数据安全能力建设思路

一、前言

数据是对客观事物的性质、状态依据相互关系等进行记载的符号或符号的组合。数据的本质就是在连续的活动过程中，经过产生、加工、传输等环节完成记录，并不断指导业务活动持续开展的过程，所以数据的价值在次过程中得到了完整的体现，而传输交互与使用是数据价值的集中体现。数据安全是建立在价值基础上，实现数据准确的记录的同时完成安全交互和指定对象的加工与访问使用，防止数据被破坏、盗用及非授权访问。数据安全能力是指数据在流动过程中，组织为了保障数据的保密性、完整性、可用性而在安全规划、安全管理、安全技术、安全运营等方面所采取的一系列活动。

二、数据安全能力建设的驱动力

2.1合规驱动

《网络安全法》、《数据安全法（草案）》《网络安全等级保护条例（征求意见稿）、《关键信息基础设施保护条例（征求意见稿）》、《数据安全管理办法（征求意见稿）》等国内法律法规中明确了组织在数据安全方面的合规要求。欧盟正式施行《通用数据保护条例》（简称GDPR），掀起了个人数据保护立法的改革浪潮。

2.2业务驱动

伴随云计算、大数据、人工智能等新兴技术的飞速发展，数据作为支撑这些前沿技术存在与发展的生产资料，已经成为组织的核心资产，受到前所未有的重视与保护。数据成为资产，成为基础设施，数据驱动商业成为新的商业发展的最大创新源泉。以数据为中心的安全治理，需要把安全聚焦在数据本身，围绕数据的生命周期来建设安全能力，包括各个环节相关系统的安全情况、各个环节专门的数据安全产品和策略、安全运营、制度和管理体系设计、专业人员能力建设等。

2.3风险驱动

数据生命周期指数据从创建到销毁的整个过程，包括采集、存储、处理、应用、流动和销毁等环节。通过对数据全生命周期各阶段进行针对性的风险分析，可以得出：

采集阶段

采集阶段主要的风险集中在采集源、采集终端、采集过程中，包括采集阶段面临的非授权采集、数据分类分级不清、敏感数据识别不清、采集时缺乏细粒度的访问控制、数据无法追本溯源、采集到敏感数据的泄密风险、采集终端的安全性以及采集过程的事后审计等。

存储阶段

存储阶段面临着数据分类分级不清、重要数据的保密性问题、重要数据缺乏细粒度访问控制的要求。

传输阶段

传输阶段主要是指数据在各业务平台、各节点之间、各组件之间以及跨组织的数据传输，主要的风险在于传输时存在泄露问题。

处理阶段

处理阶段面临的安全风险包括数据处理时缺乏访问控制、数据结果的访问接口缺乏控制、数据处理结果缺乏敏感数据保护措施、缺乏安全审计和数据溯源的能力。

交换阶段

数据交换阶段主要指数据最终通过提供给其他业务系统、用户使用。此时数据安全风险主要有数据交换和数据输出时未授权输出及交换，输出的数据在应用或终端存在安全泄露的问题。

销毁阶段

销毁阶段主要是指在获得用户的授权许可或用户请求后应对用户数据进行清除或销毁。

三、数据安全能力建设思路

3.1数据安全能力建设目标

在分析数据安全在合规层面、业务层面和风险层面所面临的挑战，结合组织在数据安全目标和远景，融合业务、管理、技术、运营等方面的需求后，以数据为核心，聚焦数据安全生命周期，规划设计全局化和开放性的数据安全体系，提升数据安全管理融合能力，夯实数据安全技术底盘，构建数据安全运营场景落地，实现组织数据资产可视、数据血缘可溯、数据风险可控、数据威胁可管。

3.2数据安全能力建设思路

随着组织业务的丰富和扩展，数据越来越多种多样，越来越庞大，相应的数据安全问题也变得越来越复杂。单独使用一、两种技术难以应对；此外，数据安全不仅是一个技术问题，还涉及法律法规、标准流程、人员管理等问题。因此，一套科学的数据安全实践体系对于组织来说是十分必要的。近年来，一些安全相关的机构纷纷提出数据安全的实践体系、方法论与解决方案。主要分为两类：一类是“由上而下”的数据安全治理体系；另一类是数据安全能力成熟度模型体系。

