数据安全治理白皮书3

数据安全治理白皮书3.0数据安全治理专业委员会编著2021Preface■编写目的数据对全球经济和社会发展的影响和作用正在发生山“量”到“质”的根本性跃升°在由互联网、移动互联网为代表的信息吋代，数据被定义为信息的形式化表示，而物联网、云计算和人工智能技术的飞速发展，己经并仍在加速促生着从“数据‘‘到“大数据"的由量变到质变的演进：大数据除了沿袭数据作为表示信息的形式化载体这一属性外，同时又反过来成力挖掘新信息和新知识的难础原材料，在经过统汁分析和机器学习等技术和方法的发掘和利用后，既迸发出巨大价值，又预示着无限潜能。根据2020年4JJ9口发布的《中共中央国务院关于构建更加完善的要索市场化配置体制机制的意见》，我国己将数据上升为与土地、劳动力、资本、技术并列的新型生产要素。随着数据逐渐变成新吋代生产生活的支柱，数据安全也日益成为保障经济发展、社会稳定和国家安全的重要基石。近年来，为了在全球数字化转型竞争中抢占战略先机，为本国基于数据的新兴产业发展提供良性有序的发展环境，包括我国在内的世界各国都纷纷加速推进数据安全和公民隐私保护立法，积极编制并陆续密集发布各种相关的政策、法规、标准、规范，不断对企业和组织提出严格细致的合规要求和数据保护义务。在上述背景下，作为数据采集、存储和处理等主要数据活动的执行者和参与者，企业或组织无可逃避地需要面对越來越严峻和紧迫的数据安全挑战：如何对己有的数据资产进行全面系统化的梳理？自身的数据资产和相关业务正在而临着哪些安全威胁和潜在风险？能够采取哪些方法和手段对自身的数据安全风险进行全面准确的评估和管控？如何加强数裾安全建设，以实现对数据资产的有效保护？当前有哪些数据安全方面的政策、法规和行业监管要求与£1身业务有关？如何及时跟进数据安全方面的标准规范以满足合规性要求？如何在数据资产的开发利用和价值实现与安全保护和脯行合规义务之间进行恰当平衡？如何在数据安全方面编制合理的制度策略和选取适宜的技术方案？……为了帮助企业或组织应对以上众多数据安全方面的困惑和难题，安全领域提出了“数据安全治理”的理念。这一理念一经提出，就在全球范围内得到世界各国的各级政府、各行各业的企业和组织的关注，并很快就被各方广泛视为在数字化转型过程中满足数据安全合规要求和防控数据安全风险的具有重要实践指导意义的系统性方法论。近年来，关于数据安全治理的研究成果和产业实践不断涌现，发展迅猛，方兴未艾。本白皮书力图从剖析理念、分析形势、归纳框架、汇聚实践案例、解读法律法规等角度，尽可能全面、系统地整理和总结了当前与数据安全治理有关的各种资料和最新进展，希望为促进我国推广、普及和完善数据安全治理的理念、方法和体系添砖加瓦、贡献力量。■读者对象本白皮书主要面向负责在企业或组织内开展数据安全治理工作的决策人员、方案规划和实施人员、安全管理人员、技术培训人员，帮助他们更加深入全面地了解在企业或组织的数字化转型过程中正在和将要面对的数据安全威胁、风险和合规性要求，从而更积极主动地筹划和开展系统化的数据安全治理，确保企业或组织能够有效应对数据时代的各种安全挑战。此外，本白皮书对于数据安全相关政策法规和标准规范的编制人员、数据安全行业的产品策划和市场开发人员、数据安全领域的研究人员和技术，也具有一定参考价值。■数据安全治理白皮书编写工作组简介中国（中关村）网络安全与信息化产业联盟数据安全治理专业委员会（以下简称数据安全治理专业委员会）是在中国（中关村）网络安全与信息化产业联盟（以下简称中国（中关村）网信联盟）的指导与支持下，由委员会主任单位安华金和牵头，联合业内知名企业发起的专业技术创新工作组织，这也是迄今为止，全国首家数据安全领域的专项委员会。数据安全治理专业委员会在中国（中关村）网信联盟的指导下，在行业专家及学术专家的支持下，以行业数据安全应用为目标、以产业协作为主线、以技术创新为核心，形成在数据安全领域的技术研究、思维碰撞、学术探讨、行业实践分享的交流平台，探索和推动政府、行业、企业在数据安全治理工作上的思路、规范和技术实践，以期达成在数据即资产时代，既保障数据安全又促进数据的分享和使用。