[[187833]]

數(shù)據(jù)治理或者數(shù)據(jù)安全在大多數(shù)安全從業(yè)者的印象中是比較熟悉的概念，但數(shù)據(jù)安全治理卻似乎是個新名詞。實際上，對于擁有重要數(shù)據(jù)資產(chǎn)的企業(yè)或政府部門，在數(shù)據(jù)安全治理方面或多或少都有實踐，只是尚未系統(tǒng)化的實行。比如運營商行業(yè)的客戶數(shù)據(jù)安全管理規(guī)范及其落地的配套管控措施，一些政府部門的數(shù)據(jù)分級分類管理規(guī)范;在國外由Microsoft 提出的DGPC(Data Governance for Privacy Confidentiality and Compliance)框架也是專門的面向數(shù)據(jù)安全治理的管理和技術框架。接下來我們將把數(shù)據(jù)安全理念分成四篇系列文章，有側(cè)重的，相對系統(tǒng)化地加以闡述。

1. 數(shù)據(jù)安全治理概論

2. 數(shù)據(jù)安全治理的組織和受眾

3. 數(shù)據(jù)安全治理的策略與流程

4. 數(shù)據(jù)安全治理的技術支撐框架

5. 數(shù)據(jù)安全治理小結(jié)

今天這篇文章，我們對“數(shù)據(jù)安全治理”概論做個認知。

愿景

數(shù)據(jù)安全治理的愿景。在這里，筆者首先要強調(diào)的是數(shù)據(jù)安全治理的目標是——數(shù)據(jù)安全使用。我們不談脫離了“使用”的安全，數(shù)據(jù)存在的目的就是為了使用，如果不是基于這個前提去談安全，最終有可能產(chǎn)生無法落地的情況，或者即使落地，效果也會差強人意。

數(shù)據(jù)安全治理概論

數(shù)據(jù)安全治理的概念——數(shù)據(jù)安全治理是以數(shù)據(jù)的安全使用為目的的綜合管理理念。

三個需求目標：

• 數(shù)據(jù)安全保護(Protection)
• 敏感數(shù)據(jù)管理(Sensitive)
• 合規(guī)性(Compliance)

圖 1.1 數(shù)據(jù)安全治理理念框架

四大重要環(huán)節(jié)：

• 數(shù)據(jù)的分類(Classify)
• 梳理(Understand)
• 管控(Control)
• 和審計(Audit)

三大核心實現(xiàn)框架：

• 數(shù)據(jù)安全人員組織(Person)
• 數(shù)據(jù)安全使用的策略和流程(Policy & Process)
• 數(shù)據(jù)安全技術支撐(Tech)

圖 1.1 數(shù)據(jù)安全治理理念框架

數(shù)據(jù)安全治理的需求目標

圍繞“ 數(shù)據(jù)安全使用” 的愿景， 數(shù)據(jù)安全治理覆蓋了安全防護、 敏感信息管理、合規(guī)三大目標 ;這三個目標比我們過去以防黑客攻擊和滿足合規(guī)性兩大安全目標，更為全面和完善。經(jīng)過二十多年信息化和互聯(lián)網(wǎng)經(jīng)濟的發(fā)展，數(shù)據(jù)成為繼現(xiàn)金和技術之后又一核心價值資產(chǎn);數(shù)據(jù)黑產(chǎn)在過去十年里蓬勃發(fā)展，讓每個人、每個企業(yè)和國家的數(shù)據(jù)面臨著巨大威脅;只有合理地處理好數(shù)據(jù)資產(chǎn)的使用與安全，企業(yè)與國家才能在新的數(shù)據(jù)時代穩(wěn)健而高速發(fā)展。對于敏感數(shù)據(jù)的安全管理和使用，是數(shù)據(jù)安全治理的核心主題。

數(shù)據(jù)安全治理的核心內(nèi)容

數(shù)據(jù)安全治理的核心內(nèi)容，首先是來自對數(shù)據(jù)的有效理解和分析，對數(shù)據(jù)進行不同類別和密級的劃分 ;根據(jù)數(shù)據(jù)的類別和密級制定不同的管理和使用原則，盡可能對數(shù)據(jù)做到有差別和針對性的防護，實現(xiàn)在適當安全保護下的數(shù)據(jù)自由流動。

在數(shù)據(jù)分級和分類后，重要的是要描述數(shù)據(jù)的特征，以及這些數(shù)據(jù)在系統(tǒng)內(nèi)的分布，了解這些數(shù)據(jù)在被誰訪問，這些人是如何使用和訪問數(shù)據(jù)的，這就需要完整的數(shù)據(jù)梳理過程。

在數(shù)據(jù)有效梳理的基礎上，我們需要制定出針對不同數(shù)據(jù)、不同使用者的管理控制措施 ;數(shù)據(jù)的管控包含數(shù)據(jù)的收集、存儲、使用、分發(fā)和銷毀。除了數(shù)據(jù)管控，我們還需要有效地對數(shù)據(jù)的訪問行為進行日志記錄，對收集的日志記錄進行定期地合規(guī)性分析和風險分析。

數(shù)據(jù)安全治理框架

在數(shù)據(jù)安全治理中，首要任務是成立專門的安全治理團隊，保證數(shù)據(jù)安全治理工作能夠長期持續(xù)的得以執(zhí)行。同時數(shù)據(jù)安全治理要明確數(shù)據(jù)治理相關的工作部門和角色(受眾)，使數(shù)據(jù)治理工作能夠有的放矢。

數(shù)據(jù)安全治理的策略和流程，要以文件的形式明確企業(yè)(組織)內(nèi)部的敏感數(shù)據(jù)有哪些，敏感數(shù)據(jù)進行分類和分級，對不同類別和級別的敏感數(shù)據(jù)的管理控制原則，不同的工作部門和角色所具有的權(quán)限，數(shù)據(jù)使用的不同環(huán)節(jié)所要遵循的控制流程。

數(shù)據(jù)安全治理的技術支撐，是要明確在管理控制過程中，采用什么樣的技術手段幫助實現(xiàn)數(shù)據(jù)的安全管理過程;這些技術手段可以包括數(shù)據(jù)的梳理、數(shù)據(jù)的訪問控制、數(shù)據(jù)的保護、數(shù)據(jù)的脫敏和分發(fā)、數(shù)據(jù)的審計、數(shù)據(jù)訪問的風險分析。

數(shù)據(jù)安全治理與傳統(tǒng)安全概念的差異

為了更加有效地理解數(shù)據(jù)安全治理概念與傳統(tǒng)數(shù)據(jù)安全的差異，我們可以與傳統(tǒng)安全理念進行一個比較：

在整個數(shù)據(jù)安全治理理念中，在組織保障方面首先需要成立數(shù)據(jù)安全治理的組織機構(gòu)，確保數(shù)據(jù)安全治理工作在組織內(nèi)能真正地落地。下一篇文章，我們將重點對數(shù)據(jù)安全治理的組織與受眾進行重點闡述。

【本文是51CTO專欄作者“安華金和”的原創(chuàng)稿件，轉(zhuǎn)載請聯(lián)系原作者】

戳這里，看該作者更多好文