大數(shù)據(jù)管理關(guān)鍵技術(shù)

頂層架構(gòu)設(shè)計思路

背景說明

數(shù)據(jù)管理方法論

場景化大數(shù)據(jù)管理

落地實踐目

錄

》

01

背景說明隨著消費互聯(lián)網(wǎng)的反戰(zhàn)，商業(yè)互聯(lián)網(wǎng)沉

淀出了包括電商、支付、信用、溝通協(xié)同、定位等等眾多的全新數(shù)字架構(gòu)和能

力。同時數(shù)字政務(wù)、

某省市、

智慧產(chǎn)業(yè)已

經(jīng)陸續(xù)進入高速發(fā)展的進程。一方面，s商業(yè)互聯(lián)網(wǎng)的數(shù)字架構(gòu)和能力，會輸出給政某省市和產(chǎn)業(yè)，為它們所擁有；另一方面，政某省市和產(chǎn)業(yè)也將生長出自己全新的智慧商業(yè)架構(gòu)和能力。今天這四大領(lǐng)域都在發(fā)生著全新的變革，他們共同組成了一個新型數(shù)字化社會。連接消費互聯(lián)網(wǎng) 數(shù)字革命，新的工業(yè)化革命v政務(wù)服務(wù)智慧政府v城市大數(shù)據(jù)產(chǎn)業(yè)大數(shù)據(jù)數(shù)據(jù)在線智能數(shù)字政務(wù)智慧商業(yè)智慧產(chǎn)業(yè)某省市智慧交通城市大腦精準(zhǔn)營銷智能制造行業(yè)大腦智慧能源政務(wù)治理政務(wù)智能行業(yè)云……大數(shù)據(jù)中心數(shù)據(jù)中心成為數(shù)字化應(yīng)用的重要基礎(chǔ)設(shè)施創(chuàng)造數(shù)據(jù)價值數(shù)據(jù)攻擊目標(biāo)新能源充電充電樁智能電表集成式充換電站特高壓斷路器直流交電電站監(jiān)控高壓組合遠程醫(yī)療

在線課堂終端射頻車聯(lián)網(wǎng)機車供電機車車體

工程機械軌道控制終端監(jiān)控智能制造

互聯(lián)平臺機器學(xué)習(xí)人臉識別自動駕駛工業(yè)互聯(lián)網(wǎng)城際高鐵人工智能5G基建數(shù)據(jù)計算

數(shù)據(jù)挖掘數(shù)據(jù)匯聚

數(shù)據(jù)存儲數(shù)據(jù)分析數(shù)據(jù)處理云計算海量數(shù)據(jù)交換數(shù)據(jù)跨安全域使用共享開放數(shù)據(jù)匯聚后集中存儲數(shù)據(jù)提供方和使用方往往不是同一方數(shù)據(jù)流程長，接觸人員多有限的數(shù)據(jù)流動數(shù)據(jù)在安全域內(nèi)使用數(shù)據(jù)孤島式存儲使用數(shù)據(jù)責(zé)任單一數(shù)據(jù)流程短，接觸人員少 數(shù)字化轉(zhuǎn)型帶來數(shù)據(jù)場景的顛覆性變化)系統(tǒng)/部門

（流轉(zhuǎn)）民眾/跨系統(tǒng)/部門數(shù)據(jù)安全法6月10日，國家主席習(xí)近平簽署了第八十四號主席令，自2021年9月1日起施行數(shù)據(jù)安全法是總體國家安全觀框架下，國家安全法律體系的重要組成部分。該法律在網(wǎng)絡(luò)安全法的基礎(chǔ)上，進一步明確了數(shù)據(jù)安全相關(guān)者的保護義務(wù)與職責(zé)，并與國家互聯(lián)網(wǎng)信息辦公室發(fā)布的《數(shù)據(jù)安全管理辦法（征求意見稿）》相互照應(yīng)。

《數(shù)據(jù)安全法》的誕生，標(biāo)志著數(shù)據(jù)安全上升到國家安全層面，意義重大?！稊?shù)據(jù)安全法》共七章五十五條。

《數(shù)據(jù)安全法》總覽Name2011201220132014201520162017201820192020SubtotalKafka2253820Hbase11144112Hive1253361526HDFS1113502417Spark2148117538Elasticsearcookeeper1113411627Splunk426945655147Map

Reduce11Yarn1112233215Storm231123277129Impala23229Hadoop413348122138Pig11Ranger147334123Ambari164321421Subtotal6111125374451736050368每年新增大數(shù)據(jù)平臺CVE漏洞數(shù)807060201002013根據(jù)多家調(diào)研機構(gòu)的對大數(shù)據(jù)安全的研究，大數(shù)據(jù)平臺自身的漏洞和不正確的配置成為平臺上數(shù)據(jù)安全風(fēng)險的最容的地方； 大數(shù)據(jù)平臺漏洞和不當(dāng)配置引入安全隱患1111201120122014201520162017201820192020402544605030375051736服務(wù)器暴露與配置問題成為數(shù)據(jù)泄漏主要原因11%6%互聯(lián)網(wǎng)暴露與配置問題存在漏洞管理問題未知原因50%33%1、非法收集：外部：漏洞攻擊、木馬注入、弱配置、

APT：越權(quán)盜竊、離職2、數(shù)據(jù)濫用：誘導(dǎo)、販賣、敲詐3、數(shù)據(jù)訪問：認證、權(quán)限共享：業(yè)務(wù)（門戶、調(diào)用測試）、人員交互外發(fā)：跨區(qū)、第三方（網(wǎng)絡(luò)、郵件）外帶：出差、回家數(shù)據(jù)安全風(fēng)險因素風(fēng)險

元素通過

什么

減輕被什么危害保護

什么這就是防護措施脆弱性利

用導(dǎo)

致暴露風(fēng)險威脅資產(chǎn)自主檢查制定制度規(guī)范

制定技術(shù)標(biāo)準(zhǔn)

檢查工具選型運行維護管理

安全事件管理

安全風(fēng)險管理網(wǎng)絡(luò)安全法、等保、關(guān)基、數(shù)據(jù)安全法兒童個人信息網(wǎng)

絡(luò)保護規(guī)定 數(shù)據(jù)安全監(jiān)管過程控制框架提升數(shù)據(jù)安全保障能力事

件

等

級

劃分事

件

響

應(yīng)

處置監(jiān)督檢查要求管理制度要求

個人信息

一般數(shù)據(jù)

重要數(shù)據(jù)

核心數(shù)據(jù)

數(shù)據(jù)安全主管單位、第三方檢查評估機構(gòu)目

標(biāo)

任

務(wù)

劃分安全檢查

要求數(shù)據(jù)安全保護策略與建設(shè)指南

檢查支撐整改建議安全要求數(shù)據(jù)安全檢查指南數(shù)據(jù)安全能力成熟度評估評估結(jié)果及整改建議差距分析攻防演練人才建設(shè)運營監(jiān)測數(shù)據(jù)安全

管理辦法風(fēng)險評估要求WEBAPP

客戶端

服務(wù)器

數(shù)倉數(shù)據(jù)安全能力

成熟度模型復(fù)核性抽查數(shù)據(jù)

安全

監(jiān)督

管理

平臺其他安全規(guī)

范網(wǎng)絡(luò)安全等

級保護制度風(fēng)

險

評

估

矩陣出境安全

評估辦法個人信息

安全規(guī)范自主上報02數(shù)據(jù)管理方法論

知

制定數(shù)據(jù)規(guī)范、定義敏感數(shù)據(jù)數(shù)據(jù)分類分級、數(shù)據(jù)風(fēng)險評估

制定安全策略、控制敏感數(shù)據(jù)

數(shù)據(jù)安全監(jiān)察、行為追蹤溯源

行

數(shù)據(jù)安

全防護 數(shù)據(jù)管理方法論一個中心，四個領(lǐng)域，五個階段

識

控

察

數(shù)據(jù)安全事件處置、持續(xù)運營

數(shù)據(jù)安全管理與技術(shù)體系建設(shè)框架違規(guī)行為監(jiān)控.

態(tài)勢感知.