2018年第二届中国数据安全治理髙峰论坛上，数据安全治理专业委员会正式成立并对外发布《数据安全治理白皮书》1.0版本。2019年，延续1.0版本，数据安全治理专业委员会编写团队共同编著修订了2.0版本。2021年，委员会主任单位北京安华金和科技有限公司牵头成立了“数据安全治理白皮书编写工作组”，并完成了《数据安全治理白皮书》3.0版本的更新修订，增加最新的法律法规、数据安全治理实践案例以及数据安全技术介绍等。共同推动数据安全治理理念与框架在各行业中的应用落地与经验分享，以期为各级政府与企业单位提供具有行业针对性的数据安全治理方案与技术支撑，帮助共同实现数据资产的价值释放。■本白皮书起草单位北京安华金和科技有限公司、国家工业信息安全发展研究中心、全球能源互联网研宄院有限公司、国网辽宁省电力有限公司信息通信分公司、陕西省信息化工程研究院、南开大学网络空间安全学院、北京师范大学网络法治国际中心、深圳市联软科技股份有限公司、北京明朝万达科技股份有限公司、华控淸交信息科技（北京〉有限公司、北京谷安天下科技有限公司、南京壹进制信息科技有限公司、北京数字认证股份有限公司、中金金融认证中心有限公司、北京安信天行科技有限公司、杭州立思辰安科科技有限公司、北京海泰方圆科技股份有限公司、北京协力友联科技发展有限公司、北京网络信息安全技术创新产业联盟、阿里云■本白皮书主要起草人刘晓韬、杨海峰、唐力、国君、陈东玲、白倩、潘妍、李卫、郭晓栋、许智鑫、郭昊、髙先周、刘忠海、王丹妮、周金磊、张勇、刘哲理、吴玉铎、吴沈括、张建耀、曲正、孙亚东、陈伟、张兵、李海鹏■版权声明本白皮书版权属于中国（中关村）网络安全与信息化产业联盟数据安全治理专业委员会（简称数据安全治理专业委员会），并受法律保护。转载、摘编或利用其他方式使用本白皮书文字或观点的，应注明“來源：中国（中关村）网络安全与信息化产业联盟数据安全治理专业委员会”，违者将被追宄法律责任。CatalogTOC\o"1-5"\h\z一、概述 21.1数据安全治理基本理念 21.1.1治理“愿景”更加清晰 31.1.2需求覆盖愈发明确 31.1.3核心理念全面凸显 31.1.4建设步骤指导实践 41.1.5安全框架推动顶层设计 51.2近似概念的联系与区别 51.2.1数据安全与信息安全和网络安全 51.2.2数据安全治理与数据治理 61.2.3数据安全治理与数据安全管理 71.2.4数据安全治理与数据安全成熟度模型 81.3起源和发展简史 9\o"CurrentDocument"二、数据安全形势与挑战 112.1重新认识数据的价值与风险 112.1.1安全是价值实现的前提 112.1.2数据生存周期安全 122.1.3外部数据安全威胁 122.1.4内部数据安全风险 132.1.5数据意外丢失风险 142.2空前严峻的数据安全形势 152.2.1威胁风险迅速升级 152.2.2影响范围不断扩大 152.2.3危害程度更加严重 152.2.4防护难度显著增加 162.3数据安全的合规和标准化 17\o"CurrentDocument"三、 数据安全治理框架 183.1数据安全组织架构 193.1.1职能架构 193.1.2定岗定员 213.2数据安全管理体系 213.2.1管理体系制度架构 223.2.2管理体系建设思路 233.3数据安全技术体系 233.3.1技术体系架构 233.3.2技术体系建设思路 243.4数据安全治理规划建设 35\o"CurrentDocument"四、 行业实践案例 364.1政务云的数据安全治理 364.1.1常德市政务云数据安全治理实践 364.2金融行业的数据安全治理 394.2.1国内某大型农村商业银行的数据安全防护实践 394.2.2某国有银行数据防泄漏实践 424.2.3浙江农信数据安全治理实践 454.2.4苏州银行数据安全治理实践 494.3能源行业的数据安全治理 524.3.1国家电网的数据安全治理实践 52\o"CurrentDocument"4.3.2面向流动共享的电力数据合规管控平台 55\o"CurrentDocument"4.3.3国网辽宁电力数据安全治理实践 