数 据 安 全 治 理 实 践 指 南 （1.0） 中国信息通信研究院云计算与大数据研究所 2021 年 7 月版 权 声 明 本报告版权属于 中 国 信 息 通 信 研 究 院 ， 并 受 法 律 保 护 。 转 载 、 摘 编 或 利用 其 它 方 式 使 用 本 报 告 文 字 或 者观 点 的 ， 应 注明 “ 来源： 中国信息通信研究 院” 。 违 反 上 述 声明 者 ， 本 院 将 追 究 其 相 关 法律 责 任 。编制说明 本指南的 撰写得 到 了行业内 许多专 家 的支持和 帮助， 他们 分别来 自： 北 京天融 信网 络安全技 术有限 公 司、OPPO 广东移 动 通信有限 公 司、 杭州 美创科 技 有限公司 、 中国 电 信股份有 限公司 、 联通数字 科技 有限公司、 北京百 度网讯科 技有限 公 司、 启明星 辰信息 技术集团 股份 有限公司 、 蚂蚁 科 技集团股 份有限 公 司、 天翼 云科技 有 限公司、 中国 联合网络 通信集 团 有限公司、 杭州安 恒信息技 术股份 有 限公司、 北 京 奇虎科技 有限公 司、 奇安信科 技集团 股 份有限公 司、 中国 联 通研究院 、 闪捷信息 科技有 限 公司、 恒安 嘉新 （ 北京） 科技 股份公 司、 京东数 字 科技集团 、 贝壳 找房 （北京） 科技有 限公 司 等。 在 此表示 由衷 的感谢。前 言 2021 年 6 月 中华 人民共和 国数据 安 全法 （ 以下简 称 “ 数 据安 全法 ” ） 正式颁 布 ， 标志着 我国数 据 安全进入 有法可 依 、 依法建 设的 新发展阶 段。 数据 安全法 明 确提出 在 坚持总体 国家安 全 观基础上 ， 建立健全 数据安 全 治理体系 ，提高 数 据安全保 障能力 。 由于数据 本身具 有 流动性、 多 样性、 可 复制性等 不同于 传 统生产 要素的特 性， 数 据 安全风险 在数字 经 济时代被 不断放 大 ， 因此， 对数 据安全治 理的要 求 也 越来越 高。 如何 协调 政府、 行业、 企业、 个人 等 多元主体 ， 形成 协同 共治机制 ？如何 平 衡数据开 发利用 和 数据安全 保 护， 实现 发展与 安全 的齐头并 进？如 何 构建覆盖 数据全 生 命周期安 全 的 治 理 框 架 ？ 如 何 在 各 组 织 中 落 实 数 据 安 全 治 理 的 具 体 要 求 ？ 这 些 都是当前 数据安 全 治理面临 的重要 问 题。 本 指 南 参 考 数 据 安 全 领 域 的 相 关 标 准 ， 重 点 以 中 国 互 联 网 协 会 T/ISC-0011-2021 数据安全 治理能 力 评估方法 为基 础， 阐述了数 据 安全治理 的内涵 ； 从组织如 何落实 数 据安全治 理要求 的 角度出发， 提 出数据安 全治理 总 体视图 ； 按照数 据 安全治理 目标、 治 理框架、 治理 实践路径 分别提 出 落地建议 ， 并对 未 来发展进 行展望 。 此外， 指 南还 收录了部 分企业 开 展数据安 全治理 的 实践经验 。目 录 一、 数据安全治理概述. 1 (一) 数据安全治理概念内涵 . 1 (二) 数据安全治理要点阐释 . 2 二、 数据安全治理总体视图. 3 三、 数据安全治理参考框架. 5 (一) 数据安全战略 . 5 (二) 数据全生命周期安全 . 7 (三) 基础安全 . 10 四、 数据安全治理实践路线. 13 (一) 第一步：治理规划 . 14 (二) 第二步：治理建设 . 15 (三) 第三步：治理运营 . 24 (四) 第四步：治理成效评估 . 27 五、 数据安全治理未来展望. 29 六、 附录：数据安全治理企业实践. 30 (一) 中国联通集团数据安全治理实践 . 30 (二) 蚂蚁集团数据安全治理实践 . 35 (三) 百度数据安全治理实践 . 39 (四) 天翼云数据安全治理实践 . 43 参考文献. 47图 目 录 图 1 数据安全治理总体视图. 4 图 2 数据安全治理参考框架. 5 图 3 数据安全治理组织架构示意图. 16 图 4 数据安全管理制度体系示意图. 18 图 5 一套可参考的数据安全管理制度体系. 19 图 6 数据安全管 控流程参考示意图. 20 图 7 数据安全技术工具部署示意图. 20 图 8 数据安全人员能力培养体系. 23 图 9 中国联通数据安全体系总体框架. 