通報預(yù)警.

應(yīng)急響應(yīng)明確數(shù)據(jù)安全管理職責(zé)數(shù)據(jù)安全風(fēng)險管理數(shù)據(jù)分類別、級別保護數(shù)據(jù)安全事件管理落實數(shù)據(jù)安全檢查分類分級要求下發(fā)數(shù)據(jù)掃描部門自定級定級結(jié)果評審特征識別級別匹配安全管控權(quán)責(zé)劃分安全要求實施細則組織架構(gòu)崗位職責(zé)懲獎措施決策層（數(shù)據(jù)安全決策委員會）3.定期數(shù)據(jù)安全保

護現(xiàn)狀檢查2.數(shù)據(jù)使用行為監(jiān)控1.數(shù)據(jù)使用行為備案4.數(shù)據(jù)安全技術(shù)管控措施使用目的使用方法使用期限保護措施2.數(shù)據(jù)資源目錄梳理1.數(shù)據(jù)分類分級管理要求分析5.落實數(shù)據(jù)分級管理要求3.數(shù)據(jù)分類分級1.安全事件產(chǎn)生途徑分析1.數(shù)據(jù)流轉(zhuǎn)場景分析2.數(shù)據(jù)安全風(fēng)險分析3.構(gòu)建數(shù)據(jù)安全管控平臺2.安全事件監(jiān)控機制設(shè)計3.數(shù)據(jù)安全需求導(dǎo)出4.數(shù)據(jù)安全事件應(yīng)急預(yù)案信息安全管理職責(zé)各部門數(shù)據(jù)

保護職責(zé)管理層（數(shù)據(jù)安全管理小組）執(zhí)行層（數(shù)據(jù)安全執(zhí)行團隊）全生命周期管理要求監(jiān)督層（風(fēng)險管理與

審計）數(shù)據(jù)安全管理目標(biāo)匯報

決策、授權(quán)數(shù)據(jù)安全風(fēng)險數(shù)據(jù)測繪數(shù)據(jù)行為數(shù)據(jù)流現(xiàn)有控制措施匯報

指導(dǎo)、監(jiān)督風(fēng)險要素風(fēng)險要素角色

.

資產(chǎn)識別.

風(fēng)險評估.

策略調(diào)優(yōu).

合規(guī)監(jiān)管.

實時監(jiān)測.

安全評估采集傳輸存儲處理交換銷毀5級4級3級2級1級威脅類型威脅來源威脅對象行為分析威脅資產(chǎn)監(jiān)控處理阻斷脆弱性權(quán)限管控行為管控加密管

理依

據(jù)配合審計審計配合資產(chǎn)安全監(jiān)控數(shù)據(jù)行為風(fēng)險運營反饋數(shù)據(jù)安全組織制度建設(shè)

跨業(yè)務(wù)與IT部門，數(shù)據(jù)全覆蓋的組織架構(gòu)檢查，明確職責(zé)。信息安全管理團隊數(shù)據(jù)業(yè)務(wù)管理團隊信息安全執(zhí)行團隊（信息中心安全經(jīng)理）規(guī)劃建設(shè)工作組應(yīng)急響應(yīng)

工作組方針戰(zhàn)略管理制度管理辦法操作流程、規(guī)范、作業(yè)指導(dǎo)書、模板文件信息安全決策委員會（CISO、CTO、CSO）監(jiān)督審計內(nèi)控管理-自檢自查計劃、表格、報告、運行/檢查

記錄、日志文件

數(shù)據(jù)安全制度流程體系檢查，確立制度。運營運維工作組一級文件二級文件三級文件四級文件 管理體系-組織架構(gòu)&管控策略體系建設(shè)監(jiān)督層審計人員執(zhí)行層數(shù)據(jù)安全運營、技術(shù)團隊決策層高管、數(shù)據(jù)安全官管理層數(shù)據(jù)安全管理團隊配合層員工、合作伙伴安全審計權(quán)限細分行為監(jiān)控靜態(tài)脫敏運維管控動態(tài)脫敏行為監(jiān)控數(shù)字水印行為審計安全審計責(zé)任稽核行為畫像風(fēng)險阻斷數(shù)據(jù)安全組織架構(gòu)圖數(shù)據(jù)業(yè)務(wù)審批員數(shù)據(jù)分析人員數(shù)據(jù)運維人員開發(fā)測試人員數(shù)據(jù)分發(fā)員管

理業(yè)務(wù)人員安全員管理員……計劃、表格、報告、運行/檢查記錄、日志文件操作流程、規(guī)范、作業(yè)指導(dǎo)書、

模板文件 管理體系-數(shù)據(jù)安全管理制度建設(shè)管理制度

管理辦法方針戰(zhàn)略

一級文件二級文件三級文件四級文件 管理體系-數(shù)據(jù)分類分級管理制度注：分類分級管理部分規(guī)范關(guān)注構(gòu)建數(shù)據(jù)分類分級機制，安全管理要求在全生命周期管理規(guī)范中體現(xiàn)。3級制度：數(shù)據(jù)分類分級安全管理實施細則2級制度：數(shù)據(jù)分類分級安全管理辦法

二級制度三級制度（數(shù)據(jù)使用管理辦法） 管理體系-全生命周期安全管理制度采集

傳輸

存儲

處理

交換

銷毀

數(shù)據(jù)安全主管單位、第三方檢查評估機構(gòu)單位自主檢查WEBAPP客戶端服務(wù)器數(shù)倉管理制度要求數(shù)據(jù)安全檢查指南個人信息保護法、數(shù)據(jù)安全法、網(wǎng)絡(luò)安全法、等保、關(guān)基重要數(shù)據(jù)數(shù)據(jù)大數(shù)據(jù)服務(wù)安全能力要求提升數(shù)據(jù)安全保障能力技術(shù)體系-數(shù)據(jù)安全監(jiān)管框架攻防演練人才建設(shè)運營監(jiān)測檢查支撐安全要求制定制度規(guī)范

制定技術(shù)標(biāo)準(zhǔn)

檢查工具選型運行維護管理

安全事件管理

安全風(fēng)險管理差距

分析整改

建議數(shù)據(jù)安全保護策略與建設(shè)指南數(shù)據(jù)安全能力

成熟度模型數(shù)據(jù)

安全

能力

成熟

度

評估大數(shù)據(jù)安全

管理指南網(wǎng)絡(luò)安全等

級保護制度安全檢查要求評估結(jié)果

及整改

建議數(shù)據(jù)

安全監(jiān)督管理平臺數(shù)據(jù)安全

管理辦法個人信息

安全規(guī)范目標(biāo)任務(wù)劃分風(fēng)險評估要求監(jiān)督檢查要求其他安全規(guī)范單位自主上報風(fēng)險評估矩陣事件

響應(yīng)

處置事件

等級劃分復(fù)核性抽查個人信息經(jīng)營數(shù)據(jù)數(shù)據(jù)交換服務(wù)方數(shù)據(jù)使用方

3

遠程安全評估RSAS

4安全策略核查BVS前置庫A結(jié)構(gòu)化數(shù)據(jù)備份庫N結(jié)構(gòu)化數(shù)據(jù)API/消息非結(jié)構(gòu)化數(shù)據(jù)主題庫數(shù)據(jù)交換階段安全認證網(wǎng)關(guān)SAG

7

數(shù)據(jù)庫審計DAS

數(shù)據(jù)水印DMS

數(shù)據(jù)加密DLP數(shù)據(jù)處理階段數(shù)據(jù)庫審計DAS數(shù)據(jù)水印DMS保壘機OSMS開發(fā)、測試場景堡壘機運維場景公辦場景275869PL/SQL6789IM 技術(shù)體系-政務(wù)交換共享場景國家交換平臺某省市交換平臺

數(shù)據(jù)開放平臺數(shù)據(jù)分析平臺

某省市平臺中心庫ETL數(shù)

據(jù)

開

放數(shù)

據(jù)

