1、建設指南數據安全治理北京安華金和科技有限公司2019 年 4 月前言Preface本指南由北京安華金和科技有限公司發起，并負責總體設計，最終解釋權歸北京安華金和科技有限公司所有。本指南參與起草人：楊海峰、孫錚、劉海洋、李月飛、劉思成、宣淦淼、張志剛。目錄Catalog1.范圍和目的 12.數據安全治理與傳統理念的關系和區別 12.1 數據安全治理概論 12.2 數據安全治理與數據安全防護的關系 12.3 數據安全治理與數據安全能力成熟度模型的區別 22.4 數據安全治理與數據治理的關系 33.數據安全治理體系框架 43.1 能力維度 53.2 執行維度 63.3 場景維度 64.數據安全治理能

2、力維度建設 74.1 組織建設 74.1.1 組織職能設計 74.1.2 組織架構設計 84.1.3 組織架構說明 94.2 治理評估 104.2.1 評估規劃104.2.2 評估流程124.2.3 評估內容134.2.4 評估實施174.2.5 治理建議 184.3 制度建設 204.3.1 制度體系框架設計204.3.2 制度體系框架說明204.4 技術建設 214.4.2 技術體系框架說明 225.執行維度建設 225.1 資產梳理 225.1.1 資產分布梳理235.1.2 資產訪問梳理235.1.3 資產風險梳理235.2 行為管控 245.2.1 角色定義管控245.2.2 分類分

3、級管控255.2.3 授權行為管控255.2.4 操作行為管控275.3 治理稽核 285.3.1 審計與監控295.3.2 數據流動分析295.3.3 數據訪問行為分析295.3.4 異常訪問識別與告警296.場景維度建設 306.1 數據分類分級 306.1.1 概述306.2.2 制度規范306.1.3 技術工具316.1.4 參考文件316.2 開發測試場景 316.2.1 概述316.2.2 制度規范316.2.2 技術工具326.2.4 參考文件326.3 數據運維場景 326.3.1 概述326.3.3 技術工具336.3.4 參考文件336.4 數據共享場景 336.4.1 概

4、述336.4.2 制度規范336.4.3 技術工具346.4.6 參考文件346.5 數據分析場景 346.5.1 概述346.5.2 制度規范346.5.3 技術工具356.5.4 參考文件356.6 應用訪問場景 356.6.1 概述356.6.2 制度規范356.6.3 技術工具366.6.4 參考文件366.7 特權訪問場景 366.7.1 概述366.7.2 制度規范366.7.3 技術工具376.7.4 參考文件377.糾正和優化數據安全治理體系 377.1 糾正措施 387.1.1 糾正措施的制定與實施387.1.2 糾正措施實施情況的跟蹤驗證387.2 持續優化 387.2.1

5、 能力、意識、培訓387.2.3 績效評價397.2.4 內部審核407.2.5 管理評審42數據安全治理建設指南11.范圍和目的本指南使用范圍為從事數據安全治理體系建設的企業單位和準備建設數據安全治理體系的企業和政府單位，提供參考。本指南旨在指導企業和政府單位開展數據安全治理體系建設工作，包括能力維度、執行維度、場景維度三個維度建設說明，幫助大家以實際經驗為基礎，將制度規范與技術工具有效融合，以整體提升數據安全能力為最終目的，本指南具有全面性、先進性、持續性、可落地性的特點。2.數據安全治理與傳統理念的關系和區別2.1 數據安全治理概論數據安全治理（DataSecurityGovernanc

6、e簡稱：DSG）,主要目標是“讓數據使用更安全”，只有合理的處理好數據資產的使用與安全，政府與企業才能在新的數據時代穩健而高速發展。圍繞“讓數據使用更安全”的核心目標，重點關注數據的權限和數據應用的場景，幫助用戶完成數據安全治理體系的建設。數據安全治理并非單一產品或平臺的構建，而是覆蓋數據全部使用場景的數據安全治理體系建設。因此，需要按步驟、分階段的逐漸完成。數據安全治理并不是一個項目，而更像是一項工程。為了有效實踐數據安全治理，形成數據安全的閉環，我們需要一個系統化的過程完成數據安全治理的建設。2.2 數據安全治理與數據安全防護的關系為了更加有效地理解數據安全治理概念與數據安全防護的差異，我

7、們可以做一個比較：差異對比數據安全治理數據安全防護目標方面以數據的安全使用為目標以數據的安全防護，不受攻擊為目標對象方面面向內部或準內部人員，以這些人員行為的安全管控為主要對象面向外部黑客，以對外部黑客或入侵者的防控為主要對象理念方面以數據分類分級為基礎，以信息合理、安全流動為目標以區域隔離、安全域劃分為目標手段方面以信息使用過程的安全管理和技術支撐為手段以邊界防護為主要安全手段融合方面安全產品技術和流程管理深度整合管理與技術相對分離當然數據安全治理并非是要取代數據安全防護體系，而是應形成互補關系，數據安全治數據安全治理建設指南2理是在數據安全防護體系的基礎上有效地實現對數據使用人員的安全管控

8、；數據安全治理是在網絡安全提供的有效邊界防御的基礎上完成對數據更深層次的安全保障。2.3 數據安全治理與數據安全能力成熟度模型的區別數據安全能力成熟度模型（DataSecurityMaturityModel簡稱：DSMM），是一套數據安全建設中的系統化框架，是圍繞數據的生命周期，并結合業務的需求以及監管法規的要求，持續不斷的提升組織整體的數據安全能力，從而形成以數據為核心的安全框架。圖 1 數據安全能力成熟度模型模型包含以下三個維度:1.數據生命周期安全：圍繞數據生命周期，提煉出數據環境下，以數據為中心，針對數據生命周期各階段建立的相關數據安全過程域體系。2.安全能力維度：明確組織機構在各數據

9、安全領域所需要具備的能力維度，明確為制度流程、人員能力、組織建設和技術工具四個關鍵能力的維度。3.能力成熟度等級：基于統一的分級標準，細化組織機構在各數據安全過程域的 5 個級別的能力成熟度分級要求。DSMM 模型與 DSG 理論之間既有相同，又有區別；兩個安全體系都強調以數據為中心建立系統化的數據安全治理體系，在數據安全的建設上，都不是強調唯技術論，都強調組織建設、制度流程和技術工具的綜合作用。但 DSG 和 DSMM 有以下重要區別：1.DSG 是以數據的分類分級為核心，進行安全策略的設定；DSMM 是以數據的生命周期為核心，尋求安全策略的覆蓋；2.DSG 體系化建議了數據使用或服務的人員

10、的角色，根據角色對數據使用的主要場景，數據安全治理建設指南3提供建議的安全措施，以及所要使用的安全工具；而 DSMM 更多的是提供一種評估方法，看數據使用的過程中，企業是否定義了明確的控制措施，并無具體化的推薦；3.在DSG體系中，將安全體系的構建，明確歸納為安全政策的制定，技術支撐平臺的建設，安全政策執行有效性的監督，安全政策的改善這一持續循環過程；而 DSMM 對安全成熟度進行了等級化分級，將持續改善定義為最高級別；在 DSG 的理念中，無論在完成了多少的安全建設，持續改善都是一個標準動作。4.DSG 并不會按照數據生命周期的階段去完成覆蓋，因為在 DSG 中并不強調數據的產生和銷毀，在

11、DSG 中數據的存在是一種客觀事實，數據一旦存在和使用，將不斷的擴散，數據無法銷毀。5.從本質上講，DSG 更像一種方法論，幫助企業如何迅速構建一套行之有效的數據安全治理體系；而 DSMM 更像一種評估方法，像一個考試，讓企業或監管機構來評價企業當前的安全建設狀態。2.4 數據安全治理與數據治理的關系信息系統建設發展到一定階段，數據資源將成為戰略資產，而有效的數據治理才是數據資產形成的必要條件。數據治理是指從使用零散數據變為使用統一數據、從具有很少或沒有組織和流程治理到企業范圍內的綜合數據治理、從嘗試處理數據混亂狀況到數據井井有條的一個過程。數據治理的作用就是確保企業的數據資產得到正確有效的管

12、理，數據治理從組織架構、原則、過程和規則等方面確保數據管理的各項職能得到正確的履行。數據治理其實是一種體系，是一個關注于信息系統執行層面的體系，這一體系的目的是整合 IT 與業務部門的知識和意見，通過一個類似于監督委員會或項目小組的虛擬組織對企業的信息化建設進行全方位的監管，這一組織的基礎是企業高層的授權和業務部門與 IT 部門的建設性合作。從范圍來講，數據治理涵蓋了從前端事務處理系統、后端業務數據庫到終端的數據分析，從源頭到終端再回到源頭形成一個閉環負反饋系統（控制理論中趨穩的系統）。從目的來講，數據治理就是要對數據的獲取、處理、使用進行監管（監管就是我們在執行層面對信息系統的負反饋），而監

13、管的職能主要通過以下五個方面的執行力來保證發現、監督、控制、溝通、整合。從嚴格意義上來看，數據安全治理是數據治理中的一個過程，在今天對數據資產高度重視和個人隱私數據高度監管的年代，數據安全治理更應該是數據治理的一個重要組成部門。但從實際操作上來看，兩者之間又有很大的不同：1.從發起部門來看：數據治理主要是由 IT 部門在驅動；數據安全治理主要是由安全合規部門在驅動。當然兩者的成功都要涉及到業務、運維和管理部門甚至企業單位最高管理決策層。數據安全治理建設指南42.從目標上看：數據治理的目標是數據驅動商業發展，提升企業數據資產價值。而數據安全治理的目標讓“數據使用更安全”，保障數據的安全使用和共享

14、，實質也是保障數據資產價值。3.從工作內容產出上看：數據治理工作產出上，一個核心成果就是數據質量提升，通過數據的清洗和規范的過程，獲得有質量的數據。而數據安全治理的重要產出，就是以數據的分類分級為基礎，完成企業對數據的合規安全訪問政策和措施。4.從數據資產梳理上看：數據治理的資產梳理的主要產出物就是元數據。元數據管理，即賦予數據上下文和含義的參考框架。而數據安全治理中的資產梳理，要明確數據分類分級的標準，敏感數據資產的分布，敏感數據資產的訪問狀況和授權報告。5.當然，在當前的數據治理中也逐漸在加大對數據安全的要求，但相對而言還屬于從屬組成部門，并未形成系統化；這就如同數據安全在 IT 建設中的

15、關系一樣。3.數據安全治理體系框架數據安全治理不僅僅是一套用工具組合的產品級解決方案，而是從決策層到技術層，從管理制度到工具支撐，自上而下貫穿整個組織架構的完整鏈條。組織內的各個層級之間需要相互協作，對數據安全治理的目標和宗旨達成共識，并從能力、執行、場景三個維度建設數據安全治理體系，以最有效的方式保護信息資源，數據安全治理體系框架如下圖：數據安全治理體系框架數據安全治理建設指南5能力維度：完善的組織機構、有針對性和可行的管理制度和規范、全面和先進的數據安全技術，是構建數據安全治理體系的基礎。執行維度：針對數據使用的各個場景，需要通過梳理來了解數據資產狀況和風險；配合制度規范要求，采用不同的安

