数据安全发展方向及有效数据安全治理理论创新实践

有效数据安全治理理论创新及应用实践“

”让

人

们

放

心

地

享

受

大

数

据1.

进入数据安全时代目录C

O

N

T

E

N

T

S2.

企业如何做数据安全3.

昂楷数据安全实践经验分享安全

=“安”

+“全”

=安全感通讯与信息技术不断深入驱动安全建设的持续革新安全行业发展终端安全科学计算

时代数据安全云安全大数据时代云计算时代应用安全网络安全互联网时代企业办公时代定义：以数据为中心的安全差异：

技术到业务的转变能力：安全防护能力要求更强数据安全是什么

数据安全建设理念发生巨变是从哨兵到保镖的转变通过Gartner数据安全曲线看数据安全走势数据安全不同于网络安全3.

理论+实践的技术创新昂楷与Gartner合作，定义数据安全未来市场1.

昂楷与Gartner合作，定义DSP市场2.

中国厂商第一次定义

Gartner主导技术曲

线节点国内数据安全发展国家互联网信息办公室相继发布《数据安全管理办法（征求意见稿）》《个人信息出境安全评估办法（征求意见稿）》

等多

部《网络安全法》体系的下位配套文件，大力推进

国家层面的数据治理规则构建和具体

制度设计。2015《网络安全法》将数据安全纳入网络安全范畴，基于网络安全保障目的为个人

信息保护与数据安全的

部分重要、核心

制度奠定了基础。《国家安全法》第25条明确提出“

实现网

络和信息核心技术、关键基础设施和重要

领域信息系统及数据的安全可控”。2017201820192020《民法典》

明确个人信息、数据、网络虚拟财产等属于合法权益。执法实践层面，围绕

个人信息非法采集和滥用、数据三性

破坏等活动的数据安全专项治理行动空前

有力。地

方层面围绕数据跨境、数据安全

保障、数据开放、数据权等问题积极先试先行。数据是国家基础性战略资源，数据资源是网络安全所保护的核心对象《数据安全法》《个人信息保护法》纳入人大常委会立法规划。国内数据安全发展数据安全保护义务：说明个人和部门应该如何支撑数据安全保护；政务数据安全开放：明确对政务数据收集、

使用存储、处理、维护等的具体要求；法律责任：说明违反以上准则的后果；附则：说明该法的不适应情况和执行时间；数据安全法及其重点条文解读总则：明确法律范围、定义和归口部门；数据安全与发展：说明国家数字产业发展和数据安全的关系；数据安全制度：说明国家如何保障数据安全；组织建设制度流程技术工具人员能力等级一

：

非正式

执行无明确的与数据安全相关

的岗位或指责定义。未明确定义相关的数据安全工作开展的制度/流程，数据安全工作的开展多为对特

定业务需求的响应而触发。未部署相应的技术工具

以提升数据安全能力。缺乏具有专业背景的人

员从事数据安全相关的

工作。等级二：

计划跟

踪已指定了相关岗位承担数

据安全的相关职责。制定了数据安全制度/流程以解决组织所面临的关键数据安全风险。较少引入技术工具实现

自动化的安全控制。承担数据安全职责的人

员具备在相关领域的数

据安全背景和能力。等级三：

充分定

义已清晰定义了在各数据安

全领域承担数据安全职责

的岗位，且关键岗位配备

有专职的员工。建立了数据安全管理制度体系，以实现对组织内数据安

全风险的全面覆盖。通过在线的平台固化数据安全流程的落地，利用数据安全技术以系统、

工具的形式实现对数据安全控制的有效执行。承担数据安全职责的人

员具备在相关领域的数

据安全背景和能力。等级四：

量化控制组织架构的设置充分考虑

了数据安全与业务发展的

密切关系，架构中将数据

安全职责进行了更为细致

的分配，关键的业务领域

的团队也承担了相应的数

据安全职责。数据安全的目标与业务目标

保持高度一致，并对基于该

数据安全目标制定的制度流

程的有效性进行持续的测量

跟踪以提升制度流程的有效

性；制度流程在关键的业务

领域进行了针对性的细化，提升了制度流程的可落地性。在已有的技术工具的基础上实现对关键数据安全能力的量化提升。关键岗位的数据安全人

员具备较高的数据安全

能力，能够在理解组织

整体数据安全目标的基

础上考虑负责的数据安

全过程领域的安全工作

开展方式。等级五：

持续优

化组织架构的设置具备更好

适应业务发展的自我调整

的能力。实时跟踪行业的最佳实践和

业务的最新动向，预先判断数据安全层面的风险，在制度流程上进行前瞻性优化，以通过数据安全控制推动业务发展。基于数据安全技术的最

新进展以及组织沉淀下

来的数据安全技术能力，

持续提升数据安全控制

的有效性。密切关注国内外最新的

数据安全标准及规范，加强行业领域内的专家

交流，结合本组织机构

的特点合理优化并组织

内的数据安全解决方案。GB7988--DSMMDSMM按照数据全生命周期的六个

阶段和安全能力维护的四个力维度进行综合考量，分为5个等级，形

成一个三维立体模型，全方面对数

据安全进行能力建设。2019年8月30日，《信息安全技

术

数据安全能力成熟度模型》(GB/T37988-2019)，简称DSMM正式成为国标对外发布。2.