同

步歸集庫歸集庫數(shù)據(jù)準(zhǔn)備階段

1

數(shù)據(jù)分類分級IDR2

數(shù)據(jù)加密DLP8

數(shù)據(jù)庫防護DAS-FW

數(shù)據(jù)脫敏DMS9

防DLP5

數(shù)據(jù)脫敏DMS6統(tǒng)一身份認證UIP+水利局基礎(chǔ)庫公安局財務(wù)局服務(wù)網(wǎng)公安局社保局稅務(wù)局社?；?/p>

系統(tǒng)市民熱線民政局稅務(wù)自助

申報系統(tǒng)統(tǒng)

一

數(shù)

據(jù)

授

權(quán)API網(wǎng)關(guān)統(tǒng)

一

訪

問

入

口數(shù)據(jù)提供方

1

6

7主題庫專題庫4299238665577BI平臺

思愛普？

5MARTB……據(jù)業(yè)務(wù)驗證可視化

Dashboard數(shù)據(jù)開發(fā)/測試區(qū)J

D

B

C大數(shù)據(jù)中心ADS層某省市中臺區(qū)數(shù)據(jù)訪問審計1、通過交換機鏡像監(jiān)聽訪問流量2、Agent部署到湖區(qū)大數(shù)據(jù)平臺數(shù)據(jù)庫防火墻對數(shù)據(jù)庫訪問進行過濾分析運維堡壘機獨立運維場景下，隔離運維人員對數(shù)據(jù)源直接訪問數(shù)據(jù)脫敏系統(tǒng)獨立運維場景，細分運維權(quán)限，應(yīng)用脫敏策略對高敏感數(shù)據(jù)的低權(quán)限訪問執(zhí)行數(shù)據(jù)脫敏和返回數(shù)據(jù)量限制數(shù)據(jù)防泄漏對辦公區(qū)的敏感數(shù)據(jù)進行安全防護及違規(guī)外發(fā)的管控，如通過郵件、網(wǎng)盤、

U盤等途徑造成數(shù)據(jù)。對敏感文件進行加密保護智慧交通

智慧水利

智慧物流

智慧民生

智慧醫(yī)療應(yīng)用區(qū)

主題庫4

……?

關(guān)系型數(shù)據(jù)存

儲集群……源數(shù)據(jù)區(qū)?

文件服務(wù)器某省市-市三

級數(shù)據(jù)中心企業(yè)單位市區(qū)委辦局數(shù)據(jù)共享分發(fā)技術(shù)體系-數(shù)據(jù)中心整體防護策略數(shù)據(jù)安全運營平臺接入BI平臺操作日志，對數(shù)據(jù)開發(fā)操作、訪問等情況進行監(jiān)測分析對接數(shù)據(jù)權(quán)限管理和訪問控制策略，

進行人員畫像和基線化建模敏感數(shù)據(jù)分類分級，安全評估對數(shù)據(jù)掃描盤點并分類分級后指導(dǎo)安全策略制定，對大數(shù)據(jù)平臺及源數(shù)據(jù)區(qū)的數(shù)據(jù)存儲設(shè)施做安全評估數(shù)據(jù)安全運營平臺通過應(yīng)用訪問數(shù)某省市的數(shù)據(jù)流量（API）采集，進行API安全監(jiān)控和應(yīng)用行為分析

數(shù)據(jù)倉庫

辦公區(qū)數(shù)據(jù)運維區(qū)D

WA層D

W

D

層D

W

S

層數(shù)據(jù)權(quán)限管理數(shù)據(jù)訪問控制操作日志數(shù)據(jù)源接入業(yè)務(wù)模型數(shù)據(jù)發(fā)布TOPICDEV模式控制DAS(FW)DMS數(shù)據(jù)安全運營平臺ODS層

主題庫1

主題庫3

數(shù)據(jù)副本入湖kafka結(jié)構(gòu)化轉(zhuǎn)換主題庫2終端DLP網(wǎng)絡(luò)DLPC

S

V數(shù)OSMS……IDR包含所屬部門、業(yè)包含業(yè)務(wù)數(shù)據(jù)名包含數(shù)據(jù)庫用戶名調(diào)研核心業(yè)務(wù)系統(tǒng)務(wù)應(yīng)用名稱、業(yè)務(wù)稱、數(shù)據(jù)使用者、稱、所屬業(yè)務(wù)應(yīng)從數(shù)據(jù)的采集、傳描述、正式環(huán)境數(shù)據(jù)管理者、訪問用、特權(quán)/普通用輸、存儲、使用、IP、甲方責(zé)任人、權(quán)限、涉及業(yè)務(wù)應(yīng)戶、涉及數(shù)據(jù)及訪共享、銷毀等數(shù)據(jù)聯(lián)系方式等內(nèi)容用等內(nèi)容問權(quán)限等內(nèi)容流轉(zhuǎn)內(nèi)容業(yè)務(wù)系統(tǒng)業(yè)務(wù)數(shù)據(jù)用戶權(quán)限業(yè)務(wù)流程技術(shù)體系-現(xiàn)狀調(diào)研應(yīng)用系統(tǒng)數(shù)據(jù)庫敏感數(shù)據(jù)數(shù)據(jù)交換共享平臺人口庫5893法人庫4248空間地理3135公共服務(wù)3942健康保障1942社會保障3688信用服務(wù)4889身份證姓名性別家庭地址?

DMZ區(qū) 技術(shù)體系-數(shù)據(jù)資產(chǎn)測繪數(shù)據(jù)資產(chǎn)發(fā)現(xiàn)敏感數(shù)據(jù)發(fā)現(xiàn)?

生產(chǎn)區(qū)

?辦公區(qū)

?測試區(qū)數(shù)據(jù)資產(chǎn)臺賬數(shù)據(jù)中心OracleDB2SqlserverMysql多種數(shù)據(jù)業(yè)務(wù)

…受侵害的客體受侵害客體的影響范圍對客體的侵害程度規(guī)則特征級別標(biāo)識國家國家利益嚴重損害數(shù)據(jù)用于關(guān)鍵業(yè)務(wù)使用，針對特定人員公開，且僅為必須知悉的對象訪問或使用4國家國家利益損害4國家機關(guān)某省市直機關(guān)利益嚴重損害4國家機關(guān)某省市直機關(guān)利益損害4國家機關(guān)某省市直機關(guān)利益嚴重損害4法人或其他組織多個企業(yè)組織利益嚴重損害4公民10萬人以上或涉及特定群體信息嚴重損害4公民1萬人以上，10萬人以下或涉及公民敏感信息嚴重損害4國家國家利益不利影響數(shù)據(jù)用于重要業(yè)務(wù)使用，針對特定人員公開，且僅為必須知悉的對象訪問或使用。3國家機關(guān)某省市直機關(guān)利益、經(jīng)濟不利影響3國家機關(guān)某省市直機關(guān)利益、經(jīng)濟損害3法人或其他組織多個企業(yè)組織利益、經(jīng)濟損害3法人或其他組織單個企業(yè)組織利益、經(jīng)濟嚴重損害3法人或其他組織單個企業(yè)組織利益、經(jīng)濟損害3公民10萬人以上或涉及特定群體信息不利影響3公民1萬人以上，10萬人以下或涉及公民敏感信息損害3公民1萬人以下或涉及公民一般信息嚴重損害3國家機關(guān)某省市直機關(guān)利益、經(jīng)濟不利影響數(shù)據(jù)用于一般業(yè)務(wù)使用，針對受限對象公開；一般指管理不宜廣泛公開的數(shù)據(jù)。2法人或其他組織多個企業(yè)組織利益、經(jīng)濟不利影響2法人或其他組織單個企業(yè)組織利益、經(jīng)濟不利影響2公民1萬人以上，10萬人以下或涉及公民敏感信息不利影響2公民1萬人以下或涉及公民一般信息不利影響2國家國家利益無損害數(shù)據(jù)可被公開或可被公眾獲知、使用。1國家機關(guān)某省市直機關(guān)利益、經(jīng)濟無損害1國家機關(guān)某省市直機關(guān)利益、經(jīng)濟無損害1法人或其他組織多個企業(yè)組織利益、經(jīng)濟無損害1法人或其他組織單個企業(yè)組織利益、經(jīng)濟無損害1公民1萬人以下或涉及公民一般信息無損害1公民1萬人以上，10萬人以下或涉及公民敏感信息無損害1公民10萬人以上或涉及特定群體信息無損害1結(jié)構(gòu)化/半結(jié)構(gòu)化/非結(jié)構(gòu)化數(shù)據(jù)掃描屬性包括：>