16、全技術手段進行數據使用過程中的管控，同時要監控使用過程，對訪問行為進行稽核，并不斷完善。場景維度：數據安全治理涵蓋數據在日常使用過程中面臨的各種場景，具體包含開發測試、運維、共享、分析、應用訪問、內部特權訪問等場景。3.1 能力維度圖 3 數據安全治理能力維度圖組織建設：組織的職責可劃分為數據安全策略的決策、數據的安全管理、數據安全使用的監督三類，根據不同職責分配角色和人員。治理評估：組織在進行規劃過程中，應定期通過業務合規性評估手段開展咨詢評估工作，對業務系統和數據安全進行全面檢測，并對評估結果進行安全能力分析，從而形成業務系統數據安全能力評估報告。制度建設：將制度、規范按照方針政策、制度規

17、范、操作明細、基礎模板四類進行分類，形成樹狀結構，便于管理。技術建設：數據安全技術，支撐制度規范的執行與監控，技術工具建議使用標準的數據安全產品或平臺，也可以是自主開發的組件或工具；技術工具應覆蓋數據使用的各個場景中的數據安全需求。數據安全治理建設指南63.2 執行維度圖 4 數據安全治理執行維度圖資產梳理此過程是數據安全治理全維度的基礎，因為，只有摸清資產使用部門和角色、數據資產的分布、數據量級、訪問權限、數據使用狀況，才能夠有效的針對數據進行精細化的安全管控。行為管控此過程是結合業務流程，在數據流轉中的數據訪問、數據運維、數據傳輸外發、數據存儲等各環節做到內外兼顧，并對數據處理/使用環節中

18、的數據進行安全保護。治理稽核稽核是保證數據安全治理規范落地的關鍵，也是信息安全管理部門的重要職責。因此，此環節是保障數據安全治理的策略和規范能否被有效執行和落地，以及最終實現數據安全治理全流程的閉環。3.3 場景維度圖 5 數據安全治理場景維度圖數據安全治理的場景，是要明確在數據安全治理的過程中以場景化方式指導安全技術進行落地。所以在場景維度，必須首先分析用戶業務場景，包含但不限于如：開發測試、數據數據安全治理建設指南7運維、數據分析、應用訪問、特權訪問等場景，然后按照能力維度中所梳理的資產、數據、用戶、權限等內容導入到場景化，包括早期策略制定前的數據梳理工具，數據訪問過程控制中，采用什么樣的

19、技術手段幫助實現數據的安全管理過程，以及在后期對數據安全治理工作進行稽核的過程中采用什么樣的技術工具進行輔助監管。結合數據安全治理工具幫助完成數據安全治理工作。4.數據安全治理能力維度建設4.1 組織建設數據時代的到來，數據資產價值迅猛增加的同時，數據安全面臨的挑戰也越來越大，傳統的安全部門已不能勝任數據時代下的數據安全相關工作，數據安全工作會涉及業務、IT、運維、開發，甚至財務、法務等諸多部門和環節，因此需要建立對數據狀況熟悉的專責部門來負責數據安全治理體系的建設工作。由于數據安全與業務密不可分，因此，在建設數據安全治理體系過程中，從決策到管理，都離不開業務部門的參與和配合。4.1.1 組織

20、職能設計組織職能的設計需要遵循由高到低的完整體系，從決策層、管理層、支持層、監督層來入手進行設計，如下圖所示：圖 6 數據安全治理職能架構圖4.1.1.1 決策層決策層在開展數據安全治理體系建設過程中，負責對數據安全的目標、范圍、策略進行決策，決策層屬于虛擬組織。決策層應包括如下角色：牽頭人：由數據安全部門負責人擔任；最高決策人：一般由信息化最高領導擔任；成員：業務、IT、運維、開發等部門的負責人。數據安全治理建設指南8決策層具體職責如下：1.數據安全總體方針、策略和目標的制定；2.協調資源；3.各項制度、規范的發布。4.1.1.2 管理層管理層負責數據安全治理體系建設的具體工作，管理層的成員

21、一般由數據安全部門承擔，其主要職責如下：1.制度規范的制定；2.執行方案的設計；3.配合監督工作的順利開展；4.安全手段的配置；5.制度和安全技術的有效性論證；6.協調其它部門的負責人或代表提供配合；7.征詢其它部門關于數據安全管控的意見。為保證職責的有效履行，管理層可分成數據安全組和安全管理組兩部分，數據安全組偏重于數據安全管理、流程審批、策略制定，安全管理組偏重于安全技術手段。4.1.1.3 監督層監督層是獨立的組織，成員不建議由其它部門兼任，一般由審計部門擔任，監督層需要定期向決策層匯報當前數據安全狀況。監督層主要職責如下：1.統計數據安全制度的落實情況；2.驗證安全手段應用的有效性；3

22、.數據訪問行為的監控和審計；4.數據違規使用的識別。監督層的工作建議分成內審和外審，內審由內部的部門和人員開展審計工作，外審則聘請第三方公司或團隊開展審計工作。4.1.1.4 支持層支持層成員是指來自業務部門和職能部門的人員，以兼職的形式參與，主要負責評估安全手段和制度執行的可行性，提出在業務開展過程中的數據安全需求。4.1.2 組織架構設計為保障數據安全治理體系的持續化建設工作順利開展，須建立獨立的數據安全部門負責數據安全治理建設指南9數據安全相關工作，組織成員應包括業務部的人員（可以兼職），具體設計如下圖所示：圖 7 數據安全治理組織架構設計圖總體說明：數據安全部門是一個獨立的部門，需要配

23、合審計部提供審計支持工作，下設數據安全組和安全管理組。4.1.3 組織架構說明數據安全部：接受決策小組的指導和授權，總體負責數據安全治理體系的建設工作，包括制度制定、技術實現、體系運營等工作。數據安全組：負責基于數據的相關工作，數據的使用統一管理，授權審批流程的設計，并參與審批工作。數據安全員：主要負責數據分類分級管理、數據資產管理、數據訪問管理，數據訪問管理包括數據共享、開發測試、應用訪問等場景；權限管理員：主要負責數據授權審批流程的設計，并作為數據管理者參與到流程中，審批通過后，負責數據授權工作；運維管理員：制定數據運維相關制度和規范，數據運維黑白名單管理；業務代表（虛擬）：來自于其它部門

24、的負責人或代表，參與數據使用管控制度和技術執行的評審工作，結合各自業務，提出數據安全管控的建議等。安全管理組：組內角色可分為安全管理員和日志管理員。安全管理員主要負責安全技術的實施工作，根據制度規范，對技術手段進行配置；日志管理員主要負責安全手段在運行過程中日志的統計和管理工作。數據安全治理建設指南10審計部：角色可分為安全審計員和風險分析員。安全審計員主要負責數據的各使用場景是否嚴格按照既定的制度規范在使用，審計范圍包括業務審計和管理審計；風險分析員主要負責利用業務數據技術對數據流動過程中產生的日志進行分析，一方面要發現潛在的風險并及時上報，另一方面為制度體系和安全技術體系的完善提供依據。4

25、.2 治理評估數據安全管理責任部門在建設、運營重要業務系統時，應當首先進行數據安全治理風險評估，堅持“先評估、后治理”的原則，經專業數據安全咨詢單位咨詢評估，在充分考慮咨詢評估意見的基礎上作出決策決定。數據安全管理者在進行規劃過程中，要充分發揮數據安全咨詢的作用，應定期通過業務合規性評估手段開展咨詢評估工作，對業務系統和數據安全進行全面檢測，并對評估結果進行安全能力分析，從而形成業務系統數據安全能力評估報告，為后續數據安全治理執行維度建設和場景維度建設提供支撐。4.2.1 評估規劃4.2.1.1 評估思路作為風險管理的起點,安全風險評估對于了解安全現狀,明確安全目標,制定安全對策都具有至關重要

26、的意義。面向業務數據風險評估的實施過程如圖1所示。業務對象分類業務數據估計業務威脅識別脆弱性識別風險計算與分析圖 8 業務數據風險評估實施過程圖數據安全治理評估服務人員（以下簡稱評估服務人員）應準確結合業務對象進行分類，對業務數據進行梳理、業務威脅進行識別、脆弱性識別，并通過國家相關信息安全評估標準，計算風險生成評估結果。根據風險計算結果針對業務數據安全能力出具治理評估報告和安全治理建議，從而幫助組織建立 3-5 年的業務數據治理安全能力整體規劃。在此應建立面向業務風險評估方法將各類業務系統中的數據直接作為安全評估對象,通數據安全治理建設指南11過開展各類調查對業務系統數據風險做出評價。在大型

27、信息系統中,業務系統數量多,評估涉及范圍廣、難度大,而且不同業務系統的數據各個安全性要素互相覆蓋,各自評估將導致評估工作內容的冗余和重復。比如信息系統所在地點的環境安全因素就對所有業務系統產生類似的影響。因此,有必要根據業務特點劃分相應的業務類別,在評估過程中對某一類別中有代表性的業務進行重點評估。根據實際經驗,業務系統的分類應該咨詢業務專家,并充分考慮業務特點如數據安全要求、業務實時性要求、對整個系統的服務范圍和影響力等因素。大多數信息系統可以按圖 2所示劃分為四大類別（這里由于未涉及具體業務系統,故表中的信息并不完整,實際評估工作中的業務分類應該根據實際情況進一步細化）。圖 9 系統劃分業

28、務類別示例4.2.1.2 評估原則 4.2.1.2.1 關鍵業務原則數據安全管理責任部門需要以關鍵業務數據作為評估工作核心，把涉及這些業務數據相關網絡、系統、數據，如基礎網絡、業務網絡、應用基礎平臺、業務應用平臺、數據存儲平臺等作為評估的重點，并且需基于業務創建數據流的圖表化呈現。這里有多種技術可用于圖表構建。使用數據流圖，并添加“信任邊界”。每次機密數據需要跨越信任邊界時，對于安全性、策略、流程或實施的要求可能會發生變化，因此將會在數據流中識別出威脅。4.2.1.2.2 可控性原則在數據安全風險評估實施過程中，嚴格按照數據安全治理管理方法對服務過程人員和工具等進行控制，以保證數據安全風險評估

