云大物移飞速发展，为业务数字化转型带来新机遇，数据成为业务发展的重要资源要素，成为新时期的“石油”，但新技术、新需求、新场景也给组织数据黄金城官网带来新的压力与挑战，被泄漏、被窃取、被滥用风险与日俱增。
国家对数据黄金城官网问题已经高度重视、大力部署，《网络黄金城官网法》、《数据黄金城官网法》、《个人信息保护法》共同组成了国内数据保护领域的“三驾马车”。越来越多的政府部门、企事业单位、金融机构等各行各业，对数据黄金城官网合规的需求日益增多，纷纷开始数据黄金城官网治理体系的建设和探索。
那么，数据黄金城官网治理到底该怎么做？近日，黄金城黄金城官网实验室负责人刘隽良线上进行《实践视角下的数据黄金城官网治理经验分享》。
一、数据黄金城官网的现实痛点
1.数据资产量级不清
不了解数据资产是否与实际资产相符，不知敏感数据在哪里、被谁访问；
2.数据资产黄金城官网状况未知
组织有意识提升数据黄金城官网防护能力，但不知具体风险有哪些、在哪里；
3.数据黄金城官网建设无头绪
缺少切实有效的数据黄金城官网管理制度流程为抓手，数据黄金城官网难落实稽核；
4.数据黄金城官网建设成果无感知
采购了一批黄金城官网产品，但是否有效无评价机制，对新产生的风险无法感知。
过去甚至现在，绝大多单位组织普遍重视网络侧防御，或数据黄金城官网建设中沿用自下而上的“堆产品”思维，烟囱式建设，导致数据黄金城官网普遍存在上述管理制度体系不健全、数据资产权责不清晰等问题挑战，且这些问题随着新业务开展、数据大范围流动共享、强监管态势不断放大。
数据黄金城官网建设亟需与时俱进，体系化开展。数据黄金城官网治理则提出了一整套可行的解决途径。数据黄金城官网治理目的是保障数据在黄金城官网可控的情况下使用并发挥价值，强调以数据为中心、黄金城官网与业务发展兼顾、从业务层到黄金城官网层，从管理层到技术层，自上而下全方位与体系融合，最终实现数据黄金城官网保障能力持续提升。
二、数据黄金城官网治理框架与思路
基于十余年数据黄金城官网领域研究，黄金城科技充分汲取Gartner数据黄金城官网治理框架（DSG）、Microsoft数据黄金城官网治理框架（DGPC）、DSMM数据黄金城官网能力成熟度模型、以及零信任2.0数据黄金城官网架构，形成一整套可落地实践的数据黄金城官网治理服务解决方案，并在实践中不断优化，让数据黄金城官网治理这项复杂而系统的工程，在不同行业、不同场景中有效落地。
图 1黄金城数据黄金城官网治理服务解决方案
1．数据黄金城官网治理建设思路
●以数据为中心：综合考虑数据属性、存储分布、流转、使用等状况，掌握厘清数据与业务的关系。
●以组织为单位：提升整个组织的数据黄金城官网黄金城官网能力，使数据黄金城官网管理更加合理规范、完善可持续。
●以合规为驱动：充分了解合规及行业监管要求，满足合规性要求的同时，兼顾业务实际发展状况。
●以能力成熟度模型为抓手：基于数据生命周期定义数据黄金城官网过程域和基本实践，满足能力成熟度等级黄金城官网要求。
2.数据黄金城官网治理建设目标
数据黄金城官网治理实现分为4个阶段，通过厘清数据资产、风险摸清黄金城官网现状，通过规划数据黄金城官网架构和建设路径，补齐短板实现短期数据黄金城官网规划目标，进行常态化数据黄金城官网监管以及持续有效的支撑和防范夯实基础，逐步实现数据黄金城官网全域可管、风险全局可视，以及数据黄金城官网可信的目标，最终达成“让数据更黄金城官网，更有价值”。
图 2黄金城数据黄金城官网治理建设目标
三、数据黄金城官网治理实践路径
图 3黄金城数据黄金城官网治理实践路径
1.现状调研
