數(shù)字政府建設中的數(shù)據(jù)應用安全機制研究＊—基于數(shù)據(jù)安全能力成熟度模型應用視角

黃 勇 劉琳琳 陳逸輝 張 迪 張 偉

（大連海關，遼寧大連 116001）

0.引言

數(shù)據(jù)安全正隨著全球數(shù)字化轉型步伐的加快而凸顯出越來越重要的地位，數(shù)據(jù)安全在維護國家經(jīng)濟和信息安全中占有重要位置。數(shù)字政府建設中的數(shù)據(jù)時刻面臨著巨大的管理風險和安全威脅[1]，《中華人民共和國數(shù)據(jù)安全法》[2]在數(shù)據(jù)安全管理制度和安全應用方面提出了明確要求，“國家機關應當依照法律、行政法規(guī)的規(guī)定，建立健全數(shù)據(jù)安全管理制度，落實數(shù)據(jù)安全保護責任，保障數(shù)據(jù)安全”。2022 年6 月24 日國務院印發(fā)的《關于加強數(shù)字政府建設的指導意見》中強調，在構建數(shù)字政府全方位安全保障體系方面，強化安全管理責任，落實安全制度要求，提升安全保障能力，提高自主可控水平，筑牢數(shù)字政府建設安全防線。因此，在數(shù)字政府建設中，建立健全數(shù)據(jù)應用安全機制成為重中之重。

1.數(shù)據(jù)安全能力成熟度模型的基本原理

《信息安全技術 數(shù)據(jù)安全能力成熟度模型》（GB/T 37988-2019）[3]將數(shù)據(jù)安全能力成熟度劃分了1 ～5 個等級，依次為非正式執(zhí)行級、計劃跟蹤級、充分定義級、量化控制級、持續(xù)優(yōu)化級，將數(shù)據(jù)按照其生存周期分階段采用不同的能力評估等級，分為數(shù)據(jù)采集安全、數(shù)據(jù)傳輸安全、數(shù)據(jù)存儲安全、數(shù)據(jù)處理安全、數(shù)據(jù)交換安全、數(shù)據(jù)銷毀安全6 個階段。在各個階段內，從組織建設、制度流程、技術工具和人員能力等四個能力維度進行綜合評估。

在此基礎上，數(shù)據(jù)安全能力成熟度模型將上述6 個生存周期進一步細分，劃分出30 個過程域，這30 個過程域分別分布在數(shù)據(jù)生存周期的6 個階段，部分過程域貫穿于整個數(shù)據(jù)生存周期。數(shù)據(jù)安全能力成熟度模型在充分定義級對數(shù)據(jù)正當使用要求如下：（1）組織建設，組織應設立相關崗位或人員，負責對數(shù)據(jù)正當使用管理、評估和風險控制。（2）制度流程，一方面，應明確數(shù)據(jù)使用的評估制度，所有個人信息和重要數(shù)據(jù)的使用應先進行安全影響評估，滿足國家合規(guī)要求后，允許使用。數(shù)據(jù)的使用應避免精準定位到特定個人，避免評價信用、資產(chǎn)和健康等敏感數(shù)據(jù)，不得超出與收集數(shù)據(jù)時所聲明的目的和范圍。另一方面，應明確數(shù)據(jù)使用正當性的制度，保證數(shù)據(jù)使用在聲明的目的和范圍內。（3）技術工具，一方面，應依據(jù)合規(guī)要求建立相應強度或粒度的訪問控制機制，限定用戶可訪問數(shù)據(jù)范圍；另一方面，應完整記錄數(shù)據(jù)使用過程的操作日志，以備對潛在違約使用者責任的識別和追責。（4）人員能力，負責該項工作的人員應能夠按最小夠用等原則管理權限，并具備對數(shù)據(jù)正當使用的相關風險的分析和跟進能力。

2.數(shù)字政府建設中數(shù)據(jù)應用安全存在的主要問題

參照數(shù)據(jù)安全能力成熟度模型“充分定義級”，通過調研評估，從組織建設、制度流程、技術工具和人員能力4 個維度，查找目前數(shù)字政府建設中存在的數(shù)據(jù)安全問題。

2.1 組織建設不健全

（1）組織架構缺乏頂層設計，未形成統(tǒng)一的、自上而下的數(shù)據(jù)安全治理組織架構，單位內部數(shù)據(jù)應用和數(shù)據(jù)管理的職能較為分散且不夠明確。（2）部分崗位職責不清晰，部分數(shù)據(jù)管理重要過程未指定專人管理，也未指定業(yè)務人員參與管理工作。

2.2 制度流程不完善

（1）制度流程未形成體系化，制度辦法等一級、二級文件較多，規(guī)范、流程、記錄等三級、四級文件較少；（2）制度流程內容不完整或缺失；（3）制度流程內容與建設目標之間存在差距。

