快速了解数据安全的概念及数据安全管理.docx

快速了解数据平安的概念及数据平安管理
01数据平安的定义
根据《数据平安架构设计与实战》一书的定义，狭义的数据平安往往指保护静态存储 级的数据以及数据泄漏防护等。广义的数据平安那么是基于“平安体系以数据为中心”的立 场，泛指整个平安体系侧重于数据分级以及敏感数据全生命周期的保护，数据平安更加接 近于一种控制目的。
一般读者都会困惑于数据平安和信息平安异同。实际上，狭义的信息平安是为“防止 敏感信息的不当扩张” o如根据国际标准化组织（ISO）对信息平安的定义，信息平安是为 数据处理系统建立和采取的技术和管理的平安保护，保护计算机硬件、软件和数据不因偶 然和恶意的原因而遭到破坏、更改和泄漏。而广义的信息平安那么突出“平安体系架构以信 息为中心”，强调平安管理体系。

狭义
广义
使用场景
信息平安
防止敏感信息的不当扩 散包括有毒有害信息、 内部人为泄密。
“以信息为中心”理念的 产物。
强调平安管理体系：强调信息以及信息系 统的保密性、完整性和可用性；强调内容 合规；强调防止内部人为的信息泄漏；强 调对静态信息的保护（存储介质上的信 息）。
数据平安
对保护数据本身为核 心，包含加密、脱敏、 防差分隐私分析等
“以数据为中心”理念的 产物。
强调全生命周期中的数据保护：强调数据 作为生产力：强调数据主权或主体权利； 强调长臂管辖和隐私保护。
、事麒挺阻周周说

早期，信息平安、网络平安和数据平安存在一个由大到小包含的层次，而现在信息安 全有狭义化的趋势，多数情况下有被网络空间平安所覆盖的趋势；而数据平安更接近平安 的目标，平安体系随着数据的传输而扩展，大局部被网络空间平安覆盖，个别局部如长臂
管辖权除外。
网络空间平安
治埋周周幼
信息平安
网络平安数据平安
02以数据平安为中心的平安控制体系
数据平安更接近平安的目标，要围绕其建立完善的平安控制体系，大体分为三个步 骤：首先要对组织内的数据资产及相关信息资产进行识别和分级，建立对应数据分级级别 相适应的控制措施；然后分配组织内各个部门单位对应数据资产的职能角色；最后确定各 个角色相关的所有权、管理权或使用权等相关权责，对碰触逾越平安基线的事件行为触发 问责机制。
1. 信息与数据资产的识别与分级
数据平安的重点是在整个数据生命周期中保护信息，首先就需要对数据信息进行平安 分类，其中不仅是数据的分级，还包括处理数据的物理系统、存储数据的介质、以及软件 权限进行分级等等，所有数据平安管控的后续操作都应基于合规合理的分类相应推进。换 句话说，如果一台PC正在处理绝密数据，那么这台计算机也应被归类为绝密资产。同样, 如果内部或外部驱动器等介质保存绝密数据，该介质也应被归类为绝密资产。软件访问权 限亦是如此。
实施信息与数据资产的识别和分级步骤一般包括：
1）定义敏感数据
敏感数据是任何非公开或非机密的信息，包括机密的、专有的、受保护的或因其对组 织的价值或按照现有的法律法规而需要组织保护的任何类型的数据。主要有：个人身份信 息、受保护的健康信息和专有信息，其中任何有助于企业或组织保持竞争优势的数据（如 软件代码、产品设计计划、流程、知识产权等）等。
2）定义数据分级
数据分级工作需要通过组织业务细分、主体明确、数据归类、级别判定等流程加以实 现，是数据平安保护的基础。2021年6月10 H,我国《中华人民共和国数据平安法》正 式公布，其中第三十一条规定“各地区、各部门应当按照数据分级保护制度，确定本地 区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保 护。”数据平安法的公布，把平安控制的顶层建筑提升到了国家平安的层面，要求各组织 和企业依据数据的相对价值来确定分级标准和平安策略，并依据不同的数据敏感程度制定 不同的保护策略，在对标国家平安和法律的基础上，建立组织内重要数据目录保护制度， 保障重要敏感数据的平安。下列图就是一个对标国家政府平安级别的分级例如。
政府级分类 / 非政府级分类绝密：/ C3 、 机密/专有：
C2
私有： 严重的损害
异常严重的损害异常严重的损害秘密： 严重的损害
机密：/C1敏感:
公开:
无损害
co
损害 /'、损害
无分类:项
无损害/|3）定义信息资产分级
这里指的信息资产主要指数据概念外的信息系统、物理系统等实体资产，这些资产的 分级应与数据分级相匹配，如物理系统、存储介质、软件环境等要素要与数据平安标的相 衔接，不能简单生硬切割，应采用统一价值口径进行平安措施的对等匹配，并保证覆盖完 整，才能保证信息资产和数据资产的管理边界清晰，并且措施合理、覆盖全面。
2. 确定对应数据平安的控制措施
定义数据和资产分级后，要就确定平安控制措施（制度、流程、机制和技术）。如使 用对称/非对称加密保护动态/静态数据、保证硬件环境（温度或湿度）符合数据存储条件、使用适当的技术手段结束数据生命周期等。确定了这局部平安控制，分别就对数据资产、信息资产初步建立了一个对应控制关系，形成了一个资产保护目录的雏形。
监控、审计、日志

