摘要：上一期中安威士专家团深入分析数据安全法对行业各个方面的深远影响。在这样的深远影响下，数据运营企业应该如何建立数据安全防护体系才能满足数据安全法的合规需求和企业数据安全的业务需求?本期是中安威士系列解读之三，专家团提出了“以迭代的思路，逐步完善四维数据安全方案”的方法论，面向数据安全的“PPDE迭代模型”，以及“四维数据安全模型”，用于指导数据安全体系的建设。

　　1、企业的责任和义务

　　《数据安全法》第一章、第四章明确规定了数据安全规划、监管、制度和能力建设等方面的责任和义务。第六章规定了不履行数据安全义务需要承担的法律责任。

　　《数据安全法》规定数据运营企业是数据安全责任主体。当数据安全事件发生且造成严重后果时，企业及相关管理人员也是被问责的主体。对企业来说，落实数据安全防护的要求，已经从过去的自主、合规性需求，上升到了合法的高度。并且企业管理的数据越密集，敏感级别越高，责任和义务也就越大。

　　2、数据安全建设方法论

　　上面分析到，对企业来说，数据安全已经上升到了合法的高度，且这种高度是前所未有的。而更为复杂的情形是，数据安全相对于传统的网络安全来说，是一个很新的问题，各行各业都缺乏成熟可以直接借鉴的经验。

　　作为企业必须同时满足数安法规定的合法要求和业务本身对数据安全的需求。面对这些急剧出现的新需求，无论是需求方，还是供应方，都面临着巨大的考验。特别的，就目前来说，虽然数据安全的需求越来越迫切，但是作为供应侧的数据安全产品厂家和服务供应商的技术能力和服务能力都存在巨大的不足。这种需求和供应的矛盾使得目前数据安全的建设工作更加复杂。必须要有良好的方法论支撑，才能正确应对这种复杂情况。

　　根据我们在数据敏感且密集的政府大数据、电信、医疗、电力等行业的数据安全建设经验，我们发现：随着云计算、大数据、物联网、人工智能等革新性新技术的应用，企业已经和正在积累越来越多、越来越敏感的数据。但是在业务第一，安全其次的思想指导下，以及数据安全形势急剧变化的情况下，大多数企业还没来得及系统的思考过这些数据的安全问题。

　　我们认为：一方面，国家通过立法的形式来要求企业必须要重视其运营的数据的安全防护责任。另一方面，企业数据安全建设是长期而复杂的，需要渐进的迭代其数据安全体系。

　　基于此，我们提出的数据安全建设方法论是：以迭代的思路，逐步完善四维数据安全方案(生命周期场景、防护技术、防护对象、管理要素四个维度)。

　　该方法论有两个核心模型：

　　其一是PPDE(计划(PLAN)、保护(PROTECTION)、监测 (DETECTION)、评价(EVALUATION))迭代模型，也就是以迭代的思路，逐步完善数据安全能力。

　　其二是四维数据安全模型，也就是将数据安全划分为生命周期场景、防护技术、防护对象、管理要素四个维度，以实现完整覆盖。

　　3、PPDE迭代模型

　　我们提出的PPDE迭代模型的核心是通过不停地实践和反馈过程，逐步完善数据安全能力。该模型如下图所示。

　　在该迭代模型中的四个基本的过程是计划(PLAN)、保护(PROTECTION)、监测 (DETECTION)、评价(EVALUATION)。

　　1) 计划(PLAN)

　　计划是这个模型的核心，决定着数据安全要达到的目标，进而决定采用何种措施以及各种措施的强度。在计划阶段，需要开展如下工作：

　　a)全面梳理企业数据资产现状、数据使用场景和数据安全防护能力现状(摸清家底)，对标《数据安全法》以及所处行业数据安全相关的法律法规要求，并参照本行业数据安全防护非常好的实践对数据安全防护的需求进行调研分析;

　　b)根据企业数据安全需求和企业整体发展规划确定数据安全防护能力的建设目标;

　　c)根据建设目标，法律法规和非常好的实践，分析数据安全防护能力差距。从制度，技术手段和相关人员等多个维度全方位的进行顶层设计;

　　d)根据顶层设计方案，制定数据安全防护能力的计划。规划中应含有计划完善的数据安全管理制度和流程、计划建设的数据安全能力项目、项目优先级、项目预算、多个项目的依赖关系、计划进行的数据安全培训等内容。

　　在数据安全防护技术能力建设时应避免走弯路，避免不必要的建设。要有效的与企业自身目前已有的数据安全能力相结合，并充分利旧，能升级改造的技术能力可以采用升级改造的方式，不能升级改造的技术能力再进行新建。

　　2) 保护(PROTECTION)

