数据安全“星熠”案例 | 陕西电信数据安全治理案例分享

点击蓝字丨关注我们

申请加入数据安全共同体计划，请在本公众号回复“申请表”获取下载链接

随着数据要素市场化进程的发展，数据的价值与意义已得到凸显。数据的开发和利用是一把双刃剑，在创造价值的同时，也面临着数据被泄露、篡改、滥用等数据安全风险，对个人、组织、社会公共利益甚至国家利益造成的严重威胁和损害。面对新形势中的机遇和挑战，陕西电信严格践行国家“十四五”国家战略，深刻认识加强数据安全工作的重要性与紧迫性，严格落实《数据安全法》《个人信息保护法》等法律法规，推动形成以发展促安全、以安全保发展的新格局。按照中国电信集团公司“落实责任、系统谋划、分步推进”的基本思路，把握数字化发展机遇，以创新为动力、需求为导向、人才为根本，健全数据安全制度，完善数据安全体系，强化数据安全能力。中国电信陕西公司结合GB/T 37988-2019《信息安全技术 数据安全能力成熟度模型》、Gartner DSG框架等，建立了一套以安全管理、技术保障、组件安全为核心，安全合规和安全审计为支撑的数据安全合规治理框架，如图一所示。基于内生安全框架，严格践行安全“三同步”，通过业务系统对数据资产的认领，完成了“事前事中事后”三个阶段的日常数据安全运营工作，达到数据安全合规治理目的。 图一 数据安全治理框架为保障数据安全工作的有效实施，企业构建了自上而下从各个领导层到参与层的管理组织架构，通过明确数据安全责任分工，层层夯实数据安全责任。进一步保障数据安全管理方针、策略、制度的统一制定和有效实施。同时依据人员角色、岗位职责，从安全意识培养、安全能力培训、安全能力考核三方面入手构建相适应的人才培养机制。按照“谁主管谁负责、谁运营谁负责、谁使用谁负责、谁引入谁负责”的原则，构建适合本公司发展的数据安全责任体系，如图二所示。图二 组织架构为保证数据安全制度体系更好落实，基于数据安全管理制度体系各级文件要求，制定了相应的执行流程要求与审核规范从而保障数据安全合规管理的高效运行。制度体系管控主要针对数据安全战略、数据安全生命周期安全及基础安全三方面进行，包含文件/制度发布控制流程、数据采集合规性评估流程、数据传输接口变更审批流程、数据分类分级管控流程等。 技术架构主要围绕数据安全统一管控平台为中心，承接数据安全合规治理联防联控、综合防御要求，构建可视、可管、可控、的大数据安全态势防护技术体系。基于流量将数据识别、数据库审计、数据防泄漏、风险监测、接口安全管理公网敏感信息探测能力，数据监测探针能力等安全能力进行联动，建立了一套完整的、创新的、实用的全生命周期数据安全合规检测与安全防护。通过人工智能（AI）技术，构建丰富的算法模型，实现了全量数据的深度挖掘与分析研判。实现“一个中心，多级管控”的技术目标，结合人与技术的相互结合，实现数据安全合规治理的聚合和提升，如图三所示。图三 技术架构数据安全合规治理体系在落实过程中解决了数据安全合规检测缺失难题，最大限度发挥大数据价值，建立了统一的安全合规检测和防护技术平台，改变了数据安全防护离散的情况。从数据安全合规性、业务自身安全、风险控制要求入手，制定了数据分类分级标准。不断优化数据安全保护机制，降低了数据资产的风险，保障了数据生命周期的安全可管可控。所制定的场景化数据安全管控机制，至2022年底已有效拦截104余次违规敏感数据上传操作，实现数据安全工作新突破，为企业数字化转型夯实安全基石。

企业介绍：

中国电信股份有限公司陕西分公司（简称“中国电信陕西公司”）是中国电信股份有限公司在陕西省设立的省级分公司，是陕西省内主导的全业务通信运营企业。根据中国电信股份有限公司的授权，中国电信陕西公司下辖10个市级分公司、89个县（市、区）级分公司及1个直属单位（西安机动通信局、1个专业子公司（陕西公众信息产业有限公司），服务网点遍布陕西城乡各地。公司主要经营话音、数据、图像、多媒体等业务，可以提供移动电话、本地电话、长途电话、互联网接入及应用、数据通信、视讯服务、国际及港澳台通信等多种类综合信息服务，能够满足广大客户的各种通信及信息服务需求。

|本文由中国电信股份有限公司陕西分公司提供

数据安全共同体计划

（data security community）

“数据安全共同体计划”为了促进《数据安全法》《个人信息保护法》落地实施，推动数据开发利用和数据安全领域的技术推广和产业创新，致力于促进数据安全产业链各环节的交流与合作，推动数据安全政策、技术、人才多要素良性互动，构建数据安全产业生态共同体。

咨询电话：

      曹京 15810981762

      解伯延 18631643906

联系人邮箱：[e-mail]