58\o"CurrentDocument"4.4教育行业的数据安全治理 59\o"CurrentDocument"4.4.1教育部数据安全治理实践 59\o"CurrentDocument"4.5电信运营商行业的数据安全治理 62\o"CurrentDocument"4.5.1中国电信国际的数据安全治理实践 62\o"CurrentDocument"4.6医疗行业的数据安全治理 65\o"CurrentDocument"4.6.1中日友好医院安全防护实践 65\o"CurrentDocument"4.6.2上海瑞金医院移动信息化安全治理实践 69\o"CurrentDocument"五、数据安全的政策、法律和标准 72\o"CurrentDocument"5.1数据安全政策和法律 72\o"CurrentDocument"5.1.1《网络安全法》解析 72\o"CurrentDocument"5.1.2网络安全等级保护2.0解析 73\o"CurrentDocument"5.1.3《数据安全法》草案解析 73\o"CurrentDocument"5.1.4《个人信息保护法》草案解析 74\o"CurrentDocument"5.1.5政策和其他法律法规 75\o"CurrentDocument"5.2相关国家标准 76\o"CurrentDocument"5.2.1个人信息保护方向 77\o"CurrentDocument"5.2.2数据安全方向 78\o"CurrentDocument"5.3各行业标准和要求 79\o"CurrentDocument"5.3.1金融行业 79\o"CurrentDocument"5.3.2医疗行业 80\o"CurrentDocument"5.3.3电信和互联网行业 81\o"CurrentDocument"5.3.4教育行业 82\o"CurrentDocument"5.3.5政务行业 82\o"CurrentDocument"5.3.6育皀源行业 83\o"CurrentDocument"5.4国际数据安全政策、法律和标准 83\o"CurrentDocument"5.4.1欧盟的政策和法律 83\o"CurrentDocument"5.4.2美国的政策和法律 84\o"CurrentDocument"5.4.3其他国家和地区的政策和法律 86\o"CurrentDocument"5.4.4国际数据安全标准化工作 87\o"CurrentDocument"六、国内外相关理论与介绍 88\o"CurrentDocument"6.1微软的整体化数据治理方法DGPC 88\o"CurrentDocument"DGPC与1T治理的关系 88\o"CurrentDocument"DGPC的组成 89\o"CurrentDocument"6.1.3开展风险评估的三项基础要素 89\o"CurrentDocument"6.1.4风险/差距分析矩阵和风险评估 90\o"CurrentDocument"6.2高德纳的数据安全治理框架DSG 95\o"CurrentDocument"6.2.1平衡业务需求与风险 95\o"CurrentDocument"6.2.2数据梳理和管理数据的生命 96\o"CurrentDocument"6.2.3制定数据安全管理控制措施 97\o"CurrentDocument"6.2.4部署数据安全技术和产品 97\o"CurrentDocument"6.2.5管理所有数据 97\o"CurrentDocument"6.2.6持续自适应风险与信任评估 97\o"CurrentDocument"6.3中国测评《电信和互联网行业数据安全治理白皮书》 98\o"CurrentDocument"七、问题和展望 100\o"CurrentDocument"7.1现实中的问题和建议 100\o"CurrentDocument"7.1.1对合规耍求的深入理解和持续关注需要加强 100\o"CurrentDocument"7.1.2急需对历史遗留的数据资产进行安全治理 10。