DSMM数据安全能力成熟度模型及配套实施指南笔记（附原文下载）

说明

《GBT 37988-2019 信息安全技术 数据安全能力成熟度模型》和《数据安全能力建设实施指南》原文下载链接在文末

 2020年3月1日《GBT 37988-2019 信息安全技术 数据安全能力成熟度模型》正式实施，该标准适用于对企业、组织对数据安全能力进行评估和作为数据安全能力建设的实施依据。为便于学习和理解DSMM标准模型，相关起草单位还同步制定了配套的数据安全能力建设实施指南，以数据安全能力成熟度三级为目标，解读如何实施和落地相应数据安全措施。

  本文以下内容是在学习实施指南时的记录笔记，以梳理结构、体现重点为原则，适用于对DSMM和数据安全知识有一定了解的人群。若在此之前没有了解过DSMM，建议先在文章末尾链接处下载原文通读后再学习本文。

笔记

37988数据安全能力成熟度模型 配套指南，以等级三级为目标

1.数据安全能力建设框架

2.数据安全组织建设

1）决策层

高管、数据安全官、其他业务的高管

• 制定组织的数据安全目标和愿景

• 数据安全的策略和规划、制度与规范进行发布

• 对组织的数据安全建设的提供必要的资源

• 对公司的重大数据安全事件做协调和决策

  2）管理层

  数据安全管理团队，数据安全工作最核心的部门

• 制定数据安全整体解决方案并组织实施

• 制定数据安全管理策略和规划，统一数据安全规范体系

• 建立监控审计机制

• 数据安全技术和意识培训

• 做组织架构的运作机制

• 与外部组织机构保持沟通

  3）执行层

  数据安全专职人员、业务部门的数据安全接口人、数据所有者
  

• 数据安全风险的评估和改进

• 数据安全运营工作

• 数据安全事件的跟进和处理

• 做数据分类分级工作

• 数据安全专项管理和实施

  4）员工和合作伙伴（第三方）
  

• 履行组织对数据安全的要求，部署数据安全工作

• 培训、考试、学习等提升数据安全意识

• 识别安全风险、判断风险并降低风险

  5）监督层
  
  具备独立性、组织内部的审计部门
  

• 监督数据安全制度落地执行情况

• 监督数据安全工具执行有效性

• 监控与审计数据安全风险

不同部门之间联动

业务新增、业务运营、外部合作、安全事件、安全执行

人力资源

安全遵守要求、人员违规的处置

IT部门

介质安全管理、防护措施部署、管理策略执行

法务部门

政策法规、数据安全合规

风险管理

数据安全管理的协助，风控

公共关系部门

信息发布的敏感信息控制

3.数据安全人员能力

4.数据安全制度流程

5.数据安全技术工具

6.数据安全各阶段实施解读

1）数据采集

数据分类分级

• 制度流程：说明 分类分级的角色和职责、分类分级原则、实施流程、不同级别数据的保护细则、建立和变更审核流程
• 技术工具：

采集安全管理

• 制度流程：

     数据采集规则：采集目的、采集用途、采集方式、采集范围
  
     采集岗位职责：负责采集相关的工作岗位和职责
  
     数据采集评估：风险评估方法、评估周期、评估对象、整改要求
  
     采集过程保护：保护数据类型、安全措施、审计要求
  
     合规性说明：相关法律法规和监督要求
  

• 技术工具：采集工具、采集过程的防泄漏安全技术措施

数据源鉴别及记录

• 制度流程：

   数据采集来源管理
  
   数据溯源管理
  

• 技术工具

     采集数据的识别和记录：元数据管理、数据血缘
  
     数据源的识别和记录：身份鉴别机制、指纹识别机制
  

数据质量管理

• 制度流程：数据质量定义、数据质量校验方法、质量管理实施流程、质量管理规范
• 技术工具：对离线数据采取波动值校验、固定值比较的校验方式

2）数据传输

数据传输加密

数据传输通道加密是利用传输协议对数据加密，不是对发送的传输流量加密。

数据传输中的加密可以是发送前对数据加密、传输时用协议加密

常见数据传输加密的场景：不可靠网络内传输、高安全等级到低安全等级、等保三级以上的信息系统中传输

较多采用VPN加密传输通道、使用SSL/TLS加密传输协议

• 制度流程：加密方式、加密算法、密钥有效期

• 技术工具

        密钥管理系统
  
        传输端点身份鉴别
  
         加密工具
  
         堡垒机：管理人员通过堡垒机对密钥管理系统和数据加密策略配置进行操作。
  

网络可用性管理

• 制度流程：GBT 25068.1-2012 《信息技术 安全技术 IT网络安全 第1部分：网络安全管理》

• 技术工具：

       关键链路、网络节点的冗余建设
  
       负载均衡、网络安全防护设备
  
       是否对关键业务系统、链路做了冗余建设
  

3）数据存储安全

存储介质安全

物理实体介质（磁盘/硬盘）、虚拟存储介质（容器/虚拟盘）

• 制度流程

  存储介质分类及定义
  
  存储介质购买及审批
  
  存储介质审批及净化处理要求
  
  存储介质标记要求
  
  存储介质入库和保存要求
  
  安全管理员职责
  
  附件：使用/维修/报废登记表
  

• 技术工具

数据消除工具，基于国家保密局颁发的BMB2T-2007《涉及国家秘密的载体销毁与信息消除安全保密要求》

逻辑存储安全

针对存储容器和存储架构的安全要求

认证鉴权、访问控制、日志管理、通信举证、文件防病毒、安全配置策略

• 制度流程

   参考《GB/T 31916.1-2015 信息技术云数据存储和管理 第1部分：总则》
  

• 技术工具

   对存储系统的安全配置扫描、采集存储系统的操作日志
  

数据备份与恢复

• 制度流程

   备份和恢复管理规范
  

