2022数据安全治理与实践白皮书.docx

《2022数据安全治理与实践白皮书.docx》由会员分享，可在线阅读，更多相关《2022数据安全治理与实践白皮书.docx（63页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、数据安全治理与实践白皮书2021 年 12 月目录- V -第一章 数据安全治理的形势与重要性11.1 数据产业发展现状与安全形势11.2 国内外数据安全法律法规与标准现状21.2.1 国外现状31.2.2 国内现状41.3 数据安全治理理念与内涵7第二章 国内外数据安全治理框架82.1 微软 DGPC 框架82.1.1 框架介绍82.1.2 框架分析82.2 GARTNER 数据安全治理框架 DSG82.2.1 框架介绍82.2.2 框架分析92.3 数据安全能力成熟度模型 DSMM102.3.1 框架介绍102.3.2 框架分析10第三章 数据安全治理面临的挑战11第四章 数据安全复合治理

2、模式134.1 治理框架134.2 数据安全战略164.2.1 安全方针164.2.2 制度规范174.2.3 组织架构184.2.4 保障体系184.3 数据安全运营管理194.3.1 可执行安全基线204.3.2 互动式心智运营214.3.3 原生式数据保护234.3.4 多视角安全度量244.3.5 可自证溯源处置264.3.6 测评认证284.3.7 红蓝演练284.4 数据安全治理科技294.4.1 产品能力304.4.2 系统能力404.4.3 算法能力464.4.4 数据能力48第五章 数据安全复合治理实践案例505.1 APP 个人信息保护治理实践505.2 数据分类分级技术实

3、践525.3 数据安全心智运营实践55第六章 趋势与建议57图目录图 1 全球每年新产生数据量及预测1图 2 2018 年-2023 年中国大数据产业规模及预测1图 3 2015 年-2021 年全球数据泄露平均总成本统计2图 4 主要国家和地区数据安全立法现状3图 5 我国数据安全与个人信息保护法律法规与政策现状5图 6 GARTNER DSG 框架示意9图 7 数据安全能力成熟度模型示意10图 8 数据安全复合治理模式13图 9 一套可参考的数据安全管理制度规范体系17图 10 互动式心智运营示意22图 11 原生式数据保护示意23图 12 原生式数据保护中的安全要求示意24图 13 多视

4、角安全度量框架示意25图 14 多层级安全度量指标示例26图 15 数据安全治理科技示意30图 16 全息资产画像框架示意31图 17 自动化红蓝演练框架示意35图 18 策略化风险感知框架示意36图 19 多元化风险响应框架示意37图 20 密态计算过程示意39图 21 安全平行切面框架示意40图 22 密码基础设施框架示意42图 23 密码产品示意42图 24 安全可信环境框架示意44图 25 算法能力框架示意46图 26 数据能力框架示意48图 27 APP 个人信息保护治理实践50图 28 图像分类分级检测实践53图 29 蚂蚁数据安全心智运营实践56- VI -表目录表 1 数据安全

5、基线与数据安全规范对比20表 2 数据安全基线要求与配套解读示例20- VII -数据安全复合治理与实践白皮书第一章 数据安全治理的形势与重要性1.1 数据产业发展现状与安全形势2020 年 4 月，关于构建更加完善的要素市场化配置体制机制的意见发布，首次从国家层面明确将数据作为继土地、劳动力、资本和技术之后的第五大生产要素。随着云计算、人工智能、移动互联等新兴技术的快速发展和在各行各业的持续渗透，数据在国家治理、社会发展、个人生活中正扮演着愈发重要的角色。据国际权威机构 Statista 分析1，2020 年全球新产生数据量已达到 47 ZB（ZB 为字节计量单位，1 ZB=1012 GB）

6、，到 2035年这一数字预计将达到 2142 ZB。图 1全球每年新产生数据量及预测伴随着数据规模的飞速增长，数据相关产业规模也呈现出快速递增的发展趋势。根据赛迪顾问 2021 年 7 月发布的数据显示2，2020 年我国大数据产业规模已达到 6388 亿元，预计到 2023 年产业规模将突破 10000 亿元。图 22018 年-2023 年中国大数据产业规模及预测- 9 -然而，与数字经济的欣欣向荣、蓬勃发展相对应，近年来数据泄露、数据滥用、数据贩卖等数据安全事件频发，数据安全风险与日俱增，对国家安全、社会稳定、组织权益、个人隐私安全都造成了严重威胁。对近年来比较具有代表性的数据安全攻击和

