隨著《中華人民共和國(guó)數(shù)據(jù)安全法》、《中華人民共和國(guó)個(gè)人信息保護(hù)法》的正式實(shí)施，數(shù)據(jù)安全已經(jīng)成為企業(yè)數(shù)據(jù)管理和開發(fā)利用過(guò)程中最核心的問(wèn)題之一，其范圍也擴(kuò)大到安全和隱私兩個(gè)層面。在更為嚴(yán)格的監(jiān)管要求及數(shù)據(jù)安全規(guī)范化管理的驅(qū)使下，企業(yè)數(shù)據(jù)安全管理工作面臨更高的管理要求及復(fù)雜度挑戰(zhàn)。
數(shù)據(jù)資產(chǎn)管理新模式
高效的企業(yè)數(shù)據(jù)資產(chǎn)運(yùn)營(yíng)管理需要對(duì)數(shù)據(jù)資產(chǎn)進(jìn)行分類分級(jí)，數(shù)據(jù)安全管理管控的基礎(chǔ)也需要圍繞數(shù)據(jù)分類分級(jí)來(lái)進(jìn)行，因此數(shù)據(jù)分類分級(jí)的管理難免成了企業(yè)數(shù)據(jù)管理乃至數(shù)字化轉(zhuǎn)型過(guò)程中非常重要的一環(huán)。
那如何從數(shù)據(jù)資產(chǎn)安全運(yùn)營(yíng)管理的角度來(lái)提升企業(yè)數(shù)據(jù)安全管理的能力呢？我們的建議是在企業(yè)清晰準(zhǔn)確的數(shù)據(jù)資產(chǎn)清單的基礎(chǔ)上，建立以數(shù)據(jù)安全為目標(biāo)的分類分級(jí)管理體系，同時(shí)將數(shù)據(jù)安全運(yùn)營(yíng)所必須的數(shù)據(jù)安全權(quán)責(zé)管理和數(shù)據(jù)訪問(wèn)權(quán)限管理結(jié)合起來(lái)，形成企業(yè)數(shù)據(jù)安全防護(hù)策略的統(tǒng)一標(biāo)準(zhǔn)和接口，并把這些標(biāo)準(zhǔn)和接口作為數(shù)據(jù)資產(chǎn)安全運(yùn)營(yíng)管理的基礎(chǔ)架構(gòu)輸出給企業(yè)的業(yè)務(wù)系統(tǒng)和安全管理軟件。
通過(guò)數(shù)據(jù)資產(chǎn)的安全運(yùn)營(yíng)管理中心可以幫助數(shù)據(jù)安全的運(yùn)營(yíng)者滿足數(shù)字資產(chǎn)的管理、數(shù)據(jù)安全的管理、數(shù)據(jù)權(quán)責(zé)的管理、數(shù)據(jù)安全策略的定制需求，同時(shí)又能把數(shù)據(jù)安全的能力作為一個(gè)公司統(tǒng)一的標(biāo)準(zhǔn)進(jìn)行輸出，賦能給需要進(jìn)行權(quán)限查詢的業(yè)務(wù)系統(tǒng)、安全軟件、安全網(wǎng)關(guān)、數(shù)據(jù)庫(kù)防火墻、終端管控軟件等。
建設(shè)企業(yè)數(shù)據(jù)安全底座的最大價(jià)值在于，建立以數(shù)據(jù)資產(chǎn)安全為核心的平臺(tái)，將數(shù)據(jù)安全最關(guān)鍵的安全管理信息匯總并統(tǒng)一管理后，可以連接所有業(yè)務(wù)平臺(tái)、關(guān)聯(lián)企業(yè)所有數(shù)據(jù)資產(chǎn)，并對(duì)所有的業(yè)務(wù)系統(tǒng)提供統(tǒng)一的數(shù)據(jù)資產(chǎn)安全管理基準(zhǔn)。
數(shù)據(jù)安全底座的架構(gòu)設(shè)計(jì)
