数据合规体系建设规划方案

数据合规体系建设规划方案CONTENT什么是数据合规为什么要做数据合规数据合规体系建设数据合规工作规划e7d195523061f1c0b9c437df2358c0cda14f5041a22fabbfBE2BE37675DC7AB669ED1A17F222BC996230C869F9A73B775AB9A6F73BCC744AF1BB55A31F7D215610F6B48D481C98CFAE215B20EECA2E6EFD7083D19AF5B435823B8AA0D943BFF9A8FC9E7EDA4DBFFC8B4AE6EC2B330A2A56797497DCBA1CB32BB95BC53B41CB715ACC17B2C3B6D6CE5DAA0774F2924189数据安全框架e7d195523061f1c0b9c437df2358c0cda14f5041a22fabbfBE2BE37675DC7AB669ED1A17F222BC996230C869F9A73B775AB9A6F73BCC744AF1BB55A31F7D215610F6B48D481C98CFAE215B20EECA2E6EFD7083D19AF5B435823B8AA0D943BFF9A8FC9E7EDA4DBFFC8B4AE6EC2B330A2A56797497DCBA1CB32BB95BC53B41CB715ACC17B2C3B6D6CE5DAA0774F2924189什么是数据合规What?数据合规狭义的数据合规广义的数据合规数据全生命周期企业对于数据的收集、处理、留存、删除、销毁与数据所在地区的法律、规则和准则相符合。企业在应对监管时，其采取的措施对数据所涉及的技术和内容均符合法律法规的规定，即包括了信息数据本身的合法性和数据信息通过互联网传播展示的合法性。e7d195523061f1c0b9c437df2358c0cda14f5041a22fabbfBE2BE37675DC7AB669ED1A17F222BC996230C869F9A73B775AB9A6F73BCC744AF1BB55A31F7D215610F6B48D481C98CFAE215B20EECA2E6EFD7083D19AF5B435823B8AA0D943BFF9A8FC9E7EDA4DBFFC8B4AE6EC2B330A2A56797497DCBA1CB32BB95BC53B41CB715ACC17B2C3B6D6CE5DAA0774F2924189数据安全与合规e7d195523061f1c0b9c437df2358c0cda14f5041a22fabbfBE2BE37675DC7AB669ED1A17F222BC996230C869F9A73B775AB9A6F73BCC744AF1BB55A31F7D215610F6B48D481C98CFAE215B20EECA2E6EFD7083D19AF5B435823B8AA0D943BFF9A8FC9E7EDA4DBFFC8B4AE6EC2B330A2A56797497DCBA1CB32BB95BC53B41CB715ACC17B2C3B6D6CE5DAA0774F2924189保密性可用性完整性可追溯性………数据安全让数据使用更安全安全治理法律法规国家标准国际标准行业标准企业规定………数据合规数据合规是安全的底线数据安全是合规的有力武器为什么要做数据合规e7d195523061f1c0b9c437df2358c0cda14f5041a22fabbfBE2BE37675DC7AB669ED1A17F222BC996230C869F9A73B775AB9A6F73BCC744AF1BB55A31F7D215610F6B48D481C98CFAE215B20EECA2E6EFD7083D19AF5B435823B8AA0D943BFF9A8FC9E7EDA4DBFFC8B4AE6EC2B330A2A56797497DCBA1CB32BB95BC53B41CB715ACC17B2C3B6D6CE5DAA0774F2924189数据安全合规治理-国家已经开始行动网络安全法数据安全法个人信息保护法数据出境管理办法关键信息基础设施安全保护条例0105040203数据合规内容个人信息安全保护关键基础设施建设数据出境数据资产e7d195523061f1c0b9c437df2358c0cda14f5041a22fabbfBE2BE37675DC7AB669ED1A17F222BC996230C869F9A73B775AB9A6F73BCC744AF1BB55A31F7D215610F6B48D481C98CFAE215B20EECA2E6EFD7083D19AF5B435823B8AA0D943BFF9A8FC9E7EDA4DBFFC8B4AE6EC2B330A2A56797497DCBA1CB32BB95BC53B41CB715ACC17B2C3B6D6CE5DAA0774F2924189数据危机处理的预防与应对中国法GDPRCCPA数据合规的要点e7d195523061f1c0b9c437df2358c0cda14f5041a22fabbfBE2BE37675DC7AB669ED1A17F222BC996230C869F9A73B775AB9A6F73BCC744AF1BB55A31F7D215610F6B48D481C98CFAE215B20EECA2E6EFD7083D19AF5B435823B8AA0D943BFF9A8FC9E7EDA4DBFFC8B4AE6EC2B330A2A56797497DCBA1CB32BB95BC53B41CB715ACC17B2C3B6D6CE5DAA0774F2924189数据采集数据传输数据存储数据处理数据使用数据销毁数据分级分类传输加密保存期限数据加密数据输出数据删除数据打标数据采集网络可用性数据备份数据恢复数据脱敏数据下载数据共享数据销毁内部流程规范、数据安全数据主体权利、隐私保护数据安全保护的目标与保护层次e7d195523061f1c0b9c437df2358c0cda14f5041a22fabbfBE2BE37675DC7AB669ED1A17F222BC996230C869F9A73B775AB9A6F73BCC744AF1BB55A31F7D215610F6B48D481C98CFAE215B20EECA2E6EFD7083D19AF5B435823B8AA0D943BFF9A8FC9E7EDA4DBFFC8B4AE6EC2B330A2A56797497DCBA1CB32BB95BC53B41CB715ACC17B2C3B6D6CE5DAA0774F2924189数据安全保密性+完整性+可用性目标：风险可控个人层面的数据保护国家层面数据保护数据安全数据主体权利网络运营商及相关方尊重个人权利的义务数据安全重要

