DCMM标准之数据安全域解读（一）：数据安全策略
01
—
DCMM标准介绍
DCMM是国家标准《GB/T36073-2018 数据管理能力成熟度评估模型》（Data management Capability Maturity Model）的英文简称。
DCMM数据管理能力成熟度评估模型
目标：数据战略-引领价值发展方向
价值：数据应用-通过运营持续交付价值
环境：数据治理-搭建良好的运行环境
支撑：
数据质量-保证应用质量
数据安全-保证应用安全
标准：
数据架构-技术的标准
数据标准-数据的标准
建设：数据生存周期-项目全过程遵循标准
DCMM是我国在数据管理领域首个正式发布的国家标准，旨在帮助企业利用先进的数据管理理念和方法，建立和评价自身数据管理能力，持续完善数据管理组织、程序和制度，充分发挥数据在促进企业向信息化、数字化、智能化发展方面的价值。
数据管理能力成熟度等级
02
—
DCMM数据安全域概述
《数据安全法》第三条对数据方面的基础定义：
数据：任何以电子或其他方式对信息的记录。
数据处理：对数据的采集、存储、使用、加工、传输、提供、公开等。
数据安全：通过采取必要措施，确保数据处于有效保护和合法利用的状态，具备保障持续安全状态的能力。
《个人信息保护法》第四条对个人信息的定义：
个人信息：以电子或其他方式记录的与已识别或可识别的自然人有关的各种信息，不包括匿名化之后的信息。
个人信息处理：个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。
数据安全保护对象：包括国家层面的重要数据和核心数据、个人层面的个人信息、社会层面的公共数据、组织层面的组织数据等。
GB/T 36073-2018《数据管理能力成熟度评估模型》设置数据安全能力域，包含数据安全策略、数据安全管理、数据安全审计3个能力项，给出5个能力等级标准：初始级、受管理级、稳健级、量化管理级、优化级。数据安全策略：评估组织在制定、宣贯、落实和持续改进指导数据安全活动和策略方面的能力级别。 数据安全管理：评估组织在整个数据生存周期中，依据数据安全策略和相关标准，管理数据的分类分级、访问控制、风险管理等数据安全活动方面的能力级别。 数据安全审计：评估组织在分析、验证、改进数据安全活动方面的能力级别。
03
—
数据安全策略能力项
一、概述
数据安全策略是对组织内部数据安全等级的划分以及各级数据安全防护、管理原则的定义和标准化。
数据安全策略是数据安全的核心内容，在制定的过程中需要结合组织管理需求、监管需求以及相关的标准等信息来统一制定。
系统、全面的数据安全策略体系，可以指导不同范围（全局、局部）、不同方面（治理、管理、运营、服务、技术、产品）、不同领域（计算、存储、网络）的数据安全活动。
数据安全策略以文件形式存在，是制定阶段的产物，还需要宣贯、落实和持续改进。
二、业务驱动
企业数据安全策略，从【数据全生命周期】和【信息系统生存周期】两个维度，结合国家法律法规、行业和企业数据安全管理有关要求，从数据全生命周期阶段【数据采集、数据存储、数据使用、数据传输、数据交换、数据销毁】，对不同级别数据提出控制要求，指导企业各级别的数据资产的保护工作的执行和管理。
三、建设目标
数据安全标准与策略管理的建设目标如下：
建立统一的数据安全标准；
解读：为数据安全目标的实现设定统一的准则和尺度，为分类分级的数据安全管理提供评判依据。
提供清晰的数据安全策略。
解读：通过理解组织及其内外语境（业务相关内部语境和环境外部语境）以及利益相关方的需求和期望，确定数据安全管理的范围，制定数据安全策略，指导数据安全活动。
四、建设过程
数据安全标准与策略过程域主要包含以下活动：
识别数据安全需求
数据安全需求，以【法律法规监管要求和业务发展需要】为输入，结合组织自身的组织建设、制度流程与技术工具的执行要求，识别与分析组织的数据风险，采取相应的处置措施。
数据安全的需求来自对如下内部和外部风险的主动管理：
国家、行业、监管部门等发布的重要数据清单。
重要数据包括：宏观特征数据（如经济特征），海量信息聚合之后得到的衍生数据（如自然人可识别信息）及关键基础设施漏洞信息等。
重要数据一旦未经授权而披露、滥用、篡改、销毁、聚合分析后，会造成严重后果。