29、過程中可控和安全。服務可控性：數據安全風險評估服務人員（以下簡稱評估服務人員）事先與數據安全管理責任部門開展評估工作溝通會，介紹評估服務流程，明確評估對象以及需要數據安全管理責任部門需要配合的工作內容，以確保數據安全風險評估的順利進行。人員可控性：參與評估的服務人員需要與數據安全管理責任部門簽署協議，以保證評估服務的安全性，并且對工作過程中數據和結果數據嚴格管理，未經授權不泄露給其他單位數據安全治理建設指南12及人員。過程可控性：按照數據安全管理責任部門的要求，成立評估服務團隊，由項目組長負責整體管理，以達到數據安全風險評估服務過程可控。工具可控性：評估服務人員使用的工具，會事先與數據安全責任

30、部門溝通，確保工具不對業務及數據造成影響。4.2.1.2.3 最小影響原則評估服務人員對業務系統數據安全風險評估時，首要保障業務系統穩定運行，梳理數據或進行業務調研工作時，與數據安全管理部門溝通并制定應急方案。進行數據庫漏洞驗證工作時，會避開業務高峰期。4.2.2 評估流程數據安全風險評估的過程如下圖所示。圖 10 數據安全風險評估過程建立評估對象、風險評估、風險處理和評估決策、啟動評估是數據安全風險評估的 5 個基本步驟。1）建立評估對象階段：確定數據安全風險評估的對象和范圍，對涉及業務數據的數據庫、服務器、文檔等進行相關信息的調查分析，并準備數據風險管理的實施。2）風險評估階段：根據數據安

31、全風險評估的范圍識別數據資產，分析業務系統數據所面臨的威脅以及脆弱性，結合采用數據安全控制措施，在技術和管理兩個層面對業務系統數據所面臨的風險進行綜合判斷，并對風險評估結果進行等級劃分。3）風險處理階段：綜合考慮風險控制的成本和風險造成的影響，從技術、組織和管理數據安全治理建設指南13層面分析業務系統數據的安全需求，提出實際可行的數據安全措施。明確業務系統數據可接受的風險程度，采取接受、降低、規避或轉移等控制措施。4）評估決策階段：包括決策和持續監督兩部分。依據評估的結果和處理措施，判斷能否滿足業務系統數據的安全要求，決策層決定是否認可風險。數據安全管理責任部門對業務部門、業務系統、業務數據相

32、關環境的變化進行持續監督。5）啟動評估階段：在業務系統產生新的安全風險并影響到業務系統數據安全保障級別時，決策層可決定啟動新一輪的數據安全風險評估和風險處理。監控審核和溝通咨詢貫穿于上述基本步驟，跟蹤業務系統和業務數據的安全需求變化，對數據安全風險管理活動的過程和成本進行有效控制。4.2.3 評估內容從數據安全管理角度來看，在目前業務數據應用和安全的環境下，數據安全管理責任部門目前工作的重點是，如何從宏觀的視角看管理據安全。當前數據安全管理責任部門最需要的是，如何制定對業務部門數據安全保護能力。這個問題對行業發展以及本單位業務數據安全的上級監管來說，都是至關重要的。4.2.3.1 評估實施目標

33、數據安全風險評估建設需要以業務數據為核心的數據安全治理框架，在框架建立過程中以業務數據安全能力咨詢評估為基礎、設計出業務數據安全治理總體規劃，并建立以數據分類分級方法論，建立以數據分類分級、數據管控、數據行為審計等角度的主動防御措施，落實國家相應的法律、標準和規范要求，嚴格保障本單位業務數據的安全合規使用。數據安全管理責任部門在有效使用的前提下實現數據安全，建立合理及有效的業務數據安全治理及使用的方法論，通過建立安全管理規范，高效共享、開放數據，并防止數據泄露以及被濫用，形成一套安全的數據服務體系，以數據安全使用為目標，逐步實現以下工作：1）數據安全等級設定數據分級，是指從隱私安全與保護成本的

34、角度出發，對數據資產進行分類和等級劃分，進而根據不同需要對數據資產進行重點防護。具體等級定義可分為敏感數據、重要數據、一般數據。2）數據操作人員管理專崗要求：用戶按類賦權。用戶賬號應使用組、角色等組合方式進行權限分配，以方便授權管理和統計。專人要求：用戶身份唯一性。每個用戶賬號的設置，均應對應唯一的使用人，而非一個部門或一個小組。用戶賬號的使用者應對使用該賬號所產生的后果承擔相應責任。如果因為某種特定需求而不能實現用戶身份的唯一性時，必須有相應的后備控制措施確數據安全治理建設指南14保用戶行為的可追溯性和不可抵賴性。3）數據安全使用評審評審根據數據使用方業務發展所需，提出數據需求，包括業務上明

35、確需求目的、使用場景及范圍、使用方責任人，技術上明確數據內容、格式、周期、時段、緊急程度等。4）數據使用授權流程授權流程：用戶權限需經過申請、審批、開通、變更和刪除等環節的相關操作。用戶賬戶申請、注銷及變更過程中應有書面或郵件的申請、變更及審批記錄。注銷流程：用戶賬戶注銷時，應對該用戶賬號進行禁用或刪除（一般可先禁用，一段時間如半年后，再刪除）。5）數據共享流程制定各類單位內部、外部數據的共享流程，保證各類通道的數據使用安全可控。4.2.3.2 評估范圍在確定數據安全風險評估所處的階段及相應目標之后，即可進一步明確數據安全風險評估范圍，內容主要包含：單位全部數據及業務數據等。承載數據的各類數據

36、資產等。業務管理部門、業務責任部門等。業務信息系統、關鍵業務流程等。在確定數據安全風險評估范圍時，結合已確定的目標、部門、人員等實際建設情況，合理定義評估數據和權限范圍邊界，數據安全風險評估范圍邊界的劃分主要包含：1）業務系統的業務邏輯邊界：如生產數據存儲系統、公共服務系統、內網業務系統、共享交換系統、容災備份系統、互聯網 APP 系統等。2）數據庫系統邊界：如數據存儲區、互聯網接入區、互聯網 DMZ 區、專網接入區（分支機構）、核心交換區、共享接入區、業務服務器區、災備系統區等。3）物理環境邊界：如每個區域的接入方式、帶寬狀況、服務器類型、安全設備類型、安全設備型號等。4）人員管理權限邊界：

37、如數據安全管理人員、業務人員、運維人員、測試開發人員、第三方人員等。5）其他：如本單位的網絡情況以文字形式描述網絡系統采用的架構、分區情況、主要功能等，提供網絡拓撲圖。4.2.3.3 評估依據根據數據安全風險評估目標以及業務系統調研情況，參考國家、行業、部門標準規范確數據安全治理建設指南15定評估依據和評估方法，參考內容包括：1）國家法律、法規。2）現行國際標準、國家標準、行業標準；3）行業主管單位的業務管理辦法和制度；4）信息系統安全等級保護相應的基本要求；5）本單位的數據安全要求；6）系統自身通用型實時或性能要求等。4.2.3.4 評估工具根據業務場景、業務流程和業務數據選擇合理的評估工具

38、，評估工具的選擇應遵循可控、最小影響等原則，需要包含：1）對數據庫脆弱性評估工具，需要具備全面的脆弱性核查與檢測能力；2）工具具備全面豐富的數據庫缺省口令、弱口令、低安全配置、DBMS脆弱點、補丁漏洞、程序后門、易受攻擊代碼等類別的知識庫；3）工具的檢測策略和檢測方式不能對業務的正常運轉造成影響；4）工具的檢測能夠按照指定敏感數據特征，對業務系統的數據進行自動的識別，發現敏感數據，并可以根據規則對發現的敏感數據清單進行導出。5）工具可采用自動執行規則的策略模式，自動識別業務系統敏感數據，避免人員的繁瑣工作，同時能夠持續的發現業務系統產生新的敏感數據。6）工具能夠對業務系統數據庫中對象的權限進行

39、檢測，可分析數據庫中的用戶的啟用狀態、權限劃分、角色歸屬等基本信息。7）工具在執行評估檢測任務后形成檢測報告，報告應支持數據安全風險綜合報告、數據風險點檢測報告、業務數據詳細檢測報告等類型；報告中應包含漏洞的來源、CVE/CNNVD 編號、風險級別、漏洞類型、漏洞描述、修復方法等詳細內容。8）可采用多種評估工具對同一業務系統數據進行檢測，如果出現檢測結果不一致的情況，采用人工復檢和分析，給出與實際情況最為相符的結果判定。4.2.3.5 評估類別4.2.3.5.1 組織建設評估評估項目組應根據評估目標，對組織建設進行脆弱性識別，需要與組織建設的各職能決策層溝通，明確各職能決策層的工作及責任，確定

40、各職能決策層劃分是否合理，如出現不合理情況，應由評估項目組根據業務流程、工作職責等方面，確定組織建設職能決策層人員，由職能部門委派配合人員，并提供數據安全風險評估相關支持工作。4.2.3.5.2 制度體系評估數據安全治理建設指南16數據安全風險評估制度體系方面，根據本單位安全管理要求，對負責業務系統數據庫管理和運維部門進行安全管理核查，核查內容涵蓋業務數據安全規章制度的合理性、完整性、適用性等。4.2.3.5.2.1 數據安全管理部門安全管理部門指在本單位安全管理機構設置、職能部門設置、崗位設置、人員配置等是否合理，分公是否明確、職責是否清晰、工作是否落實。核查方法包括：通過查閱已發布管理制度

41、、查閱部門活動記錄文檔、調查詢問等。4.2.3.5.2.2 數據安全管理制度數據安全管理策略為本單位實施數據安全管理提供指導意見。安全管理策略核查主要核查安全策略的全面性、合理性。核查方法包括：查看是否存在數據安全管理制度文件，并詢問安全管理人員、業務人員、運維人員，分析制度的有效性，識別數據安全管理制度存在的漏洞。4.2.3.5.2.3 人員安全管理人員安全管理包括：人員錄用、教育與培訓、考核、離崗等內容，以及訪客人員的數據訪問控制管理。核查方法包括：查閱相關制度及活動記錄文件，要求相關人員執行相應的業務流程或數據測試任務，或以訪客身份模擬數據安全風險的行為來識別數據安全存在的脆弱性。4.2

42、.3.5.2.4 運維安全管理業務系統數據庫運維管理也是保障業務系統正常運行的重要環節，涉及業務系統正常運行和本單位業務的正常運轉，包括：物理環境、數據資產、安全設備、存儲介質、網絡、應用系統、數據庫賬號/密碼、應用賬號/密碼等安全管理，以及數據庫惡意代碼防范、安全監控和管理、數據庫賬號權限變更、數據備份與恢復、安全事件應急預案管理等。核查方法包括：審閱數據庫運維相關制度文件、操作手冊、運維活動記錄、現場查看運維情況、詢問運維人員、讓運維人員演示相關數據操作等方式，從而識別數據庫運維管理脆弱性。4.2.3.6 技術體系評估對于數據安全風險評估技術體系方面的評估，可分為資產發現、風險梳理、安全規