重要数据数据

恶意使用控制

危害国家权 安全国家监管目标：个人数据+重要数据数据合规体系建设e7d195523061f1c0b9c437df2358c0cda14f5041a22fabbfBE2BE37675DC7AB669ED1A17F222BC996230C869F9A73B775AB9A6F73BCC744AF1BB55A31F7D215610F6B48D481C98CFAE215B20EECA2E6EFD7083D19AF5B435823B8AA0D943BFF9A8FC9E7EDA4DBFFC8B4AE6EC2B330A2A56797497DCBA1CB32BB95BC53B41CB715ACC17B2C3B6D6CE5DAA0774F2924189管理难监测难防护难追溯难数据安全管控面临的难点难点《数据安全法》总则中指出：维护数据安全应当坚持总体国家安全观，建立健全数据安全治理体系，提升数据安全保障能力。e7d195523061f1c0b9c437df2358c0cda14f5041a22fabbfBE2BE37675DC7AB669ED1A17F222BC996230C869F9A73B775AB9A6F73BCC744AF1BB55A31F7D215610F6B48D481C98CFAE215B20EECA2E6EFD7083D19AF5B435823B8AA0D943BFF9A8FC9E7EDA4DBFFC8B4AE6EC2B330A2A56797497DCBA1CB32BB95BC53B41CB715ACC17B2C3B6D6CE5DAA0774F2924189决策层管理层支持层组织建立①决策层：负责数据安全治理体系目标、范围、策略的决策工作，决策层属于虚拟组织。②管理层：负责数据安全治理体系建设工作，管理层的成员一般由数据合规部门承担。③支持层：负责安全手段和制度执行的可行性，一般由业务部门承担，提出在业务开展过程中的数据安全需求。高层参与建设组织建立数据安全组织——决策层参与数据合规体系化建设思路组织技术流程人员e7d195523061f1c0b9c437df2358c0cda14f5041a22fabbfBE2BE37675DC7AB669ED1A17F222BC996230C869F9A73B775AB9A6F73BCC744AF1BB55A31F7D215610F6B48D481C98CFAE215B20EECA2E6EFD7083D19AF5B435823B8AA0D943BFF9A8FC9E7EDA4DBFFC8B4AE6EC2B330A2A56797497DCBA1CB32BB95BC53B41CB715ACC17B2C3B6D6CE5DAA0774F2924189组织企业战略部门职责安全与合规融合流程流程简捷高效抓住风险核心重要节点审批技术支撑数据防泄漏访问控制精细化终端管控流程工具化人员树立全员数据安全意识建立违规惩罚机制HOW?体系化建设落地步骤!1、组织构建和完善2、资产梳理和更新3、策略制定和完善