通過(guò)對(duì)于數(shù)據(jù)資產(chǎn)安全屬性以及用戶賬戶訪問(wèn)權(quán)限的關(guān)聯(lián)，可以準(zhǔn)確識(shí)別企業(yè)任何一條數(shù)據(jù)資產(chǎn)的安全屬性，如此就具備了企業(yè)數(shù)據(jù)安全底座的標(biāo)準(zhǔn)輸出能力和賦能能力。
企業(yè)數(shù)據(jù)安全底座的功能主要包括資產(chǎn)管理、權(quán)限管理、權(quán)責(zé)認(rèn)定、分類分級(jí)、安全策略、安全賦能。
資產(chǎn)管理：
數(shù)據(jù)安全治理關(guān)鍵是以數(shù)據(jù)資產(chǎn)為基礎(chǔ)的安全管控，因此數(shù)據(jù)資產(chǎn)管理是進(jìn)行治理的前提。通過(guò)數(shù)據(jù)資產(chǎn)管理工具自動(dòng)采集將企業(yè)的結(jié)構(gòu)化、半結(jié)構(gòu)化以及非結(jié)構(gòu)化的資產(chǎn)進(jìn)行盤點(diǎn)，形成數(shù)據(jù)資產(chǎn)目錄。
權(quán)責(zé)認(rèn)定：
數(shù)據(jù)安全治理涉及安全專家、業(yè)務(wù)人員、數(shù)據(jù)管理人員等多種崗位的共同參與，如何能讓不同的參與人員專注于自己的職責(zé)、同時(shí)又不影響整體工作開展，如何讓多種角色的人員高效、簡(jiǎn)單的協(xié)同工作，如何在問(wèn)題發(fā)生時(shí)快速、準(zhǔn)確的找到相關(guān)負(fù)責(zé)人、并解決問(wèn)題？隨著數(shù)據(jù)安全治理管控的數(shù)據(jù)資產(chǎn)范圍不斷擴(kuò)大、管控力度加深，這些問(wèn)題嚴(yán)重影響安全治理的進(jìn)度和效果。通過(guò)大量的實(shí)踐經(jīng)驗(yàn)來(lái)看，建立權(quán)責(zé)體系是解決這一問(wèn)題的有效手段。通過(guò)工具快速建立人員、管控事項(xiàng)、管理職責(zé)的關(guān)系。同時(shí)支持權(quán)責(zé)關(guān)系的變更、預(yù)警等運(yùn)營(yíng)維護(hù)保證該關(guān)系持續(xù)有效。
分類分級(jí)：
分類分級(jí)是數(shù)據(jù)安全治理的核心，在企業(yè)的經(jīng)驗(yàn)中通常人工標(biāo)記的方式執(zhí)行。但是人工標(biāo)記的方式一方面會(huì)因?yàn)椴煌说睦斫獠煌斐赏粋€(gè)資產(chǎn)標(biāo)記等級(jí)不一樣。另一方面隨著企業(yè)的資產(chǎn)數(shù)在不斷增加，人工標(biāo)記的效率已經(jīng)無(wú)法滿足業(yè)務(wù)使用。因此在分類分級(jí)過(guò)程中要采用系統(tǒng)工具自動(dòng)化的進(jìn)行分類分級(jí)。在實(shí)踐中，一種比較好的模式是分類分級(jí)工具根據(jù)數(shù)據(jù)資產(chǎn)目錄信息分類定級(jí)，在定級(jí)過(guò)程中對(duì)于無(wú)法自動(dòng)定級(jí)的數(shù)據(jù)資產(chǎn)結(jié)合權(quán)責(zé)關(guān)系人工定級(jí)。通過(guò)任務(wù)、模型驅(qū)動(dòng)流程化的方式推動(dòng)多方角色協(xié)同，共同完成分類分級(jí)、敏感數(shù)據(jù)資產(chǎn)的識(shí)別。
權(quán)限管理：
