数据安全建设能力思维导图

这是一篇关于数据安全建设能力思维导图，主要包括：1.数据安全整体建设思路；2.数据安全治理咨询；3.数据安全建设；4.数据安全服务。

美创数据安全建设能力思维导图

• 1. 数据安全整体建设思路
  • 整体实践路径
    • 数据安全治理咨询
      • 基于业界成熟模型和方法论
      • 从数据安全生命周期视角来看差距和风险
      • 从技术和管理维度顶层设计
      • 1.现状调研 2.资产盘点 3.分类分级 4.风险评估 5.建设规划
    • 数据安全建设
      • 1. 数据安全
        • 通过相关产品和技术手段实现对数据的全方位保护，防止外部攻击和内部泄露
      • 2. 运行安全
        • 实现全业务容灾和数据资产实时状态监控，智能定位并解决问题，保障业务持续稳定运行
    • 数据安全服务
      • 1. 运维服务
        • 对系统的实时状态监控，自动巡检，故障处理等，帮助客户实现日常运维；
      • 2. 安全服务
        • 动态的管理组织风险，提高信息系统的安全性，完善信息安全体系，保障客户的业务连续性。
      • 3. 驻场服务
        • 解决故障响应及时性和减少沟通成本
• 2. 数据安全治理咨询
  • 1. 理论依据
    • 2020年3月 《数据安全能力成熟度模型DSMM》
    • 数据安全治理理念DSG
    • 数据安全治理框架DGPC
    • 数字风险管理CARTA模型
  • 2. 前期准备
    • 建立项目组织保障
    • 定制完整流程
  • 3. 现状调研
    • 访谈、文件审阅、会议等收集信息
  • 4. 数据资产梳理
    • 资产盘点
    • 数据分类分级
  • 5. 数据安全风险评估
    • 基础风险
    • 能力风险
    • 合规风险
    • 生命周期风险
  • 6. 数据安全建设规划
    • 权限设计
    • 管理建设
    • 技术建设
• 3. 数据安全建设
  • 数据安全
    • 1. 暗数据发现和分类分级
      • 通过规则和策略，把暗数据变为明数据，在匹配模型，成为分类有序的数据
      • 数据自动扫描
      • 自动识别数据含义
      • 数据分类分级
      • 多维结果展示
    • 2. 准入控制（防水坝）
      • 在数据库登陆过程中，通过一系列的技术手段，保障有效身份被合理放行，非法身份被阻拦在外
    • 3. 入侵防护（防火墙)
      • 防SQL注入
        • 对数据库协议进行进精准分析，将黑名单中的SQL或符合注入特征的进行拦截
      • 防漏洞攻击
        • 首先是防漏扫，其次是虚拟补丁
      • 访问控制
        • 只允许符合权限的人访问（基于准入和暗数据发现，控制到列)
    • 4. 动态脱敏
      • 业务脱敏
        • 在未授权的业务系统访问敏感数据时返回的数据经过脱敏处理（SQL改写）
      • 运维脱敏
        • 对未授权的用户访问敏感数据时，对返回的数据进行脱敏（建立审批流程）
    • 5. 静态脱敏
      • 把生产环境中的重要和敏感数据经过脱敏后放到测试库，或者数据上报、数据共享等
    • 6. 透明加密
      • 对数据库进行存储加密，对未经授权的访问返回密文
    • 7. 水印溯源
      • 对数据进行版权保护和泄密溯源（水印嵌入+水印溯源）
    • 8. 防勒索
      • 区别于杀毒软件，防止重要文件被加密勒索病毒，适用于哑终端、数据库服务器保护等
    • 9. 数据库审计
      • 对访问数据库流量进行全面审计和精准分析，识别风险和事后分析
    • 10. 数据安全集中管理平台
      • 是一个统一管控平台，对数据安全产品的集中管控、智能分析、全域联动、可视化展示
  • 运行安全
    • 1. 灾难切换
      • 准备工作：灾备建设---灾备业务配置---资源编排---资产监控
    • 2. 灾难演练
      • 确定资产状态---一键触发切换---容灾演练切换---一键触发回切--灾备演练回切---容灾演练结束
    • 3. 桌面演练
      • 定期模拟，资源不切换，不影响生产环境，用于验证备库及灾难恢复预案是否可用
    • 4. 读写分离
      • 对主库进行流量分担，将读请求分担到容灾库
    • 5. 误操作恢复
      • 通过容灾平台实现对误操作进行恢复
    • 6. 数据备份
      • 有多形态数据备份方式：备份一体机、数据库灾备、异构平台、异地灾备...
    • 7. 灾备集中管控
      • 全业务容灾（包括：数据库、应用、中间件、网络等），
    • 8. 数据库运维
      • 包含智能监控、问题定位、性能优化、故障处理、日常运维等...
• 4. 数据安全服务
  • 运维服务
    • 建立基线、主动监控、重大保障、性能优化、补丁升级、技术培训...
  • 数据库驻场服务
    • 日常运维、周期巡检、备份维护、灾难演练、升级迁移、应急响应...
  • 综合驻场服务
    • 机房场地维护、IT设备维护、网络安全维护、安装配置...
  • 安全服务
    • 漏洞扫描、安全加固、安全培训、应急响应、渗透测试、安全通告...