2019年8月30日，《信息安全技术 数据安全能力成熟度模型》（GB/T 37988-2019）简称DSMM（Data Security Maturity Model）正式成为国标对外发布，并已于2020年3月起正式实施。

DSMM将数据按照其生命周期分阶段采用不同的能力评估等级，分为数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全六个阶段。DSMM从组织建设、制度流程、技术工具、人员能力四个安全能力维度的建设进行综合考量。DSMM将数据安全成熟度划分成了1-5个等级，依次为非正式执行级、计划跟踪级、充分定义级、量化控制级、持续优化级，形成一个三维立体模型，全方面对数据安全进行能力建设。

在此基础上，DSMM将上述6个生命周期进一步细分，划分出30个过程域。这30个过程域分别分布在数据生命周期的6个阶段，部分过程域贯穿于整个数据生命周期。

随着《中华人民共和国数据安全法(草案)》的公布，后续DSMM很可能会成为该法案的具体落地标准和衡量指标，对于中国企业而言，以DSMM为数据安全治理思路方案选型，可以更好的实现数据安全治理的制度合规。

"本系列文将以DSMM数据安全治理思路为依托，针对上述各过程域，基于充分定义级视角（3级），提供数据安全建设实践建议，本文作为本系列第二十八篇文章，本文将介绍通用安全过程域的鉴别与访问控制过程域（PA28）。"

01、定义

鉴别与访问控制，DSMM官方描述定义为通过基于组织的数据安全需求和合规性要求建立身份鉴别和数据访问控制机制，防止对数据的未授权访问风险。

DSMM标准在充分定义级对鉴别与访问控制要求如下：

组织建设

组织应设立统一的岗位和人员，负责制定组织内用户身份鉴别、访问控制和权限管理的策略，提供相关技术能力或进行统一管理。

制度流程

1) 应明确组织的身份鉴别、访问控制与权限管理要求，明确对身份标识与鉴别、访问控制及权限的分配、变更、撤销等权限管理的要求；

2) 应按最少够用、职权分离等原则，授予不同账户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系；

3) 应明确数据权限授权审批流程，对数据权限申请和变更进行审核；

4) 应定期审核数据访问权限，及时删除或停用多余的、过期的账户和角色，避免共享账户和角色权限冲突的存在；

5) 应对外包人员和实习生的数据访问权限进行严格控制。

技术工具

1) 应建立组织统一的身份鉴别管理系统，支持组织主要应用接入，实现对人员访问数据资源的统一身份鉴别；

2) 应建立组织统一的权限管理系统，支持组织主要应用接入，对人员访问数据资源进行访问控制和权限管理；

3) 应采用技术手段实现身份鉴别和权限管理的联动控制；

4) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别,且其中一种鉴别技术至少应使用密码技术来实现；

5) 访问控制的粒度应达到主体为用户级，客体为系统、文件、数据库表级或字段。

人员能力：负责该项工作的人员应熟悉相关的数据访问控制的技术知识,并能够根据组织数据安全管理制度对数据权限进行审批管理。

02

实践指南

组织建设

组织机构应该在条件允许的情况下设立鉴别与访问控制部门并招募相关的管理人员和技术人员，负责为公司提供必要的技术能力支持或统一管理，负责为组织机构制定整体的针对用户身份鉴别、访问控制和权限管理的策略，负责对组织机构内部的身份鉴别场景、访问控制场景、权限管理场景进行风险评估，负责为技术人员建立数据权限授权审批流程，负责为技术人员建立规范统一的身份鉴别管理系统、访问控制管理系统、权限管理系统，确保任何人的身份鉴别、访问控制、权限管理的操作都可以追踪溯源。除此之外，鉴别与访问控制部门还需要为技术人员进行专门的安全意识培训，并推动以上相关要求在组织机构中确实可靠的落地执行。

人员能力

针对鉴别与访问控制部门的管理人员来说，必须具备良好的数据安全风险意识，熟悉国家网络安全法律法规以及组织机构所属行业的政策和监管要求，在进行身份鉴别、访问控制、权限管理以及制定相应的管理策略的时候，严格按照《网络安全法》、《数据安全法》、《个人信息保护法》等国家相关法律法规和行业规范执行，同时还需要相关的管理人员具备一定的鉴别与访问控制管理经验，拥有良好的鉴别与访问控制管理专业知识基础且通过了岗位能力测试，熟悉主流的身份鉴别、访问控制、权限管理制度、管理流程、管理要求和技术工具，能够根据不同的管理要求和鉴别与访问控制场景进行相应的风险评估，能够根据鉴别与访问控制管理和审核的整体需求明确应使用的鉴别与访问控制管理工具。除此之外，还需要管理人员能够主动根据行业及政策变化更新相关的知识和技能，具备能够结合业界标准、合规准则、业务场景制定标准化鉴别与访问控制管理制度的能力。

