黃 勇 劉琳琳 陳逸輝 張 迪 張 偉

（大連海關(guān)，遼寧大連 116001）

0.引言

數(shù)據(jù)安全正隨著全球數(shù)字化轉(zhuǎn)型步伐的加快而凸顯出越來越重要的地位，數(shù)據(jù)安全在維護國家經(jīng)濟和信息安全中占有重要位置。數(shù)字政府建設(shè)中的數(shù)據(jù)時刻面臨著巨大的管理風(fēng)險和安全威脅[1]，《中華人民共和國數(shù)據(jù)安全法》[2]在數(shù)據(jù)安全管理制度和安全應(yīng)用方面提出了明確要求，“國家機關(guān)應(yīng)當(dāng)依照法律、行政法規(guī)的規(guī)定，建立健全數(shù)據(jù)安全管理制度，落實數(shù)據(jù)安全保護責(zé)任，保障數(shù)據(jù)安全”。2022 年6 月24 日國務(wù)院印發(fā)的《關(guān)于加強數(shù)字政府建設(shè)的指導(dǎo)意見》中強調(diào)，在構(gòu)建數(shù)字政府全方位安全保障體系方面，強化安全管理責(zé)任，落實安全制度要求，提升安全保障能力，提高自主可控水平，筑牢數(shù)字政府建設(shè)安全防線。因此，在數(shù)字政府建設(shè)中，建立健全數(shù)據(jù)應(yīng)用安全機制成為重中之重。

1.數(shù)據(jù)安全能力成熟度模型的基本原理

《信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》（GB/T 37988-2019）[3]將數(shù)據(jù)安全能力成熟度劃分了1 ～5 個等級，依次為非正式執(zhí)行級、計劃跟蹤級、充分定義級、量化控制級、持續(xù)優(yōu)化級，將數(shù)據(jù)按照其生存周期分階段采用不同的能力評估等級，分為數(shù)據(jù)采集安全、數(shù)據(jù)傳輸安全、數(shù)據(jù)存儲安全、數(shù)據(jù)處理安全、數(shù)據(jù)交換安全、數(shù)據(jù)銷毀安全6 個階段。在各個階段內(nèi)，從組織建設(shè)、制度流程、技術(shù)工具和人員能力等四個能力維度進行綜合評估。

在此基礎(chǔ)上，數(shù)據(jù)安全能力成熟度模型將上述6 個生存周期進一步細分，劃分出30 個過程域，這30 個過程域分別分布在數(shù)據(jù)生存周期的6 個階段，部分過程域貫穿于整個數(shù)據(jù)生存周期。數(shù)據(jù)安全能力成熟度模型在充分定義級對數(shù)據(jù)正當(dāng)使用要求如下：（1）組織建設(shè)，組織應(yīng)設(shè)立相關(guān)崗位或人員，負責(zé)對數(shù)據(jù)正當(dāng)使用管理、評估和風(fēng)險控制。（2）制度流程，一方面，應(yīng)明確數(shù)據(jù)使用的評估制度，所有個人信息和重要數(shù)據(jù)的使用應(yīng)先進行安全影響評估，滿足國家合規(guī)要求后，允許使用。數(shù)據(jù)的使用應(yīng)避免精準(zhǔn)定位到特定個人，避免評價信用、資產(chǎn)和健康等敏感數(shù)據(jù)，不得超出與收集數(shù)據(jù)時所聲明的目的和范圍。另一方面，應(yīng)明確數(shù)據(jù)使用正當(dāng)性的制度，保證數(shù)據(jù)使用在聲明的目的和范圍內(nèi)。（3）技術(shù)工具，一方面，應(yīng)依據(jù)合規(guī)要求建立相應(yīng)強度或粒度的訪問控制機制，限定用戶可訪問數(shù)據(jù)范圍；另一方面，應(yīng)完整記錄數(shù)據(jù)使用過程的操作日志，以備對潛在違約使用者責(zé)任的識別和追責(zé)。（4）人員能力，負責(zé)該項工作的人員應(yīng)能夠按最小夠用等原則管理權(quán)限，并具備對數(shù)據(jù)正當(dāng)使用的相關(guān)風(fēng)險的分析和跟進能力。

