学习初衷

《数据安全法》的正式颁布与实施；

数据要素及数据价值的体现；

企业自身数据安全建设的需求驱动。

参考依据

TISC-0011-2021《数据安全治理能力评估方法》

数据安全治理概念

广义：国家层面数据安全战略需要，社会、国家安全等数据利用、保护。

狭义：自身组织数据安全战略需要，保护数据合法利用。

数据安全治理要点

数据为中心

针对业务场景和生命周期的安全；

多元化主体共同参与；

国家层面，多单位机构协调；

企业层面，多部门协同；

突出领导、管理、执行、监督方面。

兼顾发展与安全

保障数据有效流动、发挥价值、又要确保数据安全，有点类似常规的网络安全防护，不是绝对的强调安全，也要兼顾业务、成本之间的平衡

数据安全治理总体视图解读

数据安全治理目标

主要突出合规、风险管理、保障数据有效开发利用

数据安全治理实践路线

以总体数据安全战略为核心，基础安全为保障，贯穿数据全生命周期安全防护。

涵盖规划、建设、运营、评估4个步骤

规划：主要进行现状分析、方案规划、方案论证。侧重通过合规及行业标准、自身要求进行差异分析，设计包含组织架构、制度流程、技术工具、人员能力（此处与GBT3798 DSMM数据安全能力成熟度模型）的安全能力要求和维度是一致的。同时开展方案论证，进行可行性、安全性、可持续性的验证。

建设：建设维度包含组织架构、制度流程、技术工具、人员能力。以总体的思想要求，细化到具体的能力提升。简单的理解就是，谁来组织做？怎么设计和遵循？用什么样的技术？人员的能力能不能保障？

运营：主要侧重以风险防范、监控预警、应急处置3个要素开展。包含了常见的监控与溯源、自身的安全检查、专项督查、应急事件的响应和处置等。
评估：评估分为内部自评估及第三方评估，内部通常以评估自查、应急演练、对抗模拟作为能力的自评估；第三方主要是监管部门或者测评机构开展的能力评估。

实践路线的思考：参考数据安全治理的框架，主要路线可以参考规划、建设、运营、评估的路线。

数据安全治理参考框架

类别划分：主要划分为三类，数据安全战略、数据全生命周期安全、基础安全。

具体细分如下图所示。

数据安全战略

工作开展前，总是要有计划，计划开始前，需要契合组织的战略布局去拟定，同时需要组织协调对应的资源、才能保障数据安全工作的有序开展。数据安全规划可以确立目标任务，后者为数据治理团队提供支撑。

数据安全规划：决策团队及职责分工、梳理内外部风险、形成中长期规划清单、按规划内容落实责任分工及考核、形成任务分发及考核平台。

机构人员管理：负责组织数据安全治理的团队及人员，人员入离岗安全控制。主要需要明确管理、执行、监督工作的职责及分工，遵循最小权限原则、保密协议、数据安全责任协议签署、具备明确的追责机制、具备安全培训及考核计划、联动的人员账号管理策略。

数据全生命周期安全

数据全生命周期主要包含，数据采集、传输、存储、处理、交换、销毁6个环节。主要侧重的还是各个环节的安全策略设置，需要关注的是，以数据处理的场景举例，可能也会出现数据传输、数据存储的安全要求等。所以说，数据全生命周期各个环节是可以灵活组合和复用的。

