前言

本白皮书由中国网络安全与信息化产业联盟数据安全治理委员会（简称数据安全治理委员会）起草编著，通过对国内外当下的数据安全情势与市场趋势进行解读与前瞻，结合国际相关标准与框架，提出符合中国信息化建设阶段和需求的数据安全治理理念与框架，旨在帮助政府与企业进行数据安全建设的整体思考与规划，为数据安全建设的设计与实施者提供具有参考价值的数据安全治理整体方案及案例实践。白皮书中阐述的数据安全治理体系是以数据资产的正常使用为前提，保障数据在各使用场景下的安全，促进数据价值的释放与共享。

一、数据安全建设需要系统化建设思路

数据治理或者数据安全概念，对于大多数IT和安全从业者来说，认知度比较高，但数据安全治理，是个新名词。实际上，对于拥有重要数据资产的政府部门或企业，对于数据资产的保护，涉及到数据安全治理方面，或多或少都有实践，只是尚未体系化、标准化。在国外，Microsoft推出的DGPC方案（Data Governance for Privacy Confidentiality and Compliance缩写），就是专门强调隐私、保护与合规的数据治理技术框架；Gartner研究中2015年提出了数据安全治理这一概念和相应的原则与框架，2017年Gartner全球安全大会中多位分析师在数据安全、信息安全治理、安全治理的相关研究报告中，多次提及并强调，认为数据安全治理已成为了数据安全中的 “风暴之眼”，2018年，Gartner首次专门推出研究报告《如何使用数据安全治理》，以此为CDO、CSO、CISO提供数据安全价值。本次白皮书编著，希望系统化针对数据安全治理的概念、规范、技术和相关实践进行介绍，将数据安全治理视作为一种系统化解决数据安全问题的合理方法论和实践工具加以推广应用。

随着数据安全的重要度提升，用户投资在增大，据KVB Research 2017年大数据安全报告预测，大数据安全2017年全球投资达到102亿美金，并且以17%的年复合增长率扩大，到2023年将达到309亿美金，即2000亿人民币。

（KVB Research在big data security上的市场预测）

在我国，随着网络安全法的出台，数据资产价值得到确认，政府机构和企业在这个方向的投资也在加大，以数据审计、脱敏和加密为目标的数据安全投资正在成为采购的热点。

数据安全治理的思路，将数据安全技术与数据安全管理融合在一起，综合业务、安全、网络等多部门多角色的诉求，总结归纳为系统化的思路和方法。

二、数据安全治理基本理念

关于数据安全治理原则与框架，Gartner对此进行专属领域的研究，Microsoft从数据隐私合规角度也曾向市场提出隐私，保密和合规性的数据治理方案。从国际视角对此理解的基础上，我们在中国提出了数据安全治理理念与技术路线，填补了该理念在中国的空白，更有效推动实现该理念在国内的执行落地。

2.1 数据安全治理概论

本白皮书，综合国际相关框架模型和我国一些具体的安全实践后，提出一套在中国易于落地的数据安全建设的体系化方法论。

数据安全治理是以“让数据使用更安全”为目的的安全体系构建的方法论，核心内容包括：

（1）满足数据安全保护、合规性、敏感数据管理三个需求目标；

（2）核心理念包括：分级分类、角色授权、场景化安全；

（3）数据安全治理的建设步骤包括：组织构建、资产梳理、策略制定、过程控制、行为稽核和持续改善；

（4）核心实现框架为数据安全人员组织、数据安全使用的策略和流程、数据安全技术支撑三大部分。

数据安全治理理念框架

2.2 数据安全治理的核心理念

数据的分级分类：对数据进行不同类别和密级的划分；根据类别和密级制定不同管理和使用原则，对数据做到有差别和针对性的防护。

角色授权：在数据分级和分类后，了解数据在被谁访问，这些人如何使用和访问数据，针对不同角色制定不同安全政策。常见角色：业务人员（需进一步细分）、数据运维人员、开发测试人员、分析人员、外包人员、数据共享第三方等。

场景化安全：针对不同角色在不同场景下，研究数据使用需求；满足数据被正常使用的目标下，完成相应安全要求和安全工具选择。比如对于运维人员，在备份和调优场景下，并不需要对真实数据的直接访问能力，提供行为审计、敏感数据掩码能力即可。

三、数据安全治理的组织建设

数据安全治理首先要成立专门数据安全治理机构，以明确数据安全治理的政策、落实和监督由谁长期负责，以确保数据安全治理的有效落实。

DGPC框架中，该机构一般称之为DGPC团队，或Data Stewards，负责制定数据分类、保护、使用和管理的原则、策略和过程：

某运营商的数据安全治理的相关组织和角色结构图

（注：深色是部门，浅色是角色，结构中覆盖了业务、安全、运维和企业的相关管理支撑部门）

四、数据安全治理规范制定

在整个数据安全治理的过程中，最为重要的是实现数据安全策略和流程的制订，在企业或行业内经常被作为《某某数据安全管理规范》发布，所有的工作流程和技术支撑都是围绕着此规范来制订和落实。

五、数据安全治理技术支撑框架

5.1 数据安全治理的技术挑战

实施数据安全治理的组织，一般都具有较为发达和完善的信息化水平，数据资产庞大，涉及的数据使用方式多样化，数据使用角色繁杂，数据共享和分析的需求刚性，要满足数据有效使用的同时保证数据使用的安全性，需要极强的技术支撑。

数据安全治理面临数据状况梳理、敏感数据访问与管控、数据治理稽核三大挑战。

当前数据安全治理面临的挑战

5.2 数据安全治理的技术支撑

5.2.1 数据资产梳理的技术支撑

数据资产梳理有效地解决企业对资产安全状况摸底及资产管理工作，提高工作效率，保证了资产梳理工作质量。合规合理的梳理方案，能做到对风险预估和异常行为评测，很大程度上避免核心数据遭破坏或泄露的安全事件。

1）静态梳理技术

2）动态梳理技术

3）数据状况的可视化呈现技术

4）数据资产存储系统的安全现状评估

5.2.2 数据使用安全控制

数据在使用过程中，按照数据流动性以及使用需求划分，将会面临如下使用场景：

▪ 通过业务系统访问数据

▪ 在数据库运维时调整数据

▪ 开发测试时使用数据

▪ BI分析时使用数据

▪ 面向外界分发数据

▪ 内部高权限人员使用数据

在数据使用的各个环节中，需要通过技术手段有效规避各个场景下的安全风险：

数据使用安全控制示意图

5.2.3 数据安全审计与稽核

数据安全稽核是为保障数据安全治理的策略和规范被有效执行和落地，以确保快速发现潜在的风险和行为，从而明确防护方向，进而调整防护体系，优化防御策略，补足防御薄弱点，使防护体系具备动态适应能力，真正实现数据安全防护。

数据的安全审计和稽核机制由四个环节组成：行为审计与分析、权限变化监控、异常行为分析、建立安全基线。

微信扫描下方二维码，获取完整版《2018数据安全治理白皮书》