表名稱/文件名稱>

IP地址>

數(shù)據(jù)庫及實例位置/存儲路徑>

敏感字段類型>

記錄行數(shù)>

文本大小>

數(shù)據(jù)表/文件業(yè)務(wù)類型標(biāo)簽>

數(shù)據(jù)表/文件數(shù)據(jù)分類標(biāo)簽>

數(shù)據(jù)表/文件數(shù)據(jù)分級標(biāo)簽>

數(shù)據(jù)表/文件數(shù)據(jù)分布標(biāo)簽>

數(shù)據(jù)表/文件屬主賬號>

數(shù)據(jù)表/文件屬組賬號>

數(shù)據(jù)表讀寫權(quán)限/文件讀寫執(zhí)行權(quán)限（9元組）>

掃描時間 技術(shù)體系-數(shù)據(jù)分類分級1

制定分類分級標(biāo)準(zhǔn)>數(shù)據(jù)等級為分4級：1-4級。掃描數(shù)據(jù)庫和文件存儲系統(tǒng)，自動化數(shù)據(jù)測繪準(zhǔn)備數(shù)據(jù)樣本，建立敏感數(shù)據(jù)規(guī)則庫分級要素：客體、影響范圍、影響程度等標(biāo)準(zhǔn)數(shù)據(jù)分類分級標(biāo)準(zhǔn)國家相關(guān)標(biāo)準(zhǔn)企業(yè)相關(guān)

標(biāo)準(zhǔn)23行業(yè)相關(guān)傳輸存儲銷毀審計某省市數(shù)據(jù)安全管理制度使用交換采集 技術(shù)體系-數(shù)據(jù)安全風(fēng)險評估基于工信部《關(guān)于開展App違法違規(guī)

收集使用個人信息專項治理的公告》以及相關(guān)配套要求，結(jié)合APP安全測

試，全面開展APP數(shù)據(jù)安全評估。確保客戶APP合法合規(guī)收集使用個人

信息，并且用戶在APP使用過程中不

因APP安全問題導(dǎo)致個人信息收到侵通過識別發(fā)現(xiàn)企業(yè)業(yè)務(wù)流程中的個人

信息處理行為，針對行為中可能產(chǎn)生

的對個人信息主體隱私的影響進行風(fēng)

險評估

。

可根據(jù)行業(yè)監(jiān)管要求制定評

估內(nèi)容，例如《GB/T35273-2020信

息安全技個人信息安全規(guī)范》

。應(yīng)對行業(yè)監(jiān)管合規(guī)要求進行的符合性

評估。

評估內(nèi)容根據(jù)行業(yè)監(jiān)管部門要

求制定，如《數(shù)據(jù)安全能力成熟度模

型》（GB/T37988-2019）

。

可幫助

客戶通過符合性評估確保企業(yè)滿足數(shù)

據(jù)安全合規(guī)要求。03

APP數(shù)據(jù)安全評估02

個人信息影響評估

01符合性評估害。1.《國家安全法》2.《中華人民共和某著名企業(yè)絡(luò)安全法》3.《民法總則》4.《最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》5.GB/T35273-2020《信息安全技術(shù)

個人信息安全規(guī)范》6.GB/T39335-2020《信息安全技術(shù)

個人信息安全影響評估指南》7.《信息安全技術(shù)

數(shù)據(jù)出境安全評估指南》8.GB/T20984-2007《信息安全技術(shù)

信息安全風(fēng)險評估規(guī)范》9.GB/T37988-2019《信息安全技術(shù)

數(shù)據(jù)安全能力成熟度模型》10.GB/T37964-2019《信息安全技術(shù)

個人信息去標(biāo)識化指南》11.《ISO/IEC29134

InformationTechnology-

Security

techniques-Guidelinesforprivacy

impactassessment》評估原理示意圖 技術(shù)體系-數(shù)據(jù)/個人信息安全風(fēng)險評估個人信息安全影響評估分析模型個人信息安全影響評估框架評估情況匯總合規(guī)程度分析

出具評估報告

評審

交付物提交

風(fēng)險處置跟蹤參考法規(guī)及標(biāo)準(zhǔn)II.實施階段I.準(zhǔn)備階段III.報告階段必要信息采

集前期準(zhǔn)備工

作風(fēng)險綜合

分析出具評估

報告數(shù)據(jù)流轉(zhuǎn)

梳理風(fēng)險處

置跟蹤業(yè)務(wù)特點和規(guī)模及安全態(tài)勢個人名譽受損或遭

受精神壓力評估標(biāo)準(zhǔn)適合度分析優(yōu)化完善評估標(biāo)準(zhǔn)初步提出影

響評估標(biāo)準(zhǔn)確定評估對象和范圍制定評估計劃確定風(fēng)險判定準(zhǔn)則數(shù)據(jù)映射清單

數(shù)據(jù)映射圖

處理活動場景個人信息處理流程網(wǎng)絡(luò)環(huán)境和技術(shù)措施參與人員與第三方限制個人自主決定權(quán)人身財產(chǎn)受損引發(fā)差別性待遇初步訪

談溝通個人信

息處理安全事件可能性分析個人權(quán)益影響分析系統(tǒng)

信息商業(yè)

流程客戶文

檔查閱數(shù)據(jù)映射分析 某省市數(shù)據(jù)安全風(fēng)險評估內(nèi)容>

利用網(wǎng)絡(luò)DLP探針，掃描所有離開組

織的數(shù)據(jù)，查看是否含有敏感信息。>

在敏感數(shù)據(jù)治理與運維人員終端上安裝agent，監(jiān)控相關(guān)人員敏感數(shù)據(jù)持有和流轉(zhuǎn)情況>

統(tǒng)一管控OSMS堡壘機，下發(fā)高危操作多重審核策略，并統(tǒng)一分析堡壘機

日志有效監(jiān)控高危運維操作>

統(tǒng)一采集敏感數(shù)據(jù)平臺日志，針對敏感數(shù)據(jù)操作行為進行有效審計和風(fēng)險

建模，針對高危風(fēng)險及時告警 技術(shù)體系-數(shù)據(jù)流轉(zhuǎn)監(jiān)控OA

ERP

E-MAIL數(shù)據(jù)庫NASPLM國國

涉密網(wǎng)用戶InternetMail辦公終端

辦公終端

會議

U盤外帶

回家辦公

手機

外協(xié)設(shè)計敏感數(shù)據(jù)域外發(fā)敏感數(shù)據(jù)流轉(zhuǎn)監(jiān)控關(guān)鍵點合作單位企業(yè)環(huán)境應(yīng)用系統(tǒng)層上級單位虛擬化云桌面辦公網(wǎng)用戶辦公終端辦公終端AgentAgent

Agent

Agent

Agent

SQLServer

MYSQL

Oracle

HBase

Hive 技術(shù)體系-開發(fā)測試&運維業(yè)務(wù)數(shù)據(jù)安全使用門戶網(wǎng)站

1原始數(shù)據(jù)脫敏后數(shù)據(jù)脫敏后數(shù)據(jù)138****9214135****4325136****4991數(shù)據(jù)脫敏系統(tǒng)各種業(yè)務(wù)系統(tǒng)業(yè)務(wù)開發(fā)測試各種數(shù)據(jù)庫動態(tài)脫敏靜態(tài)脫敏2技術(shù)體系-關(guān)鍵數(shù)據(jù)加密使用防護透明加密打印合法程序另存為剪切板禁止

打印截屏密文密文密文密文明文密文明文明文網(wǎng)盤數(shù)

