数据安全星熠案例| 海云安-某省级烟草基于双生命周期融合数据安全治理体系探索实践

点击蓝字丨关注我们

申请加入数据安全共同体计划，请在本公众号回复“申请表”获取下载链接

近年来，国家从顶层规划和政策细则层面，频频出台相关政策文件，强化了数据安全作为数字中国建设核心底座的地位，数据安全产业迎来了黄金发展期。自2022年起，数据安全共同体计划已开展两届数据安全“星熠”案例征集工作，遴选了多个数据安全优秀案例，形成了良好的“标杆”效果。

为发挥优秀案例示范引领作用，加强优秀案例宣传推广，现推出“数据安全‘星熠’案例”展示专栏，分享2023年数据安全“星熠”优秀案例成果，供各行各业参考借鉴。

本期发布数据安全合规体系建设实践方向优秀案例《海云安-某省级烟草基于双生命周期融合数据安全治理体系探索实践》

摘要：

海云安为某省级烟草公司（以下称“公司”）规划并实施了多标准融合与双生命周期融合的数据安全方案，通过双融合构建技术、管理和运营三大体系，解决了数据安全合规、风险管控和业务影响控制等问题。公司实现了数据安全和应用安全的同步提前，拓展了数据安全和应用安全风险管控的手段，为公司打造了一个安全可信的数据使用环境，助力公司持续稳健发展。

问题：

在数据安全建设方面，公司面临多重挑战。管理层面，需遵循国家数据安全相关法律法规，但在多法并行、多标准并行的背景下，缺乏有效的合规治理手段；技术层面，公司整体的数据安全防护和监测能力不足，缺乏纵深防御措施，难以有效应对复杂场景下的安全挑战；运营层面，传统的网络安全运营机制难以适应业务快速变化的需求，导致安全策略在执行中出现“一宽松就乱、一严格就瘫”等问题。

行动：

公司以数据为核心，深入研究数据安全生命周期与应用生命周期的相互关系，并据此将安全与合规要求进行细致分解与精确映射。以应用生命周期为主线，融合数据安全建设需求，实现了数据安全与应用安全建设的同步提前（左移），同时以数据流动路径为核心，融合应用安全管控需求，拓展了数据安全和应用安全风险管控的手段（右拓）。通过构建基于数据与应用双生命周期的安全防护体系，保障公司数据安全与业务发展的协调并进。

结果：

基于双生命周期融合的思路，公司围绕数据安全管理、技术、运营三个维度构建了一个合规、合理、全面的治理体系。有效解决了数据安全“管什么、谁来管、怎么管”的难题。在此基础上为公司数据要素价值的充分释放提供了坚实基础，并为公司在“十四五”规划期间的数字化转型打下了坚实基础。

一、项目背景

公司至今已走过百年历程，当前，加快数字化转型，赋能高质量发展是国有企业发展的必由之路；公司正加速向“数字化、智能化、智慧化”迈进，以技术进步赋能效率提升、管理提升和机制优化；加快推进两化深度融合，打造“全面感知、深度洞察、敏捷响应”的数字化价值链，赋能高质量发展。

工业数据作为国家基础型战略资源，是驱动工业数字化转型发展的核心。我国正加紧推进和完善相应的制度建设，加强对数据合规的监管和治理。面对国家和行业的数据安全新要求，公司正积极探索数据安全管控的规则和模式。随着数字化转型的不断加深，公司业务数据呈现出种类多、数量庞大、涉及范围广等特征，数据在车间-工厂-总部的流动路径、存储位置、使用方式都在发生新的变化，数据在应用和数据双生命周期各个环节风险无处不在，因此建设全方位覆盖公司总部、工厂、车间三级架构全场景化的数据安全管理体系已迫在眉睫。

面对国家和行业的数据安全新要求，公司将以数据安全法律法规为指引，以数据为中心、分类分级为出发点、网安为支撑，构建基于多标融合下双生命周期融合数据安全治理体系，为打造数字中烟、安全中烟提供强大动力。

二、解决方案

在数据安全建设实践中，一次性建立完整的数据安全治理体系存在方案复杂、投入高、周期长、见效慢、效果不可控等问题，且各部门、厂区数据安全建设基础情况不一，宜循序渐进开展数据安全体系建设工作。公司基于多标融合下双生命周期融合建立的数据安全治理体系方案如下：

开展思路

通过对监管合规要求的深入分析与研究，公司以法律法规为核心，结合部门规章、行业标准和规范，构建了一套综合性的数据安全合规评估指标体系。体系不仅涵盖了数据安全合规，还包括了安全技术和管理方面的要求。这样的整合为公司实现“一次评估，多方合规”提供了抓手，确保了公司数据安全治理的全面性和有效性。

通过深入探讨了数据全生命周期与业务应用全生命周期的内在联系，创新性地将多标融合与指标双生命周期的管理理念相结合，实现数据安全和应用安全双左移。达到数据安全的同步规划、同步建设、同步使用的目标，从而显著提升了企业数据安全保障的整体能力。