\o"CurrentDocument"7.1.3企业或组织的高层驱动力有待激发 100\o"CurrentDocument"7.2发展趋势展望 101\o"CurrentDocument"7.2.1相关政策法律日益健全 101\o"CurrentDocument"7.2.2相关标准体系不断完善 102\o"CurrentDocument"7.2.3数据安全执法力度增强 103\o"CurrentDocument"7.2.4数据安全责任逐渐明晰 103\o"CurrentDocument"7.2.5数据安全治理场景更加丰富 104八、附录 105i司謎 105\o"CurrentDocument"重大数据安全事件汇总 1061影响2016美国总统大选的“剑桥分析”数据泄露和滥用丑闻……106B 2 政®\o"CurrentDocument"要员因缺乏数据安全意识致政治前途受挫 107\o"CurrentDocument"B.3公司内部员工窃取用户数据谋取私利 107\o"CurrentDocument"B.4黑客攻击导致海量用户信息泄露 108\o"CurrentDocument"B.5系统或权限配置不当造成严重数据泄露后果 110\o"CurrentDocument"B.6全球范围持续遭受勒索软件攻击 Ill\o"CurrentDocument"B.7个人信息池露后被用于电信诈骗或®路贷造成严重后果 112\o"CurrentDocument"B.8航空公司和酒店数据泄露导致用户隐私曝光 113\o"CurrentDocument"B.9大量个人信息在暗网被肆意售卖累积巨大隐患 114\o"CurrentDocument"10国内髙校学生信息池露并遭滥用事件频发 114\o"CurrentDocument"数据安全关键技术简介 115\o"CurrentDocument"1以数据为中心的审计和防护（DCAP） 115C 2醐资产梳理 118\o"CurrentDocument"C.3数据脱敏 120\o"CurrentDocument"C.4差分隐私 124C 5醐安全运维 127\o"CurrentDocument"6数据泄密防护（DLP） 131\o"CurrentDocument"C.7身份认证和访问管理（IAM） 140C•8J不j \j"丰/1（BA） 143\o"CurrentDocument"C.9数裾加密 145\o"CurrentDocument"C.10数据水印和数据使用行为溯源 157\o"CurrentDocument"11多层次数据保护 160\o"CurrentDocument"数据安全新兴前沿技术 163\o"CurrentDocument"1多方计算 163D 2联邦TOC\o"1-5"\h\z料 167\o"CurrentDocument"D.3数据安全虚拟化引擎 167\o"CurrentDocument"4数据安全SAAS能力 169\o"CurrentDocument"E.参与单位介绍 170\o"CurrentDocument"1主编单位 170\o"CurrentDocument"E.2参编单位 170\o"CurrentDocument"E.3编审单位 174数据安全治理白皮书3.0数据安全治理白皮书3.0《数据安全治理白皮书》3.0版本修订说明《数据安全治理白皮书》3.0版本中，针对以下内容进行修订完善：1、 添加数据安全与信息安全、网络安全，数据安全治理与数据治理及数据安全管理等概念联系与区别；2、 增加政务云、金融、能源、教育、电信运营商及医疗行业的数据安全治理实践案例，推动数据安全治理在各行业的应用落地与经验分享；3、 添加最新的数据安全相关政策、法律和标准：4、 添加国内外相关理论与介绍：5、 添加数据安全发展中的问题与展望：6、 国内外数据安全事件概要更新至2020年；7、 更新数据安全关键技术，添加数据资产梳理、差分隐私、数据安全运维、数据水印和数据使用行为溯源、多层次数据保护技术；8、 添加数据安全新兴前言技术：多方计算、联邦学习及数据安全虚拟化引擎技术：9、 