續：企業資料安全建設思考之關鍵流程

      資料安全建設的關鍵流程（步驟）（部分引用CISP-DSG以及廠家說明）

        這裡我們隻針對關鍵領域的進行說明，并不能涵蓋所有的領域 ，如有需要可以參考相關一些的成熟度 模型或是業内最佳實踐來進行比對，以更好的應對适合我們目前環境的資料安全建設。

        做資料安全不像其他網絡安全，通過一個産品和一些配套政策基礎的網絡安全環境 就此建設起來，生下來 就根據具體的業務需求進行調整和優化，它與業務的關系來說，目前并非有相關聯的地方，但是對于資料安全則不同，資料安全的對象就是資料，也就是業務的核心，是以從 另一側也說明了其重要性，以及和業務的強關聯關系，是有牽一發而動全身的效應在裡面，是以我們 需要循序漸進的方式進行推進。

　　關鍵一：資料安全治理評估

　　差別于合規要求的網絡安全建設，資料安全保障體系應建立在事實依據的基礎上，才能對自身業務最核心的資料安全風險采取技防監測、控制手段解決，是以第一步，即開展資料風險發現過程-資料安全治理評估。在知己知彼的情況對資料安全進行規劃。

　　通過資料安全治理專家團隊，從業務視角出發，對業務應用的現狀、使用情況進行調研、分析，确定業務的關聯關系、通路的關鍵路徑、資料的流向及演變過程，結合對基礎安全管控措施的分析，找出主要業務所面臨的管理、技術及營運風險。其次，集合多個業務系統的調研結果，找出系統間的共性問題，為制定業務的資料安全管理規範提供第一手的參考依據。針對業務各系統及資料資産全面開展評估梳理工作，形成《資料資産清單》，明确相關平台各系統的輸入輸出，資料所在位置及其處理、共享、交換等使用過程中資料重要度等内容。

　　基于業務場景梳理資料操作過程中的主體（人、使用者、賬号）、客體（資料）、過程（操作的時域、地域、權限、結果等）屬性；以角色控制為視角，明确被審計使用者（賬号）的類型、角色，包括應用程式所有者（業務賬号）、應用程式終端使用者（業務終端）、資料管理賬戶（資料庫管理者）等；建立符合業務最小夠用的安全政策模型。

　　關鍵二：資料安全組織結建構設

　　資料安全管理是一項需要多方關聯型的複合型工作，在開展組織架建構設時，需要考慮組織層面實體的管理團隊及執行團隊，同時也要考慮虛拟的關聯小組，所有部門均需要參與安全建設當中。同時，需要根據部門職責建立不同的資料安全角色以滿足資料安全建設的需求。

　　關鍵三：資料安全管理制度建設

　　前期的資料安全組織結構體系建設為後續資料安全建設提供了角色支撐，接下來需要從管理制度手段上進行梳理。資料安全保障體系的規範一般從業務資料安全需求、資料安全風險控制需要及法律法規合規性要求等幾個方面進行梳理，最終确定資料安全防護的目标、管理政策及具體的标準、規範、程式等。

　　一般情況下，資料安全管理規體系檔案可分為四個層面：

• 一級檔案是由決策層确定管理要求、目标及基本原則；
• 二級檔案是由管理層根據一級管理要求制定通用的管理辦法、制度及标準。二級檔案作為上層的管理要求，應具備科學性、合理性、完善性及普遍的适用性；
• 三級檔案一般由管理層、執行層根據二級管理辦法确定各業務、各環節的具體操作指南、規範；
• 四級檔案屬于輔助檔案，一般包括操作程式、工作計劃、資産清單、過程記錄等過程性文檔。四級檔案是對上層管理要求的細化解讀，用于指導具體業務場景的具體工作。

　　例如，資料安全分級指南的建設過程屬于資料安全管理制度建設中最為基礎的一環，首先要從行業中找到參考的資料分類分級指南（若沒有，可采用國标等相關具備參考價值的指南），其次結合自身業務實際情況，對業務資料進行管理層面的分類分級流程，最後基于自身的業務場景，形成自身的資料安全分級指南。

　　關鍵四：資料安全技術保護體系建設

　　不同安全級别的資料，可參照資料生命周期的原則進行資料安全應用執行。具體保護要求及措施，可參照國家相關法律、法規、标準及自身的資料安全相關管理制度、規範、标準執行。

　　關鍵五：資料安全營運管控建設

• 資料安全運維：主要是資料安全措施的使用、運維，駐場或定期對資料安全産品的使用情況進行分析，并結合管理要求，持續進行管控措施政策和配置的優化，并定期輸出資料安全運維報告和政策優化建議等；
• 應急預案與演練：按照相關要求，制定資料安全事件應急預案。并按照制定的應急規劃，按照安全事件的危害程度、影響範圍等對安全事件建分級，定期進行應急預案演練；
• 監測預警：圍繞資料安全目标，依據相關安全标準，建立資料安全監測預警和安全事件通報制度，收集分析資料安全資訊，對安全風險及時上報，包括按需釋出資料安全監測預警資訊等；
• 應急處置：相關方按照應急預案，在發生安全事件時，采取應急處置措施，向主管部門上報重大安全事件，定期對應急預案和處置流程優化完善；
• 災難恢複：在資料安全事件發生後，根據安全事件的影響和優先級，采取合适的恢複措施，確定資訊系統業務流程按照規劃目标恢複。