数据安全能力体系建设方法论

这是一篇关于数据安全能力体系的思维导图，主要内容包括：数据安全运营，数据安全技术措施，数据安全管理措施，数据安全能力框架。

数据安全能力体系

• 数据安全能力框架
  • 数据安全能力框架提供了通用术语和系统方法，使IT部门、人力部门、运营部门和合作伙伴等不同利益相关者能够沟通数据安全需求，确保管理数据的人员、流程和技术与组织的业务目标一致，进而协同行动。 数据安全能力框架以结构化的形式指导组织的数据安全能力建设，使数据安全能力建设可跟踪、可衡量、可持续改进。根据框架内容，组织能够清晰地了解自身的数据安全风险，根据评估的差距确定改进活动的优先级，并做出合理的投入决策。 每个组织可以根据自身的需要调整框架。框架并没有告诉一个组织可以承受多少数据安全风险，也没有提供一个万能的公式。本书中的各种模型和框架并不会相互代替，而会相互补充。不同的框架在不同的场景下各有优势，我们在实际工作中可以多借鉴参考。
  • DSG框架
    • Data Security Governance，数据安全治理框架。自上而下从需求调研开始实施数据安全治理，如图下图所示。该框架认为，跨过数据安全梳理、治理优先级分析、整体治理策略制定，直接从技术工具开始对数据安全进行治理是不合理的，正确的方式是从组织的高层业务风险分析出发，对组织业务中的各个数据集进行识别、分类和管理，并针对数据在多个场景中的机密性、完整性、可用性创建安全策略。
    • DSG框架中，数据安全治理的实现过程分成5个阶段。
    • （1）平衡业务需求和风险
      • 在这一阶段，需要从组织的企业战略、数据安全治理、合规要求、IT策略及风险承受能力5个关键方面分析安全需求。这有助于在安全防护体系建设目标上达成一致，避免出现业务和安全冲突、安全建设过度或者安全能力不合规的情况。
    • （2）数据梳理和生命周期管理
      • 在这一阶段，需要梳理出数据安全防护体系所保护的对象。组织内部的数据并不一定都具有保护的价值，特别是在数据规模增长迅速的数字经济时代。组织的安全资源有限，不可能针对所有数据实施同样的安全措施，因此，需要盘点组织内部的数据资产并根据行业规范进行分类分级。
    • （3）定义数据安全策略
      • 在这一阶段，需要以前两个阶段的输出成果作为基础。定义安全策略需要依据数据的敏感级别和面临的风险，并考虑是否与组织发展战略冲突，是否满足合规要求，是否与IT策略一致。安全策略不可能完全消除风险，只要剩余的风险在容忍范围之内，安全策略就是合理的。
    • （4）部署数据安全能力
      • 根据数据安全策略部署数据安全能力。在这一阶段，组织需要根据自身数据资源的类型、存储位置、应用场景选择安全能力，来实现定义的安全策略。DSG框架中提到了加密、DCAP（以数据为中心的审计防护）、DLP（数据防泄露）、CASB（云访问安全代理）和IAM（身份识别与访问管理）5种安全能力。
    • （5）安全产品策略编排
      • 这一阶段的原文是Orchestration，有人将它翻译成“同步”，但事实上编排不仅有同步的意思，还有协同配合的意味，将它理解成编排可能更接近Gartner的本意。
    • 组织内部数据的存在方式可能是关系数据库、大数据、文件和云4种中的一种或者多种，针对这些数据需要部署不同的安全能力。安全产品策略协同要求所有安全产品的策略一致，不因设备或者数据形态的不同而有所区别。同时，数据安全产品之间能够相互协作，形成一体化的安全体系。
  • DGPC框架
    • DGPC（Data Governance for Privacy， Confidentiality and Compliance，隐私、保密和合规的数据治理）框架于2010年由微软提出，该框架以隐私、保密和合规为目标，围绕人员、流程和技术3个核心能力领域进行构建。
    • （1）人员
