数据只有流动起来，被使用时才能体现价值。在共享开放时代，数据共享让数据价值得以最大化释放。

我们在追逐数据价值的同时，要保障数据环境下的数据安全，这也是数据价值释放的根基和前提。那么，关注数据安全实际上在关注三个问题：数据如何被使用？谁对数据持有保护责任？数据是否得到了足够的安全保护？

解决完上述三个问题，需要再往前走一步，在开启数据安全治理的实践中解决掉数据在使用过程中通常会遇到的四大风险源：

使用风险1——数据资产与数据在哪里，有多少？

使用风险2——数据开放共享时如何去除隐私化？

使用风险3——共享交换过程数据泄密如何回溯定位？

使用风险4——数据主管权是我们在掌控吗？比如数据上云之后，云服务商对数据掌控的界限在哪里？

解决上述问题，不能止步于使用某些技术手段的空谈，而是要能基于人员、制度、产品、流程设计、工具等进行实践落地。

今天，安华金和方案总监宣淦淼带来《共享开放时代——大数据安全治理体系实践

》的主题演讲，结合过往积累的项目经验， 直抵数据安全保障核心需求，谈大数据安全治理实践。

实践之初，要对接下来的一系列动作有个整体把控，因此需要建立数据安全治理总体保障思路：即组织建立→能力评估→制度设计→治理技术这4个递进的过程中贯穿数据的采集、存储、传输、处理/使用、交换、销毁这六个环节。

首先，建立层次分明的安全组织。

这个组织既要有能够全局把握数据安全风险，明确数据安全职能范围，并制定数据安全管理策略方向的决策层；又要有能够根据安全策略方向制定详细数据安全制度流程体系、人员能力培养体系、产品体系并负责落地实践和日常数据安全运营的控制层；还要有根据实际要求落地执行的执行层。

安全组织的层次划分

第二，运用模型进行能力评估。

运用覆盖数据全生命周期32个安全域的数据安全能力成熟度模型，帮助数据组织构建数据安全管理框架、评估组织的数据安全能力水准、衡量数据安全能力提升的进展、建立自己的数据安全能力提升路线。

第三，基于业务流程全生命周期进行制度设计。

基于法律法规、国家/行业标准等合规要求，进行组织制度规范体系的建立。该体系包含数据安全管控的总体规范，覆盖采集管控、传输管控、存储管控、处理管控、共享管控、销毁管控等数据生命周期六大流程。

第四，有技术工具支撑的治理技术落地。

治理技术运用覆盖全生命周期的技术工具，实现安全状况摸底、数据流动管控、数据治理稽核的落地目标。

安全状况摸底如何开展呢？第一步，对数据资产进行风险扫描，找出数据平台自身的安全问题，提出修复建议，进行安全加固。第二步，运用数据资产梳理工具进行资产底账的梳理和数据的分级分类，找出敏感数据，进行重点防护。

数据流动管控覆盖数据存储、传输、处理/使用等环节的安全。数据存储环节做到内外兼顾：使用数据加密技术做好底线防守，防止数据存储介质丢失、DBA权限泄露、乃至拖库等带来的数据泄密风险；对外要使用数据库防火墙技术阻止觊觎数据库的黑客攻击；对内则使用数据运维管控工具做好访问控制和审批管理，拿回数据主管权；数据传输环节，利用数据水印技术实现数据库数据外发的溯源，保障数据外发过程的安全；数据处理/使用环节，无论是动态场景还是静态场景都可以使用数据脱敏技术对数据去隐私化脱敏处理，保障数据在开发、测试、分析等场景下的数据安全。

数据稽核则可以利用数据库审计产品和数据态势感知做好数据的安全稽核与风险预警，

以此保障数据安全治理的策略和规范被有效执行和落地，保障能够快速发现潜在的风险和行为，实现全流程的数据安全治理闭环。

数据态势感知——全生命周期感知