数据采集安全

侧重自身生成的新数据或者从外部收集的数据，为了遵循合法合规，这个过程需要采取一定的安全措施。

整理的简要要求如下：

明确采集团队及职责

数据源的可信管理（身份鉴定、用户授权等）

采集设备的安全管控（安全加固、访问控制）

个人信息合规评估

采集过程日志记录及审计

建立数据采集工具

敏感数据识别及防泄漏

数据传输安全

防止传输过程中的数据泄露而采取的一系列措施，一般常见的是数据加密和传输过程的区域防护等措施。

整理的简要要求如下：

明确传输团队及职责

传输通道两端主体的身份鉴别

按分类分级要求，对应场景进行传输保障

数据传输接口管理（接口管控清单）

接口的日志记录及审计

数据存储安全

数据需要存储是一个绕不开的话题，那么，如何确保存储介质的数据安全性，也需要对该环节进行安全管控，一般涉及数据的加密存储，加密那么就会涉及算法，如何做到数据崩溃完好复原，又考验了数据的备份，如何确定数据备份的质量，那么恢复测试又是一个考验。看似简单的环节，却一环扣一环，只有这样，才能更全面的保障数据的安全存储。文件把数据备份与恢复拆分了，这里我合在一起讲了，个人理论上认为，数据存储与数据备份恢复、数据销毁是呈正相关的。

整理的简要要求如下：

明确传输团队及职责

按分类分级要求，对应场景进行存储措施保障

建立存储系统或平台，实现账号、权限、安全基线统一管理（数据安全管控平台...）

对物理介质的管理，包含采购、标记、审核、入库、出库等环节着手

数据备份与恢复的要求（管理团队可参考制定对应策略）

明确数据备份与恢复团队及职责

制定数据备份与恢复操作规程

建立数据备份与恢复清单

建立数据备份与恢复工具（定期备份、完整性、可用性验证）

数据使用、处理环境安全

文件把数据使用、处理环境安全进行了分拆，这里也集合到一起说明。数据的使用倾向于数据的计算、分析、可视化操作，数据的处理环境，涉及到系统、终端、平台等环境。综合起来分析，还是觉得应该结合在一起。只有保障了处理环境的安全，才能确保使用环节的安全。而且，数据处理环境安全也应该是可以复用在其他的环节里面的。

数据使用，整理的简要要求如下：

明确使用团队及职责

按数据分类分级进行级别使用审批及评估

部署数据使用的保障工具（脱敏、加密）

对数据处理活动进行日志记录和审计

数据处理环境安全，整理的简要要求如下：

明确数据处理环境安全团队及职责

明确系统开发、上线、运维过程安全控制措施

生产网、测试网环境、资源隔离

用户数据处理环境加工操作日志记录和监控审计

部署数据处理环境数据防泄漏工具

数据共享交换安全

文件此处划分为内部共享、外部共享。但常规的工作语义上来讲，更倾向于数据内部共享、外部数据开放或交互。此处遵循文件描述进行划分。

数据内部共享安全：组织内部之间的数据交互过程。

整理的简要要求如下：

明确数据内部共享安全团队及职责

共享数据内容评估、审批

共享过程日志记录及监控审计

共享清单建立、共享链条确立

建立数据共享工具或平台，实行基础账号、权限管控

部署数据脱敏工具

部署数据溯源工具

数据外部共享安全：不同组织之间的数据交互。例如提供给政府部门的行业信息等。

整理的简要要求如下：

明确数据外部共享团队及职责

制定安全策略（数据脱敏、数据溯源、数据留存期限、监控审计、身份识别、平台/接口控制）

明确双方安全责任（侧重接收方，开展接收方安全能力评估）

数据销毁安全

一般指对数据及其存储介质实施对应的手段，使数据彻底消除且无法还原。

整理的简要要求如下：

明确数据销毁团队及职责

按数据分类分级级别对应场景采取不同的销毁手段

建立数据账期清单，保障数据过期销毁

对数据销毁过程进行监督（双人机制或其他）

对数据销毁效果进行评估

对外部共享的数据，明确销毁记录并验证

基础安全

基础安全可以理解为通用的安全，是作为整个数据全生命周期能力建设的基础支持，同时也可以在生命周期里面进行复用。在这里，基础安全分为了7个类别，分别是：

数据分类分级、合规管理、合作方管理、监控审计、鉴别与访问、风险和需求分析、安全事件应急

数据分类分级

其实数据分类分级在DSMM里面，是单独划分到数据采集的环节里的。这里列到了基础安全。其实从实施层面来定义，分类分级也可以在数据资产梳理和评估的时候一起开展。而且数据分类分级也是一个开展起来比较困难的事项，特别是牵扯到业务线条也跨了多部门。