  《GB/T 31500-2015 信息安全技术 存储介质数据恢复服务要求》

  《GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求》

4）数据处理安全

*** 数据脱敏***

 关注数据脱敏

• 制度流程

  脱敏制度规范、使用者的岗位职责、业务范围
  

  《ISO&IEC 27038_2014 数字脱敏规范》

  《DB52/T 1126-2016 政府数据 数据脱敏工作指南》

• 技术工具

   数据脱敏工具、与数据权限管理平台联动、脱敏过程的日志留存
  
   使用哪些数据、用数据来做什么事情
  

数据分析安全

数据集的关联分析和深度挖掘

• 制度流程

   数据资源操作规范、数据分析结果的风险评估机制
  
   数据分析结果审核机制（评估后二次导出）
  

• 技术工具

    去标识化记录工具、敏感数据操作日志记录工具
  
   《个人信息去标识化指南》
  

数据正当使用

• 制度流程

•    数据权限管理制度、数据使用者安全责任制度
  

• 技术工具

•    统一身份管理平台IAM
  

数据处理环境安全

数据处理过程不被损坏、丢失或窃取

• 制度流程

   保障数据处理安全的平台的规范要求
  

• 技术工具

   数据处理平台和数据权限管理平台的联动、多租户之间的逻辑隔离
  
   >网络访问控制
  
         网络隔离、堡垒机、VPN远程运维
  
    >账号管理和身份认证
  
    >授权
  
        统一权限申请和授权管理系统
  
        运维和审计职责分离
  
    > 监控
  
        自动化监控系统监控网络设备、服务器、数据库、应用集权、核心业务
  
    >审计
  
        所有运维操作且只能通过堡垒机进行
  

5）数据交换安全

数据导入导出安全

• 制度流程

     导入导出安全制度规范、安全审核和授权流程、导入导出介质的标识规范
  
     规范目的、导入导出场景、安全要求、岗位职责说明、导入导出工具导入导出流程
  

• 技术工具

     导入导出审核流程在线平台、导入导出日志记录
  
      建立独立的数据导入导出安全控制平台，或者与在统一的用户认证平台、权限管理平台、流程审批平台、监控审计平台中支持数据导入导出的安全控制功能
  
    《GB/T 35274-2017 信息安全技术 大数据服务安全能力要求》
  

数据共享安全

• 制度流程

     数据共享原则和保护措施
  
     涉及部门的职责和权限
  
     共享的数据类型、内容、格式、常见场景做细化的规范要求
  
     数据共享的审核流程、审计策略和审计日志管理规范
  
     第三方的数据交换加工平台的安全要求
  

• 技术工具

     数据共享审核流程的在线平台
  

数据发布安全

• 制度流程

     防止出现违规对外披露造成对组织名誉的影响
  
     明确数据发布的内容和范围
  
     数据发布相关人员职责和分工
  
     数据发布的管理和审核流程
  
     数据发布事件应急处理流程
  
     数据发布的监管要求
  

• 技术工具

     公共服务平台、数据开放平台
  

数据接口安全

主要指API接口

攻击方式：伪装攻击、篡改攻击、重放攻击、数据信息监听

• 制度流程

    XX接口开发规范
  
  《GB/T 32908-2016 非机构化数据访问接口规范》
  

• 技术工具

   通过协议方式控制
  

6）数据销毁安全

数据销毁处置

删除文件：操作简单，并不能擦除磁盘数据区信息

格式化硬盘：多种格式化选择，数据区数据依然可以恢复

文件粉碎软件：可信度和安全性不高

《GA/T 1143-2014 信息安全技术 数据销毁软件产品安全技术要求》

介质销毁处置

存储介质物理性销毁

《BMB21-2007 涉及国家秘密的载体销毁与信息消除安全保密要求》

7）通用安全

数据安全策略规划

• 制度流程

    方针政策：目标原则、监管合规、数据生命收起、数据资产和分类分级定义、违规处罚
  
    策略规划：数据安全能力战略规划
  

• 技术工具

    OA平台信息发布
  

人力资源安全

人力资源部门主要参与

• 制度流程

  人力资源管理过程数据安全管理措施，安全文化宣导和安全意识提升

  员工合理分类：正式员工、外包员工、试用期员工、兼职人员

  各类场景下的安全要求：招聘、培训、考核、转岗、离职

合规管理

• 制度流程

   合规要求清单、整改和考核规范、全年检查计划（专项检查、常规检查、事件驱动检查）
  

数据资产管理

包括资产识别、资产重要度定级、资产变更管理与监测、资产风险管理

数据资产管理平台

数据供应链安全

供应链协议管理、数据服务商安全能力评估

 全链路数据追踪技术

元数据管理

 元数据管理系统

数据终端安全

  终端安全管理规范、终端行为管理规范、移动安全管理平台

《GB/T 34977-2017 信息安全技术 移动智能终端数据存储安全技术要求与测试评价》

《GB/T 34978-2017 信息安全技术 移动智能终端个人信息保护技术要求》

《GB/T 35278-2017 信息安全技术 移动终端安全保护技术要求》

监控与审计

数据安全日常监控和审计管理办法

数据安全监控审计平台

原文链接：

数据安全能力建设实施指南V1.0 （征求意见稿）.pdf: (访问密码: 1455)

GBT 37988-2019数据安全能力成熟度模型.pdf: (访问密码: 1455)

数据安全能力建设实施指南V1.0 （征求意见稿）.docx: (访问密码: 1455)