隨著《中華人民共和國數(shù)據(jù)安全法》、《中華人民共和國個人信息保護(hù)法》的正式實(shí)施，數(shù)據(jù)安全已經(jīng)成為企業(yè)數(shù)據(jù)管理和開發(fā)利用過程中最核心的問題之一，其范圍也擴(kuò)大到安全和隱私兩個層面。在更為嚴(yán)格的監(jiān)管要求及數(shù)據(jù)安全規(guī)范化管理的驅(qū)使下，企業(yè)數(shù)據(jù)安全管理工作面臨更高的管理要求及復(fù)雜度挑戰(zhàn)。

　　數(shù)據(jù)資產(chǎn)管理新模式

　　高效的企業(yè)數(shù)據(jù)資產(chǎn)運(yùn)營管理需要對數(shù)據(jù)資產(chǎn)進(jìn)行分類分級，數(shù)據(jù)安全管理管控的基礎(chǔ)也需要圍繞數(shù)據(jù)分類分級來進(jìn)行，因此數(shù)據(jù)分類分級的管理難免成了企業(yè)數(shù)據(jù)管理乃至數(shù)字化轉(zhuǎn)型過程中非常重要的一環(huán)。

　　那如何從數(shù)據(jù)資產(chǎn)安全運(yùn)營管理的角度來提升企業(yè)數(shù)據(jù)安全管理的能力呢？我們的建議是在企業(yè)清晰準(zhǔn)確的數(shù)據(jù)資產(chǎn)清單的基礎(chǔ)上，建立以數(shù)據(jù)安全為目標(biāo)的分類分級管理體系，同時將數(shù)據(jù)安全運(yùn)營所必須的數(shù)據(jù)安全權(quán)責(zé)管理和數(shù)據(jù)訪問權(quán)限管理結(jié)合起來，形成企業(yè)數(shù)據(jù)安全防護(hù)策略的統(tǒng)一標(biāo)準(zhǔn)和接口，并把這些標(biāo)準(zhǔn)和接口作為數(shù)據(jù)資產(chǎn)安全運(yùn)營管理的基礎(chǔ)架構(gòu)輸出給企業(yè)的業(yè)務(wù)系統(tǒng)和安全管理軟件。

　　通過數(shù)據(jù)資產(chǎn)的安全運(yùn)營管理中心可以幫助數(shù)據(jù)安全的運(yùn)營者滿足數(shù)字資產(chǎn)的管理、數(shù)據(jù)安全的管理、數(shù)據(jù)權(quán)責(zé)的管理、數(shù)據(jù)安全策略的定制需求，同時又能把數(shù)據(jù)安全的能力作為一個公司統(tǒng)一的標(biāo)準(zhǔn)進(jìn)行輸出，賦能給需要進(jìn)行權(quán)限查詢的業(yè)務(wù)系統(tǒng)、安全軟件、安全網(wǎng)關(guān)、數(shù)據(jù)庫防火墻、終端管控軟件等。

　　建設(shè)企業(yè)數(shù)據(jù)安全底座的最大價值在于，建立以數(shù)據(jù)資產(chǎn)安全為核心的平臺，將數(shù)據(jù)安全最關(guān)鍵的安全管理信息匯總并統(tǒng)一管理后，可以連接所有業(yè)務(wù)平臺、關(guān)聯(lián)企業(yè)所有數(shù)據(jù)資產(chǎn)，并對所有的業(yè)務(wù)系統(tǒng)提供統(tǒng)一的數(shù)據(jù)資產(chǎn)安全管理基準(zhǔn)。

　　數(shù)據(jù)安全底座的架構(gòu)設(shè)計

　　通過對于數(shù)據(jù)資產(chǎn)安全屬性以及用戶賬戶訪問權(quán)限的關(guān)聯(lián)，可以準(zhǔn)確識別企業(yè)任何一條數(shù)據(jù)資產(chǎn)的安全屬性，如此就具備了企業(yè)數(shù)據(jù)安全底座的標(biāo)準(zhǔn)輸出能力和賦能能力。

　　企業(yè)數(shù)據(jù)安全底座的功能主要包括資產(chǎn)管理、權(quán)限管理、權(quán)責(zé)認(rèn)定、分類分級、安全策略、安全賦能。

　　資產(chǎn)管理：

　　數(shù)據(jù)安全治理關(guān)鍵是以數(shù)據(jù)資產(chǎn)為基礎(chǔ)的安全管控，因此數(shù)據(jù)資產(chǎn)管理是進(jìn)行治理的前提。通過數(shù)據(jù)資產(chǎn)管理工具自動采集將企業(yè)的結(jié)構(gòu)化、半結(jié)構(gòu)化以及非結(jié)構(gòu)化的資產(chǎn)進(jìn)行盤點(diǎn)，形成數(shù)據(jù)資產(chǎn)目錄。

　　權(quán)責(zé)認(rèn)定：

　　數(shù)據(jù)安全治理涉及安全專家、業(yè)務(wù)人員、數(shù)據(jù)管理人員等多種崗位的共同參與，如何能讓不同的參與人員專注于自己的職責(zé)、同時又不影響整體工作開展，如何讓多種角色的人員高效、簡單的協(xié)同工作，如何在問題發(fā)生時快速、準(zhǔn)確的找到相關(guān)負(fù)責(zé)人、并解決問題？隨著數(shù)據(jù)安全治理管控的數(shù)據(jù)資產(chǎn)范圍不斷擴(kuò)大、管控力度加深，這些問題嚴(yán)重影響安全治理的進(jìn)度和效果。通過大量的實(shí)踐經(jīng)驗來看，建立權(quán)責(zé)體系是解決這一問題的有效手段。通過工具快速建立人員、管控事項、管理職責(zé)的關(guān)系。同時支持權(quán)責(zé)關(guān)系的變更、預(yù)警等運(yùn)營維護(hù)保證該關(guān)系持續(xù)有效。

