搜索

[14266] 2019-06-24_DSMM数据安全能力成熟度模型试点评估实践体会

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-06-24_DSMM数据安全能力成熟度模型试点评估实践体会 D S M M 数 据 安 全 能 力 成 熟 度 模 型 试 点 评 估 实 践 体 会 F r e e B u f   2 0 1 9 - 0 6 - 2 4 以 下 文 章 来 源 于 F r e e B u f 企 业 安 全   ， 作 者 R a i n b o w 前 言 ： 笔 者 所 在 公 司 有 幸 作 为 首 批 十 家 试 点 单 位 之 一 ， 受 邀 参 加 国 家 标 准 《 前 言 ： 笔 者 所 在 公 司 有 幸 作 为 首 批 十 家 试 点 单 位 之 一 ， 受 邀 参 加 国 家 标 准 《 D S M M   数 据 安 全 能 力 成 熟 度 模 数 据 安 全 能 力 成 熟 度 模 型 》 （ 报 批 稿 ） （ 以 下 简 称 型 》 （ 报 批 稿 ） （ 以 下 简 称   D S M M ） 的 试 点 自 评 估 项 目 ， 并 作 为 试 点 企 业 代 表 参 加 了 信 安 标 委 召 开 的 试 点 工 ） 的 试 点 自 评 估 项 目 ， 并 作 为 试 点 企 业 代 表 参 加 了 信 安 标 委 召 开 的 试 点 工 作 总 结 会 ； 下 面 分 享 下 我 们 对 作 总 结 会 ； 下 面 分 享 下 我 们 对   D S M M   标 准 的 一 些 理 解 和 试 点 体 会 。 标 准 的 一 些 理 解 和 试 点 体 会 。 一 、 什 么 是 一 、 什 么 是   D S M M D S M M   标 准 以 数 据 为 中 心 ， 重 点 围 绕 数 据 生 命 周 期 ， 从 组 织 建 设 、 制 度 流 程 、 技 术 工 具 和 人 员 能 力 四 个 方 面 进 行 安 全 保 障 。 D S M M   标 准 关 注 企 业 自 身 业 务 产 生 的 数 据 和 与 外 部 第 三 方 组 织 交 互 的 数 据 ， 以 衡 量 组 织 机 构 的 数 据 安 全 能 力 ， 促 进 组 织 机 构 了 解 并 提 升 自 身 的 数 据 安 全 水 平 。 D S M M   标 准 原 文 数 据 安 全 能 力 成 熟 度 模 型 架 构 如 图   1   如 示 ： F r e e B u f 企 业 安 全 企 业 安 全   . 专 注 企 业 安 全 的 精 品 内 容 分 享 平 台 ， 聚 焦 热 点 企 业 安 全 话 题 与 策 略 方 案 ， 助 推 企 业 安 全 建 设 发 展 。
图   1 ： 数 据 安 全 能 力 成 熟 度 模 型 架 构 图 P S : 本 文 对   D S M M   标 准 的 介 绍 如 无 特 别 说 明 ， 均 依 据   2 0 1 8 . 1 1 . 0 9   报 批 稿 版 本 。 如 图   1   所 示 ， D S M M   标 准 包 括 ： 四 四 大 安 全 能 力 维 度 （ 组 织 建 设 、 制 度 流 程 、 技 术 工 具 、 人 员 能 力 ） ； 七 七 大 数 据 安 全 过 程 维 度 （ 数 据 采 集 安 全 、 数 据 传 输 安 全 、 数 据 存 储 安 全 、 数 据 处 理 安 全 、 数 据 交 换 安 全 、 数 据 销 毁 安 全 、 通 用 安 全 ） ； 五 五 5 级 （ 从 低 到 高 依 次   1 - 5   级 ） ， D S M M   标 准 对 不 同 等 级 进 行 了 定 义 和 描 述 ， 3   级 标 准 共 计   2 8 2   个 评 估 项 。 七 七 大 过 程 维 度 又 可 细 分 为 共   3 0   个 过 程 域 ， 7   大 过 程 维 度 与   3 0   个 过 程 域 对 应 关 系 如 图   2   所 示 ：
