云大物移飛速發展，為業務數字化轉型帶來新機遇，數據成為業務發展的重要資源要素，成為新時期的“石油”，但新技術、新需求、新場景也給組織數據安全帶來新的壓力與挑戰，被泄漏、被竊取、被濫用風險與日俱增。
國家對數據安全問題已經高度重視、大力部署，《網絡安全法》、《數據安全法》、《個人信息保護法》共同組成了國內數據保護領域的“三駕馬車”。越來越多的政府部門、企事業單位、金融機構等各行各業，對數據安全合規的需求日益增多，紛紛開始數據安全治理體系的建設和探索。
那么，數據安全治理到底該怎么做？近日，美創安全實驗室負責人劉雋良線上進行《實踐視角下的數據安全治理經驗分享》。
一、數據安全的現實痛點
1.數據資產量級不清
不了解數據資產是否與實際資產相符，不知敏感數據在哪里、被誰訪問；
2.數據資產安全狀況未知
組織有意識提升數據安全防護能力，但不知具體風險有哪些、在哪里；
3.數據安全建設無頭緒
缺少切實有效的數據安全管理制度流程為抓手，數據安全難落實稽核；
4.數據安全建設成果無感知
采購了一批安全產品，但是否有效無評價機制，對新產生的風險無法感知。
過去甚至現在，絕大多單位組織普遍重視網絡側防御，或數據安全建設中沿用自下而上的“堆產品”思維，煙囪式建設，導致數據安全普遍存在上述管理制度體系不健全、數據資產權責不清晰等問題挑戰，且這些問題隨著新業務開展、數據大范圍流動共享、強監管態勢不斷放大。
數據安全建設亟需與時俱進，體系化開展。數據安全治理則提出了一整套可行的解決途徑。數據安全治理目的是保障數據在安全可控的情況下使用并發揮價值，強調以數據為中心、安全與業務發展兼顧、從業務層到安全層，從管理層到技術層，自上而下全方位與體系融合，最終實現數據安全保障能力持續提升。
二、數據安全治理框架與思路
基于十余年數據安全領域研究，美創科技充分汲取Gartner數據安全治理框架（DSG）、Microsoft數據安全治理框架（DGPC）、DSMM數據安全能力成熟度模型、以及零信任2.0數據安全架構，形成一整套可落地實踐的數據安全治理服務解決方案，并在實踐中不斷優化，讓數據安全治理這項復雜而系統的工程，在不同行業、不同場景中有效落地。
圖 1美創數據安全治理服務解決方案
1．數據安全治理建設思路
●以數據為中心：綜合考慮數據屬性、存儲分布、流轉、使用等狀況，掌握厘清數據與業務的關系。
●以組織為單位：提升整個組織的數據安全安全能力，使數據安全管理更加合理規范、完善可持續。
●以合規為驅動：充分了解合規及行業監管要求，滿足合規性要求的同時，兼顧業務實際發展狀況。
●以能力成熟度模型為抓手：基于數據生命周期定義數據安全過程域和基本實踐，滿足能力成熟度等級安全要求。
2.數據安全治理建設目標
數據安全治理實現分為4個階段，通過厘清數據資產、風險摸清安全現狀，通過規劃數據安全架構和建設路徑，補齊短板實現短期數據安全規劃目標，進行常態化數據安全監管以及持續有效的支撐和防范夯實基礎，逐步實現數據安全全域可管、風險全局可視，以及數據安全可信的目標，最終達成“讓數據更安全，更有價值”。
圖 2美創數據安全治理建設目標
三、數據安全治理實踐路徑
圖 3美創數據安全治理實踐路徑
1.現狀調研
采用資料收集、問卷調研、現場訪談、系統演示和工具探查的方式，全面了解數據安全管理現狀（如：組織架構、數據安全相關的政策、制度和規范、業務特征、網絡拓撲、數據存儲情況等），明確主要痛點問題，提煉出數據安全建設的總體目標、主要方向和具體工作思路。
圖 4現狀調研方式
2.數據資產梳理
●數據資產盤點：通過專業團隊+自動化工具方式梳理數據資產情況，形成數據資產清單。
●數據權限現狀：對不同用戶權限現狀進行全面梳理，從用戶維度和對象維度進行權限描述。
●數據流向梳理：盤點數據從采集、傳輸、共享交換到銷毀的流向，形成數據流向圖。
●數據分類分級：結合國家、行業及自身特點，以數據最穩定的特征和屬性為依據，完成數據分類和分級。
圖 5美創數據分類分級流程
3.數據安全風險評估
●基礎風險評估：通過安全基線檢查、漏洞掃描、滲透測試等方式，發現數據處理環境中存在的安全漏洞。
●數據安全能力差距評估：依據數據安全能力成熟度模型，分析和評估當前組織安全能力現狀，明晰組織數據生命周期各階段的能力現狀與目標的差距。
●數據安全合規評估：全面解讀和分析《數據安全法》、《個人信息保護法》以及地方辦法條例內容，通過聯合對標分析，評估合規風險。
●數據全生命周期風險評估：參考信息安全風險分析方法，從資產和風險兩大視角出發，基于數據分級結果，建立組織風險評估模型，識別組織面臨的數據安全風險。
圖 6數據全生命周期風險評估
4.數據安全建設規劃
●數據權限設計：基于用戶/角色和權限現狀，在合規目標的指導下，結合數據分類分級結果，定制符合組織實際業務場景的數據安全權限。
圖 7美創數據安全建設規劃流程
●組織架構設計：定義決策層、管理層、監督層、執行層的安全職責及動態協同機制。
●管理制度體系規劃：制定數據安全管理辦法、應急管理等標準規范健全制度體系，明確各個階段的管理要求和規章制度，健全組織數據安全制度規范體系。
●技術體系建設規劃：從安全防護和可用性兩大視角出發，針對具體場景進行數據安全防護建設，包括事前防護、事中阻斷、事后追溯的全鏈路安全技術體系。其中，數據安全技術建設規劃可分階段進行，包括數據內控合規、數據全域管控、風險全局可視、數據安全可信：
圖 8美創數據安全技術解決方案
1. 數據內控合規階段：通過敏感數據發現、數據動/靜態脫敏、數據庫日志審計、權限管控和數據資產保護、身份鑒別（人、終端、應用）、高危操作防護、訪問控制、特權管理等，加強內部安全管控；
2. 數據全域管控階段：更加側重組織數據安全全面可管理，基于已有的網絡安全和內控安全保障，防御外部和數據流動風險，主要包括入侵防護、漏洞防御、訪問控制、誤操作恢復、數據加密、計算環境安全、溯源管理、數據加密等，通過數據安全管理平臺整體實現數據全域管理；
3. 風險全局可視階段：以日志信息、風險操作、告警、數據庫運行狀態等大數據為基礎，從全局視角提升對數據安全威脅的發現識別、理解、分析和響應能力的防護方式；
4. 數據安全可信階段：通過制度、人員、工具、流程等逐步達到數據全域可管和風險全局可視的中長期目標，最終以建立可信的數據源、可信的數據傳輸環境和存儲環境，達到數據安全可信階段，釋放數據價值。
數據安全無小事，為數據使用創造一個安全好用的環境，讓數據使用者放心大膽的專心致力于數據價值的挖掘，在數據安全治理和建設實踐中，美創積累總結了豐富的經驗，并能夠提供全面完整的咨詢和建設服務，為組織數據安全治理提供可靠落腳點。
浙公網安備 33010502006954號 