7、事件进行分析，可以发现数据安全风险主要呈现如下显著特征。首先，由于数据的价值属性不断凸显，大规模、有组织的定制化数据安全攻击愈发频繁， 针对高价值重要数据攻击屡见不鲜。据国家计算机网络应急技术处理协调中心发布的2020 年我国互联网网络安全态势综述报告3显示，多家重要单位因钓鱼邮件、安全漏洞等网络攻击造成工作人员账号、重要文件等数据泄露。此外，数据安全风险危害程度不断加深。据 IBM Security 发布的2021 年数据泄露成本报告4显示，2021 年全球数据泄露的平均总成本达到了 424 万美元，且近年来基本呈现持续递增的态势。除了造成严重的经济损失外，针对个人地理位置、生物特征、医疗健

8、康等隐私信息的恶意攻击甚至会危害个人生命安全。图 3 2015 年-2021 年全球数据泄露平均总成本统计最后，新兴技术、新兴产业特别是大数据、人工智能、云计算等的不断发展和持续应用带来了更多的安全方面的不确定性，勒索软件等新型攻击方法、远程办公等新场景也对数据安全提出了新的挑战。据 IBM Security 发布的2021 年数据泄露成本报告4显示，与远程办公相关的数据泄露平均成本达到 496 万美元。1.2 国内外数据安全法律法规与标准现状为有效应对严峻的数据安全形势，保障数据的安全开发和利用，包括我国在内的全球多个国家和地区近年来高度重视数据安全领域的政策制定与立法工作。国际上，欧盟、美

9、国、日本、韩国等主要国家和地区陆续推出了一系列数据安全与个人信息保护相关的政策与法律，旨在加强国家层面的数据安全保护。我国也先后出台了网络安全法、数据安全法、个人信息保护法等法律，并制定了一系列配套政策法规、标准规范等，加强对于数据安全工作的指导、监督与保障。1.2.1 国外现状为有效应对数字经济发展大背景下的政府信息、商业机密、个人隐私等数据所面临的潜在安全风险，各国均积极推动数据安全领域的立法和法律修订等工作，并将数据安全作为优先内容纳入各类网络空间治理议程中。图 4主要国家和地区数据安全立法现状欧洲方面，主要通过在欧盟范围内统一立法的模式促进数据保护。2018 年 5 月，欧盟出台通用数

10、据保护条例（GDPR），对涉及数据处理的所有环节均做出了详细规定，旨在加强欧盟自然人隐私数据保护，提高数据服务安全性，是目前数据安全领域比较具有代表性的立法之一。此外，欧盟于 2020 年 2 月发布了欧洲数据战略，对欧盟发展数据经济所需的政策措施和投资策略等进行了全面分析，并将数据治理、数据安全作为重点工作领域。在 GDPR 的基础上，欧盟于2020 年6 月进一步发布了欧洲数据保护监管局战略计划（2020-2024），旨在从前瞻性、行动性和协调性三方面继续加强数据安全保护。美国则主要采取分散立法模式实现数据保护。在电信、金融、健康、教育等多个行业和领域，先后颁布了儿童在线隐私保护法、视频隐

11、私保护法、电子通信隐私法、联邦贸易委员会法等一系列数据安全相关法律。此外，美国国防部 2020 年 10 月发布了国防部数据战略，旨在实现数据推动作用下的联合全域作战，构筑国家安全保护屏障。除联邦立法外，美国加州于 2018 年 6 月颁布了加州消费者隐私法案（CCPA），防止消费者不知情情况下的个人隐私信息收集与滥用，明确了消费者的访问权、删除权、知情权等隐私权利。此外，不少国家近年来在数据安全领域也出台了诸多政策与立法。韩国于 2020 年 1 月通过了新修订的“数据三法”，即个人信息保护法、信用信息法和信息通信网法，并对个人信息保护法执行令的相关内容进行了修订，进一步加强针对个人信息等敏

12、感数据的保护。新加坡于 2020 年 5 月对本国个人数据保护法(PDPA)进行了修订，明确了个人数据处理的违法行为，加强个人对其数据的选择权和控制力。日本参议院于 2020 年 6 月颁布了个人信息保护法修正案，明确了个人有权终止其个人数据对企业的使用授权等，确保个人信息的合法使用。英国政府也于 2020 年 9 月发布了国家数据战略，旨在通过数据基础、数据技能、数据可用性、数据责任四支柱确保数据的可用性及安全可靠性。在各国家和地区不断推动数据安全立法的同时，国外各标准组织近年来也高度重视数据安全领域的标准研究与制定工作，通过加强标准建设来推动数据安全治理的实施。以国际标准化组织 ISO 为

