数据安全治理白皮书

数据安全治理白皮书

目录

前言 (1)

一、概述 (3)

1.1数据治理概念 (3)

1.2数据安全治理 (3)

1.3XX数据安全治理 (4)

二、全球数据安全标准化情况 (5)

2.1数据安全标准化总体情况 (5)

2.2国内数据安全标准化概述 (5)

2.3国际数据安全标准化概述 (7)

三、XX数据安全治理组织框架 (10)

3.1数据安全治理组织框架概述 (10)

3.2数据安全治理需求 (11)

3.3数据安全组织机构 (14)

3.4数据安全治理规划 (15)

3.5数据安全治理工具 (19)

四、XX数据安全治理建设流程 (22)

4.1数据安全治理建设流程概述 (22)

4.2价值数据分析 (23)

4.3数据分类分级 (24)

4.4数据发现分布 (24)

4.5数据安全风险评估 (25)

4.6数据安全策略 (25)

4.7数据安全防护 (26)

4.8数据安全运维 (26)

五、XX数据安全治理建议 (27)

5.1数据安全分类分级为起点 (28)

5.2数据生命周期安全为主线 (28)

5.3合规性评估数据安全为支撑 (29)

5.4数据场景安全治理应用 (30)

六、XX数据安全技术框架 (31)

七、结束语 (32)

前言

随着信息化技术的快速发展，互联网应用增长迅猛，与之相伴的信息安全风险飚升，特别是“棱镜门”事件，引起全球大部分国家对信息泄漏的关注，进而激发对信息安全风险的进一步重视；无论是欧盟、美国，还是日本、俄罗斯、韩国等许多国家都从国家安全、社会稳定、企业和个人信息安全层面出台相应的法律、法规和管理要求，加强对信息安全，特别是数据安全的风险防范，如：欧盟的GDPR 和《Regulation “on a framework for the free flow of non-personal data in the European Union（非个人数据在欧盟境内自由流动框架条例）》。

我国在大数据、云计算、AI、IoT、5G 等新技术带动下的数字经济发展过程中，数据已经成为国家和企业的重要资产和战略资源，多来源多类型的数据集中整合与综合应用带来了爆发式增长，与此相伴的是数据过度采集和使用、数据泄漏等安全风险日益凸显；在严峻的国际信息安全和国内泄漏风险两方面同样面临明显挑战，无论从国家层面，还是行业监管层面都陆续出台法律、法规和管理要求，进一步引导和加强信息安全，特别是数据安全的风险防范。

本白皮书旨在系统性描述数据安全治理的通用性方法论，为业界提供数据安全治理需要考虑哪些方面、涉及哪些主要事项、工作开展逻辑和流程、XX信息在数据安全治理方面能够提供哪些服务等，寄希在数据安全治理落地时提供方法论指导；白皮书共分七个部分：第一部分是概述，主要对数据治理和数据安全治理间的关系进行阐述；第二部分是全球数据安全标准化情况，分别阐述国内和国外在数据安全方面的标准化情况，为阅读者提供对比和深入阅读的线索；第三部分是XX数据安全治理框架，分别从治理策略、组织机构、治理流程和治理工具四个方面对框架进行阐述；第四部分是XX数据安全治理建设，是在治理框架下具体说明数据安全治理的建设内容和步骤；第五部分是XX数据安全治理建议，是从XX实践的角度提出数据安全治理如何开展的建议；第六部分是XX数据安全技术防护体系，给出XX在数据安全方面能够提供什么样的服务和技术防护措施；第七部分是结束语。

浙江XX信息安全技术股份有限公司（简称“XX信息”），成立于2007 年，是国家规划布局内的重点软件企业，是新一代数据安全治理解决方案及服务提供商。总部位于杭州和北京，在上海、广州、深圳、南京、成都、济南等十多个区域设有分支机构，保障全国6 小时响应支撑服务。

历经十多年的攻克研究与创新，XX信息以人工智能（AI）、先进密码算法和大数据技术

为核心，率先在国内发布“Vamtoo-DSGF 数据安全治理框架体系”，围绕个人信息隐私保护、云办公趋势下的数据安全、新型DLP 及数据安全治理，从终端、网络、数据库、云实现了数据