31 图 10 蚂蚁数据安全复合治理管理模式. 35 图 11 蚂蚁集团数据安全四重保障图 . 38 图 12 百度数据安全治理工 作路线. 39 图 13 百度数据安全治理三步走. 40 图 14 百度数据安全治理实践. 41 图 15 天翼云数据安全治理实践路标 图. 43 图 16 天翼云数据安全治理能力. 45 图 17 天翼云数据安全技术体系. 46 表 目 录 表 1 数据安全组织架构角色及职责分工. 16 表 2 技术工具对应功能描述. 21 表 3 日常审计项目示例. 26数据安全治理实践指南 （1.0 ） 1 一、数据安全 治理概 述 ( 一) 数 据 安 全 治 理 概念 内涵 随着数据 作为生 产 要素的重 要性凸 显， 数据安全 的地位 不 断提升 ， 尤其 随着 数据 安 全法 的 正式颁 布 ， 数据安 全在国 家 安全体系 中的 重要地位 得到了 进 一步明确 。 发展 数 字经济、 加快培 育 发展数据 要素 市场， 必 须把保 障 数据安全 放在突 出 位置。 这 就要求 我 们着力解 决数 据安全领 域的突 出 问题，有 效提升 数 据安全治 理能力 。 为指导行 业数据 安 全治理能 力建设 ， 促 进行业数 据安全 治 理能力 发展， 中 国互联 网协 会发布团 体标准 T/ISC-0011-2021 数据 安全治理 能 力评 估方 法 ， 为不 断提 升数 据安全治 理能 力提 供标准依 据。 本指 南以上述 标准为 基 础， 梳理 数据安 全 治理概念 内涵， 认 为应该从 广义 和狭义两个 角度 进 行理解。 广义地说 ， 数据 安 全治理是 在国家 数 据安全战 略的指 导 下， 为形 成 全社 会共 同维护数 据安 全和 促进发展 的良 好环 境，国家 有关 部门 、 行业组织 、 科研 机构 、 企业、 个人共 同参 与和实施 的一系 列 活动集合 。 包 括完 善相 关政策法 规， 推动 政策法规 落地 ，建 设与实施 标准 体系 ， 研发并应 用关键 技 术，培养 专业人 才 等 。 狭义地说 ， 数据 安 全治理是 指在组 织 数据安全 战略的 指 导下， 为 确保数据 处于有 效 保护和合 法利用 的 状态， 多个部 门协作 实施的一 系 列活动集 合。 包 括 建立组织 数据安 全 治理团队 ， 制定 数 据安全相 关制 度规范， 构建数 据 安全技术 体系， 建 设数据安 全人才 梯 队等。 它 以保 障数据安 全、 促 进 开发利用 为原则 ， 围绕数据 全生命 周 期构建相 应安数据安全治理实践指南 （1.0 ） 2 全体系， 需要组 织 内部多利 益相关 方 统一共识 ， 协同 工 作， 平衡 数据 安全与发 展 。 ( 二) 数据安全治理 要点 阐释 无论是广 义还是 狭 义的数据 安全治 理， 都可以从 以下三 个 要点 进 行阐释。 1. 以数据为 中心 数据的高 效开发 和 利用， 涵盖了 数据的 采集、 传输、 存储 、 使用、 共享、 销 毁等全 生 命周期的 各个环 节 ， 由于不 同环节 的 特性不同 ， 面 临的数据 安全威 胁 与风险也 大相径 庭 。 因此 ， 必须 构建以 数据为中 心 的数据安 全治理 体 系， 根据 具体的 业 务场景和 各生命 周 期环节， 有针 对性地识 别并解 决 其中存在 的数据 安 全问题， 防范 数据 安全风险 。 2. 多元化主 体共同 参与 无论是从 广义还 是 狭义的角 度出发 ， 数 据安全治 理不是 仅 仅依靠 一方力量 可以开 展 的工作。 对国家 和 社会而言 ， 面对 数 据安全领 域的 诸 多挑 战， 政府、企 业、 行业 组织、甚 至个 人都 需要发挥 各自 优势 ， 紧密配合 ， 承担 数 据 安全治 理主体 责 任， 共同 营造适 应 数字经济 时代 要求的协 同治理 模 式。 这也 与 数 据 安全法 中强调 建 立各方共 同参 与的工作 机制相 一 致。 对组 织机构 而 言， 数据 安全治 理 需要从组 织战 略层面出 发， 协 调 管理层、 执行层 等 各相关方 ， 打通不同 部门之 间 的 沟 通障 碍， 统一内部 数据 安全 共识，实 现数 据安 全防护建 设一 盘棋 。 因此，数 据安全 治 理必然是 涉及多 元 化主体共 同参与 的 工作。数据安全治理实践指南 （1.0 ） 3 3. 