13、例，其在数据安全、隐私保护领域已先后制定了包括安全技术-ISO/IEC 27001 和 ISO/IEC 27002 对隐私信息管理的扩展-要求和指南（ISO/IEC 27701:2019）、信息技术 大数据参考架构 第 4 部分：安全与隐私保护（ISO/IEC 20547-4:2020）等多项国际标准。值得一提的是，我国在 ISO 数据安全国际标准制定过程中扮演了重要角色，由我国主导的大数据安全与隐私保护过程（ISO/IEC 27045）、大数据安全与隐私保护 实现指南（ISO/IEC 27046）等多个课题目前均处于持续研究和推进阶段。此外，ITU、IETF、NIST 等比较有代表性的标准组

14、织近年来在数据安全与隐私保护领域也开展了一系列标准研究与制定工作。1.2.2 国内现状近年来，我国政府高度重视数据安全领域的政策制定与立法工作，中华人民共和国国民经济和社会发展第十四个五年规划和2035 年远景目标纲要明确提出：“加强涉及国家利益、商业秘密、个人隐私的数据保护，加快推进数据安全、个人信息保护等领域基础性立法，强化数据资源全生命周期安全保护。”为促进以数据为关键要素的数字经济发展，我国政府先后制定和发布了包括网络安全法、数据安全法、个人信息保护法等一系列数据安全相关法律法规和政策文件。2017 年 6 月正式施行的网络安全法从法律层面强调了对于网络数据安全的保护要求。2021 年

15、9 月，数据安全法正式实施，明确提出了国家建立健全数据安全治理体系，提高数据安全保障能力，统筹数据安全与发展，并对数据安全制度、数据处理者义务等做出了明确规定。个人信息保护法也于 2021 年 11 月正式施行，其对于个人信息保护的原则、个人信息主体的权利、个人信息处理者义务等均进行了明确要求。此外，刑法、民法典、国家安全法、消费者权益保护法等法律也基于特定关注领域对数据安全和个人信息保护做出了具体规定，共同构成了我国数据安全的基础法律体系。图 5 我国数据安全与个人信息保护法律法规与政策现状基于数据安全领域的各项基础法律，近年来一系列配套法规和部门规章也陆续进行意见征集或正式颁布实施，包括个

16、人信息和重要数据出境安全评估办法（征求意见稿）、数据安全管理办法（征求意见稿）、个人信息出境安全评估办法(征求意见稿)、儿童个人信息网络保护规定、App 违法违规收集使用个人信息行为认定方法、网络安全审查办法（修订草案征求意见稿）、关键信息基础设施安全保护条例、数据出境安全评估办法（征求意见稿）、网络数据安全管理条例（征求意见稿）等，分别从个人信息和重要数据出境、数据安全管理、个人信息保护、数据安全审查、关键信息基础设施安全防护等关键领域，提出了具体的行政管理要求，进一步完善了国家层面数据安全制度体系的建设。此外，各行业主管部门也分别制定了多个面向行业的数据安全专项保护政策。金融行业方面，央行

17、、银保监会、证监会等金融业监管机构先后制定出台了银行业金融机构数据治理指引、证券基金经营机构信息技术管理办法、金融消费者权益保护实施办法等规章， 旨在进一步规范金融业数据安全工作，提升金融业数据安全保护能力。工业和信息化领域， 工信部联合多部委制定了移动互联网应用程序个人信息保护管理暂行规定等部门规章，对常见类型移动互联网应用程序必要个人信息范围规定（征求意见稿）、工业和信息化领域数据安全管理办法（试行）（征求意见稿）等进行意见征集，并开展了针对 APP 侵害用户权益等的专项执法行动。此外，医疗、交通等行业领域也推出了多项数据安全相关的监管规章，如互联网医疗健康信息安全管理规范（征求意见稿）、

18、汽车数据安全管理若干规定（试行）等。为支撑各类法律法规和监管要求的落地，我国数据安全标准体系建设也处于不断加速和持续完善过程中，并呈现出清晰的国家标准宏观指导、各行业各领域标准协同推进的特点。国家标准方面,全国信息安全标准化技术委员会（SAC/TC260）当前已发布多项数据安全国家标准，并初步形成了“标准制定项目标准研究项目标准实践指引”的层次化标准体系。当前，信息安全技术 大数据服务安全能力要求（GB/T 35274-2017）、信息安全技术 数据安全能力成熟度模型（GB/T 37988-2019）、信息安全技术 大数据安全管理指南（GB/T 37973-2019）、信息安全技术 个人信息安

