尊龙凯时人生就是搏

历时四年，聚合行业安全专家智慧，凝炼行业安全最佳实际，数字时期：基于行业最佳实际的《主责数据；び肓鞫踩喙芸蚣堋罚ㄒ韵录虺啤翱蚣堋保┯2023年6月17日第三届数字安全大会上正式颁布
。

该框架是在中国信息协会信息安全专业委员会领导下，由PCSA安全钻研院、同盟成员，结合行业用户和产业各方，深刻总结提炼十三五期间和十四五多多行业数据安全治理、规划、建设、运营的落地实际，共同提出一个基于行业最佳实际的《主责数据；び肓鞫踩喙芸蚣堋
。

尊龙凯时人生就是搏科技，作为数据安全专业企业，基于多年数据安全防的钻研经验，持续贡献自身力量，旗下安全钻研院以“产业钻研力量”深刻参加这次框架钻研
。

PCSA安全能力者同盟（从属：中国信息协会信息安全专业委员会）是在公安部等保中心和国度信息中心领导下，于2016年10月成立，同盟秉承聚合中国关键安全能力、赋能数字智能时期的理想，致力于云安全（蕴含平台、租户、数据、安全治理、移动安全等）关键技术及尺度的钻延注利用和推广，目前已实现面向云安全、数据安全、安全治理和运营的平台解决规划
。

数据所有者：把握数据所有权的数据产权所有方；

数据使用者：对数据占有使用和互换需要的数据需要方；

数据提供者：对数据进行获取、处置与提供的数据提供方；

数据运营者：对数据运营过程的打算、组织、执行和节造，是与数据出产和服务创造亲昵有关的各项治理工作的承担方；

数据安全监管者：在数据分歧价值阶段，造订数据流动安全战术.对分歧数据角色的操作等进行查抄审核
。

这些数据角色的充分界说和了了是保险数据内部流动跨部门、跨利用、跨层级，表部流通跨行业、跨监管单元或跨境等机造造订的基础
。

3、《框架》的主题思想：“1-3-6-N”架构

数字时期：基于行业最佳实际的《主责数据；び肓鞫踩喙芸蚣堋返闹魈馑枷肟勺芙嵛1-3-6-N”架构
。

“1”个重要场景

即主责数据；び肓鞫踩喙艹【
。要求责任主体，明红线、守底线，做到事前、事中和过后监管
。

“3”个方面

即数据治理、数据安全治理、安全治理
。以数据安全治理为主体，协同好数据治理和安全治理，了了天堑与责权
。

“6”个档次

即治理层、监管层、治理层、运营层、技术层和数据层
。两全六个档次指标的关键场景和关键工作，共同构建数据安全治理系统
。

“N”个关联角色

即数据安全治理过程中涉及的多个角色
。蕴含：数据所有者、数据监管者、数据提供者、数据使用者、数据运营者、安全审计员、安全治理员、系统治理员等
。

4、《框架》“1-3-6-N”架构解析

1）“1”个主场景：主责数据；び肓鞫踩喙艹【

主责数据；び肓鞫踩喙苤鞒【白酆纤伎际葜卫怼踩卫砗褪莅踩卫淼闹副昵鸷椭霸鹛烨，聚焦数据安全治理领域，清澈界说数据安全有关角色和流动场景，沉点解决静态数据；ぁ⒍萘鞫喙艿奈侍，做到明红线、守底线，实现事前、事钟注过后监管
。

• 主体责任明红线、守底线

数据安全法、数据二十条都明确数字化组织在数据处置过程中对数据安全负有主体责任，必要在明确红线、守住安全底线的前提下，进行数据开发利用、盛开共享
。

• 事前事中过后监管

做好数据流动事前督导、事中监管、过后审计，援手数字化组织确认明显在组织和组织内部数据流动过程中的主体责任，解决数据治理、安全治理的责权不清、动态监管蹬装响数据合法有序使用的关键问题
。

2）“3”个方面：数据治理、数据安全治理、安全治理

数据治理、安全治理和数据安全治理三个方面指标分歧、天堑权责交叉，本框架重要聚焦数据安全治理，必要协同好数据治理和安全治理，了了天堑与责权
。

• 数据治理

参考数据治理自身特点以及国内最新颁布的数据二十条有关内容，发现，数据治理必要萦绕数源可信、权属清澈、激活数据的指标，发展数据治理基础建设、数据治理能力建设、数据治理运营造设以及数据价值赋能
。