针对鉴别与访问控制管理部门的技术人员来说，同样也必须具备良好的鉴别与访问控制管理安全风险意识，熟悉相关的法律法规以及政策要求，熟悉主流厂商的身份鉴别、访问控制、权限管理案例，熟悉主流的鉴别与访问控制管理工具及其使用方法，熟悉相关的数据访问控制的技术知识，拥有至少一年以上的鉴别与访问控制执行经验，充分理解并执行由管理人员制定的鉴别与访问控制管理策略，能够根据组织数据安全管理制度对数据权限进行审批管理，充分理解鉴别与访问控制场景下的业务需求，具备能够主动根据政策变化和技术发展更新自身相关知识和技能的能力，具备能够对突发的鉴别与访问控制事件进行应急处理的能力。

落地执行性确认

针对鉴别与访问控制管理岗位人员能力的实际落地执行性确认，可通过内部审计、外部审计等形式以调研访谈、问卷调查、流程观察、文件调阅、技术检测等多种方式实现。

制度流程

1、鉴别与访问控制管理目的

通过基于组织的数据安全需求和合规性要求建立身份鉴别和数据访问控制机制，防止对数据的未授权访问风险。

2、鉴别与访问控制管理规范

组织应建立鉴别与访问控制部门，并制定鉴别与访问控制管理规范，对组织范围内所有的操作系统、数据库系统、应用系统、开发测试系统及网络系统所提供的服务的访问进行合理控制，确保信数据被合法使用。

①身份鉴别

系统中的所有用户终端、操作系统、应用程序的远程登录和本地登录，均应设置身份鉴别措施。常用的身份鉴别技术包括基于口令的鉴别方式、基于智能卡的鉴别方式、基于生物特征鉴别方式、一次性口令鉴别方式等。

②权限管理

组织机构应明确数据权限授权审批流程，针对数据权限申请和变更进行审核，避免数据使用权限失控，并防止组织内部合法人员利用违规或违法取得的权限进行不正当的操作。关于数据授权审批流程及注意点如下：

用户首先要明确需要访问的信息资源后，并向鉴别与访问控制部门提交《信息资源访问申请表》，需要填写的内容包括申请人、所在部门、岗位、申请日期、访问有效期、申请内容、申请理由等。

鉴别与访问控制部门收到《信息资源访问申请表》之后，组织相关人员开展信息资源访问评审会议，对所申请的信息资源访问范围及内容进行风险评估。对于评审通过的信息资源访问申请，鉴别与访问控制部门审查无误后，方可对使用的信息资源的范围和内容进行授权。同时，鉴别与访问控制部门有权对不规范的授权事宜提出否决意见、对授权范围和内容的变更或终止提出意见。

鉴别与访问控制部门应配置成熟的数据权限管理平台，限定用户可访问的数据范围。在信息资源授权过程中，应采取最少够用、职权分离等原则，授予不同账户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系。同时，鉴别与访问控制部门需确定授权的有效期，期满后重新授权。

鉴别与访问控制部门完成用户权限的设置后，必须将件数后各类授权书存档备案管理。

③访问控制

鉴别与访问控制部门应制定数据和操作系统的访问规则，用户必须按规则访问操作系统。

对于需要要进行访问控制的操作系统、数据库系统、应用系统、开发测试系统及网络系统，要对系统设置，保证在进入系统前必须执行登录操作，并且记录登录成功与失败的日志。对于生产网和办公网要实现物理隔离，核心设备要设置特别的物理访问控制，并建立访问日志。

④安全审计

鉴别与访问控制部门必须对数据和系统的访问权限做定期检查，及时删除或停用多余的、过期的账户角色，避免共享账户和角色权限冲突的存在，防止权限被滥用，同时将检查的情况记录在案。

鉴别与访问控制部门还需配置成熟的信息资源使用日志记录或审计产品，对信息资源的访问和使用进行严格、详细地记录。同时，监视信息资源的访问和使用情况，发现可疑授权、可疑使用情况时，及时通报修正。

