数据安全，为什么并不存在？

如果加星标，可以及时收到推送

《安全晓说》第62篇，锐安全总第286篇原创

本文1735字，阅读时长约6分钟

当我们谈到“安全”这个概念的最大边界时，可以延用“国家安全观”里定义的：政治安全、国土安全、军事安全、经济安全、文化安全、社会安全、科技安全、信息安全、生态安全、资源安全、核安全等11种。

如果我们把这11种安全再做一下聚类，可以得出3个大的安全范畴：物理世界安全、人类世界安全和数字世界安全。

图：安全的最大认知边界

从上面的分类里可以看出，国家把“物理世界的安全”分成了2个切面：物质和生物。

把“人类世界的安全”分成了物质和意识2个层面等8个维度。

而“数字世界的安全”只有1个维度：信息。所以数字世界又叫信息世界，数字技术又叫信息技术。

在数字世界里，数字等同于信息，而信息本质上就是数据。所以整个“数字世界的安全”就是信息安全，就是数据安全。这里的数据安全，它是一个全集。

那可能你会说：“你要是这么说那就太矫情了，我说的‘数据安全’不是你这样的‘广义数据安全’，而是‘狭义的数据安全’”。

如果要这么说，那咱们就得把“数字安全”这个“瓜”切开看。

这时候你能看到数字安全的3大切面：威胁、网络和数据。

图：数字安全三大切面

“威胁”可以通过“网络”远程获取“数据”，也可以通过近源的方式直接获取“数据”。

总的来说，威胁是信息的破坏者；网络是信息的物理载体；这里的数据指的其实是有商业价值的信息，所以是信息的价值载体。

当我们谈“威胁防御”时，谈的其实就是杀毒、防黑、反勒索、高级威胁防御、反欺诈、内部威胁防御等。

当我们谈“网络安全”时，谈的其实就是今天看到的“安全赛道”的概念：终端安全、边界安全、云安全、物联网安全、应用安全、业务安全和身份安全。

当我们谈“数据安全”时，更多指的是国家标准《GB/T 37988-2019 信息安全技术 数据安全能力成熟度模型》里提到的DSMM架构(Data security capability maturity model)。

图：DSMM架构

DSMM架构包括一个“数据生存周期安全”和“PA体系”（过程域，Process Area）。

“数据生存周期安全”包括数据采集、数据传输、数据存储、数据处理、数据交换、数据销毁等6个阶段。

PA体系包括“数据生存周期安全过程域”和“通用安全过程域”两大部分的30个PA域。

图：数据安全PA体系

在数据生存周期安全过程域中：

• 数据采集阶段的核心安全能力是：数据分类分级；

• 数据传输阶段的核心安全能力是：数据传输加密；

• 数据存储阶段的核心安全能力是：数据备份与恢复；

• 数据处理阶段的核心安全能力是：数据脱敏；

• 数据交换阶段的核心能力是：隐私计算、数据API安全；

• 数据销毁阶段的核心安全能力是：数据擦除。

在通用安全过程域中，有终端数据安全、监控与审计、数据资产管理、数据安全供应链等要素。

end

参考资料：

[1]风暴眼.“这个惩罚，我一个单亲妈妈承受不起”，猎头向上市公司董事长“求饶”！最新回应......,2024年10月25日.https://mp.weixin.qq.com/s/UOKdO45xAON6Pa98kzJ0Uw

[2]新华社.中央国家安全委员会第一次会议召开 习近平发表重要讲话,2014-04-15.https://www.gov.cn/xinwen/2014-04/15/content_2659641.htm

[3]国家标准委.GB/T 37988-2019 信息安全技术 数据安全能力成熟度模型，2019-08-30.https://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=3CFD5E5A14C24D303EA1E139E6EB75C8