整理的简要要求如下：

明确数据分类分级团队及职责

开展资产梳理

结合数据业务需求，明确数据分类分级原则、方法、安全管控措施

定义数据识别规则

建立分类分级工具，实现数据标识

建立数据资产管理平台，实现数据有效管理

合规管理

合规管理主要是针对内部业务需求及场景，对标法律法规要求，以管理手段降低组织面临的合规风险。

整理的简要要求如下：

明确数据合规管理团队及职责

定期梳理更新国内外法规、行业标准等要求，形成合规清单

按照合规要求定期监控审计

形成合规评审工具，定期开展合规评估评审

合作方管理

合作方管理，其实还是属于安全隐患比较大的，特别是大量采用外包合作方进行开展数据处理的单位。那么怎么样才能进行安全管控呢？俗话说“三分技术，七分管理”，主要还是以安全技术结合管理措施的方式进行管控。

整理的简要要求如下：

明确合作管理团队及职责

合作前开展合作方数据安全防护能力评估

签署数据保护协议，明确合作权责边界、数据责任、约束数据行为

明确人员、账号、权限管理要求

定期开展合作期限、数据接口关闭、数据清除等合规检查

建立合作方统一安全管理平台，开展合作方引入、安全评估工作管理

监控审计

监控审计是通过监控及审计的工作机制建立，防范不正当的的数据访问和操作行为。降低数据未授权访问、数据滥用、数据泄露等安全风险。文件描述的主体还是侧重于对高风险场景、高敏感操作进行日志监控和分析审计。

整理的简要要求如下：

明确监控审计团队及职责

结合业务流程特性、安全目标、风险控制水平，梳理高风险、高敏感操作清单，配置监测点

明确各场景日志记录要求、监控要求、审计要求

建立统一的监控审计平台，对高风险、搞敏感操作日志进行监控分析

定期开展数据安全监控审计

鉴别与访问

鉴别与访问，主要侧重身份鉴别与访问控制，是整个组织实现安全保障的关键环节

整理的简要要求如下：

明确账号、权限管理团队及职责

开展用户账号管理及鉴别工作

梳理系统、平台、数据等权限进行管理及访问控制

建立账号权限管理平台（4A等）

定期开展账号及权限的审计

风险和需求分析

主要是根据组织面临的数据安全风险和安全需求，提出针对性的防护对策和改进措施，将风险控制在可接受的水平，最大限度的保障数据安全。

整理的简要要求如下：

明确风险和需求分析团队及职责

定期梳理组织面临的数据安全风险

合规遵从、面临风险、结合业务需求梳理

定期开展需求分析、风险分析

安全事件应急

主要是通过建立数据安全应急响应体系，当数据安全事件后能够及时响应，快速保障业安全稳定运行，最大程度降低数据安全事件带来的影响。

整理的简要要求如下：

明确数据安全事件应急组织架构及职责

数据安全事件分类和分级

明确数据安全事件应急处置和上报流程

制定应急预案

定期开展应急演练

建立数据安全事件管理平台，对已发生的数据安全事件进行统一记录、管理、宣导

总结

从上述的简要要求中，大部分对组织架构的建立、安全职责的明确、整体流程机制的建立都有比较共性的要求。虽然目前数据安全还是处于一个发展初期，最后回归的本源，还是数据的价值还有使用数据的人。

再用管理学的理念，做事的初衷、谁来做事、怎么做、质量怎么样、目标完成度。来评估，简单做了个排名。

TOP1：组织战略

TOP2：人员分工

TOP3：流程指引

TOP4：技术支撑

TOP5：监督管理

只有做到“以数据为中心”，合理管控，促进数据流动体现价值，才不违背数据安全治理的初衷。