辦”業(yè)務(wù)， 某一政務(wù)服務(wù)事項所需共享的數(shù)據(jù)是確定的， 實現(xiàn)“一網(wǎng)通辦”須在開展數(shù)據(jù)共享的基礎(chǔ)上進行業(yè)務(wù)協(xié)同。在智慧城市中出現(xiàn)火災(zāi)、安全生產(chǎn)事故等應(yīng)急事件時，數(shù)據(jù)共享的及時性是第一位的。我們需要進一步加強數(shù)據(jù)共享安全管理，構(gòu)建安全與效率兼顧的數(shù)據(jù)共享決策機制，希望在一定程度解決上述問題。

　　政務(wù)數(shù)據(jù)共享來源于各級政務(wù)部門，具有數(shù)據(jù)類型復(fù)雜、應(yīng)用范圍廣泛等特點，通常為來自不同組織或部門、不同身份與目的的用戶提供服務(wù)。分布式的系統(tǒng)部署、開放的網(wǎng)絡(luò)環(huán)境、復(fù)雜的數(shù)據(jù)應(yīng)用和眾多的用戶訪問使數(shù)據(jù)在保密性、完整性、可用性等方面面臨更大的挑戰(zhàn)。數(shù)據(jù)保護難度加大、個人隱私泄露的風(fēng)險加劇，因此需要加強數(shù)據(jù)的訪問控制。

　　一是用戶身份鑒別。數(shù)據(jù)的共享意味著會有更多的用戶可以訪問數(shù)據(jù)。大量的用戶和復(fù)雜的共享應(yīng)用環(huán)境，導(dǎo)致需要更準確地識別和鑒別用戶身份，而傳統(tǒng)基于集中數(shù)據(jù)存儲的用戶身份鑒別難以滿足安全需求。

　　二是用戶訪問控制。在數(shù)據(jù)共享應(yīng)用場景中，由于存在大量未知的用戶和數(shù)據(jù)，預(yù)先設(shè)置角色及權(quán)限十分困難。即使事先對用戶進行權(quán)限分類，但由于用戶角色眾多，難以精細化和細粒度地控制每個角色的實際權(quán)限，從而導(dǎo)致無法準確地為每個用戶指定其可以訪問的數(shù)據(jù)范圍。

　　１

　　相關(guān)工作

　　目前，國內(nèi)外在數(shù)據(jù)共享領(lǐng)域中對訪問控制的研究和工作較多。2019 年 12 月，美國發(fā)布《聯(lián)邦數(shù)據(jù)戰(zhàn)略與 2020 年行動計劃》，確立了政府范圍內(nèi)數(shù)據(jù)共享開放和數(shù)據(jù)安全的框架原則以及 40 項數(shù)據(jù)管理實踐 。2017 年 8 月，英國發(fā)布《英國新數(shù)據(jù)保護法案：改革計劃》， 提出新的法案以打造安全可靠的網(wǎng)絡(luò)空間，在推動英國與歐盟國家之間數(shù)據(jù)流動的同時，進一步強化數(shù)字經(jīng)濟時代的個人數(shù)據(jù)保護 。2016 年 9 月，我國發(fā)布的《政務(wù)信息資源共享管理暫行辦法》中明確提出“建立機制，保障安全”，各政務(wù)部門和共享平臺管理單位應(yīng)加強對共享信息采集、共享、使用全過程的身份鑒別、授權(quán)管理和安全保障，確保共享信息安全。2018 年 7 月，國家發(fā)展改革委發(fā)布《國家數(shù)據(jù)共享交換平臺（政務(wù)外網(wǎng)）服務(wù)接口申請、授權(quán)和使用管理暫行辦法》，明確了數(shù)據(jù)共享的申請、授權(quán)、使用的行為和流程。2021 年 6 月， 我國正式出臺《中華人民共和國數(shù)據(jù)安全法》， 在第五章政務(wù)數(shù)據(jù)安全與開放中明確提出“對在履行職責中知悉的個人隱私、個人信息、商業(yè)秘密、保密商務(wù)信息等數(shù)據(jù)應(yīng)當依法予以保密，不得泄露或者非法向他人提供”“建立健全數(shù)據(jù)安全管理制度，落實數(shù)據(jù)安全保護責任， 保障政務(wù)數(shù)據(jù)安全”。

