数据安全治理——关键步骤：策略与流程的制定

1、精品文档你我共享AAAAAA数据安全治理关键步骤：策略与流程的制定在整个数据安全治理的过程中，最为重要的是实现数据安全策略和流程的制定，在企业或行业内经常被作为某某数据安全管理规范进行发布，所有工作流程和技术支撑都是围绕着此规范来制定和落实。规范的出台往往需要经过大量的工作才能完成，这些工作通常包括：A A、 梳理出组织所需要遵循的外部政策以及与数据安全管理相关的内容；B B、 根据该组织的数据价值和特征，梳理出核心数据资产，并对其分级分类；C C、 理清核心数据资产使用的状况(收集、存储、使用、流转)；D D、 分析核心数据资产面临的威胁和使用风险；E E、 明确核心数据资产访问控制的目标和

2、访问控制流程；F F、 制订出组织对数据安全规范落实和安全风险进行定期的核查策略。一.外部所要遵循的策略在我国，数据安全治理同样需要遵循国家级的安全政策和行业内的安全政策。举例如下: 11网络安全法；2.2. 等级保护政策；3.3. BMB17BMB17 ；4.4. 行业相关的政策要求举例：(a)(a) PCI-DSSPCI-DSS、Sarbanes-OxleySarbanes-Oxley ActAct( SOXSOX 法案)、HIPPAHIPPA ；(b)(b) 企业内部控制基本规范；(三会、财政、审计)(c)(c) 中央企业商业秘密保护暂行规定；这些政策通常是在制订组织内部政策时重点参考的

3、外部政策规范。精品文档你我共享AAAAAA数据的分级分类数据治理主要依据数据的来源、内容和用途对数据进行分类；按照数据的价值、内容的敏感 程度、影响和分发范围不同对数据进行敏感级别划分。信息类别信息项对三方价值事故影响分类定义政企客户资料牟取暴利造成政企客户流失、损失巨大机密数据个人客户资料价值较大造成客户损失、损失大敏感数据客户基本资料各类特殊名单牟取暴利造成投诉、损失大敏感数据身份鉴权信息用户密码牟取暴利造成客户损失、损失巨大机密数据详单价值较大造成投诉、损失大敏感数据账单价值一般损失一般普通数据客户当前位置信息价值较大损失一般敏感数据客户消费信息价值一般损失一般普通数据订购关系价值低无明

4、显损失普通数据增值业务订购关系价值低无明显损失普通数据客户通信信息增值业务信息牟取暴利造成客户损失、损失大敏感数据客户通信内容记录牟取暴利客户私密信息泄露，损失巨大机密数据移动上网内容及记录价值低损失一般普通数据增值业务客户行为记录价值低客户私密信息泄露，损失大敏感数据客户通信内容信息领航平台交互信息牟取暴利损失一般敏感数据图1某运营商对数据分级分类的结果只有对数据进行有效分类，才能够避免一刀切的控制方式，在数据的安全管理上采用更加精 细的措施，使数据在共享使用和安全使用之间获得平衡。三. 数据资产状况的梳理3.1数据使用部门和角色梳理在数据资产的梳理中，需要明确这些数据如何被存储，数据被哪些

5、部门、系统、人员使用，数据被如何使用。对于数据的存储和系统的使用，往往需要通过自动化的工具进行；而对于部门和人员的角色梳理，更多是要在管理规范文件中体现。对于数据资产使用角色的梳理， 精品文档你我共享AAAAAA关键要明确在数据安全治理中不同受众的分工、权利和职责。组织与职责，明确安全管理相关部门的角色和责任，一般包括：安全管理部门：制度制定、安全检查、技术导入、事件监控与处理；业务部门：业务人员安全管理、业务人员行为审计、业务合作方管理；运维部门：运维人员行为规范与管理、运维行为审计、运维第三方管理； 其它：第三方外包、人事、采购、审计等部门管理。数据治理的角色与分工，需要明确关键部门内不同

