|
數(shù)據(jù)安全服務(wù)，數(shù)據(jù)安全體系建設(shè)的關(guān)鍵一環(huán)。通過數(shù)據(jù)安全服務(wù)解決數(shù)據(jù)安全建設(shè)難題，得到越來越多的重視。不久前，《工業(yè)和信息化部等十六部門關(guān)于促進(jìn)數(shù)據(jù)安全產(chǎn)業(yè)發(fā)展的指導(dǎo)意見》發(fā)布，明確“壯大數(shù)據(jù)安全服務(wù)”，推進(jìn)規(guī)劃咨詢與建設(shè)運維服務(wù)，積極發(fā)展檢測、評估、認(rèn)證服務(wù)。 數(shù)據(jù)安全服務(wù)市場正在步入快速發(fā)展的黃金期，各廠商紛紛布局，同時，數(shù)據(jù)安全服務(wù)品類也呈現(xiàn)出多樣化趨勢，包括：數(shù)據(jù)安全合規(guī)評估、數(shù)據(jù)安全規(guī)劃咨詢、數(shù)據(jù)分類分級、數(shù)據(jù)安全運維、人員培訓(xùn)與教育、數(shù)據(jù)安全應(yīng)急響應(yīng)與演練、數(shù)據(jù)安全防護(hù)能力評估等。 亂花漸欲迷人眼，對此，本文結(jié)合美創(chuàng)實踐，詳細(xì)介紹數(shù)據(jù)安全建設(shè)中常見的數(shù)據(jù)安全服務(wù)類型以及相關(guān)服務(wù)內(nèi)容、流程，以供參考。
 1 數(shù)據(jù)安全能力評估 概述：基于DSMM、DSG等國家、行業(yè)以及社會認(rèn)可的普遍能力目標(biāo)要求，綜合評估組織的數(shù)據(jù)安全能力，明晰組織數(shù)據(jù)安全能力差距。 評估內(nèi)容：從組織建設(shè)、制度流程、技術(shù)工具及人員能力四個能力維度，對應(yīng)用系統(tǒng)數(shù)據(jù)安全現(xiàn)狀進(jìn)行安全評估，識別應(yīng)用系統(tǒng)或業(yè)務(wù)條線的數(shù)據(jù)安全保護(hù)能力是否達(dá)到相應(yīng)能力等級及發(fā)現(xiàn)數(shù)據(jù)安全風(fēng)險，并輸出差距評估相關(guān)報告材料。 評估流程：
參考依據(jù)：《信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》、《數(shù)據(jù)安全治理能力評估方法》、《網(wǎng)絡(luò)數(shù)據(jù)安全處理要求》等。 2 數(shù)據(jù)分類分級服務(wù) 概述：依據(jù)國家及行業(yè)數(shù)據(jù)安全分類分級相關(guān)標(biāo)準(zhǔn)要求，協(xié)助組織對數(shù)據(jù)資產(chǎn)進(jìn)行識別、梳理、分類及分級，最終輸出分類分級清單及管理規(guī)范要求。 服務(wù)流程：
成果交付物：在數(shù)據(jù)分類分級執(zhí)行過程中，從項目啟動到結(jié)束，除了前期調(diào)研、需求分析等基礎(chǔ)軟件建設(shè)步驟，咨詢團(tuán)隊會對應(yīng)提供《需求調(diào)研表》、《調(diào)研記錄文檔》、《資產(chǎn)掃描報告》、《調(diào)研結(jié)果報告》、《需求分析報告》外，還包括《數(shù)據(jù)資產(chǎn)清單》、《數(shù)據(jù)分類分級指南/規(guī)范》、《數(shù)據(jù)分類分級報告》 參考依據(jù)：《信息安全技術(shù) 個人信息安全規(guī)范》(GB/T35273-2020)、《信息安全技術(shù) 網(wǎng)絡(luò)數(shù)據(jù)分類分級要求》（征求意見稿）、《信息安全技術(shù) 重要數(shù)據(jù)識別指南》(征求意見稿)以及行業(yè)、地方數(shù)據(jù)分類分級標(biāo)準(zhǔn)等。 