2.數(shù)字政府建設(shè)中數(shù)據(jù)應(yīng)用安全存在的主要問題

參照數(shù)據(jù)安全能力成熟度模型“充分定義級”，通過調(diào)研評估，從組織建設(shè)、制度流程、技術(shù)工具和人員能力4 個維度，查找目前數(shù)字政府建設(shè)中存在的數(shù)據(jù)安全問題。

2.1 組織建設(shè)不健全

（1）組織架構(gòu)缺乏頂層設(shè)計，未形成統(tǒng)一的、自上而下的數(shù)據(jù)安全治理組織架構(gòu)，單位內(nèi)部數(shù)據(jù)應(yīng)用和數(shù)據(jù)管理的職能較為分散且不夠明確。（2）部分崗位職責(zé)不清晰，部分數(shù)據(jù)管理重要過程未指定專人管理，也未指定業(yè)務(wù)人員參與管理工作。

2.2 制度流程不完善

（1）制度流程未形成體系化，制度辦法等一級、二級文件較多，規(guī)范、流程、記錄等三級、四級文件較少；（2）制度流程內(nèi)容不完整或缺失；（3）制度流程內(nèi)容與建設(shè)目標(biāo)之間存在差距。

2.3 技術(shù)工具不完備

（1）部分技術(shù)工具和技術(shù)措施缺失，無法保證相關(guān)工作的有效執(zhí)行；（2）工具設(shè)備間聯(lián)動性不足，不能最大限度發(fā)揮整體效能。

2.4 人員能力不足

（1）人員理解能力不足，在業(yè)務(wù)理解和依據(jù)業(yè)務(wù)特性進行解讀實施上，存在能力不足問題；（2）風(fēng)險識別能力不足，對于可能存在的風(fēng)險了解不足，無法采取及時有效的措施規(guī)避風(fēng)險。

3.數(shù)字政府?dāng)?shù)據(jù)應(yīng)用安全機制的構(gòu)建

著眼于數(shù)字政府建設(shè)中的實際情況，構(gòu)建一整套數(shù)據(jù)應(yīng)用安全機制，包括“數(shù)據(jù)安全責(zé)任機制”“數(shù)據(jù)安全制度流程體系化運作機制”“數(shù)據(jù)安全技術(shù)工具聯(lián)動機制”和“數(shù)據(jù)安全人員技能培訓(xùn)機制”。首先，建立上下聯(lián)動的數(shù)據(jù)安全組織架構(gòu)，明確各層級的數(shù)據(jù)安全職責(zé)，建立數(shù)據(jù)安全責(zé)任機制；其次，依據(jù)職責(zé)分工，對數(shù)據(jù)安全管理制度流程進行體系化建設(shè)，建立動態(tài)運作機制；再次，通過技術(shù)工具之間的協(xié)同和聯(lián)動，對數(shù)據(jù)全生存周期流轉(zhuǎn)進行監(jiān)測和防護，也為數(shù)據(jù)安全風(fēng)險評估提供輸入[4]；最后，建立數(shù)據(jù)安全人員技能培訓(xùn)機制，為數(shù)據(jù)安全建設(shè)提供強有力的保障，以進一步鞏固和完善數(shù)據(jù)安全建設(shè)工作。各個機制之間相互協(xié)調(diào)，又層層推進。

3.1 建立數(shù)據(jù)安全責(zé)任機制

數(shù)據(jù)安全組織建設(shè)是數(shù)據(jù)安全治理體系建設(shè)、實施的最關(guān)鍵問題之一，直接關(guān)系到體系建設(shè)的成敗。

在具體組織架構(gòu)上，首先以當(dāng)前網(wǎng)絡(luò)安全管理架構(gòu)為基礎(chǔ)，確定數(shù)據(jù)安全管理的組織架構(gòu)，且架構(gòu)中至少包括決策層、管理層、執(zhí)行層、參與層和監(jiān)督層幾個主要層次，以確保各項工作職責(zé)分工明確，工作執(zhí)行過程相互協(xié)調(diào)、制約。

在具體權(quán)責(zé)劃分上，以數(shù)據(jù)安全決策方、數(shù)據(jù)安全管理方、數(shù)據(jù)運營方、數(shù)據(jù)所有方及數(shù)據(jù)使用方等角色的職責(zé)描述為參考，結(jié)合自身組織架構(gòu)設(shè)置情況，根據(jù)下屬各級部門及參與人在不同場景下?lián)蔚慕巧町?，通過角色映射方式進行權(quán)責(zé)分配，明確數(shù)據(jù)安全責(zé)任到各部門及個人。