泄途技術(shù)體系-外發(fā)數(shù)據(jù)防護（網(wǎng)絡(luò)+外

設(shè)）論壇web郵件QQ等IM消息傳遞USB等移動存儲網(wǎng)絡(luò)共享OUTLOOK等

郵件發(fā)送打印機打印CD/DVD刻錄某著名企業(yè)存儲防護聊天外發(fā)防護打印刻錄防護上網(wǎng)行為監(jiān)管網(wǎng)絡(luò)外發(fā)監(jiān)督郵件外發(fā)防護據(jù)

露徑?敏感數(shù)據(jù)資產(chǎn)梳理?數(shù)據(jù)資產(chǎn)分類分級?數(shù)據(jù)平臺漏洞管理?數(shù)據(jù)資產(chǎn)合規(guī)稽核?數(shù)據(jù)安全風(fēng)險監(jiān)控?敏感數(shù)據(jù)流轉(zhuǎn)建模?風(fēng)險事件閉環(huán)處理?數(shù)據(jù)安全運營報告 運營體系-數(shù)據(jù)安全態(tài)勢感知數(shù)據(jù)安全運營平臺非結(jié)構(gòu)數(shù)據(jù)流轉(zhuǎn)圖像識別數(shù)據(jù)資產(chǎn)信息敏感數(shù)據(jù)流動結(jié)構(gòu)化數(shù)據(jù)流轉(zhuǎn)流量鏡像威脅情報全流量數(shù)據(jù)數(shù)據(jù)特征IDR數(shù)據(jù)安全運營展現(xiàn)場景化大數(shù)據(jù)管理03第三方調(diào)用基礎(chǔ)支撐業(yè)務(wù)中臺數(shù)據(jù)回流數(shù)據(jù)服務(wù)門戶ETL開放庫

共享庫主題庫前置庫數(shù)據(jù)倉 XX數(shù)據(jù)安全治理技術(shù)落地框架運維環(huán)境數(shù)據(jù)局辦公用戶公網(wǎng)政企訪問用戶各委辦廳局數(shù)據(jù)安全運營平臺數(shù)據(jù)局應(yīng)用

（待建）訪

問

控

制數(shù)據(jù)共享門戶網(wǎng)絡(luò)防泄漏文件/網(wǎng)頁水印傳輸某省市政務(wù)數(shù)據(jù)接口綜合

服務(wù)平臺CA/VPN

廳局數(shù)據(jù)API審計傳輸/交換地市數(shù)據(jù)交換區(qū)域省數(shù)據(jù)交換區(qū)域

頻儲庫水印/分類分級網(wǎng)絡(luò)防泄漏分類分級

數(shù)據(jù)歸

集分類分級專題庫基礎(chǔ)庫ETL

存儲數(shù)據(jù)開放門戶使用/交換接口機AP

I審計數(shù)據(jù)庫防火墻網(wǎng)絡(luò)防泄漏分類分級靜態(tài)脫敏傳輸/使用交換前置

節(jié)點數(shù)據(jù)治理日志審計運維堡壘機數(shù)據(jù)庫審計數(shù)據(jù)服務(wù)目錄系統(tǒng)…數(shù)據(jù)庫加密/動態(tài)脫敏贛服通流

轉(zhuǎn)監(jiān)測流轉(zhuǎn)監(jiān)測流

轉(zhuǎn)監(jiān)測數(shù)據(jù)庫加密/動態(tài)脫敏分類分級加密/脫敏分類分級分類分級分類分級終端防泄漏終端防泄漏測試/開發(fā)環(huán)境終端防泄漏共享交換平臺數(shù)據(jù)共享交換平臺門戶統(tǒng)一安全

網(wǎng)關(guān)能力開放

平臺交換使用業(yè)務(wù)協(xié)同可視化針對數(shù)據(jù)共享、開放場景：?

數(shù)據(jù)開放、共享現(xiàn)有的安全能力包括：政企、委辦廳局的訪問權(quán)限控制，并針對數(shù)據(jù)共享交換平臺通過安全組件完成開放庫、共享庫的動態(tài)脫敏及數(shù)據(jù)加密；?需補充的能力：1.

開放、共享數(shù)據(jù)的水印溯源：通過網(wǎng)頁水印、文件水印技術(shù)對于公開的政務(wù)數(shù)據(jù)（根據(jù)分類分級策略）進行使用范圍、時效性說明，約束數(shù)據(jù)亂用行為；2.

數(shù)據(jù)訪問審計：針對辦公、委辦局、政企客戶訪問數(shù)據(jù)的行為進行監(jiān)測、審計，通過網(wǎng)絡(luò)防泄漏實現(xiàn)出口流轉(zhuǎn)的審計、通過數(shù)據(jù)庫審計、API日志解析等實現(xiàn)系統(tǒng)內(nèi)的數(shù)據(jù)流轉(zhuǎn)監(jiān)測，并通過平臺統(tǒng)一展示；3.

數(shù)據(jù)訪問安全補充：針對前端應(yīng)用數(shù)據(jù)（根據(jù)分類分級策略）進行數(shù)據(jù)有效保護，如動態(tài)脫敏、加密；4.

針對數(shù)據(jù)局辦公用戶，部分存在數(shù)據(jù)導(dǎo)入導(dǎo)出的場景，針對該場景完善數(shù)據(jù)防泄漏保護；敏感數(shù)據(jù)流轉(zhuǎn)分析數(shù)據(jù)局辦公用戶數(shù)據(jù)服務(wù)門戶各委辦廳局公網(wǎng)政企訪問用戶訪

問

控

制網(wǎng)絡(luò)防泄漏

數(shù)據(jù)共享、開放安全開放庫共享庫數(shù)據(jù)庫加密/動態(tài)脫敏數(shù)據(jù)開放門戶數(shù)據(jù)共享門戶文件/網(wǎng)頁水印終端防泄漏數(shù)據(jù)服務(wù)/API加密/脫敏DAS數(shù)據(jù)回流場景：省數(shù)據(jù)局將治理過后的高頻庫數(shù)據(jù)某省市的需求某省市數(shù)據(jù)交換區(qū)域某省市數(shù)據(jù)交換區(qū)域，用某省市的政務(wù)數(shù)據(jù)的分析，在此場景下考慮的主要數(shù)據(jù)安全如下：1、回流靜態(tài)數(shù)據(jù)的分類分級評估：省數(shù)據(jù)局主要對高頻庫、前置節(jié)點進行分類分級；地市數(shù)據(jù)局某省市數(shù)據(jù)交換區(qū)域的前置節(jié)點進行分類分級；形成回流數(shù)據(jù)的分類分級展示；2、回流數(shù)據(jù)的流轉(zhuǎn)監(jiān)測：某省市數(shù)據(jù)交換區(qū)域出口的網(wǎng)絡(luò)防泄漏進行流量分析，結(jié)合高某省市數(shù)據(jù)交換區(qū)域的數(shù)據(jù)擺渡日志，進行數(shù)據(jù)流轉(zhuǎn)的綜合監(jiān)測；3、回流數(shù)據(jù)申請復(fù)核：針對重要、敏感數(shù)據(jù)的流轉(zhuǎn)，建議補充數(shù)據(jù)回流審批流程，并結(jié)合回流數(shù)據(jù)的流轉(zhuǎn)監(jiān)測進行回流數(shù)據(jù)的復(fù)核；敏感數(shù)據(jù)流轉(zhuǎn)分析高頻庫

數(shù)據(jù)回流安全數(shù)據(jù)回流審批流程申請審批復(fù)核前置節(jié)點省數(shù)據(jù)交換區(qū)域分類分級前置節(jié)點市數(shù)據(jù)交換區(qū)域分類分級

網(wǎng)絡(luò)防泄漏

數(shù)據(jù)擺渡分類分級 數(shù)據(jù)開發(fā)/測試/運維/辦公安全針對開發(fā)/測試/運維/辦公主要安全防護關(guān)鍵點如下：?數(shù)據(jù)防泄漏：包含終端非結(jié)構(gòu)化數(shù)據(jù)防泄漏（外發(fā)管控、防拷貝、外設(shè)管控），以及對外網(wǎng)絡(luò)的防泄漏；?