43、劃、安全聚焦、后期支撐五個部分。五部分內容相互銜接、相互支撐、相互補充，共同為數據安全治理落地提供堅實的基礎。4.2.3.6.1 資產發現資產發現的目標是發現數據資產，并結合分類分級原則，形成數據資產分類分級梳理報告。數據資產分類分級梳理報告將為后期工作指明方向和側重點。4.2.3.6.2 風險梳理數據安全治理建設指南17風險梳理的目標是梳理出靜態資產和敏感數據流轉中存在的安全威脅。靜態資產發現安全威脅以掃描技術為核心，輔以人工驗證。敏感數據流轉過程中的安全威脅發現，以安全專家經驗為核心，最終形成安全威脅梳理報告。4.2.3.6.3 安全規劃安全規劃的目標是在安全威脅梳理報告和數據資產分類分級

44、梳理報告的基礎上抽象出符合政策/行業規范、并能解決安全威脅梳理報告中主要安全問題的整體安全規劃報告。完成整體安全規劃報告需要充分聽取 IT 部門、業務部門、安全部門的意見。4.2.3.6.4 安全聚焦安全聚焦的目標是在整體安全規劃報告的框架下，完成對每種資產的安全加固指南和每種安全產品的策略建議。應該形成一系列的數據庫安全加固報告、主機安全加固報告、網絡安全加固報告、核心軟件安全加固報告和各種安全產品的安全策略設置建議，以保障數據安全治理能確實落地。4.2.3.6.5 后期支撐數據安全治理會是一個長期的、動態的工作，所以后期的定期巡檢同樣也是數據安全治理的核心工作之一。定期巡檢可以確定新產生的

45、敏感數據是否嚴格按照原來數據安全治理框架執行，同時能夠發現遺漏的安全問題和違規行為，并及時修正。4.2.4 評估實施數據安全風險評估實施團隊由被評估單位與評估機構共同組建，數據安全風險評估小組由被評估單位決策層、數據安全責任部門及評估服務機構組成，并聘請相關專業技術專家和技術骨干組成專家組。數據安全風險評估小組完成評估前表格、文檔、檢測工具等各項準備工作，進行風險評估技術培訓和保密教育，制定風險評估過程管理規定，編制應急預案等。為確保數據安全風險評估工作順利有效的進行，應采用合理的項目管理機制，主要相關成員角色與職責應包含：1）評估服務方：a）項目組長：是風險評估項目實施方的管理者、責任人，具

46、體工作職責包括：根據項目情況組建評估項目實施團隊。根據項目情況與被評估方一起確定評估目標及范圍。組織項目組成員對被評估方實施系統調研。根據評估目標、范圍及系統調研情況確定評估依據，并組織編寫評估方案。負責將項目成果交付被評估方，向被評估方匯報項目成果。b）安全評估人員：是負責風險評估項目中技術與管理方面評估工作的實時人員，具體工作職責包括：數據安全治理建設指南18根據評估目標與評估范圍，確定參與系統調研，編寫業務系統數據調研報告的技術與管理部分內容。參與編寫數據安全風險評估方案將各階段技術型評估工作成果進行匯總，向被評估方解答評估結果中有技術性、管理性細節問題。2）被評估方：a）項目組長：被評

47、估單位的管理者，具體工作職責包括：與評估服務方組長進行工作協調。組織本單位的項目組成員在風險評估各階段活動中的配合工作。組織本單位的項目組成員對評估服務方提交的評估信息、數據及文檔資料進行確認，并對出現偏離的內容及時進行指證。組織本單位的項目組成員對提交的結果進行審核。參與風險評估項目進行驗收。b）項目組員：包含數據安全管理人員、業務人員、運維人員、開發人員等，具體工作職責包括：在項目組長的安排下，配合評估服務人員各階段工作。參與數據安全評估方案研討。參與評估服務方提交的評估信息、數據及文檔資料的確認，并對出現偏離的內容及時進行指正。參與風險評估項目驗收。3）專家組：負責對大型、復雜、敏感的數

48、據安全風險評估項目進行工作指導，具體工作職責包含：幫助評估服務方和被評估單位規劃總體工作思路和方向。對出現的關鍵性疑難問題進行決策。對風險評估結論進行確定。4.2.5 治理建議 4.2.5.1 安全風險賦值通過分析評估數據，充分考慮數據資產風險利用難易程度以及對業務的影響情況，進行風險值計算，識別和確認高、中、低風險，采取 DSG-RC 模型（DataSecurityGovernance-RiskCyclic）對安全漏洞進行風險等級評估。在量化風險的過程中，對每個威脅進行評分，并按照下表進行等級劃分計算?！撅L險=潛在危害+可利用性+困難程度+影響范圍+發現程度】數據安全治理建設指南19DSG-

49、RC 模型風險等級風險類別高（3 分）中（2 分）低（1 分）潛在危害獲取超級管理員權限；執行數據超批量操作；非法下載文件等等。泄露敏感信息泄露其他信息可利用性操作者可以隨意再次攻擊；操作者可以隨意修改、刪除、獲取數據。操作者可以重復攻擊、修改、刪除、獲取數據，但有時間或其他條件限制；操作者很難重復攻擊或操作數據。困難程度初學者在短期內能掌握數據攻擊、訪問、操作方法。熟練者才能完成這次攻擊；有權限者可通過內網無限制訪問、操作數據。漏洞利用條件非?？量?；數據訪問需經過責任部門授權后才能夠訪問。影響范圍所有用戶和核心數據，如：默認配置、超級管理員用戶、批量數據操作。部分用戶和內部敏感數據，如：非默

50、認配置、關鍵用戶、增/刪/改數據操作。極少數用戶和公開數據，如：個人配置、一般用戶、查詢數據操作。發現程度在公開區域，漏洞很明顯，攻擊條件很容易獲得；數據可被隨意訪問、操作、獲取。在內部區域，需要深入挖掘漏洞；內部用戶能訪問到任意數據，可執行任意操作。在公開區域，發現漏洞極其困難；授權用戶可訪問部分數據，只可執行授權操作。說明：每一項都有 3 個等級，對應著權重，從而形成了一個矩陣。通過數據安全風險評分，對風險情況進行綜合分析與評價，風險分析時基于計算出的風險值確定風險等級，風險評價是對業務數據安全風險的綜合評價。風險等級劃分為低、中、高三個級別，分值情況如下：風險等級對應表：分值等級5-7

51、分低風險8-11 分中風險12-15 分高風險4.2.5.2 風險評估報告當評估服務方獲得風險內容及風險等級后，通過數據安全治理分析模型輸出風險評估報告，報告內容包含：該風險對單位、業務、系統及數據的影響范圍、影響程度，并依據國家的法規標準形成風險評估結論。4.2.5.3 安全整改原則當生成業務數據安全風險評估報告及安全整改建議時，首先應依據國家、行業部門發布的數據安全建設風險處理辦法進行加固，如依據等級保護相關要求實施的安全加固工作，應滿足等級保護相應等級的安全技術和管理要求。數據安全治理建設指南204.2.5.4 安全整改建議安全整改建議根據業務數據安全風險的嚴重程度、加固措施難易程度、所

52、投入人員力量及資金成本等因素綜合考慮。對于高風險、易于實施的數據安全問題，建議被評估方立即采取安全整改措施。對于高風險、中風險、不便于實施的數據安全問題，建議立即制定安全整改方案，進行實施安全整改建設；整改前對相關安全隱患進行梳理，并做好應急預案。對于高風險、不易于實施的數據安全問題，建議制定限期實施的整改方案，整改前保持對相關數據安全隱患的監控。4.3 制度建設4.3.1 制度體系框架設計為便于管理，制度需要按照體系化的方式進行建設，可以參考 數據安全建設指南-2013數據安全治理體系要求，將制度分為四級，如下圖所示：圖 11 制度框架設計示例一級文件為方針政策、二級文件為制度規范、三級文件

53、為操作明細、四級文件為基礎模板。除一級文件外，其它級別的文件在制定的時候具有唯一上級，同級文檔內容不能重復，最終形成樹狀結構。4.3.2 制度體系框架說明4.3.2.1 一級文件由決策層指導編制并發布，明確數據安全工作的總體方針和綱要，確定開展數據安全工數據安全治理建設指南21作的目標和基本原則，主要內容包括：1.數據安全相關責任的劃分；2.數據安全工作的范圍、決策機制；3.數據安全工作技術路線。4.3.2.2 二級文件在總體方針的框架下，形成基于數據場景的制度規范，如數據安全管理規范（通用規范）、數據共享管理規范、數據資產管理規范等。二級文件要明確相關角色的權利和義務，面向相關對象（包括人、

54、應用、工具）提出要求。4.3.2.3 三級文件基于二級文件提出的要求，形成具體的執行文件，如脫敏規范、審批流程、審計日志規范等，三級文件是指導技術落地的基礎。4.3.2.4 四級文件四級文件是基礎輔助類文件，由三級文件在執行過程中產生和沉淀而來，例如：數據權限申請模板、脫敏申請模板、流程審批模板等。4.4 技術建設技術體系框架設計數據安全治理強調的是技術能力的運用，而不是產品的堆積和平臺的建設，具有良好的靈活性，目標是將數據安全技術融入到數據使用場景中。圖 12 數據安全防護方案設計數據安全治理建設指南224.4.2 技術體系框架說明 4.4.2.1 梳理層面通過人工和工具相結合的方式對數據資

55、產進行梳理，以及訪問狀況的梳理和風險情況的梳理，全面了解當前數據狀況并可以實時監控數據資產的變化情況。采用工具的方式可以減輕工作量，提升準確率和效率。4.4.2.2 管理層面通過建立系統的方式來對數據安全治理過程中的管理工作進行支撐，屬于行政類和基礎類工具，通過管理層面技術工具的運用，可以使安全管理工作有秩序的開展，屏蔽灰色行為的發生。另外，在發生數據安全事件時，可以有效應對，及時下發策略。4.4.2.3 技術層面技術層面需要從資產加固、行為管控、行為稽核三個方面進行建設。資產加固：主要是對數據庫進行安全加固，例如數據加密、虛擬補丁技術等；行為管控：要針對數據使用的各個場景，選用不同的技術工具

56、進行安全管控，例如生產數據應用于開發測試的時候，需要采用靜態脫敏技術對數據進行脫敏后再導入目標數據庫，同時要采用違規行為識別與阻斷技術進行管控，降低數據在開發測試過程中泄露的概率；行為稽核：通過審計技術、行為分析和風險分析輔助稽核工作，保障數據安全治理的策略和規范被有效執行和落地，快速發現異常行為和風險。5.執行維度建設5.1 資產梳理企業或單位在進行數據安全建設時，往往面臨數據資產分布狀況不清，數據資產使用狀況不明，數據資產安全狀況未知這三大問題，這使數據安全部門無法開展行之有效的安全建設，也無法制定具有針對性的規章制度。因此本章節從這些問題入手，就如何梳理數據資產的分布狀況、使用狀況、安全

