国产 亚洲 日韩 欧美 久久_官方网永久免费A级毛片_在线观看日本国产精品_少妇自慰流白口浆21p_高清免费一级毛片_人妻的va无码视频_中文字幕久毕节视频婷婷_女人脱了内裤让男生桶下面gif_中文字幕在线免费网站_少妇乱子伦精品区

當(dāng)前，我國連續(xù)出臺(tái)一系列關(guān)于數(shù)據(jù)安全的法律法規(guī)，從立法到執(zhí)法，監(jiān)管的步伐日益加速，數(shù)據(jù)安全的法律體系雛形漸成。在安全合規(guī)趨緊的當(dāng)下，各組織加強(qiáng)數(shù)據(jù)安全能力建設(shè)已是勢所必然。

數(shù)據(jù)安全能力是指數(shù)據(jù)在流動(dòng)過程中，組織為了保障數(shù)據(jù)的保密性、完整性、可用性而在安全規(guī)劃、安全管理、安全技術(shù)、安全運(yùn)營等方面采取的一系列活動(dòng)。

對此，如何建設(shè)數(shù)據(jù)安全能力，將圍繞數(shù)據(jù)安全能力建設(shè)的驅(qū)動(dòng)力、數(shù)據(jù)安全能力建設(shè)、數(shù)據(jù)安全規(guī)劃能力建設(shè)、數(shù)據(jù)安全管理能力建設(shè)、數(shù)據(jù)安全技術(shù)能力建設(shè)、數(shù)據(jù)安全運(yùn)營能力建設(shè)等方面作分享。

01數(shù)據(jù)安全能力建設(shè)的驅(qū)動(dòng)力

合規(guī)驅(qū)動(dòng)
《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》、《網(wǎng)絡(luò)安全等級保護(hù)條例》、《關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)條例》、《數(shù)據(jù)安全管理辦法》等國內(nèi)法律法規(guī)中明確了組織在數(shù)據(jù)安全方面的合規(guī)要求。歐盟正式施行《通用數(shù)據(jù)保護(hù)條例》（簡稱GDPR），掀起了個(gè)人數(shù)據(jù)保護(hù)立法的改革浪潮。
業(yè)務(wù)驅(qū)動(dòng)
伴隨云計(jì)算、大數(shù)據(jù)、人工智能等新興技術(shù)的飛速發(fā)展，數(shù)據(jù)作為支撐這些前沿技術(shù)存在與發(fā)展的生產(chǎn)資料，已經(jīng)成為組織的核心資產(chǎn)，受到前所未有的重視與保護(hù)。
風(fēng)險(xiǎn)驅(qū)動(dòng)
數(shù)據(jù)生命周期指的是數(shù)據(jù)從創(chuàng)建到銷毀的整個(gè)過程，包括采集、存儲(chǔ)、處理、應(yīng)用、流動(dòng)和銷毀等環(huán)節(jié)。通過對數(shù)據(jù)全生命周期各階段進(jìn)行針對性的風(fēng)險(xiǎn)分析。

02數(shù)據(jù)安全能力建設(shè)

數(shù)據(jù)安全能力建設(shè)目標(biāo)

在分析數(shù)據(jù)安全在合規(guī)層面、業(yè)務(wù)層面和風(fēng)險(xiǎn)層面所面臨的挑戰(zhàn)，融合業(yè)務(wù)、管理、技術(shù)、運(yùn)營等方面的需求后，需實(shí)現(xiàn)組織數(shù)據(jù)資產(chǎn)可視、數(shù)據(jù)血緣可溯、數(shù)據(jù)風(fēng)險(xiǎn)可控、數(shù)據(jù)威脅可管。

數(shù)據(jù)安全能力建設(shè)思路

隨著組織業(yè)務(wù)的豐富和擴(kuò)展，數(shù)據(jù)越來越多種多樣，越來越龐大，相應(yīng)的數(shù)據(jù)安全問題也變得越來越復(fù)雜。近年來，一些安全相關(guān)的機(jī)構(gòu)紛紛提出數(shù)據(jù)安全的實(shí)踐體系、方法論與解決方案。主要分為兩類：一類是“由上而下”的數(shù)據(jù)安全治理體系；另一類是數(shù)據(jù)安全能力成熟度模型體系。

