▽

在早期，数据安全主要集中在安全领域，侧重于数据安全管理和技术，如加密、脱敏、API接口控制等。在业务系统中的实际应用，加密技术的改造成为主要挑战，它涉及到业务流程改造和应用程序调整。

近年来，随着数据要素的流通和“X”概念的提出，进一步关注数据处理活动，包括对数据源的合规性引入、数据产品的对外服务以及与合作伙伴的安全控制。在保障安全的同时，数据合规性也被纳入重点关注，主要聚焦四大方面（如图1），也催生了更多与数据安全合规相关的场景。

图1:数据合规的四大方面（参考DAMA国际数据管理知识体系指南）

在数据安全管理的初期，习惯用“数据的全生命周期”的概念，这涵盖了数据的采集、传输、存储、处理、交换和销毁六个环节。国家标准GB/T 37988-2019 《信息安全技术 数据安全能力成熟度模型》便是这一概念的典型代表，后来推出了DSMM（数据安全能力成熟度模型）认证体系。总体上全生命周期的概念易于理解，但在实际操作中，对数据的理解很难切割成6个阶段。

图2:早期数据全生命周期的防护体系

《数据安全法》中明确了数据处理活动的范围，包括数据的收集、存储、使用、加工、传输、提供、公开和销毁等。这些活动多聚焦于数据管理和技术层面，数量太多，不利于记忆和广泛传播。

图4:数据访问的两类主要场景

数据安全颗粒度较细，关注数据处理的全过程活动风险，与业务、合规、数据等紧密关联，极大拓展了所需的知识领域，参与人员需具备广阔的视野，以全面理解问题。

此外，数据安全涉及多个角色，包括@安全合规、@技术安全、@数据开发、@软件开发、@运维、@业务运营等，极大增加了工作的复杂性，使得数据安全工作开展难度加大，需要较多的跨部门横向协同，对人员能力要求更加广泛。比较像“T”或“π”型人才的要求，要求人员的横向面足够宽泛，进行跨部门交流互动，但在数据安全领域又要有一定的专业深度。

图5:T型人才的特性

数据安全需要网络安全作为基础底座，更关注数据从内到外的安全风险。网络安全相关的安全能力逐渐云化，即安全SAAS服务，企业不再需要大量采购安全产品和工具。云计算技术把存储资源、计算资源、网络资源等进行虚拟化，业务系统重点是“用安全、用服务”，安全人员不再需要过度关注基础安全（由基础设施统一提供技术支持），他们更加专注于业务应用的内生安全配置和逻辑管理。

企业的数据运营活动，包括数据的加工、分析和处理，是其核心业务的重要组成部分，旨在通过数据应用和业务应用来增强企业的竞争力。在这一过程中，数据安全政策和责任制变得至关重要。企业高层，尤其是第一责任人，很多场合都会询问“数据安全是如何管理的？”

数据运营和数据安全运营成为一个并列的事项，整体融合成大运营概念，是一个比较好的解决思路。

网络安全运营侧重于安全领域的各个方面，如IT资产的保护、互联网暴露面的管理、漏洞的检测、情报的收集、告警的处理以及应急响应等。数据安全运营则需更全面地关注数据运营的全过程，包括数据处理活动、执行脚本任务、配置和权限管理，以及数据合规性和服务等非安全方面。

图6:数据安全运营的边界关系

数据即业务的业务系统，是一种新的模式，它以数据应用为主，比如涉及数据产品管理、数据对外服务。

传统以应用功能为主的系统，它以业务应用为主，应用功能是核心，数据是为了辅助于业务实现，这往往导致不同业务系统间的数据难以整合。

现在推行的数字化转型应用，尝试把大量散落的系统整合成大平台，把数据进行统一归集，建立统一应用底座、统一身份认证体系，通过“主数据”把各个业务系统串联起来，简单说就是人少跑路、数据多跑路的理念。比如上海、广东等城市在数字政府方面建设中，推出了面向市民的一网通办、面向城市管理的一网统管应用。

对于以数据业务为核心的系统，数据处理活动尤为显著，涉及大量的数据运营工作，目的是从数据中提取价值，甚至通过数据分析创造新的业务模式。数据应用和业务应用两种不同的数据使用模式，其数据安全管控思路完全不一样，尤其数据业务为主的系统，需要关注数据全域过程的安全，包括线下的合规审核和线上的数据流动等。此外，在处理数据业务时，必须评估和识别数据跨境传输的可能性和风险。

不同行业因为数据监管要求不同，配套数据安全解决方案差异性极大。即使在同一行业内，也需要使用“大场景思路”进行设计。其中不同的人、不同的系统、不同的数据的交叉，构成了不同的场景，根据场景定制具体的解决方案。

现实中，并没有一个大型综合数据安全平台可以一统天下，一招打遍天下，反而针对业务场景的小痛点提供一些切面式、补充式的方案比较有市场。数据安全工作的复杂性在于其细致的颗粒度和数据的不同状态（如静态、动态、传输中），这使得数据很难被精确控制和保护。

涉及数据业务的情形，分类分级永远是讨论不完的热点，看着热闹实则几乎难以落地，总体上是一个业务加技术协作的工作，甚至以业务为主导。业务、安全、技术协调不当，容易出现显著的分歧。

例如，从安全角度出发，可能会倾向于直接应用国家标准和规范，但如果缺乏对业务实际情况的理解，就可能生硬地套用分类分级规则，而不考虑数据的实际状态或是否需要对外公开等关键因素。

这种做法可能会导致定制化的解决方案与业务需求不匹配，从而影响数据安全策略的有效性和实用性。个人有一些建议：

（1）优先识别粗颗粒度的数据目录信息

（2）通过工具识别企业中【重要业务系统】的【重要业务数据】

（3）不期待所有数据进行全量的分类分级。分类为业务，分级为安全，这里的安全需要结合不同数据场景。

数据的核心价值在于支持业务，而业务的最终目标是满足用户需求。用户在完成业务操作时所经历的整个流程构成了业务流。由于数据与业务紧密相连，数据流实际上映射了业务流，业务流的细节部分就是数据端到端全过程的流转，包括网络之间的流转、系统之间的流转、系统内部的流转（前端、后端、缓存、数据库等）。

网络流是从网络和安全的角度来观察数据的传输路径，包括数据经过的网络设备和安全设备，例如防火墙、Web应用防火墙、安全网关等。当业务运行中出现异常需要进行问题诊断时，分析网络流是定位问题的关键步骤。

简要总结，理解业务流、数据流、网络流，形成相关流向示意图，对于确保业务流畅运行和维护数据安全至关重要。

特别声明，因为对数据安全一直持续在关注，在很多实务工作中会遇到各类问题，进行总结和思考，慢慢积累出一些观点和看法，仅代表个人观点。

⬇️⬇️⬇️