研究背景

隨著數(shù)字化時代的迅猛發(fā)展，大數(shù)據(jù)對企業(yè)、社會和民生的影響愈發(fā)巨大，大數(shù)據(jù)的應用對于國家發(fā)展、企業(yè)運營乃至個體經(jīng)營起到至關重要的作用，引領大數(shù)據(jù)成為當今時代的主題。然而，當下大到政府機密和行業(yè)敏感數(shù)據(jù)泄露，小到個人隱私暴露等不良事件對公共和個人安全造成了巨大的威脅。因此，大數(shù)據(jù)的應用既是機遇也是挑戰(zhàn)，本篇以企業(yè)數(shù)據(jù)安全管控為例，探討有利于保障企業(yè)數(shù)據(jù)安全的防護體系。

1、數(shù)據(jù)安全標準

國際層面，各國出臺了如GDPR、CCPA、COPPA、LGPD等。

國內層面，近期相繼出臺了《網(wǎng)絡安全法》、《兒童個人信息網(wǎng)絡保護規(guī)定》、《APP違法違規(guī)收集使用個人信息行為認定方法》、《數(shù)據(jù)安全管理辦法》(征求意見稿)、《網(wǎng)絡數(shù)據(jù)安全標準體系建設指南》(征求意見稿)和《中華人民共和國數(shù)據(jù)安全法(草案)》等。

2、數(shù)據(jù)生命周期

在GB/T36073—2018《數(shù)據(jù)管理能力成熟度評估模型》中，對大數(shù)據(jù)環(huán)境下數(shù)據(jù)在組織業(yè)務中的流轉情況定義了數(shù)據(jù)的6個生命周期階段，如圖所示。

(1)數(shù)據(jù)產(chǎn)生，指新的數(shù)據(jù)產(chǎn)生或現(xiàn)有數(shù)據(jù)內容發(fā)生顯著改變或更新的階段。數(shù)據(jù)的產(chǎn)生包括兩種形式：一種是組織內部系統(tǒng)生成的數(shù)據(jù);另一種是組織從外部收集的數(shù)據(jù)。

(2)數(shù)據(jù)存儲，指非動態(tài)數(shù)據(jù)以任何數(shù)字格式進行物理存儲的階段。

(3)數(shù)據(jù)使用，指組織在內部針對動態(tài)數(shù)據(jù)進行的一系列活動的組合。

(4)數(shù)據(jù)傳輸，指數(shù)據(jù)在組織內部從一個實體通過網(wǎng)絡流動到另一個實體的過程。

(5)數(shù)據(jù)共享，指數(shù)據(jù)經(jīng)由組織與外部組織及個人產(chǎn)生交互的階段。

(6)數(shù)據(jù)銷毀，指利用物理或技術手段使數(shù)據(jù)永久或臨時性不可用的過程。數(shù)據(jù)的安全防護過程覆蓋數(shù)據(jù)生命周期的6個階段，

3、數(shù)據(jù)安全防護體系

為了使企事業(yè)單位在開展數(shù)據(jù)安全體系建設時有所參照，解決建設前、中、后的顧慮和困惑。騰訊安全結合自身的應用與實踐經(jīng)驗，繪制并發(fā)布數(shù)據(jù)安全能力圖譜，助力企業(yè)規(guī)劃數(shù)據(jù)安全體系的建設、加強數(shù)據(jù)場景的安全管控能力、指導數(shù)據(jù)安全能力的評估等場景。

騰訊數(shù)據(jù)安全能力圖譜提出了六大能力，即數(shù)據(jù)資產(chǎn)管控能力、數(shù)據(jù)安全運營能力、數(shù)據(jù)業(yè)務安全管控能力、數(shù)據(jù)支撐環(huán)境安全管控能力、數(shù)據(jù)運維安全管控能力和數(shù)據(jù)安全感知能力，覆蓋了數(shù)據(jù)全生命周期及重要的數(shù)據(jù)場景，在開展數(shù)據(jù)安全體系建設時具有很高的參考價值。

4、構建數(shù)據(jù)安全保障體系

企業(yè)開展數(shù)據(jù)安全建設工作需從組織架構、管理制度、安全團隊建設、技術保障等方面構建全方位的數(shù)據(jù)安全保障體系

(1)組織架構。設計數(shù)據(jù)安全組織架構時，可按照決策層、管理層、執(zhí)行層和監(jiān)督層的架構進行設計。

(2)管理制度。參考ISO27001管理體系框架，從方針、管理制度、操作規(guī)范、記錄表單等維度構建統(tǒng)一的數(shù)據(jù)安全管理體系。其中，方針是一級文件，主要描述企業(yè)在數(shù)據(jù)安全管理方面的目標、策略、愿景、基本原則和管理要求等。

(3)安全團隊建設。數(shù)據(jù)安全團隊建設必須要著眼未來、立足長遠，可從文化、能力、意識等方面開展團隊建設，與時俱進地學習新知識和新技術，才能更準確、更高效地識別企業(yè)新風險，才能更精準地處理風險，從而適應日益嚴峻的內外部環(huán)境，實現(xiàn)更有效的風險防范。

(4)技術保障。基于企業(yè)數(shù)據(jù)全流程管理并結合技術手段，聚焦數(shù)據(jù)承載平臺，提升終端數(shù)據(jù)安全、網(wǎng)絡數(shù)據(jù)安全、平臺數(shù)據(jù)安全和應用數(shù)據(jù)安全的防護能力，避免數(shù)據(jù)外泄。其中，涉及到的數(shù)據(jù)安全技術工具包括系統(tǒng)平臺、工具、功能、算法技術等，需從整體進行規(guī)劃，確保和企業(yè)的信息系統(tǒng)進行有效銜接。

(5)風險管理通過建立集安全規(guī)劃、安全監(jiān)控、安全審計、安全事件管理、業(yè)務連續(xù)性于一體的風險管控機制，實現(xiàn)對系統(tǒng)數(shù)據(jù)安全風險的識別、計量、監(jiān)測和控制，最終實現(xiàn)安全風險的可控、能控、在控。

5、數(shù)據(jù)安全管控平臺

1)平臺規(guī)劃模塊。包括平臺內容規(guī)劃(7項內容)、管控體系固化(7項內容)、 平臺技術方案設計(5項內容)三大模塊的 19項內容。如圖展示了平臺的規(guī)劃詳細模塊。