2.3 技術工具不完備

（1）部分技術工具和技術措施缺失，無法保證相關工作的有效執(zhí)行；（2）工具設備間聯(lián)動性不足，不能最大限度發(fā)揮整體效能。

2.4 人員能力不足

（1）人員理解能力不足，在業(yè)務理解和依據(jù)業(yè)務特性進行解讀實施上，存在能力不足問題；（2）風險識別能力不足，對于可能存在的風險了解不足，無法采取及時有效的措施規(guī)避風險。

3.數(shù)字政府數(shù)據(jù)應用安全機制的構建

著眼于數(shù)字政府建設中的實際情況，構建一整套數(shù)據(jù)應用安全機制，包括“數(shù)據(jù)安全責任機制”“數(shù)據(jù)安全制度流程體系化運作機制”“數(shù)據(jù)安全技術工具聯(lián)動機制”和“數(shù)據(jù)安全人員技能培訓機制”。首先，建立上下聯(lián)動的數(shù)據(jù)安全組織架構，明確各層級的數(shù)據(jù)安全職責，建立數(shù)據(jù)安全責任機制；其次，依據(jù)職責分工，對數(shù)據(jù)安全管理制度流程進行體系化建設，建立動態(tài)運作機制；再次，通過技術工具之間的協(xié)同和聯(lián)動，對數(shù)據(jù)全生存周期流轉進行監(jiān)測和防護，也為數(shù)據(jù)安全風險評估提供輸入[4]；最后，建立數(shù)據(jù)安全人員技能培訓機制，為數(shù)據(jù)安全建設提供強有力的保障，以進一步鞏固和完善數(shù)據(jù)安全建設工作。各個機制之間相互協(xié)調，又層層推進。

3.1 建立數(shù)據(jù)安全責任機制

數(shù)據(jù)安全組織建設是數(shù)據(jù)安全治理體系建設、實施的最關鍵問題之一，直接關系到體系建設的成敗。

在具體組織架構上，首先以當前網(wǎng)絡安全管理架構為基礎，確定數(shù)據(jù)安全管理的組織架構，且架構中至少包括決策層、管理層、執(zhí)行層、參與層和監(jiān)督層幾個主要層次，以確保各項工作職責分工明確，工作執(zhí)行過程相互協(xié)調、制約。

在具體權責劃分上，以數(shù)據(jù)安全決策方、數(shù)據(jù)安全管理方、數(shù)據(jù)運營方、數(shù)據(jù)所有方及數(shù)據(jù)使用方等角色的職責描述為參考，結合自身組織架構設置情況，根據(jù)下屬各級部門及參與人在不同場景下?lián)蔚慕巧町悾ㄟ^角色映射方式進行權責分配，明確數(shù)據(jù)安全責任到各部門及個人。

3.1.1 確定數(shù)據(jù)安全組織架構（見圖1）

首先，數(shù)據(jù)安全管理應采取“一把手負責制”，在現(xiàn)有組織架構基礎上成立“數(shù)據(jù)安全領導小組”，由各部門主管領導及數(shù)據(jù)安全官擔任組員，領導小組將負責確定數(shù)據(jù)安全管理要求，定期聽取數(shù)據(jù)安全工作匯報，并指導、監(jiān)督數(shù)據(jù)安全管理工作。其次，由數(shù)據(jù)安全領導小組指派高層管理人員作為各運行單位數(shù)據(jù)安全的負責人，并組建數(shù)據(jù)安全管理團隊，各運行單位應全面落實數(shù)據(jù)安全責任制，根據(jù)具體工作職責劃分層層落實。再次，由數(shù)據(jù)安全管理團隊負責指導組建數(shù)據(jù)安全管理執(zhí)行團隊，負責各自職責范圍內數(shù)據(jù)安全的治理、建設、監(jiān)測、運營及技術支撐，管理團隊應明確管理要求、編制數(shù)據(jù)安全管理規(guī)范及標準，用于指導數(shù)據(jù)安全執(zhí)行團隊有序、合規(guī)地開展工作。之后，對全部工作的參與者，包括各單位內部員工及外部合作相關方人員，定期開展數(shù)據(jù)安全宣傳教育工作，對專業(yè)的技術人員開展數(shù)據(jù)安全專業(yè)技能培訓，對關鍵崗位人員要求其通過權威的認證，以保證其有能力完成其所承擔的工作。最后，各單位根據(jù)自身實際情況，建立自上而下的監(jiān)督、評價機制，建立自下而上的反饋、匯報機制。在數(shù)據(jù)安全決策層的指導下，由數(shù)據(jù)安全管理方組織數(shù)據(jù)所有方、數(shù)據(jù)運營方，定期開展數(shù)據(jù)安全檢查，同時做好常態(tài)化檢查，發(fā)揮日常監(jiān)督檢查的重要作用。各層級也應定期主動開展自查，進行經(jīng)常性的安全排查，查隱患、找漏洞、補短板。