图   2 ： 数 据 安 全 过 程 域 体 系 如 图   2   所 示 ， 每 个 过 程 域 均 划 分 为   5   级 ， 每 级 从   4   个 安 全 能 力 维 度 （ 组 织 建 设 、 制 度 流 程 、 技 术 工 具 、 人 员 能 力 ） 提 出 具 体 的 能 力 要 求 ； 并 非 每 级 均 包 含 完 整 的   4   个 维 度 的 能 力 要 求 ， 如 图   2   所 示 ， 在   6 . 1   P A 0 1   P A 0 1   数 据 分 类 分 级 这 一 过 程 域 中 ， 仅   3   级 要 求 包 含 完 整 的   4   个 维 度 的 要 求 ；
对 于 每 个 数 据 安 全 过 程 域 ， 高 等 级 的 能 力 要 求 包 括 所 有 低 等 级 能 力 要 求 ， 针 对 某 一 具 体 数 据 安 全 过 程 域 ， 如 果   5   级 的 能 力 要 求 中 未 涉 及 某 一 关 键 能 力 的 内 容 ， 则 默 认 需 达 成 在   4   级 的 能 力 要 求 中 的 该 关 键 能 力 的 内 容 ， 依 此 内 推 。 D S M M   标 准 和 标 准 和   I S O 2 7 0 0 0   标 准 、 等 保 标 准 有 何 相 同 ， 又 有 何 不 同 ？ 标 准 、 等 保 标 准 有 何 相 同 ， 又 有 何 不 同 ？ 等 保 标 准 以 备 案 系 统 为 主 要 评 估 对 象 ， 偏 向 传 统 基 础 安 全 管 理 ， 侧 重 于 物 理 安 全 、 网 络 安 全 、 安 全 建 设 管 理 等 方 面 的 安 全 保 护 。 I S O 2 7 0 0 0   侧 重 于 信 息 安 全 管 理 体 系 的 建 设 ， 作 为 体 系 化 的 指 导 文 件 帮 助 企 业 建 立 、 实 施 和 文 件 化 信 息 安 全 管 理 体 系 （ I S M S ） 的 要 求 。 D S M M   强 调 数 据 保 护 ， 以 数 据 为 中 心 ， 在 数 据 备 份 、 数 据 销 毁 等 方 面 与 等 保 和   I S O 2 7 0 0 0   有 重 合 ， 但 是   D S M M   关 注 的 数 据 采 集 、 溯 源 、 分 析 等 视 角 ， 等 保 和   I S O 2 7 0 0 0   均 未 涉 及 ， D S M M   对 制 度 流 程 的 要 求 均 建 立 在 具 体 的 数 据 保 护 过 程 之 上 ， D S M M   还 强 调 对 人 员 能 力 的 评 估 。 D S M M   标 准 与 等 保 一 样 有 分 级 的 概 念 ， 但 关 注 的 是 数 据 整 个 生 命 周 期 的 安 全 控 制 ， 与 业 务 贴 合 更 紧 密 。 D S M M   可 以 给 企 业 带 来 什 么 好 处 ？ 可 以 给 企 业 带 来 什 么 好 处 ？ D S M M   标 准 可 为 组 织 机 构 在 不 同 阶 段 ， 开 展 数 据 保 护 建 设 ， 提 供 分 级 别 的 基 本 实 践 。 二 、 如 何 开 展 二 、 如 何 开 展   D S M M   评 估 ？ 评 估 ？ D S M M   评 估 的 是 整 个 组 织 机 构 的 数 据 成 熟 能 力 ， 不 局 限 于 某 一 系 统 ， 如 果 公 司 业 务 复 杂 ， 数 据 规 模 较 大 ， 建 议 按 照 业 务 部 门 进 行 拆 分 ， 逐 个 击 破 。 我 们 在   D S M M   标 准 评 估 过 程 中 评 估 流 程 如 下 。 在 具 体 实 践 中 ， 我 们 按 照 不 同 的 业 务 部 门 ， 分 别 进 行 评 估 。 首 先 敲 定 各 业 务 部 门 的 负 责 人 ， 由 该 负 责 人 辅 助 评 估 过 程 中 的 资 源 协 调 工 作 。 然 后 我 们 与 各 部 门 负 责 人 一 起 梳 理 基 本 业 务 流 程 ， 结 合   D S M M   的 过 程 域 ， 按 照 线 上 生 产 数 据 和 线 下 离 线 数 据 两 条 线 ， 确 定 各 过 程 域 的 访 谈 部 门 和 访 谈 人 员 ， 随 着 评 估 工 作 的 开 展 ， 具 体 访 谈 人 员 会 持 续 增 加 。 