e7d195523061f1c0b9c437df2358c0cda14f5041a22fabbfBE2BE37675DC7AB669ED1A17F222BC996230C869F9A73B775AB9A6F73BCC744AF1BB55A31F7D215610F6B48D481C98CFAE215B20EECA2E6EFD7083D19AF5B435823B8AA0D943BFF9A8FC9E7EDA4DBFFC8B4AE6EC2B330A2A56797497DCBA1CB32BB95BC53B41CB715ACC17B2C3B6D6CE5DAA0774F29241896、持续改善

5、行为稽核4、过程控制e7d195523061f1c0b9c437df2358c0cda14f5041a22fabbfBE2BE37675DC7AB669ED1A17F222BC996230C869F9A73B775AB9A6F73BCC744AF1BB55A31F7D215610F6B48D481C98CFAE215B20EECA2E6EFD7083D19AF5B435823B8AA0D943BFF9A8FC9E7EDA4DBFFC8B4AE6EC2B330A2A56797497DCBA1CB32BB95BC53B41CB715ACC17B2C3B6D6CE5DAA0774F2924189明确数据资产的分布和使用状况、进行数据分级分类制定安全管理制度和规范和管控策略基于数据的访问者和场景决定安全策略和技术影响数据使用的安全技术和策略是伪安全数据安全技术要与安全管理工作深度整合数据安全产品要满足国家和行业规范要求分级分类使用安全管理整合数据安全治理体系建设实施步骤第一阶段第二阶段第三阶段基础防护建设阶段数据资产管理规范敏感数据定义和发现数据分类分级标准及管控要求数据安全评估策略优化及能力提升建设阶段用户权限责任矩阵资产/准入基线加密数据安全事件应急管理及运维数据安全运营风险管控阶段组织架构定岗定责数据安全建设规划用户行为业务流程接口权限数据安全防护方针&策略脱敏数据风险策略特征库审计防泄漏流转行为库数据安全意识&技能培训策略中心数据安全管控平台事件监测风险分析数据采集数据存储数据交换数据传输数据处理数据删除数据合规工作规划e7d195523061f1c0b9c437df2358c0cda14f5041a22fabbfBE2BE37675DC7AB669ED1A17F222BC996230C869F9A73B775AB9A6F73BCC744AF1BB55A31F7D215610F6B48D481C98CFAE215B20EECA2E6EFD7083D19AF5B435823B8AA0D943BFF9A8FC9E7EDA4DBFFC8B4AE6EC2B330A2A56797497DCBA1CB32BB95BC53B41CB715ACC17B2C3B6D6CE5DAA0774F2924189数据合规工作规划组织流程人员e7d195523061f1c0b9c437df2358c0cda14f5041a22fabbfBE2BE37675DC7AB669ED1A17F222BC996230C869F9A73B775AB9A6F73BCC744AF1BB55A31F7D215610F6B48D481C98CFAE215B20EECA2E6EFD7083D19AF5B435823B8AA0D943BFF9A8FC9E7EDA4DBFFC8B4AE6EC2B330A2A56797497DCBA1CB32BB95BC53B41CB715ACC17B2C3B6D6CE5DAA0774F2924189资产梳理更新第一季度第二季度第三季度第四季度团队建设数据合规库建立识别数据资产数据分级分类数据资产梳“理”以数据生命周期为核心的制度、规范、流程建立、运行数据资产“治”理数据安全风险评估数据安全技术措施技术与安全管理工作深度融合数据安全运营对敏感数据进行监控持续改善建立数据安全管理闭环监控审计数据安全框架e7d195523061f1c0b9c437df2358c0cda14f5041a22fabbfBE2BE37675DC7AB669ED1A17F222BC996230C869F9A73B775AB9A6F73BCC744AF1BB55A31F7D215610F6B48D481C98CFAE215B20EECA2E6EFD7083D19AF5B435823B8AA0D943BFF9A8FC9E7EDA4DBFFC8B4AE6EC2B330A2A56797497DCBA1CB32BB95BC53B41CB715ACC17B2C3B6D6CE5DAA0774F2924189安全服务管理安全技术管理0资产管理(生命周期管理)0资产管理(安全状态管理、价值管理)1管理组织建设14组织-安全运营管理部1安全可视化15应用安全态势16数据安全态势3安全流程管理16组织-安全运营部3脆弱性态势17身份账号态势4人员安全管理17组织-安全技术研究部4横向攻击态势18网络行为态势5安全建设管理18组织-安全运维部5安全事件态势19用户行为态势6安全运维管理19组织-基础设施安全运维6攻击态势(攻击链分析)7安全培训管理20组织-安全服务部7防护态势(防护能力评估)21上网行为态势8安全运营管理21组织-数据安全部8威胁态势(威胁情报)22邮件行为态势9安全咨询管理22组织-安全合规部9漏洞态势23终端安全态势10安全运营中心-L1(前台)23组织-安全审计部10内部威胁流量态势24工控安全态势11安全运营中心-L2(平台)24流程–审核审批机制11基线态势25物联网安全态势12安全运营中心-L3(中台)25流程-上报通报告警机制12内部威胁行为态势26云平台安全态势13安全运营中心-L4(中心)26流程-应急处置机制13合规风险态势27大数据安全态势核心思想：