全文内容文字和段落结构优化°@数据安全治理白皮书3.0一、概述1.1数据安全治理基本理念2016年，Gartner在相关报告中提出DataSecurityGovernance；在2017年，安华金和根据国内数据安全发展需求在国内率先提出数据安全治理概念；在2019年数据安全治理专业委员会发布的《数据安全治理白皮书2.0》中，提出了数据安全治理理念框架：数据安全治理是以“让数据使用更安全”为目的，在中国易于落地的数据安全建设的体系化方法论，核心内容包括：满足数据安全保护(Protection合规性(Compliance)^敏感数据管理(Sensitive)三个需求目标；核心理念包括:分类分级(Classfiying).角色授权(Privilege)、场景化安全(Scene);数据安全治理的建设步骤包括：组织构建、资产梳理、策略制定、过程控制、行为稽核和持续改善：核心实现框架为数据安全人员组织(Person)、数据安全使用的策略和流程(Policy&Process)、数据安全技术支撑(Technology)三大部分。愿景：让数据使用更安全需求覆盖数据保护安全合规敏感管理核心理念分类分级角色授权场景化安全组织梳理建资源梳理设策略制定步过程控制骤行为稽核持续完善安全框架人员组织策略规范技术支撑数据安全治理理念框架《数据安全治理白皮书2.0〉〉发布以來，数据安全治理理念框架在越來越多的政府、机构、企事业单位得以实践，其涵义也越來越丰富。1.1.1治理“愿景”更加清晰2020年，中共中央国务院发布《关于构建更加完善的要素市场化配界体制机制的意见》，数据被作为一种新型的生产要素写入政府文件之中，与土地、劳动力、资本、技术等传统耍素并列。《意见》明确指出，要加快培育数据要素市场，推进政府数据开放共享，提升社会数据资源价值，并加强数据资源整合与安全保护等工作。这表明数据开放共享与数据交易将更加推进数据价值的体％数据只有在使用中才能创造价值，数据价值越大越需要受到保护，这与我们提出的数据安全治理目标更加契合，使数据安全治理愿景“让数据使用更安全”更加清晰。1.1.2需求覆盖愈发明确•数据保护2019年至今，一系列数据安全法律法规和行业监管标准密集出台：《数据安全法》（草案）、《个人信息保护法》（草案）的发布，将数据安全和个人信息保护提升到了立法层面，《个人信息安全规范》对推动个人信息安全保护提供了方法和措施；政务《信息安全技术政务信息共享数据安全技术要求》、金融业《个人金融信息保护技术规范》、《金融数据安全数据安全分级指南》等相关标准均用于指导数据保护工作落实。数据保护法律法规的后盾愈发坚韧。•安全合规越來越多的政府、企事业单位、金融机构、能源集团、运营商等各行各业，在法律法规标准推动下，安全合规需求急剧增加，需要我们越来越多地解析法律标准条文，寻找合规途径，落实合规措施。•敏感数据以往各行业对敏感数据的保护仅仅是自己摸索，缺乏对敏感数据的标准定义，随着数据分类分级相关标准的发布，金融、运营商、工业等对敏感数据有了更淸晰的定义，重要数据的范围也被单独编制目录而得以进一步明确。由此可见，以数据保护为目的，以安全合规为驱动，以敏感数据为核心的数据安全需求愈发明确《1.1.3核心理念全面凸显•分类分级数据资产保护的核心在于数据分类分级。通过对数据的有效理解和分析，对数据进行不同类別和密级的划分：根据数据的类别和密级制定不同的管理和使用原则，尽可能对数据做到有差别和针对性的防护，实现在适当安全保护下的数据自由流动。@数据安全治理白皮书3.0•角色授权数据安全访问控制核心在于数据访问主体的角色授权。在数据分级和分类后，明确了数据的访问角色以及数据的使用方式，在不影响数据资源正常访问的前提下，针对不同的角色赋予不同的访问权限，实现数据的访问和使用安全。•场景化安全数据安全治理的核心在于场景化安全。不同用户基于业务、访问途径、使用需求，会产生不同的使用场录。在保证数据被正常使用的目标下，基于不同的使用场景制定相应的数据安全策略。场录化的数据安全治理，能及时发现数据风险暴露面，使数据安全治理更具针对性，从而实现数据使用更安全。