兼顾发展 与安全 随着国内 数字化 建 设的快速 推进， 无 论是政府 部门， 还 是其他组 织均沉淀 了大量 的 数据。 数 字经济 时 代的应用 场景下 ， 数据只有 在流 动中才能 充分发 挥 其价值 ， 而数 据流动 又必须以 保障数 据 安全为前 提 ， 因此， 必 须要辩 证 的看待数 据安全 治 理。 正如 数据 安 全法 提 出的 “ 坚持以 数据开 发 利用和产 业发展 促 进数据安 全， 同时也 要以数据 安 全 保障 数据 开发利用 和产 业发 展 。 ” 数据 安全 治理 不是强调 数据 的绝 对安全， 而是需 要 兼顾发展 与安全 的 平衡。 二、数据 安全 治理总 体视图 数据安全 治理的 概 念一经提 出， 即 受 到全行业 的广泛 关 注。 作为 推动组织 数据安 全 合规建设 、 数据 安 全风险防 范、 数 据 业务健康 发展 的 重要 抓手 ，数据安 全治 理的 内涵不再 局限 于技 术层面或 管理 层面 ， 而是围绕 数据全 生 命周期安 全， 涉 及 组织内多 部门协 作 、 全流程 制度 制定、 体 系化技 术 实现、 专 业化人 才 培养等的 一系列 工 作集合。 基于 本指南提 出的狭 义 数据安全 治理概 念， 本章将围 绕组织 数 据安全治 理 参考框架 ， 结合 组 织数据安 全治理 目 标， 给出 组织数 据 安全治理 实践 路径，并 提出如图 1 所示的 数据安 全治 理总体视 图。数据安全治理实践指南 （1.0 ） 4 来源： 中国 信息 通信 研究 院 图 1 数据安全治理总体视图 数 据安 全 治 理目 标： 合规 保障 是组 织数 据安 全治 理的 底线 要求 ， 风险管理 是数据 安 全治理需 要解决 的 重要问题 。 数字 经 济时代， 数据 的流通交 易才能 最 大限度释 放数据 价 值。 因此 ， 数 据安全 治理的目 标 是在 合规 保障及 风 险管理的 前提下 ， 实现数据 的开发 利 用， 保障 业务 的持续健 康发展 ， 确保数据 安全与 业务 发展的 双向促 进 。 数据 安全 治 理参 考框 架： 数据 安全 是数 据安 全治 理的 目标 对象 ， 参考框架 是数据 安 全治理的 参照对 象。 组织可以 通过持 续 构建参照 对 象， 实现对 目标对 象的有效 管理。 依 据团体标准 T/ISC-0011-2021 数 据 安全 治理 能力评估 方法 ，本 指南 规定 的参 考框 架包括数 据安 全战 略、数据 全生命 周 期安全、 基础安 全 三部分主 要内容 。 数据安全 治理 实 践 路线： 围 绕上述 数 据安全治 理参考 框 架， 按照数据安全治理实践指南 （1.0 ） 5 治 理规 划、 建设、运 营、 成效 评估的实 践路 线， 结合业务 发展 需要 ， 从现状分 析入手 ， 结合组织 架构、 制 度流程、 技术工 具 、 人员能 力体 系建设， 构建相 适 应的数据 安全治 理 能力， 并 针对风 险 防范、 监 控预 警、 应急 处理等 内 容形成一 套持续 化 运营机制 ， 再根 据 成效评估 进行 改进，以 保障整 个 实践过程 的持续 性 建设。 三、数据 安全 治理参 考框架 参考框架 是组织 数 据安全治 理所需 的 体系化结 构， 依据 团 体标准 T/ISC-0011-2021 数 据安全治 理能力评 估方法 ，其 包括数 据安全 战 略、 数据 全生命 周 期安全、 基础安 全 三部分， 如图 2 所 示。 本章 将对 其具体内 容进行 详 细介绍。 来源： 中国 信息 通信 研究 院 图 2 数据安全治理参考框架 ( 一) 数据安全战略 在组织启 动数据 安 全治理工 作前， 必 须制定相 应的战 略 规划， 明 确治理目 标和具 体 任务， 匹 配对应 的 资源， 使 得治理 工 作能够有 条不数据安全治理实践指南 （1.0 ） 6 紊的展开 。 数据 安 全战略可 以从数 据 安全规划 、 机构 人 员管理两 方面 入手，前 者确立 目 标任务， 后者组 建 治理团队 。 数据安全 规划 是 指 结合组织 业务发 展 需要， 对当前 面临的 数据安 全风险现 状进行 梳 理， 并制 定组织 整 体的发展 规划。 应 从以下关 键活 动入手： 明确组织 的数据 安 全决策团 队及职 责 分工； 梳理组织 面临的 内 外部 数据 安全风险； 根据业务 发展制 定 年度及中 长期发 展 规划，形 成规划 清 单； 按照规划 内容， 落 实各团队 任务分 工 及考 核； 建立任务 分发及 考 核平台。 