57、狀況給出建設建議。數據安全治理建設指南235.1.1 資產分布梳理5.1.1.1 目標對用戶目標環境中數據資產分布情況進行梳理排查，形成數據資產地圖。梳理的內容包括：1.梳理目標環境中存在的數據庫數量、類型、版本及詳細信息；2.確認數據資產分布情況及數量，需精確到字段、行數級；3.梳理數據庫中賬戶信息及賬戶對數據資產訪問權限。5.1.1.2 技術工具應通過掃描類工具對目標環境中數據資產分布情況進行梳理，工具應具備以下能力：1.通過基于端口、協議類型的掃描手段梳理目標環境中存在的數據庫信息；2.通過敏感數據特征匹配技術，梳理數據庫中存在的數據資產分布情況及數量；3.通過數據庫信息掃描技術，梳理賬

58、戶及權限信息。5.1.2 資產訪問梳理5.1.2.1 目標根據“數據資產分布狀況梳理”結果，對數據資產使用情況進行梳理，形成數據資產使用狀況報告?？砂床煌瑫r間段，不同訪問源，不同頻度，不同使用場景等條件進行數據資產使用情況統計分析，并具備可視化呈現。5.1.2.2 技術工具應使用基于流量、協議、日志解析技術的分析工具，根據數據資產分布地圖，對資產使用情況進行梳理，工具應具有如下能力：1.能夠對數據訪問行為進行審計記錄，包括數據訪問主體、訪問對象、訪問工具及過程、訪問結果等信息；2.能夠對數據訪問審計記錄進行綜合分析，支持多維度統計與多角度鉆??；3.能夠使用圖形、報表等直觀形式，對訪問結果進行展

59、現。5.1.3 資產風險梳理5.1.3.1 目標對數據資產所在環境的風險狀況進行梳理，包括對數據資產存儲環境的漏洞狀況、安全數據安全治理建設指南24配置及使用隱患等方面進行評估。5.1.3.2 技術工具應使用風險監測工具，對數據資產所在環境進行全面安全狀況評估，包括如下內容：1.能夠檢測數據資產所在環境的漏洞存在情況，判斷系統是否進行了足夠的升級及補丁更新；2.能夠檢測數據資產所在環境是否使用或開啟了足夠的安全配置項；3.能夠檢測數據資產所在環境是否存在諸如弱口令、缺省口令等人為造成的使用缺陷。5.2 行為管控本章所提到的數據泛指敏感數據，敏感數據的定義可以通過分類分級來明確，也可以自定義范圍

60、。針對數據使用的各個場景，通過制度規范和技術工具相配合的方式進行安全管控，實現數據安全治理的目標。在此過程中是要把梳理后的角色、數據資產、數據進行分類分級。5.2.1 角色定義管控角色的定義是所有管控環節的基礎，只有科學、有限、全面的角色梳理才能識別所有主體，從而對行為管控提供支撐。以下是兩種角色的示例：角色 1：運營系統支撐1）崗位包含舉例：業務系統管理、系統運營支撐等細項崗位；2）崗位說明：該類崗位角色主要指各省業務部門負責系統管理及支撐的崗位。3）權限要求：該角色人員負責部門系統帳號、口令的管理，進行相應系統的開發、運營和維護，可以查看相應權限所涉及的客戶敏感信息；僅具有查詢權限，不應授

61、予增加、刪除、修改、批量導入與導出、批量開通與取消、批量下載等針對客戶敏感信息的操作權限。角色 2：開發測試1）崗位包含舉例：架構管理、系統設計、應用開發、應用測試、項目建設管理等；2）崗位說明：該類崗位主要包括各部門負責涉及客戶敏感信息的系統的設計、研發、測試以及項目建設管理人員。3）權限要求：開發測試人員原則上不能接觸生產系統數據，開發測試人員僅具有測試系統的操作權限，開發測試系統需要涉及到客戶敏感數據信息的內容，原則上使用過期數據或是模糊化處理之后的數據。數據安全治理建設指南255.2.2 分類分級管控通過數據資產梳理、敏感數據發現及梳理、數據資產分級、用戶及敏感資產權限梳理。對數據進行

62、全面摸底，分類分級是識別客體數據的主要方法。只有識別客體數據類別級別才可以結合角色進行有限的權限控制。數據分級分類的原因：只有對數據進行有效分類，才能夠避免一刀切的控制方式，在數據的安全管理上采用更加精細的措施，使數據在共享使用和安全使用之間獲得平衡。數據分級分類的原則：分類：依據數據的來源、內容和用途對數據進行分類；分級：按照數據的價值、內容的敏感程度、影響和分發范圍不同對數據進行敏感級別劃分。數據分級分類內容示例：信息類別信息項對三方價值事故影響分級定義客戶基本資料政企客戶資料牟取暴利造成政企客戶流失、損失巨大機密數據個人客戶資料價值較大造成客戶損失、損失大敏感數據各類特殊名單牟取暴利造成

63、投訴、損失大敏感數據身份鑒權信息用戶密碼牟取暴利造成客戶損失、損失巨大機密數據客戶通信信息詳單價值較大造成投訴、損失大敏感數據賬單價值一般損失一般普通數據客戶當前位置信息價值較大損失一般敏感數據客戶消費信息價值一般損失一般普通數據訂購關系價值低無明顯損失普通數據增值業務訂購關系價值低無明顯損失普通數據增值業務信息牟取暴利造成客戶損失、損失大敏感數據客戶通信內容信息客戶通信內容記錄牟取暴利客戶私密信息泄露，損失巨大機密數據移動上網內容及記錄價值低損失一般普通數據增值業務客戶行為記錄價值低客戶私密信息泄露，損失大敏感數據領航平臺交互信息牟取暴利損失一般敏感數據5.2.3 授權行為管控授權的準備工作

64、，要指定專人進行授權的管理結合角色、數據、分類分級結果，進行權數據安全治理建設指南26限的劃分和分配。以下是示例：業務帳號授權管理:1.業務系統的應用帳號應該由業務部門主管，業務部門必須制定崗位角色和權限的匹配規范，提供崗位角色和權限對應的矩陣列表,確保職責不相容。2.業務部門需指定專人（業務管理員）負責所管轄業務系統的帳號權限分配，明確所管轄業務系統的帳號權限申請審批流程。3.業務管理員應將所管轄業務系統的崗位角色權限矩陣變更申請及應用層帳號權限變更申請提交主管領導審批，嚴格限制系統關鍵功能和超級帳號的授權。4.業務管理員需要定期組織業務系統帳號使用情況的檢查稽核，確認業務系統中用戶身份的有

65、效性、帳號創建的合法性、權限的合理性，對存在的問題提出整改要求。運維帳號授權管理：1.系統運維支撐部門應指定專人（系統帳號管理員）負責運維帳號和權限的管理工作，制定崗位角色和權限的匹配規范，提供崗位角色和權限對應的矩陣列表,確保職責不相容；2.運維人員應向上一級主管提出帳號權限申請，系統帳號管理員應按照權限最小化原則分配運維人員的帳號權限。3.系統帳號管理人員要定期對系統帳號使用情況、權限、口令等進行檢查稽核，確認帳號、權限的有效性，并對存在的問題進行整改。第三方帳號授權管理：1.對于外部人員需使用涉敏感信息系統帳號的情況，應和第三方廠商簽訂相關的安全保密協議，以保證第三方廠商能夠遵守我方的安

66、全管理要求。2.禁止第三方人員使用內部員工的系統帳號訪問系統，第三方人員帳號在系統中統一管理。3.第三方人員應該使用單獨的帳號，禁止多個第三方人員使用同一個帳號。4.禁止第三方人員掌握系統管理員權限，禁止第三方人員擁有創建系統帳號的權限、查詢涉及客戶敏感信息、控制網元的權限或者超出工作范圍的其它高權限帳號。5.特殊情況下，第三方人員若需要獲得系統管理員權限，應臨時授權,工作完成后及時收回權限。6.應參照運維人員帳號管理要求，定期對第三方帳號、權限、口令進行嚴格檢查稽核。7.各公司應對第三方帳號申請、回收、授權、有效期等環節進行嚴格管理，并制定管理辦法，確保第三方人員發生離職或崗位變動時能及時清

67、理其帳號。數據安全治理建設指南275.2.4 操作行為管控操作的準備要基于資產梳理結果，結合角色、數據、授權進行數據的操作風險識別和控制。以下是示例：1、業務人員對客戶敏感信息操作的管理1）涉及客戶敏感信息的批量操作（批量查詢、批量導入導出、批量為客戶開通、取消或變更業務等），必須遵循相應的審批流程，通過業務管理部門審核；2）業務人員因業務受理、投訴處理等情況下需要查詢或獲取客戶信息時，應遵循如下要求：a.涉及客戶普通資料的查詢，服務營銷人員要獲得客戶的同意，并且按照正常的鑒權流程通過身份認證。鑒權一般采取有效證件或服務密碼驗證，并保留業務受理單據。b.涉及客戶敏感信息的查詢，客戶接觸人員只能

68、在響應客戶請求時，并且客戶自身按照正常流程通過身份鑒權的情況下，協助客戶查詢；禁止客戶接觸人員擅自進行查詢；查詢需保留業務受理單據。c.除客戶接觸外的業務人員，因投訴處理、營銷策劃、經營分析等工作需要查詢和提取客戶敏感信息的，業務管理部門應建立明確的操作審批流程，定期進行嚴密的事后稽核與審查。d.對敏感數據的批量操作，需要在指定地點、指定設備上進行操作，相關設備必須進行嚴格管控，對于該設備的打印、拷貝、郵件、文檔共享、通訊工具等均需進行嚴格管控，防止數據泄露。2、運維人員對客戶敏感信息操作的管理1）運維支撐部門需制定并維護業務系統層角色權限矩陣，明確生產運營、運行維護、開發測試等崗位對客戶敏感

69、信息的訪問權限。2）運維支撐人員因統計取數、批量業務操作對客戶敏感信息查詢、變更操作時必須有業務管理部門的相關公文，并經過部門領導審批。3）運維支撐人員因應用優化、業務驗證測試需要查詢、修改客戶敏感信息數據，必須利用測試賬號進行各項測試，不得使用客戶賬號。4）運維支撐人員因系統維護進行客戶敏感信息的數據遷移（數據導入、導出、備份）必須填寫操作申請，并經過部門主管審批。5）嚴禁運維支撐人員向開發測試環境導出客戶敏感信息，對需導出的信息必須經過申請審批，并進行脫敏化處理。6）對敏感數據的批量操作，需要在指定地點、指定設備上進行操作，相關設備必須進數據安全治理建設指南28行嚴格管控，對于該設備的打印

