DSMM数据安全能力成熟度模型

一、DSMM模型简介

数据安全能力成熟度模型（DS-CMM，或DSMM）是由是阿里巴巴和中国电子技术标准化研究院在大量实践和研究的基础上，联合三十多家企事业单位共同研究制定的。DSMM一份关于数据安全管理的标准，目前是报批稿状态，即将成为国家标准。
DSMM借鉴能力成熟度模型（CMM）的思想，将数据按照其生命周期分阶段采用不同的能力评估等级，分为数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全六个阶段。DSMM从组织建设、制度流程、技术工具、人员能力四个安全能力维度的建设进行综合考量。DSMM将数据安全成熟度划分成了1-5个等级，依次为非正式执行级、计划跟踪级、充分定义级、量化控制级、持续优化级，形成一个三维立体模型，全方面对数据安全进行能力建设。
注：该标准还在进一步修订中，未正式发布，供参考。需要请见文末。

二、能力成熟度等级
1级（非正式执行）
主要特点：数据安全工作是随机、无序、被动执行的，依赖与个人，经验无法复制。
组织在数据安全领域未执行有效的相关工作，仅在部分场景或项目的临时需求执行相关工作，未形成成熟的机制，来保障数据安全相关工作的持续开展。
2级（计划跟踪）
主要特点：在项目级别主动实现了安全过程的计划与执行，没有形成体系化。
规划执行，对数据安全过程进行规划，提前分配资源和责任；
规范化执行，对安全过程进行控制，使用安全执行计划，执行相关标准和程序的过程，对数据安全过程实施配置管理；
验证执行，确认过程按照预定的方式执行，验证执行过程与可应用的计划是一致的，对数据安全过程进行审计；
跟踪执行，控制数据安全项目的进展，通过可测量的计划跟踪过程执行，当过程实践与计划产生重大的偏离时采取修正行动。
3级（充分定义）
主要特点：在组织级别实现了安全过程的规范定义和执行。
定义标准过程，组织对标准过程进行制度化，形成标准化过程文档，为满足特定用途对标准过程进行裁剪；
执行已定义的过程，充分定义的过程可重复执行，针对有缺陷的过程结果和安全实践的核查，使用过程执行的结果数据；
协调安全实践，对业务系统和组织的协调，确定业务系统内，各业务系统之间、组织外部活动的协调机制。
4级（量化控制）
主要特点：建立了量化目标，安全过程可量化度量和预测。
建立可测的目标，为组织数据安全建立可测量的目标；
客观的管理执行，确定过程能力的量化测量来管理安全过程，以量化测量作为修正行动的基础。
5级（持续优化）
主要特点：根据组织的整理战略和目标，不断改进和优化数据安全过程。
改进组织能力，在整个组织范围内的标准过程使用情况进行比较，寻找改进标准过程的机会，分析对标准过程的可能变更。
改进过程有效性，制定处于连续受控改进状态下的标准过程，提出消除标准过程产生缺陷的原因和持续改进的标准过程。
三、数据生命周期安全
DSMM模型将数据生命周期分为了数据采集、数据传输、数据存储、数据处理、数据交换和数据销毁六大阶段，40个过程域（PA），其中包含16个通用安全过程域，和24个数据生命周期各阶段安全过程域，如下图所示：

四、数据安全能力构成
1、组织建设
—— 数据安全组织架构对组织业务的适应性；
—— 数据安全组织架构承担的工作职责的明确性；
—— 数据安全组织架构运作、协调、沟通的有效性；
2、制度流程
—— 数据生命周期的关键控制节点授权审批流程的明确性；
—— 相关流程、制度的制定、发布、修订的规范性；
—— 安全要求及落地执行的一致性和有效性。
3、技术与工具
—— 数据安全技术在数据全生命周期过程中的使用情况，针对数据安全风险的检测及相应能力；
—— 利用技术工具对数据安全工作的自动化和持续支持能力，对数据安全制度流程的固化执行能力。
4、人员能力
—— 数据安全人员所具备的安全技能是否能满足复合型能力要求；
—— 数据安全人员的数据安全意识以及关键数据安全岗位员工的数据安全能力培养。
五、DSMM模型解读
作为企业数据治理的一部分，数据安全管理重点建设内容也分为“组织建设–制度流程–技术工具–人员能力”四个方面，这点DSMM模型给了准确的描述。DSMM模型从数据安全能力维度、数据安全等级、数据全生命周期安全形成了一个三位一体模型，并且给出了非常详细的评估内容和评估项。对于DSMM模型，笔者给出以下几点不成熟建议：
1、DSMM模型中将数据的生命分为周期划分了六个阶段，分别是数据采集、数据传输、数据存储、数据处理、数据交换和数据销毁。这里，笔者不清楚DSMM模型作者是出于什么原因考虑的，在笔者看来数据的生命周期应该从数据规划算起，分为数据规划、数据设计、数据运营、数据退役四大阶段，而数据的采集安全、数据存储安全、数据传输安全、数据处理安全和数据销毁安全是数据生命周期中的六个重要的数据安全控制点。结合数据生命周期和数据安全控制点，形成数据全生命周期安全控制图，如下图所示：

2、数据安全应从源头抓起，在做数据规划设计的时候，需要将数据安全设计作为系统设计的一个重要部分，描述出每项数据的结构、数据来源、敏感字段、以及对应的管理部门、维护人员，做好数据安全认责。做好敏感数据的识别和分类、分级管理，从数据的源头抓起，理清楚敏感数据的使用路径，从数据源到数据目的的全链路的控制和跟踪。
3、针对DSMM模型，作为一项信息安全的技术标准，目前还在研制阶段，还未正式发布。目前的DSMM评估指南，还存在一些瑕疵，例如：评估项晦涩难懂，描述不清晰等问题。希望在正式版本发出后，这些问题能够解决或改进。
六、DSMM模型使用
数据安全能力成熟度模型，关注于组织开展数据安全工作时应具备的数据安全能力，定义数据安全保障的模型框架和方法论，提出对组织的数据安全能力成熟度的分级评估方法，来衡量自主的数据安全能力，促进组织了解并提升自身的数据安全水平，促进数据在组织机构之间的交换与共享，发挥数据的价值。
DSMM模型借鉴了CMM思想将数据安全管理划分了40个过程域（PA），160个评估项，每个PA都从组织建设、制度流程、技术与工具、人员能力四个维度进行能力成熟度的评估。国家信息安全标准技术委员会提供了数据安全的评估指南，可供企业进行数据安全能力评估时进行参考。按照CMM的思想，企业在做数据安全能力成熟度评估时，应根据企业的自身的行业特点和安全需求对40个PA和相关评估项进行适当裁剪，以适应企业自身的需求。
在评估之前，可以将评估过程域（PA）、成熟度等级和评估项结合起来，形成一个二维的《评估工具检查表》。在具体的实践中，如果企业规模较大、业务复杂，可以根据按照不同的业务域进行拆分，逐个评估。企业进行数据安全能力的评估，应充分做好相关业务部门核心骨干的宣贯，让参与评估的人员充分理解数据安全评估的价值，并给予积极的配合，这样才能取得一个相对准确的评估结果。