數據安全問題嚴重制約行業業務數字化轉型進程，通過對數據開展分類分級，并將結果應用于行業業務數據全生命周期安全防護，可以有效保障數字安全，滿足業務數字化轉型的安全需要，對開展行業類業務大數據的數據安全、數據治理和合規項目具有重要意義。
本文重點介紹了如何快速著手啟動基于DSMM框架的數據安全評估過程，為制定數據安全與治理“分類施策、分級管控”的策略與解決方案奠定堅實的基礎。
安全風險：一點突破 全線泄露
行業業務資源大數據屬于政務數據的范疇，當前數字政府建設的關鍵基礎設施、集中化的政務云平臺和大規模數據的管控、調度模式等，在經濟和政治雙重因素疊加的情況下，存在“一點突破，全線泄漏”的安全風險。
1、政務數據集中管理風險：政務云是數字政府建設的關鍵基礎設施，集中化的政務云平臺和大規模數據的管控與調度模式存在 “一點突破，全線泄漏的數據安全風險”。
2、政務數據共享和分發安全風險：政務數據開放、共享涉及監管機構、其他政務部門和第三方，數據共享的高頻度、高利用、多場景等，導致數據安全手段落實難度大。
3、基于開源系統開發的政務應用系統、數據開發利用存在供應鏈安全隱患：政務系統平臺開發大量采用開源工具，運維外包形態等，存在很高的安全隱患。
4、政務數據的跨境風險：高效數字政府需要政務數據共享，共享安全審查不嚴極易導致政務數據的泄露，甚至被境外組織、間諜機構獲取，危害國家安全。
5、政務數據協同安全風險：高效協同的數字政府需要PC端、移動端等辦公和業務場景協調，極易導致信息泄露。
安全合規：高度重視 嚴格要求
國家對政務數據安全高度重視，一系列法律、法規、政策文件和技術標準對政務數據安全提出嚴格要求。
1、建立數據分類分級保護制度，編制和重點管理國家核心數據，地區、部門以及相關行業、領域的重要數據目錄；
2、建立數據安全風險評估、報告、信息共享、監測預警機制；
3、建立數據安全應急處置機制；
4、建立數據安全審查制度；
5、規范數據的收集和使用，加強個人隱私、個人信息、商業秘密、保密商務信息等數據保護等要求。
基于DSMM框架開展行業資源數據安全評估
DSMM框架強調數據全生命周期過程安全審計，緊密貼合行業資源大數據業務，符合現階段實踐“業/財”融合的數據安全需要，可以實現事前預防、事中控制、事后追溯，形成數據安全改進提升工作方案及實施計劃，持續提升數據安全治理能力。
1、數據安全與信息安全評估相融合
從客戶應用業務安全需求角度，兼顧數據安全與信息安全風險評估，充分融合《信息安全技術 數據安全能力成熟度模型》（GB/T 37988- 2019）、《 信息安全技術 信息安全風險評估方法》（GB/T 20984-2022）評估內容，落實法律法規義務，發現并處置風險。
2、基于業務場景角度選擇數據安全風險評估的對象
基于DSMM框架的風險測評，對選擇業務場景所涉及全生命周期相關的系統、平臺有嚴格要求，必須考慮業務場景所涉及的數據處理生命周期，并建立數據處理生命周期與數據應用場景的關聯矩陣，以滿足DSMM等級認證對重要數據安全能力過程域（PA）數量與分值等要求。
評估過程
DSMM的架構由四大安全能力維度、七個安全過程維度、五個安全能力等級構成共計30個過程域；
四大安全能力維度：組織建設、制度流程、技術工具、人員能力。
七個安全過程維度：通用安全、數據采集安全、數據傳輸安全、數據存儲安全、數據處理安全、數據交換安全、數據銷毀安全。
五個安全能力等級：1級（非正式執行）、2級（計劃跟蹤）、3級（充分定義）、4級（量化控制）、5級（持續優化）。
基于業務視角開展測評，對選擇的業務應用現狀、使用情況進行調研、分析，確定業務的關聯關系、訪問的關鍵路徑、數據的流向及演變過程，并結合對基礎安全管控措施的分析，找出主要業務所面臨的管理、技術及運營風險。
基于業務場景化的改進性數據安全風險評估模型將安全事件發生的可能性、安全事件造成的損失、威脅和資產等風險要素進行細化分析計算，將通用模型中涉及的要素進一步細化，同時將安全措施的有效程度引入模型中，使模型更符合實際情況。改進的評估模型如圖所示。
評估清單
數據安全風險評估分為清單管理數據訪問、分析用戶行為、審核安全狀態三個關鍵階段：
管理對數據的訪問：主要處理業務資源數據中敏感數據的權限，確定敏感數據的分布，重點評估“擁有管理員權限的用戶數量、權限更改、對安全組/配置更改”的安全風險。
分析用戶行為：重點審核對數據的修改、登錄失敗等行為等關鍵風險指標。
審計安全狀態：重點審核非活動/禁用用戶、陳舊數據、密碼永不過期的用戶等賬戶存在安全風險。
評估報告
基于業務場景化的行業資源大數據安全風險評估報告的核心內容包括：
1、潛在破壞數據安全的可能性和影響；
2、特定場景和特定數據的風險發生的可能性；
3、目前現有的數據安全防護措施的有效性和差距性，進而為被評估自組織的數據安全系統建設、支撐環境建設以及數據安全整體規劃做決策依據。
另外，數據安全風險評估也涵蓋三個層級的風險報告。
1、根據被評估組織或行業的性質和重要程度，形成行業層面的數據安全戰略風險報告。
2、根據業務組織的使命和形式，形成被評估組織層面的數據安全風險報告。
3、依據數據本身的特點或場景，形成面向系統級別、數據級別或者供應鏈級別等重要方面的風險評估報告。
數據作為數字經濟關鍵要素，實施數據戰略、保障數據安全逐步成為全球共同的戰略選擇。啟明星辰數據安全【數據綠洲】具有數據安全與治理咨詢、建設、服務等能力，將助力行業資源大數據監管部門解決普遍存在的數據安全建設缺乏體系參考和整體規劃的問題，以場景化安全智慧賦能數字經濟、數字社會、數字政府發展，引領我國數據安全產業更好地向下扎根、向上生長。
Copyright ? 啟明星辰 版權所有 京ICP備05032414號 
京公網安備11010802024551號