隨著數(shù)據(jù)應(yīng)用的場(chǎng)景日益增加，管理數(shù)據(jù)的使用權(quán)限成為數(shù)據(jù)安全治理的關(guān)鍵。在數(shù)據(jù)安全治理過(guò)程中需要基于數(shù)據(jù)資產(chǎn)的分類分級(jí)結(jié)果進(jìn)行統(tǒng)一數(shù)據(jù)權(quán)限管理。保證管理人員可以給使用者進(jìn)行數(shù)據(jù)授權(quán)，數(shù)據(jù)使用者可以申請(qǐng)數(shù)據(jù)的使用權(quán)限。
安全策略：
對(duì)于數(shù)據(jù)資產(chǎn)，不同生命周期階段需要不同的數(shù)據(jù)管控策略，同一階段不同使用場(chǎng)景的管控策略也不相同。企業(yè)在管理過(guò)程中通常是采用不同的安全防護(hù)工具進(jìn)行單獨(dú)管理的管理方式，這容易造成管控力度不統(tǒng)一，同一個(gè)數(shù)據(jù)鏈路中部分環(huán)節(jié)過(guò)于嚴(yán)格，部分環(huán)節(jié)過(guò)于松懈。因此，安全策略管理中，需要充分利用分類定級(jí)的結(jié)果，以數(shù)據(jù)安全等級(jí)為基礎(chǔ)進(jìn)行管控，建立統(tǒng)一的數(shù)據(jù)管控標(biāo)準(zhǔn)，為各個(gè)環(huán)節(jié)的安全工具提供目標(biāo)資產(chǎn)的標(biāo)準(zhǔn)。
安全賦能模塊：
數(shù)據(jù)安全管控軟件和產(chǎn)品在對(duì)企業(yè)組織的業(yè)務(wù)系統(tǒng)及相關(guān)業(yè)務(wù)流程進(jìn)行管控時(shí)，都需要基于用戶賬戶對(duì)于數(shù)據(jù)資產(chǎn)的訪問(wèn)權(quán)限和分類分級(jí)的管控要求進(jìn)行識(shí)別，因此企業(yè)有必要建立統(tǒng)一的、基于數(shù)據(jù)資產(chǎn)和用戶賬戶權(quán)限的數(shù)據(jù)安全標(biāo)準(zhǔn)，只有建立統(tǒng)一的識(shí)別標(biāo)準(zhǔn)和識(shí)別接口，企業(yè)的所有的業(yè)務(wù)系統(tǒng)和安全軟件才可以具備精確的識(shí)別能力，從而實(shí)現(xiàn)精細(xì)化的數(shù)據(jù)安全管控效果，實(shí)現(xiàn)企業(yè)數(shù)據(jù)安全管控的最大價(jià)值。因此通過(guò)對(duì)企業(yè)業(yè)務(wù)系統(tǒng)、業(yè)務(wù)流程和安全軟件的賦能，可以極大的提高企業(yè)的數(shù)據(jù)安全管控能力，從根本上解決企業(yè)數(shù)據(jù)安全管控過(guò)程中的落地難問(wèn)題，解決企業(yè)安全軟件使用效力不及要求的問(wèn)題。
結(jié)語(yǔ)
企業(yè)建設(shè)數(shù)據(jù)安全底座后，數(shù)據(jù)資產(chǎn)安全管理運(yùn)營(yíng)中心可以更好地成為企業(yè)數(shù)據(jù)資產(chǎn)管理的核心平臺(tái)，讓企業(yè)更好的把握企業(yè)數(shù)據(jù)資產(chǎn)管理、企業(yè)數(shù)據(jù)分類分級(jí)管理、基于數(shù)據(jù)資產(chǎn)和訪問(wèn)權(quán)限的管理、企業(yè)數(shù)據(jù)資產(chǎn)的認(rèn)責(zé)管理、數(shù)據(jù)安全策略的統(tǒng)一輸出、安全賦能管理，形成圍繞企業(yè)重要核心數(shù)據(jù)資產(chǎn)的統(tǒng)一化、標(biāo)準(zhǔn)化安全管理體系，提升數(shù)據(jù)安全部門的安全管理能力和企業(yè)數(shù)據(jù)資產(chǎn)的管理水平，保障企業(yè)業(yè)務(wù)系統(tǒng)的安全價(jià)值。