70、、拷貝、郵件、文檔共享、通訊工具等均需進行嚴格管控，防止數據泄露。3、數據抽取管理1）各數據需求部門由指定人員擔任數據分析員，負責該部門的數據提取需求。2）為確保數據安全，數據管理員不得將取數結果交付給非需求人員。非數據管理員不接收取數申請，也不得將提取數據直接發給相關需求人員。3）數據分析員應對所提需求所涉及的客戶信息進行審核并對需求內容做詳細描述，數據管理員有責任進行復核并盡量減少客戶敏感信息的提取。4）數據提取部門不得將數據提取結果直接發給需求人員，數據提取結果必須為受控文檔，并在指定平臺上進行編輯和處理，不得存放在指定平臺外的任何主機上。5）受控文檔是指采用加密、授權、數字水印、數字簽

71、名等技術手段對文檔進行安全保護后的文檔。6）數據提取的檢查稽核必須由專人負責，檢查稽核人員應每月對日常數據提取情況進行檢查稽核。7）公檢法等司法機關為滿足司法取證等需要查詢客戶信息時，應提交正式介紹信并進行留存，由相關主管領導批準后，方可提交業務支撐部門查詢相關數據。5.3 治理稽核1）安全檢查主要分為操作稽核、合規性檢查、日志審計、例行安全檢查與風險評估。2）數據安全管理責任部門針對安全檢查過程中發現的突出問題，牽頭協調各部門提出改進方案，并要求相關部門落實解決，并對改進措施落實情況進行跟蹤檢查。3）操作稽核是對操作日志與工單等原始憑證進行比對，分析查找違規行為。4）合規性檢查重點是依據本管

72、理規范要求進行檢查，檢查相關要求的落地情況。5）日志審計，對所有日志按關鍵功能、關鍵角色、關鍵帳號、關鍵參數，進行審計檢查。及時發現異常時間登錄、異常 IP 登錄、異常的帳號增加和權限變更、客戶信息增刪改查、批量操作等敏感操作。6）例行安全檢查是指運維支撐部門對所負責維護的系統進行的常規性安全檢查，包括漏洞掃描、基線檢查等。7）風險評估側重通過白客滲透測試技術，發現深層次安全問題，如緩沖區溢出等編程漏洞、業務流程漏洞、通信協議中存在的漏洞和弱口令等等。風險評估以各系統的運維支撐部門自評估為主、數據安全管理責任部門抽查相結合的方式進行。由于應用體系對違規行為控制的不足，會導致內部人員或黑客人員通

73、過看似正常訪問的方式對數據安全造成威脅。數據安全治理建設指南29數據安全風險分析是基于數據流動過程中的日志信息，進行深入的分析，從而掌握數據在應用體系內是如何流動的，通過與實際應用場景的結合，以及對正常訪問行為特征的分析，形成大量的規則和模型，增強數據安全風險的感知能力。通過數據安全風險分析還可以掌握數據安全措施執行的有效性，為安全措施的完善提供依據。風險行為舉例：一段時間內重復查詢客戶信息幾百次；長時間不登錄的賬號突然對數據進行訪問，且訪問敏感數據；同一個賬號通過多個 IP 終端使用；一段時間內該賬號頻繁修改敏感數據；某條信息一段時間內高頻率被訪問；5.3.1 審計與監控審計與監控一般是采用

74、工具的方式來實現，是面向審計人員、安全管理人員、運維人員針對數據風險狀況、運行狀況提供監控的能力，具有日志采集的能力。審計工具的采用，可以滿足國家或行業的法律法規要求。審計工具應具備日志采集、日志的合規存儲和檢索、應用關聯、報表生成等能力。5.3.2 數據流動分析通過數據流動日志信息的解析，繪制數據流動大圖，可以使安全風險分析員直觀的掌握當前的數據流動情況，從而知道誰在通過什么方式連接了哪個數據庫，訪問了哪類數據，訪問量多少。5.3.3 數據訪問行為分析由于訪問日志的捕捉點范圍廣、信息量大，對于安全風險分析員來講并不利于發現潛在的數據安全風險。通過對訪問日志的分析，以訪問者為對象（賬號、應用、

75、終端），針對某類數據（如有必要也可以考慮針對某項數據），從訪問頻率、訪問時間、操作類型等多個維度進行統計分析，逐漸繪制和完善行為畫像，行為畫像可以通過蛛網圖、趨勢圖進行展現，提升異常訪問的發現能力。5.3.4 異常訪問識別與告警形成數據訪問行為畫像后，即可對訪問行為進行對比，從訪問頻率、訪問時間、操作類型等維度對訪問行為進行對比分析，從而得出匹配度，對于超出事先設定好的偏離值的訪問數據安全治理建設指南30行為，通過告警的方式發出通知，確保第一時間采取應急工作。異常訪問自動發現可以幫助安全風險分析員在大規模的數據訪問過程中發現風險，由于日志采集的完整性，因此可以生成精確的風險報告，為風險行為追責

76、、追溯提供依據。異常訪問自動發現能力可以幫助安全風險分析員在大規模的數據訪問過程中發現異常行為，降低安全風險分析員的工作量，提升安全工作的有效率。6.場景維度建設通過能力維度建設、執行維度建設的基礎，來支撐和應用在場景維度建設工作。有些用戶業務中包含如下單個場景，也有組合型場景，甚至未列舉出的新場景，請根據下列場景建設吸收經驗，基于自身業務角度進行場景維度的設計。6.1 數據分類分級6.1.1 概述數據分類級是數據保護工作中的一個關鍵部分，是建立統一、準確、完善的數據架構的基礎，是實現集中化、專業化、標準化數據管理的基礎。數據分類分級可以全面清晰地厘清數據資產，確定應采取的數據安全防護策略和管

77、控措施，在保證數據安全的基礎上促進數據開放共享。數據分類分級工作需要由精通業務的團隊和安全團隊來開展，需要事先制定好分類分級的原則和方法。數據分類分級工作隨著業務的變化也會發生變化，因此，數據管理部門需要通過系統化的方式來進行自動化、統一化的管理。6.2.2 制度規范XX 企業數據分類分級指引主要內容如下：1.管理數據分類分級工作的角色及職責；2.數據范圍；3.分類分級流程階段；4.數據分類的原則和方法；5.數據定級的規則和方法；6.數據分類分級審核流程；7.數據類別級別變更策略和流程。數據安全治理建設指南316.1.3 技術工具1.需要通過人工或工具的方式完成分類分級工作，分類分級工具應具備

78、如下能力：能夠依據分類分級標準，創建數據分類分級模型；能夠通過模型分析數據，形成數據資產分類分級清單；能夠對數據資產分類分級清單進行統計分析和展現。2.建立數據分類分級管理系統，功能包括分類分級審核流程、清單管理、變更管理等。6.1.4 參考文件GB/T10113-2003 分類與編碼通用術語GB/T22240-2008 信息安全技術信息系統安全等級保護定級指南DB52/T1123-2016 政府數據數據分類分級指南（貴州省地方標準）JR/T0158-2018 證券期貨業數據分類分級指引6.2 開發測試場景6.2.1 概述在業務系統開發、測試過程中，免不了需要使用生產數據。由于生產數據包含了大

79、量的敏感數據，且在開發測試時對數據的使用具有靈活性的特點，如果不采取必要的安全管控措施將極易發生數據泄露的風險。采取數據全量脫敏的方式可以有效防止數據泄露，但在實際場景中，開發測試時難免要使用部分原始數據，由于開發測試環境的安全措施不完善，這些數據一旦導入開發測試環境中，還是會發生數據泄露的風險，因此，如何對開發測試環境中的數據進行有效管控也是需要重點考慮的。6.2.2 制度規范XX 企業系統開發測試使用數據的安全要求主要內容如下：1.基本原則；2.數據范圍；3.數據提取流程；4.數據提取角色和職責；5.數據使用申請審批流程，申請時需要明確用戶、應用、使用周期、使用范圍等；6.數據脫敏策略和規

80、則。數據安全治理建設指南326.2.2 技術工具1.通過靜態脫敏工具對生產環境中的數據按指定策略和規則進行處理，選擇靜態脫敏工具時要考慮其靈活性；2.通過自動化工具實現生產數據向開發測試環境遷移，減少人工參與，降低泄露風險；3.通過靜態梳理工具對開發測試環境下的數據資產分布情況定期進行梳理，時刻掌握數據資產的變化情況，及時發現超期使用等現象；4.通過動態梳理工具對開發測試環境下的數據使用狀況進行梳理，及時發現違規使用行為，并通過告警的方式通知安全團隊；5.通過審計工具對開發測試環境下的數據操作進行全面的審計，記錄操作行為，及時發現違規操作，同時起到事后追溯的依據。6.2.4 參考文件信息安全技

81、術信息系統等級保護基本要求 2.0（送審搞）國家電網公司營銷專業客戶敏感信息脫敏規范（2017-12）DB52/T1126-2016政府數據數據脫敏工作指南（貴州省地方標準）6.3 數據運維場景6.3.1 概述由于業務的需要，運維人員需要對數據進行修改、優化、備份、恢復、遷移等操作，數據運維人員為完成運維工作，一般情況下會擁有很高的數據權限，運維人員的違規操作和誤操作是造成數據安全問題的最大風險點。對于數據運維安全，除了要通過管理手段對運維人員進行約束，還需要通過一些技術手段來加強數據安全管控。在數據運維過程中，如何能夠不讓運維人員看到權限以外的數據，如何對敏感數據進行保護，通過什么方式對運維

82、行為進行識別和記錄，自動判斷合規性，并且在發生數據安全事件時，能夠追溯。6.3.2 制度規范XX 企業數據運維安全管理規范主要內容如下：1.數據運維角色和職責，保證“崗責一致”；2.數據運維權限的分配機制；3.運維人員變更、運維權限變更的流程；4.運維行為的審批流程；5.運維人員身份認證策略；數據安全治理建設指南336.運維行為的監控與審計要求；7.針對運維人員的數據遮蔽策略。6.3.3 技術工具1.通過梳理工具定期對運維賬號信息和權限信息進行梳理，確定其在合理的范圍內；2.通過動態脫敏技術對敏感數據進行遮蔽處理，防止數據泄露；3.通過數據安全網關對運維操作進行管控，數據安全網關應具備如下能力

83、：具有運維行為的識別能力，能夠判斷違規操作和誤操作,并進行告警或阻斷；對運維人員的身份進行認證，包括訪問終端 IP、工具、賬號信息等；4.通過審計技術對運維操作進行采集并記錄，用于風險分析和行為追溯。5.對于 DBA 等高權限訪問時，通過協議解析技術對異常的行為進行識別，并進行阻斷；通過數據庫透明加密技術對數據庫進行加固，權限管理獨立于數據庫，防止高權限用戶越權，獲取到數據，高權限用戶訪問數據需要經過審批；6.建設運維審批系統，流程化管理運維操作權限，并與數據安全網關對接。6.3.4 參考文件無6.4 數據共享場景6.4.1 概述通過數據共享可以使數據的價值提升，加快企業和政府的信息化服務。由