圖1 數(shù)據(jù)安全組織架構

3.1.2 明確數(shù)據(jù)安全角色權責劃分

“數(shù)據(jù)安全領導小組”是數(shù)據(jù)安全的決策方，是各單位數(shù)據(jù)安全決策層的角色體現(xiàn)，履行數(shù)據(jù)安全的最終決策、監(jiān)督及指導職能。數(shù)據(jù)安全管理方是各單位數(shù)據(jù)安全管理層的角色體現(xiàn)，履行數(shù)據(jù)安全的制度要求制定、數(shù)據(jù)安全保護建設落實、數(shù)據(jù)安全監(jiān)督檢查評價等職責。各運行單位應基于自身實際組織架構，將數(shù)據(jù)安全管理相關職能落實到具體部門及個人。數(shù)據(jù)所有方是各單位數(shù)據(jù)安全執(zhí)行層的角色體現(xiàn)之一，是各自責任范圍內數(shù)據(jù)的主管部門及最終責任方，履行數(shù)據(jù)安全的資產(chǎn)梳理定級、安全管理要求、數(shù)據(jù)使用及管理審批授權等職責，并配合數(shù)據(jù)安全管理方完成數(shù)據(jù)安全保護及檢查評估工作。數(shù)據(jù)運營方是各單位數(shù)據(jù)安全執(zhí)行層的角色體現(xiàn)之一，履行各自責任范圍內數(shù)據(jù)的技術保護措施使用、數(shù)據(jù)安全控制策略設定、數(shù)據(jù)安全運維管理及數(shù)據(jù)安全應急處置等職責，并配合數(shù)據(jù)安全管理方完成數(shù)據(jù)安全保護及檢查評估工作。數(shù)據(jù)使用方是各單位數(shù)據(jù)安全參與層的角色體現(xiàn)，履行所持有、使用、操作數(shù)據(jù)的安全保護責任，并配合數(shù)據(jù)安全管理方、數(shù)據(jù)運營方完成數(shù)據(jù)安全保護及檢查評估工作。

3.2 建立數(shù)據(jù)安全制度流程體系化運作機制

以現(xiàn)有網(wǎng)絡及數(shù)據(jù)安全管理制度為基礎，通過完善一級文件、二級文件、三級文件和四級文件，建立健全數(shù)據(jù)安全制度流程體系，并動態(tài)運作。

結合現(xiàn)狀，制定《數(shù)據(jù)安全管理辦法》作為一級文件，對數(shù)據(jù)安全管理提出總體要求，明確依據(jù)文件、適用范圍、管理目標、保護對象、組織架構、部門職責、管理內容等。二級文件依據(jù)一級文件的內容進行制定，形成以《數(shù)據(jù)采集安全管理辦法》《數(shù)據(jù)傳輸安全管理辦法》《數(shù)據(jù)存儲安全管理辦法》《數(shù)據(jù)處理安全管理辦法》《數(shù)據(jù)交換安全管理辦法》《數(shù)據(jù)銷毀安全管理辦法》《數(shù)據(jù)通用過程安全管理辦法》和《數(shù)據(jù)安全風險評估管理辦法》為主的二級文件，二級文件將一級文件中明確的管理內容進行細化，提出具體的管理要求，為各類數(shù)據(jù)活動提供制度依據(jù)。三級文件依據(jù)二級文件的內容進行編制，對數(shù)據(jù)生存周期各數(shù)據(jù)操作進行規(guī)范。四級文件對各數(shù)據(jù)操作的過程和結果進行記錄，并保存和歸檔。所有文件的上級文件內容若發(fā)生修訂、更新，則自身內容也相應進行調整，形成動態(tài)的體系化運作機制。

3.3 建立數(shù)據(jù)安全技術工具聯(lián)動機制

整個數(shù)據(jù)安全技防體系框架（見圖2）分為4 個部分，分別為數(shù)據(jù)安全監(jiān)管中心、數(shù)據(jù)安全技術工具、數(shù)據(jù)安全技術措施和各場景數(shù)據(jù)生存周期保護。

圖2 數(shù)據(jù)安全技防體系框架

數(shù)據(jù)安全監(jiān)管中心為整個框架的核心，負責監(jiān)控采集和策略下發(fā)。各類數(shù)據(jù)安全技術工具應統(tǒng)一接受數(shù)據(jù)安全監(jiān)管中心的策略下發(fā)，確保各中心數(shù)據(jù)安全策略執(zhí)行的一致，并將運行信息及日志記錄統(tǒng)一、實時上傳給數(shù)據(jù)安全監(jiān)管中心，供數(shù)據(jù)安全管理及風險分析。

