DSMM数据安全管理能力成熟度简介

1. DSMM标准介绍

《信息安全技术数据安全能力成熟度模型》(GB/T 37988-2019) (以下简称“DSMM”）是由阿里巴巴联合中国电子技术标准化研究院、国家信息安全工程技术研究中心、中国信息安全测评中心等业内权威机构联合编写的国家标准，于2019年8月30日发布，2020年3月1日正式实施。

DSMM国家标准以组织的数据为中心，围绕数据的采集、传输存储、处理、交换、销毁全生命周期，从组织建设、制度流程、技术工具、人员能力4个能力维度，按照1-5级成熟度，评判组织的数据安全能力。

2. DSMM评估概述

评估依据

数据安全能力成熟度评估(以下简称“DSMM评估”）是依据《信息安全技术数据安全能力成熟度模型》(GB/T 37988-2019)国家标准和《数据安全能力建设实施指南V1.0》，对组织的数据安全开展能力评估。

评估内容

DSMM评估以组织为单位，以数据为中心，围绕数据的生命周期，对组织建设、制度流程、技术工具以及人员能力4个能力维度进行评估，涵盖5个成熟度级别、30个数据安全能力过程域和576个基本实践。

1）维度一：安全能力（4个关键能力）

安全能力维度明确了组织在数据安全领域应具备的能力，包括：组织建设、制度流程、技术工具和人员能力。

2）维度二：能力成熟度等级（5级）

共分为5级，具体包括：1级是非正式执行级，2级是计划跟踪级，3级是充分定义级，4级是量化控制级，5级是持续优化级。

3）维度三：数据安全过程（6+1）

具体包括：数据生存周期安全过程（数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全）和通用安全过程。

评估对象

DSMM标准的适用范围非常广泛，没有行业的限制，对数据安全有需求、关注自身数据安全能力建设情况的组织均适合申请DSMM，包括但不限于数据运营组织、数据处理组织、数据服务提供组织等。

评估目标

DSMM评估的目标是帮助各企业和组织基于国家标准来评估其数据安全能力，帮助企业和组织发现数据安全能力短板，提升企业组织的数据安全能力，促进大数据在组织间的交换、共享与流转，发挥大数据的价值。DSMM将数据安全能力划分为五个等级，级别越高，代表该企业数据安全能力管理方面越优秀;级别自低向高依次为:1级-非正式执行、2级-计划跟踪、3级-充分定义、4级-量化控制、5级-持续优化。

申请什么级别主要依据企业的实际情况来判断，没有硬性规定初次申请级别的限制。大部分组织适合申请DSMM2级，DSMM3级适合具有较高数据安全实践水平的组织申请，DSMM4级适合在数据安全领域建设水平领先的组织申请，DSMM5级暂不开放申请。

评价方法

DSMM的评价方法主要是评分制，先对每个过程域（PA）的四个能力维度（BP）进行打分，再通过计算平均分、修正分值的方式得到最终的PA分值，最终得到整体的综合得分。

贯标流程

Step1：差距分析——Step2：能力建设——Step3：测量评估。

评估流程

评估交付物

评估结果:DSMM标准重点关注企业业务数据，以衡量组织机构安全能力，全面展示企业数据安全能力项成熟度评估等级。

评估报告:帮助企业展示数据安全能力现状，识别数据安全能力相关问题,给出评估结论、详细评估结果和阶段性安全提升建议等，给出评估等级建议。

评估证书:通过专家评审后，同意给定对应数据安全能力成熟度等级，并颁发DSMM证书。

03、需要哪些部门和角色参与？

申请DSMM涉及到的相关部门主要有数据安全管理部门、信息安全部门、信息科技部门、数据管理部门、业务条线部门（业务主管、业务处理）、风险管理部门、法务部门、人力资源部门、内控合规部门、审计部门等。

04、实施DSMM意义

DSMM标准可为组织在不同阶段，开展数据保护建设，提供分级别的实践指南。通过实施DSMM评估，可以：

1、促进组织机构了解并提升自身的数据安全水平，从数据生命周期的角度出发，结合各类数据业务发展所体现的安全需求开展数据安全保障工作；

2、保障数据在组织机构之间安全地交换与共享，充分发挥数据的价值，打造更安全的大数据应用环境。