AG公司云
Q&A｜聚焦《数据清静法》实验 ，企业数据清静建设常见问题
2021-08-26
《中华人民共和国国民经济和社会生长第十四个五年妄想和2035年远景目的纲要》中明确提出：“迎接数字时代 ，激活数据要素潜能 ，推进网络强国建设 ，加速建设数字经济、数字社会、数字政府 ，以数字化转型整体驱动生产方法、生涯方法和治理方法厘革。”随着云盘算、物联网、大数据、人工智能、区块链等新兴手艺的普遍应用 ，数据作为生产要素 ，成为国家基础性和战略性资源。
现在 ，数据清静问题突出 ，种种数据清静泄露事务司空见惯 ，成为我们身边的“准时炸弹”。《中国人民共和国数据清静法》（以下简称“《数据清静法》”）于2021年6月10日公布 ，顺应了我国数字经济时代的需求 ，获得社会各界的普遍关注。作为海内清静领域的深耕者 ，AG公司科技多次受邀解读《数据清静法》。在和客户交流历程中 ，我们整理了较量典范的、共性的问题 ，与列位同仁一起探讨。
Q1：企业该怎样依法举行数据清静建设？
凭证《数据清静法》的要求 ，企业在数据清静建设可以分为五个办法：
办法一：明确数据清静责任制 ，落实数据全生命周期管控责任。AG公司科技具备数据清静治理系统建设的计划支持 ，能够资助企业建设数据清静组织架构 ，明确岗位职责 ，制订对应的全流程治理规范、制度、流程等。
办法二：举行数据分类分级。AG公司科技资助企业举行数据资产、营业数据流转梳理 ，建设数据分类分级指引 ，对数据资产举行分类分级打标 ，明确�；すぞ呒胺旨豆芸卣铰�。
办法三：发明数据清静危害隐患。AG公司科技可以协助企业按期举行数据清静合规评估、小我私家信息清静影响评估 ，或凭证现真相形有选择的举行APP小我私家信息评估 ，借助危害评估手段发明数据清静危害 ，协助企业举行整改 ，提升数据清静建设水平。
办法四：数据清静能力建设。企业需要围绕数据全生命周期的数据运动 ，团结自身营业场景 ，落实数据清静控制步伐。AG公司科技可为企业举行全方面可信的防御系统建设 ，运用“知”“识”“控”“察”“行”的数据清静治理要领论 ，以及包括数据梳理、运维数据羁系、营业数据羁系、办公数据羁系、数据可视化的完整解决计划 ，有用�；な菰谌芷诶讨械那寰� ，抵达正当收罗、合理使用、静态可知、动态可控的防护目的。
办法五：建设数据清静事务的应急响应机制。AG公司科技协助企业建设应急响应系统及数据防护应急预案 ，明确数据清静事务的应急目的、政策、组织结构及相关应急职责。
Q2：企业数据清静治理系统怎样建设？
数据清静治理系统建设是许多企业举行数据清静治理事情的第一步也是必不可少的一步 ，数据清静事情的开展离不开治理系统的支持 ，可以资助企业明确数据清静治理职责 ，确保治理事情有据可依 ，数据清静治理步伐有序执行 ，自上而下地推动企业数据清静治理事情的开展。
在数据清静治理系统建设前需要知足四个条件：
Ø 需要相识国家相关执律例则及行业规范；
Ø 需要明确数据清静建设的战略目的及目的政策；
Ø 需要相识现在数据清静现状 ，包括但不限于梳理数据资产、营业及数据流向、生命周期各阶段危害点等；
Ø 需要具有履历富厚的数据清静专家及团队。
团结DAMA数据治理知识系统指南（DMBOK）中界说的数据清静治理要害运动和ISO27000系列标准中关于信息清静治理系统建设的标准流程 ，接纳如下游程举行：
凭证统一的四级文件架构和“简明、易懂、可行”的原则设计并输出数据清静治理制度。制度内容将以如下结构泛起：
