数据安全治理：构建与实施的关键要素及总体架构

本文将深入探讨数据安全治理的核心要素和总体架构，旨在为组织提供一个明确的指南，帮助他们构建和实施有效的数据安全治理策略。在数字化快速发展的今天，理解并实施这些要点和架构不仅是提升数据安全的关键，也是确保组织能够在复杂的安全环境中持续成长的基础。

一、数据安全治理要点

（1）以数据为中心

数据的高效开发和利用，涵盖了数据的采集、传输、存储、使用、共享、销毁等全生命周期的各个环节，不同环节的特性不同，都面临丰富多样的数据安全威胁与风险。因此，必须构建以数据为中心的数据安全治理体系，根据具体的业务场景和各生命周期环节，有针对性地识别并解决其中存在的数据安全问题，防范数据安全风险。

（2）多元化主体共同参与

无论是从广义还是狭义的角度出发，数据安全治理不是仅仅依靠一方力量可以开展的工作。对国家和社会而言，面对数据安全领域的诸多挑战，政府、企业、行业组织、甚至个人都需要发挥各自优势，紧密配合，承担数据安全治理主体责任，共同营造适应数字经济时代要求的协同治理模式。这也与《中华人民共和国数据安全法》（以下简称《数据安全法》）中强调建立各方共同参与的工作机制相一致。对组织机构而言，数据安全治理需要从组织战略层面出发，协调管理层、执行层等相关方，打通不同部门之间的沟通障碍，统一内部数据安全共识，实现数据安全防护建设一盘棋。因此，数据安全治理必然是涉及多元化主体共同参与的工作。

（3）兼顾发展与安全

随着国内数字化建设的快速推进，无论是政府部门，还是其他组织均沉淀了大量的数据。数字经济时代的应用场景下，数据只有在流动中才能充分发挥其价值，而数据流动又必须以保障数据安全为前提，因此，必须要辩证看待数据安全治理。正如《数据安全法》提出的“坚持以数据开发利用和产业发展促进数据安全，以数据安全保障数据开发利用和产业发展。”数据安全治理不是强调数据的绝对安全，而是需要兼顾发展与安全的平衡。

二、数据安全治理总体视图

数据安全推进计划给出了一套行之有效的数据安全治理总体视图，用以描绘数据安全治理的建设蓝图和实践路线，覆盖全面，可执行性强。数据安全推进计划发布的《数据安全治理实践指南2.0》依据《数据安全治理能力评估方法》和大量的数据安全治理能力评估实践工作，提炼出3344数据安全治理总体视图：即3项治理目标、3层治理体系、4项治理维度、4步实践路线，用以描绘数据安全治理的建设蓝图和实践路线。

数据安全治理总体视图

2.1 数据安全治理目标

数据安全治理目标是组织数据安全治理工作开展的前进方向，其主要包括满足合规要求、管理数据安全风险、促进数据开发利用三方面。

满足合规要求。逐渐细化的数据安全监管要求，为组织数据安全合规工作的推进提出了更高的要求。及时发现合规差距，协助组织履行数据安全责任义务，为业务的稳定运行和规范化开展筑牢根基是数据安全治理工作的首要目标。

管理数据安全风险。不断产出的海量数据在动态实时流转过程中，面临着较大的风险暴露面，数据安全威胁及带来的影响与日俱增。叠加数据安全边界较为模糊、数据安全基础不够强韧等问题，组织数据安全风险的有效管理必然是数据安全治理的重要使命。

促进数据开发利用。数字经济的高速发展离不开数据价值的充分释放，数据安全则是保障数据价值释放的重要基石。数据安全治理通过体系化的建设，完善组织的合规管理和风险管理工作机制，提升数据安全保护水平，促进数据的开发利用。

2.2 数据安全治理体系

数据安全治理体系是组织达成数据安全治理目标需要具备的能力框架，组织应围绕该体系进行建设。本指南提出的数据安全治理体系是一个三层架构，分别包括数据安全战略层、数据全生命周期安全层和基础安全层。

数据安全战略层是推进数据安全治理工作开展的战略保障模块，要求组织在启动各项工作前，应制定相应的战略规划。数据安全战略从数据安全规划、机构人员管理两方面入手，前者确立目标任务，后者组建治理团队。

数据全生命周期安全层是评估组织数据安全合规及风险管理等工作下沉至各业务场景能力水平的重要模块。要求组织以采集、传输、存储、使用、共享、销毁等环节为切入点，设置管控点和管理流程，保障数据安全。