机构人员 管理 是 指 建立负责 组织数 据 安全治理 的团队 及 人员， 并 通过在人 员入职 、 转岗、 离 职等环 节 设置安全 控制措 施 ， 防范由 人员 本身带来 的数据 安 全风险。 应从以 下 关键活动 入手： 明 确 组织 负责 数据安 全 管理 、数 据安全 执 行、 数据 安全监 督 等工作 的 团队及 职 责分工； 明确人员 岗位及 职 责，按最 小化原 则 开通各项 权限； 与工作人 员 签订 保 密协议、 数据安 全 责任协议 等； 明确相应 的数据 安 全追责机 制； 制定并落 实各项 数 据安全培 训及考 核 计划； 针对岗位变动，落 实人力资源部门与 数据安全管理部门 、IT 部门、 业务部 门等在 系统账号 、 访 问权限 等方面的 联动机 制 ； 建立人员 统一管 理 平台。数据安全治理实践指南 （1.0 ） 7 ( 二) 数据 全 生 命 周 期安 全 数据安全 治理应 围 绕数据全 生命周 期 展开，以 采集、 传 输、存 储、使用 、共享 、 销毁各个 环节为 切 入点，设 置相应 的 管控点和 管 理流程， 以便于 在 不同的业 务场景 中 进行组合 复用。 数 据全生命 周 期安全包 括数据 采 集安全在 内的九 项 内容 ，如图 2 所示 。 数据采集 安全 是 指 为确保在 组织系 统 中 生成 新 数据， 或 者从外 部收集数 据过程 的 合法、合 规及安 全 性，而采 取的一 系 列措施。 应 从以下关 键活动 入 手： 明确负责 数据采 集 安全工作 的团队 及 职责； 采集数据 源的可 信 管理、身 份鉴定 、 用户授权 ； 数据采集 设备的 管 理，比如 访问控 制 、安全加 固等； 涉 及 个人 信息 和重要 数 据的 业务 场景， 应 在采 集前 进行合 规 性评估； 采集过程 的日志 记 录及监控 审计； 建立数据 采集工 具 ； 采集过程 中，实 现 敏感数据 识别及 防 泄漏。 数据传输 安全 是 指 为防止传 输过程 中 的数据泄 漏，而 采 取的一 系列数据 加密保 护 策略和安 全防护 措 施。应从 以下关 键 活动入手 ： 明确负责 数据传 输 安全工作 的团队 及 职责； 传输通道 两端主 体 的身份鉴 别； 在 数 据分 类分 级的基 础 上， 根据 业务场 景 ，制 定数 据加密 传 输方案， 以及传 输 通道加密 方案；数据安全治理实践指南 （1.0 ） 8 梳理数据 传输接 口 ，形成接 口管控 清 单； 开展接口 调用日 志 记录及监 控审计 。 存储安全 是指为 确 保存储介 质上的 数 据安全性 ， 而采 取的 一系列 措施。应 从以下 关 键活动入 手： 明确负责 存储安 全 工作的团 队及职 责 ； 在 数 据分 类分 级的基 础 上， 结合 业务场 景 ，明 确 不 同类别 和 级别数据 的 加 密存储 要 求， 包括 对加密 算 法的 要求 和加密 密 钥的管理 要求； 建 立 存储 系统 或平台 ， 并实 现对 账号、 权 限、 安全 基线等 的 管理； 建立存储 介质管 理 系统或平 台， 对购 买、 标记、 审 批、 入 库、 出库等操 作进行 安 全管理， 保障存 储 介质本身 的安全 。 数据备份 与恢复 是 指通过规 范数据 存 储的冗余 管理工 作 机制， 保 障数据的 高可用 性 。应从以 下关键 活 动入手： 明确负责 数据备 份 与恢复工 作的团 队 及职责； 制定数据 备份与 恢 复的操作 规程； 建立数据 备份与 恢 复清单； 建 立 数据 备份 与恢复 平 台， 按照 上述清 单 定期 执行 备份， 并 对备份数 据完整 性 和可用性 进行验 证 。 使用安全 是 指为 保 障在组织 内部对 数 据进行计 算、 分析、 可视化 等操作过 程的安 全 性 ， 而 采取的 一些列 措施 。 应从以 下关键 活动入手 ： 明确负责 使用安 全 工作的团 队及职 责 ；数据安全治理实践指南 （1.0 ） 9 基 于 数据 分类 分级 情况，建 立不 同类别 和 级别 的数 据使用 审 批流程及 安全评 估 机制； 部署数据 脱敏工 具 ，实现不 同类别 、 不同级别 的数据 脱 敏； 对各类数 据处理 活 动进行日 志记录 和 监控审计 。 