数据安全发展目标分析.docx

该【数据安全发展目标分析 】是由【mossentz】上传分享，文档一共【38】页，该文档可以免费在线阅读，需要了解更多关于【数据安全发展目标分析 】的内容，可以使用淘豆网的站内搜索功能，选择自己适合的文档，以下文字是截取该文章内的部分文字，如需要获得完整电子版，请下载此文档到您的设备，方便您编辑和打印。数据安全发展目标
数据安全发展目标
到2025年,数据安全产业基础能力和综合实力明显增强。产业生态和创新体系初步建立,标准供给结构和覆盖范围显著优化,产品和服务供给能力大幅提升,重点行业领域应用水平持续深化,人才培养体系基本形成。
(一)产业规模迅速扩大
数据安全产业规模超过1500亿元,年复合增长率超过30%。
(二)核心技术创新突破
建成5个省部级及以上数据安全重点实验室,攻关一批数据安全重点技术和产品。
(三)应用推广成效显著
打造8个以上重点行业领域典型应用示范场景,推广一批优秀解决方案和试点示范案例。
(四)产业生态完备有序
建成3-5个国家数据安全产业园、10个创新应用先进示范区,培育若干具有国际竞争力的龙头骨干企业、单项冠军企业和专精特新小巨人企业。
到2035年,数据安全产业进入繁荣成熟期。产业政策体系进一步健全,数据安全关键核心技术、重点产品发展水平和专业服务能力跻身世界先进行列,各领域数据安全应用意识和应用能力显著提高,涌现出一批具有国际竞争力的领军企业,产业人才规模与质量实现双提升,对数字中国建设和数字经济发展的支撑作用大幅提升。
提升数据安全产业创新能力
(一)加强核心技术攻关
推进新型计算模式和网络架构下数据安全基础理论和技术研究,支持后量子密码算法、密态计算等技术在数据安全产业的发展应用。优化升级数据识别、分类分级、数据脱敏、数据权限管理等共性基础技术,加强隐私计算、数据流转分析等关键技术攻关。研究大数据场景下轻量级安全传输存储、隐私合规检测、数据滥用分析等技术。建设和认定一批省部级及以上数据安全重点实验室,鼓励产学研用多方主体共建高水平研发机构、产业协同创新中心,开展技术攻关,推动成果转化。
(二)构建数据安全产品体系
加快发展数据资源管理、资源保护产品,重点提升智能化水平,加强数据质量评估、隐私计算等产品研发。发展面向重点行业领域特
色需求的精细化、专业型数据安全产品,开发适合中小企业的解决方案和工具包,支持发展定制化、轻便化的个人数据安全防护产品。提升基础软硬件数据安全水平,推动数据安全产品与基础软硬件的适配发展,增强数据安全内生能力。
(三)布局新兴领域融合创新
加快数据安全技术与人工智能、大数据、区块链等新兴技术的交叉融合创新,赋能提升数据安全态势感知、风险研判等能力水平。加强第五代和第六代移动通信、工业互联网、物联网、车联网等领域的数据安全需求分析,推动专用数据安全技术产品创新研发、融合应用。支持数据安全产品云化改造,提升集约化、弹性化服务能力。
数据安全指导思想
立足新发展阶段,完整、准确、全面贯彻新发展理念,构建新发展格局,坚定不移贯彻总体国家安全观,统筹发展和安全,把握数字化发展机遇,以全面提升数据安全产业供给能力为主线,以创新为动力、需求为导向、人才为根本,加强核心技术攻关,加快补齐短板,促进各领域深度应用,发展数据安全服务,构建繁荣产业生态,推动数据安全产业高质量发展,全面加强数据安全产业体系和能力,夯实数据安全治理基础,促进以数据为关键要素的数字经济健康快速发展。
数据安全治理实践路线