发现（分类分级）、数据防泄漏、数据安全审计和态势感知，并支持国产操作系统。已为政府、金融、运营商、能源、军工、央企等多领域客户提供数据安全服务，并助力国家

“一带一路”数据跨境安全保护建设。

XX信息积极参与中央网信办、国家互联网应急中心（CERT）、全国信息安全标准化委员

会等监管单位的数据安全标准、管理办法与测评认证建设。已参与完成多项国家数据安全标准

建设，数十项国家重大数据安全课题研究，获得100 多项国家专利和软件著作权。已连续两

届成功举办国内规模最大的“数据安全峰会”，发表数据安全宣言、发布首个中国数据安全险，连续多年被行业权威机构评为全国网络安全企业50 强，多次获得中国信息安全领军企业等多

项荣誉，得到行业和客户的广泛认可；现担任“中国网络空间安全协会会员”“中国保密协会理事”“中国保密协会商业秘密保护专业委员会副主任”“中国计算机学会安全专业委员会常务委员”“浙江省网络空间安全协会常务理事”等社会职务。

新时代、新XX，XX信息全面迈入战略2.0 时代，以“护航数字中国助力数字经济” 为使命，坚持以客户为中心、开放创新、协作共赢；以奋斗者为本、勇于挑战、共享成就的理念，

成为全球领先的数据安全企业。为建设网络强国，为国家和民族的网信事业发展，提供XX方案、

贡献XX力量。

参编主要人员：任柯，吴进波，叶俊卫，于佳辉，张鹤林

一、概述

1.1 数据治理概念

信息技术、人工智能、大数据以及5G 技术的发展，数据的重要性越来越得到业界广泛

认可和重视。随着数字化转型的深入发展，业务细分和数据粒度细化日益明显。随之而来的是

业务系统逐渐增加，不同业务系统产生的数据也与日俱增，数据重复、数据冗余、数据孤岛等现

象开始显现，这不仅消耗大量的IT 资源，而且影响节能环保，更不利于数据的高效合理使

用和挖掘数据的价值。为满足所面临的实际需求，数据中心等专职从事数据相关工作的部门

在不同属性的单位中相应而生，IDC 租用、数据仓库、大数据平台、数据湖等与数据高效处

理和价值挖掘相关的规划建设逐步普遍。

随着对数据的处理和数据价值的需求增加，需要先做好数据治理，才有可能更好地高效处理数据、充分挖掘数据价值、保护数据安全等；对于什么是数据治理，ISO/SC40、DAMA、

DGI、Gartner、IBM，以及国内的ITSS、GB/T 25295-2017 和金融等各行业相应机构分别给出

侧重性定义和说明；经过这些年的理论和实践的互相促进，业界逐步对什么是数据治理形成比

较一致的共识。

XX信息认为数据治理是数据高效安全利用持续改进的一套管理机制和技术辅助工具有机结合的体系，其中包含数据管理的组织架构、数据管理模型、政策和体系，涉及数据标准要求、数据质量要求、数据影响度分析、工作流程、监督考核和辅助的技术工具等一系列体系性内容；数据治理涉及的技术主题包括元数据的定义和管理、数据质量的标准和检验、数据集成约定、主数据定义与管理、数据资产的明确与管理、数据交换范围和规则、数据生命周期和数据安全的

关联性配套等多种技术和产品组成的体系化技术措施。

通过数据治理，能够规范化业务系统中的数据，有利于充分利用和挖掘数据的价值，进一

步促进业务的发展和精细化管理，实现和保障数字化转型，体现经济价值和社会价值。

1.2 数据安全治理

严格来说，数据治理包含数据安全治理，数据安全属于数据治理的一项重要内容，数据

安全治理是数据治理的一个过程；随着全球数字化迅速发展，以及国内外信息安全事件频发和数据泄漏事件的影响，数据安全的重要性逐渐被认识和接受，数据安全治理得到进一步的认可和重视，进而出现重点开展数据安全治理的业务形态；如果说数据治理是为了更好地发挥数据的“价值”，那么数据安全治理是为更好发挥数据价值提供“保密、完整、可用”的保障。

Gartner 认为，数据安全治理不仅仅是一套用工具组合的产品级解决方案，而是从决策层到技术层，从制度到工具支撑，自上而下贯穿整个组织架构的完整链条；组织内的各个层级之间需要对数据安全治理的目标和宗旨取得共识，确定合理和适当的措施，以最有效的方式保护数据资源。