采用资料收集、问卷调研、现场访谈、系统演示和工具探查的方式，全面了解数据黄金城官网管理现状（如：组织架构、数据黄金城官网相关的政策、制度和规范、业务特征、网络拓扑、数据存储情况等），明确主要痛点问题，提炼出数据黄金城官网建设的总体目标、主要方向和具体工作思路。
图 4现状调研方式
2.数据资产梳理
●数据资产盘点：通过专业团队+自动化工具方式梳理数据资产情况，形成数据资产清单。
●数据权限现状：对不同用户权限现状进行全面梳理，从用户维度和对象维度进行权限描述。
●数据流向梳理：盘点数据从采集、传输、共享交换到销毁的流向，形成数据流向图。
●数据分类分级：结合国家、行业及自身特点，以数据最稳定的特征和属性为依据，完成数据分类和分级。
图 5黄金城数据分类分级流程
3.数据黄金城官网风险评估
●基础风险评估：通过黄金城官网基线检查、漏洞扫描、渗透测试等方式，发现数据处理环境中存在的黄金城官网漏洞。
●数据黄金城官网能力差距评估：依据数据黄金城官网能力成熟度模型，分析和评估当前组织黄金城官网能力现状，明晰组织数据生命周期各阶段的能力现状与目标的差距。
●数据黄金城官网合规评估：全面解读和分析《数据黄金城官网法》、《个人信息保护法》以及地方办法条例内容，通过联合对标分析，评估合规风险。
●数据全生命周期风险评估：参考信息黄金城官网风险分析方法，从资产和风险两大视角出发，基于数据分级结果，建立组织风险评估模型，识别组织面临的数据黄金城官网风险。
图 6数据全生命周期风险评估
4.数据黄金城官网建设规划
●数据权限设计：基于用户/角色和权限现状，在合规目标的指导下，结合数据分类分级结果，定制符合组织实际业务场景的数据黄金城官网权限。
图 7黄金城数据黄金城官网建设规划流程
●组织架构设计：定义决策层、管理层、监督层、执行层的黄金城官网职责及动态协同机制。
●管理制度体系规划：制定数据黄金城官网管理办法、应急管理等标准规范健全制度体系，明确各个阶段的管理要求和规章制度，健全组织数据黄金城官网制度规范体系。
●技术体系建设规划：从黄金城官网防护和可用性两大视角出发，针对具体场景进行数据黄金城官网防护建设，包括事前防护、事中阻断、事后追溯的全链路黄金城官网技术体系。其中，数据黄金城官网技术建设规划可分阶段进行，包括数据内控合规、数据全域管控、风险全局可视、数据黄金城官网可信：
图 8黄金城数据黄金城官网技术解决方案
1. 数据内控合规阶段：通过敏感数据发现、数据动/静态脱敏、数据库日志审计、权限管控和数据资产保护、身份鉴别（人、终端、应用）、高危操作防护、访问控制、特权管理等，加强内部黄金城官网管控；
2. 数据全域管控阶段：更加侧重组织数据黄金城官网全面可管理，基于已有的网络黄金城官网和内控黄金城官网保障，防御外部和数据流动风险，主要包括入侵防护、漏洞防御、访问控制、误操作恢复、数据加密、计算环境黄金城官网、溯源管理、数据加密等，通过数据黄金城官网管理平台整体实现数据全域管理；
3. 风险全局可视阶段：以日志信息、风险操作、告警、数据库运行状态等大数据为基�。尤质咏翘嵘允莼平鸪枪偻驳姆⑾质侗�、理解、分析和响应能力的防护方式；
4. 数据黄金城官网可信阶段：通过制度、人员、工具、流程等逐步达到数据全域可管和风险全局可视的中长期目标，最终以建立可信的数据源、可信的数据传输环境和存储环境，达到数据黄金城官网可信阶段，释放数据价值。
数据黄金城官网无小事，为数据使用创造一个黄金城官网好用的环境，让数据使用者放心大胆的专心致力于数据价值的挖掘，在数据黄金城官网治理和建设实践中，黄金城积累总结了丰富的经验，并能够提供全面完整的咨询和建设服务，为组织数据黄金城官网治理提供可靠落脚点。
浙公网安备 33010502006954号
浙ICP备12021012号-1