84、于在數據時代下數據的重要性非常突出，在共享過程中需要采取必要的安全管控措施，保證數據在合理、安全的前提下進行共享和交互。數據共享包括內部共享、與監管部門共享、與其它企業或其它政府部門共享、與社會公眾共享等場景，由于共享場景的復雜性和數據范圍的不確定性普遍存在，因此，對數據共享過程進行安全管控時需要考慮針對性和靈活性。數據共享的方式包括通過接口直接訪問數據和直接提取兩種。通過提取的方式進行共享時，數據可能不再受到本單位數據安全治理體系的保護，因此需要對數據進行脫敏的同時還需要增加數據標識，起到溯源的作用。6.4.2 制度規范XX 企業數據共享安全管理規范主要內容如下：1.數據范圍；數據安全治理建

85、設指南342.共享范圍和原則，例如共享數據范圍最小化原則、數據脫敏范圍最大化原則等；3.共享的審批流程，明確數據需求者身份、共享方式、共享周期、使用目的等；4.共享方式，明確各共享場景下采用的共享方式；5.數據共享過程的審計監控要求；6.數據共享脫敏原則和策略；7.數據溯源要求。6.4.3 技術工具1.數據共享通過接口方式訪問數據，需要通過動態脫敏技術進行脫敏處理，保證數據使用范圍最小化，降低數據泄露風險；2.數據共享通過提取方式時，需要通過靜態脫敏工具對數據進行脫敏處理，同時，通過數據水印技術對數據進行標識化處理，用于溯源；3.通過數據安全網關工具對訪問源身份和權限進行識別，工具應具備如下能

86、力：數據的鑒權能力；訪問源的身份識別能力，包括訪問源 IP、訪問工具、訪問終端設備特征等；6.4.6 參考文件信息安全技術政務信息共享數據安全技術要求（征求意見稿）6.5 數據分析場景6.5.1 概述數據分析能夠為業務和決策提供支撐，數據分析對數據的使用具有范圍廣、頻率高的特點，有時還需要將數據從各數據庫中提取出來，導入數據分析應用的環境下，如果不進行有效的安全管控，在數據分析過程中極易發生數據泄露風險。采用脫敏的方式對數據進行處理后再用于數據分析可對數據進行有效保護，但數據分析的結果將用于決策和業務分析，應該使用真實數據。作為數據安全管理人員應該對數據分析的特征進行分析，有針對性的進行管控，

87、做到如何在不影響數據分析的情況下，對數據進行保護，降低數據泄露風險的發生，并且要對數據分析過程進行監控。6.5.2 制度規范XX 企業數據分析數據安全管理規范主要內容如下：1.數據范圍；2.數據安全管理的角色和職責；數據安全治理建設指南353.數據使用的審批流程；4.數據脫敏策略；5.數據提取的流程。6.5.3 技術工具1.需要將數據提取，導入數據分析應用的環境時，應通過靜態脫敏工具對數據進行脫敏處理，同時通過數據水印技術對數據進行標識化處理，防止泄露。靜態脫敏工具要具有靈活的配置能力，即能滿足數據分析的需要，還可以保證數據最大范圍的脫敏保護；2.通過接口方式直接訪問數據時，需要通過動態脫敏技

88、術對數據進行脫敏處理，降低泄露風險；3.通過審計技術對分析過程進行日志抓取，對數據分析過程進行監控，及時發現風險。6.5.4 參考文件GB/T35273-2017信息安全技術個人信息安全規范6.6 應用訪問場景6.6.1 概述傳統的方式是為應用配置數據庫賬號和權限，直接訪問數據，這種方式不能實現細粒度的數據權限控制，加之沒有進行脫敏處理，極易發生數據泄露風險。因此，需要采取相應的安全措施，防止數據泄露問題的發生。如何能夠在不影響業務的正常訪問，同時在不改造應用和數據庫的情況下，實現數據的細粒度管控和脫敏處理，是數據安全工作考慮的重點。6.6.2 制度規范XX 應用系統敏感數據訪問安全管理規范主

89、要內容如下：1.敏感數據范圍；2.身份認證的策略，包括用戶層、應用層；3.哪些應用能訪問哪些數據，是否需要脫敏；4.脫敏原則和算法；5.基于訪問場景的脫敏策略；6.應用訪問數據的審批流程；7.建議建立按級別脫敏的機制，便于實施，脫敏級別分為四級為宜，不同級別針對相同數據的脫敏規則不同，并指出適用場景。數據安全治理建設指南366.6.3 技術工具1.建議應用系統訪問數據采用數據 API 方式，啟到能夠對數據細粒度控制的作用；2.通過動態脫敏技術對應用系統訪問數據的過程中進行脫敏處理，降低數據泄露風險發生的可能；3.通過數據權限系統，實現用戶、應用、數據的授權關聯和授權審批；4.通過數據安全網關對

90、訪問者（用戶、應用）進行身份識別和權限鑒別，對規則使用進行告警或阻斷；5.通過 USBkey、動態令牌、生物識別等手段加強對用戶的認證；6.6.4 參考文件國家電網公司營銷專業客戶敏感信息脫敏規范（2017-12）DB52/T1126-2016政府數據數據脫敏工作指南（貴州省地方標準）6.7 特權訪問場景6.7.1 概述任何用戶根據經營的重點，都會存在高敏感數據，例如醫院的明星就診信息、公安人口庫中的省部級領導信息等。對于這類數據安全管控，首先需要將其識別出來，然后再通過剔除或遮蔽的手段進行保護。關于權限的問題，如果與常規數據的權限放在一起，則容易暴露高敏感數據的特征。因此，高敏感數據的權限配

91、置要獨立建立，控制使用范圍，再通過脫敏手段對高敏感數據進行處理，可有效防止高敏感數據的泄露。另外，在對高敏感數據進行管控的同時，還需要考慮不能影響正常業務的訪問和使用。6.7.2 制度規范XX 企業高敏感數據安全管理規范主要內容如下：1.高敏感數據的定義和特征描述；2.高敏感數據管理角色和職責；3.高敏感數據安全保護的原則、方法；4.高敏感數據使用的審批流程；5.高敏感數據使用的權限策略；6.在各個數據使用場景下高敏感數據的使用要求，如：在某場景下不允許使用高敏感數據，在某情況下需要通過審批才能使用高敏感數據；數據安全治理建設指南377.當發生高敏感數據泄露時的應急策略。6.7.3 技術工具1

92、.通過數據庫加密技術對高敏感數據特征進行加密，防止隨意使用；2.應用查詢到高敏感數據的時候，通過動態脫敏技術進行遮蔽、部分遮蔽、剔除處理后再返回給應用端；3.運維人員訪問到高敏感數據的時候，通過動態脫敏技術對高敏感數據進行屏蔽，確因工作需要，要對高敏感數據進行操作，需要提交申請，審批通過后即可操作；4.通過 ES 系統進行檢索的時候，需要在檢索程序中加載過濾組件，用于剔除高敏感數據；5.數據通過提取的方式向外共享時，需要在脫敏系統中安裝過濾組件，在脫敏過程中自動屏蔽高敏感數據，如確有需要，則需要通過申請審批后，才能進行提??；6.建立獨立的權限管理系統，專門負責高敏感數據的授權管理；7.通過審計

93、日志隨時關注高敏感數據的使用狀況。6.7.4 參考文件GB/T35273-2017信息安全技術個人信息安全規范JR/T0068-2012網上銀行系統信息安全通用規范7.糾正和優化數據安全治理體系數據安全沒有絕對的安全，只是在某一時期相對安全。因此，數據安全治理體系的建設也并非一次可以完成，需要根據信息化建設的變化和政策的要求持續不斷的完善，來應對可能發生的數據安全風險，滿足政策的要求。對當前的數據資產情況進行進一步的梳理，看是否有增加的資產或訪問角色；對稽核的情況進行梳理，看是否有未納入管理的數據訪問行為；觀測最新的相關安全規范的變化情況，看是否有需要新增或移除的外部安全策略；了解新的業務系統

94、或組織結構，看數據的訪問權限和行為方式是否改變；根據以上情況，改組當前的數據安全組織結構，修訂當前的數據安全策略和規范，持續保證安全策略的落地。為了消除在數據安全治理體系運行中發現的不符合項，必須及時采取糾正性措施。為此，應采取措施找到問題的原因，消除引發問題出現的根源，防止其再次發生。持續不斷的優化數據安全治理過程，從而整體提升企業或政府的數據安全防護能力。數據安全治理建設指南387.1 糾正措施7.1.1 糾正措施的制定與實施（一）不符合事項發生后應由責任部門及時予以糾正。同時應積極地對可能存在的同類問題進行查找，做到舉一反三。（二）原因分析由不符合事項責任部門組織進行。在進行原因分析時，

95、應力求全面、深入地查找，突出重點和主要的因素；要在管理方面、技術方面和更深的層次上多找原因，必要時召開分析會來進行原因分析。（三）各責任部門在分析出不符合事項的產生原因后，必須為消除不符項的原因或潛在的原因，防止不符項的再發生，必須采取有效措施或制定解決計劃。所提出糾正措施，需填寫糾正措施計劃表，并提交直屬負責人或管理者代表進行評審，以評價采取糾正措施的有效性、必要性、可行性和需求，對風險、效益及成本進行權衡，并做出決策。7.1.2 糾正措施實施情況的跟蹤驗證（一）用戶相關部門應對糾正或預防措施的實施情況進行跟蹤驗證。如期完成的填寫跟蹤驗證記錄，對逾期未能實施或完成的，應責成責任部門限期完成和

96、驗證。（二）糾正措施的相關記錄由數據安全管理小組收集和保存，并作為管理評審輸入資料。7.2 持續優化通過對內部審核等各項監測活動結果的分析，采集內外部與數據安全管理有關的信息，為體系的持續改進提供輸入信息。通過管理評審，識別管理體系改進的需求，識別偏離數據安全目標的原因或現行體系在適應環境方面的差距，制定改進的具體措施尋找改進的機會，明確具體的改進計劃。實施改進措施并驗證其結果，并保留實施過程和結果的相關記錄。7.2.1 能力、意識、培訓公司制定崗位職責說明，明確對數據安全相關各職位角色的能力、技能和經驗要求，并對因此而需要提供的培訓和教育進行約定，從而使與數據安全治理管理相關的人員均能勝任其

97、職位。數據安全治理管理小組和內部審核小組成員必須接受和能及時了解公司已發布的數據安全管理方針和相關策略文件。數據安全治理體系各流程、業務負責人必須熟悉公司數據安全方針及已發布的相關政策。數據安全治理建設指南39每年通過外部培訓、內訓等方式保證相關人員有足夠的技能來維護數據安全治理體系的運行。公司的數據安全培訓內容包括（但不限于）：A 數據安全基本意識；B 公司既定的數據安全方針、策略、程序和規章制度；C 數據安全專業技能；D 特殊崗位的資格要求。7.2.2 溝通機制公司溝通機制包括但不限于以下方式：A 各類工作會議；B 電話溝通；C 電子郵件；D 各類評審活動；E 其他管理活動等。管理者代表應

