张老师
点击图片查看原图
为什么需要管理数据安全？随信息技术的发展，人类社会已经进入数字时代，数据的指数级增长已经成为常态。数据具有极大的价值变现特点，世界各国都强烈意识到数据的重要性。然而，数据的价值变现、有效利用的前提是数据是安全的，所以，数据安全的保护能力，是数据有效利用的基础。2020年4月9日，中共中央、国务院发布《关于构建更加完善的要素市场化配置体制机制的意见》，数据首次被作为要素写入《意见》，要求推进政府数据开放共享，提升社会数据资源价值，同时也要加强数据资源整合和安全保护，探索建立统一规范的数据管理制度。我国从国家层面，制定了相关法律法规，明确要求要合规、合法、有效的做好数据安全的保护。
四个安全能力维度:组织建设、制度流程、技术工具、人员能力；七个安全过程维度：数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全、通用安全，共计30个过程域；五个安全能力等级：从低到高依次1至5级。L1非正式执行：执行非正式过程，随机、无序、被动执行安全过程，依赖个人经验，无法复制。L2计划跟踪：在业务系统级别主动实现了安全过程的计划与执行，但没有形成体系化，可验证过程执行与计划一致，跟踪、控制执行的进展。L3充分定义：在组织级别实现了安全过程的规范执行，标准过程进行制度化，过程可重复执行，执行结果可核查。L4量化控制：建立了量化目标，安全过程可度量。L5持续优化：根据组织的整体目标，不断改进和优化组织能力和安全过程有效性。
DSMM 标准和 ISO27000 标准、等保标准有何相同，又有何不同？等保标准以备案系统为主要评估对象，偏向传统基础安全管理，侧重于物理安全、网络安全、安全建设管理等方面的安全保护。ISO27000 侧重于信息安全管理体系的建设，作为体系化的指导文件帮助企业建立、实施和文件化信息安全管理体系（ISMS）的要求。DSMM 强调数据保护，以数据为中心，在数据备份、数据销毁等方面与等保和 ISO27000 有重合，但是 DSMM 关注的数据采集、溯源、分析等视角，等保和 ISO27000 均未涉及，DSMM 对制度流程的要求均建立在具体的数据保护过程之上，DSMM 还强调对人员能力的评估。DSMM 标准与等保一样有分级的概念，但关注的是数据整个生命周期的安全控制，与业务贴合更紧密。