新基建、新要素背景下，各地“数字政府”建设正迎来平台建设到治理运营，技术驱动到业务引领的新阶段跨越期。各城市运营中心也都在不断上线各种数字化服务，大到一网统管平台，小到各种便民小程序，也都纷纷出台。然而此类以API接口技术为主流提供的服务，固然有灵活、迅捷的优势，然其在安全性方面先天不足。如何在做好利民便民服务的基础上，保障民众数据安全，已成为了现下各地大数据局与城市运营中心关注的焦点问题。

近年来，通过API接口发生的数据泄露事件愈演愈烈。据统计，2023年已有超过5亿条数据从API接口泄露。其中各类政务平台的API接口由于承载了海量公民隐私数据，如身份证、住址、医保社保等敏感信息，已成为黑产疯狂攻击的主要对象之一。

导致这一问题的原因是多方面的。单从技术的角度来看，API接口由于其设计理念偏重于轻量化、便捷化和业务化，这就导致了其安全能力先天不足。对于政务机构来说，API接口安全主要面临以下风险：

由于各城市上线的业务繁多，服务形式、主管部门各有不同，而每个业务平台包含的API接口多则成百上千个，并且很多都在会根据业务需求实时在线迭代更新。这其中有多少API接口的是开放的、传输的数据是否敏感等信息几乎无人知晓，从而配套相应的安全措施就更是无从谈起。

当下各类应用服务在敏捷开发时，往往以业务优先为导向，对于安全相关的测试和投入有限。这导致了各类承载了大量敏感数据的开放API接口，极易存在未授权访问、弱口令、敏感数据明文传输等漏洞和风险。

由于API接口的开放性、易用性以及以业务为先的设计理念，导致很多敏感数据的点滴泄漏以及被第三方爬取不易感知，在此基础上形成的二次泄漏事件在实际上更难以定责和追溯。

由于API泄露事件多是发生在数据层面，因此传统的WAF等网络安全手段并不能有效满足API数据的安全防护需求，因此针对API接口的安全加固以及能力建设就成为了政务数字化转型过程中非常关键的一个环节。

面对城市数字化运营中心所面临的各种API安全挑战及需求，闪捷信息提供以API资产感知为基础，风险检测告警、细粒度权限管控为手段，水印与安全审计溯源为底线的全方位、立体化API数据安全能力体系。目前已成功服务于多个城市运营中心的数字化平台上，具体如下：

 由于API接口多、杂、以及持续迭代更新的特性，人工维护API接口信息几乎不可行。闪捷信息提供从访问流量中发现并更新API资产信息，在此基础上，还可以根据流量内容，发现哪些接口访问涉及敏感信息，能够给客户提供不断更新的API接口资产信息及敏感资产信息，协助客户有针对性的针对核心接口制定有效的安全防护措施。

通过对于API流量的监控，闪捷信息能够实时监控应用访问的风险和系统自身设计上存在的弱点：例如弱口令、接口越权访问、接口无需认证、敏感数据访问量异常等，包括OWASP公布的部分典型API风险；可以及时通知相关系统进行整改或采取进一步防护措施。

数据中台可为各种其他平台提供快捷的数据访问服务。但同一个数据服务接口，往往仅凭请求参数来确定提供什么数据，而不能对不同来源进行区分。闪捷信息可以提供基于请求来源的API脱敏能力，针对不需要完整真实信息的数据请求，提供实时脱敏后的数据。例如在展示、分析等场景下，人员手机号等个人敏感信息就可以脱敏后提供，大大降低了数据泄漏风险。

闪捷信息可在API应用接口访问过程中对请求和响应信息添加各类水印标识，以便发生安全事件后进行溯源追责；此外，还支持在通过API接口获取页面信息时，添加WEB水印，直接展示操作者的账号与IP，对截图拍照等泄露行为形成有效威慑。在完全不影响业务的前提下，大大提高数据安全底线。

 作为国内专注于数据安全领域并精研API应用安全的数据安全企业，闪捷信息凭着在数据安全领域的长期耕耘，以其完善的API应用数据安全系列产品，迄今以来已服务于多个城市运营中心的数字化平台上，并深受客户好评，以实际行动为新时代背景下，数字政府建设以及数字经济的发展添砖加瓦！