開發(fā)/測試關(guān)鍵數(shù)據(jù)脫敏處理：開發(fā)/測試環(huán)境的數(shù)據(jù)源經(jīng)過靜態(tài)脫敏處理，去掉關(guān)鍵信息；?運維操作安全可控：運維行為管控審計、數(shù)據(jù)庫行為審計、數(shù)據(jù)庫訪問管控；?終端操作環(huán)境安全：針對開發(fā)/測試/運維/辦公終端環(huán)境進行安全監(jiān)測，識別終端入侵風(fēng)險；靜態(tài)脫敏測試/開發(fā)環(huán)境管理交換機堡壘機審計終端防泄漏運維區(qū)域辦公接入交換機辦公區(qū)域測試/開發(fā)庫共享交換平臺Internet終端防泄漏終端防泄漏

網(wǎng)絡(luò)防泄漏

數(shù)據(jù)庫

防火墻數(shù)據(jù)庫

數(shù)據(jù)流轉(zhuǎn)監(jiān)測數(shù)據(jù)共享交換平臺數(shù)據(jù)流轉(zhuǎn)主要分為：?

數(shù)據(jù)流轉(zhuǎn)：系統(tǒng)內(nèi)API交互、系統(tǒng)內(nèi)數(shù)據(jù)訪問、系統(tǒng)內(nèi)數(shù)據(jù)抽取/同步、系統(tǒng)間API交互?外部數(shù)據(jù)交互：外部API調(diào)用、外部數(shù)據(jù)訪問（數(shù)據(jù)同步、下載）數(shù)據(jù)流轉(zhuǎn)監(jiān)測可采用以下兩種場景進行覆蓋：①

系統(tǒng)內(nèi)基于云主機之間的端口流量分析：②系統(tǒng)間、外部系統(tǒng)，基于接口服務(wù)綜合平臺/API/應(yīng)用日志云平臺Web服務(wù)器Agent

https應(yīng)用服務(wù)器Agent敏感數(shù)據(jù)流轉(zhuǎn)分析接口服務(wù)綜合平臺/API網(wǎng)關(guān)/應(yīng)用政府金融

企業(yè)云數(shù)據(jù)庫Agent策略下發(fā)/日志同步策略下發(fā)/日志同步共享交換平臺外部機構(gòu)開放門戶日志同步網(wǎng)絡(luò)DLP

04

落地實踐案例101以標(biāo)準(zhǔn)化規(guī)范數(shù)據(jù)采集、傳輸、存儲、使用、開發(fā)等環(huán)節(jié)的安全邊界和監(jiān)管措施，制定涉及國家利益、公共安全、商業(yè)秘密、個人隱私等信息的保護清單標(biāo)準(zhǔn)。健全公共數(shù)據(jù)安全保障體系。

圍繞數(shù)據(jù)采集、傳輸、存儲、處理、交換、

銷毀等環(huán)節(jié)，構(gòu)筑公共數(shù)據(jù)全生命周期安全防護體系?！八囊弧蹦呈∈惺袃杉壖軜?gòu)、分域管理、

安全可靠的政務(wù)云平臺功能。強化網(wǎng)絡(luò)安全主體責(zé)任，加快建立重要政務(wù)信息系統(tǒng)上

線前的網(wǎng)絡(luò)安全風(fēng)

險評估機制，嚴格落實網(wǎng)絡(luò)安全等級

保護制度，加強技術(shù)防御和應(yīng)急響應(yīng)

能力。在保證網(wǎng)絡(luò)先進性的同時，采用成熟、

安全、可靠的網(wǎng)絡(luò)通信技術(shù),建立

備份、應(yīng)急和災(zāi)難恢復(fù)系統(tǒng),保障網(wǎng)絡(luò)

和信息安全。某省市政府?dāng)?shù)字化轉(zhuǎn)型歷程政府?dāng)?shù)字化轉(zhuǎn)型

“最多跑一次”改革200320142016

2018“數(shù)字XX”數(shù)字化改革2021

“1”就是建設(shè)

1

個一體化智能化公共數(shù)據(jù)平臺。在原有公共數(shù)據(jù)平臺的基礎(chǔ)上，疊加智能分析、研判決策等“大腦”功能。

“5”就是運行黨政機關(guān)整體智治、數(shù)字政府、數(shù)字經(jīng)濟、數(shù)字社會、數(shù)字法治綜合應(yīng)用。

“2”就是構(gòu)建理論和制度

2套體系，推動改革實踐上升為理論成果、固化為制度成果。某省市政府?dāng)?shù)字化改革——152任務(wù)省委改革辦關(guān)于數(shù)

字化改革總體方案

一體化平臺如何建設(shè)——系統(tǒng)開發(fā)V字模型（二）推進黨政機關(guān)整體智治系統(tǒng)建設(shè)（牽頭某省市委辦公廳）（三）深化數(shù)字政府系統(tǒng)建設(shè)（牽頭某省市政府辦公廳（四））深化數(shù)字經(jīng)濟系統(tǒng)建設(shè)（牽頭某省市經(jīng)信廳）（五）推進數(shù)字社會系統(tǒng)建設(shè)（牽頭某省市發(fā)展改革委（六））推進數(shù)字法治系統(tǒng)建設(shè)（牽頭某省市委政法委）（七）推進數(shù)字化改革理論體系建設(shè)。（牽頭某省市委政研室）（八）推進數(shù)字化改革制度體系建設(shè)。（牽頭某省市委改某省市委某省市某省市人大

法某省市司某省市市場監(jiān)管局）

主要建設(shè)內(nèi)容（一）推進一體化智能化公共數(shù)據(jù)平臺建設(shè)（牽頭某省市大數(shù)據(jù)局）2、“XX里辦”“XX政釘”兩大終端

建設(shè)1、“四橫四縱”八大體系應(yīng)用、體系、機

制、能力建設(shè)基礎(chǔ)建設(shè)重要任務(wù)綜合集成核

心業(yè)務(wù)

應(yīng)

用………網(wǎng)

絡(luò)

安全體

系

（

制

度

、

標(biāo)

準(zhǔn)

、

網(wǎng)

絡(luò)

、

數(shù)

據(jù)

）組織

保

障

體

系

（

機

構(gòu)

、

人

才

、

文

化

）標(biāo)

準(zhǔn)

規(guī)

范

體

系

（

數(shù)

據(jù)

、

業(yè)務(wù)

、

技

術(shù)

、

項

目

）政策制度體系

（

法規(guī)

、

政策

、

評價指標(biāo)

）政務(wù)外網(wǎng)政務(wù)云感知網(wǎng)視聯(lián)網(wǎng)政務(wù)內(nèi)網(wǎng)空間治理業(yè)務(wù)中臺

可信身份認證

公共信用電子簽章…

一體化平臺建設(shè)框架XX政釘XX里辦數(shù)字法治綜合應(yīng)用數(shù)字社會綜合應(yīng)用數(shù)字政府綜合應(yīng)用數(shù)字經(jīng)濟綜合應(yīng)用黨政機關(guān)整體智治綜合應(yīng)用矛

盾

糾

紛

化

解

應(yīng)

用企業(yè)安全生產(chǎn)

風(fēng)

險欠

薪

聯(lián)

合

預(yù)

警

系

統(tǒng)危化品風(fēng)控系統(tǒng)食

品

安全治

理應(yīng)

用訂單+清單監(jiān)測系統(tǒng)應(yīng)用

支撐

體系數(shù)據(jù)資源

體系基礎(chǔ)

設(shè)施

體系統(tǒng)

一

政

務(wù)

咨

詢

投

訴審

計監(jiān)督

大

數(shù)

據(jù)

系

統(tǒng)信用+行業(yè)監(jiān)管自然災(zāi)害應(yīng)急應(yīng)用藥

品

風(fēng)

險監(jiān)測

預(yù)

警文化與旅游系統(tǒng)大

救

助

信

息

應(yīng)

用企業(yè)服

務(wù)

綜

合

應(yīng)

用政府采購云應(yīng)用之江匯教育廣場網(wǎng)

絡(luò)

交

管

應(yīng)

用畝均論英雄金融

服

務(wù)

綜

合

應(yīng)

用互

聯(lián)

網(wǎng)

+

監(jiān)

管統(tǒng)