      • 建立一个DGPC团队，明确成员的角色和职责，并为他们提供履行职责所需的足够资源以及对总体数据治理目标的明确指导。团队成员共同负责制定数据分类、保护、使用和管理等关键方面的原则、政策和程序。
    • （2）流程
      • 建立符合DGPC的流程。首先，检查各种必须满足的法规、标准以及组织政策和战略文件；然后，定义指导原则和政策；最后，识别特定数据流背景下的数据安全、隐私和合规性威胁，分析相关风险，并确定适当的控制目标和控制活动。
    • （3）技术
      • 微软设计了一种方法来分析特定数据流的残留风险。这种方法要求填写一份名为“风险/差距分析矩阵”的表格，该表格围绕3个要素构建：信息生命周期、4个技术领域以及组织的数据隐私和保密原则。
        • 原则1：在整个敏感数据生命周期内遵守政策。这包括承诺根据适用的法律法规处理所有数据、保护隐私、尊重客户的选择，并允许个人在必要时查看和更正其信息。
        • 原则2：最大限度地降低未经授权访问或滥用敏感数据的风险。信息管理系统应提供合理的管理、技术和物理保障措施，以确保数据的机密性、完整性和可用性。
        • 原则3：尽量减少敏感数据丢失的影响。信息保护系统应提供合理的保护措施，如加密，以确保丢失或被盗数据的机密性。应制订适当的数据泄露响应计划，规划升级路径，所有可能参与泄露响应的员工都应接受培训。
        • 原则4：记录适用的控制措施并证明其有效性。为了落实责任，应采取适当的监控、审计和控制措施来验证组织对数据隐私和保密原则的遵守情况。此外，组织应该有报告违规行为的流程和明确的升级路径。
    • DGPC框架提供了一种以隐私、保密和合规为目标的数据安全治理框架，以数据生命周期和核心技术领域为重要关注点，但主要是从方法论层面明确数据安全治理的目标，缺少对在数据生命周期的各环节落实数据安全治理措施的详细说明。
  • DSMM
    • Data Security capability Maturity Model，数据安全能力成熟度模型是我国于2020年3月1日实施的一项国家标准——《信息安全技术—数据安全能力成熟度模型》（GB/T 37988—2019）。该标准指出，数据安全的管理需要基于以数据为中心的管理思路，从组织机构业务范围内的数据生命周期的角度出发，结合组织机构的各类数据业务发展后所体现出来的安全需求，开展数据安全保障。
    • DSMM借鉴能力成熟度模型（CMM）的思想，以CMM的通用实践来衡量能力成熟度等级，以《信息安全技术 大数据服务安全能力要求》中的安全要求为基础，指导组织机构如何持续达到所对应的安全要求。
    • DSMM的架构由以下三方面构成
      • 数据生命周期安全：围绕数据生命周期，提炼出大数据环境下，以数据为中心，针对数据生命周期各阶段建立的相关数据安全过程域体系。
      • 安全能力维度：明确组织机构在各数据安全领域所需具备的能力维度，明确为组织建设、制度流程、技术工具和人员能力4个关键能力。
      • 能力成熟度等级：基于统一的分级标准，细化组织机构在各数据安全过程域的5个级别的能力成熟度分级要求。
    • 组织机构的DSMM具有5个成熟度等级，各成熟度等级的定义如下：
      • ● 1级（非正式执行）：具备随机、无序、被动的安全过程。
      • ● 2级（计划跟踪）：具备主动、非体系化的安全过程。
      • ● 3级（充分定义）：具备正式的、规范的安全过程。
      • ● 4级（量化控制）：安全过程可量化。
      • ● 5级（持续优化）：安全过程可持续优化。
  • DCDS框架