3.1.1 確定數(shù)據(jù)安全組織架構(gòu)（見圖1）

首先，數(shù)據(jù)安全管理應(yīng)采取“一把手負責(zé)制”，在現(xiàn)有組織架構(gòu)基礎(chǔ)上成立“數(shù)據(jù)安全領(lǐng)導(dǎo)小組”，由各部門主管領(lǐng)導(dǎo)及數(shù)據(jù)安全官擔(dān)任組員，領(lǐng)導(dǎo)小組將負責(zé)確定數(shù)據(jù)安全管理要求，定期聽取數(shù)據(jù)安全工作匯報，并指導(dǎo)、監(jiān)督數(shù)據(jù)安全管理工作。其次，由數(shù)據(jù)安全領(lǐng)導(dǎo)小組指派高層管理人員作為各運行單位數(shù)據(jù)安全的負責(zé)人，并組建數(shù)據(jù)安全管理團隊，各運行單位應(yīng)全面落實數(shù)據(jù)安全責(zé)任制，根據(jù)具體工作職責(zé)劃分層層落實。再次，由數(shù)據(jù)安全管理團隊負責(zé)指導(dǎo)組建數(shù)據(jù)安全管理執(zhí)行團隊，負責(zé)各自職責(zé)范圍內(nèi)數(shù)據(jù)安全的治理、建設(shè)、監(jiān)測、運營及技術(shù)支撐，管理團隊?wèi)?yīng)明確管理要求、編制數(shù)據(jù)安全管理規(guī)范及標(biāo)準(zhǔn)，用于指導(dǎo)數(shù)據(jù)安全執(zhí)行團隊有序、合規(guī)地開展工作。之后，對全部工作的參與者，包括各單位內(nèi)部員工及外部合作相關(guān)方人員，定期開展數(shù)據(jù)安全宣傳教育工作，對專業(yè)的技術(shù)人員開展數(shù)據(jù)安全專業(yè)技能培訓(xùn)，對關(guān)鍵崗位人員要求其通過權(quán)威的認證，以保證其有能力完成其所承擔(dān)的工作。最后，各單位根據(jù)自身實際情況，建立自上而下的監(jiān)督、評價機制，建立自下而上的反饋、匯報機制。在數(shù)據(jù)安全決策層的指導(dǎo)下，由數(shù)據(jù)安全管理方組織數(shù)據(jù)所有方、數(shù)據(jù)運營方，定期開展數(shù)據(jù)安全檢查，同時做好常態(tài)化檢查，發(fā)揮日常監(jiān)督檢查的重要作用。各層級也應(yīng)定期主動開展自查，進行經(jīng)常性的安全排查，查隱患、找漏洞、補短板。

圖1 數(shù)據(jù)安全組織架構(gòu)

3.1.2 明確數(shù)據(jù)安全角色權(quán)責(zé)劃分

“數(shù)據(jù)安全領(lǐng)導(dǎo)小組”是數(shù)據(jù)安全的決策方，是各單位數(shù)據(jù)安全決策層的角色體現(xiàn)，履行數(shù)據(jù)安全的最終決策、監(jiān)督及指導(dǎo)職能。數(shù)據(jù)安全管理方是各單位數(shù)據(jù)安全管理層的角色體現(xiàn)，履行數(shù)據(jù)安全的制度要求制定、數(shù)據(jù)安全保護建設(shè)落實、數(shù)據(jù)安全監(jiān)督檢查評價等職責(zé)。各運行單位應(yīng)基于自身實際組織架構(gòu)，將數(shù)據(jù)安全管理相關(guān)職能落實到具體部門及個人。數(shù)據(jù)所有方是各單位數(shù)據(jù)安全執(zhí)行層的角色體現(xiàn)之一，是各自責(zé)任范圍內(nèi)數(shù)據(jù)的主管部門及最終責(zé)任方，履行數(shù)據(jù)安全的資產(chǎn)梳理定級、安全管理要求、數(shù)據(jù)使用及管理審批授權(quán)等職責(zé)，并配合數(shù)據(jù)安全管理方完成數(shù)據(jù)安全保護及檢查評估工作。數(shù)據(jù)運營方是各單位數(shù)據(jù)安全執(zhí)行層的角色體現(xiàn)之一，履行各自責(zé)任范圍內(nèi)數(shù)據(jù)的技術(shù)保護措施使用、數(shù)據(jù)安全控制策略設(shè)定、數(shù)據(jù)安全運維管理及數(shù)據(jù)安全應(yīng)急處置等職責(zé)，并配合數(shù)據(jù)安全管理方完成數(shù)據(jù)安全保護及檢查評估工作。數(shù)據(jù)使用方是各單位數(shù)據(jù)安全參與層的角色體現(xiàn)，履行所持有、使用、操作數(shù)據(jù)的安全保護責(zé)任，并配合數(shù)據(jù)安全管理方、數(shù)據(jù)運營方完成數(shù)據(jù)安全保護及檢查評估工作。