基于数据安全治理实践理念,可以按照自顶向下和自底向上相结合的思路推进实践过程。一方面,组织自顶向下,以数据安全战略规划为指导,以规划、建设、运营、优化为主线,围绕构建数据安全治理体系这一核心,从组织架构、制度流程、技术工具和人员能力四个维度构建全局建设思路。另一方面,组织自底向上,针对各业务场景敏捷落地相关数据安全能力点,以快速满足业务场景的数据安全需求,降低数据安全治理的长期性对业务开展的影响。通过各个场景的建设与完善,最终全面覆盖组织的所有数据处理活动。以上的实践过程可以有效避免管理和技术的两张皮问题。
(一)数据安全规划
数据安全规划阶段主要确定组织数据安全治理工作的总体定位和愿景,根据组织整体发展战略内容,结合实际情况进行现状分析,制定数据安全规划,并对规划进行充分论证。
1、数据安全规划现状分析
组织应通过现状分析找到数据安全治理的核心诉求及差距项,以此作为规划设计的依据。可以从安全合规对标、风险现状分析、行业最佳实践对比入手。
一是数据安全合规对标。数据安全合规是组织履行数据安全相关责任义务的底线要求。不同组织应对组织适用的外部法律法规、监管要求、标准规范等进行梳理,将重要条款与现有情况进行对比,分析其差距,确定合规需求。
二是数据安全风险现状分析。有效的数据安全风险管理是组织推进业务发展的重要保障。不同组织需结合其业务场景,基于数据全生命周期安全防护要求,通过数据安全风险评估等方式识别数据面临的安全威胁及所在环境的脆弱性,形成风险问题清单,提炼数据安全建设需求点。
三是行业最佳实践对比。行业对比是组织经营决策的主要参考。通过分析同行业的数据安全建设先进案例,并与组织现状进行横向对比,有助于提炼出更加适宜的数据安全建设方向和建设思路。
2、数据安全方案规划
组织应根据现状分析结果,结合数据安全治理目标,给出可落地实施的数据安全治理规划方案,并提炼重点目标和任务,分阶段落实到工程实施中。方案规划可以从前文所述的四个数据安全治理维度入手,通过对组织架构、制度流程、技术工具、人员能力的不断建设与完善达成建设目标。
以一个数据安全治理建设刚起步的企业为例,一般来说,可以将数据安全规划分为三个阶段。
第一阶段,组织尚处于数据安全治理建设初期,急需在内部明确数据安全治理职责分工和管理要求,因而建议主要完成初步的数据安全治理体系建设工作,包括数据安全组织机构的建立、数据安全制度体系的编制、数据安全基础能力建设以及数据安全意识培训宣贯。同时数据分类分级作为实施数据安全管理措施和技术措施的前提,是一个需要提前布局且长期推进的工作。
第二阶段,组织有了一定的数据安全治理基础,可以在这一阶段着重完善数据安全技术能力体系,通过建设统一的管理平台,全面落实数据安全管理规范及策略要求,并通过常态化数据安全运营,实现持续的数据安全保障能力。同时,应加强数据安全能力培训体系的构建,培养复合型数据安全专业人才,壮大数据安全人才队伍。
第三阶段,组织已经初步建成数据安全治理体系,这一阶段以持续优化为主要目标,重在建立数据安全治理的量化评估体系,定期开展数据安全评估评测,监测各项指标的达标情况。再根据评估评测结果及时优化建设内容,最终达到较高的数据安全治理水平。同时,通过提炼并输出成功经验,促进行业共同进步。
3、数据安全规划方案论证
为保障规划方案在建设过程的顺利实施,应从以下方面进行论证分析。一是可行性分析,根据组织现状,明确人力、物力、资金的投入与产生的效益对比,协调数据安全管理机制和技术能力建设与业务系统之间的分歧,确保在业务发展与安全保障之间达到平衡。二是安全性分析,方案在正式实施前,要进行详细的方案论证分析,确保可以在业务稳定运行的前提下实施治理建设,同时要考虑治理过程中可能产生的新风险,避免未知风险的引入。三是可持续性分析,数据安全治理是持续性过程,随着业务拓展和技术进步,规划方案在保证与当前组织现有体系兼容的同时,也要考虑与后续的发展相适应。因此数据安全治理方案不仅要考虑当下,还要着眼于未来。在满足当前数据安全需求的同时,还要适应后续的持续发展。
