我国首部针对数据安全的专项法案《数据安全法》今日起正式落地施行，标志着我国数据安全领域将有法可依，为各行业数据安全提供监管依据；同时也对数据安全防护、企业数据安全治理提出更高要求。

数字经济时代，数据安全风险与日俱增，数据泄露、数据贩卖等数据安全事件频发，为个人隐私、企业商业秘密、国家重要情报等带来了严重的安全隐患。企业如何打造出行之有效的数据安全能力体系，使数据使用更安全、合规，已成为数字化企业、数字化业务、数字化经济时代最紧迫和最基础的问题。

一、数据安全能力建设框架

面对数据安全威胁日益严峻的态势，着力解决数据安全领域的突出问题，有效提升数据安全治理能力迫在眉睫。然而，由于数字技术促使数据应用场景和参与主体日益多样化，数据安全的外延不断扩展，数据安全能力体系构建必须抛弃传统的单点防御模式，而要采用全局化、体系化建设思路。

数据安全能力建设并非单一产品或平台的构建，而是覆盖数据全部使用场景的数据安全体系建设。因此，需要按步骤、分阶段的逐渐完成。为了有效地实践数据安全能力，形成数据安全的闭环，我们需要构建一个系统化的数据安全能力建设框架。

数据安全能力建设基于以下安全理念：

数据安全能力=(关键技术 + 基础设施能力 + 管理能力) × 数据安全运营

图1 数据安全能力建设框架

由中新赛克参与编制的《信息安全技术—数据安全能力成熟度模型》（GB/T 37988-2019）给出了组织数据安全能力的成熟度模型架构，规定了数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全、通用安全的成熟度等级要求。该标准适用于对组织数据安全能力进行评估，也可作为组织开展数据安全能力建设时的依据。

 图2《信息安全技术—数据安全能力成熟度模型》（GB/T 37988-2019）

整体来看，数据安全能力建设框架是以法律法规监管要求和业务发展需要为输入，在充分识别组织业务场景、风险现状的基础上，对企业数据资产进行梳理，完成数据的分类分级。依据数据安全能力成熟度模型(DSMM)，对企业数据安全能力现状进行摸底。结合组织数据安全在技术、基础设施、管理结合运营维度的能力要求，满足数据生命周期各个过程域的安全。

二、数据安全技术能力建设

基于流量分析的数据安全监测技术

基于流量分析的数据安全检测技术利用深度包检测（DPI）围绕用户、业务、关键链路和网络访问等多个维度的流量分析，可以实现对用户和业务访问的精准分析，发现各类异常事件和行为，并建立流量的多种流量基线，实现有效溯源敏感流量的流向、流量数据来源等，为安全策略调整和联动响应提供必要的技术支撑，提升流量分析对安全监管的支撑能力。

用户实体行为分析技术（UEBA）

用户实体行为分析技术对组织内部和外部用户的行为安全数据分析，如异常时间登录非权限系统、异常权限操作、账号过期未更改、离职人员拷贝大量数据等数据，通过监控用户各类行为，准确找到用户行为数据之间的关联，对其访问轨迹、访问的内容和关注重点等进行分析，确保用户行为符合数据安全管理相关要求。

知识图谱技术

知识图谱最早用于搜索引擎和社交网络，它简单可以看成是一种基于图的数据结构，由节点和边组成，每个节点是一个实体，每条边是两条实体之间的关系。由于个人数据治理关键是个人数据实体识别，以及相关属性与处理流程的关联，引入知识图谱技术成为必然。通过知识图谱技术，可帮助企业了解所在敏感数据的位置，是如何被使用的，以及它的合同、法律和监管义务，达到个人信息治理与可视化作用。

区块链技术

区块链具有数据可溯源、难以篡改、公开透明、智能合约自动执行等技术特点，是解决多方协作和多方信任问题的一把利器。通过共识机制在参与方之间建立信任基础，实现点对点的价值传递。通过智能合约实现链上数据真实性验证和审计。通过协同机制、激励机制的设置与共识，促进数据开放共享与价值协作。

三、数据安全基础设施能力建设

数据采集

针对采集阶段面临的非授权采集、数据分类分级不清、敏感数据识别不清、采集时缺乏细粒度的访问控制、数据无法追本溯源、采集到敏感数据的泄密等安全风险，在基础安全能力的基础上增加安全验证、数据清洗、数据识别和数据标签等安全技术应对措施。