19、全规范（GB/T 35273-2020）、信息安全技术个人信息安全影响评估指南（GB/T 39335-2020）等数据安全和个人信息保护领域的关键标准已陆续出台，信息安全技术 重要数据识别指南、信息安全技术 数据出境安全评估指南等标准课题也正处于研究和制定过程中。此外，医疗、政务等领域也制定了一系列面向本领域的数据安全国家标准，包括信息安全技术 健康医疗数据安全指南（GB/T 39725- 2020）、信息安全技术 政务信息共享 数据安全技术要求（GB/T 39477-2020）等。行业标准方面，金融、电信、工业等行业均已出台一系列数据安全和个人信息保护行业标准，为本行业内的数据安全工作开展提

20、供指导。金融行业方面，已先后制定和发布个人金融信息保护技术规范（JR/T 01712020）、金融数据安全 数据安全分级指南（JR/T 01972020）、金融数据安全 数据生命周期安全规范（JR/T 02232021）等行业标准，为金融业的数据分类分级和安全保护提供明确指导。电信行业，中国通信标准化协会发布了基础电信企业重要数据识别指南（YD/T 3867-2021）、基础电信企业数据分类分级方法（YD/T 3813-2020）、电信网和互联网数据安全通用要求（YD/T 3802-2020）等电信行业标准，对电信数据分类分级和重要数据识别等关键内容做出了具体规定。工业领域也制定了工业互联网数

21、据安全保护要求（YD/T 3865-2021）等行业标准。总体来看，我国数据安全领域的法律法规、监管政策与标准规范的基本框架已初步构建完成，并处于不断补充和完善过程中，从宏观层面为数据安全及其治理提供了良好的政策环境保障。同时，随着数据安全法律法规、监管政策等具体要求的进一步明确，也对组织开展数据安全保护工作、落实数据安全保护责任提出了更高要求，需要组织建立健全数据安全治理体系，不断提升数据安全保障能力。1.3 数据安全治理理念与内涵近年来，数据安全治理的理念在国内外愈发得到关注和重视。Gartner 提出的数据安全治理框架5认为数据安全治理不能仅是一套集成了各类数据安全工具的产品级解决方案，

22、而是需要从上而下贯穿整个组织架构，覆盖组织的全体人员，形成组织全员对数据安全治理目标的一致共识，并采取适当的管理和技术措施，有效地保护组织数据的全生命周期安全。微软的 DGPC 数据安全治理框架6认为数据安全治理需围绕人员、流程和技术三个核心领域展开，与现有安全框架协同合作以实现隐私、保密和合规的安全治理目标。数据安全能力成熟度模型7认为“组织应关注数据的流转情况，将视角从数据本身扩展到其生命周期的各个阶段，使用一套以数据为核心的、围绕数据全生命周期构建的模型来指导其建立、持续改进并依此评价其数据安全能力”。总体而言，数据安全治理的核心内涵包括从战略层面形成由上而下贯穿组织总体架构的对数据安全

23、治理目标的共识，关注数据处理全生命周期安全，重视管理与技术措施并举，并能够根据安全形势、技术发展和演进趋势等的动态变化，对数据安全治理体系进行持续优化。组织在规划和开展数据安全治理工作时，需要依据数据安全治理的核心理念，从数据安全战略、管理机制和技术手段多方面建设数据安全治理能力。数据安全法明确提出“维护数据安全，应当坚持总体国家安全观，建立健全数据安全治理体系，提高数据安全保障能力”，数据安全治理的重要性已上升到国家高度、全局层面。伴随着网络安全法、数据安全法、个人信息保护法的相继出台，为应对日益严峻的数据安全形势，如何建立科学全面的数据安全治理体系，更加有效地保障数据安全，支撑以数据为关键

24、要素的数字经济发展，已成为国家、全社会以及政府部门、行业机构、企事业单位等各类组织需要面临的共同挑战。第二章 国内外数据安全治理框架2.1 微软 DGPC 框架2.1.1 框架介绍DGPC 框架（Data Governance for Privacy, Confidentiality and Compliance）由微软于 2010 年提出6，该框架由组织的人员、流程和技术三个核心领域组成。 人员领域。首先需要建立由组织内部人员组成的 DGPC 团队，并明确人员角色与职责划分，负责对数据分类、保护、使用和管理过程中的原则、策略和流程步骤等进行定义。 流程领域。组织需要依赖 DGPC 团队对流程