(二)数据安全建设
数据安全建设阶段主要对数据安全规划进行落地实施,建成与组织相适应的数据安全治理能力,包括组织架构的建设、制度体系的完善、技术工具的建立和人员能力的培养等。
通过数据安全规划,组织对如何从零开始建设数据安全治理体系有了一定认知,同时也应意识到数据安全治理的建设是一项需要长期开展和持续投入的工作,无法一蹴而就。为了快速响应不同业务场景下不同的数据安全策略要求,应基于场景需要选择性部署技术工具,编制三级操作指南文件,形成四级记录模板。通过逐个场景的数据安全建设,最终推动数据安全治理体系在组织内的全面落地。
第一步:全面梳理业务场景。
梳理数据资产和业务场景是组织进行场景化数据安全治理建设的前提,可以帮助组织了解数据安全治理对象全貌,为组织场景化数据安全治理提供行动地图。
目前,对业务场景的划分尚未有统一的标准,根据对数据安全供应侧及需求侧的调研,将场景划分方法归类为基于数据全生命周期和基于业务运行环境两种划分方式。
(1)基于数据全生命周期的数据安全建设场景划分
基于数据全生命周期的场景划分是分别在采集、传输、存储、使用、共享、销毁各环节抽象出典型应用场景。
•数据采集环节主要有个人信息主体数据采集、外部机构数据采集、数据产生等场景。
•数据传输环节主要有内部系统数据传输、外部机构数据传输等场景。
•数据存储环节主要有数据加密存储、数据库安全等场景。
•数据使用环节主要有应用访问、数据运维、测试和开发、网络和终端安全、数据准入、数据分析与挖掘等场景。
•数据共享环节主要有内部共享和外部共享等场景。
•数据销毁环节有逻辑删除、物理销毁和数据退役等场景。
基于数据全生命周期的场景划分方式,一方面能更好地契合当前法律法规中关于数据全生命周期的安全要求,一方面更加匹配当前主流的数据安全治理体系框架。
(2)基于业务运行环境的数据安全建设场景划分
组织的业务虽然各有不同,但是其业务运行环境的划分基本相同,据此可以将业务场景划分为:办公场景、生产场景、研发场景、运维场景等。还可以基于支撑业务运行的基础设置进一步细分为云、终端等场景。
基于业务运行环境的场景划分方式,一方面与业务的研发上线紧密关联,有利于场景的识别,另一方面兼容组织安全域的划分,有利于充分利用原有的网络安全能力。
第二步:确定业务场景治理优先级。
在业务场景梳理完成后,组织需要综合考虑监管要求、数据安全风险和业务发展需要,明确业务场景治理的开展优先级。
数据分类分级是数据安全的基础性工作基本已经成为行业共识,随着行业数据分类分级指南的不断建立和完善,组织应跟紧行业发展步伐,前置数据分类分级工作的优先级。其次,数据采集环节中个人信息主体数据采集、外部机构数据采集等场景均涉及到个人信息权益保护,是当前数据安全合规出现问题的高危场景,容易影响组织品牌形象,因而需要优先治理。此外,数字经济的繁荣发展离不开数据的流通共享,随之而来的风险也在不断显现,对数据流通的安全保护势在必行,因而也应着重进行相关场景的安全建设。
第三步:评估业务场景数据安全风险。
评估业务场景的数据安全风险是指针对具体场景,综合考虑合规要求、数据资源重要程度、面临的数据安全威胁等因素,将数据流动过程的风险点梳理出来,并明确数据安全风险等级。业务方应根据此项评估结果,确定要进行整改的风险点,并将其作为数据安全治理建设需求的输入,为制定场景化数据安全解决方案提供依据。
第四步:制定并实施业务场景解决方案。
结合业务场景的数据安全风险评估结果,组织可以根据相关政策及标准要求,申请充分的资源保障,并制定可落地的解决方案。目前,对于部分场景,业界已经形成了一些公认的典型解决方案,例如在数据加密存储场景中使用