一

行

政

執(zhí)

法監(jiān)管經(jīng)濟

運

行監(jiān)測

系

統(tǒng)一

體

化

政

務(wù)

服

務(wù)

平

臺投

資

項

目

審

批監(jiān)管某省市某省市某省市某省市某省市某省市歸集庫數(shù)據(jù)高鐵數(shù)據(jù)共享算法模型分析挖掘清洗庫專題庫主題庫業(yè)務(wù)

應(yīng)用

體系兩掌省市兩級公共數(shù)據(jù)平臺一體化智能化公共數(shù)據(jù)平臺2018年12月28日某省市政府在某省市深化“最多跑一次

”改革推進政府?dāng)?shù)字化轉(zhuǎn)型工作總體方案》提出“

四橫三縱

”整體架構(gòu)，至2021年2月18日某省市發(fā)布某省市數(shù)字化改革總體方案》提出的“

四橫四縱”

，增加了網(wǎng)絡(luò)安全體系的建設(shè)標(biāo)準(zhǔn)，把安全作為重要建設(shè)維度進行考量。

從“四橫三縱”到“四橫四縱”業(yè)務(wù)應(yīng)用體系應(yīng)用支撐體系數(shù)據(jù)支持體系基礎(chǔ)設(shè)施體系業(yè)務(wù)應(yīng)用體系應(yīng)用支撐體系數(shù)據(jù)資源體系基礎(chǔ)設(shè)施體系組織

保

障

體

系政策制度體系標(biāo)準(zhǔn)規(guī)范體系組織

保

障

體

系網(wǎng)

絡(luò)

安全體

系政策制度體系標(biāo)準(zhǔn)規(guī)范體系“XX里辦”“XX政釘”“XX里辦”“XX政釘”省級電子政務(wù)

外網(wǎng)市級電子政務(wù)

外網(wǎng)區(qū)縣級電子政

務(wù)外網(wǎng)區(qū)縣級電子政

務(wù)外網(wǎng)市級政務(wù)一朵云省級政務(wù)一朵云國家電子政務(wù)

外網(wǎng)市級政務(wù)專有云…一體化平臺建設(shè)組網(wǎng)架構(gòu)區(qū)縣政務(wù)專有云省級政務(wù)專有云互

聯(lián)

網(wǎng)互

聯(lián)

網(wǎng)N廳A廳F區(qū)/縣一體化平臺國家下聯(lián)上聯(lián)設(shè)備市級一體化平臺C區(qū)/縣一體化平臺A區(qū)/縣一體化平臺行業(yè)云區(qū)行業(yè)云區(qū)公有云區(qū)公有云區(qū)A委辦局鎮(zhèn)/街道委辦局委辦局N委辦局鎮(zhèn)/街道省級一體化平臺市級P

A/B/C類

區(qū)縣F類區(qū)縣區(qū)縣級P區(qū)縣級P省級P一體化數(shù)據(jù)目錄（數(shù)據(jù)目錄化、目錄全局化、全局動態(tài)化）市級平臺縣級平臺市數(shù)據(jù)集大數(shù)據(jù)處理分析系統(tǒng)縣歸集數(shù)據(jù)市歸集數(shù)據(jù)某省市縣三級數(shù)據(jù)資源體系架構(gòu)省歸集數(shù)據(jù)省級平臺縣數(shù)據(jù)倉感知數(shù)據(jù)特色數(shù)據(jù)某省市下發(fā)數(shù)據(jù)市數(shù)據(jù)倉感知數(shù)據(jù)特色數(shù)據(jù)某省市下發(fā)數(shù)據(jù)部門數(shù)據(jù)倉省數(shù)據(jù)倉基礎(chǔ)庫|專題庫民政XXXX…XX公安人社財政…XX專題庫專題庫數(shù)據(jù)回流接口封裝數(shù)據(jù)回流接口封裝

公共數(shù)據(jù)安全建設(shè)理論框架定義了公共數(shù)據(jù)安全管理職責(zé)分工、體系架構(gòu)、建設(shè)要求和評價

機制，可為各級公共數(shù)據(jù)主管部門、公共管理和服務(wù)機構(gòu)開展公共數(shù)據(jù)安全管理工作提供規(guī)范性

指引。

公共數(shù)據(jù)安全制度規(guī)范體系以公共數(shù)據(jù)分類分級為基礎(chǔ)，

明確公共數(shù)據(jù)全生命周期各環(huán)節(jié)的安全防護要求。通過態(tài)勢感知、權(quán)限管控、數(shù)據(jù)脫敏、數(shù)據(jù)加密、數(shù)字簽名、數(shù)據(jù)庫防火墻、數(shù)據(jù)水印溯源、日志審計等安全技術(shù)手段，加強數(shù)據(jù)安全常態(tài)化監(jiān)測和智能風(fēng)險預(yù)警，

全面提升數(shù)據(jù)安全防護能力，

筑牢數(shù)據(jù)安全防線

公共數(shù)據(jù)安全技術(shù)防護體系建立數(shù)據(jù)安全運行工作體系，規(guī)范數(shù)據(jù)安全各方職責(zé)，按照數(shù)據(jù)安全制度規(guī)范要求，充分利用數(shù)據(jù)安全防護技術(shù)工具，完善數(shù)據(jù)安全風(fēng)險識別、安全防御、安全檢測、安全響應(yīng)和安全恢復(fù)管理手段，提升數(shù)據(jù)安全運行保障能力，建立事前管審批、事中全留痕、事后可追溯的全鏈路數(shù)據(jù)安全監(jiān)管機制，及時發(fā)現(xiàn)處置各類數(shù)據(jù)安全風(fēng)險，切實防范數(shù)據(jù)篡改、泄漏、濫用。

公共數(shù)據(jù)安全運行管理體系

政府一體化平臺數(shù)據(jù)安全建設(shè)思路案例202目標(biāo)合法合規(guī)

安全可控

持續(xù)運營

實施步驟

監(jiān)管

體

系

數(shù)據(jù)安全技術(shù)體系

政務(wù)數(shù)據(jù)共享交換平臺數(shù)據(jù)安全治理框架?框架可參考DSMM模型，圍繞“管理、技術(shù)、運營”三大體系開展。?框架設(shè)計符合國家法律法規(guī)、某省市政策導(dǎo)向以及業(yè)界的標(biāo)準(zhǔn)，同時利用大數(shù)據(jù)、區(qū)塊鏈、AI實現(xiàn)業(yè)務(wù)的創(chuàng)新應(yīng)用。數(shù)據(jù)安全運營體系安全評估數(shù)據(jù)安全管理體系數(shù)據(jù)生命周期安全可創(chuàng)新數(shù)據(jù)安全監(jiān)管框架可創(chuàng)新數(shù)據(jù)安全運營平臺行察控識知組織架構(gòu)管理制度3級4級管控流程事件管理策略管理安全意識培養(yǎng)脆弱性管理共享開放申請工單管理監(jiān)控審計資產(chǎn)管理策略管理處理數(shù)據(jù)處

理環(huán)境管理層執(zhí)行層監(jiān)督層發(fā)布評估決策層審批2級1級指引、保障采集

可創(chuàng)新可創(chuàng)新傳輸存儲2022?圍某省市數(shù)據(jù)共享交換平臺日常運營管理，結(jié)合現(xiàn)有的安全制度，完善數(shù)據(jù)安全制度體系，包括組織架構(gòu)體系及管理制度體系；?重點開展數(shù)據(jù)分類分級建設(shè)，識別數(shù)據(jù)共享交換平臺的數(shù)據(jù)資產(chǎn)分布，包含敏感數(shù)據(jù)資產(chǎn)、重要數(shù)據(jù)資產(chǎn)；?針對重要數(shù)據(jù)、敏感數(shù)據(jù)實現(xiàn)可視化管理，并對數(shù)據(jù)在系統(tǒng)中的流轉(zhuǎn)進行可視化管理；?針對重點數(shù)據(jù)泄漏場景，開發(fā)、測試、運維、辦公、數(shù)據(jù)安全技術(shù)、管理補充?針對現(xiàn)有的建設(shè)成果開展數(shù)據(jù)安全能力評估（DSMM），

