隨著《中華人民共和國數(shù)據(jù)安全法》、《中華人民共和國個人信息保護法》的正式實施，數(shù)據(jù)安全已經(jīng)成為企業(yè)數(shù)據(jù)管理和開發(fā)利用過程中最核心的問題之一，其范圍也擴大到安全和隱私兩個層面。在更為嚴格的監(jiān)管要求及數(shù)據(jù)安全規(guī)范化管理的驅(qū)使下，企業(yè)數(shù)據(jù)安全管理工作面臨更高的管理要求及復雜度挑戰(zhàn)。

數(shù)據(jù)資產(chǎn)管理新模式

高效的企業(yè)數(shù)據(jù)資產(chǎn)運營管理需要對數(shù)據(jù)資產(chǎn)進行分類分級，數(shù)據(jù)安全管理管控的基礎也需要圍繞數(shù)據(jù)分類分級來進行，因此數(shù)據(jù)分類分級的管理難免成了企業(yè)數(shù)據(jù)管理乃至數(shù)字化轉(zhuǎn)型過程中非常重要的一環(huán)。

那如何從數(shù)據(jù)資產(chǎn)安全運營管理的角度來提升企業(yè)數(shù)據(jù)安全管理的能力呢?我們的建議是在企業(yè)清晰準確的數(shù)據(jù)資產(chǎn)清單的基礎上，建立以數(shù)據(jù)安全為目標的分類分級管理體系，同時將數(shù)據(jù)安全運營所必須的數(shù)據(jù)安全權(quán)責管理和數(shù)據(jù)訪問權(quán)限管理結(jié)合起來，形成企業(yè)數(shù)據(jù)安全防護策略的統(tǒng)一標準和接口，并把這些標準和接口作為數(shù)據(jù)資產(chǎn)安全運營管理的基礎架構(gòu)輸出給企業(yè)的業(yè)務系統(tǒng)和安全管理軟件。

通過數(shù)據(jù)資產(chǎn)的安全運營管理中心可以幫助數(shù)據(jù)安全的運營者滿足數(shù)字資產(chǎn)的管理、數(shù)據(jù)安全的管理、數(shù)據(jù)權(quán)責的管理、數(shù)據(jù)安全策略的定制需求，同時又能把數(shù)據(jù)安全的能力作為一個公司統(tǒng)一的標準進行輸出，賦能給需要進行權(quán)限查詢的業(yè)務系統(tǒng)、安全軟件、安全網(wǎng)關、數(shù)據(jù)庫防火墻、終端管控軟件等。

建設企業(yè)數(shù)據(jù)安全底座的最大價值在于，建立以數(shù)據(jù)資產(chǎn)安全為核心的平臺，將數(shù)據(jù)安全最關鍵的安全管理信息匯總并統(tǒng)一管理后，可以連接所有業(yè)務平臺、關聯(lián)企業(yè)所有數(shù)據(jù)資產(chǎn)，并對所有的業(yè)務系統(tǒng)提供統(tǒng)一的數(shù)據(jù)資產(chǎn)安全管理基準。

數(shù)據(jù)安全底座的架構(gòu)設計

通過對于數(shù)據(jù)資產(chǎn)安全屬性以及用戶賬戶訪問權(quán)限的關聯(lián)，可以準確識別企業(yè)任何一條數(shù)據(jù)資產(chǎn)的安全屬性，如此就具備了企業(yè)數(shù)據(jù)安全底座的標準輸出能力和賦能能力。

企業(yè)數(shù)據(jù)安全底座的功能主要包括資產(chǎn)管理、權(quán)限管理、權(quán)責認定、分類分級、安全策略、安全賦能。

資產(chǎn)管理：

數(shù)據(jù)安全治理關鍵是以數(shù)據(jù)資產(chǎn)為基礎的安全管控，因此數(shù)據(jù)資產(chǎn)管理是進行治理的前提。通過數(shù)據(jù)資產(chǎn)管理工具自動采集將企業(yè)的結(jié)構(gòu)化、半結(jié)構(gòu)化以及非結(jié)構(gòu)化的資產(chǎn)進行盤點，形成數(shù)據(jù)資產(chǎn)目錄。

權(quán)責認定：

數(shù)據(jù)安全治理涉及安全專家、業(yè)務人員、數(shù)據(jù)管理人員等多種崗位的共同參與，如何能讓不同的參與人員專注于自己的職責、同時又不影響整體工作開展，如何讓多種角色的人員高效、簡單的協(xié)同工作，如何在問題發(fā)生時快速、準確的找到相關負責人、并解決問題?隨著數(shù)據(jù)安全治理管控的數(shù)據(jù)資產(chǎn)范圍不斷擴大、管控力度加深，這些問題嚴重影響安全治理的進度和效果。通過大量的實踐經(jīng)驗來看，建立權(quán)責體系是解決這一問題的有效手段。通過工具快速建立人員、管控事項、管理職責的關系。同時支持權(quán)責關系的變更、預警等運營維護保證該關系持續(xù)有效。