数据处理 环境安 全 是指为确 保组织 的 数据处理 系统、 终 端、 平台 等环境的 安全性 ， 而采取的 一系列 措 施。应从 以下关 键 活动入手 ： 明确负责 数据处 理 环境安全 工作的 团 队及职责 ； 明确系统 开发、 上 线、运维 过程的 安 全控制措 施； 对生产网 、测试 网 等不同环 境进行 资 源隔离； 对 用 户在 数据 处理环 境 上的 各项 加工操 作 进行 日志 记录和 监 控审计； 部署数据 处理环 境 的数据防 泄漏工 具 。 数 据 内 部 共 享 安 全 是 指 为 确 保 组 织 内 部 之 间 的 数 据 交 互 过 程 安 全，而采 取的一 系 列措施。 应从以 下 关键活动 入手： 明确负责 数据内 部 共享安全 工作的 团 队及职责 ； 对共享 的 数据内 容 进行评估 、审批 ； 对共享过 程进行 日 志记录及 监控审 计 ； 建立内部 共享清 单 ，明确共 享链条 ； 建立数据 共享工 具 或平台， 并对其 账 号、权限 等进行 管 控。 部署数据 脱敏工 具 ； 部署数据 溯源工 具 。 数 据 外 部 共 享 安 全 是 指 为 确 保 不 同 组 织 之 间 的 数 据 交 互 过 程 安数据安全治理实践指南 （1.0 ） 10 全，而采 取的一 系 列措施。 应从以 下 关键活动 入手： 明确负责 数据外 部 共享安全 工作的 团 队及职责 ； 针对数据 脱敏、 数 据溯源、 数 据留存 期限、 监控 审计、 共 享接 收 方 的身 份识 别、共 享 平台 或接 口的访 问 控制 等内 容制定 相 应的安全 管理策 略 ； 明 确 共享 双方 的安全 责 任， 尤其 是接收 方 的安 全责 任。应 在 共享全过 程中， 对 接收方的 数据安 全 防护能力 进行评 估 。 数 据 销 毁 安 全 是 指 通 过 对 数 据 及 其 存 储 介 质 实 施 相 应 的 操 作 手 段， 使得 数据彻 底 消 除且无 法通过 任 何手段恢 复。 为 确 保销毁过 程安 全，应从 以下关 键 活动入手 ： 明确负责 数据销 毁 安全工作 的团队 及 职责； 根 据 数据 分类 分级 情 况 ，结 合 业 务场景 需 要， 明确 不同的 销 毁方法及 销毁工 具 ； 建立数据 账期清 单 ，确保过 期数据 按 时销毁； 对数据销 毁过程 进 行监督； 对数据销 毁效果 进 行评估； 针对已外 部共享 的 数据，明 确销毁 记 录 并验证 。 ( 三) 基础安全 基础安全 能力作 为 数据全生 命周期 安 全能力建 设的基 本 支撑， 可 以在多个 生命周 期 环节内复 用， 是整个 数据安全 治理体 系 建设的通 用 要求， 能 够实现 建 设资源的 有效整 合 。 基础安 全能力 包 括数据分 类分 级在内的 七项内 容 ，如图 2 所示。数据安全治理实践指南 （1.0 ） 11 数据分类 分级 是 指 根据法律 法规以 及 业务需求 ， 明 确组织 内部的 数据分类 分级原 则 及方法， 并对数 据 进行分类 分级标 识 ， 以实现 差异 化的数据 安全管 理 。应从以 下关键 活 动入手： 明确负责 数据分 类 分级工作 的团队 及 职责； 进行资产 梳理； 结 合 数据 特点 和业务 需 求， 明确 数据分 类 分级 原则 、方法 、 安全管控 措施； 定义数据 识别规 则 ； 建立分类 分级工 具 ，实现数 据标识 ； 建立数据 资产管 理 平台，实 现数据 的 有效管理 。 合规管理 是指根 据 组织内部 的业务 需 求和业务 开展场 景， 明确相 关法律法 规要求 ， 通过制定 管理措 施 降低组织 面临的 合 规风险。 应从 以下关键 活动入 手 ： 明确负责 数据合 规 管理工作 的团队 及 职责； 定 期 梳理 国内 外法律 法 规、 行业 监管等 的 合规 要求 ，形成 组 织的合规 清单； 针对合规 要求落 实 情况，定 期监控 审 计； 建立合规 评审工 具 ，定期开 展合规 评 估评审。 合作方管 理 是指 通 过建立 组 织的合 作 方管理机 制， 防范组 织对外 合作中的 数据安 全 风险。