DCMM标准之数据安全域解读（二）：数据安全管理

《数据管理能力成熟度评估模型》（以下简称DCMM）是我国在数据管理领域首个正式发布的国家标准，旨在帮助企业利用先进的数据管理理念和方法，建立和评价自身数据管理能力，持续完善数据管理组织、程序和制度，充分发挥数据在促进企业向信息化、数字化、智能化发展方面的价值。

01

—

DCMM标准介绍

DCMM是国家标准《GB/T36073-2018 数据管理能力成熟度评估模型》（Data management Capability Maturity Model）的英文简称。

图1  DCMM数据管理能力成熟度评估模型

1. 目标：数据战略-引领价值发展方向

2. 价值：数据应用-通过运营持续交付价值

3. 环境：数据治理-搭建良好的运行环境

4. 支撑：

1. 数据质量-保证应用质量

2. 数据安全-保证应用安全

1. 标准：

1. 数据架构-技术的标准

2. 数据标准-数据的标准

1. 建设：数据生存周期-项目全过程遵循标准

DCMM是我国在数据管理领域首个正式发布的国家标准，旨在帮助企业利用先进的数据管理理念和方法，建立和评价自身数据管理能力，持续完善数据管理组织、程序和制度，充分发挥数据在促进企业向信息化、数字化、智能化发展方面的价值。

图 2 数据管理能力成熟度等级

02

—

DCMM数据安全域概述

《数据安全法》第三条对数据方面的基础定义：

• 数据：任何以电子或其他方式对信息的记录。

• 数据处理：对数据的采集、存储、使用、加工、传输、提供、公开等。

• 数据安全：通过采取必要措施，确保数据处于有效保护和合法利用的状态，具备保障持续安全状态的能力。

《个人信息保护法》第四条对个人信息的定义：

• 个人信息：以电子或其他方式记录的与已识别或可识别的自然人有关的各种信息，不包括匿名化之后的信息。

• 个人信息处理：个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。

数据安全保护对象：包括国家层面的重要数据和核心数据、个人层面的个人信息、社会层面的公共数据、组织层面的组织数据等。

GB/T 36073-2018《数据管理能力成熟度评估模型》设置数据安全能力域，包含数据安全策略、数据安全管理、数据安全审计3个能力项，给出5个能力等级标准：初始级、受管理级、稳健级、量化管理级、优化级。

• 数据安全策略：评估组织在制定、宣贯、落实和持续改进指导数据安全活动和策略方面的能力级别。
• 数据安全管理：评估组织在整个数据生存周期中，依据数据安全策略和相关标准，管理数据的分类分级、访问控制、风险管理等数据安全活动方面的能力级别。
• 数据安全审计：评估组织在分析、验证、改进数据安全活动方面的能力级别。

03

—

数据安全管理能力项

一、概述

    数据安全管理：是在数据安全标准和策略的规划下统一对组织数据安全的管理工作。通过对数据访问的授权、分类分级的控制，监控数据的访问等多方面来进行数据安全的管理工作，满足数据安全的业务需求和监管需求，实现组织内部数据的全生命周期的数据安全管理。

    管理内容包括数据分类分级、访问控制、风险管控等。对于数据安全管理，数据分类分级是基础，数据访问控制是手段，数据的风险管控是方法。

    数据安全管理流程示例：对数据安全问题形成闭环管理，从数据安全定义，到问题发现和分析，问题跟踪，到最后数据安全评估和统计。

二、业务驱动

数据安全管理的日常操作就是安全策略的执行，包括：数据安全分类分级、访问权限（访问控制）等安全策略执行、全生命周期人员安全管理、主动防护数据处理场景的风险、定期数据安全检查形成数据安全策略问题清单，形成数据安全管理闭环。

三、建设目标

建设目标应包括以下内容：

1. 对组织内部的数据进行分级管理，关注重点数据的管理需求；
2. 对数据在组织内部流转的各个环节进行监控，保证数据的安全；

需要在数据处理活动的所有环节进行持续监视和控制，保证数据安全程序有效。

1. 分析潜在的数据安全风险，预防风险。

数据安全风险防范以事前预防为主，分析潜在的数据安全风险，把握风险变化和趋势，采取防范措施。

四、建设过程

数据安全管理过程域主要包含以下活动：

1. 数据安全等级的划分

数据分级的目标：确保数据资产按照敏感性受到差异化保护。

数据安全定级遵循的原则：

• 合法合规性原则：满足国家法规与主管部门规定；
• 可执行性原则：明确、统一的定级规则；
• 实效性原则：有效期限是安全级别的必要属性，安全定级需按时效性调整；
• 自主性原则：每个组织根据自身需要制定安全级别。

数据安全定级要素（数据风险的评估CIA要素）：数据资产保密性、完整性、可用性的风险后果严重性、资产重要性、影响对象范围等。量化定级通常包括对保密性、完整性、可用性的不同属性赋值打分。

• 保密性评估：包括未授权使用后对国家、个人、公众利益、企业合法权益造成的损害严重程度；
• 完整性评估：包括数据篡改或损毁之后对国家、个人、公众利益、企业合法权益造成的损害严重程度；
• 可用性评估：包括数据使用中断对国家、个人、公众利益、企业合法权益造成的损害严重程度。

数据安全定级工作流程：

• 在数据资产分类清单的基础上，由数据安全管理归口部门发起分类分级工作，协同信息技术部门制定数据分类分级的工作指南，明确数据定级的颗粒度（数据库文件、表、字段等）。
• 业务部门配合指南提供对最细颗粒度数据定级的专业意见，指南发布后，业务部门和相关部门针对自己负责的数据填写分类分级表，形成对数据清单的初步安全等级判定。
• 归口部门对此进行审核，如通过，形成数据安全分级的清单并且发布，相关部门复审之后，纳入制定数据安全策略的需求，根据清单制定、固化、更新相关数据安全策略。