以资产管理为基础、以合规管控为底线、以风险管理为依据、以安全治理为手段、以安全保护为目标安全运营管理0资产管理(存活与离线管理)1互联网资产发现15威胁情报预警业务战略运营战略

IT战略

IS战略数据安全管理◆战略管理安全方针安全政策安全目标15组织-专家委员会20数据行为态势2资产态势(价值风险分析)2安全制度管理28风险咨询25合规测评认证24业务连续性管理14安全产品运行维护10安全流量风险分析11应用失陷检测28风险管理26合规自查12安全事件及态势监测13安全策略优化21终端安全监控7安全事件分析18重大事件通告机制17重点时期安全检查16漏洞生命周期管理20应用安全监控4安全审计分析6系统上线安全检查3安全运维管理2基线评估加强22网络安全监控23数据安全管理(备份)19数据安全监控9安全应急响应处置5安全服务交付成果分析8重点时期攻防演练14补丁缺失态势安全策略日常安全检测扫描和风险识别数据安全合规评估风险评估数据资产发现和管理日常安全风险报告及处置数据分级分类管理攻防演练和对抗数据安全策略和建模管理数据安全风险监测审计及应急数据内部共享数据外部流转数据安全流通数据安全运营体系日常数据生产安全管理数据连续性和灾备数据安全合规体系数据应用场景生产办公运维开发测试数据出境数据安全管理体系数据安全规范和操作流程合规分析及持续改进主机服务器安全记录和表单文件数据安全举报投诉管理管理平台数据