25、进行清晰定义。首先，需要从各类权威文件（如法律、法规、标准、组织政策与战略文件等）梳理分析组织必须满足的各类要求，形成合规要求集合。然后，定义相应的指导原则和策略以满足这些合规要求。最后，识别和分析数据流转中的数据安全、隐私和合规风险，并根据风险控制目标采取必要的安全控制措施。 技术领域。微软围绕 DGPC 框架开发了一套特定的数据流分析方法，围绕数据生命周期、核心技术领域、数据隐私和机密性原则三个核心元素构建。2.1.2 框架分析DGPC 框架提供了一种以隐私、机密性和合规为目标的数据安全治理框架，以数据生命周期和核心技术领域为重点关注点，基于威胁建模与风险评估的方法，对组织如何实施数据安全

26、治理进行了概要阐述。DGPC 主要是从方法论层面明确数据安全治理的目标，缺少对在数据生命周期各环节落实数据安全治理措施的详细说明。2.2 Gartner 数据安全治理框架 DSG2.2.1 框架介绍2015 年，Gartner 提出了数据安全治理（DSG, Data Security Governance）概念5， 并从方法论的角度阐述了数据安全治理的框架。如图 6 所示，DSG 框架从上到下主要包括五个部分，即平衡业务需求与风险、数据梳理和数据生命周期管理、定义数据安全策略、部署安全能力与产品、策略配置与同步。图 6 Gartner DSG 框架示意 1 平衡业务需求与风险。综合分析组织的经

27、营策略、治理、合规、IT 策略和风险容忍度，制定符合组织经营发展与风险管控需求的数据安全治理策略。 数据梳理和数据生命周期管理。对数据获取、存储、分析、演变、归档、销毁等全生命周期的数据进行识别、分类与分级，并关注不同环节的安全风险点。 定义数据安全策略。从两个方面定义组织的数据安全策略，一是明确数据保护的对象、所涉及人员与访问行为，二是基于数据分类分级的结果制定针对性的数据安全策略。 部署安全能力与产品。采用和部署多种安全工具以支撑数据安全策略的实施，包括密码系统 Crypto、以数据为中心的审计和保护系统 DCAP、数据防泄露系统 DLP、云访问安全代理系统 CASB、身份识别与访问管理系

28、统 IAM、用户与终端行为分析系统 UEBA。 策略配置与同步。为所有安全能力与产品配置策略并保持策略的一致与同步，策略执行对象包括数据库、大数据系统、文件类数据、云端数据、终端数据等。2.2.2 框架分析与 DGPC 框架类似，Gartner 的 DSG 框架也是从宏观层面和方法论的角度阐述了数据安全治理的思路和基本框架，组织在实施 DSG 框架时需要结合实际需求对治理框架和步骤进行细化。此外，DSG 框架中列出的数据安全能力与产品也需要进行更加细化的分类，并由组织根据治理对象和场景的不同采取差异化的部署方式。1 来源：Gartner，本白皮书编制组进行翻译、整理数据安全复合治理与实践白皮书

29、2.3 数据安全能力成熟度模型 DSMM2.3.1 框架介绍2019 年 8 月，全国信息安全标准化技术委员会发布国家标准信息安全技术 数据安全能力成熟度模型（GB/T 37988-2019），正式提出数据安全能力成熟度模型（DSMM, Data Security Maturity Model）模型7。DSMM 模型参考通用的能力成熟度模型，对数据安全能力成熟度进行了定义和等级划分，从高到低划分了持续优化、量化控制、充分定义、计划跟踪和非正式执行五个等级。图 7 数据安全能力成熟度模型示意 2DSMM 模型根据数据在组织业务场景中的数据生命周期安全要求与通用安全要求，定义了数据安全过程域体系，

30、并在数据安全过程域体系中从组织建设、制度流程、技术工具以及人员能力四个方面构建了规范性的数据安全能力成熟度分级治理要求和评估方法，能够为组织建立和完善数据安全治理体系提供有益参考。2.3.2 框架分析DSMM 模型要求组织将关注视角从数据本身扩展到数据生命周期的各个阶段，设计了一套以数据为核心、围绕数据全生命周期构建的安全模型来指导组织建立和持续改进数据安全能力。同时，DSMM 模型也可以作为一种评估方法，组织可以根据 DSMM 模型对数据安全治理能力进行总体评价，更加直观地了解当前数据安全治理水平和需要改进的环节。2 来源：信息安全技术 数据安全能力成熟度模型（GB/T 37988-2019