3 數(shù)據(jù)安全治理咨詢 概述：從數(shù)據(jù)資產(chǎn)梳理、安全現(xiàn)狀調(diào)研、從合規(guī)性和數(shù)據(jù)全生命周期等視角，識別數(shù)據(jù)安全能力差距和安全風(fēng)險，給予相關(guān)處置建議，并從管理、技術(shù)等多維度對客戶業(yè)務(wù)的數(shù)據(jù)安全開展體系化規(guī)劃設(shè)計，以應(yīng)對業(yè)務(wù)數(shù)據(jù)安全建設(shè)和管理中的問題。 服務(wù)流程：
成果交付物：
4 數(shù)據(jù)安全合規(guī)評估 概述：深度解讀法律法規(guī)、監(jiān)管辦法等，協(xié)助組織充分了解合規(guī)義務(wù)、安全現(xiàn)狀、合規(guī)風(fēng)險及處置規(guī)劃，旨在及早規(guī)避和關(guān)注可能存在的風(fēng)險，包括綜合合規(guī)評估、個人信息安全合規(guī)、數(shù)據(jù)跨境合規(guī)評估等。 評估流程：
成果交付物：匯編輸出《數(shù)據(jù)安全合規(guī)評估報告書》，另附參考指南/標(biāo)準(zhǔn)清單&附件。具體報告內(nèi)容包括不限于如下：
參考標(biāo)準(zhǔn)：基于《數(shù)據(jù)安全法》、《個人信息保護(hù)法》，聯(lián)合其他數(shù)據(jù)安全相關(guān)辦法規(guī)定、行業(yè)監(jiān)管等文件，參考ISO37301：2021標(biāo)準(zhǔn)、Gartner DSG架構(gòu)、PDCA方法等。 5 數(shù)據(jù)安全風(fēng)險評估 概述：協(xié)助組織充分了解數(shù)據(jù)資產(chǎn)在各項數(shù)據(jù)處理活動中可能存在的各項風(fēng)險情況，給予相關(guān)的風(fēng)險處置措施。 評估流程： 成果交付物：《數(shù)據(jù)安全風(fēng)險評估報告》作為最終的交付物，報告主要內(nèi)容包括：
參考依據(jù)：《數(shù)據(jù)安全法》、《信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》、《信息安全技術(shù) 數(shù)據(jù)安全風(fēng)險評估方法》等國家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)、地方標(biāo)準(zhǔn)對評估指標(biāo)進(jìn)行定制 評估收益：全面識別組織數(shù)據(jù)面臨的各種風(fēng)險，并據(jù)此采用適當(dāng)安全處置措施。數(shù)據(jù)安全風(fēng)險評估及其形成的記錄文檔，可用于證明組織已經(jīng)主動評估風(fēng)險并采取一定的安全保護(hù)措施，有助于減輕、甚至免除組織的相關(guān)責(zé)任和名譽損失。  6 個人信息安全風(fēng)險評估 概述：旨在幫助組織有效分析在各項數(shù)據(jù)處理活動中的所存在個人信息、特別是個人敏感信息所可能存在的各項風(fēng)險情況，同時結(jié)合對出現(xiàn)個人信息相關(guān)安全事件時所造成的影響進(jìn)行分析的結(jié)果，給予相關(guān)的處置措施建議。 服務(wù)流程：
成果交付物：最終輸出《個人信息安全風(fēng)險評估報告書》，包括不限于：