安全

技术

体系基础平台“合规和安全双驱动“数据安全整体防护体系数据安全管理◆战略管理—全局图PKI(公钥基础设施)数据脱敏数据防泄漏收集存储使用加工传输提供公开销毁供应链安全管理数据安全考核评价监管数据上报管理数据隐私计算数据接口安全数据审计IAM(身份识别和访问管理平台)数据安全组织体系数据监管合规数据安全防护能力子系统数据安全三大目标数据安全管理制度企业数据安全总体策略国家法律法规及监管政策数据加密平台数据安全风险监测平台数据安全合规能力建设数据安全合规检查法规及监管政策跟踪解读合规工作规划和任务分解数据安全合规评估数据安全共享和流通平台数据安全监管合规平台数据安全教育与培训第三方安全管理数据安全组织结构建立数据安全管控平台数据分级分类平台基础安全能力数据水印数据溯源数据生命周期应用安全物理安全终端安全网络安全云安全数据生命周期安全管控数据采集

数据传输

数据存储

数据使用

数据共享

数据销毁

根据对威胁源、攻击方式、数据资产、业务风险的识别，制定数据安全策略

数据确权管理数据安全管理

①整数据安全策略业务需求和数据安全风险、合规性之间达到平衡应用数据审计数据优先级数据资产梳理确定数据安全策略数据库审计数据

分类分级数据脱敏终端数据

防泄漏数据加密网络数据

防泄漏行为分析、告警、报告阻断、脱敏、隔离、令牌数据发现、分类分级用户权限评估、监视行为监视、审计数据安全策略管理风险容忍度业务战略合规支撑工具数据安全策略技

术安全策略执行管

理行为监视分享

存储DLP

数据脱敏

敏感标记

数据行为分析、异常行为监控

敏感数据追踪、数据泄露溯源敏感数据审计

敏感数据管理系统

安全管理数

据

资

产

安

全

管

控

体

系身份权限设置策略

数据风险管理策略

生命周期安全策略

安全监测评估策略检测评估保密检查隐私检查敏感检测风险评估动态审计态势研判安全服务合规检查安全运维应急响应渗透测试专家分析安全培训

数据技术

数据梳理

分类分级

数据抽取

数据识别

数据标记

数据加解密

数据安全管理

②数据资产管理落

地

技

术

措

施涉密监控

隐私监控

敏感监控

文档安全管理系统

数据分级防护策略安全组织机构安全管理制度安全策略

数据销毁

终端DLP

敏感检查敏感检查数据鉴权终端DLP网络DLP传输销毁采集存储使用汇聚数据资产

等保合规性

系统脆弱性

入侵威胁敏感信息泄露系统配置漏洞攻击、刺探重要数据安全配置权限、验证间谍病毒木马敏感数据安全运维监控弱口令弱加密恶意邮件个人信息安全应急措施路径紊乱恶意域名违法信息数据安全管理

③数据资产安全评估信息收集漏洞扫描验证权限、验证假冒伪造

弱口令撞库、钓鱼

钓鱼热点

安全检查

监督抽查/专项检查

接口调用任意跳转

乱搭乱建安全域隔离弱加密数据一致性入侵痕迹重要数据保护个人信息保护安全机构设置

安全监控安全应急措施系统等级认定安全标准执行等级保护落实安全运维备份与恢复恶意邮件web应用攻击恶意域名异常流量敏感信息泄露信息刺探行为漏洞利用攻击间谍软件病毒蠕虫木马后门主动技术检测安全风险评估病毒攻击防范注册日志记录

违法信息拦截等保合规性安全应急措施风险评估管控信息基础设施风险评估涉密检查保密检查设备资产保密数据泄漏

保密数据泄露

被动技术监测合规检查1、账号认证方式不合理2、账号弱密码3、账号明文密码传输4、账号单因素认证5、单IP多账号风险6、账号借盗用风险7、账号撞库风险8、账号密码爆破1、无授权访问风险2、水平越权风险3、垂直越权风险4、权限滥用1、高敏数据暴露面2、敏感数据伪脱敏暴露3、敏感数据漏脱敏暴露4、单次请求敏感数据过多风险5、多类型敏感数据透出风险1、IP获取数据量异常风险2、IP访问频次异常风险3、非工作时间数据访问量异常风险4、数据资产遍历访问风险5、数据访问后门风险6、数据爬虫风险1、敏感数据从国内流向境外风险2、敏感数据从生产流向测试风险3、敏感数据从内网流向公网风险数据