信息卷与瞄幕1RSU 与*

1RSU 与*
数据
叔资产分类
实施销毁
资产管理
—U蹈丝醐翁

3. 数据和信息资产确实权
明确数据的权属关系是数据平安治理的难点。数据的采集、存储、传输、处理、使用等每一个环节都与数据权属有直接关系。在数据采集阶段，过度采集用户隐私数据的行为 非常普遍，缺乏合理的授权制度和有效的约束措施将形成“过度收集”，如近期某头部输 入法软件就因过度收集个人隐私信息而被巨额罚款。在数据存储阶段，数据如果脱离所有 者的掌握和相关部门的监管，收集者的权力就会被过度放大。在数据传输阶段，倒卖用户 数据的事情时有发生。在数据处理阶段，对数据集进行处理加工所得出的新数据归谁所有 尚没有定论。在数据使用阶段，由数据产生的经济效益如何分配还欠缺适用的理论指导。
换言之，没有数据确权，数据平安的控制基线就难以确定，平安标准也就无从谈起。 产生这些数据权属问题的重要原因，就是数据作为一种重要资源，在法律上并没有被赋予 资产属性，数据的所有权或产权没有被广泛认可。《中华人民共和国数据平安法》正式颁 布后，虽然在一定程度上确定了数据平安的法规顶层建筑，但针对数据确权尚未有深入的 处理细那么。
虽然数据确权现阶段难以完全实现，但我们可以参考CISSP官方指南的描述管中窥 豹，初步构思一个蓝图，先确定组织内的角色，再针对角色职能分配权力和责任：一般来 说，组织内面向信息资产的主要角色有数据所有者、系统所有者、业务所有者、数据使用 者、管理员、托管员和用户。
其中，数据所有者最终负责对数据进行分级、标记和保护；系统所有者负责管理处理 数据的系统；业务所有者控制数据处理流程并确保系统能为组织创造价值；数据使用者通 常是组织处理数据的第三方实体；管理员根据数据所有者提供的准那么授予对数据的访问权 限；托管员接受数据所有者的委托负责日常数据的正确存储并保护数据；用户访问系统中 的数据。映射到商业银行体系中，数据所有者往往是业务部门；系统所有者通常来说是业 务系统主管部门，一般来说系统所有者和数据所有者是相一致的，但也有数据和系统所有 权相别离的情况；数据使用者可以是企业内其他参与数据处理的部门，也可以是第三方外 部公司；管理员负责系统内访问数据人员的权限设置和特权，通常由数据管理部门、内控 管理部门和IT部门共同扮演；托管员是银行物理系统机管部门和运维部门；用户那么可能是终端、员工、客户和其他外部人员。
——'

制定平安人员的管理策略
不管单位组织内的数据分级如何准确、资产保护目录如何完备、平安管控技术如何先 进、角色分配和数据确权如何明晰，但只要管理流程有人的参与，就必定是数据平安管理 体系内最薄弱的一环。因此，建立一套完整的数据平安团队的人员建设和管理策略必不可 少，从招聘、能力建设直到实施管控，务必全面覆盖。

一是制定严密的入职程序，在预备阶段审查候选人的能力、背景，在劳务关系建 立阶段确定保密和雇佣协议的具体细节；二是组织需要根据岗位职责、人员角色，明 确相应的能力要求，建设平安团队人员的能力培养机制。三是通过职责别离、岗位轮 调、权限管理和绩效考核等手段，将数据平安管控实施过程中人的不确定降到最低。 四是重视数据平安人员的离职程序，对离职人员在职期间接触到的有形/无形资产进 行清理和灭失，同时实行离职审计制度。五是关注外包商风险控制，对合作中的数据 交换进行合规、隐私和赔偿细那么进行明确约定。
03小结
一是数据分级是数据平安的基础，在数据平安法的基础下建立重要数据目录保护制 度，保障了重要敏感数据的平安，能为等级保护制度提供支撑基础，也有助于防控数据风 险、保障数据交易、释放数据价值。二是数据确权是数据平安的重点和难点，确权有助于 明确数据平安治理的部门、推进组织内外的数据公开化，也是数据价值评估体系和数据交 易制度的必要条件。三是客观把握数字化转型中开展和平安的平衡。数据确权确实有利于 数据平安的落地，但也客观减缓了数据在组织内外的流动性，增厚组织内的体制壁垒。过 早、过严、过窄地进行数据确权，反而可能会抑制业务开展。在明确平安基线和保证开展 速度的天平上，数据平安治理体系尚有很长一段路要走。