技术工具简述

在组织内的信息系统中，身份鉴别与访问控制是保证信息系统数据安全的最有效的技术措施。身份鉴别和访问控制是分不开的，是彼此配合工作的。当用户访问信息系统或者数据时，首先经过身份鉴别技术的认证鉴别，认证通过后访问控制系统就会根据鉴别出的用户身份判断该身份是否有访问所需资源和数据的权限，如果该身份具备访问权限，则访问控制系统就会放行用户的访问。反之，访问控制系统则会阻断用户的访问。通过身份鉴别和访问控制技术可以防止对数据的未授权访问风险。

技术工具方法和原理

1、身份标识与鉴别技术

身份标识就是能够证明用户身份的用户独有的标志特征。这个标志特征要求必须具备唯一性，如现实生活中的身份证、户口本、护照、工作证、实名认证的手机号等。在信息系统中，用户的身份标识可以是账号密码、动态校验码、机器码、ip地址、token等。身份标识是进行身份鉴别的依据和凭证。

基于静态身份特征标识的鉴别技术：静态的身份特征标识指的是在一定时间内会一直有效的特征标识，最具代表性的是账号口令。除了口令之外，机器码、MAC地址等也属于静态的身份标识。相应的鉴别技术也较为简单，只需要从事先构建好的身份标识库中取出对应的标识进行比对即可。鉴别逻辑简单，但安全性较低。

基于动态身份特征标识的鉴别技术：动态特征通常是基于信任物体的，如短信验证码、邮箱验证码、手机令牌以及手机扫码等，相应的信任物体通常就是手机号码、邮箱账号、手机等。信任的逻辑就是手机号、邮箱、手机均为本人使用。鉴别时动态鉴别系统会向相应身份绑定的信任物体发送一次性的动态标识，用户只有持有信任物体并可以正常访问才能读取该动态标识，用户输入动态标识后系统会进行比对。动态鉴别一般与静态鉴别搭配使用，也是常见的多因素认证的鉴别模式。

基于生物识别的身份特征标识的鉴别技术：生物特征一般指的是人身上的生物特征，如DNA、面容、指纹、虹膜、声音等，这些都可以唯一指定某一个具体的人。生物特征鉴别技术也是为身份绑定上其对应的生物标识，如指纹录入、面容录入等，录入后根据特征生成一个复杂的、不可伪造破解的特征值，鉴别时进行比对。生物鉴别一般也是与静态鉴别搭配使用，如刷脸登录等。

2、访问控制技术

访问控制过程是在身份鉴别通过之后进行的。访问控制就是在身份鉴别通过之后对不同的身份在受限的资源中分配不同的访问权限。通过限制对关键资源的访问，防止非法用户的侵入或因为合法用户的不慎操作而造成的破坏，从而保证网络资源受控地、合法地使用，是针对越权使用资源的防御措施。在一套完整的访问控制系统中包含主体、客体、访问控制策略三大部分。

主体：主体就是发起访问请求的对象，这个对象可以是一个用户，也可以是一个信息系统。

客体：客体就是被主体访问的对象，主体在未得到授权之前，无法对客体进行访问。

访问控制策略：访问控制策略控制主体对客体的访问权限，规定主体能访问那些客体，客体能被那些主体访问，是一系列规定的合集。访问控制策略遵循的最基本原则是最小权限原则，即在主体访问客体时，按照主体所需要的最小化访问来分配权限。访问控制策略一般有：基于身份的安全策略、基于规则的安全策略和综合访问控制策略。

访问控制可以分为两个层面，一个是物理访问控制，另外一个是逻辑访问控制。主要的访问控制类型有3种模式：自主访问控制（DAC）、强制访问控制（MAC）和基于角色访问控制（RBAC）。

技术工具工作流程和目标

鉴别与访问控制技术工具应能实现如下的目标：

身份鉴别管理：支持组织主要应用接入，实现对人员访问数据资源的统一身份鉴别。

访问权限管理：支持组织主要应用接入，对人员访问数据资源进行访问控制和权限管理。

鉴别与访问控制统一：应采用技术手段实现身份鉴别和权限管理的联动控制。

多因素身份鉴别：应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别,且其中一种鉴别技术至少应使用密码技术来实现。

细粒度控制：访问控制的粒度应达到主体为用户级，客体为系统、文件、数据库表级或字段。

下图为鉴别与访问控制的技术工具进行作业的基本流程图