　　從技術(shù)上，業(yè)界提出了多種數(shù)據(jù)授權(quán)訪問控制方案。2005 年，屬性基加密（Attribute-Based Encryption，ABE）被首次提出，為數(shù)據(jù)隱私保護與訪問控制的融合提供支持 。區(qū)塊鏈技術(shù)（Blockchain Technology） 首次出現(xiàn)在中本聰 發(fā)表的《比特幣：一種點對點的電子現(xiàn)金系統(tǒng)》， 余益民等提出基于區(qū)塊鏈的政務(wù)信息資源共享模型，利用智能合約實現(xiàn)數(shù)據(jù)的訪問控制。

　　本文主要討論在目前國家數(shù)據(jù)共享平臺體系架構(gòu)下，建立良好的數(shù)據(jù)授權(quán)管控機制，實現(xiàn)合法用戶在正確的時間用正確的方式對數(shù)據(jù)進行正確的操作，保證數(shù)據(jù)被安全合規(guī)地使用。數(shù)據(jù)授權(quán)管控機制的建立需要兼顧安全與效率， 既要滿足安全要求，又要簡化操作流程；既要滿足對數(shù)據(jù)資源訪問的細粒度控制要求，又要兼顧自然災(zāi)害、公共衛(wèi)生事件等公共安全事件發(fā)生時達到數(shù)據(jù)快速共享的要求。

　　２

　　當前政務(wù)數(shù)據(jù)共享的授權(quán)方式

　　自 2017 年以來，各部門各地方開展政務(wù)信息共享，主要采用“申請授權(quán)方式”。數(shù)據(jù)共享申請授權(quán)流程如圖 1 所示。

　　圖 1 數(shù)據(jù)共享申請授權(quán)流程

　　數(shù)據(jù)使用方分析業(yè)務(wù)數(shù)據(jù)需求，發(fā)起數(shù)據(jù)使用申請。申請時需要明確數(shù)據(jù)申請理由、數(shù)據(jù)使用用途、數(shù)據(jù)使用期限等。數(shù)據(jù)共享申請由數(shù)據(jù)共享平臺統(tǒng)一受理，開展合規(guī)性審查， 并將需要部門審批的申請進行轉(zhuǎn)辦。數(shù)據(jù)提供方對數(shù)據(jù)申請進行授權(quán)，如果不予授權(quán)應(yīng)說明理由。數(shù)據(jù)共享平臺將授權(quán)結(jié)果統(tǒng)一反饋給數(shù)據(jù)使用方。

　　３

　　存在的問題

　　針對政務(wù)數(shù)據(jù)共享涉及部門多、層級多、應(yīng)用場景多的特點，當前的政務(wù)數(shù)據(jù)共享授權(quán)模式能夠滿足細粒度訪問控制需求，靈活性高。但是該授權(quán)方式也存在一定的問題。一是申請審批操作量大。該授權(quán)方式屬于“一事一議” 制度，授權(quán)主體為提供部門的某一數(shù)據(jù)資源， 授權(quán)對象為政務(wù)部門的某一業(yè)務(wù)系統(tǒng)。對于數(shù)據(jù)提供部門，特別是對于民政部、公安部、發(fā)改委等提供數(shù)據(jù)資源價值較高的國家部門來說， 申請審批操作量較大。二是跨層級授權(quán)審批流程長。國家數(shù)據(jù)共享體系由國家、省、市三級數(shù)據(jù)共享平臺組成。中央部門數(shù)據(jù)資源向市級政務(wù)部門提供共享服務(wù)時，需要數(shù)據(jù)使用單位、數(shù)據(jù)提供單位、國家、省、市三級數(shù)據(jù)共享平臺管理單位共 5 個相關(guān)方參與授權(quán)業(yè)務(wù)辦理，審批環(huán)節(jié)多、流程長，全流程辦理時間長，效率低。三是授權(quán)標準不統(tǒng)一。目前各部門未明確統(tǒng)一的授權(quán)標準，部分部門針對不同省份提交的相似的數(shù)據(jù)共享申請存在選擇性授權(quán)的情況。

