四个行业数据安全治理实践案例

通过现状调研与沟通，编写符合该机构战略和业务发展的数据安全制度体系，最终确定《数据安全管理制度》、《数据安全人员管理规范》、《数据安全应急响应管理制度》等制度，覆盖数据全生命周期各阶段，围绕组织、流程、技术、人员等维度制定，为其组织数据安全管理上提供有力支撑。

合规性评估和加固建议：联合对标13项法规、条例，充分了解其数据安全合规情况，以规避可能存在的法律风险，做到“早发现、早处理”。该部分评估对相关法律法规条款逐一进行解读、现状描述，同时对每个条款衍生或关联的相关法律、法规、标准和指南等内容进行标识，最后针对存在的风险提供建议。

数据全生命周期评估和加固建议：结合实际情况，从技术和管理两个维度，涵盖数据生命周期风险评估和数据基线及漏洞评估，基于访谈和工具分析现有的数据安全风险，最终得出当前数据业务的安全风险总体情况，并以GAP图清晰展示，提供安全加固建议。

数据安全建设规划依照前期数据安全咨询项目的评估差距进行补足，着眼于数据全生命周期安全，针对不同的阶段提供技术加固方案，考虑到用户数据安全建设的紧迫性，分为短期和长期建设规划，包括数据安全防护可用的产品或技术手段、建设周期、先后顺序，以及建设完成后差距评估，为其明确数据安全规划建设之路。

结合《公共数据分类分级指南》、《人口综合库数据规范》、《信息安全技术 个人信息安全规范》等规范，对该市大数据局的人口库进行梳理，形成《市大数据局数据分类分级参考规范》，并将标准内置到分类分级工具中。

通过暗数据发现产品提前配置好人口库的分类分级及发现模版，对所在的数据库开展资产发现作业，实现自动化的数据业务类型识别，对数据含义进行标识。

在业务类型识别基础上完成对人口库数据的分类分级，通过工具进行标签管理，并生成可视化的分类分级报告。

通过问卷调研、工具探查等方式多维度盘点数据资产，厘清数据资产现状，并在此基础上进行数据分类分级：

对数据安全现状进行分析，识别和分析数据资产在全生命周期各阶段风险，并给予中立的加固建议，包括：

基于数据安全风险评估的结果，结合实际情况，提供针对性的数据安全建设规划方案：

由于现阶段暂无制造业的分类分级指南，美创科技本次以《工业数据分类分级指南（试行）》为基础，参考公共数据、物流交通、能源、电信、金融行业的分类分级实践结果。在企业原有分类分级的基础上，细化补充了数据类别和级别，并且设计了基于数据分类分级结果的数据权限。

对数据安全现状进行分析，识别和分析数据资产在全生命周期各阶段风险，包括对《数据安全法》、《个人信息保护法》、《通用数据保护条例》等国内外法律法规文件进行全面解读和分析，参考信息安全风险分析方法，通过定性分析和定量分析的方法，分析并计算数据资产所面临的风险值，并给予中立的加固建议。

基于数据安全风险评估的结果，结合实际情况，提供针对性的数据安全建设规划方案，明确建设依据、建设规划、建设路径、建设周期、建设优先级等内容，指引数据安全建设道路，完善《数据安全管理办法》、《数据全生命周期管理制度》、《数据接口安全管理规范》、《数据脱敏规范》、《数据安全风险评估管理制度》等5份制度规范。此外，通过培训赋能和项目实施过程中的成果移交，协助组织形成一套基础的数据安全合规评估工具，让组织具备常态化的自评估能力。