企业如何做数据安全1.

进入数据安全时代目录C

O

N

T

E

N

T

S3.

昂楷数据安全实践经验分享但在实际执行时，企业更需要一种行之有效的方法数据安全治理模型-数据安全建设第一步Gartner

DSG在理论上是很完备的方法11NIST数据隐私风险框架Gartner&昂楷对DSG改良数据安全治理技术框架3.In-session控制集中控制-SDP动态鉴权-ZeroTrust灵活调度-SecurityOrchestration4.资产应用追踪应用感知数据溯源合规审计协同赋权权限变更监测2.数据资产授权1.数据资产发现数据发现资产确权变更监测AUDIT

&TRACEAUTHORIZAIONCONTROLDISCOVER法司、能源电力、运营商、金融、教育、

云端数据库等多个领域，覆盖核心头部客户，在数据安全治理领域位居行业前列。昂楷是国内领军的数据安全治理解决方案提供商，核心业务围绕大数据、

云端数据库数据安全治理。

服务于政府、公检全栈数据安全产品，确保方案落地数据安全治理数据分级分类状态监控漏洞扫描数据安全综合治理数据库审计工控数据库审计数据梳理及评估能力云数据库安全运营数据安全风

险评估服务串联数据库防火墙数据库渗透

测试服务集中管理大数据审计日志审计云数据库审计安全运维审计数据行为监控及审计能力数据资产

梳理服务数据分类

分级服务数据脱敏

数据加密数据水印数据安全防护能力旁路数据库防火墙安全管理能力安服能力数据治理

资产梳理安全运维审计15CDO一眼掌握资产动态与

数据安全保护措施及

效果数据消费者敏捷获取数据数据Owner权责相符自己数据自己掌握安全管理员低成本，高效率，实时

合规管理方案收益核心竞争力全栈的数据安全产品能力

；护航数据生命周期优秀的数据安全工程落地能力持续数据安全行业12年

；40+数据安全发明专利最懂数据的安全公司，最懂安全的数据公司可靠2000+各行业案例，促进产品与方案高实用性久经验证的数据安全服务队伍全面专业1.

进入数据安全时代2.

企业如何做数据安全目录C

O

N

T

E

N

T

S3.

昂楷数据安全实践经验分享8大业务平台及子系统监管审查分类分级风险监测安全接入策略管控安全检查数据安全服务总线数据安全服务总线数

据

安全管

理体

系有法可依

一

体化数字平台应用层安全应用开发

攻防演练“护网”

高级情报订阅数据安全智能管控安全策略管控、安全态势感知、分级分类、全生命周期安全监控数据资源

层数据全生命周期安基础设施层安全资源池备份资源池数据安全组织体系全服务数据库安全、大数据安全认证授权脱敏日志审计溯源数据加密

防泄漏厅安全运营团队支撑风险识别资产测回风险排查安全基线安全加固应急预案护网行动应用安全运营服务安全防护资产测回风险排查安全基线……数据安全运营服务监测监管通报预警专家研判……运营层决策层执行层管理层围绕立战略、定组织、制总纲、建体系，通过数据安全治理体系服务全面覆盖交通厅业务环境需求：

需对整体资产进行数据安全咨询；

数据安全需要完善的制度流程；

需要梳理数据并进行分权管控；

需要对操作行为检测识别并对敏感数据脱敏，以及实施必要的控制；

需提升能力建设，并保障持续运营。方案的规划及目标：

协助交通厅及二级单位等整体达到

DSMM-3级“充分定义”水平；

数据安全治理体系对接入等保系统具备评估能力；

8大业务平台及101个子系统-交通规划、建设管养、综合运输、行政执法、内部管理、协同创新、数据分析、两客一危一重等安全、平稳接入以及安全运营。监督层支撑能力层数据资产分类分级持续监控应急响应**

省交通运输厅生命周期数据安全项目安全风险评估服务数据安全治理

服务有规可循管

理制

度管

理方

针管

理体

系管

理流

程**

省交通运输厅数据

--

安全运营中心6层能力汇聚一眼看安全数据安全—全局态势总体态势感知：

资产总体安全系数

安全模型识别事件

安全模型识别风险趋势

敏感数据访问事件趋势

资产漏洞趋势

资产风险分布

资产漏洞概况

业务逻辑/物理位置/组

织架构拓扑数据安全

--

资产态势资产态势

：

资产状态

资产访问趋势

陌生账户访问排行

资产风险分布

开放端口变化趋势

敏感数据访问风险

跟踪

用户删除数据风险资产概览：总体呈现当前敏感资产汇总信息、资产风险排行、敏感类型、敏感数