重要数据清单提供了国家、地区与行业主管部门针对重要数据的安全管理范围与安全分级要求。
国标与行标的等级保护要求或数据定级规则。
数据定级规则：详细分类级别、级别分类说明与定义、包含的数据项范围与界定规则。
等级分类方式：按业务域、主题域、实体等层级划分。
个人主动权益保护分级。
根据数据未授权读取或变更之后产生的危害，将个人信息按照敏感度进行分级，提出明确的全生命周期各环节的具体保护要求。
数据加工处理场景，个人数据聚合后的敏感级别有自动升级的要求。
不同权益主体分类保护分级原则中，个人权益高于组织权益，个人敏感数据安全级别很高。
组织内部数据资产清单分类。
数据清单分类以业务和管理属性为主，与数据架构的域、主题、实体、业务活动保持一致的逻辑。
数据资产清单是数据安全风险识别的前提，其分类通常意味着同类数据具有相似的安全保护要求。
2. 建立数据安全制度
数据安全的组织和制度保障是数据生存周期安全必不可少的部分。
数据安全的组织
可参考数据治理能力域的数据治理组织能力项内容，要明确决策层、管理层、执行层、内部审计部门的不同权责定位。
决策层：由负责企业战略与经营决策最高管理者组成，负责分配足够和适当的资源以此建立、发展、实施、评估、维护与改进数据安全体系，审议与发布数据安全的目标、组织架构、制度，建立数据安全的问责机制与考核方法，对组织工作场景的风险处置承担决策责任。
管理层：包括各个职能部门的管理层以及数据安全归口部门的负责单位，拟定数据安全制度、策略和规划，牵头实施风险识别、风险评估与风险处置工作，给出组织的合规建议。
执行层：由各个部门的数据安全岗位组成，负责保证数据安全工作推进落地。
内部审计部门：定期对数据安全进行审计，根据风险评估和审计资源铺排，在审计工作中涵盖数据安全合规内容，出具相关审计报告，作为数据安全管理优化提升的需求输入。
数据安全的制度
明确定义了决策层、管理层、执行层、监督层及相关岗位的职责，规范了工作流程。
组织的数据安全制度体系包括：
组织总体的数据安全管理规定，对数据生存周期保护工作的总体策略。
针对不同安全类别的数据，采取相应的安全策略和保障措施。
建立数据安全日常管理和操作流程。
建立对密钥技术、脱敏技术、隐私计算技术的规范与制度。
建立对第三方机构的管理制度。
建立数据出境安全控制要求与操作程序。
建立数据全生命周期的审核流程。
建立数据安全影响评估制度。
建立数据安全事件管理、处置流程和应急响应机制，重大安全事件的处置流程。
设立数据安全岗位人员的行为准则。
建立内部员工的数据安全管理制度。
建立外部服务商人员的数据安全管理制度。
制定数据安全的培训计划。
3. 定义数据安全策略
分析了数据安全风险，针对数据生命周期各环节的主要风险，定义相关的数据安全策略主动进行风险控制。
数据全生命周期处理遵循的基本原则：
合法正当原则：确保生命周期各环节的数据活动的合法和正当。
目的明确原则：明确数据生命周期各环节的安全防护目标和要求。
选择同意原则：向数据主体明确采集与处理数据的目的、方式、范围、规则等，在采集和处理前征得同意。
最小够用原则：仅处理数据主体授权同意的数据，处理的数据为业务必须的最小数据类型和数据量。
全程可控原则：采取与数据安全级别相匹配的管控机制和技术措施，确保数据全生命周期各环节的保密性、完整性和可用性。
动态控制原则：基于业务需求、安全环境、用户行为等实时调整安全控制策略。
权责一致原则：明确本机构数据安全组织与岗位职责。
数据全生命周期处理遵循的典型安全要求：
数据采集
数据采集包括直接或间接从个人、数据主体、外部合作方等获取数据。
数据采集过程存在的风险：数据泄露、数据源伪造、账户权限滥用、数据篡改等。
数据采集安全策略：
不得超范围采集； 采集过程明确重要数据和个人敏感数据的知悉和安全防控措施； 对采集设备和系统进行真实性验证； 批量采集的数据通过技术工具保证数据完整性，人工采集数据防止数据泄露； 采集过程日志记录符合电子取证的记录要求； 采集密度较高的数据时结合多因素验证，或对采集全过程实施动态验证、必要阻断、非人工采集、加密等。
从外部采集数据的安全策略：合同中明确规定双方数据安全的责任和义务，明确数据采集的范围、频度、类型、用途等，要求数据主体的授权同意。