　　４

　　數(shù)據(jù)共享授權(quán)機制設(shè)計

　　為解決當前數(shù)據(jù)共享授權(quán)模式存在的問題， 兼顧安全與效率，實現(xiàn)數(shù)據(jù)共享的靈活、及時、精準授權(quán)，基于已有的申請授權(quán)數(shù)據(jù)共享授權(quán)機制，提出基于屬性授權(quán)和應(yīng)急授權(quán)兩種數(shù)據(jù)共享安全管控機制，分別對應(yīng)不同的數(shù)據(jù)共享需求和使用場景。

　　4.1　基于申請授權(quán)的安全管控機制

　　在現(xiàn)有的申請授權(quán)方式的基礎(chǔ)上，對申請數(shù)據(jù)授權(quán)操作流程進行優(yōu)化，提出基于申請授權(quán)的安全管控機制。

　　數(shù)據(jù)使用方分析業(yè)務(wù)數(shù)據(jù)需求，發(fā)起數(shù)據(jù)使用申請。申請時需要明確數(shù)據(jù)申請理由、數(shù)據(jù)使用用途、數(shù)據(jù)使用期限等。需求提出方數(shù)據(jù)主管部門應(yīng)審核數(shù)據(jù)使用需求的合理性，主要關(guān)注的問題為數(shù)據(jù)消費是否是部門真實需求， 資產(chǎn)使用范圍、使用期限是否合理。

　　數(shù)據(jù)提供方對數(shù)據(jù)共享申請進行授權(quán)，如果不予授權(quán)應(yīng)說明理由。如果需求方提出的數(shù)據(jù)共享申請中涉及隱私數(shù)據(jù)，需要數(shù)據(jù)提供方隱私專家對個人數(shù)據(jù)使用的必要性、合規(guī)性進行審核。

　　數(shù)據(jù)共享管理方負責統(tǒng)一受理共享申請， 對申請進行合規(guī)性審查，并對提供部門進行催辦，匯總統(tǒng)計各政務(wù)部門的申請、授權(quán)和使用情況。如果對共享條件、申請理由、授權(quán)結(jié)果有異議，可由數(shù)字政府建設(shè)領(lǐng)導(dǎo)小組協(xié)調(diào)解決。

　　基于申請授權(quán)的安全管控機制的定義：

　　（1）設(shè) DR 表示數(shù)據(jù)資源，O 表示機構(gòu)，S 表示業(yè)務(wù)系統(tǒng)，R 表示申請，D 表示授權(quán)時間，A 表示提供方審批結(jié)果。

　　（2）圖片圖片函數(shù)表示機構(gòu)圖片提出的業(yè)務(wù)系統(tǒng)圖片使用數(shù)據(jù)資源圖片的申請。

　　（3）圖片表示數(shù)據(jù)提供方對申請的審批結(jié)果，審批結(jié)果 T 為審批通過，F(xiàn) 為駁回，S 為駁回補正。審批時間范圍應(yīng)根據(jù)業(yè)務(wù)需求確定， 最長不超過 3 年。

　　（4）圖片函數(shù)根據(jù)使用方及其業(yè)務(wù)系統(tǒng)、提供方對資源的審批結(jié)果是否為 T，當前時間是否在授權(quán)時間范圍內(nèi)幾個條件的值進行判斷，如果返回 true 則允許訪問，返回 false 則拒絕訪問。