数据存储

在数据存储阶段，需要采用数据存储隔离与加密技术来保障数据在存储过程中的机密性、完整性和可信任性；开展本地备份、异地灾备以及数据恢复和有效性验证。

数据传输

在数据传输阶段，需要采用数据传输加密技术来保障数据在传输过程中的机密性、完整性和可信任性。

数据处理

数据脱敏既可避免未经授权的人非法获取组织敏感数据，实现对敏感数据的保护，同时又可保证系统测试、业务监督等相关的处理不受影响。数据泄露防护在数据资产分类的基础上，结合组织的业务流程和数据流向，构建完善的可能导致数据泄露各个环节的安全，促进核心业务持续安全运行。针对用户对数据访问服务的安全使用要求的多样性，将基于零信任架构的动态细粒度访问控制能力与业务应用结合，实现数据细粒度的权限访问控制。

数据交换

监测主客体之间的数据访问关系，数据流转信息，以及流量日志、应用日志，系统日志、安全告警等，汇聚关键环节对重要数据、敏感数据的处理和流转信息，以构建敏感数据分布态势、敏感数据流动态势、数据安全风险态势，并对数据安全威胁及时预警和处置，指导数据安全持续运营工作。利用多源、多维日志，分析风险行为，通过追踪溯源，识别异常行为，进行定责。

数据销毁

数据销毁主要是指获得组织、用户的授权许可或请求后对数据进行清除或销毁。使用组织授权的技术和方法对敏感信息进行清除或销毁，保证无法还原，并且具备安全审计能力。

四、数据安全管理能力建设

组织建设

为了有效保障数据安全政策的落地实施，企业应该设置专职的数据安全团队。此外，还需要设立面向全组织的数据安全委员会，委员会需要有来自业务、数据、安全、法律等领域的不同角色参与，形成专业上的互补和完整的组织视角，委员会的负责人是组织里最高管理层分管安全或者数据的管理者。建设完善的动态协同机制，充分利用部门资源，解决部门运转孤岛问题。明确数据访问人员、数据生产人员、数据维护人员等目标对象，以数据全生命周期为基础，对相关人员进行串联，形成动态协同。

制度流程

数据安全管理制度流程可分为4层架构，从上到下分别为管理总纲、管理制度、操作流程和规范文件、表单文件。第一层管理总纲是组织内部数据安全战略目标，具体建设内容包括管理规范、管理指南等。第二层是内部安全制度，具体建设内容包括管理制度、岗位职责、应急响应等。第三层是制度下的具体规范和指南，具体建设内容包括分类分级、运维、审计、防护等。第四层是数据安全落地运维过程中产生的表单，具体建设内包括：机房出入记录表、安全审计记录表、安全防护记录表、数据使用变更申请表等。

人员能力

开展数据安全人才梯队建设，通过组织数据安全培训、开展数据安全比赛等方式提升数据安全人员能力。数据安全的人员能力主要包括数据安全管理能力、数据安全运营能力、数据安全技术能力和数据安全合规能力。

五、数据安全运营能力建设

通过数据资源安全运营、数据安全策略运营、数据安全监控运营、数据安全风险运营等多维度实现全网数据安全能力统一运营，通过汇聚分析全域多源数据进行统一、多维数据风险实时监测，并通过可视化技术形成数据安全态势感知，以平台化、可视化的风险监管支撑业务持续安全运营，为数据安全运营提供信息化支撑，提升目标客户数据安全运营能力与效率。

总结

企业通过开展数据安全风险评估，从合规性要求、业务自身安全要求出发，根据业务的特点对各类场景进行识别和风险评估的结果，制定组织的数据的分类分级标准，随后依据数据安全能力成熟度模型（DSMM），对企业数据安全能力现状进行摸底。通过“现状“与“目标”的差距分析，确定改进目标。通过数据安全技术能力、数据安全基础设施能力、数据安全管理能力、数据安全运营能力四个维度的建设，建立具有自优化特性的数据安全防护闭环控制体系，不断优化数据安全保护机制和方法，降低数据资产的风险，保障数据生命周期的安全可管可控，最终满足《数据安全法》合规要求。