从个人数据主体采集数据的安全策略：
设备端对个人敏感数据不保存并清除缓存；
提供个人信息纠正、授权撤回、可删除的授权；
停止对其服务时，按规定执行账户注销与数据销毁。
数据传输
数据传输过程存在的风险：传输中断、篡改、伪造和窃取等。
数据传输的安全策略：
对传输工具进行安全测试，保证传输工具安全性； 采取防火墙技术确保网络传输的安全； 采用区域隔离、终端准入、通信双方身份认证、电子签名、密码技术实现网络控制、传输可信性、完整性和抗抵赖性； 涉密数据传输采用审批授权，对外传输采取加密、安全通道、安全协议； 涉密数据通过物理介质进行批量传递时，对数据进行脱敏，由专人负责收发、登记、保管、销毁。
数据存储
根据数据安全级别、重要性等，将数据分域分级存储； 对不同存储区域之间的数据流动进行安全监控； 存储最小够用的数据，存储时间为业务必须的最短时间，前提满足国家与行业规定； 脱敏数据与用于还原的恢复文件隔离存储； 使用恢复原始数据的过程通过审批、保留所有操作记录便于电子取证。
数据处理
数据处理过程存在的风险：非授权访问、窃取、泄露、篡改、损毁等。
数据处理包括：数据访问、加工、展示、开发测试、集成共享、委托处理等活动。
数据访问的安全策略：
按密级确保最小化的数据访问权限； 高密级数据符合申请访问和审批机制，进行身份认证、多因素认证、过程验证、二次授权，保留日志记录用于审计； 操作日志记录访问主体、客体、操作时间、具体操作类型与操作结果； 定期审计数据访问权限，复核已授权清单。
数据加工的安全策略：
明确加工的原始数据的获取方式、授权机制、逻辑安全、处理结果安全； 对加工过程进行监督检查，记录加工日志； 高密级数据不加工。
数据展示的安全策略：
展示条件的安全性； 数据明文查询逐项授权，对展示次数、频率、总量等实时监测； 涉密数据采取屏蔽技术，避免明文展示。
数据开发测试的安全策略：
隔离开发、测试、生产、备份等环境的数据； 开发测试使用脱敏数据； 评估使用的外部开发包、组件、源代码安全； 审核开发测试的数据源符合正当性合法性的原则； 开发测试过程日志进行定期审计。
数据集成共享的安全策略：
汇聚融合的数据不超过采集时声明的适用范围； 脱敏后数据集汇聚后重新可识别自然人的，需要提高密级采取响应保护措施； 汇聚融合的衍生数据重新明确所属单位与安全保护责任； 明确数据共享场景的安全要求与责任部门，对数据使用目的、内容、使用时间、防护措施、处置方式等审批，留存相关记录； 对不同密级的数据采用不共享、脱敏加工等。
数据交换
数据交换的安全策略：
确认合作方的数据保护责任与要求，采用联邦学习、多方安全计算、数据加密等技术防护数据泄露等风险； 数据转让第三方机构，逐一明确告知数据权益主体； 对委托处理的第三方处理者进行调查，委托行为不得超过事前已获得授权和合同协议约定的数据使用范围； 委托处理的数据按密级进行脱敏、加密等处理，降低数据泄露等风险。
数据销毁
数据销毁的安全策略：
按规定保存时限到期时删除数据与数据集； 记录数据删除的全过程； 按密级的数据删除有效性复核机制定期检查。
组织定期对数据安全策略的有效性评审，对其执行成果进行反馈，优化数据安全策略与安全管理措施。
五、标准条款
1. 级别 1：初始级
条款1) 在项目中设置了数据安全标准与策略，并且在文档中进行了描述。
2. 级别 2：受管理级
条款1) 在业务内部建立了数据安全等级标准、管理策略和管理流程；
条款2) 在业务条线内部识别了数据安全利益相关者；
条款3) 业务部门内部数据安全标准与策略的建立遵循相关的管理流程。
4. 级别 4：量化管理级
条款1）数据安全标准和策略的制定能符合国家或行业标准的相关规定；
条款2）梳理和明确组织相关的外部法律、监管等方面关于安全方面的需求列表，并和组织的数据安全标准和策略进行关联；
条款3）根据内外部环境的变化定期优化提升数据安全标准与策略。
5. 级别 5：优化级
条款1) 参与数据安全相关国家标准的制定；
条款2) 在业界分享最佳实践，成为行业标杆。
THE END
—
想了解更多数据安全的管理制度、标准规范、产品服务、认证评估等，可扫码加入「 数据安全备忘录」知识星球，更多精彩内容持续更新中！
关注【数据安全备忘录】公众号，获取更多行业资讯！