數(shù)據(jù)安全治理從平衡業(yè)務(wù)需求、風(fēng)險(xiǎn)、合規(guī)、威脅到實(shí)施安全產(chǎn)品，為保護(hù)產(chǎn)品配置策略。

數(shù)據(jù)安全能力成熟度模型圍繞數(shù)據(jù)的生命周期，并結(jié)合業(yè)務(wù)的需求以及監(jiān)管法規(guī)的要求，持續(xù)不斷的提升組織整體的數(shù)據(jù)安全能力，從而形成以數(shù)據(jù)為核心的安全框架。

數(shù)據(jù)安全能力建設(shè)框架

數(shù)據(jù)安全能力建設(shè)并非單一產(chǎn)品或平臺(tái)的構(gòu)建，而是覆蓋數(shù)據(jù)全部使用場景的數(shù)據(jù)安全體系建設(shè)。為了有效地實(shí)踐數(shù)據(jù)安全能力，形成數(shù)據(jù)安全的閉環(huán)，我們需要一個(gè)系統(tǒng)化的數(shù)據(jù)安全能力建設(shè)框架。

03數(shù)據(jù)安全規(guī)劃能力建設(shè)

業(yè)務(wù)場景識別

識別業(yè)務(wù)數(shù)據(jù)使用的場景，是數(shù)據(jù)安全能力建設(shè)的出發(fā)點(diǎn)，業(yè)務(wù)數(shù)據(jù)場景識別以數(shù)據(jù)生命周期為基礎(chǔ)，通過對數(shù)據(jù)采集場景、數(shù)據(jù)存儲(chǔ)場景、數(shù)據(jù)傳輸場景、數(shù)據(jù)處理場景、數(shù)據(jù)使用場景、數(shù)據(jù)銷毀場景的分析，梳理資產(chǎn)、數(shù)據(jù)、用戶、權(quán)限等要求，指導(dǎo)各個(gè)能力維度的建設(shè)。實(shí)現(xiàn)以場景化方式指導(dǎo)安全技術(shù)、管理、運(yùn)營能力進(jìn)行落地。

數(shù)據(jù)風(fēng)險(xiǎn)評估

數(shù)據(jù)安全風(fēng)險(xiǎn)評估從業(yè)務(wù)場景識別結(jié)果著手，以敏感數(shù)據(jù)為中心、以數(shù)據(jù)生命周期為主線、以敏感數(shù)據(jù)場景為著力點(diǎn)，關(guān)注敏感數(shù)據(jù)場景、承載敏感數(shù)據(jù)的業(yè)務(wù)流程、敏感數(shù)據(jù)流轉(zhuǎn)、相應(yīng)業(yè)務(wù)活動(dòng)中涉及的各類業(yè)務(wù)執(zhí)行人員及權(quán)限，分析并評估相關(guān)業(yè)務(wù)處理活動(dòng)中存在的權(quán)限提升、信息泄露、用戶冒用、數(shù)據(jù)篡改，行為抵賴等數(shù)據(jù)安全威脅及風(fēng)險(xiǎn)。

數(shù)據(jù)分類分級

數(shù)據(jù)分類級是數(shù)據(jù)安全能力建設(shè)中的一個(gè)關(guān)鍵部分，是建立統(tǒng)一、準(zhǔn)確、完善的數(shù)據(jù)架構(gòu)的基礎(chǔ)，是實(shí)現(xiàn)集中化、專業(yè)化、標(biāo)準(zhǔn)化數(shù)據(jù)管理的基礎(chǔ)。數(shù)據(jù)分類分級可以全面清晰地厘清數(shù)據(jù)資產(chǎn)，確定應(yīng)采取的數(shù)據(jù)安全防護(hù)策略和管控措施，在保證數(shù)據(jù)安全的基礎(chǔ)上促進(jìn)數(shù)據(jù)開放共享。

04數(shù)據(jù)安全管理能力建設(shè)

構(gòu)建組織機(jī)構(gòu)

在建設(shè)數(shù)據(jù)安全能力體系過程中，從決策到管理，都離不開業(yè)務(wù)部門的參與和配合。設(shè)計(jì)數(shù)據(jù)安全的組織架構(gòu)時(shí)，可按照決策層、管理層、執(zhí)行層、員工和合作伙伴、監(jiān)督層的組織架構(gòu)設(shè)計(jì)。