Gartner 关于数据安全治理的描述理论程度较高，概括性较强，XX信息认为，在切实解决需求单位的数据安全治理时，需要考虑客户所关注数据范围，这些数据从产生到销毁过程可能涉及的应用系统场景和节点，每个节点对应用数据的访问角色和权限，以及期间可能产生泄漏风险点等，通过对数据应用的实际情况了解，结合数据生命周期的流动环境和节点，评估数据类型的重要性和节点基本的角色和权限，以及可能的泄漏风险点，分别从组织保障、技术工具、管理制度等方面开展立体化规划与分步骤有侧重实施，按照PDCA 的逻辑实现可持续性动态开展数据安全治理，这样可能更有利于帮助单位实现数据安全。

1.3 XX数据安全治理

数据安全不纯粹是一个技术问题，它是一个集国家政策、法律法规、组织政策和技术要素相结合的系统工程，需要多方协同，将管理和技术充分结合；XX数据安全治理，就是把组织管理和数据安全相关技术进行结合，对数据安全进行系统化建设，确保数据全方位、无死角安全管理，以减轻由数据安全威胁、数据驻留和合规问题引起的业务风险。

传统IT 采购方式都是大包大揽，从硬件，网络到中间件，软件都需要采购或者采购一套解决方案，同时需要招人或外包进行后续的运维，这对于非IT 企业来说投入太大；XX数据安全治理，共包括“四个层面和七个步骤”，是以“业务数据安全和合规数据安全”为目标的数据安全建设体系方法论，以相对独立又有一定逻辑关系的步骤进行划分，可以独立建设，减少投资，又可以从整体上进行系统性综合性治理，做到在安全与效率、投资和收益中保持平衡演进，核心内容如下：

四个层面的数据安全管理组织框架，包括数据安全治理需求，数据安全组织机构，

数据安全治理规划和数据安全治理工具；

七个步骤的数据安全治理建设流程，包括价值数据分析，数据分类分级，数据发现分布，数据安全风险评估，数据安全策略，数据安全防护以及数据安全运维。

四个层面和七个步骤分别在第三章和第四章进行详细介绍。

二、全球数据安全标准化情况

2.1 数据安全标准化总体情况

2013 年“棱镜门”事件，促使世界各国对信息安全的危害更加重视，大部分国家都进一步加强信息安全的要求，进一步保护网络安全，突出数据安全。我国从国家到行业监管部门陆续加快信息安全建设，特别是数据安全的标准化工作，从法律、法规、行业监管、产业等多方面开展信息安全的深化和细化工作。

随着各国对数据安全重要性认识的不断加深，包括美国、英国、澳大利亚、欧盟和我国在内的很多国家和组织都出台了数据安全相关的法律法规和政策来推动数据利用和安全保护，重点强调政府数据开放、数据跨境流通和个人信息保护等方向的安全防护标准化。

2.2 国内数据安全标准化概述

我国在积极推动数字化转型过程中，非常关注数据安全问题，近几年发布了一系列数据产业发展和安全保护相关的法律法规和政策。

2012 年 12 月，针对数据应用过程中的个人信息保护问题，第十一届全国人民代表大会常

务委员会通过了《全国人大常委会关于加强网络信息保护的决定》，该决定要求，国家保护能够

识别公民个人身份和涉及公民个人隐私的电子信息，网络服务提供者和其它企事业单位应当

采取技术措施和其它必要措施，确保信息安全，防止在业务活动中收集的公民个人电子信息泄露、损毁、丢失；在发生或者可能发生信息泄露、损毁、丢失的情况时，应当立即采取补救措施。

2013 年7 月，工业和信息化部公布了《电信和互联网用户个人信息保护规定》，该规定是对全国人大常委会《关于加强网络信息保护的决定》的贯彻落实，进一步明确了电信业务经营者、互联网信息服务提供者收集、使用用户个人信息的规则和信息安全保障措施要求。

2014 年3 月，我国新的《消费者权益保护法》正式实施，该法明确了消费者享有个人信息依

法得到保护的权利，同时要求经营者采取技术措施和其他必要措施，确保个人信息安全，防止

消费者个人信息泄露、丢失。

2015 年 8 月，国务院印发《促进大数据发展行动纲要》（以下简称“行动纲要”），

提出加快建设数据强国和释放数据红利，并加快政府数据开放共享，以提升治理能力。

2016 年 3 月，第十二届全国人大四次会议表决通过了《关于国民经济和社会发展第十三个五年规划纲要》（以下简称“十三五规划纲要”），十三五规划纲要提出实施国家大数据战略，全面实施促进大数据发展行动，同时要强化信息安全保障。

2016 年11 月，全国人民代表大会常务委员会发布了《中华人民共和国网络安全法》（以下简称“网络安全法”），网络安全法定义网络数据为通过网络收集、存储、传输、处理和产生的各种电子数据，并鼓励开发网络数据安全保护和利用技术，促进公共数据资源开放，推动技术创新和经济社会发展。

