數(shù)據(jù)安全能力建設(shè)工作并非從零開(kāi)始，大部分組織在此前或多或少已有一些安全體系，基本上是圍繞信息系統(tǒng)和網(wǎng)絡(luò)環(huán)境開(kāi)展安全保護(hù)工作，主要聚焦在信息安全和網(wǎng)絡(luò)安全；而數(shù)據(jù)安全是以數(shù)據(jù)為核心，圍繞數(shù)據(jù)安全生命周期進(jìn)行建設(shè)以高數(shù)據(jù)安全保障能力，所以需要與當(dāng)前安全體系進(jìn)行融合。在決策層確定數(shù)據(jù)安全目標(biāo)和愿景之后，再由數(shù)據(jù)安全管理層根據(jù)組織的業(yè)務(wù)發(fā)展實(shí)際情況討論具體的融合方式。

 M是什么？

    《信息安全技術(shù)—數(shù)據(jù)安全能力成熟度模型》（GB/T37988-2019）是2020年3月1日實(shí)施的一項(xiàng)中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)，歸口于全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)；《信息安全技術(shù)—數(shù)安全能力成熟度模型》（GB/T37988-2019）給出了組織數(shù)據(jù)安全能力的成熟度模型架構(gòu)，規(guī)定了數(shù)據(jù)采集安全、數(shù)據(jù)傳輸安全、數(shù)據(jù)存儲(chǔ)安全、數(shù)據(jù)處理安全、數(shù)據(jù)交換安全、數(shù)據(jù)銷毀安全、通用安全的成熟度等級(jí)要求。該標(biāo)準(zhǔn)適用于對(duì)組織數(shù)據(jù)安全能力進(jìn)行評(píng)估，也可作為組織開(kāi)展數(shù)據(jù)安全能力建設(shè)時(shí)的依

能力成熟度等級(jí)評(píng)估流程

   數(shù)據(jù)安全能力成熟度等級(jí)的評(píng)估從組織建設(shè)、制度流程、技術(shù)工具和人員能力4個(gè)關(guān)鍵能力展開(kāi)。通過(guò)對(duì)各項(xiàng)安全過(guò)程所需具備安全能力的評(píng)估，可評(píng)估組織在每項(xiàng)安全過(guò)程的實(shí)現(xiàn)能力屬于哪一等級(jí)。

    能力成熟度等級(jí)評(píng)估要素如下：

    a) 對(duì)能力成熟度等級(jí)的詳細(xì)評(píng)估流程如下：

1) 確定模型適用范圍：分析需要保護(hù)的數(shù)據(jù)資產(chǎn)及業(yè)務(wù)范圍，確定模型使用或評(píng)估范圍。

2) 確定能力成熟度級(jí)別目標(biāo)：分析組織機(jī)構(gòu)數(shù)據(jù)安全風(fēng)險(xiǎn)，確定能力成熟度等級(jí)建設(shè)目標(biāo)。

3) 選取安全PA: 針對(duì)組織機(jī)構(gòu)的數(shù)據(jù)相關(guān)的業(yè)務(wù)現(xiàn)狀，選取適當(dāng)?shù)臄?shù)據(jù)安全PA。例如，對(duì)于有的組織機(jī)構(gòu)而言，不存在數(shù)據(jù)對(duì)外共享的處理，則無(wú)需選擇共享安全的PA。

4) 執(zhí)行BP: 依據(jù)標(biāo)準(zhǔn)對(duì)各等級(jí)數(shù)據(jù)安全BP要求，從4個(gè)關(guān)鍵能力進(jìn)行落地和不斷改進(jìn)提升。

5)PA安全評(píng)估：基于選擇的安全PA范疇，針對(duì)各項(xiàng)安全PA對(duì)組織機(jī)構(gòu)的數(shù)據(jù)安全實(shí)踐情況進(jìn)行現(xiàn)狀的調(diào)研和分析。按附錄A各級(jí)別的GP描述確定該P(yáng)A 的等級(jí)，參見(jiàn)表 B.1。

6)確定組織機(jī)構(gòu)整體等級(jí)：結(jié)合所有PA的等級(jí)，確定組織機(jī)構(gòu)整體的數(shù)據(jù)安全能力成熟度等級(jí)，對(duì)數(shù)據(jù)安全能力進(jìn)行持續(xù)建設(shè)和改進(jìn)。

縮略語(yǔ)PA：過(guò)程域（Process Area）BP：基本實(shí)踐（Basic Practice）GP：通用實(shí)踐（GenericPractice）M：數(shù)據(jù)安全能力成熟度模型（Data Security Capability Maturity Model）

    b) 其中，對(duì)4個(gè)關(guān)鍵能力的評(píng)估方法如下：

1) 組織建設(shè)：評(píng)估是否具有開(kāi)展工作的專職/兼職崗位、團(tuán)隊(duì)或人員，其工作職責(zé)是否通過(guò)規(guī)范要求或其他手段得到確認(rèn)和保障；

2) 制度流程：檢查是否有關(guān)鍵數(shù)據(jù)安全領(lǐng)域的制度規(guī)范和流程及其在組織機(jī)構(gòu)內(nèi)的落地執(zhí)行情況；

3) 技術(shù)工具：檢查組織機(jī)構(gòu)內(nèi)的各項(xiàng)安全技術(shù)手段、通過(guò)產(chǎn)品工具固化安全要求或自動(dòng)化的安全作業(yè)的實(shí)施運(yùn)作情況；

4) 人員能力：執(zhí)行數(shù)據(jù)安全工作的人員是否經(jīng)過(guò)專業(yè)的技能和安全意識(shí)教育培訓(xùn)。

M評(píng)估方式

    M的評(píng)估所采用的方式與基線風(fēng)險(xiǎn)評(píng)估的方式類似，可以包括但不限于以下幾種手段：

1）人員訪談：通過(guò)訪談的方式與被評(píng)估方進(jìn)行交流、討論等活動(dòng)，獲取相關(guān)證據(jù)，了解有關(guān)信息；

2）文檔審核：由被評(píng)估方輸入與數(shù)據(jù)安全相關(guān)的文檔材料（如數(shù)據(jù)安全的方針政策、制度規(guī)范流程、培訓(xùn)教育材料、以及與產(chǎn)品技術(shù)相關(guān)的設(shè)計(jì)實(shí)施方案、配置說(shuō)明、運(yùn)行記錄和其他配套表單），評(píng)估小組審核相關(guān)的文檔材料是否已涵蓋完整數(shù)據(jù)生存周期的PA和控制項(xiàng)；3）配置檢査：根據(jù)被評(píng)估方提供的技術(shù)材料，登錄相關(guān)的系統(tǒng)工具平臺(tái)，檢查配置是否與材料保持一致，對(duì)文檔審核內(nèi)容進(jìn)行核實(shí)；

4）工具測(cè)試：利用技術(shù)工具對(duì)系統(tǒng)工具進(jìn)行測(cè)試，驗(yàn)證是否符合數(shù)據(jù)安全成熟度模型特定等級(jí)的技術(shù)能力要求；

5）旁站式驗(yàn)證：評(píng)估人員在現(xiàn)場(chǎng)通過(guò)實(shí)地觀察人員行為、技術(shù)設(shè)施和環(huán)境狀況判斷人員的安全意識(shí)、業(yè)務(wù)操作、管理程序等方面的安全情況。