建立人員能力

數(shù)據(jù)安全的人員能力主要包括幾個(gè)維度，數(shù)據(jù)安全管理能力、數(shù)據(jù)安全運(yùn)營能力、數(shù)據(jù)安全技術(shù)能力和數(shù)據(jù)安全合規(guī)能力。

制定制度流程

制度流程需要從組織層面整體考慮和設(shè)計(jì)，并形成體系框架。制度體系需要分層，層與層之間，同一層不同模塊之間需要有關(guān)聯(lián)邏輯，在內(nèi)容上不能重復(fù)或矛盾。

05數(shù)據(jù)安全技術(shù)能力建設(shè)

數(shù)據(jù)安全采集

數(shù)據(jù)采集階段主要的風(fēng)險(xiǎn)集中在采集源、采集終端、采集過程中，包括采集階段面臨的非授權(quán)采集、數(shù)據(jù)分類分級不清、敏感數(shù)據(jù)識別不清、采集時(shí)缺乏細(xì)粒度的訪問控制、數(shù)據(jù)無法追本溯源、采集到敏感數(shù)據(jù)的泄密風(fēng)險(xiǎn)、采集終端的安全性以及采集過程的事后審計(jì)等。

數(shù)據(jù)安全加密

在數(shù)據(jù)存儲(chǔ)和傳輸階段，需要建立相關(guān)加密措施來保障數(shù)據(jù)在存儲(chǔ)、傳輸過程中的機(jī)密性、完整性和可信任性。

數(shù)據(jù)訪問控制

為了保證在數(shù)據(jù)生命周期的各個(gè)階段和不同場景下的數(shù)據(jù)機(jī)密性和完整性，允許合法使用者訪問數(shù)據(jù)資產(chǎn)，防止非法使用者訪問數(shù)據(jù)資產(chǎn)，防止合法使用者對數(shù)據(jù)資產(chǎn)進(jìn)行非授權(quán)的操作訪問，往往需要對數(shù)據(jù)訪問權(quán)限加以控制和管理。

針對用戶的不同需求，可以采用基于角色訪問控制、基于風(fēng)險(xiǎn)的訪問控制、基于屬性訪問控制等技術(shù)，通過制定基于主體屬性和客體屬性的細(xì)粒度訪問控制授權(quán)策略來靈活設(shè)定用戶對數(shù)據(jù)的使用權(quán)限，從而實(shí)現(xiàn)數(shù)據(jù)細(xì)粒度的訪問控制。

數(shù)據(jù)泄露防護(hù)

數(shù)據(jù)源于業(yè)務(wù)系統(tǒng)，數(shù)據(jù)的下載和傳播都是人為操作，需要通過邊界(網(wǎng)絡(luò)、終端、虛擬化等物理邊界和邏輯邊界進(jìn)行泄漏，所以，數(shù)據(jù)泄漏防護(hù)的核心思想就是沿著數(shù)據(jù)傳遞方向逐級進(jìn)行防護(hù)，進(jìn)而達(dá)到降低風(fēng)險(xiǎn)的效果。

數(shù)據(jù)安全脫敏

敏感數(shù)據(jù)在使用過程中存在被非法泄露、被非授權(quán)篡改、假冒、非法使用等安全風(fēng)險(xiǎn)。而數(shù)據(jù)脫敏，即在保留數(shù)據(jù)原始特征的同時(shí)改變它的部分?jǐn)?shù)值，避免未經(jīng)授權(quán)的人非法獲取組織敏感數(shù)據(jù)。借助數(shù)據(jù)脫敏，信息依舊可以被使用并與業(yè)務(wù)相關(guān)聯(lián)，不會(huì)違反相關(guān)規(guī)定，而且也避免了數(shù)據(jù)泄露的風(fēng)險(xiǎn)。

目前數(shù)據(jù)脫敏的技術(shù)主要有三種：基于數(shù)據(jù)失真/擾亂技術(shù)、數(shù)據(jù)加密技術(shù)和數(shù)據(jù)限制發(fā)布技術(shù)。

數(shù)據(jù)安全審計(jì)