每一级是上一级支持。第一级为企业数据清静战略目的 ，如数据清静治理步伐等；第二级是清静制度 ，如数据资产治理制度、数据生命周期清静治理制度等；第三级是制度下的详细指南和实验流程 ，如数据分类分级实验细则、第三方清静治理实验细则等；第四级是数据清静落地运维历程中爆发的表单 ，如审批表、日志、纪录、表单等。
需要注重的是 ，数据清静治理系统并不是摒弃企业内部建设以网络为中心的清静治理规范 ，而是在此基础上融合数据清静治理要求 ，形玉成面的治理规范。同时在数据清静建设历程中 ，一连地对数据清静治理系统举行优化与完善。
Q3：数据分类分级的实验流程与办法？
现在海内有许多行业、地方已经制订了数据分类分级的标准 ，详细叙述了数据分类分级的流程与办法 ，相关行业、地方的分类分级标准如下：
通常数据分类分级服务实验分为五个阶段 ，划分为：前期准备阶段、数据资产调研、数据分类分级、制订分级治理步伐以及汇报与总结阶段。
前期准备事情：调研客户的主要营业系统 ，客户实验数据分类分级的目的 ，以及客户目今数据清静建设现状等。
数据资产调研：关于差别的分类分级工具、数据资产存储形态 ，项目实验规模 ，数据资产调研需接纳差别的要领 ，常见的调研要领有系统文档剖析、认真人调研和使用者调研等 ，可接纳其中一种或多种举行数据资产调研事情。
数据分类分级：基于上一阶段输入的数据资产调研效果 ，通过人工与工具团结的方法对数据资产举行梳理 ，识别、明确数据资产的寄义 ，输出《数据资产清单》。团结数据资产漫衍情形 ，凭证客户适用的数据分类分级标准、规范 ，在其基础上增补修改 ，构建客户数据分类分级的总体框架。
制订分级治理步伐：凭证前期相同中相识到的客户在数据治理方面的现状与意见 ，编写制订数据分级治理步伐初稿。步伐内容一样平常包括治理步伐的配景、依据、规模 ，数据清静治理的组织与职责划分 ，数据分级的标准及依据 ，通用数据清静治理要求 ，数据全生命周期治理要求以及考评与问责机制。
汇报与总结：基于项目调研信息、数据分类分级表、数据资产清单、数据分级治理步伐以及项目实验历程的中心文档 ，统一汇报项目目的、规模、事情流程、接纳工具、实验手段、项目效果以及后续提升刷新方法等内容。
Q4：政务行业数据分类分级的难点？
随着数字化政府转型的一直深入 ，国家在政务信息共享交流的相关政策陆续出台 ，阻止到2020年底 ，天下已有18个省级以及124个副省级和地市级公共数据开放平台正式上线 ，免费为社会各方提供相关政府单位的果真数据。
各人都知道 ，政务数据清静开放的条件是数据分类分级 ，阻止到现在 ，国家还未正式出台政务行业数据分类分级标准（2019年《信息清静手艺 政务信息共享 信息资源清静品级指南》草案） ，一些地方政府先试先行 ，陆续宣布地方分类分级标准 ，如2016年贵州省DB 52/T 1123-2016 《政府数据 数据分类分级指南》、2020年上海市DB 31DSJ/Z 005-2020 《公共清静分级指南》、2021年浙江省DB33_T 2351-2021《浙江省 公共数据分类分级指南》等。从上述文件内容比照剖析 ，发明各地开放政府数据平台接纳的分类目录与分级方法照旧略有差别并各有着重的 ，究其缘故原由有如下几点：
Ø 政务行业数据资源规模广 ，GB/T21063.4-2007《政务信息资源目录系统第4部分政务信息资源分类》附录A-主题分类类目表中涉及到上百个政府子行业。
Ø 数据类型众多 ，政务部分的信息资源除了却构化数据 ，尚有大宗的非结构化数据与半结构化数据。好比一些政府红头文件、保密文件等。