2016 年 12 月，国家互联网信息办公室发布《国家网络空间安全战略》，提出要实施国家大数据战略，建立大数据安全管理制度，支持大数据、云计算等新一代信息技术创新和应用，为保障国家网络安全夯实产业基础。

2019 年5 月28 日零时，国家互联网信息办公室发布《数据安全管理办法（征求意见稿）》（下称“征求意见稿”），由于数据监管触及多方利益，《征求意见稿》一经发布，立即引起了广泛关注，《数据安全管理办法》可能作为部门规章发布,效力和层级都会更高,能够进一步实现网络安全法保障网络安全,维护网络空间主权和国家安全的宗旨。

2020 年 7 月 3 日，《中华人民共和国数据安全法（草案）》全文在中国人大网公开征求意见。草案内容共 7 章51 条，提出国家将对数据实行分级分类保护、开展数据活动必须履行数据安全保护义务承担社会责任等。

《数据安全法（草案）》将数据定义为任何以电子或者非电子形式对信息的记录；数据安全是指通过采取必要措施，保障数据得到有效保护和合法利用，并持续处于安全状态的能力。国家坚持维护数据安全和促进数据开发利用并重，以数据开发利用和产业发展促进数据安全，以数据安全保障数据开发利用和产业发展。

2.3 国际数据安全标准化概述

（一）政府数据开放相关法规和政策

政府数据开放是指在确保国家安全条件下，政府向公众开放财政、资源、人口等公共数据信息，以增强公众参与社会管理的意愿和能力，进而提升政府治理水平；美国将信息技术、数字战略、信息管理与开放政府治理有机结合，以数据开放作为新时期政府治理改革的突破口。美国为推动政府数据开放，发布的法规政策主要包括：

1）美国于 1966 年通过《信息自由法》，规定民众在获得行政信息方面的权利和行政机关

在向民众提供行政信息方面的义务，该法秉持“以公开为原则、不公开为例外”的原则，规定政府有义务对公众的信息公开请求作出回应；

2）《开放政府指令》是美国政府 2009 年在数据开放方面的最新行动，确立了透明、参

与和协作的开放政府三原则，要求政府通过网站发布数据等方式，使公众了解更多的政府信息，促进公共对话，提升公众对政府的信任感；

3）美国在 2012 年 5 月出台了《数字政府战略》，将政府开放数据作为电子政府发展

的重要支撑，它要求政府数据在默认状态处于“开放和机器可读”，从而使得公众可随时随地

访问高质量的政府数据信息和服务；

欧盟通信委员会在 2010 年11 月向欧洲议会提交了《开放数据:创新、增长和透明治理

的引擎》报告，该报告以开放数据为核心，制定了应对大数据安全挑战的战略；2011 年12

月12 日，欧盟数字议程正式推进数据开放战略，将其作为实现欧盟“2020 目标”的新路径与

新动力。

（二）数据跨境流动相关法规和政策

当前，部分国家和地区在规范跨境转移个人数据的法律法规，以便对跨境数据接收地的法

律环境提出要求，要求接收地法律能够提供与本国、本地个人数据保护法律相当的保护。规范个人数据跨境转移的根本目的，不是禁止个人数据跨境转移，而是要根据实际情况，确保本国、本地区公民数据在境外受到合理保护。总体上，基本立场是鼓励数据跨境自由流动。具体与数据跨境

流动相关的政策及法规包括:

欧盟在 1995 年《数据保护指令》中确立了数据跨境传输的基本原则，对世界其他国家和

地区的信息保护、信息流动产生了深远的影响。2015 年通过的欧盟《通用数据保护条例》（GDPR）提出了更为苛刻的数据保护规定。GDPR 的适用范围相比《数据保护指令》有所扩展，对于那些即使成立地在欧盟以外的机构来说，只要其在提供产品或者服务的过程中涉及欧盟境内个体的个人数据，将同样适用。在跨境数据流动方面，GDPR 增加了新的制度安排，包括认证机制和行为准则等。

澳大利亚《隐私保护原则》第 8 条规定，数据主体获得明确告知后同意的，可以将个人数

据传输至境外数据接收者。告知必须解释跨境传输带来的数据主体应当知道的后果或风险，包括:1)海外接收者可能不承担类似澳大利亚《隐私保护原则》规定的隐私保护义务；2) 数据主体可能无法在海外司法管辖区获得救济；3)海外数据接收者可能会根据法律将个人信息披露给第三方，比如外国政府机构。