由于数据治理不是本次会商的沉点，有关该部门的具体内容可查阅国际、国内有关数据治理、数据治理的流程、过程、尺度和内容
。

• 安全治理

安全治理萦绕合规关环、实战验证、风险可控的指标，发展合规基础；そㄉ琛⑹嫡角炕；そㄉ琛⒅富有；そㄉ，构建网络安全治理系统、安全技术系统、安全运营系统，实现照管监控一体化、平战结合一体化
。

该部门内容重要起源于PCSA安全能力者同盟2022年颁布的《基于行业最佳实际的安全；た蚣堋，更为具体的解读可查阅2022年钻研成就《基于行业最佳实际的安全；た蚣堋
。

• 数据安全治理

数据安全治理萦绕主责明确、流动监管、共享共用的指标，协同数据治理和安全治理，在做好数源可信、权属清澈、激活数据、合规关环、实战验证、风险可控的前提下，聚焦主责数据；ず土鞫踩喙苤鞒【，充分界说数据安全有关角色和流动场景，通过自上而下的从数据安全治理层、数据安全监管层、数据安全治理层、数据安全运营层、数据安全技术层、数据层等六个档次，逐层压实数字化组织在数据共享共用过程中的主体安全责任，提升数据的可用、可信、可流通、可追忆水平，加强内部安全自律意识，援手数字化组织走好数据安全的“最后一公里”
。

• 三者关系分析

数据治理和安全治理中都罕见据安全的部门，陪伴着数据由资源向资产的演进，一方面数据治理要求实现数据的盛开共享使用，另一方面安全治理又要求严格管控守好安全底线，那么若何在安全管控的情况下做到数据共享利用、用数不违法的平衡，这就必要数据安全治理来协同好数据治理和安全治理，了了天堑与责权
。

数据治理将持续为数据安全治理提供可信的数据底账、动态齐全的分类分级了局，以支持数据安全治理工作的发展；而安全治理将凭据分歧数据等级为数据安全治理提供齐全、持续的数据安全基线
。同时，在运营层面，数据安全治理的运营还必要协同数据治理运营和安全治理运营，共同实现照管监控一体化的运营指标，持续双向反馈各自运营成就
。至此，数据安全治理才从真正意思上买通了数据治理、安全治理各自的天堑，在数字化组织全局视角上达成拉齐数据风险管控和价值激活的双沉主张
。

3）“6”个档次

聚焦在数据安全治理领域，钻研现有落地实际，将数据安全治理划分为数据安全治理层、数据安全监管层、数据安全治理层、数据安全运营层、数据安全技术层和数据层，分歧档次的数据安全场景和沉点工作存在差距，其关注点也存在区别
。

• 数据安全治理层

数据安全治理层从内部刚需和表部监管启程，萦绕数据资源、数据资产、数据流通和数据买卖的分歧阶段，凭据本行业、本组织特点发展战术造订、近况评估、蓝图规划和执行蹊径规划等工作，重要解决数据治理和安全治理指标不统一的共性问题，与数据治理和安全治理的指标达成统一
。