3.2 建立數(shù)據(jù)安全制度流程體系化運作機制

以現(xiàn)有網(wǎng)絡(luò)及數(shù)據(jù)安全管理制度為基礎(chǔ)，通過完善一級文件、二級文件、三級文件和四級文件，建立健全數(shù)據(jù)安全制度流程體系，并動態(tài)運作。

結(jié)合現(xiàn)狀，制定《數(shù)據(jù)安全管理辦法》作為一級文件，對數(shù)據(jù)安全管理提出總體要求，明確依據(jù)文件、適用范圍、管理目標(biāo)、保護對象、組織架構(gòu)、部門職責(zé)、管理內(nèi)容等。二級文件依據(jù)一級文件的內(nèi)容進行制定，形成以《數(shù)據(jù)采集安全管理辦法》《數(shù)據(jù)傳輸安全管理辦法》《數(shù)據(jù)存儲安全管理辦法》《數(shù)據(jù)處理安全管理辦法》《數(shù)據(jù)交換安全管理辦法》《數(shù)據(jù)銷毀安全管理辦法》《數(shù)據(jù)通用過程安全管理辦法》和《數(shù)據(jù)安全風(fēng)險評估管理辦法》為主的二級文件，二級文件將一級文件中明確的管理內(nèi)容進行細化，提出具體的管理要求，為各類數(shù)據(jù)活動提供制度依據(jù)。三級文件依據(jù)二級文件的內(nèi)容進行編制，對數(shù)據(jù)生存周期各數(shù)據(jù)操作進行規(guī)范。四級文件對各數(shù)據(jù)操作的過程和結(jié)果進行記錄，并保存和歸檔。所有文件的上級文件內(nèi)容若發(fā)生修訂、更新，則自身內(nèi)容也相應(yīng)進行調(diào)整，形成動態(tài)的體系化運作機制。

3.3 建立數(shù)據(jù)安全技術(shù)工具聯(lián)動機制

整個數(shù)據(jù)安全技防體系框架（見圖2）分為4 個部分，分別為數(shù)據(jù)安全監(jiān)管中心、數(shù)據(jù)安全技術(shù)工具、數(shù)據(jù)安全技術(shù)措施和各場景數(shù)據(jù)生存周期保護。

圖2 數(shù)據(jù)安全技防體系框架

數(shù)據(jù)安全監(jiān)管中心為整個框架的核心，負責(zé)監(jiān)控采集和策略下發(fā)。各類數(shù)據(jù)安全技術(shù)工具應(yīng)統(tǒng)一接受數(shù)據(jù)安全監(jiān)管中心的策略下發(fā)，確保各中心數(shù)據(jù)安全策略執(zhí)行的一致，并將運行信息及日志記錄統(tǒng)一、實時上傳給數(shù)據(jù)安全監(jiān)管中心，供數(shù)據(jù)安全管理及風(fēng)險分析。

數(shù)據(jù)安全技術(shù)工具包括但不限于數(shù)據(jù)資產(chǎn)管理工具、數(shù)據(jù)源鑒別工具、數(shù)據(jù)存儲管理工具、過期數(shù)據(jù)管理工具、數(shù)據(jù)發(fā)布系統(tǒng)工具、數(shù)據(jù)接口管理工具、數(shù)據(jù)銷毀工具、密鑰管理工具、數(shù)據(jù)供應(yīng)鏈管理工具、元數(shù)據(jù)管理工具、數(shù)據(jù)防泄漏監(jiān)控工具、數(shù)據(jù)安全需求分析系統(tǒng)和數(shù)據(jù)安全事件管理工具等。數(shù)據(jù)安全技術(shù)工具之間應(yīng)建立緊密的協(xié)同聯(lián)動機制，結(jié)合數(shù)據(jù)安全技術(shù)措施，更好地對各場景數(shù)據(jù)生存周期進行保護。