巴西司法部于 2015 年公布的《个人数据保护法》（草案）也借鉴了欧盟有关充分性数

据保护的规定，要求跨境数据传输时，数据接收国的个人数据保护必须达到充分性保护的水平。

韩国 2011 年发布的《个人信息保护法》规定，如果个人信息的国际数据传输涉及第三方，那么必须取得用户的明确同意；2012 年发布的《促进信息技术网络利用和信息保护法》要求则

更为明确：如果用户的个人信息被转移到境外实体，在线服务提供商必须告知并获得用户的明

示同意。

日本 2015 年修订的《个人信息保护法》规定，个人信息可以“传输到为日本个人信息保

护委员会（PIPC）所认可的、与日本国内个人信息保护水平相当的国家或地区”。

亚太经合组织（APEC）于 2003 年发布了《APEC 隐私保护框架》，它采取使用企业自律

性隐私政策来保护跨境数据流动中数据（隐私）权利的做法，在《APEC 隐私保护框架》下建

立跨境隐私保护规则体系。

（三）个人数据保护相关法规和政策

1）欧盟《通用数据保护条例》

欧盟颁布的《通用数据保护条例》（GDPR）为一个数据隐私权标准法规，它旨在取代1995 年发布的《数据保护指令》；GDPR 主要为了保护欧盟公民个人数据的隐私权，并对数据

保护规则进行了改革和更新，如 GDPR 引入了新型的数据主体权利，包括“数据可携带权” 和“被遗忘权”，为个人有效行使权利提供了坚实的法律保障；GDPR 要点包括个人拥有管理自己个人数据的权利、数据泄露获得通知的权利以及“被遗忘权”，GDPR 由两部分组成：通用

数据保护条例，这“将让人们更好地控制其个人数据”；数据保护指令，对于警察和刑事司法

领域，这“可确保数据受害人、证人和犯罪嫌疑人在刑事调查或执法行动中受到应有的保护”；

这些明确的法规特别适合数字时代，能提供强有力的保护，同时在欧洲数字单一市场创造机会和

鼓励创新，将让公民和企业都受益。

2）美国健康保险携带和责任法案

1996 年，美国总统签署适用于提供健康保健的医疗组织和其它符合健康计划组织的健康

保险携带和责任法案（HIPAA），HIPAA 目标是确保健康信息的安全性和隐私性，其主要内容

包括隐私条例和安全条例，隐私条例保护所有由适用实体保存的可识别个体的受保护健康信息（PHI）；根据美国卫生和福利部的规定，PHI 包括以下数据信息：与个人以往、目前或将

来的身体（或精神）健康或状况有关的数据；个人接受健康保健服务的相关数据；个人以往、目前或将来接受健康保健服务的费用支付相关的数据。

3）美国家庭教育权和隐私权法案

1974 年，美国联邦法案家庭教育权和隐私权法案（FERPA）出台，用以保护学生的个人可识别信息（PII）的安全，适用于教育行业；FERPA 规定，未满 18 岁的学生或符合条件的学生家长可以查看并申请修正学生的教育记录；该法案还规定，学校必须取得学生家长或符合条件的学生的书面许可才能披露学生的个人信息。

三、XX数据安全治理组织框架

3.1 数据安全治理组织框架概述

数据安全治理的目的是根据国家法律法规要求，结合行业数据管理要求，实现数据全生命周期的保密性、完整性、可用性、可控性和不可否认性的安全保障。

XX数据安全治理从实际需求或问题出发，围绕客户业务数据安全和合规数据安全，建立健全数据安全管理体系，提高数据安全保障能力；

XX数据安全治理组织框架主要从组织管理的角度，以业务目标，资源配置和进度计划三大核心要素为中心，提供数据安全相关的策略，人员，流程以及安全工具的组织和选定的方式和方法，或判断标准和建议，明确三大要素，进而建立完整的数据安全管理保障体系；

XX数据安全治理组织框架包括四个层面，用于指导客户实施数据安全管理体系，这四个层面包括：数据安全治理需求，数据安全组织机构，数据安全治理规划以及数据安全治理工具；这四个层面不是孤立的，上一环节是下一环节的重要输入，同时下一环节又会对上一环节的进一步明确和细化，达到可管理可实施可量化的数据安全治理框架。