　　按照建设规划方案分步实施数据安全保护手段，包括：

　　a) 以计划为基础，制定和完善数据安全防护能力的管理制度;

　　b) 搭建数据安全防护技术能力，并配置有效的安全策略;

　　c) 提升企业数据安全防护能力人员的水平。

　　3) 监测 (DETECTION)

　　基于保护措施，对数据安全能力运行情况进行评估与分析，发现数据安全异常，识别可能的数据安全攻击事件，并采取对应的响应行动

　　4) 评价(EVALUATION)

　　基于监测的结果，对已经采取的数据安全保护方案的有效性进行评价，总结当前方案中有效的部分和欠缺的部分，为下一次迭代的目标和计划提供有效的输入。

　　企业通过上述四个阶段的不断迭代，实现持续的制度完善、技术能力建设、人员队伍建设等全方位建设，逐步形成完善的企业数据安全防护能力体系。

　　本文提出的PPDE模型与现存的网络安全PPDRR模型是有所区别的。不仅内容上不同，其着眼的目标也不同。本文的PPDE是指计划(PLAN)、保护(Protection)、监测(Detection)、评价(REVIEW)，是着眼于数据安全建设的宏观迭代方法论。而现存的PPDRR是指策略(Policy)、防护(Protection)、检测(Detection)、响应(Response)和恢复(Recovery)，其更加着眼于网络安全模型在时间维度的子模型。

　　4、四维数据安全模型

　　上述PPDE迭代模型中，每一轮迭代都需要明确迭代的目标。而迭代目标涉及的范围，则由本节给出的四维数据安全模型来确定。因此，四维数据安全模型，实际是数据安全能力治理模型，也就是企业在制定数据安全建设方案的时候，需要进行覆盖的四个维度。

　　四维数据安全模型如下图所示。

　　生命周期场景维度：数据安全防护体系应该覆盖数据全生命周期的各个场景。典型的，这些场景包括数据的产生和采集、数据的组织和存储、数据的加工和治理、数据的分析和运维、数据的在线使用、数据的开放共享等。根据数据的活动轨迹，以顺藤摸瓜的方式，实现数据全生命周期全场景的保护。

　　防护对象维度：数据安全的防护对象应该涵盖一切形式的数据，但是大多数情形下，特指的是电子形式的数据。就目前来说，数据对象应该涵盖数据库中的结构化数据、大数据平台中的半结构化数据和非结构化的文档、图片和视频、图纸等文件数据。

　　技术手段维度：为实现针对数据的CIA三性(保密性、完整性、可用性)，除了网络安全技术以外，特别的，还应该使用尽量完善的数据安全技术手段。通过多种技术手段的合理叠加，满足符合数据特点和场景特点的数据安全需求。就目前来说，可以考虑纳入应用的技术手段包括：数据资产识别与管理、数据访问行为审计、数据访问控制和攻击保护、数据加密、数据脱敏与数据水印、数据安全态势感知和数据安全能力评估等。当然还有一些新的防护技术正在被研究探索，尤其是基于人工智能的数据安全技术、新型加密技术、以及新型数据交易技术等，待其具备实用条件后，可以持续的纳入考虑范围。

　　管理要素维度：所谓三分技术，七分管理，管理要素主要是管理制度和人员管理。对于数据安全来说，管理是不可缺失的。不论是技术上的管理，还是组织的管理，对人的管理都是数据安全的保障。很多安全事件都来源于管理的疏忽或人员安全意识的缺失。而人员是数据安全的重要因素。人的作用是不可低估的，不管是数据管理者、数据使用者，还是开发和维护人员，都是构建数据安全的关键因素。可以说，没有严格的人员管理，就不会有合格的数据安全。

　　总结

　　本文探讨了《数据安全法》发布之后，数据密集型企业应该如何制定一个合理的规划来指导数据安全能力建设。企业应该了解现状，确定建设目标，对标非常好的实践找出差距，分析企业数据安全防护能力的不足，进而根据建设目标制定数据安全防护能力体系建设规划，按照“摸家底、定目标、找差距、做规划”的步骤有计划进行数据安全能力体系建设。

　　本文提出的“以迭代的思路，逐步完善四维数据安全方案”的方法论和PPDE迭代模型、四维数据安全模型，可以为企业建设数据安全体系提供参考。

　　参考资料

　　1.《数据安全法》

　　2.《网络安全法》

　　3.《个人信息保护法》草案

　　4. 等级保护2.0有关系列标准、指南

　　5. 浅析安全三要素在网络信息安全中的作用

　　6. 2021安全技术趋势展望：固有需求值得重做，创新需求值得深挖

　　下期预告

　　中安威士专家团数据安全法解读系列之四《企业数据安全服务的范围和方向》，敬请期待。

　　转载请注明出处。