【文章內容簡介】 在真正意義上實現安全管理。為此，對管理制度的編制也提出了一定要求：一是要明確相關工作的責任部門和責任人，即明確每項工作由誰來負責；二是規(guī)定要求清晰易懂，明確應該做什么，不允許做什么，例外情況是什么；三是要明確獎懲措施。就數據安全管理制度體系而言，范圍要覆蓋數據全生命周期，包括數據產生／采集、傳輸、存儲、使用、共享、銷毀等環(huán)節(jié)； 體例上， 可以根據組織規(guī)模和實際情況，形成數據安全總體要求、實施細則、數據共享安全管理、個人信息保護等多個管理文件，或在一個文件中涵蓋全部內容；內容上，可以在如下幾方面進行重點規(guī)范。 數據分級分類管理對掌握的數據資源進行數據分級分類，是實現數據有效管理和利用，保障數據安全的基礎。管理制度在數據分級分類管理方面要明確如下內容：一是數據類型，可以根據數據屬性、來源、內容進行分類，例如按照數據來源分為業(yè)務數據、企業(yè)數據、用戶數據。二是數據安全等級和等級劃分標準，一般可以根據數據重要性、敏感程度將數據分為三級或者四級， 對每級數據制定差異化的保護措施。三是明確數據的安全責任部門和責任人，對于存量數據，一般是生產或主要使用該數據類型的部門承擔；對于新產生的數據，一般規(guī)定由生產該數據類型的部門負責數據定級及后續(xù)的安全管理。賬號權限管理及審批規(guī)程數據安全管理的賬號權限管理及審批主要關注的是組織內部不同賬號類型對生產數據庫進行操作的權限管理及授權審批規(guī)則。賬號權限管理同樣是保障數據安全的基礎制度，完善的授權規(guī)則能夠有效防范內部人員惡意竊取、泄漏數據的風險。制定賬號權限管理及審批制度需注意以下幾點：一是對賬號類型進行精細分類，對每個賬號類型能夠獲得的最高權限進行明確規(guī)定。對于內部全職員工， 根據工作職責設置不同賬號類型，對外包服務人員、合作伙伴的員工、實習生等外部人員單獨設置賬號類型。二是定期對賬號進行復核，及時回收權限。賬號管理要與人員管理緊密結合，在員工入職、轉崗、離職等關鍵節(jié)點同步管理賬號及權限；定期對所有賬號的權限分配情況進行復核，對于不再有合理需求的賬號權限及時關閉。三是明確賬號權限審批流程，規(guī)定初審、復審等審批環(huán)節(jié)以及每個審批環(huán)節(jié)的責任人?？梢杂擅總€部門內部的數據安全管理員承擔初審工作，部門負責人進行復審。權限審批應當依據最小化原則， 同時確認所申請權限與工作實際需求匹配，超出合理需求的申請不予授權。四是對于測試賬號等高危賬號類型，明確管理責任人，在系統(tǒng)開發(fā)測試完畢后立即清除。第三方數據共享安全管理為保障數據全生命周期安全，組織向第三方提供或共享數據的過程需要建立相應的安全管理制度，除了法律合規(guī)方面的要求外， 數據共享安全管理制度要包含如下內容：一是開展數據共享活動前，對數據接受方的背景、資質進行審查；當滿足國家關于個人信息和重要數據出境安全評估相關判定條件時，還應按照相關法律法規(guī)和國家標準開展安全評估。二是檢驗數據接受方的數據安全保護能力，可以通過要求數據接受方出具相關資質、權威檢測報告等形式進行驗證，目的是保障數據共享后的安全水平不降低。三是簽訂安全協(xié)議或在合同中設置安全條款，明確雙方安全責任，明確數據接受方是否有權向他人再次提供數據。外包服務數據安全管理外包服務人員及其使用設備應當納入組織內部整體網絡安全管理體系中，至少在人員管理、設備管理、網絡接入管理等方面明確管理要求和限制措施。除上述對外包服務人員加強賬號權限管理外，還需注意以下幾點：一是不對外包服務人員的賬戶開放批量數據提取或下載權限，如確需此類權限，應單獨制定更為嚴格的審批流程，至少通過數據安全管理部門審批，并對授權設置有效期或及時回收。二是在外包服務人員撤場后，及時撤銷相關賬戶。三是對外包服務人員使用的設備接入內網，應建立單獨審批流程。日志管理和安全審計對各類賬號訪問、操作行為進行日志記錄并定期審計，是發(fā)現違規(guī)行為的必要手段，也是安全事件事后調查的必要手段。