數(shù)據(jù)安全技術(shù)措施包括但不限于緩存數(shù)據(jù)清理技術(shù)、個人信息泄露防護技術(shù)、數(shù)據(jù)脫敏方案、數(shù)據(jù)傳輸加密技術(shù)、合規(guī)資料庫、重要數(shù)據(jù)防護技術(shù)、終端數(shù)據(jù)安全技術(shù)、數(shù)據(jù)存儲加密技術(shù)、身份鑒別技術(shù)、訪問控制技術(shù)和安全審計技術(shù)等。數(shù)據(jù)安全技術(shù)措施應(yīng)與數(shù)據(jù)安全技術(shù)工具進行協(xié)同，支撐各場景數(shù)據(jù)生存周期保護。

各場景數(shù)據(jù)生存周期保護包括但不限于數(shù)據(jù)采集保護、數(shù)據(jù)傳輸保護、數(shù)據(jù)存儲保護、數(shù)據(jù)處理保護、數(shù)據(jù)交換保護和數(shù)據(jù)銷毀保護等。

3.4 建立數(shù)據(jù)安全人員技能培訓(xùn)機制

人是數(shù)據(jù)安全建設(shè)中最重要的因素，一切數(shù)據(jù)安全管理規(guī)范、技術(shù)措施都是以人為基礎(chǔ)，加強對人員的教育往往能解決管理及技術(shù)手段無法解決的問題。在人員能力培養(yǎng)方面，應(yīng)從全員教育、制度宣貫及專業(yè)人員培訓(xùn)認證3個層面進行全方位的人員培訓(xùn)。

對于數(shù)據(jù)安全管理中的專業(yè)人員，比如數(shù)據(jù)安全管理專責(zé)人員、數(shù)據(jù)安全管理的執(zhí)行人員、第三方供應(yīng)商參與建設(shè)及管理人員等，均應(yīng)在項目早期階段就開始進行系統(tǒng)化的數(shù)據(jù)安全治理培訓(xùn)，以便更好地配合數(shù)據(jù)安全防護體系建設(shè)。

對于全體數(shù)據(jù)安全的參與者，比如數(shù)據(jù)的操作者、數(shù)據(jù)的一般管理者、參與數(shù)據(jù)分析處理的第三方合作伙伴等，均應(yīng)在項目中期階段，即數(shù)據(jù)安全管理體系建立起來后，開展數(shù)據(jù)安全管理體系宣貫培訓(xùn)，以便在數(shù)據(jù)安全管理及技術(shù)措施落地后能夠充分配合具體的管理要求，避免不必要的誤操作。

對于各單位的全體員工及相關(guān)第三方人員，比如普通工作人員及參與者，可定期開展數(shù)據(jù)安全意識教育培訓(xùn)，以提升全員的網(wǎng)絡(luò)及數(shù)據(jù)安全意識，糾正工作、生活中的不良習(xí)慣，進而促進數(shù)據(jù)安全整體水平。

4.結(jié)語

數(shù)字政府建設(shè)離不開創(chuàng)新，創(chuàng)新必須牢牢守住數(shù)據(jù)安全底線。隨著物聯(lián)網(wǎng)、云計算、大數(shù)據(jù)等新一代信息技術(shù)的加速發(fā)展，數(shù)據(jù)應(yīng)用場景更加豐富，應(yīng)用領(lǐng)域更加廣闊，應(yīng)用價值更加凸顯，數(shù)據(jù)已經(jīng)成為國家基礎(chǔ)性戰(zhàn)略資源和生產(chǎn)要素，關(guān)系國家安全與經(jīng)濟社會發(fā)展，其安全管理形勢也更加嚴(yán)峻?？萍紤?zhàn)線的工作者必須以習(xí)近平新時代中國特色社會主義思想為指導(dǎo)，牢固樹立總體國家安全觀，嚴(yán)格數(shù)據(jù)管理，始終把數(shù)據(jù)應(yīng)用安全貫穿到數(shù)字政府建設(shè)中數(shù)據(jù)應(yīng)用的各領(lǐng)域和全過程，持續(xù)加強信息化項目建設(shè)規(guī)范和政務(wù)數(shù)據(jù)管控，努力走好數(shù)字產(chǎn)業(yè)化和產(chǎn)業(yè)數(shù)字化之路。