基础安全层作为数据全生命周期安全能力建设的基本支撑模块，可以在多个生命周期环节内复用，是整个数据安全治理体系建设的通用要求，能够实现建设资源的有效整合。

2.3 数据安全治理维度

以数据安全治理目标为指引，围绕数据安全治理体系框架，可以从组织架构、制度体系、技术工具和人员能力四个维度开展治理能力建设工作，以解决“谁来干”、“怎么干”、“干的如何”、“有没有能力干”等关键问题。

1. 组织架构

数据安全组织架构是数据安全治理体系建设的前提条件。通过建立专门的数据安全组织，落实数据安全管理责任，确保数据安全相关工作能够持续稳定的贯彻执行。

数据安全治理组织架构示例

各层的主要分工和构成如表1所示。决策层以虚拟组织的形式存在，如数据安全领导小组，该小组一般由组织的高层领导及相关部门负责人共同构成，主要负责对数据安全的重大事项进行统筹决策。管理层一般由安全部门或数据部门牵头，负责数据安全的管理、建设、宣贯等工作。执行部门一般由业务部门或数据生产部门构成，负责在本部门内落实执行各项数据安全管理要求。监督层涉及到合规部门、风控部门、内审部门等，负责从不同的角度对数据安全治理工作的开展情况进行监督。

数据安全组织职责分工表

因不同组织的部门设置都有较大不同，涉及到实际组织体系建设时，不同单位还需结合现有组织架构，进行适度的调整和补充。

2. 制度流程

数据安全制度流程一般会从业务数据安全需求、数据安全风险控制需要，以及法律法规合规性要求等几个方面进行梳理，最终确定数据安全防护的目标、管理策略及具体的标准、规范、程序等。

数据安全管理制度文件可分为四个层面，一、二级文件作为上层的管理要求，应具备科学性、合理性、完备性及普适性。三、四级文件则是对上层管理要求的细化解读，用于指导具体业务场景的具体工作。常见的制度体系如图3 所示。

数据安全治理制度体系示例

一级文件是由决策层明确的面向组织的数据安全管理方针、政策、目标及基本原则。二级文件是由管理层根据一级文件制定的通用管理办法、制度及标准。三级文件一般由管理层、执行层根据二级管理办法确定各业务、各环节的具体操作指南、规范。四级文件属于辅助文件，是各项具体制度执行时产生的过程性文档，一般包括工作计划、申请表单、审核记录、日志文件、清单列表等内容。

根据常见制度体系，围绕数据全生命周期安全要求，可以参考下图完善组织各级制度文件内容。

一套可参考的数据安全管理制度体系

3. 技术体系

数据安全技术体系并非单一产品或平台的构建，而是覆盖数据全生命周期，结合组织自身使用场景的体系建设。依照组织数据安全建设的方针总则，围绕数据全生命周期各阶段的安全要求，建立与制度流程相配套的技术和工具。

数据安全治理技术体系

其中基础通用技术工具为数据全生命周期的安全提供支撑：

• 数据分类分级相关工具平台主要实现数据资产扫描梳理、数据分类分级打标和数据分类分级管理等功能。

• 身份认证及访问控制相关工具平台，主要实现在数据全生命周期各环节中涉及的所有业务系统和管理平台的身份认证和权限管理。

• 监控审计相关工具平台接入业务系统和管理平台，实现对数据安全风险的实时监控，并能进行统一审计。

• 日志管理平台收集并分析所有业务系统和管理平台的日志，并统一日志规范以支持后续的风险分析和审计等工作。

• 安全及合规评估相关工具平台主要用于综合评估数据安全现状和合规风险。

4. 人员能力

数据安全治理离不开相应人员的具体执行，人员的技术能力、管理能力等都影响到数据安全策略的执行和效果。因此，加强对数据安全人才的培养是数据安全治理的应有之义。组织需要根据岗位职责、人员角色，明确相应的能力要求，并从意识和能力两方面着手建立适配的数据安全能力培养机制，如下表所示。

不同类型人员的数据安全能力要求和培养机制

通过本文，我们深入探讨了数据安全治理的关键要点和总体架构，强调了以数据为中心的治理体系、多元化主体的协同合作以及发展与安全的平衡三大核心原则。以及细致勾勒了数据安全治理的四大组成部分：治理目标、治理体系、治理维度和实践路线，为组织提供了一套可行的实施框架。后续文章将继续探索更多具体的实施策略和技术解决方案，帮助您应对日益复杂的数据安全挑战。