1.1.4建设步骤指导实践从组织构建到持续改善，这一个系统化的建设步骤，有效地实践了数据安全治理建设的落地。•组织构建组建专门的数据安全组织团队，是作为数据安全治理建设的首要任务，是保证数据安全治理工作能够持续执行的基础。•资产梳理资产梳理是数据资产安全管理的第一步，通过资产梳理能够掌握数据资产分布、数据责任确权、数据使用流向等，使数据资产安全管理更全面。•策略制定掌握了数据资产概况后，需要制定安全策略来作为数据资产管控的安全规则。通过数据分类分级与重要数据识别，区分人员角色权限及场景，制定针对性的安全策略，能够实现对敏感数据进行分级管控，使数据在生命周期中安全流动。•过程控制策略制定后需要将安全规则落地，通过数据安全管理体系、技术体系、运营体系的有效配合，能够帮助企业进行数据资产安全管理的过程控制。•行为稽核要对数据的访问过程进行审计，要判断这些数据访问行为过程是否符合所制定的安全策略：要对数据的安全访问状况进行深度评估，看在当前的安全策略有效执行的情况下，是否还有潜在的安全风险。•持续改善数据安全需要动态跟踪，持续改善。可通过盜产梳理，持续掌握数据资产动态；通过预警演练，提升应急响应能力；通过数据安全评估，了解数据安全管控现状，持续优化安全策略等。1.1.5安全框架推动顶层设计在数据成为生产要素的新形势下，围绕“让数据使用更安全”的愿景，数据安全治理安全框架主要基于“人员、策略、技术”三个核心能力领域设计安全框架，结合实际的数据安全防护情况，通过专业的数据安全治理团队、明确的数据安全治理策略和流程，以技术手段为支撑，围绕数据使用的业务场景和活动分析安全需求，在数据安全管理体系、数据业务活动以及数据安全技术等方面综合指导数据安全顶层设计，提升数据的体系化保障能力。1.2近似概念的联系与区别1.2.1数据安全与信息安全和网络安全国标《信息安全技术术语标准》(GB/T25069-2010)将信息安全明确定义为“保护、维持信息的保密性、完整性和可用性，也可包括真实性、可核査性、抗抵赖性、可靠性等性质。”如果仅是从字面上将定义中的保护对象由“信息"变更为“网络”和“数据”以分别引申出“网络安全”和“数据安全”的概念，对于理解“数据安全”与“信息安全”和“网络安全”的关联和差异并无太多帮助，为此，下面将从每个概念所涉及内容和范畴的角度区分三者。在大数据的概念出现以前，广义的信息安全范围敁广，能够涵盖网络安全和数据安全C狭义的信息安全则在不同语境中有多种不同的含义。例如，当信息安全特指为保障内容健康合规而封禁黄赌毐等有害内容的发布和传播时，它与网络安全和数据安全的概念几乎完全独立；而当信息安全特指企业或组织机构防范内部秘密信息泄露时，它就成了网络安全和数据安全两个研宄范畴的子集。早期的网络安全(NetworkSecurity)概念通常泛指保护由计算机网络(特别是接入互联网的网络)连接的软硬件信息基础设施能够持续正常运行，防范外部攻击者对信息系统及其中存储的数据进行破坏和篡改或者对秘密数据进行窃取」同时期的数据安全一般被理解为对信息系统中重要数据进行保护，因此，可视作网络安全范畴的子集。近年来，随着移动互联网、物联网、人工智能等技术的飞速发展，大数据的应用和影响范围越来越广，人类正在全面转型跨入数字化社会。在这种吋代背景下，网络的概念开始由裁擷安全治理白皮书裁擷安全治理白皮书3.0薮布安全治蓬白二书30传统的计算机网络不断向云、边缘、终端等新的衍生概念延伸，早期的网络安全也相应演变为与陆、海、空、天等国家安全概念相提并论的网络空间安全（CyberSecurity）的简称.数据安全概念的演进和发展速度比网络安全有过之而无不及，甚至仍会伴随数字化转型的浪潮加速向前奔涌，不断突破人类现有的认知和想象.当下一般将数据安全解读为以数据为中心，保护数据在其生存周期（包括数据的釆集或生成、传输、存储、处理或使用、交换、销毁等众多流转环节）内的安全性，一个形象比喻就是“为数据配备贴身保镖”一一既要不限制数据的自由流动，又要确保数据走到哪.安全措施就覆盖到哪’一至此.数据安全的概念范畴尽管仍与网络安全拥有大量重合，但己不再完全是网络（空间）安全的子集，而是肩负了很多与时俱进甚至尚未可知的数字化社会的时代使命。