数据安全治理——发挥主导作用的组织与受众

数据安全治理——发挥主导作用的组

织与受众

引言：数据安全治理是由组织中分工明确的人来主导实施的一项系统性工程。该项工作得以良好运作有赖于三大要素：人员组织、策略流程和技术工具。

一. 数据安全治理机构

数据安全治理工作的展开首先要成立专门的数据安全治理机构，以明确数据安全治理的政策、落实和监督由谁长期负责，以确保数据安全治理的有效落实。

通常，我们可以将成立的机构称之为“数据安全治理委员会”或“数据安全治理小组”，该机构并非传统意义上的实体机构，属于一个虚拟的机构，机构成员由数据的利益相关者和专家构成，这里之所以称之为利益相关者，是因为这些人可能不仅仅是数据的使用者，也是数据本身的代表者（比如用户），数据的所有者，数据的责任人。

数据安全治理委员会或数据安全治理小组这个机构本身既是安全策略、安全规范和安全流程的制定者，也是安全策略、规范和流程的受众。

在DGPC 框架中这个机构一般称之为DGPC 团队，或者叫Data Stewards，这个团队的职责是：This is a virtual organization whose members are collectively responsible for defining principles, policies and procedures that govern key aspects of data classification, protection, use and management.

①制定数据分类、保护、使用、管理的原则

②制定数据分类、保护、使用、管理的策略

③制定数据分类、保护、使用、管理的流程

这个团队的构成是：IT, human resources, legal and finance departments as well as business groups and the marketing department—in short, any group with a stake in collecting, processing, using and managing personally identifiable information (PII), intellectual property, trade secrets and other types of confidential information.（IT、人资、法务、财务、业务和市场部门等所有与人、知识产权、私密信息相关的部门）

二. 机构五大责任

数据安全治理的正式机构的成立，标志着一个组织在数据安全治理工作上的正式启动，使组织内数据安全规范制定、数据安全技术导入、数据安全体系建设得以不断完善。数据安全治理机构成立后，需要完成以下职责：

（1）数据的分级分类原则的制定

数据的分级分类原则，往往是数据安全治理机构成立后要解决的核心问题。只有先制定合理有效的分级分类原则，才能在纷杂广袤的数据中，明确出核心敏感数据、次要敏感数据、公开共享数据，从而基于此再设定数据的不同分享策略和原则。

（2）数据安全使用（管理）规范的制定

数据安全使用规范的制定，标志着数据安全治理进入到一个规范化的阶段，有了可靠的演进框架。

在这个阶段的初期，要完成敏感数据的分布梳理、内部角色的梳理、数据的使用状况梳理。基于此，了解清楚不同类别的敏感数据是如何被相关者使用的。

中期，要完成在现状基础上的安全分析，要明确常规合理、合法行为；要明确风险、非法的行为；要明确在特定情况下数据访问越级的审批结构。

最后，我们要清晰有序地将这些角色、访问过程的控制要求明确为受整个组织认可的文件，以官方的形式正式下发。

（3）数据安全治理技术的导入

数据已经成为人类历史上积累出来的最大资产和财富，数据安全规范的执行，不可能依托于人工的方式完成，任何依托于人工的方式，都是不可想象的。

必须要引入大量的现代化的技术和工具，帮助完成数据的梳理、控制、行为监控和风险预警。

（4）数据安全使用规范的监督执行

作为数据安全治理中的核心机构，信息部门在数据安全管理规范制定完成后，最重要的是职责是监督规范的执行，处理异常和风险行为。

而数据安全治理中的相关业务和使用部门，职责在于将安全管理规范在本部门内落地、执行。

（5）数据安全治理的持续演进

数据安全治理不是一蹴而就的事情，有了首期的框架后，我们要根据执行中所面临的风险状况、安全事件、组织架构调整、业务系统上线等，完成对安全治理中的安全管理规范、技术支撑平台的演进。

三. 数据安全治理受众

数据安全治理人员中的另一个关键角色就是数据安全的受众，这些受众涵盖了数据安全策略、规范和流程的执行者和被管理者；数据的使用者、管理者、维护者、分发者。实际上，大多数数据利益相关者都属于数据安全治理的受众。