D S M M   实 际 访 谈 对 象 主 要 为 开 发 和   I T   人 员 ， 包 括 开 发 、 D B A 、 桌 面 等 公 共 团 队 ， 也 涉 及 到 对 产 品 、 运 营 、 H R 、 业 务 等 岗 位 人 员 的 访 谈 评 估 。 因 为 评 估 项 较 多 ， 评 估 人 员 需 仔 细 研 读   D S M M   的 评 估 项 ， 提 前 对 评 估 项 进 行 总 结 归 纳 ， 信 安 标 委 后 续 提 供 的 在 线 自 评 估 工 具 也 可 作 为 评 估 辅 助 工 具 。 为 了 工 作 更 高 效 开 展 ， 在 开 展   D S M M   评 估 之 前 ， 我 们 编 制 了   D S M M   评 估 工 具 检 查 表 ， 如 图   3   所 示 ： 6 . 1   P A 0 1   数 据 分 类 分 级 过 程 域 描 述 ： 过 程 域 描 述 ： 基 于 法 律 法 规 以 及 业 务 需 求 确 定 组 织 机 构 内 部 的 数 据 分 类 分 级 方 法 ， 对 生 成 或 收 集 的 数 据 进 行 分 类 分 级 标 示 。
图 图 3 ： ： D S M M   A s s e s s m e n t   T o o l （ 左 右 滑 动 查 看 全 图 ） （ 左 右 滑 动 查 看 全 图 ） 三 、 三 、 D S M M   评 估 过 程 中 可 能 遇 到 的 问 题 评 估 过 程 中 可 能 遇 到 的 问 题 D S M M   评 估 结 果 ， 与 评 估 人 员 对 标 准 的 理 解 有 很 大 关 系 ， 如 何 更 好 的 理 解 评 估 结 果 ， 与 评 估 人 员 对 标 准 的 理 解 有 很 大 关 系 ， 如 何 更 好 的 理 解   D S M M   的 要 求 并 很 好 的 传 达 给 被 评 估 人 的 要 求 并 很 好 的 传 达 给 被 评 估 人 员 ？ 员 ？ 建 议 ： 评 估 人 员 对 标 准 进 行 归 纳 提 炼 ， 参 考   D S M M   评 估 指 南 进 行 理 解 消 化 ， 与 被 评 估 人 员 进 行 交 流 时 进 行 发 散 引 导 ， 不 宜 直 接 照 本 宣 读   D S M M   的 评 估 项 。 D S M M   评 估 结 果 ， 受 限 于 评 估 覆 盖 的 范 围 和 深 度 ， 以 及 被 评 估 人 员 的 配 合 情 况 。 评 估 结 果 ， 受 限 于 评 估 覆 盖 的 范 围 和 深 度 ， 以 及 被 评 估 人 员 的 配 合 情 况 。 建 议 ： 评 估 人 员 应 提 前 做 好 相 关 准 备 ， 提 前 了 解 业 务 基 本 情 况 和 基 本 工 具 ， 做 到 心 中 有 数 ， 访 谈 范 围 尽 量 全 面 ； 选 择
被 访 谈 对 象 时 尽 量 选 择 熟 悉 业 务 场 景 的 资 深 人 员 ， 对 访 谈 者 反 馈 的 情 况 需 进 行 基 本 验 证 ， 如 现 场 查 看 、 文 档 查 阅 等 。 总 体 来 说 ， D S M M   标 准 为 企 业 的 数 据 生 命 周 期 的 安 全 提 供 了 比 较 好 的 实 践 要 求 ， 但 是 目 前   D S M M   标 准 报 批 稿 也 存 在 着 一 些 小 问 题 ， 如 部 分 评 估 项 晦 涩 难 懂 或 者 冗 长 或 者 描 述 不 清 晰 ， 企 业 的 数 据 成 熟 能 力 需 要 达 到 什 么 级 别 ， 该 级 别 对 企 业 又 意 味 着 什 么 ， 目 前 的 评 估 指 南 与   D S M M   评 估 标 准 也 存 在 差 距 。 相 信 在 信 安 标 委 正 式 发 布 该 标 准 时 ， 以 上 问 题 会 得 到 有 效 解 决 ， 会 有 更 清 晰 详 细 的 评 估 指 南 和 工 具 指 导 企 业 进 行 落 地 评 估 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： R a i n b o w 2 0 1 9 ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理