　　目前國家數(shù)據(jù)共享平臺體系由多級平臺構(gòu)成，從申請受理到授權(quán)采用逐級審批的方式。為了簡化數(shù)據(jù)共享授權(quán)流程，建議以發(fā)布資源的數(shù)據(jù)共享平臺為中心，進行統(tǒng)一的申請受理， 減少多級平臺逐級受理和轉(zhuǎn)辦的工作量。整體授權(quán)以被授權(quán)開展服務(wù)代理的共享平臺為中心， 面向本級部門開展申請受理，并自動向數(shù)據(jù)提供方所在平臺備案。

　　4.2　基于屬性授權(quán)的安全管控機制

　　各政務(wù)部門面向群眾和企業(yè)提供的政務(wù)服務(wù)事項基本一致，某一政務(wù)服務(wù)事項的業(yè)務(wù)流程和所需數(shù)據(jù)的共享流程也基本一致。因此， 可以建立“場景化”授權(quán)方式。首先，由業(yè)務(wù)方主管部門與數(shù)據(jù)提供方線下協(xié)商，對某一業(yè)務(wù)場景的數(shù)據(jù)供需達成一致；其次，由數(shù)據(jù)提供方設(shè)定數(shù)據(jù)面向該業(yè)務(wù)場景進行授權(quán)；最后， 由業(yè)務(wù)主管部門負責確認哪些下屬部門、哪些業(yè)務(wù)系統(tǒng)用于辦理該場景的業(yè)務(wù)。通過“場景化” 授權(quán)的方式，已納入授權(quán)的部門和業(yè)務(wù)系統(tǒng)無需再提出資源申請，即可開展數(shù)據(jù)共享使用。

　　為了滿足“場景化”授權(quán)的需求，建立基于屬性授權(quán)的安全控制機制。在數(shù)據(jù)提供方和數(shù)據(jù)使用方之間，建立一套基于資源屬性、用戶屬性、業(yè)務(wù)系統(tǒng)屬性的授權(quán)規(guī)則，實現(xiàn)對數(shù)據(jù)訪問權(quán)限的控制。3 種屬性關(guān)鍵要素關(guān)系如圖2 所示。

　　圖 2 共享屬性關(guān)鍵要素關(guān)系

　　數(shù)據(jù)資源屬性包括數(shù)據(jù)資源的 URL、訪問地址、類型、業(yè)務(wù)主題等。

　　用戶即是數(shù)據(jù)的使用方，用戶屬性主要定義使用方的身份和特征，主要包括組織、身份、角色等。

　　業(yè)務(wù)系統(tǒng)是使用數(shù)據(jù)的系統(tǒng)，系統(tǒng)屬性主要定義系統(tǒng)名稱，包括 IP 地址、所屬業(yè)務(wù)等。

　　基于屬性授權(quán)的安全管控機制的定義：

　　（1）設(shè) DR 表示數(shù)據(jù)資源，O 表示機構(gòu)，S 表示業(yè)務(wù)系統(tǒng)，D 表示授權(quán)時間。

　　（2）圖片圖片為數(shù)據(jù)資源 DR、機構(gòu) O、業(yè)務(wù)系統(tǒng) S 的預(yù)定義屬性。

　　（3）Attr（DR）、Attr（O） Attr（S） 分別表示數(shù)據(jù)資源 DR、機構(gòu) O、業(yè)務(wù)系統(tǒng) S 的屬性賦值關(guān)系， 分別為：

　　（4）數(shù)據(jù)資源訪問判斷規(guī)則：

　　圖片函數(shù) f 根據(jù) DR、O、S 的屬性值進行判斷，如果與圖片的預(yù)定義屬性相匹配，則返回 true， 允許訪問，否則返回 false，拒絕訪問。