XX数据安全治理组织框架整体如下：

3.2 数据安全治理需求

数据安全治理需求是从宏观上进行规划和定义企业组织实施数据安全治理的需求，包括数据安全治理任务目标、可能风险以及相关的内外部的数据安全需求，最后形成整体的治理策略；治理需求主要从三个维度进行分析和总结，包括战略规划，业务风险和业务需求，最后形成可执行的治理决策流程，管理策略，治理执行需求，以及执行监控及优化；

3.2.1数据安全战略规划

数据安全战略规划，是定义和规划数据安全相关的基本政策和方针，对数据安全治理统筹规划，需要定义数据安全治理三大核心要素：目标业务，资源配置和进度计划；本阶段三大核心要素定义可以不用太准确，可以是经验值，也可以是预估值，在后续的治理框架的规划过程中渐进明晰额，逐步明确，形成数据安全治理任务基线；

1）目标业务，主要包括数据安全治理业务系统对象，涉及的人员和组织，以及相关的数据类型和数据业务安全要求等；业务目标的设置必须来源于企业组织的权威需求，并需要获得组织机构的最高授权；权威需求可以是同类型或自身企业组织的数据安全威胁的事实，上级单位要求或法律法规，行规要求等；

2）资源配置，也可以定义为成本需求，包括要完成业务目标所需要的内外部人力需求，采购产品或设备需求，以及与企业现有的组织相关性，对企业现有系统的改动需求等等；

3）进度计划，分为两个步骤：安全治理计划和治理执行计划；XX数据安全治理把整

体工作分为两个阶段，安全治理和治理执行，前者主要工作包括任务目标，组织框架定义，数据的摸底以及数据相关的安全属性等数据安全管理工作，后者主要是基于第一步发现的数据安全相关的薄弱环节进行安全建设和实施，该进度计划针对这两阶段工作进行编制，并指导后续工作。

3.2.2数据安全业务风险

数据安全业务风险，针对业务目标定义的系统对象和数据类型及数据业务，从安全角度进行风险管理，包括四个步骤：识别业务数据风险，业务数据风险定义，评估数据风险影响，应对数据风险的措施；

数据安全业务风险管理，重点就是识别业务数据风险，从数据全生命周期和业务场景进行全面分析，理清业务数据价值和特征，梳理出核心数据资产，并给出分类分级方式方法，理清核心数据资产使用的状况，识别出核心数据资产面临的威胁和使用风险；

风险定义，风险影响评估及应对措施，根据风险识别进行定义和处理，并进行文档化，供下一步输入。

3.2.3数据安全治理需求

数据安全治理需求，从四个方面挖掘需求：法律法规，行业监管，数据防护现状，业务安全需求；

首先从需要遵循的法律法规，行业监管等要求，分析梳理出与数据安全管理相关的内容，作为外部需求；随着《数据安全法（草案）》立法，数据安全从合规性要求会越来越多，对企业组织和数据安全从业者的要求也会越来越高，对数据安全治理的需求分析和理解需要依赖的知识也越来越广；

再次，结合选择业务对象，风险识别信息分析组织内数据防护现状，进一步进行业务安全需求分析，汇总为数据安全治理需求；XX推荐的数据防护现状分析主要从数据生命周期分析业务对象的生态现状，以及基于各生命周期活动进行数据安全防护的界定，提炼出业务对象在数据安全防护薄弱点，并提出防护需求。

最后，从内部业务需求开始，对法律法规要求进行结合，提炼出符合企业组织自身的数据安全需求，达到内部安全需求与监管需求同时满足，避免需求疏漏或需求扩大，这是数据安全投资与收益保持平衡的基础。