31、）- 58 -第三章 数据安全治理面临的挑战当前，许多组织已充分认识到数据安全治理工作的重要意义，并在数据安全治理体系建设与实践方面进行了诸多探索，形成了一定程度的经验和能力积累。但是，由于数据安全治理概念的提出时间相对较晚，国内外数据安全治理框架与模型又各有侧重，组织在建立数据安全治理体系时通常需要对具体环节进行针对性的细化和完善。分析许多组织在进行数据安全治理实践所面临的主要问题与挑战，主要体现在对数据安全的战略重视不足，管理机制离散化、甚至流于形式，技术手段适用性、精细度不足等方面。一、战略重视不够，顶层驱动力有待提升。从组织层面来看，数据安全治理实践由单个部门（如安全部门、信息化部门等

32、）主导， 缺少来自组织高层的重视和引领，是一个比较普遍的共性问题。由于在战略层面缺少足够的顶层支持和驱动，难以建立起全面完善的安全治理组织架构和制度规范体系，导致工作职责划分不明确、安全机制难落实等突出问题，数据安全治理仅能在部分关键业务或部门有限范围内实施，难以面向整个组织全面有效的开展。二、管理过程离散化，缺少全局引领与监督评价。数据安全治理的有效实施离不开科学规划与全员深度参与。当前，组织层面的数据安全管理存在如下典型问题： 以解决特定数据安全问题为导向的离散化、补丁式管理方式，缺少对管理体系的全局思考与规划。 管理过程中重制定轻落实的现象比较突出，制度追求大而全，内容过于宽泛，缺乏可落

33、地性和可实施性。 组织在对业务、产品等进行规划和设计的过程中，缺少对数据安全理念的充分考量，导致数据安全能力在规划设计阶段的缺失，往往需要投入大量资源进行事后改造和补救，极大地增加了研发成本的重复投入和数据安全治理的难度。 针对数据安全管理中的核心元素“人”的管理，培训方式单一，培训内容针对性不强，缺少对培训效果的评价考核，导致培训效果差强人意，安全要求得不到充分理解与有效执行，难以形成有效的覆盖组织全员的数据安全意识提升。 缺少直接以数据为对象的针对性安全评估和红蓝演练，难以对数据安全能力和防护体系有效性进行全面深入的实战检验，导致安全风险和薄弱环节的主动发现和应对处置能力偏弱。 缺少治理成

34、效量化评价与治理能力持续提升的有效机制，数据安全治理体系不能够根据不断变化的数据安全新形势、新要求进行持续更新、优化与演进。三、复杂场景技术支撑能力不足，数据安全管控存在短板。首先，数据本身具有多样性，且敏感程度不一，数据流转关系复杂，特别是面向海量、多维、碎片化、持续流动的数据处理场景，如何在数据全生命周期中对于数据、流转链路及风险事件进行准确识别与精细刻画是十分困难的问题，仅依靠传统的数据扫描和分类分级等无法充分满足需求，需要从算法设计、产品开发、能力应用多个维度加强数据识别、数据血缘图谱和异常访问检测等技术能力的建设。其次，数据在全生命周期中的访问、调用、计算、提供等过程难以做到精细粒度

35、的动态安全防护，特别是对于特定类型数据和高敏感数据需要满足“专数专用”、“高敏高保”等更高级别的安全要求，防止数据的未授权访问、违规存储和扩散、过度输出、恶意爬取等数据泄露和滥用行为，这就需要对传统网络安全场景下的安全能力进行以数据安全为目标导向的升级和突破。此外，对于产品业务多、数据体量大的大型组织，过度依赖人工治理很难满足数据安全治理的实际需求，需要建设高效、准确、智能化的运营技术，提升数据安全治理的自动化水平和效率。最后，如何兼顾数据安全和发展，在保障数据安全的前提下促进数据应用、挖掘数据价值、助力业务发展，也是当前许多组织正在面临的问题，需要借助隐私保护和隐私计算相关技术的应用，实现敏