　　（5）基于屬性的構(gòu)建訪問控制策略，每一條策略可以包括一個或者多個規(guī)則，每個規(guī)則包含資源、機構(gòu)或系統(tǒng)的屬性值。訪問控制決策通過匹配資源、用戶或系統(tǒng)的屬性得出。

　　基于屬性授權(quán)的安全控制機制相對申請授權(quán)方式采用的“一事一議”的方式更加便捷， 減少了數(shù)據(jù)使用部門申請操作和數(shù)據(jù)提供部門授權(quán)操作的次數(shù)，大大提升了數(shù)據(jù)共享授權(quán)的效率，同時又能夠滿足數(shù)據(jù)提供方授權(quán)安全管控要求。

　　4.3　基于應(yīng)急授權(quán)的安全管控機制

　　當自然災(zāi)害、公共衛(wèi)生事件、社會安全事件等公共安全事件發(fā)生時，需要多個政務(wù)部門相互協(xié)同，采取應(yīng)急處置措施予以應(yīng)對，提升行政效率，把事件可能造成的人員和財產(chǎn)損失降到最低限度。開展應(yīng)急處置，需要不同部門之間的協(xié)調(diào)配合，而保持信息的流通和共享是最重要的。

　　申請授權(quán)機制由各相關(guān)方在平臺上進行申請授權(quán)操作，按要求在 10 個工作日內(nèi)完成申請授權(quán)審批流程，時間上無法滿足公共安全事件數(shù)據(jù)共享的要求。屬性授權(quán)機制通過預(yù)設(shè)數(shù)據(jù)屬性確定授權(quán)范圍，無法滿足應(yīng)急場景下的突發(fā)性需求。因此，本文新提出應(yīng)急授權(quán)安全管控機制，由公共安全事件應(yīng)急處置主管部門提出數(shù)據(jù)共享需求，數(shù)字政府建設(shè)領(lǐng)導(dǎo)小組負責審批，數(shù)據(jù)管理部門進行具體操作，快速完成數(shù)據(jù)使用授權(quán)工作。應(yīng)急授權(quán)的時效為 14 天。如果后續(xù)還需要繼續(xù)使用數(shù)據(jù)，則由數(shù)據(jù)使用部門按照申請授權(quán)流程提出數(shù)據(jù)使用申請，補辦相關(guān)手續(xù)。

　　基于應(yīng)急授權(quán)的安全管控機制的定義與基于申請授權(quán)的安全管控機制的定義基本一致， 核心區(qū)別主要包括以下兩個方面：

　　（1）圖片表示數(shù)字政府建設(shè)領(lǐng)導(dǎo)小組的審批結(jié)果，而不是提供方的審批結(jié)果，審批結(jié)果 T 為審批通過，F(xiàn) 為駁回，S 為駁回補正；

　　（2）D 表示授權(quán)時間，應(yīng)急授權(quán)審批時間較短，不能大于 14 天。

　　應(yīng)急授權(quán)的方式首先考慮共享授權(quán)效率問題，實現(xiàn)公共安全事件應(yīng)急處置所需數(shù)據(jù)的快速共享，同時又兼顧了數(shù)據(jù)提供部門的數(shù)據(jù)審批權(quán)。

