提交需求
*
*

*
*
*
立即提交
点击”立即提交”，表明我理解并同意 《美创科技隐私条款》
免费试用
400-811-3777

logo

    产品与服务
    解决方案
    技术支持
    合作发展
    关于美创
    申请试用
      热门阅读
      1

      全球数据跨境流动合作倡议

      2024-11-22

       2

      世界互联网大会|美创数据库保险箱（DBSafe）发布！

      2024-11-21

       3

      世界互联网大会｜美创数据认知与分类分级系统（AICogniSort）重磅发布！

      2024-11-21

       4

      美创案例｜盐城公积金管理中心数据安全创新实践

      2024-11-15

       5

      5=1！美创科技在中国数据安全软件市场主要厂商份额位列第五

      2024-11-01
      相关文章

      全球数据跨境流动合作倡议

      2024-11-22

      解读|促进和规范数据跨境流动的重要规定

      2024-11-21

      海南自由贸易港数据跨境规则创新路径探究

      2024-11-21

      构建高效安全的数据跨境流通机制​

      2024-11-20

      数据安全治理：数据分类与分级指南

      2024-11-18
      数据安全治理体系框架和实践路线
      发布时间：2024-07-29 阅读次数： 728 次



      不法盛金融投资

            致力于分享金融与不良资产、投融资并购、公司纠纷、资管基金、资本市场、房地产与建设工程、税务筹划及疑难案例等干货。


      作者：数据学堂

      01 数据安全治理背景

      随着各行各业信息化不断演变发展，数据已成为基础设施，成为业务发展重要原动力，内部业务与互联网深度融合，利用新媒体，让数据产生更大价值，是近近几年发展的主要趋势。如何提升数据资产价值同时让数据使用更安全，已成为各个行业探讨的方向。

      近几年网络安全事件频发，具有商业特性的攻击事件越来越多，地下黑产对个人信息需求异常旺盛。2017-2018年度551起数据泄露事件中，出自各行各业，数据高质量、易获取，已成为不法份子获取利益的最佳途径。

      随着横向网络安全法、等保2.0的合规性要求及纵向垂直行业安全要求的需要，对数据存储、使用、运营提出了明确要求，如何更好的对数据进行有效防护，保障数据全生命周期的安全性，如何以事前发现、事中阻止、事后审计、持续加固的方式，提供更好的服务是每个从事安全的行业人员应该深度思考的问题。

      02 数据安全治理概念

      根据《数据安全治理白皮书3.0》，数据安全治理是以“让数据使用更安全”为目的，在中国易于落地的数据安全建设的体系化方法论，核心内容包括：
      （1）满足数据安全保护（Protection ）、合规性（Compliance）、敏感数据管理（Sensitive） 三个需求目标；
      （2）核心理念包括：分类分级(Classfiying)、角色授权(Privilege)、场景化安全 (Scene)；
      （3）数据安全治理的建设步骤包括：组织构建、资产梳理、策略制定、过程控制、行为稽核和持续改善；
      （4）核心实现框架为数据安全人员组织(Person)、数据安全使用的策略和流程 (Policy&Process)、数据安全技术支撑(Technology)三大部分。

      数据安全治理的核心理念：


      •分类分级

      数据资产保护的核心在于数据分类分级。


      通过对数据的有效理解和分析，对数据进行不同类别和密级的划分；根据数据的类别和密级制定不同的管理和使用原则，尽可能对数据做到有差别和针对性的防护，实现在适当安 全保护下的数据自由流动。


      参考：12张图解析数据安全分类分级


      •角色授权

      数据安全访问控制核心在于数据访问主体的角色授权。


      在数据分级和分类后，明确了数据的访问角色以及数据的使用方式，在不影响数据资源正常访问的前提下，针对不同的角色赋予不同的访问权限，实现数据的访问和使用安全。


      •场景化安全

      数据安全治理的核心在于场景化安全。


      不同用户基于业务、访问途径、使用需求，会产生不同的使用场景。在保证数据被正常 使用的目标下，基于不同的使用场景制定相应的数据安全策略。场景化的数据安全治理，能及时发现数据风险暴露面，使数据安全治理更具针对性，从而实现数据使用更安全。


      03 数据安全治理目标

      数据安全治理长期目标思短期目标需要从治理体系、安全合规、技术支撑三要素进行考虑建设。

      治理体系：数据安全体系化建设，使数据安全管理更加合理规范，良好的可视性运维机制和动态协同能力。

      安全合规：充分了解合规及行业要求，建设满足合规性要求同时，需要考虑灵活性、可扩展性及各阶段衔接性。

      技术支持：提升事前发现、事中防护、事后审计能力。


      04 数据安全治理体系框架

      数据安全是数据安全治理的目标对象，参考框架是数据安全治理的参照对象。组织可以通过持续构建参照对象，实现对目标对象的有效管理。

      依据团体标准T/ISC-0011-2021《数据安全治理能力评估方法》，数据案例参考框架包括数据安全战略、数据全生命周期安全、基础安全3部分主要内容，如下图所示。


      •数据安全战略

      在组织启动数据安全治理工作前，必须制定相应的战略规划，明确治理目标和具体任务，匹配对应的资源，使得治理工作能够有条不紊地展开。数据安全战略可以从数据安全规划、机构人员管理两个能力项入手，前者确立目标任务，后者组建治理团队。


      •数据全生命周期安全
      数据安全治理应围绕数据全生命周期展开，以采集、传输、存储、使用、共享、销毁各个环节为切入点，设置相应的管控点和管理流程，以便于在不同的业务场景中进行组合复用。

