| 编辑推荐: |
本文主要介绍
以数据安全为中心的安全控制体系
，
首先要对组织内的数据资产及相关信息资产进行识别和分级，建立对应数据分级级别相适应的控制措施；然后分配组织内各个部门单位对应数据资产的职能角色；最后确定各个角色相关的所有权、管理权或使用权等相关权责
。
本文来自于
数据治理周周谈
，由Alice编辑、推荐。 |
|
01、数据安全的定义
根据《数据安全架构设计与实战》一书的定义，狭义的数据安全往往指保护静态存储级的数据以及数据泄漏防护等。广义的数据安全则是基于“安全体系以数据为中心”的立场，泛指整个安全体系侧重于数据分级以及敏感数据全生命周期的保护，数据安全更加接近于一种控制目的。 一般读者都会困惑于数据安全和信息安全异同。实际上，狭义的信息安全是为“防止敏感信息的不当扩张”。如根据国际标准化组织（ISO）对信息安全的定义，信息安全是为数据处理系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因而遭到破坏、更改和泄漏。而广义的信息安全则突出“安全体系架构以信息为中心”，强调安全管理体系。
早期，信息安全、网络安全和数据安全存在一个由大到小包含的层次，而现在信息安全有狭义化的趋势，多数情况下有被网络空间安全所覆盖的趋势；而数据安全更接近安全的目标，安全体系随着数据的传输而扩展，大部分被网络空间安全覆盖，个别部分如长臂管辖权除外。
02、以数据安全为中心的安全控制体系
数据安全更接近安全的目标，要围绕其建立完善的安全控制体系，大体分为三个步骤：首先要对组织内的数据资产及相关信息资产进行识别和分级，建立对应数据分级级别相适应的控制措施；然后分配组织内各个部门单位对应数据资产的职能角色；最后确定各个角色相关的所有权、管理权或使用权等相关权责，对碰触逾越安全基线的事件行为触发问责机制。
1.信息与数据资产的识别与分级
数据安全的重点是在整个数据生命周期中保护信息，首先就需要对数据信息进行安全分类，其中不仅是数据的分级，还包括处理数据的物理系统、存储数据的介质、以及软件权限进行分级等等，所有数据安全管控的后续操作都应基于合规合理的分类相应推进。换句话说，如果一台PC正在处理绝密数据，那么这台计算机也应被归类为绝密资产。同样，如果内部或外部驱动器等介质保存绝密数据，该介质也应被归类为绝密资产。软件访问权限亦是如此。
实施信息与数据资产的识别和分级步骤一般包括：
1）定义敏感数据。 敏感数据是任何非公开或非机密的信息，包括机密的、专有的、受保护的或因其对组织的价值或按照现有的法律法规而需要组织保护的任何类型的数据。主要有：个人身份信息、受保护的健康信息和专有信息，其中任何有助于企业或组织保持竞争优势的数据（如软件代码、产品设计计划、流程、知识产权等）等。
2）定义数据分级。 数据分级工作需要通过组织业务细分、主体明确、数据归类、级别判定等流程加以实现，是数据安全保护的基础。2021年6月10日，我国《中华人民共和国数据安全法》正式颁布，其中第三十一条规定“各地区、各部门应当按照数据分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。”数据安全法的颁布，把安全控制的顶层建筑提升到了国家安全的层面，要求各组织和企业依据数据的相对价值来确定分级标准和安全策略，并依据不同的数据敏感程度制定不同的保护策略，在对标国家安全和法律的基础上，建立组织内重要数据目录保护制度，保障重要敏感数据的安全。下图就是一个对标国家政府安全级别的分级示例。
3）定义信息资产分级。 这里指的信息资产主要指数据概念外的信息系统、物理系统等实体资产，这些资产的分级应与数据分级相匹配，如物理系统、存储介质、软件环境等要素要与数据安全标的相衔接，不能简单生硬切割，应采用统一价值口径进行安全措施的对等匹配，并保证覆盖完整，才能保证信息资产和数据资产的管理边界清晰，并且措施合理、覆盖全面。
2.确定对应数据安全的控制措施