可 以从以 下 关键活动 入手： 明确负责 合作方 管 理工作的 团队及 职 责； 合作前对 合作方 的 数据安全 防护能 力 进行 评估 ；数据安全治理实践指南 （1.0 ） 12 签 订 数据 保护 协议， 明 确双 方合 作过程 中 的权 责边 界、责 任 划分，约 束合作 双 方行为； 明确合作 过程中 ， 对合作方 人员账 号 、权限等 的管理 要 求； 业 务 合作 结束 后，督 促 合作 方依 照合同 约 定及 时关 闭数据 接 口、删除 数据； 建 立 合作 方统 一管理 平 台， 对合 作方的 引 入、 安全 评估等 工 作进行管 理。 监控审计 是指通 过 建立监控 及审计 的 工作机制 ， 有 效防范 不正当 的数据访 问和操 作 行为， 降低数 据全生 命周期未 授权访 问、 数据滥用 、 数据泄漏 等安全 风 险。可以 从以下 关 键活动入 手： 明确负责 监控审 计 工作的团 队及职 责 ； 组 织 可根 据自 身业务 流 程特 性、 安全目 标 及风 险控 制水平 ， 梳理形成 高风险 、 高敏感操 作清单 ， 并设置监 测点； 明确各场 景日志 记 录要求、 监控要 求 、审计要 求； 建 立 统一 的监 控审计 平 台， 对高 风险、 高 敏感 操作 日志进 行 监控分析 ； 定期开展 数据安 全 监控审计 。 鉴别与访 问， 顾 名 思义， 即 用户身 份 鉴别与访 问控制 管 理， 是组 织实现数 据安全 保 障的关键 环节， 可 以从以下 关键活 动 入手： 明确负责 账号管 理 、权限管 理 的 团 队 及职责； 对用户的 账号进 行 管理及鉴 别； 对系统、 平台、 数 据等的权 限进行 管 理及访问 控制；数据安全治理实践指南 （1.0 ） 13 建立账号 及权限 管 理平台； 定期开展 账号及 权 限的审计 。 风 险 和 需 求 分 析 是 指 根 据 组 织 面 临 的 具 体 数 据 安 全 风 险 和 安 全 需求， 提 出有针 对 性的防护 对策和 改 进措施， 将风险 控 制在可接 受的 水平，最 大限度 的 保障数据 安全。 可 以从以下 关键活 动 入手： 明确负责 风险和 需 求分析管 理 的 团 队 及职责； 定期梳理 组织面临的 数据安 全风险 ； 从合规 遵 从、面 临 风险等方 面，梳 理 业务的数 据安全 需 求； 定期开展 需求分 析 、风险分 析。 安全事件 应急 是 指 通过建立 数据安 全 应急响应 体系 ， 确保 在发生 数据安全 事件后 能 够及时止 损， 保 障 业务的安 全和稳 定 运行， 最 大程 度降低数据 安全 事 件带来的 影响。 可 以从以下 关键活 动 入手： 明确负责 数据安 全 事件应急 的组织 架 构及职责 ； 定义数据 安全事 件 的分类和 分级； 明确数据 安全事 件 应急处置 和上报 流 程； 制定应急 预案； 定期开展 应该演 练 ； 建 立 数据 安全 事件管 理 平台 ，对 已发生 的 数据 安全 事件进 行 统一记录 、管理 、 宣导。 四、数据 安全 治理实 践路线 如前所述 ， 数 据安全 治理是一 项体系 化 工程， 需要以 数据为 中心， 结合业务 场景和 风 险分析情 况， 构建可 持续运转 的闭环 数 据安全防 护数据安全治理实践指南 （1.0 ） 14 体系， 实 现组织 数 据安全治 理能力 建 设。 本章 从实践 角 度出发， 围绕 参考框架 ， 探讨 数 据安全治 理规划 、 建设、 运 营、 成 效 评估等方 面的 工作路线 。 ( 一) 第 一 步 ： 治 理 规划 1. 现状分析 如前所述 ， 数 据安全 治理的目 标是在 合 规保障和 风险管 理 的前提 下 ，实 现 数 据的充分 开发 利用 ， 确保 安 全和 发展 的双向促 进 。 因此 ， 在规划初 期就需 要 充分考虑 组织现 状 ， 分析差 距， 从而 得 出针对性 的 需求点 ， 作为 组织数 据安全治 理规划 设 计的依据 。 一 是外部 合规遵从 ， 对 业务适 用的外 部 法律法规 、 监管 要 求进行梳 理， 将 重 要条款与 现有 情况进行 对比， 分 析其差距 ， 确定 合 规需求。 二是现 状 风险分析 ， 结 合业务场 景， 基 于 数据全生 命周期 安 全防护要 求， 梳 理 并形成组 织风 险 问题 清单 ，明确内 外部 风险 形成原因 ，提 炼数 据安全建 设需 求点 。 三是行业 最佳实 践 对比， 将组织 数据安 全能力现 状与国 内 外或行业 先 进实践进 行横向 对 比，明确 差距所 在 ，找到突 出问题 。 2. 