36、感数据“可用不可见”、“可算不可识”前提下的数据分析和价值挖掘。第四章 数据安全复合治理模式4.1 治理框架为有效应对组织开展数据安全治理工作各方面的关键挑战，帮助组织有效落地数据安全管控，在对数据安全治理发展现状与趋势进行充分调研分析的基础上，结合有关组织的实践经验，本白皮书编写组总结提炼出数据安全复合治理模式，旨在为组织开展数据安全治理工作提供参考。数据安全复合治理模式强调系统性、落地性，对治理框架搭建中战略、管理和技术进行统筹规划设计，形成基线设定、心智运营、原生设计、安全度量、可证溯源、红蓝对抗、测评认证等丰富的治理环节，强化治理过程的联动，将安全与业务复合、管理与技术复合，发生化学反

37、应，形成有机整体，充分发挥复合协同效能。图 8数据安全复合治理模式数据安全复合治理模式的特点概括为：战略层面要求战略要位，运营管理层面强调实战牵引、全员参与，治理科技层面强化技术破局。一、战略层面战略要位强调从战略高度明确数据安全对于组织生存发展的重要意义，完善数据安全顶层设计，形成组织层面对于数据安全重要性和必要性的一致共识，并明确数据安全第一责任人机制和管理部门对数据安全行为的奖惩权责。制定完备的管理制度和规范体系，实现安全要求清晰明确、安全治理有章可循。同时，应建立由上而下、覆盖全员的数据安全治理组织架构，并通过设立数据安全接口人等创新机制进一步加强各层级、各部门的沟通协调与工作协同。此

38、外，应重视对技术研发进行科学规划、持续投入和资源保障，推动重要技术落地应用。二、运营管理层面实战牵引强调实战化红蓝对抗、头部风险治理和管控效果的精确度量来牵引整体治理工作落地。全员参与强调丰富、活泼的心智运营活动设计，充分调动全员主动参与积极性，实现不同特点人群的精确触达。复合治理模式下的数据安全运营管理以可执行安全基线、互动式心智运营、原生式数据保护、多视角安全度量、可自证溯源处置为基础，结合内外部测评认证与红蓝演练的全局机制，搭建起丰富的数据安全治理环节，并强化治理过程中各环节之间的串联、互补、联动与反馈，实现治理能力的复合叠加、持续优化。 可执行安全基线在安全制度和规范的基础上，针对组织

39、重点关注的安全要求，通过清晰、明确、无歧义的规则化表达和指标化映射方式，建立可执行、可度量的安全基线。 互动式心智运营侧重于对人员安全心智和能力的提升，通过运营目标拆解、运营渠道有效触达以及设置激励机制等方式，提升心智运营的交互式体验，将被动的知识灌输转变为安全意识与能力的主动提升，帮助人员形成良好的数据安全心智。 原生式数据保护侧重于在产品研发过程中，通过设置管理流程机制和安全技术能力等方式将数据保护要求前置，保证产品发布前已采取必要充分的数据保护措施，满足数据安全风险可控的要求，推动数据安全成为产品的原生能力。 多视角安全度量通过设计安全度量指标、度量模型、度量算法等，建立覆盖重点安全要求

40、和安全基线的安全度量体系，对人员、系统、数据等的安全风险态势与安全要求符合程度进行准确度量，实现安全态势持续监测、安全风险准确定位和安全水位直观呈现，并面向不同风险关注群体从不同视角呈现度量结果，为安全决策提供参考。 可自证溯源处置基于应急响应、安全审计等工作机制，强化溯源过程可证能力建设，加强对于安全事件和责任人员的应急处置与审计问责，形成数据安全风险与事件的闭环处置。 测评认证通过开展内部安全认证与外部测评认证工作，对组织的数据安全能力进行评估。首先，强化组织内部认证体系建设，包括针对特定角色/岗位/权限人员的专项认证、针对数据处理产品组件的产品认证以及面向业务的安全认证等。同时，通过组织

41、和开展第三方测评认证，对数据安全治理能力和水平等进行客观评价，为数据安全治理的持续改进提供重要依据。 红蓝演练通过开展以数据为主体的红蓝演练，以定制化攻击的方式检验安全防护能力与水平，从攻防视角验证数据安全防护体系的有效性，促进未知安全风险的及时排查，达到以攻促防、攻防相长的效果。三、治理科技层面技术破局强调依托系统、算法、数据和产品方面的科技能力创新，实现新形势下无法通过人工、协议达成数据安全治理目标难题的破局，促进数据安全治理工作的提质增效。复合治理模式下的数据安全治理科技以安全平行切面、密码基础设施、安全可信环境、终端安全等系统能力，数据识别、数据血缘图谱、异常访问检测等算法能力，以及准