　　在政務(wù)信息共享工作中，應(yīng)用需求和使用場景多樣，3 種不同的訪問控制機制應(yīng)協(xié)同使用。

　　首先，應(yīng)采用屬性授權(quán)方式，數(shù)據(jù)提供方明確數(shù)據(jù)屬性，根據(jù)已知的需求和場景確定授權(quán)范圍。如數(shù)據(jù)使用方確定其在授權(quán)范圍內(nèi)，則無需申請直接進行數(shù)據(jù)共享應(yīng)用。其次，針對不在屬性授權(quán)范圍內(nèi)的共享需求，數(shù)據(jù)使用方采用申請授權(quán)方式提交授權(quán)申請，經(jīng)過數(shù)據(jù)提供方的授權(quán)審批后，開展數(shù)據(jù)的共享應(yīng)用。當數(shù)據(jù)提供方明確該需求具有普遍性，并能夠確定其用戶和系統(tǒng)范圍時，可將其設(shè)置到數(shù)據(jù)屬性中， 轉(zhuǎn)化為屬性授權(quán)方式。最后，當出現(xiàn)突發(fā)事件時， 采用應(yīng)急授權(quán)方式，盡快獲取數(shù)據(jù)使用權(quán)限。數(shù)據(jù)使用方在確定該數(shù)據(jù)資源仍需繼續(xù)使用時， 需要與數(shù)據(jù)提供方協(xié)商，確定后續(xù)采用屬性授權(quán)或申請授權(quán)的方式進行權(quán)限的重新獲取。3 種不同的訪問控制機制三位一體，實現(xiàn)數(shù)據(jù)共享的精準、安全、快速授權(quán)，更好地支撐政務(wù)數(shù)據(jù)共享需求。

　　５

　　共享授權(quán)決策模型

　　申請授權(quán)主體基于自身業(yè)務(wù)場景和數(shù)據(jù)共享需求，選擇適用的申請授權(quán)機制進行申請操作。申請授權(quán)主體在進行數(shù)據(jù)訪問決策時，數(shù)據(jù)共享平臺需對授權(quán)情況進行驗證，以判斷是否允許數(shù)據(jù)訪問。數(shù)據(jù)共享授權(quán)決策模型如圖 3 所示。

　　策略實施點是授權(quán)訪問控制的實體，可攔截數(shù)據(jù)訪問請求，并向策略決策點發(fā)送授權(quán)請求，根據(jù)授權(quán)響應(yīng)結(jié)果，執(zhí)行允許或者拒絕用戶請求的操作。

　　策略決策點利用策略規(guī)則集判斷用戶的訪問請求是否滿足要求，從而決定是許可還是拒絕，并將策略決策結(jié)果反饋給策略實施點。

　　圖 3 數(shù)據(jù)共享授權(quán)決策模型

　　數(shù)據(jù)共享在進行數(shù)據(jù)訪問決策時，需要統(tǒng)籌考慮 3 種授權(quán)機制，進行綜合決策。其中， 應(yīng)急授權(quán)機制決策優(yōu)先級最高，屬性授權(quán)次之， 最后進行申請授權(quán)決策判斷，其判斷優(yōu)先級如表 1 所示。

　　表 1 　授權(quán)機制的決策優(yōu)先級

　　6　結(jié)　語

　　在新時代政府數(shù)字化轉(zhuǎn)型的背景下， 政務(wù)信息共享的需求越來越多， 應(yīng)用場景逐步增加， 加強數(shù)據(jù)共享安全的措施和手段正逐步落地。本文為解決不同場景下數(shù)據(jù)需求和供給有效對接的問題， 根據(jù)政務(wù)數(shù)據(jù)共享3種主要的應(yīng)用場景， 提出相應(yīng)的數(shù)據(jù)共享安全管控機制，并進一步提出了共享授權(quán)決策模型。根據(jù)本文的分析總結(jié)，數(shù)據(jù)提供方應(yīng)在數(shù)據(jù)分類分級和敏感數(shù)據(jù)標識的基礎(chǔ)上， 設(shè)置數(shù)據(jù)的共享屬性和安全屬性；數(shù)據(jù)共享管理單位要做好政務(wù)信息共享組織和管理流程設(shè)計，針對不同數(shù)據(jù)共享需求和數(shù)據(jù)應(yīng)用場景，選擇合理的數(shù)據(jù)共享訪問控制方式。數(shù)據(jù)使用方依據(jù)數(shù)據(jù)授權(quán)決策模型獲取數(shù)據(jù)， 依法依規(guī)合理使用數(shù)據(jù)資源。