方案规划 根据现状 分析结 果 ， 结合上 述参考 框 架， 应从 以下方 面 着手规划 适用于本 组织的 数 据安全治 理体系 ， 防范数据 泄露、 数 据篡改、 数据 非法使用 等风险 ， 保障数据 安全。 一 是组织机 构建设 ， 通过成立 专门 的数据安 全 治理 团 队， 自 上而下 的建立 从各个领 导层面 至 基层执行 层 面的管理 组织架 构 ， 以保障 数据安 全 管理方针 、 策略 、 制度的统 一制数据安全治理实践指南 （1.0 ） 15 定和有效 实施。 二 是制度流 程建设 ， 应在遵循 现有相 关 国家要求 的基 础 上， 结合 自身业务 场景 ，明 确需要编 制的 相关 一级、二 级、 三级 、 四级管理 和技术 文 件， 指导 数据安 全 制度体系 的总体 建 设。 三是 技术 工具建设 ， 应结 合 业务场景 ， 通过 建 立围 绕数 据全生 命 周期的安 全防 护技术体 系， 实 现 各项数据 安全制 度 要求的自 动化落 实 ， 为实现 数据 安全防护 总体目 标 提供技术 支撑。 四 是人员能 力建设 ， 人员是数 据安 全工作开 展的主 要 参与方， 应根据 人 员角色、 岗位职 责 ， 从安全 意识 培养、 安 全能力 培 训、 安全 能力考 核 三方面入 手构建 相 适应的人 才培 养机制。 3. 方案论证 为保障规 划方案 在 建设过程 的顺利 实 施， 应 从以下 方面进 行论证 分析。 一是可 行性 分析， 根据组 织现 状， 明 确人力 、 物 力、 资 金的投 入与产生 的效益 对 比， 确保 在业务 发 展与安全 保障之 间 达到平衡 。 二 是安全性 分析， 通 过对方案 的各项 实 施内容进 行安全 性 分析 ， 确 保方 案的引入 不会带 来 额外的安 全风险 。 三是可持 续性分 析 ， 数据安 全治 理是持续 性过程 ， 无法一蹴 而就， 随 着业务拓 展和技 术 进步， 规 划方 案在保证 与当前 组 织现有体 系兼容 的 同时， 也要考 虑与后 续的发展 相 适应。 ( 二) 第 二 步 ： 治 理 建设 1. 组织架构 体系 明 晰的 组织 建设 是保 障数 据安 全 治理 工 作顺 利开 展的 首要 条件数据安全治理实践指南 （1.0 ） 16 一种典型 的组织 架 构如图 3 所示。 来源： 中国 信息 通信 研究 院 图 3 数据安全治理组织架构示意图 根据以上图 3 所 示 的典型数 据安全 组 织架构 ， 可以 参考 表 1 完善 各组织层 级职责 及 分工，确 保数据 安 全责任层 层落实 。 表 1 数据安全组织架构角色及职责分工 组织层级 承担角色 角色描述 主要职责 决策层 数据安全 领导小组 采取“ 一把手 负责制” ， 由组 织高层管理 者、各业务部 门及技术部门 的直接领导共 同组成。 （1 ）制定数据安全整体目标和发展规 划； （2）发布数据安全管理制度及规范； （3） 提供数据安全规划、 设计、 建设、 实施、运营等全过程的资源保障； （4 ） 负责重大数据安全事件协调与决 策等。 管理层 数据安全 管理团队 由数据安全领 导小组指派中 高层人员作为 数据安全负责 人，并组建数 据安全管理团 队。 （1）制定数据安全管理制度及规范； （2 ）制定数据安全工作在各层级的运 行 机 制 ， 保 障 数 据 安 全 工 作 的 顺 利 运 营； （3） 推进数据安全意识培训、 安全技能 提升、安全技术考核等工作 的开展； （4 ）负责与国家数据安全相关监管部 门及行业组织的协调沟通； （5） 负责数据安全的日常管理工作等。数据安全治理实践指南 （1.0 ） 17 执行层 数据安全 执行团队 由各业务部门 中 与数据处理 活动相关的人 员， 以及风控、 技术、运营等 团队的人员组 成。 （1 ）负责数据安全制度及规范的具体 执行； （2） 负责数据安全事件的检测、 处置、 分析； （3）负责数据安全的风险评估； （4） 负责反馈合理的数据安全需求， 促 进数据安全防护工作的改进； （5） 积极参与数据安全意识培训、 能力 培养及考核工作等。 监督层 数据安全 监督小组 由风控、 审计、 合规、等多部 门组成的数据 安全监督小 组。 （1 ）对数据安全制度及规范的完整性 及执行情况进行监督； （2 ）对数据安全技术工具的落地情况 进行监督； （3 ）对数据安全风险评估过程进行监 督审计等。 来源： 中国 信息 通信 研究 院 决策层。 