數(shù)據(jù)安全技術工具包括但不限于數(shù)據(jù)資產(chǎn)管理工具、數(shù)據(jù)源鑒別工具、數(shù)據(jù)存儲管理工具、過期數(shù)據(jù)管理工具、數(shù)據(jù)發(fā)布系統(tǒng)工具、數(shù)據(jù)接口管理工具、數(shù)據(jù)銷毀工具、密鑰管理工具、數(shù)據(jù)供應鏈管理工具、元數(shù)據(jù)管理工具、數(shù)據(jù)防泄漏監(jiān)控工具、數(shù)據(jù)安全需求分析系統(tǒng)和數(shù)據(jù)安全事件管理工具等。數(shù)據(jù)安全技術工具之間應建立緊密的協(xié)同聯(lián)動機制，結合數(shù)據(jù)安全技術措施，更好地對各場景數(shù)據(jù)生存周期進行保護。

數(shù)據(jù)安全技術措施包括但不限于緩存數(shù)據(jù)清理技術、個人信息泄露防護技術、數(shù)據(jù)脫敏方案、數(shù)據(jù)傳輸加密技術、合規(guī)資料庫、重要數(shù)據(jù)防護技術、終端數(shù)據(jù)安全技術、數(shù)據(jù)存儲加密技術、身份鑒別技術、訪問控制技術和安全審計技術等。數(shù)據(jù)安全技術措施應與數(shù)據(jù)安全技術工具進行協(xié)同，支撐各場景數(shù)據(jù)生存周期保護。

各場景數(shù)據(jù)生存周期保護包括但不限于數(shù)據(jù)采集保護、數(shù)據(jù)傳輸保護、數(shù)據(jù)存儲保護、數(shù)據(jù)處理保護、數(shù)據(jù)交換保護和數(shù)據(jù)銷毀保護等。

3.4 建立數(shù)據(jù)安全人員技能培訓機制

人是數(shù)據(jù)安全建設中最重要的因素，一切數(shù)據(jù)安全管理規(guī)范、技術措施都是以人為基礎，加強對人員的教育往往能解決管理及技術手段無法解決的問題。在人員能力培養(yǎng)方面，應從全員教育、制度宣貫及專業(yè)人員培訓認證3個層面進行全方位的人員培訓。

對于數(shù)據(jù)安全管理中的專業(yè)人員，比如數(shù)據(jù)安全管理專責人員、數(shù)據(jù)安全管理的執(zhí)行人員、第三方供應商參與建設及管理人員等，均應在項目早期階段就開始進行系統(tǒng)化的數(shù)據(jù)安全治理培訓，以便更好地配合數(shù)據(jù)安全防護體系建設。

對于全體數(shù)據(jù)安全的參與者，比如數(shù)據(jù)的操作者、數(shù)據(jù)的一般管理者、參與數(shù)據(jù)分析處理的第三方合作伙伴等，均應在項目中期階段，即數(shù)據(jù)安全管理體系建立起來后，開展數(shù)據(jù)安全管理體系宣貫培訓，以便在數(shù)據(jù)安全管理及技術措施落地后能夠充分配合具體的管理要求，避免不必要的誤操作。

對于各單位的全體員工及相關第三方人員，比如普通工作人員及參與者，可定期開展數(shù)據(jù)安全意識教育培訓，以提升全員的網(wǎng)絡及數(shù)據(jù)安全意識，糾正工作、生活中的不良習慣，進而促進數(shù)據(jù)安全整體水平。

4.結語

數(shù)字政府建設離不開創(chuàng)新，創(chuàng)新必須牢牢守住數(shù)據(jù)安全底線。隨著物聯(lián)網(wǎng)、云計算、大數(shù)據(jù)等新一代信息技術的加速發(fā)展，數(shù)據(jù)應用場景更加豐富，應用領域更加廣闊，應用價值更加凸顯，數(shù)據(jù)已經(jīng)成為國家基礎性戰(zhàn)略資源和生產(chǎn)要素，關系國家安全與經(jīng)濟社會發(fā)展，其安全管理形勢也更加嚴峻。科技戰(zhàn)線的工作者必須以習近平新時代中國特色社會主義思想為指導，牢固樹立總體國家安全觀，嚴格數(shù)據(jù)管理，始終把數(shù)據(jù)應用安全貫穿到數(shù)字政府建設中數(shù)據(jù)應用的各領域和全過程，持續(xù)加強信息化項目建設規(guī)范和政務數(shù)據(jù)管控，努力走好數(shù)字產(chǎn)業(yè)化和產(chǎn)業(yè)數(shù)字化之路。