[collect]数据安全能力成熟度模型

=Start=

缘由：

学习、提高需要

正文：

参考解答：

信息早期的“数据安全”多指“数据库安全”，主要是针对存储状态的静态数据在数据库层面开展的安全保护，侧重于对数据库中的数据进行访问控制和加密存储，该阶段的数据安全多为对关系型数据库中存储的结构化数据的安全管理。伴随着云计算和大数据技术的发展和普及，组织也开始关注对半结构化数据和非结构化数据的价值挖掘，数据逐渐成为组织机构的重要资产，在业务发展、企业运营等关键环节中产生着更多的价值。

然而，在云计算和大数据环境以及多样化的工作方式、BYOD等新型模式的冲击下，组织的电子化数据不再仅仅存储于单一的信息系统和工作环境中，数据会经由组织及组织相关的业务流程及应用，在各业务系统、云平台、工作终端、员工的个人终端等不同的系统环境中进行流转和处理。同时，数据作为组织的重要资产面临着内外部的双重风险–外部日益复杂的攻击形式（甚至是国与国之间的安全对抗）以及恶意或误操作引发的内部风险，对组织的数据安全能力提出了更高的要求。

一方面，传统“边界安全防护”的思想所指导的安全工作聚焦于对承载数据的资产对象（如网络、系统）的独立安全控制，重点关注资产对象之间的边界安全，而大数据环境下数据在各安全边界之间的流转则是在打破原有的安全边界，边界安全防护的思想无法实现对数据的有效保护。另一方面，伴随着大数据产业的发展，对数据的安全保护面临着诸多合法合规要求，与国家安全、经济利益和个人隐私保护等利益相关的数据往往都需要符合数据的留存地点、留存时长等要求，数据的价值特性决定了大数据环境下安全工作的开展需要考虑对合法合规要求的符合。

组织需要围绕数据的生命周期、结合大数据业务的需求以及监管法规的要求，持续不断的提升组织整体的数据安全能力，以数据为核心的安全是大数据环境下的组织数据安全工作开展的核心。

数据安全成熟度模型介绍

整体介绍数据安全成熟度模型（Data Security Maturity Model, DSMM）的架构如图1所示，模型包含以下三个维度:

数据生命周期维度：组织在数据生命周期各阶段开展的数据安全实践构成了数据安全的过程域。
数据安全能力维度：组织完成数据安全过程域所需要具备的能力。
能力成熟度等级维度：对组织的数据安全能力进行成熟度等级评估的标准。

图1　数据安全成熟度模型架构

通过对模型的应用可以帮助组织机构了解其整体的数据安全风险，有针对性制定解决方案；建立组织内部整体的数据安全管理体系；明确自身的数据安全管理水平并确定后期建设的方向。

数据生命周期

数据生命周期基于大数据环境下数据在组织业务中的流转情况，定义了数据的六个生命周期阶段，各阶段的定义如下：

数据产生：指新的数据产生或现有数据内容发生显著改变或更新的阶段；
数据存储：指非动态数据以任何数字格式进行物理存储的阶段；
数据使用：指组织在内部针对动态数据进行的一系列活动的组合；
数据传输：指数据在组织内部从一个实体通过网络流动到另一个实体的过程；
数据共享：指数据经由组织与外部组织及个人产生交互的阶段；
数据销毁：指利用物理或者技术手段使数据永久或临时性的不可用的过程。

数据安全能力

通过对各项安全过程所需具备安全能力的量化，可供组织评估每项安全过程的实现能力。数据安全能力从组织建设、人员能力、制度流程及技术工具四个维度展开：

组织建设：数据安全组织的架构建立、职责分配和沟通协作。
人员能力：执行数据安全工作的人员的意识及专业能力。
制度流程：组织关键数据安全领域的制度规范和流程落地建设。
技术工具：通过技术手段和产品工具固化安全要求或自动化实现安全工作。

能力成熟度等级

能力成熟度等级维度组织的数据安全成熟度模型具有5个成熟度等级，如下表所述：

参考链接：

=END=

4 11 月, 2017

Docker

KnowledgeBase, Security

BigData, 大数据, 数据安全, 能力成熟度模型