数据安全治理实践

数据作为新型生产要素，已成为国家重要资产和我国数字经济发展的基础战略资 源。2021 年以来，国家、行业、地方相继颁布了大量数据安全政策文件。作为数字经济健康发展的重要基石，数据安全的重要性愈发突出，数据安全治理需求愈加明显。 为了梳理数据安全治理的概念内涵，探讨企业数据安全建设路线，中国信息通信 研究院云计算与大数据研究所于 2021 年 7 月发布《数据安全治理实践指南（1.0）》（以下简称《指南（1.0）》），围绕数据安全治理目标、治理框架、治理实践路径展开论述。经过一年多的发展，企业数据

数据安全治理实践

• 一、数据安全治理概述
  • （一）数据安全治理概念内涵
    • 狭义地说
      • 数据安全治理包括：建立数据安全治理组织架构，制定数据安全制度规范，构建数据安全技术体系，建设数据安全人才梯队等。
    • 广义地说
      • 数据安全治理包括完善相关政策法规，推动相关政策法规，推动政策法规落地，建设实施标准体系，研发应用关键技术，培养专业人才等。
  • （二）数据安全治理要点
    • （1）以数据为中心
      • 涵盖数据的采集、传输、存储、使用、共享、销毁等全生命周期的各个环节。
      • 必须构建以数据为中心的数据安全治理体系，根据具体的业务场景和各生命周期环节，有针对性地识别并解决其中存在的数据安全问题，防范数据安全风险。
    • （2）多元化主体共同参与
      • 数据安全治理需要从组织战略层面出发，协调管理层、执行层等相关方，打通不同部门之间沟通障碍，统一内部数据安全共识，实现数据安全防护建设一盘棋。
      • 数据安全治理必然是涉及多元化主体共同参与的工作。
    • （3）兼顾发展与安全
      • 数字经济时代的应用场景下，数据只有在流通中才能充分发挥其价值，而数据流动又 以保障数据安全为前提，因此，必须要辩证看待数据安全治理。
      • 坚持以数据开发利用和产业发展促进数据安全，以数据安全保障数据开发利用和产业发展。数据安全治理不是强调数据的绝对安全，而是需要兼顾发展与安全的平衡。
• 二、数据安全治理总体视图
  • （一）数据安全治理目标
    • 满足合规要求
    • 管理数据安全风险
    • 促进数据开发利用
  • （二）数据安全治理体系
    • 数据安全战略层
      • 组织整体数据安全规划
      • 防范数据安全风险
    • 数据全生命周期安全层
      • 数据采集安全
      • 数据传输安全
      • 数据存储安全
      • 数据使用安全
      • 数据共享安全
      • 数据销毁安全
    • 基础安全层
      • 数据分类分级
      • 合规管理
      • 合作方管理
      • 监控审计
      • 身份认证与访问控制
      • 安全风险分析
      • 安全事件应急
  • （三）数据安全治理维度
    • 组织架构
    • 制度体系
    • 技术工具
      • 基础通用技术工具
        • 数据分类分级相关工具平台
        • 身份认证及访问控制相关工具平台
        • 监控审计相关工具平台
        • 日志管理平台
        • 安全及合规评估相关工具平台
      • 组合复用技术工具
        • 敏感数据识别
        • 备份与恢复技术
        • 数据加密相关工具平台
        • 数据脱敏
        • 数据水印技术
        • 数据泄密防护技术
        • API安全管理相关工具平台
        • 数据删除
        • 介质销毁
        • 隐私计算
    • 人员能力
      • 意识能力培养
      • 技术能力培养
  • （四）数据安全治理实践
    • 全局体系规划，场景有序落地，运营持续加强，评估助力优化
    • “规划——建设——运营——优化”
• 三、数据安全治理实践路线
  • （一）数据安全规划
    • 1.现状分析
      • 数据安全合规对标
      • 数据安全风险现状分析
      • 行业最佳实践对比
    • 2.方案规划
      • 第一阶段，明确数据安全治理职责分工和管理要求
      • 第二阶段，完善数据安全技术能力体系