分類分級：

分類分級是數(shù)據(jù)安全治理的核心，在企業(yè)的經(jīng)驗中通常人工標記的方式執(zhí)行。但是人工標記的方式一方面會因為不同人的理解不同造成同一個資產(chǎn)標記等級不一樣。另一方面隨著企業(yè)的資產(chǎn)數(shù)在不斷增加，人工標記的效率已經(jīng)無法滿足業(yè)務使用。因此在分類分級過程中要采用系統(tǒng)工具自動化的進行分類分級。在實踐中，一種比較好的模式是分類分級工具根據(jù)數(shù)據(jù)資產(chǎn)目錄信息分類定級，在定級過程中對于無法自動定級的數(shù)據(jù)資產(chǎn)結(jié)合權(quán)責關系人工定級。通過任務、模型驅(qū)動流程化的方式推動多方角色協(xié)同，共同完成分類分級、敏感數(shù)據(jù)資產(chǎn)的識別。

權(quán)限管理：

隨著數(shù)據(jù)應用的場景日益增加，管理數(shù)據(jù)的使用權(quán)限成為數(shù)據(jù)安全治理的 關鍵。在數(shù)據(jù)安全治理過程中需要基于數(shù)據(jù)資產(chǎn)的分類分級結(jié)果進行統(tǒng)一數(shù)據(jù) 權(quán)限管理。保證管理人員可以給使用者進行數(shù)據(jù)授權(quán)，數(shù)據(jù)使用者可以申請數(shù) 據(jù)的使用權(quán)限。

安全策略：

對于數(shù)據(jù)資產(chǎn)，不同生命周期階段需要不同的數(shù)據(jù)管控策略，同一階段不同使用場景的管控策略也不相同。企業(yè)在管理過程中通常是采用不同的安全防護工具進行單獨管理的管理方式，這容易造成管控力度不統(tǒng)一，同一個數(shù)據(jù)鏈路中部分環(huán)節(jié)過于嚴格，部分環(huán)節(jié)過于松懈。因此，安全策略管理中，需要充分利用分類定級的結(jié)果，以數(shù)據(jù)安全等級為基礎進行管控，建立統(tǒng)一的數(shù)據(jù)管控標準，為各個環(huán)節(jié)的安全工具提供目標資產(chǎn)的標準。

安全賦能模塊：

數(shù)據(jù)安全管控軟件和產(chǎn)品在對企業(yè)組織的業(yè)務系統(tǒng)及相關業(yè)務流程進行管控時，都需要基于用戶賬戶對于數(shù)據(jù)資產(chǎn)的訪問權(quán)限和分類分級的管控要求進行識別，因此企業(yè)有必要建立統(tǒng)一的、基于數(shù)據(jù)資產(chǎn)和用戶賬戶權(quán)限的數(shù)據(jù)安全標準，只有建立統(tǒng)一的識別標準和識別接口，企業(yè)的所有的業(yè)務系統(tǒng)和安全軟件才可以具備精確的識別能力，從而實現(xiàn)精細化的數(shù)據(jù)安全管控效果，實現(xiàn)企業(yè)數(shù)據(jù)安全管控的最大價值。因此通過對企業(yè)業(yè)務系統(tǒng)、業(yè)務流程和安全軟件的賦能，可以極大的提高企業(yè)的數(shù)據(jù)安全管控能力，從根本上解決企業(yè)數(shù)據(jù)安全管控過程中的落地難問題，解決企業(yè)安全軟件使用效力不及要求的問題。

結(jié)語

企業(yè)建設數(shù)據(jù)安全底座后，數(shù)據(jù)資產(chǎn)安全管理運營中心可以更好地成為企業(yè)數(shù)據(jù)資產(chǎn)管理的核心平臺，讓企業(yè)更好的把握企業(yè)數(shù)據(jù)資產(chǎn)管理、企業(yè)數(shù)據(jù)分類分級管理、基于數(shù)據(jù)資產(chǎn)和訪問權(quán)限的管理、企業(yè)數(shù)據(jù)資產(chǎn)的認責管理、數(shù)據(jù)安全策略的統(tǒng)一輸出、安全賦能管理，形成圍繞企業(yè)重要核心數(shù)據(jù)資產(chǎn)的統(tǒng)一化、標準化安全管理體系，提升數(shù)據(jù)安全部門的安全管理能力和企業(yè)數(shù)據(jù)資產(chǎn)的管理水平，保障企業(yè)業(yè)務系統(tǒng)的安全價值。

來源：安全牛