　　分類分級：

　　分類分級是數(shù)據(jù)安全治理的核心，在企業(yè)的經(jīng)驗中通常人工標(biāo)記的方式執(zhí)行。但是人工標(biāo)記的方式一方面會因為不同人的理解不同造成同一個資產(chǎn)標(biāo)記等級不一樣。另一方面隨著企業(yè)的資產(chǎn)數(shù)在不斷增加，人工標(biāo)記的效率已經(jīng)無法滿足業(yè)務(wù)使用。因此在分類分級過程中要采用系統(tǒng)工具自動化的進(jìn)行分類分級。在實(shí)踐中，一種比較好的模式是分類分級工具根據(jù)數(shù)據(jù)資產(chǎn)目錄信息分類定級，在定級過程中對于無法自動定級的數(shù)據(jù)資產(chǎn)結(jié)合權(quán)責(zé)關(guān)系人工定級。通過任務(wù)、模型驅(qū)動流程化的方式推動多方角色協(xié)同，共同完成分類分級、敏感數(shù)據(jù)資產(chǎn)的識別。

　　權(quán)限管理：

　　隨著數(shù)據(jù)應(yīng)用的場景日益增加，管理數(shù)據(jù)的使用權(quán)限成為數(shù)據(jù)安全治理的 關(guān)鍵。在數(shù)據(jù)安全治理過程中需要基于數(shù)據(jù)資產(chǎn)的分類分級結(jié)果進(jìn)行統(tǒng)一數(shù)據(jù) 權(quán)限管理。保證管理人員可以給使用者進(jìn)行數(shù)據(jù)授權(quán)，數(shù)據(jù)使用者可以申請數(shù) 據(jù)的使用權(quán)限。

　　安全策略：

　　對于數(shù)據(jù)資產(chǎn)，不同生命周期階段需要不同的數(shù)據(jù)管控策略，同一階段不同使用場景的管控策略也不相同。企業(yè)在管理過程中通常是采用不同的安全防護(hù)工具進(jìn)行單獨(dú)管理的管理方式，這容易造成管控力度不統(tǒng)一，同一個數(shù)據(jù)鏈路中部分環(huán)節(jié)過于嚴(yán)格，部分環(huán)節(jié)過于松懈。因此，安全策略管理中，需要充分利用分類定級的結(jié)果，以數(shù)據(jù)安全等級為基礎(chǔ)進(jìn)行管控，建立統(tǒng)一的數(shù)據(jù)管控標(biāo)準(zhǔn)，為各個環(huán)節(jié)的安全工具提供目標(biāo)資產(chǎn)的標(biāo)準(zhǔn)。

　　安全賦能模塊：

　　數(shù)據(jù)安全管控軟件和產(chǎn)品在對企業(yè)組織的業(yè)務(wù)系統(tǒng)及相關(guān)業(yè)務(wù)流程進(jìn)行管控時，都需要基于用戶賬戶對于數(shù)據(jù)資產(chǎn)的訪問權(quán)限和分類分級的管控要求進(jìn)行識別，因此企業(yè)有必要建立統(tǒng)一的、基于數(shù)據(jù)資產(chǎn)和用戶賬戶權(quán)限的數(shù)據(jù)安全標(biāo)準(zhǔn)，只有建立統(tǒng)一的識別標(biāo)準(zhǔn)和識別接口，企業(yè)的所有的業(yè)務(wù)系統(tǒng)和安全軟件才可以具備精確的識別能力，從而實(shí)現(xiàn)精細(xì)化的數(shù)據(jù)安全管控效果，實(shí)現(xiàn)企業(yè)數(shù)據(jù)安全管控的最大價值。因此通過對企業(yè)業(yè)務(wù)系統(tǒng)、業(yè)務(wù)流程和安全軟件的賦能，可以極大的提高企業(yè)的數(shù)據(jù)安全管控能力，從根本上解決企業(yè)數(shù)據(jù)安全管控過程中的落地難問題，解決企業(yè)安全軟件使用效力不及要求的問題。

　　結(jié)語

　　企業(yè)建設(shè)數(shù)據(jù)安全底座后，數(shù)據(jù)資產(chǎn)安全管理運(yùn)營中心可以更好地成為企業(yè)數(shù)據(jù)資產(chǎn)管理的核心平臺，讓企業(yè)更好的把握企業(yè)數(shù)據(jù)資產(chǎn)管理、企業(yè)數(shù)據(jù)分類分級管理、基于數(shù)據(jù)資產(chǎn)和訪問權(quán)限的管理、企業(yè)數(shù)據(jù)資產(chǎn)的認(rèn)責(zé)管理、數(shù)據(jù)安全策略的統(tǒng)一輸出、安全賦能管理，形成圍繞企業(yè)重要核心數(shù)據(jù)資產(chǎn)的統(tǒng)一化、標(biāo)準(zhǔn)化安全管理體系，提升數(shù)據(jù)安全部門的安全管理能力和企業(yè)數(shù)據(jù)資產(chǎn)的管理水平，保障企業(yè)業(yè)務(wù)系統(tǒng)的安全價值。