      • 第三阶段，建立数据安全治理的量化评估体系，定期开展数据安全评估评测，监测各项指标的达标情况。
    • 3.方案论证
      • 一是可行性分析
      • 二是安全性分析
      • 三是可持续性分析
  • （二）数据安全建设
    • 第一步：全面梳理业务场景
      • （1）基于数据全生命周期的场景划分
      • （2）基于业务运行环境的场景划分
    • 第二步：确定业务场景治理优先级
    • 第三步：评估业务场景数据安全风险
    • 第四步：制定并实施业务场景解决方案
    • 第五步：完善业务场景操作规范
  • （三）数据安全运营
    • 1.风险防范
      • 数据安全策略制定
      • 数据安全基线扫描
      • 数据安全风险评估
    • 2.监控预警
      • 态势监控
      • 日常审计
      • 专项审计
    • 3.应急处理
      • 数据安全事件应急处置
      • 数据安全事件复盘整改
      • 数据安全应急预案宣贯宣导
  • （四）数据安全评估优化
    • 1.内部评估
      • 评估自查
      • 应急演练
      • 对抗模拟
    • 2.第三方评估
• 四、数据分类分级场景建设思路
  • （一）第一步：建立组织保障
  • （二）第二步：进行数据资源梳理
  • （三）第三步：明确分类分级方法、策略
  • （四）第四步：完成数据分类
  • （五）第五步：逐类完成定级
  • （六）第六步：形成分类分级目录
  • （七）第七步：制定数据安全策略
• 五、数据安全治理总结与展望
  • 政策引领与战略自驱齐头并进，推进数据安全治理不断深入。
  • 数据驱动的业务发展，激励数据安全治理组织从“有型”到“有效”。
  • 数据安全风险治理能力的建设与提升，成为数据安全治理的重要组成。
  • 第三方数据安全评估认证作为提升数据安全治理能力的主要抓手，将被更多行业组织引入。
• 附录
  • （一）华泰证券股份有限公司
    • 1.建设思路
      • （1）厘清数据安全风险，明确安全治理方向
      • （2）构建数据安全治理体系，务实数字化转型基础
      • （3）共享行业经验，共建数据安全生态
    • 2.治理实践及亮点
      • （1）建立规范化的数据安全管理体系
        • 组织架构方面
        • 制度体系方面
      • （2）建设覆盖数据全生命周期的数据安全技术体系
        • 数据安全平台能力
        • 数据安全运营能力
        • 数据安全可视化能力
      • （3）实施精细化的数据安全运营体系
        • 风险防范
        • 监控预警
        • 应急处置
  • （二）中移信息技术有限公司
    • 1.建设思路
    • 2.治理实践
      • 组织架构方面
      • 制度流程方面
      • 技术体系方面
    • 3.实践亮点
      • 亮点一：中移信息数据流动安全闭环管理机制
      • 亮点二：中移信息数据静态安全管理机制
      • 亮点三：中移信息数据共享实时管控平台
  • （三）中国联通广东省分公司
    • 1.建设思路
    • 2.治理实践
      • （1）构建数据安全治理框架
      • （2）建立健全数据安全治理体系
        • 建立数据安全组织体系
        • 建立数据安全管理体系
        • 健全数据安全技术体系
        • 完善数据安全运营体系
    • 3.实践亮点
      • 亮点一：
      • 亮点二：
  • （四）吉利汽车集团有限公司
    • 1.建设思路
    • 2.治理实践
      • 组织人员管理
      • 流程制度建设
      • 技术能力落实
    • 3.实践亮点
      • 概念规划阶段
      • 设计阶段
      • 研发阶段
      • 测试验证阶段
      • 上线阶段
      • 运行阶段
  • （五）360数科
    • 1.建设思路
    • 2.治理实践
    • 3.实践亮点
      • 亮点一：
      • 亮点二：
      • 亮点三：