6、角色的职责，包括：安全管理部门：政策制定者、检查与审计管理、技术导入者；业务部门：根据单位的业务职能划分；运维部门：运行维护、开发测试、生产支撑。3.2数据的存储与分布梳理敏感数据在什么数据库中分布着，是实现管控的关键。只有清楚敏感数据在什么库中分布， 才能知道需要对什么样的库实现怎样的管控策略；对该库的运维人员实现怎样的管控措施； 对该库的数据导出，实现怎样的模糊化策略；对该库数据的存储实现怎样的加密要求。3.3数据的使用状况梳理在清楚了数据的存储分布的基础上，还需要掌握数据被什么业务系统访问。只有明确了数据 被什么业务系统访问，才能更准确地制订这些业务系统的工作人员对敏感数据访问的权限策

7、略和管控措施。大类原有信息分类包含的客户信息精品文档你我共享AAAAAABOSS政企客户资料、个人客户资料、各类特殊名单、用户密码、详单、账单、客户消费信息、基本业务订购关系、增值业务(含数据业务)订购关系、增值业务信息、统计报表、渠道及合作伙伴资料、资源数据EDA政企客户资料、个人客户资料、各类特殊名单、用户密码、详单、账单、客户消费信息、基本业务订购关系、增值业务(含数据业务)订购关系、增值业务信息、统计报表、渠道及合作伙伴资料、资源数据客户服务平台可获取的信息：详单、客户资料业务支撑网管系统可获取的信息：位置信息短信网关短信记录，短信内容ISAG彩信记录，彩信内容HLR客户当前位置信息、

8、用户状态WAP网关客户上网记录、彩信记录端局原始话单文件、位置信息通信系统关口局原始话单文件ISMP-BMW订购关系终端自注册平台终端型号信息天翼live通讯记录协同通信平台通讯记录业务平台基地平台订购关系、行为图2某运营商对敏感系统分布的梳理结果以运营商行业上述梳理结果为例，这仅为数据梳理的基础，更重要的是梳理出不同的业务系统对这些敏感信息访问的基本特征，如访问的时间、IPIP、访问次数、操作行为类型、数据操作批量行为等，基于这些基本特征，完成数据管控策略的制定。四. 数据的访问控制针对数据使用的不同方面，需要完成对数据使用的原则和控制策略，一般包括如下方面: 数据访问的账号和权限管理，相关

9、原则和控制内容包括：(1)(1) 专人账号管理；(2)(2) 账号独立原则；(3)(3) 账号授权审批；(4)(4) 最小授权原则；精品文档你我共享AAAAAA包括:（5 5）账号回收管理；（6 6）管理行为审计记录；（7）定期账号稽核；数据使用过程管理中，相关原则和控制内容包括：（1 1 ）业务需要访问原则；（2 2）批量操作审批原则；（3 3 ）高敏感访问审批原则；（4 4）批量操作和高敏感访问指定设备、地点原则;（5 5）访问过程审计记录；（6 6）开发测试访问模糊化原则；（7 7）访问行为定期稽核；数据共享（提取）管理，相关原则和控制内容包括:（1 1 ）最小共享和模糊化原则；（2 2

10、）共享（提取）审批原则；（3 3）最小使用范围原则；（4 4 ）责任传递原则；（5 5）定期稽核；数据存储管理，相关原则和控制内容包括：（1 1 ）不同敏感级别数据存储的网络区域；（2 2）敏感数据存储加密；（3 3 ）备份访问管理；（4 4 ）存储设备的移动管理；（5 5 ）存储设备的销毁管理；五. 定期的稽核策略定期的稽核是保证数据安全治理规范落地的关键，也是信息安全管理部门的重要职责,合规性检查：精品文档你我共享AAAAAA确保数据安全使用政策被真实执行；B B、 操作监管与稽核：主要针对数据访问账号和权限的监管与稽核；要具有账号和权限的报告；要具有账号和权限的变化报告；业务单位和运维部门数据访问过程的合法性监管与稽核；要定义异常访问行为特征；要对数据的访问行为具有完全的记录和分析；C C、 风险分析与发现：对日志进行大数据分析，发现潜在异常行为；对数据使用过程进行尝试攻击，进行数据安全性测试。在整个数据安全治理理念中，完成数据安全治理的策略性文件和系列落地文件，这将是数据 安全治理的纲领性文件，相应系列文件规范中要覆盖数据安全治理的三大需求目标和四个重 要环节，针对所有与敏感数据有接触的人员的权限进行定义，就人员对数据访问的过程提出 控制流程。借由这些举措来开展数据安全治理动作，确保数据安全治理工作有纲有领，稳