数据安全治理(DataScurityGovrnanc，DSG)最早由Gartnr在安全与风险管理峰会上提出。在GartnrSummit进一步完善。Gartnr认为数据安全治理是从决策层到技术层，从管理制度到工具支撑，自上而下贯穿整个组织架构的完整链条。组织内的各个层级之间需要对数据安全治理的目标达成共识，确保采取合理和适当的措施，以最有效的方式保护数字资产。其安全治理框架如下图所示，一共分为5步，“由上而下”，从平衡业务需求、风险、合规、威胁到实施安全产品，为保护产品配置策略。

数据安全能力成熟度模型（DataScurityMaturityModl，简称：DSMM），是一套数据安全建设中的系统化框架，是围绕数据的生命周期，并结合业务的需求以及监管法规的要求，持续不断的提升组织整体的数据安全能力，从而形成以数据为核心的安全框架。

3.3数据安全能力建设框架

数据安全能力建设并非单一产品或平台的构建，而是覆盖数据全部使用场景的数据安全体系建设。因此，需要按步骤、分阶段的逐渐完成。数据安全能力建设并不是一个项目，而更像是一项工程。为了有效地实践数据安全能力，形成数据安全的闭环，我们需要一个系统化的数据安全能力建设框架。

整体来看，数据安全能力建设框架是以法律法规监管要求和业务发展需要为输入，在充分识别组织业务场景、风险现状的基础上，制定组织数据的分类分级标准，同时结合组织数据安全在管理、技术、运营维度的能力要求，满足数据生命周期各个过程域的安全。下面对四个能力维度的框架设计进行概要说明：

规划能力维度

数据安全最终是为组织的业务发展服务的，不能游离于业务之外或独立存在。在满足法律法规要求的前提下，数据安全能力建设须切合业务发展需要来开展，同时结合风险管理，制定数据分类分级标准，为管理、技术、运营能力建设提供指导。

管理能力维度

组织建设：指数据安全组织的架构建立、职责分配和沟通协作。组织可分为决策层、管理层和执行层等三层结构。其中，决策层由参与业务发展决策的高管和数据安全官组成，制定数据安全的目标和愿景，在业务发展和数据安全之间做出良好的平衡；管理层是数据安全核心实体部门及业务部门管理层组成，负责制定数据安全策略和规划，及具体管理规范；执行层由数据安全相关运营、技术和各业务部门接口人组成，负责保证数据安全工作推进落地。

制度流程：指数据安全具体管理制度体系的建设和执行，包括数据安全方针和总纲、数据安全管理规范、数据安全操作指南和作业指导，以及相关模板和表单等。

人员能力：指为实现以上组织、制度和技术工具的建设和执行其人员应具备的能力。核心能力包括数据安全管理能力、数据安全运营能力、数据安全技术能力及数据安全合规能力。根据不同数据安全能力建设维度匹配不同人员能力要求。

技术能力维度

数据安全技术能力建设工作并非从零开始，而是以组织基础设施安全建设为基础，围绕数据安全生命周期安全的各项要求，建立与制度流程相配套并保证有效执行的技术和工具，技术工具建议使用标准的数据安全产品或平台，也可以是自主开发的组件或工具，需要综合所有生命周期过程域进行整体规划和实现，且要和组织的业务系统和信息系统等进行衔接。同时，数据安全技术能力需要支撑运营能力的执行与监控，保证覆盖数据使用的各个场景中的数据安全需求。

运营能力维度

数据安全能力建设是一个长期持续的过程，需要在组织内持续性的落实数据安全的相关制度和流程，并基于组织的业务变化和技术发展不断的调整和优化，安全也是一个不断螺旋上升的过程，通过持续对数据生命周期内安全风险的监测，评估组织现有数据安全控制措施的有效性进行识别和判断，将数据安全策略、制度规程及技术工具在通过安全运营能力在组织内部的推广落地。

四、数据安全规划能力建设

4.1业务场景识别

识别业务数据使用的场景，是数据安全能力建设的出发点，业务数据场景识别以数据生命周期为基础，通过对数据采集场景、数据存储场景、数据传输场景、数据处理场景、数据使用场景、数据销毁场景的分析，梳理资产、数据、用户、权限等要求，指导各个能力维度的建设。实现以场景化方式指导安全技术、管理、运营能力进行落地。

4.2数据风险评估

数据安全风险评估从业务场景识别结果着手，以敏感数据为中心、以数据生命周期为主线、以敏感数据场景为着力点，

转载请注明：http://www.abuoumao.com/hykz/4204.html