数据安全相关的法律法规和行业监管要求参考：

3.2.4数据安全治理策略

数据安全治理策略包括治理决策规划，治理管理策略，治理执行策略，以及治理策略优化；

治理决策规划主要是指数据安全治理过程中涉及的决策链及决策流程的设计策略，决策

策略规划内容包括但不限于投资决策，治理范围决策，进度计划决策，业务与安全冲突决策等；

治理管理策略，主要包括在执行数据安全治理过程中涉及的管理组织和管理流程的策略，管理策略包括但不限于管理组织的设计策略，管理流程的设计策略，业务数据安全治理方案的

审批流程设计等；

治理执行策略，主要指数据安全治理执行过程中处理和平衡各种问题所参考的通用准则，包括治理执行优先级范围，分类分级规则的制定策略，数据保护审核流程制定策略等；

治理策略优化，主要包括数据安全治理监管方案及优化流程，为数据安全治理执行策略提

供监控管理。

3.3 数据安全组织机构

数据安全组织机构内容是定义数据安全治理所需要的企业内部的组织结构的组建与运行

方式及流程，机构的建设需要参考数据安全治理战略规划中设立的资源配置范围；数据安全组

织机构主要包括组织机构的建设，组织人员能力，数据安全意识，安全知识转移；

组织机构的建设，至少包括治理机构、领导以及相关岗位和流程设定，机构人员不限于组

织内部人员，可以采纳外部专家，以增强组织机构的专业性；

组织人员能力需要包括治理管理能力，技术能力，应急响应及运维检测能力，在组织能

力建设，重点需要治理管理能力和组织能力，技术能力，运维检测能力等，可以采纳相应的专

家或外聘团队，以降低前期投资，减少学习周期；

数据安全意识与安全知识转移，首先把遵循的法律法规，行业监管等要求，以及日常数据

操作和数据安全的保密意识、数据安全的制度，形成规范的材料和手册，然后再进行宣贯，培训，保障数据安全治理组织建设达到组织机构涉及的每个人员和组织。

下图是某大型客户的数据安全治理的组织机构设置图：

3.4 数据安全治理规划

数据安全治理规划是规划数据安全治理原则及策略，目的是指导数据安全治理精准、有理、有序开展；数据安全治理规划包括治理规划，权限管控策略，数据资产发现梳理，数据生命周期管理，以及稽查审计。

3.4.1数据安全治理规划

治理规划是数据安全治理规划的宏观指导规则定义，需要再次审视数据安全治理任务目标，结合治理需求，形成数据治理流程的指导规则；

首先要进行数据安全治理经营战略分析，结合企业组织的整体经营战略，分析数据安全管理在整体战略中的战略价值，进度规划的适配度等，发现冲突和风险，并及时进行进行调整；

接着，需要进行合规性条款分析，针对需求梳理的法律法规或行规与数据安全相关的内容，结合数据安全现状进行分析，形成数据安全合规性分析报告；

再次，对现有IT 策略进行分析，数据安全需求，发现IT 策略在数据安全管理上的不匹配地方，并提出IT 策略数据安全风险及整改意见；

最后，结合以上三种结论以及组织机构要求，对数据安全治理任务，风险，以及不匹配度进行汇总，设置优先级及风险值，明确不可容忍和可容忍的条款，并形成综合评价和风险

容忍度，为数据安全治理提供方向和界限；

3.4.2数据安全权限管控

数据安全权限管控策略是对数据安全管理制度实施和落实进行设计和规划，包括数据安

全相关的审批管控机制、身份权限管理定义、分级保护策略和风险管理策略；

数据安全权限管控的范畴，包括统一安全管理平台解决方案（4A）,从系统账号统一管理，杜绝数据越权访问、误操作、滥用、恶意破坏等情况的发生，也包括数据访问权限管控，数据归

属责任管理，数据审批的流程管理等；

数据安全权限管控的规划和设计，需要依赖具体的业务场景需求或法律法规要求，不能单独定义；比如“中央企业商业秘密安全保护”里面对组织保障有明确规定，定密审批规定：谁生

产谁定密；在“个人信息和重要数据出境安全评估办法（征求意见稿）”中，要求“个人信息出境需经个人信息主体同意，满足一定条件的数据出境，还需要请行业主管或监管部门组织安全评估”，这些规定是作为实施和落实数据安全管理制度的指导基本原则和准则。

3.4.3数据资产发现梳理

数据资产发现梳理主要是对数据业务涉及的数据资产发现分析的范围、策略进行范围界

定和需求定义，包括业务数据分析、数据分类分级、数据识别发现和数据分布定位；数据资产

发现梳理是数据安全治理的非常重要的环节，为后续的数据安全策略规划，数据安全工具的

选择以及生命周期过程的安全管理等都提供很重要的数据识别的基础；

业务数据分析主要是根据界定的数据安全治理业务对象，根据数据生命周期界定需要进

行数据资产识别，发现和定位的具体数据管理系统对象，可以是静态存储的数据库系统，文档

存储系统，也可以动态数据处理系统，包括数据接口API，传输数据的网络系统等等；

数据分类分级是数据识别发现与数据分布定位的技术基础，数据分类分级策略主要是根

据数据安全治理需求，结合业务安全，定义数据有哪些类型，哪些敏感等级，以及区别这些类

型和等级的一些经验方法，数学方法，样本数据等，为进一步形成数据分类分级工具提供策略

制定的输入。

数据识别发现策略，核心内容界定各业务数据系统的初步信息和数据识别发现的一些方式方法，包括系统的存储数据以及业务涉及数据的重要程度，对数据处理、访问及分析的方式方法，网络架构拓扑，是否可以对外进行提供，以及对这些数据访问的基本安全原则等；

