9月11日，由中國網(wǎng)絡(luò)空間安全協(xié)會(huì)主辦的“2024國家網(wǎng)絡(luò)安全宣傳周——互聯(lián)網(wǎng)政務(wù)應(yīng)用安全分論壇”在廣州市順利召開。本次論壇也是“數(shù)字政府安全建設(shè)大會(huì)暨關(guān)鍵信息基礎(chǔ)設(shè)施安全防護(hù)專家認(rèn)證培訓(xùn)（第4期）”開班儀式。
在9月13日上午開展的“關(guān)鍵信息基礎(chǔ)設(shè)施安全防護(hù)專家認(rèn)證培訓(xùn)課程”上，明朝萬達(dá)技術(shù)專家發(fā)表了題為《數(shù)字經(jīng)濟(jì)當(dāng)下數(shù)據(jù)安全治理實(shí)踐》的演講，從數(shù)字經(jīng)濟(jì)發(fā)展趨勢(shì)、數(shù)據(jù)安全治理背景、數(shù)據(jù)安全治理體系、數(shù)據(jù)安全治理展望四個(gè)方面深入探討數(shù)據(jù)要素下的數(shù)據(jù)安全治理方案，以期為數(shù)據(jù)安全建設(shè)提供有益的參考。
隨著信息技術(shù)的飛速發(fā)展，我們正迎來數(shù)字時(shí)代，建設(shè)數(shù)字中國已成為國家的重要戰(zhàn)略目標(biāo)。《中華人民共和國國民經(jīng)濟(jì)和社會(huì)發(fā)展第十四個(gè)五年規(guī)劃和2035年遠(yuǎn)景目標(biāo)綱要》提出，要加快數(shù)字化發(fā)展，建設(shè)數(shù)字經(jīng)濟(jì)、數(shù)字社會(huì)、數(shù)字政府，以數(shù)字化轉(zhuǎn)型整體驅(qū)動(dòng)生產(chǎn)方式、生活方式和治理方式變革。黨中央、國務(wù)院也對(duì)數(shù)據(jù)要素市場(chǎng)培育作出相關(guān)部署要求，明確提出要推進(jìn)政府?dāng)?shù)據(jù)開放共享，提升社會(huì)數(shù)據(jù)資源價(jià)值，加強(qiáng)數(shù)據(jù)資源整合和安全保護(hù)。在這個(gè)時(shí)代背景下，數(shù)據(jù)資產(chǎn)成為組織發(fā)展的重要要素，企業(yè)需要積累數(shù)據(jù)、盤活數(shù)據(jù)、交易數(shù)據(jù)，以提升核心競(jìng)爭(zhēng)能力，重新定義財(cái)富公式。
然而，數(shù)字經(jīng)濟(jì)的高速發(fā)展也帶來了數(shù)據(jù)安全治理的挑戰(zhàn)。在DT時(shí)代，數(shù)據(jù)安全呈現(xiàn)出更加復(fù)雜的態(tài)勢(shì)，數(shù)據(jù)風(fēng)險(xiǎn)通過流轉(zhuǎn)形成難以分割的動(dòng)態(tài)風(fēng)險(xiǎn)整體。因此，新形勢(shì)下的數(shù)據(jù)安全工作需要從數(shù)據(jù)安全治理開始。同時(shí)，國家對(duì)數(shù)據(jù)安全的監(jiān)管愈加嚴(yán)格，出臺(tái)了大量法律法規(guī)和行業(yè)規(guī)范，對(duì)數(shù)據(jù)安全提出了更高的合規(guī)要求。
為了應(yīng)對(duì)這些挑戰(zhàn)，我們需要建立數(shù)據(jù)安全治理體系。Gartner數(shù)據(jù)安全治理框架包括數(shù)據(jù)摸底、組織構(gòu)建、策略制定、數(shù)據(jù)管控和行為稽核等方面，通過平衡業(yè)務(wù)需求與風(fēng)險(xiǎn)容忍度，實(shí)現(xiàn)數(shù)據(jù)安全的持續(xù)改善。在建設(shè)數(shù)據(jù)安全治理體系時(shí)，我們可以按照以下思路進(jìn)行：
1. 組織構(gòu)建：建立數(shù)據(jù)安全組織架構(gòu)，明確各層級(jí)人員的職責(zé)和能力，包括決策層、管理層、執(zhí)行層和配合層，以協(xié)同管理數(shù)據(jù)安全事務(wù)。
2. 數(shù)據(jù)摸底：發(fā)現(xiàn)和梳理敏感數(shù)據(jù)，了解數(shù)據(jù)安全現(xiàn)狀，為后續(xù)的數(shù)據(jù)保護(hù)措施提供依據(jù)。