識別數(shù)據(jù)共享交換平臺在數(shù)據(jù)采集、傳輸、存儲、處理、

共享、開放過程中的所有應(yīng)用的安全狀態(tài)，完善技術(shù)能力建設(shè)；?對現(xiàn)有的管理制度進行優(yōu)化，改進，對缺失的管理制度進行補充建設(shè)；?從“威脅管理”、“事件管理”兩個維度開展數(shù)據(jù)共享交換平臺的日常安全運營工作。?日常開展數(shù)據(jù)安全意識培訓(xùn)、數(shù)據(jù)安全應(yīng)急，常態(tài)化安全評估；?結(jié)某省市數(shù)字經(jīng)濟、數(shù)字政府“十四五”規(guī)劃開展創(chuàng)新應(yīng)用建設(shè)；?形成地方特色的數(shù)據(jù)安全治理標(biāo)準(zhǔn)體系；

管理體系及重要場景數(shù)據(jù)安全建設(shè)

數(shù)據(jù)安全技術(shù)、管理補充

常態(tài)化安全運營、技術(shù)創(chuàng)新管理體系及重要場景數(shù)據(jù)安全建設(shè)

政務(wù)數(shù)據(jù)安全整體建設(shè)規(guī)劃某省市數(shù)據(jù)局數(shù)據(jù)安全治理建議分為3個階段：共享、開放、回流場景進行數(shù)據(jù)安全建設(shè)補充；根據(jù)需求預(yù)算調(diào)整常態(tài)化安全運營、技術(shù)創(chuàng)新20242023《數(shù)據(jù)安全法》第二十七條開展數(shù)據(jù)處理活動應(yīng)當(dāng)依照法律、法規(guī)的規(guī)定，建立健全全流程數(shù)據(jù)安全管理制度

，組織開展數(shù)據(jù)安全教育培訓(xùn)，采取相應(yīng)的技術(shù)措施和其他必要措施，保障數(shù)據(jù)安全。重要數(shù)據(jù)的處理者應(yīng)當(dāng)明確數(shù)據(jù)安全負責(zé)人和管理機構(gòu)，落實數(shù)據(jù)安全保護責(zé)任。管理制度依據(jù)現(xiàn)有相關(guān)要求，結(jié)合自身業(yè)務(wù)情況，明確需要編制管理文件，指導(dǎo)數(shù)據(jù)安全的總體建設(shè)組織架構(gòu)結(jié)合現(xiàn)有組織架構(gòu)，成立專門的數(shù)據(jù)安全治理團隊，保障數(shù)據(jù)安全建設(shè)的有效實施管控流程數(shù)據(jù)安全建設(shè)執(zhí)行時所需要的申請、審批、評估等流程支撐

政務(wù)數(shù)據(jù)安全管理體系規(guī)劃《2022某省市數(shù)字政府建設(shè)工作要點》某省市數(shù)據(jù)條例》

（征求意見稿）020103參考依據(jù)法律背景角色職責(zé)制度文件對應(yīng)數(shù)據(jù)安全

領(lǐng)導(dǎo)小組1、制定數(shù)據(jù)安全整體目標(biāo)和發(fā)展規(guī)劃2、發(fā)布數(shù)據(jù)安全管理制度及規(guī)范3、提供數(shù)據(jù)安全規(guī)劃、設(shè)計、建設(shè)、實施、運營等全過程的資源保障4、負責(zé)重大數(shù)據(jù)安全事件協(xié)調(diào)與決策等

定制一級制度文件

負責(zé)所有制度的發(fā)布數(shù)據(jù)安全

管理團隊1、制定數(shù)據(jù)安全管理制度及規(guī)范2、制定數(shù)據(jù)安全工作在各層級的運行機制，保障數(shù)據(jù)安全工作的順利運營3、推進數(shù)據(jù)安全意識培訓(xùn)、安全技能提升、安全技術(shù)考核等工作的開展4、負責(zé)與國家數(shù)據(jù)安全相關(guān)監(jiān)督部門及行業(yè)組織的協(xié)調(diào)溝通5、負責(zé)數(shù)據(jù)安全的日常管理工作等

負責(zé)二、三級制度文件的

定制數(shù)據(jù)安全

執(zhí)行團隊1、負責(zé)數(shù)據(jù)安全制度及規(guī)范的具體執(zhí)行2、負責(zé)數(shù)據(jù)安全事件的檢測、處置、分析3、負責(zé)數(shù)據(jù)安全的風(fēng)險評估4、負責(zé)反饋合理的數(shù)據(jù)安全需求，促進數(shù)據(jù)安全防護工作的改進5、積極參與數(shù)據(jù)安全意識培訓(xùn)、能力培養(yǎng)及考核工作

協(xié)助管理團隊定制三級制

度文件

負責(zé)四級制度文件的總結(jié)數(shù)據(jù)安全

監(jiān)督小組1、對數(shù)據(jù)安全制度及規(guī)范的完整性及執(zhí)行情況進行監(jiān)督2、對數(shù)據(jù)安全技術(shù)工具的落地情況進行監(jiān)督3、對數(shù)據(jù)安全風(fēng)險評估過程進行監(jiān)督審計等

監(jiān)督各級制度文件的執(zhí)行，問題發(fā)現(xiàn)和建議反饋《個人信息安全規(guī)范》滿足以下條件之一的組織，應(yīng)設(shè)立專職的個人信息保護責(zé)任人和個人信息保護工作機構(gòu)，負責(zé)個人信息安全工作。

主要業(yè)務(wù)涉及個人信息處理，且從業(yè)人員規(guī)模大于200人；

處理超過100萬人的個人信息，或預(yù)計在12個月內(nèi)處理超過100萬人的個人信息。

處理超過10萬人的個人敏感信息的。關(guān)于政務(wù)數(shù)據(jù)安全責(zé)任人說明

依據(jù)某省市數(shù)據(jù)條例》

（征求意見稿），第五十一條【重要數(shù)據(jù)保護】重要數(shù)據(jù)處理者處理國家規(guī)定重要數(shù)據(jù)或者敏感個人數(shù)據(jù)，應(yīng)當(dāng)明確數(shù)據(jù)安全管理機構(gòu)和數(shù)據(jù)安全管理責(zé)任人，實施特別技術(shù)保護，定期對數(shù)據(jù)處理活動開展風(fēng)險評估，并依法向有關(guān)部門報送

風(fēng)險評估報告。

政務(wù)數(shù)據(jù)管理體系規(guī)劃（組織架構(gòu)）相關(guān)要求表》《業(yè)務(wù)數(shù)據(jù)賬期統(tǒng)計清單》《審計報告模板》

《日志記錄模板》表》《數(shù)據(jù)使用申請表》《公共數(shù)據(jù)安全管理總則》《公共數(shù)據(jù)數(shù)據(jù)安全管理辦法》《公共數(shù)據(jù)全生命周期管理辦法》《數(shù)據(jù)接入/采集安全實施細

則》《數(shù)據(jù)傳輸安全實施細則》《數(shù)據(jù)傳輸接口安全管理規(guī)范》《數(shù)據(jù)脫敏操作指南》

《數(shù)據(jù)加密管理規(guī)范》

《數(shù)據(jù)使用申請規(guī)范》

《審批安全管理規(guī)范》

《對外數(shù)據(jù)輸出管理細

則》《數(shù)據(jù)安全問責(zé)規(guī)范》《數(shù)據(jù)分類分級指南》《合規(guī)性評估操作指南》

《風(fēng)險評估操作指南》《賬號與權(quán)限安全管理細

則》《日志審計手冊》《合作方數(shù)據(jù)安全管理細則》《數(shù)據(jù)安全審計操作規(guī)范》《數(shù)據(jù)安全事件應(yīng)急處置操作規(guī)范》《數(shù)據(jù)銷毀操作指南》

《數(shù)據(jù)備份與恢復(fù)管理規(guī)范》《數(shù)據(jù)安全基線掃描清《數(shù)據(jù)資產(chǎn)分類分級清單》《數(shù)