    • DCDS（Dynamic and Cubic Data Security，动态立体化数据安全）框架是指保障组织的数据资产安全所需的一系列理念、行动和技术。其目标是建立一个适应当下复杂场景的可行数据安全治理框架，使组织能够在应对数据要素开放流动的同时贯彻信息安全动态防护的理念，从而有效识别、管理和减轻其数据安全风险。
    • DCDS框架是借鉴多种数据安全治理框架的成熟经验，依照国家相关法律法规，针对目前数据安全现状和面临的问题逐步演化而成的。该框架以数据为核心，聚焦数据安全生命周期，形成“顶层设计、健全管理、创新技术、协同运营、夯实基础”的数据安全整体架构，其中包含数据安全治理战略、组织建设、制度建设、数据梳理和分类分级、数据安全评估、数据安全策略和架构、数据安全技术能力、运维运营等部分
    • 有一些业务场景和用例更能体现DCDS框架的特点。例如，数据处理规模显著，且数据分布复杂、流动性较高的组织。或者说，任何拥有庞大数据量且高度信息化的组织都可以从DCDS框架中受益。
    • DCDS框架建设步骤
      • 第一步，要建立管理体系保障，也就是成立负责数据安全的团队，并制定开展数据安全建设的指导方针。
      • 第二步，进行数据安全评估，包括数据资产梳理、数据风险评估和数据安全能力成熟度评估。这一环节的目的是掌握数据资产的安全现状和差距。
      • 第三步，进行安全策略规划。根据数据资产的安全现状和差距规划对应的安全策略，以降低数据安全风险，满足企业的合规要求。
      • 第四步，进行数据安全防护。根据规划的安全策略选择合适的安全技术进行落地。
      • 第五步，进行数据安全运营，对包括人员、制度、流程和技术措施在内的整个安全体系进行持续的管理和完善。
• 数据安全管理措施
  • 数据安全组织机构
    • 数据安全组织机构是指企业或组织为了保障数据安全而设立的专门负责数据安全管理的部门或团队。该部门或团队负责制定和执行数据安全策略、规范和标准，以及监督和管理数据安全工作，以确保数据的安全性和合规性。
    • 数据安全组织机构的设计过程可以用5个关键点来说明
    • 数据安全组织机构的典型构成
  • 数据安全管理制度
    • 一般而言，数据安全管理制度体系通常可以包括以下4级
    • 管理制度和组织架构的关系
      • 首先，组织架构是数据安全管理制度得以落地和执行的重要基础。数据安全管理工作需要依靠各个岗位的人员来具体执行，而组织架构的合理性和有效性将直接影响到数据安全管理制度的执行效果。
      • 其次，数据安全管理制度是组织架构得以高效运转的重要保障。数据安全管理制度规定了各个岗位的职责和权限，明确了工作流程和协作机制，使组织架构能够更加高效地运转。同时，数据安全管理制度还可以对组织架构进行调整和优化，使其更加符合组织发展的需要。
• 数据安全技术措施
  • 数据采集阶段安全技术措施
  • 数据传输阶段安全技术措施
  • 数据存储阶段安全技术措施
  • 数据处理阶段安全技术措施
  • 数据交换阶段安全技术措施
  • 数据销毁阶段安全技术措施
  • 数据合规措施
• 数据安全运营
  • 数据安全运营的内容
    • 数据安全运营的工作内容可以分为三个部分，包括准备、规划和预防，监测、检测和响应，以及恢复、改进和合规，分别对应事前、事中和事后三个阶段。
  • 数据安全运营指标
    • 运营指标的选择通常需要符合SMART原则，也就是简单（Simple）、可衡量（Measurable）、可操作（Actionable）、相关（Relevant）和基于时间的（Time-based）
    • 数据安全运营指标根据其代表的含义，通常分为三大类，分别是安全检测类、安全防护类、安全响应类。
      • 安全检测类指标
      • 安全防护类指标
      • 安全响应类指标
  • 数据资产分类分级
  • 数据安全风险评估
    • 数据生命周期风险评估
    • 数据安全合规评估
    • 个人信息影响评估