98、每年召集各業務和部門負責人、風險責任人、數據安全治理管理小組召開管理評審會議，對風險評估的情況和數據安全體系運行的情況做總結、回顧以及對有待改進和優化的方面進行討論和表決。通過電話、郵件及會議的方式，相關部門應定期和第三方供應商、客戶進行溝通，就合同、SLA 履行的情況及出現的事故進行溝通協商，對工作進行總結并對下一階段工作內容進行討論。當公司發生重大事件、重大業務變化、重大 IT 基礎設施變更時，各相關方應通過各類工作會議的形式進行溝通交流，保證公司業務能夠順利開展。7.2.3 績效評價7.2.3.1 監控，度量，分析和評價用戶通過數據安全績效考核和體系控制措施有效性測量的方式來對已經建立并

99、實施的數據安全治理體系進行監督和度量（如：將單位財務部門和審計部門加入到績效評價過程，并生成相應評價指標）。在體系運行期間，通過有效的檢查、監督和反饋，保證體系一方面有威懾力另一方面能夠始終滿足既定的方針策略，滿足用戶的業務需求。7.2.3.1.1 數據安全績效考核用戶根據自身特點及數據安全管理方針和數據安全目標，制定相應的數據安全績效指標，設定度量頻率及度量方法。并每年對考核指標進行測量。年末將全年的度量結果匯總成為 數數據安全治理建設指南40據安全績效考核表，在管理評審會議中對度量結果進行討論并制定相應的改進和優化措施。7.2.3.1.2 控制措施有效性測量數據安全治理體系控制措施有效性測

100、量是實現用戶數據安全治理體系目標的重要保障機制，有效性測量工作必須緊密結合數據安全方針，實現控制措施的可監督和可測量?？刂拼胧┯行詼y量工作主要針對公司在數據安全工作中采取的各類控制措施設置報告要求和測量項目。數據安全管理小組在每年管理評審前開展對數據安全治理體系控制措施的有效性測量工作，有效性測量應得到管理者代表的審批。有效性測量工作按照控制措施有效性測量統計表要求的內容和時間要求完成相應指標的測量。并將結果記錄到控制措施有效性測量統計表中。作為數據安全管理體系管理評審的重要輸入，為數據安全治理體系的改進提供決策依據。7.2.4 內部審核體系內部審核即公司內部數據安全治理體系審核，它是由公司

101、內部組織，為確保體系的持續適用性、充分性和有效性，所進行的確定數據安全管理活動和有關結果是否符合計劃的安排以及這些安排是否能夠有效地實施的有系統的、獨立的檢查。公司定期實施體系內部審核，確定體系相關控制目標、控制措施、流程和程序是否：符合數據安全建設指南標準和相關法律法規的要求；符合已識別確認的數據安全需求；被有效實施和維護；按照預期運行。7.2.4.1 內審準備（一）內部審核計劃制定A 每年至少進行一次覆蓋公司全范圍的數據安全治理體系內審活動。B 內審小組組長負責編制年度內審計劃。C 審核范圍應覆蓋數據安全建設指南標準各項要求。D 體系內審活動應與其它安全檢查、審計活動緊密結合，充分利用資源

102、，盡可能地減少對部門正常工作的影響。E 在下列情況下，內審小組組長可以提出申請，經管理者代表批準后，可追加進行內審活動：某部門的數據安全事件頻發時；有重大數據安全事件發生時；外部審核之前。數據安全治理建設指南41（二）成立內部審核小組A 管理者代表或公司管理層根據被審核部門特點及其工作性質，從公司內部審核員隊伍中推選具有資格的合適人選擔任內審小組組長，由內審小組組長負責本次審核的具體組織工作。B 由內審小組組長從相關部門中選派具有內審員資格并且與被審核部門無直接干系者擔任審核組成員，并根據內審計劃適當地分工。（三）收集并審閱有關文件和記錄A 內審小組組長根據內部審核計劃進行審核分工和時間安排。

103、B 應在審核前下發本次內部審核計劃到受審核部門負責人，事先約定該次審核的所有被訪談的角色。C 審核組成員根據分工任務編制內部審核檢查表。D內審小組依據內部審核計劃，收集與被審核部門數據安全管理活動有關的文件和資料，并進行審閱。E 審核員在做文件審核與現場審核時需做好記錄。（四）內審首次會議A 內審小組組長主持召開內審首次會議。首次會議出席人員還包括內審小組成員、受審核部門的負責人及陪同人員。B 由內審小組組長介紹本次審核的目的、依據、范圍、方法、規定及日程安排等。C 內審小組組長指定專人負責參會人員的簽到與會議紀要。7.2.4.2 實施現場審核（一）現場收集客觀證據A 內審員按照審核日程安排和

104、內部審核檢查表內容要求，到審核現場進行逐項檢查。B 在檢查過程中，審核員應做必要的文件查閱，檢查現場，收集證據，檢查質量管理和數據安全治理體系的運行情況。C現場發現問題時應與該項工作的負責人員進行確認，以保證不符合項能夠完全被理解，有利于后期采取正確的糾正措施。（二）確認不符合項A 內審小組對內審中收集的客觀證據進行充分討論，確定符合項與不符合項；B 當實際執行的客觀證據不足以證明相關流程被執行時，審核員可據此開具不符合項；C 內審小組依據問題可能造成的影響程度和范圍，確定不符合項的性質（嚴重或一般不符合項）。D 確定不符合項時，審核員應以數據安全建設指南標準以及相關體系文件制度為依據，以運行

105、記錄和現場事實為證據，保持客觀公正。數據安全治理建設指南42E 內審員負責填寫內部審核整改計劃。7.2.4.3 內審末次會議（一）內審小組組長主持召開內審末次會議；（二）內審小組全體成員、受審核部門負責人和陪同人員參與內部審核末次會議；（三）內審小組組長說明內部審核的不符合項報告和分類，并按重要程度的次序宣讀不符項內容；（四）內審小組就各個不符合項回答受審核部門提出的問題，并對受審核部門應采取的糾正預防措施提出整改建議；（五）受審核部門負責人對內審發現表中的不符合項進行確認；（六）內部審核小組長指定專人負責參會人員的簽到與會議記錄。7.2.4.4 編制內部審核報告（一）審核結束后，內審小組應編

106、寫內部審核報告和體系內審整改計劃，如實反映審核結果，提交管理者代表審批。（二）內部審核報告經批準后，由內審小組組長將內審報告發放至相關受審部門。7.2.4.5 跟蹤驗證（一）受審核部門接到體系內審整改計劃后，應及時分析原因，及時制定糾正措施以及完成期限并填寫糾正措施計劃表，報部門負責人審批。（二）受審核部門實施糾正措施，跟蹤糾正預防措施的執行情況。（三）糾正措施預定日期已到或接到糾正措施已完成時，相關內審員應至受審核方，參與驗證該糾正措施完成效果的驗證評審。該內審員在完成糾正措施的有效性驗證后，應在糾正措施計劃表中簽字予以確認，并更新體系內審整改計劃。關閉后的糾正措施計劃表交由數據安全管理小組

107、歸檔。7.2.5 管理評審公司最高管理者或體系管理者代表必須按計劃的時間間隔對現行的數據安全治理體系進行評審，以確保數據安全治理體系的適宜性、充分性和有效性。7.2.5.1 管理評審頻次與時機按策劃的間隔時間，每年（12 個月內）至少進行一次管理評審，可以在內審后進行，也可以根據需要增加評審。數據安全管理組編制“年度管理評審計劃”，并匯報管理者代表審批。數據安全治理建設指南43當出現下列情況之一時，可適時增加評審或對某一體系進行獨立評審，編制相應的評審計劃：A 公司組織機構、方針目標、資源配置發生重大變化時；B 發生重大服務質量、數據安全與職業健康安全事故/事件或顧客有連續投訴時；C 安全實施

108、社會需求或發生重大變化時；D 即將進行第三方審核及法規規定的審核時；E 審核結果發現有多起嚴重不符項時。7.2.5.2 管理評審計劃數據安全管理小組在管理評審實施前一個月編制 管理評審計劃，匯報管理者代表批準。管理者代表提前一周發出經審批通過的管理評審計劃，主要內容包括：評審目的、時間、依據、內容及參加評審的部門和人員。相關部門和人員接到“管理評審計劃”后，按要求準備好評審材料。管理評審輸入資料及工作報告（各部門提交管理評審資料），在規定時間內提交給數據安全管理小組。這些輸入資料包括：A 以往管理評審的后續跟蹤措施；B 體系內部審核的結果；C 本年度風險評估的結果；D 年度數據安全績效指標達成

109、情況；E 年度體系控制措施有效性測量的結果；F 年度數據安全事件及處置情況；G 來自客戶或利益伙伴的反饋；H 可用于改善體系有效性的技術、產品或程序；I 改進的建議。7.2.5.3 管理評審管理者代表主持管理評審會，各部門負責人報告管理體系在本部門的運行情況。數據安全小組報告公司的體系運行情況。會議參加者對輸入進行客觀評價。管理者代表對評審內容做出評價與結論并提出改進的要求，確定責任部門制定糾正和預防措施及完成時間等，內容應包括：A 體系及其過程有效性的改進，包括對質量方針和目標、數據安全方針和目標、組織結構、過程控制等方面的決定和措施；B 與顧客要求有關的產品/服務的改進；C 有關資源需求配

110、置的決定，包括基礎設施、文件資料、人員、資金等；數據安全治理建設指南44D 控制措施有效性測量方法的改進；E 風險評估和風險處置計劃的更新；F必要時修改影響數據安全的規程和控制措施，以響應內部或外部可能影響體系的事態，包括以下的變更：業務要求安全要求影響現有業務要求的業務過程法律法規要求合同義務風險級別和/或接受風險的準則會議結束后，由數據安全管小理組依據管理評審的會議記錄和管理評審的輸出，編寫 管理評審報告，經管理者代表審核批準后發至相關部門執行。本次管理評審的輸出可作為下次管理評審的輸入。管理評審報告包括評審目的、時間、評審的內容、改進與建議、會議主持人和參加的部門/人員等。7.2.5.4 改進建議的落實管理者代表和數據安全管理組指導責任部門，對改進項目分析原因、制定糾正與預防措施，填寫糾正措施計劃表，并制定專人落實。如果評審結果引起體系文件的更改，執行文件記錄控制管理規定。管理評審產生的相關記錄和措施由數據安全管理小組按照文件記錄控制管理規定的要求進行歸檔。