2. 数据访问权限控制

制定数据安全管理相关的利益相关者清单，了解相关人员数据安全的需求，对相关人员的数据访问、控制权限进行授权。

数据访问权限的设置，遵循如下的制定原则和管理方法：

• 数据安全分类分级管理：针对不同的类别和敏感程度的数据，实施相应的访问授权机制。
• 业务必需、最小授权、职责分离的访问控制策略；
• 对高密级或重要数据操作设置内部审批流程；
• 对敏感信息的访问、修改等操作行为，按照业务流程的要求触发操作授权；
• 对访问策略与访问记录进行定期审计。

3. 数据安全人员管理

在数据安全关键岗位设置方面，对接触高密级的人员及岗位进行审批、登记管理，定期安全审查。

数据安全关键岗位包括：数据安全管理岗、审计岗；业务操作与技术操作高特权者（数据权限审批岗位）；重要数据处理岗位；高频或大量接触高密级数据的人员；外部数据采购岗。

数据库管理员等岗位设专人专岗实行职责分离，对高敏感数据访问用户、关键数据处理岗位按需设立双人双岗。

4. 数据安全保护

数据安全保护包括：主动采用监测、脱敏与加密技术等，以及对异常情况的处置。

数据安全监测的工作要素：建立数据泄露、数据篡改、数据窃取、数据非法使用的风险监控机制，包括异常行为的监测指标维度，对异常行为事件进行日常运维的识别、发现、跟踪与监控。

数据脱敏确保消除数据的敏感性并且平衡业务需求和处理成本，遵循如下原则：

• 有效性：消除原始数据的敏感信息；
• 高效性：自动化可重复执行，控制脱敏时间和经济成本。
• 可重现性：相同的原始数据脱敏后具有一致性；
• 关联性：脱敏后数据保持原始数据的对应关系。

数据安全处理和传输中的隐私保护采取多方安全计算技术，应用于联合查询、联合建模、联合预测等。满足数据安全的目标：查询方不暴露查询输入数据得到查询结果；数据提供方不提供明文数据，查询结果与在明文数据库上查询的结果一致。

针对数据安全异常情况，对系统日志、网络日志、访问日志、操作日志的异常使用和操作进行分析，对异常行为及时处置。明确数据安全事件的处置流程与岗位职责，针对不同安全策略的风险，制定安全事件应急预案。

5. 数据安全风险

归口部门定期对数据安全管理措施、技术措施的执行和落实进行检查。形成数据安全问题详细清单，建立安全问题的跟踪执行机制，确保各项问题得到整改和纠正。

检查内容包括：

• 相关部门的重要数据在采集、传输、存储、处理、交换与销毁过程中的合规性；
• 相关管理措施是否落实到位，相关技术措施是否运用得当，相关访问权限是否合理规范，相关部门是否准确履行责任。

数据安全检查步骤：

• 归口部门发起数据安全检查工作，与信息管理部门协同相关部门制定检查实施方案；
• 实施方案审批通过后，业务部门配合业务检查，信息管理部门配合技术检查；
• 检查执行完毕，审核检查结果，根据结果进行数据安全问题分析，制定防范措施，落实到数据安全保护的工作中。

五、标准条款

度量标准应包含以下内容：【条款解读因篇幅原因不详细说明，见知识星球文档】

1. 级别 1：初始级

   条款1) 在项目中进行了数据访问授权和数据访问监控；
   条款2) 对出现的数据安全问题进行分析和管理。

2. 级别 2：受管理级

    条款1) 依据数据安全标准在业务部门内部对数据进行了安全等级的划分；

    条款2) 在业务部门内部进行了利益相关者需求的识别，并进行了数据访问授权及数据安全保护；

    条款3) 在业务部门内部进行了数据访问、使用等方面的监控。

    条款4）业务部门内部对潜在数据安全风险进行了分析，制定了预防措施。

3. 级别 3：稳健级

    条款1) 组织对数据进行了全面的安全等级划分，每级数据的安全需求能够清晰定义，安全需求的责任部门明确；

    条款2) 根据外部监管定义数据范围，能够清楚的定义外部监管对于数据的安全需求；

    条款3) 围绕数据的生命周期，了解组织内利益相关者的数据安全需求，并且对数据进行安全授权和安全保护；

    条款4) 能够对于数据进行全生命周期的安全监控，及时了解可能存在的安全隐患；

    条款5) 对于不同的数据使用对象，通过数据脱敏、加密、过滤等技术保证数据的隐私性；

    条款6）定期开展数据安全风险分析活动，明确分析要点，制定风险预防方案并监督实施；

    条款7）定期汇总、分析组织内部的数据安全问题，形成数据安全知识库；

    条款8) 新的项目建设中能够自动按照数据安全要求进行数据的安全等级划分、数据安全控制等。

    条款9）定期开展数据安全相关的培训和宣贯，提升组织人员的数据安全意识。

4. 级别 4：量化管理级

    条款1) 定义了数据安全管理的考核指标和考核办法；

    条款2) 定期汇总数据安全管理工作进展，在组织层面发布数据安全管理工作报告；

    条款3) 重点数据的安全控制可落实到字段级，明确核心字段的安全等级和管控措施。

5. 级别 5：优化级

    条款1）能主动预防数据安全风险，并对已发生的数据安全问题进行溯源和分析；

    条款2）在业界分享最佳实践，成为行业标杆。

THE END

—

想了解更多数据安全的管理制度、标准规范、产品服务、认证评估等，可扫码加入「 数据安全备忘录」知识星球，更多精彩内容持续更新中！

---

关注【数据安全备忘录】公众号，获取更多行业资讯！