      数据全生命周期安全包括数据采集安全、数据传输安全、存储安全、数据备份与恢复、使用安全、数据处理环境安全、数据内部共享安全、数据外部共享安全、数据销毁安全在内的9个能力项，通过对数据全流转过程进行规范和约束以有效降低数据安全风险。

      •基础安全
      基础安全能力作为数据全生命周期安全能力建设的基本支撑，可以在多个生命周期环节内复用，是整个数据安全治理体系建设的通用要求，能够实现建设资源的有效整合。

      基础安全能力包括数据分类分级、合规管理、合作方管理、监控审计、鉴别与访问、风险和需求分析、安全事件应急等7个能力项，主要从数据安全的保障措施上进行定义和要求。

      对行业数据特性及数据管理现存问题，从数据视角出发，系统化、规范化、科学性的建立数据安全治理体系。完整的数据安全治理体系应包含5个方面：原则、上层建筑、资产梳理、管理体系、防护体系。
      原则是数据安全治理的基本思想与方针，包括：战略一致、风险可控、运营合规、绩效提升。

      上层建筑包括内外部策略、部门职责、动态协同等，起到安全治理过程中依据、指引等作用。

      资产梳理是以安全治理角度，充分摸清家底，有针对性、有计划性的进行治理实施，主要包括：管理梳理、技术梳理、场景梳理。

      管理体系具有可落地执行特性，包含组织体系、执行体系及运维体系。

      技术体系通过发现、运维、防护，实现各阶段进行快速响应。

      05 数据安全治理实践路线

      参考中国信通院发布发布的《数据安全治理实践指南（1.0）》，给出了数据安全治理的实践路线：
      (一) 第一步：治理规划
      (二) 第二步：治理建设
      (三) 第三步：治理运营
      (四) 第四步：治理成效评估

      第一步就是要进行治理规划，它是数据安全治理工作能够有条不紊的开展的前提，可以按照现状分析、方案规划、方案论证的环节顺序推进。

      明晰的组织体系是保障数据安全工作顺利开展的首要条件，可以参考上图所示内容进行建设。其中，决策层是统筹部门，可以采取“一把手负责制”，管理层是数据安全工作的管理团队，执行层是数据安全工作的具体执行者和参与者，监督层负责对管理层和执行层的工作进行监督，对违规行为予以纠正。


      制度流程作为数据安全防护要求、管理策略、操作规程等的集合，一般会从业务数据安全需求、数据安全风险控制需要、法律法规合规性要求等几个方面进行梳理。相关制度文件的制定可以参考上图所示的四个层级。


      技术工具作为落实各项安全管理要求的有效手段，是支撑数据安全治理体系建设的能力底座。可以参考上图中的技术框架，完善各项技术工具以及产品平台的功能项，确保数据安全技术能力的具体落实。


      数据安全治理离不开相应人员的具体执行，因此，加强对数据安全人才的培养是数据安全治理的应有之义。可以从数据安全意识提升、数据安全能力培训、数据安全能力考核三方面进行培养。


      数据安全治理的持续运营，能够打通各环节的建设内容，促进整个体系的良性发展。治理运营分为三个方面，一是风险防范，二是监控预警，三是应急处理。


      06 数据安全治理实施过程中注意事项

      合规性要求。行业合规性要求较多，会随着时间推移发生变动，合规性文件对数据安全治理过程中有着依据、指引等作用，如不能深入了解，会使数据安全治理建设过程反复。

      管理体系。完善可持续性的管理体系是保障安全治理的先决条件，规划好，落地难的管理体系如空中楼阁，使数据安全治理效果大大折扣。

      资产梳理。资产梳理对数据安全治理尤为重要，需要清除哪些数据要防护、数据如何流转、端到端对象都有谁、数据跑的有什么内容、现今数据载体有什么安全隐患等等问题，资产梳理不到位，难以进行后期的体系建设。

      缺乏过程持续性。数据安全治理是一个持续性过程，上到管理体系，下至技术工具，都需进行持续性完善，如治理过程缺乏持续性，则无法形成运维监控、定向审计、问题处置与体系加固等一套有效的运转机制。

      07 总结


      大数据、云计算、物联网、人工智能的到来，让各个行业发生巨大的改变，各行业对数据数据整合及利用，以互联网进为载体行服务模式转变同时，应充分考虑对数据的安全治理。通过对人、管理、防护产品多个方面进行数据安全治理意识、制度、技术的持续性完善，实现安全、业务与数据有效融合，达到数据安全治理的预期效果。
      参考：中国信通院CAICT  《《数据安全治理实践指南（1.0）》（附专家解读）》



      写留言

      写留言
      留言

      暂无留言

      上一条：数据治理之详解数据安全分类分级
      下一条：Gartner：应用和数据本地化战略对网络安全的三大影响
      返回
      关注或联系美创
      官方订阅号 官方订阅号
      官方服务号 官方服务号
      第59号 第59号
      服务热线：400-811-3777
      商务合作：marketing@mchz.com.cn
      友情链接 中央网信办 公安部 工信部 CNCERT 中国信通院 中国软件测评中心 国家工业信息安全发展研究中心 赛迪研究院
      Copyright © 2024 杭州美创科技股份有限公司 All rights reserved.
      浙公网安备 33010502006954号 浙ICP备12021012号-1 网站地图 网站声明及隐私保护政策
      免费试用
      服务热线

      马上咨询

      400-811-3777

      回到顶部