CDGA|构建数据安全体系六步走

当前，全球数字化转型正在以爆发性速度快速发展，数据作为数字化的核心已经成为新时代的核心生产要素之一。 9月1日《数据安全法》正式施行，如何做数据安全建设成为当前各行业负责人最为关心、关注的问题。那么到底该如何构建数据安全保障体系呢？ 在遵守一切法律法规下，构建数据安全保障体系可以分六步走：数据安全治理评估、数据安全组织结构建设、数据安全管理制度建设、数据安全技术保护体系建设、数据安全运营管控建设、数据安全监管建设。

数据安全治理评估 区别于合规要求的网络安全建设，数据安全保障体系应建立在事实依据的基础上，才能对自身业务最核心的数据安全风险采取技防监测、控制手段解决，所以第一步，即开展数据风险发现过程-数据安全治理评估。 通过数据安全治理专家团队，从业务视角出发，对业务应用的现状、使用情况进行调研、分析，确定业务的关联关系、访问的关键路径、数据的流向及演变过程，结合对基础安全管控措施的分析，找出主要业务所面临的管理、技术及运营风险。 其次，集合多个业务系统的调研结果，找出系统间的共性问题，为制定业务的数据安全管理规范提供第一手的参考依据。针对业务各系统及数据资产全面开展评估梳理工作，形成《数据资产清单》，明确相关平台各系统的输入输出，数据所在位置及其处理、共享、交换等使用过程中数据重要度等内容。 数据安全组织结构建设 数据安全管理是一项需要多方联动型的复合型工作，在开展组织架构建设时，需要考虑组织层面实体的管理团队及执行团队，同时也要考虑虚拟的联动小组，所有部门均需要参与安全建设当中。同时，需要根据部门职责建立不同的数据安全角色以满足数据安全建设的需求。 数据安全管理制度建设 前期的数据安全组织结构体系建设为后续数据安全建设提供了角色支撑，接下来需要从管理制度手段上进行梳理。数据安全保障体系的规范一般从业务数据安全需求、数据安全风险控制需要及法律法规合规性要求等几个方面进行梳理，最终确定数据安全防护的目标、管理策略及具体的标准、规范、程序等。 数据安全技术保护体系建设 不同安全级别的数据，可参照数据生命周期的原则进行数据安全应用执行。具体保护要求及措施，可参照国家相关法律、法规、标准及自身的数据安全相关管理制度、规范、标准执行。 数据安全运营管控建设 数据安全保障体系因其业务的持续性，需要进行长期性服务，建立完善的数据安全运营团队是必然选择。数据安全运营主要包括以下内容： 数据安全运维：主要是数据安全措施的使用、运维，驻场或定期对数据安全产品的使用情况进行分析，并结合管理要求，持续进行管控措施策略和配置的优化，并定期输出数据安全运维报告和策略优化建议等； 应急预案与演练：按照相关要求，制定数据安全事件应急预案。并按照制定的应急规划，按照安全事件的危害程度、影响范围等对安全事件建立分级，定期进行应急预案演练； 监测预警：围绕数据安全目标，依据相关安全标准，建立数据安全监测预警和安全事件通报制度，收集分析数据安全信息，对安全风险及时上报，包括按需发布数据安全监测预警信息等； 应急处置：相关方按照应急预案，在发生安全事件时，采取应急处置措施，向主管部门上报重大安全事件，定期对应急预案和处置流程优化完善； 灾难恢复：在数据安全事件发生后，根据安全事件的影响和优先级，采取合适的恢复措施，确保信息系统业务流程按照规划目标恢复。 数据安全监管 移动互联网时代下，数据承载的价值越来越高，数据面临巨大的威胁，监管部门出台相关法律法规，对数据从业者提出了相关要求，也明确了监管机构的责任。 公安机关作为监管单位，将依法履职尽责，对数据处理者履行数据风险监测与风险评估等数据安全保护义务、遵守国家核心数据管理制度、向境外提供重要数据、配合公安机关开展数据调取、向外国司法或者执法机构提供数据等行为依法开展监督管理。 将构建数据安全保障体系落实到位还是得依靠专业的数据治理人才，只有够专业，数据安全才更有保障！