首席数据官数据安全之道

作者简介

刘永波：昂楷科技董事长、全国工商联大数据运维（网络安全）委员、智慧城市数据安全专委会特聘专家。

王正瑞：昂楷科技华东区总经理、DAMAChina副秘书长。

数字化时代数据安全面临新挑战

1.职能定位不明确，权责配置不到位。CDO整体的工作职责优先级如何确定还有待在实践中进一步探索，且对其职责定位大都忽略了数据安全责任。首席数据官不仅要解决“数据孤岛”也需要注重安全。在数字化改革背景下，数据安全面临一系列风险挑战。数据非法访问、数据窃取、网络攻击等安全风险不断增大。相应的数据安全责任、数据的定向与分级开放问题亟待解决。首席数据官作为统筹数据管理的责任人，应协调好内外部数据，在保证数据有效利用的前提下，合理保护数据隐私和安全。其次，目前首席数据官的权责配置与数据治理要求的统筹性、协调性和权威性等特征之间不匹配。

2.专业数据安全人才少，评价机制不健全。数据安全的建设需要有健全的人才体系作为支撑。作为一种新型的高端复合型人才，专业数据安全人才要具备强有力的数据技术和数据治理能力及全面的数据政策、安全和法规方面的知识，同时还要有较强的创新、组织和协调能力。

3.数据安全基础薄弱，数据安全制度体系不完善。2021年6月10日，《中华人民共和国数据安全法》经全国人大常委会表决通过，并于2021年9月1日起施行。因为《数据安全法》实行不久，相关行业制度和法规还需进一步完善。用户方完全可以照搬参考的法规标准还是比较有限，具体产品工具使用也较少。

首席数据官：数据安全花多少钱才够？

这个问题很难。但是，必须回答。要回答这个问题，可以先问自己三个问题：

1.公司有什么样的数据安全战略？

2.在哪方面先投入？

3.如何让投入真正有成效？

你可能看出来了，这些问题还需要追问，深入细节找出答案。

公司有什么样的数据安全战略？

我们保护的每项资产（数据、系统或流程）的价值是否足以说明投资合理，或者，应该优先考虑其他资产？
理想的数据安全能力成熟度和业务战略是否相称？

想要回答好这些问题，需要做好以下的准备工作：

建立资产库。早期不够成熟时，采取务实的方法，集中精力盘点和保护最关键的那些资产。
必须请董事会设定公司能容忍的风险上限和理想的风险水平，据此决定优先考虑哪些资产和威胁，申请多少预算。

在哪方面先投入？

对风险和安全能力的了解程度是否足以评估在哪些方面的支出最有效?

主要目标是满足监管合规，还是降低风险并促进业务发展?
掌握的情况是否足够细致、及时和准确，是否足以确定安全预算投入的优先级？

首先，将数据安全规划与相关的成熟度框架对应起来，然后，实事求是地说明目前的状况。董事会设定了风险容忍上限和理想的风险水平，根据后者确定了目标成熟度，然后，按每项投入对实现目标的贡献度排序并放进路线图。

如何让投入真正有成效？

对打算购买的安全产品或者服务了解多少？如何确保最初的计划成功？

现有的工具和解决方案有这些能力吗？
现有人员是否能有效地部署和管理具备这些能力的产品和服务？

结合以上问题，首席数据官在数据安全搭建上要有数据安全运营的思路

数字化时代数据安全运营体系建设的理念和架构

在构建数据安全运营体系时，需要新的理念来应对新形势、新威胁、新挑战。

数字化时代数据安全运营体系建设的理念以持续有效进行数据安全防护为核心，既要把握好与业务之前的紧密联系，又要兼顾效率与稳定可靠之间的平衡。主要由：2个基本原则、3个全面覆盖、2个平衡、2个引擎、2个坚持、2种能力组成。

数字化时代数据安全运营体系建设理念的6个维度

（1）2个基本原则：对数据资产、风险的精准可视原则；对数据安全风险可控、安全措施可控原则；

（2）3个全面覆盖：数据安全治理要全面覆盖全数据形态、全生命周期、全流通环节；

（3）2个平衡：安全与可靠、安全与效率之间的平衡；

（4）2个引擎：利用大数据技术、人工智能技术作为数据安全运营的引擎；

（5）2个坚持：坚持对数据资产的动态测绘、坚持对风险的持续管控；

（6）2种能力：建立全息态势感知能力，进而形成联动联防的控制能力。

数字化时代数据安全运营体系架构的4个关键组件

数据安全运营体系架构围绕数据安全运营目标，以数据安全组织体系为组织保障，以数据安全管理体系为规范指导，以数据安全技术体系为技术支撑，打造数据安全运营驾驶舱，构建数据安全闭环管控的体系架构。

（1）数据安全运营驾驶舱

通过提炼出相应的运营指标，落实到日常运营动作中，如持续监测、风险识别、安全防护、应急响应，再通过风险评估、定期审计、意识培训等考核监督手段，不断总结、完善、优化运营指标、日常运营动作，实现数据安全运营的PDCA循环。