相比之下，信息安全的概念演变却呈现出反向趋势.越来越多地被用于承载其狭义含义的语境之下，成为网络安全和数据安全范畴内某个具体的方向或领域。1.2.2数据安全治理与数据治理数据治理是指从使用零散数据变为使用统一数据、从具有很少或没有组织和流程到企业范围内的综合数据流转、从尝试处理数据混乱状况到数据井井有条的一个过程。数据治理的作用就是确保企业的数据资产得到正确有效的管理，从组织架构、原则、过程和规则等方面确保数据管理的各项职能得到正确的履行。数据治理其实是一个关注于信息系统执行层面的体系，这一体系的目的是整合信息技术支持（IT）部门与业务部门的知识和意见，通过一个类似于监督委员会或项目小组的虚拟组织对企业的信息化建设进行全方位的监管，这一组织的基础是企业高层的授权和业务部门与IT部门的建设性合作：从范围來讲，敎据治理涵盖了从前端事务处理系统、后端业务数据库到终端的数据分析，从源头到终端再回到源头形成一个闭环负反馈系统（控制理论中趋稳的系统）从冃的來讲，数据治理就是要对数据的获取、处理、使用进行监管（监管就是我们在执行层面对信息系统的负反馈），而监管的职能主要通过发现、监督、控制、沟通、整合这五个方面的执行力来予以保证.根据国标《信息技术服务治理第5部分：数据治理规范》（GB/T34960.5-2018），数据治理被明确定义为：“数据资源及其应用过程中相关管控活动、绩效和风险管理的集合。"这项标准还进一步给出了数据治理的目标、任务和框架等：数据治理是“源于组织的外部监管、内部数据管理及应用的需求”：数据治理的目标是“保障数据及其应用过程中的运营合规、风险可控和价值实现”；“组织应通过评估、指导和监督的方法，按照统筹和规划、构建和运行、监控和评价以及改进和优化的过程，实施数据治理的任务”.在数据治理的三点目标中，运营合规和风险可控是约束条件，价值实现是追求的结果，合规和风控既是使数据能最终实现价值的前提，同时又是必要的保障：为此.数据治理框架包含了数据管理和数据价值两套体系.前者统摄合规与风控，后者则支撑价值实现’在数据治理的框架下，数据安全是数据管理体系的重要组成部分，企业或组织在实施数据治理的过程中，应“制定数据安全的管理目标、方针和策略，建立数据安全体系，实施数据安全管控，持续改进数据安全管理能力”o此处的数据安全概念相对狭义，基本仅限于为数据及其价值实现过程提供安全保障机制的范畴。如果基于上述狭义的数据安全概念，将数据安全治理相应解读为以保护数据及其价值实现为目的而采取的风险评估和安全管控活动，那么，数据安全治理就可视作数据治理概念下专注于安全方面的子集，但从实际操作上来看，两者之间又有很大的不同：•从发起部门來看，数据治理主要是由IT部门在驱动，而数据安全治理主要是由安全合规部门在驱动，当然两者的成功都要涉及到业务、运维和管理部门甚至公司鉍高管理决策层，一•从目标上看，数据治理的目标是数据驱动商业发展，提升企业数据资产价值，数据安全治理的目标是让数据的使用更安全，保障数据的安全使用和共享，实质也是保障数据资产价值'•从工作内容产出上看，数据治理工作产出的一个核心成果就是数据质量提升，通过对数据进行消洗和规范的过程，获得高质量的教据。敖据安全治理的重要产出包括完成对企业数据资产的分类分级，制定合规的安全访问策略并规划适宜的管控措施•从数据资产梳理上看，数据治理中资产梳理的主要产出物是元数据，即赋予数据上下文和含义的参考框架°数据安全治理中的资产梳现则要明确数据分类分级的标准弄淸敏感数据资产的分布、授权和访问状况。尽管当前在数据治理中也在不断加强对数据安全方面的要求，但相对数据安全治理而言，数据治理中的安全实践还是常被置于从属角&如同信息安全在信息化建设中的角色一样不够系统和深人近年來，随着包括大数据在内的数据在数字化社会中的重要性不断提升，国家己将数据上升到新型生产资料和创新要素的高度，数据对安全形成影响的广度和深度己超越单纯为数据掌握者保护数据自身价值的范畴，例如对个人（数据主体〉隐私保护的问题就牵涉到了社会伦理以及关于数据权益的法律认定，而数据出境等问题更是需要在国家安全层面全盘统筹考虑。