定义数据和资产分级后，要就确定安全控制措施（制度、流程、机制和技术）。如使用对称/非对称加密保护动态/静态数据、保证硬件环境（温度或湿度）符合数据存储条件、使用适当的技术手段结束数据生命周期等。确定了这部分安全控制，分别就对数据资产、信息资产初步建立了一个对应控制关系，形成了一个资产保护目录的雏形。
3.数据和信息资产的确权
明确数据的权属关系是数据安全治理的难点。数据的采集、存储、传输、处理、使用等每一个环节都与数据权属有直接关系。在数据采集阶段，过度采集用户隐私数据的行为非常普遍，缺乏合理的授权制度和有效的约束措施将形成“过度收集”，如近期某头部输入法软件就因过度收集个人隐私信息而被巨额罚款。在数据存储阶段，数据如果脱离所有者的掌握和相关部门的监管，收集者的权力就会被过度放大。在数据传输阶段，倒卖用户数据的事情时有发生。在数据处理阶段，对数据集进行处理加工所得出的新数据归谁所有尚没有定论。在数据使用阶段，由数据产生的经济效益如何分配还欠缺适用的理论指导。
换言之，没有数据确权，数据安全的控制基线就难以确定，安全标准也就无从谈起。产生这些数据权属问题的重要原因，就是数据作为一种重要资源，在法律上并没有被赋予资产属性，数据的所有权或产权没有被广泛认可。《中华人民共和国数据安全法》正式颁布后，虽然在一定程度上确定了数据安全的法规顶层建筑，但针对数据确权尚未有深入的处理细则。
虽然数据确权现阶段难以完全实现，但我们可以参考CISSP官方指南的描述管中窥豹，初步构思一个蓝图，先确定组织内的角色，再针对角色职能分配权力和责任：一般来说，组织内面向信息资产的主要角色有数据所有者、系统所有者、业务所有者、数据使用者、管理员、托管员和用户。
其中，数据所有者最终负责对数据进行分级、标记和保护；系统所有者负责管理处理数据的系统；业务所有者控制数据处理流程并确保系统能为组织创造价值；数据使用者通常是组织处理数据的第三方实体；管理员根据数据所有者提供的准则授予对数据的访问权限；托管员接受数据所有者的委托负责日常数据的正确存储并保护数据；用户访问系统中的数据。映射到商业银行体系中，数据所有者往往是业务部门；系统所有者通常来说是业务系统主管部门，一般来说系统所有者和数据所有者是相一致的，但也有数据和系统所有权相分离的情况；数据使用者可以是企业内其他参与数据处理的部门，也可以是第三方外部公司；管理员负责系统内访问数据人员的权限设置和特权，通常由数据管理部门、内控管理部门和IT部门共同扮演；托管员是银行物理系统机管部门和运维部门；用户则可能是终端、员工、客户和其他外部人员。
4.制定安全人员的管理策略
不论单位组织内的数据分级如何准确、资产保护目录如何完备、安全管控技术如何先进、角色分配和数据确权如何明晰，但只要管理流程有人的参与，就必定是数据安全管理体系内最薄弱的一环。因此，建立一套完整的数据安全团队的人员建设和管理策略必不可少，从招聘、能力建设直到实施管控，务必全面覆盖。
一是制定严密的入职程序，在预备阶段审查候选人的能力、背景，在劳务关系建立阶段确定保密和雇佣协议的具体细节；二是组织需要根据岗位职责、人员角色，明确相应的能力要求，建设安全团队人员的能力培养机制。三是通过职责分离、岗位轮调、权限管理和绩效考核等手段，将数据安全管控实施过程中人的不确定降到最低。四是重视数据安全人员的离职程序，对离职人员在职期间接触到的有形/无形资产进行清理和灭失，同时实行离职审计制度。五是关注外包商风险控制，对合作中的数据交换进行合规、隐私和赔偿细则进行明确约定。
03、小结
一是数据分级是数据安全的基础，在数据安全法的基础下建立重要数据目录保护制度，保障了重要敏感数据的安全，能为等级保护制度提供支撑基础，也有助于防控数据风险、保障数据交易、释放数据价值。二是数据确权是数据安全的重点和难点，确权有助于明确数据安全治理的部门、推进组织内外的数据公开化，也是数据价值评估体系和数据交易制度的必要条件。三是客观把握数字化转型中发展和安全的平衡。数据确权的确有利于数据安全的落地，但也客观减缓了数据在组织内外的流动性，增厚组织内的体制壁垒。过早、过严、过窄地进行数据确权，反而可能会抑制业务发展。在明确安全基线和保证发展速度的天平上，数据安全治理体系尚有很长一段路要走。
|