（2）数据安全管理组织

当前无论是传统网络安全部门还是应用部门，都难以独立履行数据安全治理职责，在数据安全治理过程中，需要建立跨领域、懂数据、懂安全、懂业务，能为数据安全治理端到端负责的新组织。数据安全组织需要获得高层支撑指导，构建包括决策层、管理层、执行层、监督层的体系结构。

（3）数据安全管理体系

应围绕业务数据安全需求、法律法规合规要求等方面进行梳理，设置数据安全管理方针、管理办法、管理流程、详细表单，实现可度量、可预防、可管控、可测评的管理目标，同时，也要明确相应的保障机制，包括培训宣贯、优化完善、考核评价等。

（4）数据安全技术体系

应围绕数据生命周期中的安全问题，采用相应的安全技术能力、统一平台，建立全网进不来、拿不走、看不懂、改不了、走不脱的数据安全防护体系，实现全网数据安全态势感知、风险监测、持续保护。

数据安全运营体系建设的7项关键举措

为使数据安全运营体系真正落地，我们提出需要7项关键举措：

（1）数据安全运营指标设计

结合业界数据安全运营指标体系和业务场景制定个性化的数据安全运营指标，将数据安全事件驱动的效果演变成细粒度指标驱动的安全能力评估，落实数据安全运营指标评审，有效量化和指导数据安全运营体系建设和落地，提供决策依据，指导数据安全运营工作有序开展。

（2）数据资产动态测绘及持续分级

在数据安全治理过程中，第一步往往是了解数据资产本身，梳理数据分布情况及数据关联性。开展数据分类分级服务，持续完善和细化重要数据识别和数据分类分级规则，自动化的输出分类分级清单。同时，分类分级输出的结果也要落实到运营驾驶舱中，成为运营驾驶舱中重要的数据安全治理元数据，形成统一的、全网的数据安全控制策略。数据分类分级也应持续开展，动态测绘，保障数据分类分级结果的有效性。

（3）数据全流通环节安全防护

数据流通包括诸多环节，数据采集、数据存储、数据处理、数据应用、数据共享、数据交易、开发运维等，也会存在不同的流通场景，基于数据业务不断扩大，从单一业务、数据演变成跨系统、跨部门、跨业务等数据流动。每个流通环节和应用、场景的复杂度密切相关，需要区别对待，具体分析，详细设计数据安全防护方案，促进数据全流通环节安全防护。

（4）供应链环节中运维开发场景的安全管控

开发运维场景是供应链中重要的一环，由于第三方开发运维人员的操作权限较高，可以直接接触到敏感数据，无论是主动还是被动都有可能产生数据泄露风险，需要重点考虑此场景下敏感数据的安全。利用数据访问权限管控、数据去标识化、特权账号权限管理等技术手段，建立此场景下敏感数据安全防护机制。

（5）数据全生命周期安全防护

数据全生命周期包括数据采集、传输、存储、处理、交换、销毁等多个环节，各环节都面临着一些安全风险。利用接入控制、数据访问权限控制、敏感数据脱敏处理、数据水印溯源、监控审计等数据安全技术能力单元，辅助强化数据安全防护能力建设，实现贯穿数据全生命周期的安全防护。

（6）数据安全态势感知，联防联控

数据资产庞大，数据流动方向复杂且多样性，直接或间接导致数据泄露事件的频频发生，既有内外部攻击威胁，也有技术、管理层面的漏洞和缺陷。因此依靠仅靠单一的措施或功能难以全面防护。昂楷数据安全综合治理平台，利用大数据、人工智能的挖掘分析，形成数据资产分布地图、研判预防复杂的数据攻击、快速处理风险、优化安全策略，达成数据安全态势感知、合成作战、联防联通效果。

（7）数据安全持续稽核，巩固运营效果

数据所面临的威胁和风险是持续变化的，数据安全防护标准、数据攻击行为和方式均随时间不断演变，数据安全防护体系也不能一成不变。在数据安全运营过程中，要依据国家和行业的法律法规、组织制定的数据安全目标，通过数据安全能力稽核、风险评估、渗透测试、合规审计等措施，持续对数据安全防护效果进行稽核、优化，以保障数据安全防护效果。

开展数据安全运营体系建设的3个阶段

数据安全运营体系的建设是一个长期且复杂的过程，一次性建设会存在投入高、周期长、见效慢等问题，宜采用阶段式、逐步完善的方式，围绕组织、管理、技术、运营四个维度循序渐进地开展数据安全体系建设，逐步实现数据安全闭环管控。

（1）基础建设阶段

抓牢数据安全基础技术能力建设，建立数据安全管理、组织体系，开展数据分类分级工作，构建数据安全的基础体系。

（2）优化提升阶段

完善数据安全技术能力，迭代优化管理、组织，人员数据安全能力提升，数据安全风险评估，数据安全运营平台建设来进行优化提升。

（3）持续运营阶段

主要进行数据安全态势监测、数据安全应急演练、数据安全事件管理、数据安全运营指标考核、数据安全防护策略优化等。

数据安全运营体系的构建，具有统一管控、不重复建设、持续防护等特点，形成数据资产地图、数据权责相符、安全风险实时监测、安全事件快速处理、安全态势全局掌握，保障业务在安全的环境稳定运行、持续发挥数据价值。

声明：本文仅代表企业及专家个人观点，不代表本公众号及其运营单位意见或立场。

往期推荐