Ø 分级的颗粒度：各行业数据都有自身的特殊属性 ，在差别行业针对影响资源级别的要害因素不统一 ，好比金融行业分5级 ，运营商行业分4级 ，工业数据分3级。在举行分级的时间 ，要充分思量到以什么级别颗粒度才华抵达分级防护的目的 ，平衡使用效率和清静管控。
Ø 动态多样化：政务行业数据会凭证营业需求 ，举行汇聚、融合、摘抄等操作 ，会导致数据级别爆发转变 ，需要实时快速地对这些数据重新定级。
Q5：数据清静危害评估依据和标准有哪些？是否与等保一样有定级备案与第三方评测机制？
现在国家清静向导机构、各行业羁系/主管部分、各地方政府正在陆续出台与《数据清静法》相配套的数据清静制度、治理步伐等相关文件 ，若是条件成熟 ，可能会与品级�；ひ谎� ，有专门的数据清静评测认证公司对企业的数据清静举行评测。
Q6：怎样界定网络清静与数据清静的界线？
古板的网络清静不但包括网络信息的清静 ，还涉及网络信息的爆发、传输和使用等环节的清静。通常遵照品级�；ぶ贫鹊谋曜� ，凭证清静通讯网络+清静区域界线+清静盘算情形团结清静的治理中心来建设 ，实现“自动防护 ，纵深防御”的清静系统。例如：品级�；ぶ贫�2.0三级要求 ，在FW、IPS/IDS、清静治理平台、网络审计、日志审计、堡垒机、漏扫、终端清静治理等能力举行建设。
随着信息时代向数据时代的转变 ，数据清静更靠近清静�；さ哪康�。重点关注数据生命周期历程中的清静防护 ，例如 ，在收罗阶段需要对数据做识别、分类分级；在传输阶段 ，需要实现数据的加密传输；在存储阶段 ，需要实现数据加密存储、存储介质的治理；在剖析阶段 ，需要实现数据防泄密、数据脱敏、数据操作审计等功效；在共享阶段 ，需要对职员的身份、操作做治理；在销毁阶段 ，使用名堂化、物理破损等方法举行销毁。
数据价值被越来越多人的普遍熟悉 ，海内外许多企业都已建设了数据清静治理部分 ，与原来认真古板网络清静部分平级。在网络与数据清静中心确实保存着一些交织部分 ，好比在身份认证、权限治理、会见控制等方面。我们建议从基于零信托架构和网络数据防走漏两方面建设。零信托的做法是先信托 ，后毗连 ，只有通过动态的认证和授权 ，才可能提倡对数据资源的会见毗连 ，这是和古板网络清静要领的主要区别。同时对网络数据传输历程中数据内容的举行监察 ，包管数据在可控规模内正常使用。
Q7：数据清静治理与数据治理的区别？
数据治理是对数据资产治理行使权力和控制的运动 ，是将原始、离散的数据通过梳理、洗濯、归集等方法形成有价值的数据目录 ，通过数据治理可以提升数据的价值。
在DAMA 数据治理知识系统指南中 ，数据治理位于数据治理“车轮图”的正中央 ，是数据架构、数据建模、数据存储、数据清静、数据质量、元数据治理、主数据治理等10大数据治理领域的总纲 ，为各项数据治理运动提供总体指导战略。
DAMA-DMBOK2.0 数据治理车轮图
数据清静治理属于数据治理中的一个主要主要组成部分 ，通过数据资产识别、分类分级、数据治理 ，提升数据使用历程中的清静性阻止数据丧失、泄露、改动。
大部分人们在做信息化清静建设时 ，潜意识中以为只要采购一些清静装备 ，包管营业系统的正常使用就可以了 ，事实上这样做完全没有思量到营业和治理的现状。《数据清静法》第四条中 ，明确要求企业要建设健全数据清静治理系统。切忌不可直接告诉客户采购数据清静产品 ，这样只会让客户感受我们是推销产品 ，而不是帮其解决问题的 ，以是我们需要先相识清晰用户现场的组织架构、营业系统、清静制度等信息 ，为接下来的清静能力建设打好基础。