泄露数据

窃取数据

篡改非法

使用数据权限风险暴露面风险数据行为风险数据流向风险评测内容

数据安全管理③数据资产安全评估数据API系统APP

服务

云端数据账号风险业务

系统交换敏感数据检测合规性检测API监测与审计数字水印安全下载与分发销毁销毁审计销毁授权监控数

据

安

全

制

度

规

范数据动静态脱敏存储细粒度访问控制数据资产识别大数据基线检测高危操作告警数据结构体变更处理多方安全计算开发运维监控动态脱敏水印溯源采集数据分类分级采集接口认证数据加密完整性保护一体化数据安全管控体系态势感知、资产中心、告警中心、能力中心、运营中心)传输流动性监控数据脱敏敏感数据发现身份鉴别数

据

安

全

技

术

体

系访问控制(含零信任)数据安全评估工具数据安全管理④

数据安全管控体系数据安全运营监

管服务保障在采集、存储、传输、使用、共享和销毁等全生命周期的各环节数据安全数据库、主机、应用、终端、安全设备基础设施出口审计系统(API)数据安全网关大数据平台组件安全检测安全组织数据操作安全监管全面资产管理安全运营监管报告数据出口安全监管安全风险评估告警研判与处置基础安全管理策略账号权限安全监管动态策略配置业务安全管理策略数据安全管理职责安全检查与审计数据分类分级复标安全应急响应服务安全重保服务数据安全组织架构系统安全管理策略数据水印溯源数据分类分级数据资产地图安全策略《XX业

类分级务数据分指南》《数据

评估安全风险指南》《数据安全管理组织架构》

组织体系、权责划分《数据分类分级管理办法》

通用分类分级要求⑤数据安全管理制度体系数据安全管理《数据安全管理要求》

目标、基线、体系《通用安全管理制度》环境、人员、机制信息安全关系？《数据操作审查报告》《XX业务数据采集记录》《XX业务数据资产分类分级清单》《人员培训与考核记录》《数据安全审计管理制度》《数据采集管理规范》《培训及考核管理规定》《数据分类分级标准》(总责)商密？保密？《数据发布共享管理规范》《数据生命周期管理制度》《数据安全风险评估标准》《数据脱敏管理规范》《XX业务数据安全风险评估报告》《XX数据发布及

审批记录》《XX数据脱敏记录》《关键岗位人员背景调查报告》《关键岗位人员管理规范》《数据操作审计程序》一级

文件三级

文件四级

文件二级文件开发安全平台安全安全管理安全管理界面安全策略运行维护数据安全管理⑥数据安全技术体系生命周期等保2.0DSMM3级数据生命周期

分析数据应用场景数据安全策略

安全技术手段合规性技术要求数量等保2.0三级-通用：11个等保2.0三级-云计算：6个等保2.0三级-大数据：10个数据采集安全：6个；数据处理安全：6个数据传输安全：3个；数据交换安全：4个数据存储安全：6个；数据销毁安全：3个梳理数据应用场

景，

根据安全需

求部署安全设备，

执行相关安全策

略，

实现全生命

周期管控！数据使用数据脱敏数据加解密数据脱敏数据溯源数据脱敏使用数据运维使用数据业务使用数据挖掘使用数据安全管理

⑦数据安全生命周期管理数据传输传输加密传输加密访问控制

防止泄漏传输加密访问控制

防止泄漏数据存储存储加密存储安全

访问控制

备份恢复存储安全访问控制

备份恢复数据审计数据防泄漏数据交换监控数据审计数据防泄漏数据交换