參考依據(jù)：《個人信息保護(hù)法》、《信息安全技術(shù) 個人信息安全規(guī)范》、《信息安全技術(shù) 個人信息安全影響評估指南》，結(jié)合組織所在行業(yè)的相關(guān)規(guī)定，如：醫(yī)療衛(wèi)生行業(yè)《GB/T 39725-2020 信息安全技術(shù) 健康醫(yī)療數(shù)據(jù)安全指南》等。 7 數(shù)據(jù)出境安全評估 概述：依據(jù)《數(shù)據(jù)出境安全評估辦法》、《數(shù)據(jù)出境安全評估申報指南》等，幫助組織深入理解和研究數(shù)據(jù)出境活動的限制和要求，厘清數(shù)據(jù)出境場景、出境數(shù)據(jù)范圍、限制要求以及緩解措施，完成數(shù)據(jù)出境風(fēng)險自評估，輔導(dǎo)客戶申報數(shù)據(jù)出境安全評估。 服務(wù)流程：
成果交付物包括不限于： 數(shù)據(jù)出境安全風(fēng)險評估
數(shù)據(jù)出境安全整改指導(dǎo)
數(shù)據(jù)出境安全評估申報
參考依據(jù)：《數(shù)據(jù)安全法》、《個人信息保護(hù)法》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》、《網(wǎng)絡(luò)安全審查辦法》、《數(shù)據(jù)出境安全評估辦法》、《數(shù)據(jù)出境安全評估申報指南（第一版）》、《信息安全技術(shù) 個人信息安全影響評估指南》、《信息安全技術(shù) 個人信息安全規(guī)范》、《信息安全技術(shù) 數(shù)據(jù)出境安全評估指南（征求意見稿）》、《信息安全技術(shù) 重要數(shù)據(jù)識別規(guī)則（征求意見稿）》、《個人信息出境標(biāo)準(zhǔn)合同辦法》等。 8 數(shù)據(jù)安全檢查服務(wù) 概述：通過深度解讀和分析法律法規(guī)、監(jiān)管辦法等，提供數(shù)據(jù)安全檢查內(nèi)容、通過模板、工具等方式進(jìn)行快速評估，作為開展符合性判定的參考意見。數(shù)據(jù)安全檢查方式主要包括監(jiān)管檢查、企業(yè)自查。 檢查流程：
檢查內(nèi)容：
常用檢查工具：
參考依據(jù)：《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)基本要求》、《信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》、《信息安全技術(shù) 信息安全風(fēng)險評估規(guī)范》、《信息安全技術(shù) 個人信息安全規(guī)范》、《信息安全技術(shù) 個人信息安全影響評估指南》 成果交付物：在制定檢查內(nèi)容時，提供數(shù)據(jù)安全檢查清單，包括檢查類別、檢查項目、檢查內(nèi)容、檢查方式及檢查要點，根據(jù)要點判定出檢查結(jié)果，最終形成《數(shù)據(jù)安全檢查結(jié)果報告》等。 9 數(shù)據(jù)安全制度咨詢 概述：根據(jù)組織實際管理要求，定制化輸出數(shù)據(jù)安全相關(guān)制度、流程和規(guī)范文件，以滿足客戶安全管理要求及實質(zhì)合規(guī)要求。 制度設(shè)計思路：
成果交付物：包括管理制度、技術(shù)制度、檢查制度等，如《數(shù)據(jù)安全管理制度》、《數(shù)據(jù)采集與傳輸規(guī)范制度》、《數(shù)據(jù)安全人員管理制度》、《數(shù)據(jù)安全應(yīng)急響應(yīng)管理制度》、《數(shù)據(jù)安全檢查制度》等。 結(jié)語 目前，提供數(shù)據(jù)安全服務(wù)的提供商百舸爭流，即包括律師事務(wù)所、數(shù)據(jù)安全公司、也有網(wǎng)絡(luò)安全公司及測評認(rèn)證機構(gòu)等，各有所長，如何選擇數(shù)據(jù)安全服務(wù)提供商，用戶需從數(shù)據(jù)安全服務(wù)經(jīng)驗、對行業(yè)業(yè)務(wù)場景的認(rèn)知、安全服務(wù)團(tuán)隊構(gòu)成、相關(guān)服務(wù)資質(zhì)、自研產(chǎn)品工具支撐、量化的保障措施等進(jìn)行綜合考量。 |
|
|