数据分布定位策略，是制定识别发现数据的显示方式，显示策略以及隐藏策略等，比如从数据生命周期的角度，对每个环节的数据进行展示分布统计图；比如针对不同的权限，所能查阅的分布定权限是不一样的。

3.4.4数据生命周期管理

数据的生命周期管理，是对企业组织系统化和全面化的数据活动的定义和管理，在数据安全治理每个环节都能以数据生命周期的视角进行分析并提出应对数据安全策略和安全管理；XX 基于数据安全自身实践经验，对数据生命周期管理定义了六个方面的数据活动管理：数据产生/采集管理，数据存储管理，数据使用管理，数据传输管理，数据应用管理，数据归档/销毁管理；基于每个业务类型，都可以定义数据活动，基于这些数据活动开展数据安全治理规划，权限管控，资产发现和定位，数据安全管理，以及相关的活动审计等，入下图：

数据产生/采集管理，数据形态包括生产系统产生的业务数据，采集系统的输入产生数据，个人终端办公设计等产生数据，数据产生管理是数据源头，数据安全管理可以根据业务的

敏感等级实施，包括采集合规性检查，数据分类，数据标注，数据集中存储，加密管理等，从源

头确保数据来源合法，存储安全，可跟踪管理等；

数据存储管理，主要是指存储系统的数据业务，包括大数据中心，云存储，数据库，终端，移动介质等，数据存储的安全管理，在数据安全管理上可以实施包括数据分类管理，数据存储分布管理，存储加密管理，存储的访问管理，存储备份管理，存储容灾管理等；

数据使用管理，指数据与人直接涉及面的使用活动，数据使用形态包括数据直接使用，数据上传下载，数据分析处理等；涉及人的安全管理比较复杂，包括人员权限，组织流程，以及相关的安全技术；安全技术主要包括数据库数据安全使用，终端数据的安全使用，数据

数据脱敏管理，数据加密管理，业务系统数据安全管理，数据分析安全管理，数据使用环境的

安全管理等；

数据传输管理，主要指网络传输，实施安全管理包括网络通道加密，传输数据统计，传输

数据合规分析，传输数据加密，传输数据阻断；

数据应用管理，指把数据以一定安全方式提供给内外部组织使用，提供形态包括数据共享，数据公开，数据提供等；安全技术管理包括应用协议安全管理，数据应用分类管理，数据应用

权限管理，数据API 接口安全，数据脱敏和数据加密管理等；

数据归档/销毁管理，主要活动是对数据的存储在从逻辑上和物理上收尾处理，包括数

据归档，数据删除和介质销毁，安全技术管理包括数据归档/销毁分类，数据归档管理，数

据删除管理，介质销毁处置等。

数据生命周期管理不局限于XX的实践定义，也可以根据客户所处行业，数据安全治理场景需要，参考其他法律法规或公开的标准定义，比如“数据安全能力成熟度模型DSMM” 里面

定义的过程域PA：数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换

安全、数据销毁安全、数据通用安全；比如《数据安全法(草案)》中定义的数据活动：收集、

存储、加工、使用、提供、交易、公开。

3.4.5数据安全稽查审计

数据安全稽查审计主要是定义在实施数据安全治理过程的行为管理的策略和以及数据安

全的日志审计内容，确保数据安全治理过程按照既定的策略和内容执行，并确保数据活动被完

整记录，不遗漏；

数据安全稽查是对数据安全治理的行为监管，即数据安全任务书的基线管控，首先要定

义稽查人员，流程和方式；然后定义稽查审核的内容，一般以任务列表方式进行检查；最后定

义变化跟踪管理办法，包括业务对象变更，需求变化管理，以及进度计划调整等；

在数据活动中，各种安全管理工具，会产生大量的数据活动的日志，数据安全审计内容，主

要是从数据生命周期的角度，提出数据安全日志审计和日志分析需求和审计日志格式等；

审计日志格式一般都是按照五元或七元信息进行规划和设计，包括但不限于访问时间、地点，

访问人，数据活动，动作，数据对象，命中策略；通过基本信息，进一步分析提炼和统计，形成具有一定价值的结果展示和态势感知，比如存储分布展示，传输统计展示，访问数量统计，非法访问告警展示，异常传输展示，数据访问行为安全态势分析等等。