3. 策略制定：制定數(shù)據(jù)安全策略和相關(guān)制度，包括數(shù)據(jù)分類分級(jí)規(guī)范、數(shù)據(jù)安全采集、傳輸、存儲(chǔ)、處理等各環(huán)節(jié)的規(guī)范，以及安全風(fēng)險(xiǎn)評(píng)估和操作監(jiān)管稽核指南等。
4. 數(shù)據(jù)管控：實(shí)施全數(shù)據(jù)生命周期的數(shù)據(jù)管控，運(yùn)用數(shù)據(jù)安全技術(shù)工具，如數(shù)據(jù)加密、數(shù)據(jù)脫敏、數(shù)據(jù)防泄漏、訪問控制等，確保數(shù)據(jù)的安全。
5. 行為稽核：通過行為稽核，對(duì)數(shù)據(jù)行為鏈進(jìn)行稽核，監(jiān)測(cè)操作行為和權(quán)限變化，及時(shí)發(fā)現(xiàn)異常行為和安全事件，確保數(shù)據(jù)保護(hù)效果。
6. 持續(xù)改善：對(duì)數(shù)據(jù)安全體系進(jìn)行持續(xù)評(píng)估和改進(jìn)，根據(jù)數(shù)據(jù)安全能力成熟度模型，確定安全能力級(jí)別和組織機(jī)構(gòu)整體級(jí)別，不斷優(yōu)化數(shù)據(jù)安全防護(hù)體系。
在數(shù)據(jù)安全體系建設(shè)中，分類分級(jí)實(shí)踐是重要的一環(huán)。我們可以將任務(wù)分解為需求定義、系統(tǒng)建設(shè)和系統(tǒng)控制三個(gè)階段，明確敏感數(shù)據(jù)的定義和分類分級(jí)標(biāo)準(zhǔn)，優(yōu)化數(shù)據(jù)安全制度，實(shí)現(xiàn)數(shù)據(jù)資產(chǎn)的自動(dòng)化梳理、調(diào)研及差異分析，并參考相關(guān)標(biāo)準(zhǔn)進(jìn)行數(shù)據(jù)安全分類分級(jí)，同時(shí)對(duì)數(shù)據(jù)安全定級(jí)流程進(jìn)行管控，制定數(shù)據(jù)安全分類分級(jí)目錄。
此外，數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)踐也不可或缺。我們可以通過對(duì)數(shù)據(jù)安全治理能力的評(píng)估，總結(jié)風(fēng)險(xiǎn)問題，依據(jù)成熟度評(píng)估模型，對(duì)數(shù)據(jù)安全規(guī)劃、機(jī)構(gòu)人員能力、數(shù)據(jù)采集安全等多個(gè)方面進(jìn)行評(píng)估，形成風(fēng)險(xiǎn)問題清單和風(fēng)險(xiǎn)評(píng)估報(bào)告，并對(duì)風(fēng)險(xiǎn)評(píng)估流程進(jìn)行管理。
展望未來，數(shù)據(jù)安全治理需要建立生態(tài)圈，實(shí)現(xiàn)組織管理循環(huán)和產(chǎn)業(yè)商業(yè)循環(huán)的雙循環(huán)，同時(shí)受到監(jiān)管合規(guī)和數(shù)字經(jīng)濟(jì)的雙驅(qū)動(dòng)。數(shù)據(jù)安全治理還需要更加智能，利用大語言模型、自然語言處理和語義分析等技術(shù)，智能識(shí)別敏感信息，提高策略應(yīng)用的規(guī)范性、針對(duì)性和合理性。數(shù)據(jù)安全治理應(yīng)指導(dǎo)數(shù)據(jù)安全分級(jí)管控，依據(jù)數(shù)據(jù)分類分級(jí)的輸出進(jìn)行安全策略設(shè)計(jì)。數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估應(yīng)更加關(guān)注數(shù)據(jù)視角，從數(shù)據(jù)在每個(gè)階段的風(fēng)險(xiǎn)進(jìn)行分析，以指導(dǎo)數(shù)據(jù)安全規(guī)劃。數(shù)據(jù)安全治理建設(shè)需要持續(xù)運(yùn)營，先在小范圍進(jìn)行試點(diǎn)，形成基礎(chǔ)安全策略和管理規(guī)范，然后逐步升級(jí)和完善數(shù)據(jù)安全管理體系。