關于日志管理和安全審計，管理制度應當明確：一是日志記錄的信息，至少包括時間、賬號 ID、操作對象、操作類型等字段信息。二是日志記錄保存的時間。三是安全審計的周期，可以按照數據等級差異化制定審計周期，例如高安全等級的數據，每季度審計一次；較高安全等級的數據，每半年審計一次等。數據備份與恢復數據備份是關系到系統(tǒng)災難恢復、業(yè)務連續(xù)性的重要工作。關于數據備份與恢復，管理制度應當明確：一是數據備份的策略，根據數據重要性、業(yè)務系統(tǒng)對數據的依賴程度，明確熱備或冷備，本地備份或異地備份等策略。二是數據備份的頻率，可以與備份策略結合采取差異化的備份頻率，如每天增量熱備，每月全量冷備等。三是恢復性測試的頻率和范圍，可以制定多個組合策略，如每月對部分備份數據進行恢復性測試，每年對全量備份數據進行測試等。最后，還需特別說明的是，上述內容不是數據安全管理制度應當規(guī)范的全部內容，數據傳輸安全、存儲安全、數據脫敏、數據防泄漏等措施，在管理制度中同樣應當明確規(guī)則，但是因為這些措施與技術手段及工具結合緊密， 為避免重復，將在下一章進行重點介紹。五、數據安全防護技術措施實踐方法本章結合第四章數據安全防護管理措施，從數據產生／采集、傳輸、存儲、使用、共享、銷毀等數據生命周期關鍵環(huán)節(jié)梳理總結數據安全防護需要具備的技術手段和工具，包括但不限于身份認證、訪問控制、安全審計、異常行為監(jiān)測預警、數據加密、數據脫敏、數據防泄漏等數據安全技術。（一）數據產生／采集環(huán)節(jié)的安全技術措施從數據安全角度考慮，在數據產生／采集環(huán)節(jié)需要實現的技術能力主要是元數據安全管理、數據類型和安全等級打標，相應功能需要內嵌入后臺運維管理系統(tǒng)，或與其無縫對接，從而實現安全責任制、數據分級分類管理等管理制度在實際業(yè)務流程中的落地實施。元數據安全管理以結構化數據為例，元數據安全管理需要實現的功能包括數據表級的所屬部門、開發(fā)人、安全責任人的設置和查詢，表字段的資產等級、安全等級查詢，表與上下游表的血緣關系查詢，表訪問操作權限申請入口。圖 4 是一個元數據安全管理功能示例，在后臺系統(tǒng)界面上顯示了一個數據表基本情況，包括每個字段的類型、具體描述、數據類型、安全等級等，同時顯示這個數據表的開發(fā)人、負責人、安全接口人、所屬部門等信息，并且可以通過這個界面申請對該表訪問操作權限。圖 4 元數據安全管理系統(tǒng)示例數據類型、安全等級打標自動化的數據類型、安全等級打標工具幫助組織內部實現數據分級分類管理，特別是在組織內部擁有大量數據的情況下，能夠保證管理效率。打標工具根據數據分級分類管理制度中定義的數據類型、安全等級進行標識化，通過預設判定規(guī)則實現數據表字段級別的自動化識別和打標。圖 5 和圖 6 是一個打標工具的功能示例。圖 5 顯示了一個數據表每個字段的數據類型和安全等級，在這個示例中，“C”表示該字段的數據類型，“C”后面的數字表示該字段的安全等級。圖 6 顯示的是一個預設規(guī)則的列表， 每一條規(guī)則包括了適用范圍、匹配項目、匹配方式，以及匹配成功后應標識的數據類型和安全等級。圖 5 數據類型、安全等級標識示例圖 6 數據類型、安全等級打標規(guī)則示例（二）數據傳輸存儲環(huán)節(jié)的安全技術措施數據傳輸和存儲環(huán)節(jié)主要通過密碼技術保障數據機密性、完整性。在數據傳輸環(huán)節(jié)，可以通過 HTTPS、VPN 等技術建立不同安全域間的加密傳輸鏈路，也可以直接對數據進行加密，以密文形式傳輸，保障數據傳輸過程安全。在數據存儲環(huán)節(jié)，可以采取數據加密、硬盤加密等多種技術 完美WORD格式編輯 方式保障數據存儲安全。（三）數據使用環(huán)節(jié)的安全技術措施數據使用環(huán)節(jié)安全防