战术造订：凭据数字化组织发展所处的分歧阶段、分歧需要，造订数据安全总体战术、数据安全总体指标和数据安全总体战术
。

近况评估：凭据数字化组织发展所处的分歧阶段、分歧需要，发展数据近况评估、安全近况评估、数据安全能力近况评估，为数据安全治理系统的规划设计提供基础数据支持
。

蓝图规划：凭据近况评估的了局，发展差距分析、需要分析及规划设计工作，明确规划指标，并提供充足的保险机造
。

执行蹊径：依附蓝图规划，造订具体的执行演进路线，进一步明确行动打算和关键工作
。

• 数据安全监管层

数据安全监管层重要解决事前督导、事中监管、过后审计的监督落实问题，实现全程可视、状态可察、权限可审、流动追忆、权利清澈、监审一体的指标
。

事前督导：对数据底账梳理、数据分级分类、数据权属界说、数据授权规定造订、数据角色界说、数据安全基线造订、数据买卖、数据出境专项等工作，进行事前监督、领导
。

事中监管：对数据底账状态、数据归类定级、数据权属主体、数据操作行为、数据角色授权、数据流动全程、数据买卖专项、数据出境专项等工作，进行事中监督、治理
。

过后审计：对数据底账调换、数据分级分类、数据权属调换、数据违规操作、数据授权调换、数据流动追忆、数据买卖专项、数据出境专项等工作，进行过后审计
。

• 数据安全治理层

数据安全治理层重要萦绕数据安全战术、数据安全指标和数据安全战术，通过机造订义、组织界说、职责界说等方面为数据安全治理提供充足的机造保险
。

界说机造：萦绕数据安全治理层界说的数据安全治理指标，做好治理界说，成立数据安全治理机造，蕴含治理法子、规范细则、流程表单以及可查核的关键性指标
。

界说组织：配套数据安全治理机造，成立数据安全治理组织架构，明确岗位设置、角色界说和人员建设
。

界说职责：基于数据安全治理机造、数据安全治理组织架构，清澈界说责任天堑、权势使命、激励机造
。

• 数据安全运营层

数据安全运营层通过数据安全监测、分层响应、协同研庞注结合措置等关键工作的发展，解决多方协同的问题，实现数据安全运营的照管监控一体化
。其与网络安全运营同样遵循“检测-响应-预测-防御”的Gartner自适应安全架构，区别在于数据安全运营是在网络安全运营的基础上，针对主责数据自身，实现细粒度、针对性的安全运营
。

数据安全监测：聚焦数据自身，通过与数据防泄露、数据接见节造、安全登录、数据操作、数据流动、API接口等能力的对接，实现细化到数据库、表、字段的专而深的细粒度安全监测
。

分层响应：针对数据安全事务，成立分层响应机造，落实数据治理员、系统治理员、安全治理员、IT基础设施治理员等分歧角色之间的分层响应
。

协同研判：协同业务部门、数据部门和安全数门等多方人员综合分析研判数据安全事务，深度分析数据服务终场、数据篡改，误操作/恶意行为、数据泄露、越权接见、数据勒索、数据违规表发等的底子原因，做好数据风险预测、研庞注分析、预警和传递
。

结合措置：基于协同研判分析的了局，结合业务部门、数据部门、安全数门等发展安全战术核查、数据违规阻断、复原服务/系统/数据、冗余备份安全加固、最幼授权等结合措置工作，应对露出面收敛、攻击发现与阻断、日常攻防演练、威胁谍报措置等安全利用场景
。

• 数据安全技术层

数据安全技术层重要成立数据安全工具能力资源池，为数据监管和运营提供可扩大的能力使用及挪用
。

数据全性命周期的基础合规：在满足幼我信息；ぁ⒌燃侗；ぁ⒐鼗；ぁ⑹莅踩ā⒚苈氡；ぁ级；ぁ⑸堂鼙；ぁ⑿幸倒娣兜人痉晒妗⒊叨裙娣兜幕∩，做到从数据采集、数据传输、数据存储、数据处置、数据加工、数据共享、数据互换、数据买卖、数据销毁的全性命周期合规
。

数据安全工具能力资源池：萦绕数据全性命周期成立分类分级、数据标签、密级标识、隔离互换、加密传输、战术矩阵、存储加密、接见节造、隐衷；ぁ⑹菔谌ā⑹萃衙簟⒘阈爬怠⑿形谌ā⒉僮魃蠹啤⒋蚩躺蠹啤⑹菟　⑹莘佬孤⒔橹使芸亍⒈阜莞丛⑹荻细⒃倚畔⒈；さ仁莅踩芰ψ试闯
。

• 数据层

数据层通过对各类数据的标识证明，使数据成为独立治理对象，其属性可支持数据共享、互换及买卖流通等场景
。

经过多年的信息化、数字化建设，已经堆集了大量的数据
。从技术上来看，能够分为结构化数据、半结构化数据、非结构化数据；从敏感水平上来看，能够分为SM数据、商密数据、幼我隐衷数据等；从责任归属上来看，能够分为幼我数据、企业数据、公共数据等
。

标识证明通过数源标识、数据标识、权利标识，象征数据全性命周期各过程，形成数据资源目录，使数据所有者了了其主责数据，同时通过对具体的数据实体登记形成产权证明、权利证明和买卖证明，形成实体数据底账，使数据有关方明确各自的数据权利，最终数据资源目录和实体数据底账通过流通标识比对，实现对数据共享、互换及买卖流通等场景利用支持
。

4）“N”个关联角色

是指参加到数据安全治理全过程的各个组织界说的角色
。蕴含：数据所有者、数据监管者、数据提供者、数据使用者、数据运营者、安全审计员、安全治理员、系统治理员等
。

数据所有者：即数据产权所有方；

数据使用者：即数据需要方；

数据提供者：即对数据进行获取与处置数据供给方；

数据运营者：即对数据运营过程的打算、组织、执行和节造各项治理工作的承担方；

数据监管者：即在数据分歧价值阶段，造订数据流动安全战术，对分歧数据角色的操作等进行稽核审查方；

系统治理员：即系统的所有者，掌管系统的治理和授权；

安全治理员：即网络安全治理者；

安全审计员：即网络安全和数据安全的审计者
。

其他角色：即涉及到数据及网络安全支持的有关人员，如基础设施保险人员等
。