數(shù)據(jù)控制權(quán)的轉(zhuǎn)移帶來新的審計(jì)問題，由于數(shù)據(jù)處理各方對數(shù)據(jù)都具有訪問權(quán)限，加上數(shù)據(jù)本身具有易復(fù)制、易擴(kuò)散的特點(diǎn)，導(dǎo)致在發(fā)生數(shù)據(jù)泄露等安全事件時(shí)，往往難以界定安全責(zé)任。因此，數(shù)據(jù)安全審計(jì)需要由以系統(tǒng)為核心向以數(shù)據(jù)為核心進(jìn)行轉(zhuǎn)變。

數(shù)據(jù)安全銷毀

數(shù)據(jù)銷毀主要是指獲得組織、用戶的授權(quán)許可或請求后對數(shù)據(jù)進(jìn)行清除或銷毀。使用組織授權(quán)的技術(shù)和方法對敏感信息進(jìn)行清除或銷毀，保證無法還原，并且具備安全審計(jì)能力。數(shù)據(jù)安全銷毀能夠提供數(shù)據(jù)銷毀過程的安全審計(jì)功能，審計(jì)覆蓋到各系統(tǒng)每個(gè)用戶，對數(shù)據(jù)銷毀過程中的重要用戶行為和重要安全事件保留審計(jì)日志并進(jìn)行審計(jì)。

06數(shù)據(jù)安全運(yùn)營能力建設(shè)

數(shù)據(jù)資產(chǎn)管控

結(jié)合業(yè)務(wù)場景界識別結(jié)果，通過數(shù)據(jù)資產(chǎn)管控技術(shù)，建立面向統(tǒng)一數(shù)據(jù)調(diào)度方式，形成良性數(shù)據(jù)共享機(jī)制，提高數(shù)據(jù)置信度、優(yōu)化模型合理性、數(shù)據(jù)流轉(zhuǎn)更清晰，管理權(quán)責(zé)更明確，在以成效為導(dǎo)向的價(jià)值標(biāo)準(zhǔn)下，數(shù)據(jù)資產(chǎn)管控?zé)o疑將成為組織數(shù)據(jù)安全能力建設(shè)核心支點(diǎn)。

安全策略執(zhí)行

組織在采取適當(dāng)?shù)募夹g(shù)手段的基礎(chǔ)上，建立與組織數(shù)據(jù)安全策略一致的安全保護(hù)機(jī)制，執(zhí)行各類流程和程序以維護(hù)和管理數(shù)據(jù)資產(chǎn)。

持續(xù)安全監(jiān)控

組織制定適當(dāng)?shù)幕顒?dòng)，實(shí)施對內(nèi)部數(shù)據(jù)資產(chǎn)面臨的風(fēng)險(xiǎn)和組織外部的威脅情報(bào)的持續(xù)安全監(jiān)控，確保能夠準(zhǔn)確地檢測到異常和事件，了解其潛在影響，及時(shí)驗(yàn)證保護(hù)措施的有效性。

應(yīng)急響應(yīng)恢復(fù)

組織制定并實(shí)施適當(dāng)?shù)幕顒?dòng)，以便對檢測到的數(shù)據(jù)安全事件采取行動(dòng)，并恢復(fù)由于事件而受損的任何功能或服務(wù)，以減少數(shù)據(jù)安全事件的影響。

人員能力培養(yǎng)

組織的數(shù)據(jù)安全管理能力、技術(shù)能力、運(yùn)營能力建設(shè)等推進(jìn)落地終究離不開人的執(zhí)行，組織內(nèi)不同部門、不等層級及不同來源的員工，在不同場景下直接和間接地接觸數(shù)據(jù)資產(chǎn)，所以風(fēng)險(xiǎn)始終存在于人身上，需要逐步提升人員的安全意識，加強(qiáng)人員的數(shù)據(jù)安全管理能力、數(shù)據(jù)安全運(yùn)營能力、數(shù)據(jù)安全技術(shù)能力和數(shù)據(jù)安全合規(guī)能力。

# 總結(jié) #
組織業(yè)務(wù)發(fā)展越來越依賴數(shù)據(jù)資產(chǎn)，在有效地利用數(shù)據(jù)，最大限度發(fā)揮大數(shù)據(jù)的價(jià)值的同時(shí)，也面臨著數(shù)據(jù)帶來的諸多安全隱患問題，如隱私泄漏，數(shù)據(jù)管理、數(shù)據(jù)可用性和完整性破壞等，確保數(shù)據(jù)資產(chǎn)的安全是目前重點(diǎn)關(guān)注的問題。
文章來源：美亞柏科