方案的建设思路是根据“管什么、谁来管、怎么管”的具体目标展开，通过构建基于应用和数据双生命周期融合的三位一体保障体系，全面提升公司数据安全保障能力。

建设路径

公司数据安全建设路径主要是围绕多标融合形成建设指标以确定评估依据，再根据评估指标内容明确评估对象，然后再对合规现状及风险应对能力进行差距分析形成管理、技术、运营建设内容，最后分阶段实施建设任务逐步实现所有既定目标，并遵循PDCA（计划-执行-检查-行动）方法论进行持续评估和建设。

建设内容

公司依据数据安全的法律法规、管理条例标准以及内部数据安全管理制度，进行融合，制定数据安全评估指标。这一举措不仅为建立数据安全治理体系指明了方向，而且有助于进一步完善和拓展数据安全管理工作。通过确保公司数据在合规法律框架下的合规、安全及准确性，有效地捍卫公司隐私和权益。

公司运用了基于多标准构建的评估指标，并结合人工访谈、文档审查、安全检查和技术测试等多种评估方法，对公司当前的数据安全合规状态及风险应对能力进行了深入分析。经过数月的细致评估，通过差距分析雷达图，公司得出了三个层面的结论：在管理层面需要进一步明确和细化组织机构职责，完善制度体系；在技术层面，需要加强防护和监测能力；在运营层面，需提升数据安全风险防范、监测预警和应急处置等方面的能力，以确保数据安全运营的高效和稳健。

公司基于上述数据安全评估结果及差距分析现状，依据多标融合指标建设要求，围绕五类数据对象，以“三同步”为指导，建立健全数据安全管理、技术、运营三大体系，并充分结合公司现状，按照经济合理、规划先行、分步实施、急用先上的原则，制定公司数据安全顶层设计，为公司数据安全实战化、体系化、常态化推进数据安全与数字化转型相融合提供保障。

管理体系建设方面，公司从战略出发，协调决策、管理、执行、监督等各相关方，打通了不同部门之间的沟通渠道，统一内部数据安全共识。结合公司现状，基于两级单位三级架构，完善数据安全组织架构与四级管理制度以支撑数据安全管理体系建设。数据安全保障工作依据“谁主管谁负责、谁运行谁负责、谁运营谁负责”的原则，实行统一领导，归口管理，分类分级负责。各部门、厂区的主要负责人为本部门、本厂区数据安全工作第一责任人，对本部门数据的收集、传输、存储、处理、共享、销毁等全流程进行有效控制，有效落实各项信息安全与数据保护措施。

技术体系建设方面，通过引入数据安全防护监测技术工具辅助数据安全保障工作，基于数据使用场景进行安全设计。通过加强安全防护措施提升业务数据安全管控防护能力，包括网络DLP、工业生产数据安全监测系统、静态脱敏、数据安全网关、数据水印、安全浏览器、RASP、云桌面 VDI、终端 DLP等，构建数据安全流动基础环境；并通过数据安全风险评估工作持续推进数据流动场景的强化管控。

运营体系建设方面，公司将实现从“被动防御”、“静态防御”到“主动响应”的转变。公司通过采用数据安全“左移”和“右拓”运营策略，即在应用系统上线前事先嵌入数据安全防护需求（左移），并在上线后持续采取一系列安全检测防护措施，确保数据流动路径的安全（右拓）。最终从风险防范、监测预警和应急处置三个维度为抓手进行了运营体系的具体建设。

依据规划内容，基于公司当前数据安全治理现状和目标，已将数据安全治理体系的建设划分为三个阶段，并将管理+技术+运营的建设思想贯穿在每一个阶段的建设任务中，快速达成阶段性目标，再由前一个阶段的建设成果指导下一个阶段的建设目标，一步步证明路线选择的正确性，通过“小步快跑，不断迭代”的方式，逐步建成数据安全闭环管控体系。

交付成果

项目通过三阶段的数据安全建设，成功交付了如下成果：7份旨在加强数据管理体系的关键制度、9大先进的数据安全技术工具，以及10项旨在提升数据安全运营效率的活动机制。通过7+9+10为公司构成了一个全面的数据生命周期安全治理体系，完成五类数据的安全管理全覆盖，显著提升了公司对数据安全的整体治理水平。

三、价值与效果

公司依据国家四法一条例，烟草行业150条及试点等要求，根据发展战略体系规划以及“十四五”发展规划的工作要求，通过多标融合制定了建设评估指标，并对N类业务场景下的五大对象域进行了数据安全差距分析。为公司数据和应用双生命周期融合下的数据安全治理体系建设提供了明确方向，显著提高了数据安全的整体水平。

2023年通过对公司旗下两个卷烟厂开展了多标评估试点，一方面验证了建设方案的可行性，另一方面又达到了“一次评估、多方合规”的目的，在此基础上，公司计划在2024年完成所有部门、厂区的数据安全多标评估试点，以实现公司数据安全能力的全面提升。

往期回顾

数据安全共同体计划

（data security community）

“数据安全共同体计划”为了促进《数据安全法》《个人信息保护法》落地实施，推动数据开发利用和数据安全领域的技术推广和产业创新，致力于促进数据安全产业链各环节的交流与合作，推动数据安全政策、技术、人才多要素良性互动，构建数据安全产业生态共同体。

咨询电话：

曹京 (010) 5884 6840

解伯延 18631643906