为保证 数 据安全工 作的顺 利 开展及持 续保持 ， 建议数据 安全管理 采取 “ 一 把手负责 制 ” ， 由各 业务、 技术、 法务等 部门的直 接 领 导共 同组 成 “ 数据 安全 领导 小组 ” ，负 责组织 数 据安全整 体目 标及 发展规划 等的制 定 。 管理层 。 由数 据安全 领导小组 指派中 高 层管理人 员作为 数 据安全 负 责人 ，并 组建数据 安全 管理 团队。为 保证 数据 安全管理 的独 立性 、 客观性， 建议数 据 安全负责 人应为 专 职人员。 管理团 队 应结合行 业监 管及组织 业务发 展 需要， 制定与 组织整 体目标相 适应的 数 据安全管 理 策略，形 成规范 化 管理体系 等。 执行层 。 由 各 业务部 门中与数 据处理 活 动相关的 人员 ， 以及 风控、 技术、 运 营等团 队 的人员组 成数据 安 全执行团 队， 需 要 与管理团 队紧 密 配合 。针 对各数据 安全 场景 ，负责按 照既 定的 数据安全 管理 策略 、 管理要求 ，在不 同 的业务流 程中进 行 落地及运 营维护 。数据安全治理实践指南 （1.0 ） 18 监 督层 。 由 风控 、合 规、 审计 等多 部门 组成 数据 安全 监督 小组 ， 负责对管 理层、 执 行层 的 工 作进行 定 期审核监 督， 并 将 发现的问 题及 时反馈给 决策层 ， 对违规行 为予以 纠 正。 2. 制度流程 体系 数据安全 相关制 度 流程一般 会从业 务 数据安全 需求 、 数据 安全风 险控制需 要，以 及 法律法规 合规性 要 求等几个 方面进 行 梳理， 最 终确 定数据安 全防护 的 目标、管 理策略 及 具体的标 准、规 范 、程序等 。 数据安全 管理制 度 文件可分 为四个 层 面， 一 、 二级 文件作 为上层 的管理要 求， 应具 备科学性 、 合 理性 、 完备 性及普 适性 。 三、 四级文 件则是对 上层管 理 要求的细 化解读 ， 用 于指导具 体业务 场 景的具体 工 作。常见 的制度 体 系如图 4 所示。 来源： 中国 信息 通信 研究 院 图 4 数据安全管理制度体系示意图 一级文件 是由决 策 层明确的 面向组 织 的数据安 全管理 方 针、 政 策数据安全治理实践指南 （1.0 ） 19 目标及基 本原则 。 二 级文件 是 由管理 层 根据一级 文件制 定 的通用管 理 办法、 制 度及标 准 。 三级文 件 一般 由 管理层、 执行层 根 据二级管 理办 法确定各 业务、 各 环节的具 体操作 指 南、 规范 。 四级 文 件 属于辅 助文 件 ，是 各项 具体制度 执行 时产 生的过程 性文 档， 一般包括 工作 计划 、 申请表单 、审核 记 录、日志 文件、 清 单列表等 内容。 根据以上图 4 所 示 的常见制 度体系 ， 围 绕数据全 生命周 期 安全要 求，可以 参考图 5 完善组织 各级制 度 文件内容 。 来源： 中国 信息 通信 研究 院 图 5 一套可参考的数据安全管理制度体系 为保证数 据安全 管 理制度的 落实 ， 基于 数据安全 管理制 度 体系各 级文件要 求， 应 制 定 相应的 执行流 程 规范及审 核规范 ， 保障数据 安全 管理的高 效运行 。 图 6 是可 参考的 管 控流程示 意图， 实 际建设过 程包 括但不限 于图中 所 示内容。数据安全治理实践指南 （1.0 ） 20 来源： 中国 信息 通信 研究 院 图 6 数据安全管 控流程参考示意图 3. 技术工具 体系 技术工具 是落实 各 项安全管 理要求 的 有效手段 ， 也 是支撑 数据安 全治理体 系建设 的 能力 底座 。 围绕 参 考框架， 结合实 际 场景， 构 建完 善 的技 术工 具，可以 体系 化的 解决数据 全生 命周 期各阶段 安全 隐患 。 数据安全 技术工 具 的部署可 参考图 7 内容进行 展开。 来源： 中国 信息 通信 研究 院 图 7 数据安全技术工具部署示意图数据安全治理实践指南 （1.0 ） 21 根据以上 图 7 所 示 的示意图 ，可以 参 考但不限 于表 2 内 容，完善 各项技术 工具以 及 产品平台 的功能 项， 确保数据 安全技 术 能力的具 体 落实。 表 2 技术工具对应功能描述 参 考框 架 技 术工 具/ 产品 平台 功 能诉 求 数据安全 战略 公文/ 制度管理平台 （1 ）公文审