常见的组织中与数据相关的部门包括：

安全管理部门：安全制度制定、安全检查、技术导入、事件监控与处理

业务部门：业务人员安全管理、业务人员行为审计、业务合作方管理

运维部门：运维人员行为规范与管理、运维行为审计、运维第三方管理

其它：第三方外包、人事、采购、审计等部门

部门内不同角色在数据安全治理中的职责，一般包括：

安全管理部门：政策制定者、检查与审计管理、技术导入者

业务部门：根据单位的业务职能划分

运维部门：运行维护、开发测试、生产支撑

四. 组织框架举例

以某政府部门的数据安全治理组织框架为例：

图1某政府部门的数据安全治理组织框架图

图2 某运营商的数据安全治理的相关组织和角色结构图

以某运营商搭建的数据安全治理组织框架为例：业务管理部门、信息安全部门、运维支撑部门，以及企业信息部、审计部组成的其他部门等都是直接接触数据的核心部门，无论是借助数据来开展正常的业务工作，还是对信息数据进行安全防护，亦或参与数据的测试、开发、共享和维护，都已经是肩负起了数据安全的保护义务和责任，这些受众的日常工作行为需要在既定的数据安全策略与规范下展开，遵从数据安全流程来共同参与数据安全的治理工作。

五. 结语

人或者团队是一切工作的核心，确定好数据安全治理的组织架构、角色分工，才能进一步明确权责，形成科学合理的管理秩序，继而保障数据安全治理工作可以井然有序的推进下去。

出师表

两汉：诸葛亮

先帝创业未半而中道崩殂，今天下三分，益州疲弊，此诚危急存亡之秋也。然侍卫之臣不懈于内，忠志之士忘身于外者，盖追先帝之殊遇，欲报之于陛下也。诚宜开张圣听，以光先帝遗德，恢弘志士之气，不宜妄自菲薄，引喻失义，以塞忠谏之路也。

宫中府中，俱为一体；陟罚臧否，不宜异同。若有作奸犯科及为忠善者，宜付有司论其刑赏，以昭陛下平明之理；不宜偏私，使内外异法也。

侍中、侍郎郭攸之、费祎、董允等，此皆良实，志虑忠纯，是以先帝简拔以遗陛下：愚以为宫中之事，事无大小，悉以咨之，然后施行，必能裨补阙漏，有所广益。

将军向宠，性行淑均，晓畅军事，试用于昔日，先帝称之曰“能”，是以众议举宠为督：愚以为营中之事，悉以咨之，必能使行阵和睦，优劣得所。

亲贤臣，远小人，此先汉所以兴隆也；亲小人，远贤臣，此后汉所以倾颓也。先帝在时，每与臣论此事，未尝不叹息痛恨于桓、灵也。侍中、尚书、长史、参军，此悉贞良死节之臣，愿陛下亲之、信之，则汉室之隆，可计日而待也。

臣本布衣，躬耕于南阳，苟全性命于乱世，不求闻达于诸侯。先帝不以臣卑鄙，猥自枉屈，三顾臣于草庐之中，咨臣以当世之事，由是感激，遂许先帝以驱驰。后值倾覆，受任于败军之际，奉命于危难之间，尔来二十有一年矣。

先帝知臣谨慎，故临崩寄臣以大事也。受命以来，夙夜忧叹，恐托付不效，以伤先帝之明；故五月渡泸，深入不毛。今南方已定，兵甲已足，当奖率三军，北定中原，庶竭驽钝，攘除奸凶，兴复汉室，还于旧都。此臣所以报先帝而忠陛下之职分也。至于斟酌损益，进尽忠言，则攸之、祎、允之任也。

愿陛下托臣以讨贼兴复之效，不效，则治臣之罪，以告先帝之灵。若无兴德之言，则责攸之、祎、允等之慢，以彰其咎；陛下亦宜自谋，以咨诹善道，察纳雅言，深追先帝遗诏。臣不胜受恩感激。

今当远离，临表涕零，不知所言。