42、实时精准检索、压缩索引、异构数据提取等数据能力作为底层基础能力，从全息资产画像、深度安全防护、智能安全运营、隐私保护与隐私计算等领域构建全方位、体系化的产品能力，为数据安全复合治理提供技术支撑。 全息资产画像以数据认知、分类分级、链路刻画为核心，通过对数据及其流转链路的关系、态势等进行深入分析与全息刻画，提供更加精细的数据描述与能力支持。 深度安全防护包括数据服务海关、专数专用、数据反爬，面向数据处理过程提供细粒度、动态化的深度安全防护能力。数据服务海关针对数据流动场景，采取可信身份、合法性标识、合理场景、目标资源等技术机制，保证每一次数据流动均具有可追溯的用户授权和合规场景标识，为数据流动的

43、安全合规提供保障。专数专用主要面向具有明确使用场景约束和安全管控要求的数据，通过建设数据加密、智能权限管控与场景流转管控等安全能力， 避免数据的超范围使用。数据反爬从自动化流量分析、多维度风险检测与差异化风险处置三个方面建立纵深安全防护能力，有效防范接口遍历等数据爬取攻击。 智能安全运营通过建设高效、准确、智能化的安全运营技术能力，实现自动化、定制化的红蓝演练管理，基于安全策略的风险自动感知与识别，以及多元化的风险响应与处置，进一步提升面向复杂业务、海量数据的安全运营智能化水平和效率。 隐私保护与隐私计算主要解决数据应用和价值挖掘场景下的数据安全和隐私保护问题， 通过双重确权、审计举证等安全机

44、制加强数据计算和应用中的隐私保护，同时依托于受控匿名化、密态计算等隐私计算技术，实现数据“可用不可见”、“可算不可识”前提下的安全融合计算。 系统能力包括安全平行切面、密码基础设施、安全可信环境环境以及终端安全，为数据安全治理构筑底层系统能力支持。安全平行切面提供了覆盖终端、流量到应用的纵深安全防线，并在各层面针对数据访问、数据使用、数据输出等场景集成了信息收集、访问控制、数据加固等多维度的安全监测与防护能力。密码基础设施通过符合资质要求的密码产品， 从密码产品层、核心服务层、系统接入层三个层面构建密码技术管理与应用的基础设施， 为业务系统提供密钥管理服务和密码运算服务。安全可信环境为数据计算

45、提供严格隔离的安全环境，并采取安全管控和远程验证等机制，实现计算环境的隔离、可控与可信。终端安全通过建设终端层面的数据防泄露、端点检测与响应、反病毒等核心能力，加强对于办公终端的安全管控，有效防范终端数据泄露和窃取风险。 算法能力为数据安全治理提供底层算法支持，重点关注数据识别、数据血缘图谱、异常访问检测三个核心领域，形成基于安全算法的智能决策能力，解决“看见数据”、“看清数据” 和“理清风险”的难题。 数据能力主要面向海量、多维、碎片化、持续流动的数据处理场景，构建准实时精准检索、压缩索引、异构数据提取等数据加工能力，以多种技术手段实现大规模数据的准实时快速定位（如面向 PB 级别数据的分钟

46、级快速检索），为数据安全治理提供数据支撑。4.2 数据安全战略在数据安全复合治理模式中，强化数据安全战略要位是组织开展数据安全治理的首要工作，组织需要从安全方针、制度规范、组织架构和技术保障体系四个方面确定清晰明确的数据安全战略。4.2.1 安全方针组织需要充分明确数据安全的战略要位，建立数据安全治理的安全方针，加强顶层设计， 形成组织层面对于数据安全重要性和必要性的一致共识。首先，需要制定数据安全工作的总体目标和基本原则，明确以保护组织数据安全为基本前提，兼顾数据安全与发展，促进数据的依法合规使用。同时，需要在战略层面强化高层对数据安全的重视与引领，设置专门的数据安全决策机构，安排高层人员作为数据安全工作的总体负责人，并形成对组织内外部安全形势、重点安全风险的充分认识，梳理和明确数据安全治理的重点方向与环节，进一步促进治理资源的有效整合与充分利用。最后，通过战略层面强化业务、应用和数据所有者以及全体员工对于其所管理数据的第一安全责任人义务，同时明确数据安全管理团队作为专业部门的管控保障义务和奖惩权责，形成业务团队与安全管理团队的良性互动、有机协同。4.2.2 制度规范组织需要从数据安全现状与需求出发，对法律法规、标准规范等合规要求进行充分分析， 并根据数据安全治理的总体目标，制