数据安全学习系列-(3)数据安全管理框架

数据安全管理框架

规章制度

类别	举例
法律法规	《刑法》、《数据安全法》、《个人信息保护法》\《中华人民共和国保守国家秘密法》、《中华人民共和国国家安全法》、《中华人民共和国电子签名法》、《计算机信息系统国际联网保密管理规定》、《涉及国家秘密的计算机信息系统分级保护管理办法》、《互联网信息服务管理办法》、《非经营性互联网信息服务备案管理办法》、《计算机信息网络国际联网安全保护管理办法》、《中华人民共和国计算机信息系统安全保护条例》、《信息安全等级保护管理办法》…
部门规章	《工业和信息化领域数据安全管理办法（试行）》…
标准规范	《个人金融信息保护技术规范》、《网络数据分类分级要求》（征求意见稿）、《重要数据识别指南》（送审稿）、《重要数据处理安全要求》、《数据安全风险评估方法》（草案）、《数据安全评估机构能力要求》（草案）…
行业实践	对所有企业数据进行编目、对数据进行分类、使用数据屏蔽、使用数据加密、创建数据收集和保留策略、备份数据、进行安全意识培训

工具平台

需求管理平台
合规管理平台
监控审计平台
时间响应平台
资产管理平台
多方学习平台
数据分发平台

协同保障

组织战略
数据治理
网络安全

数据安全生命周期

数据采集、数据传输、数据存储、数据处理、数据交换、数据销毁

数据安全通用管理要求

组织机构的安全治理	建立专门的数据安全管理部门或指定安全负责人，负责制定和执行数据安全政策。确保所有人员都能了解其在数据安全中的角色和责任
制定和执行数据安全制度和程序	制定全面的数据安全制度，涵盖数据的全生命周期。设定明确的操作规程，确保数据处理活动符合组织的安全政策和法律法规要求
数据分类和分级保护	根据数据的敏感性以及重要性（数据损失、泄露、非法利用造成的危害的影响程度）对数据进行分类分级。一般分为核心数据、重要数据、一般数据。针对不同的级别采取不同的保护措施，以确保数据满足相应级别的安全需求
数据资产梳理	对组织内的所有数据资产进行系统性地识别、分类、评估和管理。识别数据处理中涉及的数据，包括个人信息、重要数据及其他数据，形成数据保护目录，病保持动态更新
访问控制和用户权限管理	实施基于角色的访问控制（RBAC），确保人员仅能访问到被授权的数据。定期审查和调整用户的权限，形成全流程的权限管理，尤其是涉及到人员的变更、调岗、离职等
风险评估	组织应持续实施风险评估流程，以识别、评估、处置数据处理活动中的潜在风险。
应急响应和事件管理	建立应急响应团队，制定应急响应计划。在发生数据安全事件时，能够迅速启动应急响应机制，最大程度减轻损失，并进行事后的分析溯源，做到持续改进
物理环境安全	保护数据处理设施的物理环境安全，防止未经授权的访问和环境威胁。如办公环境防盗、防止未授权人员进入，数据基础设施防火防水。
审计和监控	实施数据处理活动的审计和监控措施，记录关键操作和事件。定期审查审计日志。
人员安全意识培训	人是安全体系中最薄弱的环节，对人员进行安全意识培训是最简单显著的措施。需定期对员工进行安全意识培训，提升对数据安全潜在威胁的认知。确保员工了解如何安全地处理数据，以及在发现数据安全事件时的应对措施
合作方管理	对组织共享、处理或者存储数据的外部合作伙伴、供应商或者服务提供商制定一些列安全管控。
举报投诉机制	为员工或者相关方提供明确、易于访问的举报通道，以报告数据处理中的安全问题、违规行为或者其他担忧