本白皮书讨论的数据安全治理概念，将主要关注以保护数据及其价值实现过程安全为目标的风险管控活动，但在合规性方面，则将以全面覆盖和满足国家关于数据安全的所有法律、法规、政策、规范和标准的要求为目标。数据安全治理工作既可在数据治理的框架下作为一个环节或子过程来开展，也可直接依照本白皮书提出的数据安全治理框架独立实施。1.2.3数据安全治理与数据安全管理“治理"对应的英文单词是“governance”（源自拉丁文或古希腊语“steering”一词，数据安全治理白质书30原意是“引领导航”），是指遵照具有共识的指导原则，通过协调和配合共同追求一致目标的过程“管理对应的英文单词则是"managementM，是指为达到组织的既定目标而以人为中心对组织拥有的资源进行有效的决策、计划、组织、领导和控制的过程。治理的概念强调协调和合作，一般难以表述成一®严格的规则条例或正式制度，而通常是以一种方法论的形式呈现‘管理的概念则强调控制和执行，通常会以形成制度和条例规范的形式加以表述和落实。在数据安全范畴内，使用数据安全治理的概念比使用数据安全管理，能够更好地适应当前的现实情况：一方面，人类正在全面跨入数据时代，为积极顺应这一势不可挡的历史潮流，国家和各层级的组织机构都迫切需要加强教据保护的意识，尽早启动和落实关于数据安全的准备和建设工作；另一方面，人类也仅是刚刚看到数据时代和数字化社会形态特征的端倪，数据无论是作为资产、生产资料，还是创新耍素，都是方兴未艾的新事物，必然要经过一个认知逐渐深入和全面的复杂过程二在这个过程中，使用治理而非管理的思路來指引数据安全建设，无疑拥有更好的灵活性、丰富性和包容性，因而也更有利于平衡对数据进行安全保护和在数据使用和价值挖掘方面激发创新。1.2.4数据安全治理与数据安全成熟度模型国标《信息安全技术数据安全能力成熟度模型》（GB仃37988-2019）给出了一个全方位评估企业或组织机构的数据安全能力成熟度的三维立体模型一一DSMM.,该模型将数据安全的能力成熟度分成从1到5共五个等级（由弱到强依次为非正式执行、计划跟踪、充分定义、量化控制、持续优化），分别从组织建设、制度流程、技术工具、人员能力四个方面对通用安全和构成数据生存周期（数据安全过程）的六个阶段（采集、传输、存储、处理、交换、销毁）及其进一步细分的三十个过程域内各自达到的数据安全能力成熟度等级进行评估，DSMM适合用來作为评估组织数据安全能力的方法和标准，亦可在组织开展数据安全能力建设的过程中被用作参考目标和依据。然而，DSMM并未给出指导数据安全能力建设的具体方法和操作步骤，而这恰好是数据安全治理的核心内容和价值所在。数据安全治理和DSMM的区别主要体现在以下方面：•数据安全治理是以数据的分类分级为核心，进行安全策略的设定：DSMM是以数据的生命周期为核心，寻求安全策略的覆盖。•数据安全治理体系化地建立数据使用或服务的人员角色，根据角色对数据使用的主要场景，提供建议的安全措施以及所要使用的安全工具；而DSMM更多的是提供一种评估方法，看数据使用的过程中，企业是否定义了明确的控制措施，并无具体化的方法指导•相比DSMM完全围绕数据生存周期展开，数据安全治理通常反对在数据生存周期中不区分化地釆用安全措施，而是更强调根据数据使用场景和数据使用需求，针对性地选用适宜的安全措施’比如在开发测试环境，需要采用脱敏的技术获得高仿真数据，在这种场景下，数据安全治理就会弱化推数席安全治理白皮书数席安全治理白皮书30数席安全治理白皮书数席安全治理白皮书30荐审计、管控和加密等措施。•数据安全治理将安全体系的构建，明确归纳为安全政策的制定，技术支撑平台的建设，对安全政策执行有效性的监督，安全政策的改善这一持续循环过程；而DSMM对安全成熟度进行了等级化分级将持续改善定义为了最髙级别不像在数据安全治理理念中将持续改善视作标准组成部分之一。•数据安全治理本质上是一种方法论，帮助企业如何迅速构建一套行之有效的数据安全体系；而DSMM是一种评估方法，像一个考试一样，帮助企业或监管机构评价和了解企业或组织的当前安全能力状况C从某种意义上讲，数据安全治理和DS