大数据的广泛应用，带来便捷的同时也伴随着隐患，如何确保数据和隐私的安全，国家已立法：《中华人民共和国数据安全法（草案）》，该法案规定了应对数据进行分级分类管理和保护，那么如何管控防护呢？请看数据能力成熟度模型DSMM的规定吧！

　　随着国家大数据发展战略的实施，“互联网+”行动的深入推进，大数据资源价值不断提升，电信、互联网、金融、政务、交通等领域相关的大数据应用也在蓬勃发展。这些大数据应用涉及的数据量大、种类多，同时又包含有很多用户相关重要数据。亟待国家出台数据安全方面的法规给予指引和管控，2020年6月28日，《中华人民共和国数据安全法（草案）》呼之欲出，自公布之日后，引起业界的广泛关注，不断有专家和企业开展数据安全法的解读，以下简称《数安法》。在本法中：

　　据是指任何以电子或者非电子形式对信息的记录。

　　数据活动，是指数据的收集、存储、加工、使用、提供、交易、公开等行为。

　　数据安全，是指通过采取必要措施，保障数据得到有效保护和合法利用，并持续处于安全状态的能力。

　　维护数据安全，应当坚持总体国家安全观，建立健全数据安全治理体系，提高数据安全保障能力。在数据的安全与发展方面，坚持维护数据安全和促进数据开发利用并重，以数据开发利用和产业发展促进数据安全，以数据安全保障数据开发利用和产业发展。推进数据基础设施建设，鼓励和支持数据在各行业、各领域的创新应用，促进数字经济发展。

　　根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者公民、组织合法权益造成的危害程度，应对数据实行分级分类保护。

　　大数据应用在不断发展创新的同时，由于数据违规收集、数据开放与隐私保护相矛盾以及粗放式“一刀切”管理方式等给大数据应用的发展带来严峻的安全挑战。那么，如何进行数据的分级、分类，采用什么样的安全控制措施保护呢？

　　大数据资源的过度保护不利于大数据应用的健康发展，数据安全成熟度以及数据分类分级的安全管控方式能够避免“一刀切”带来的问题，实现大数据应用与个人权益的有效平衡。

　　2020年3月实施的DSMM（Data Security Maturity Model）很可能会成为该《数安法》的具体落地标准和衡量指标，对于中国企业而言，以DSMM为数据安全治理思路方案选型，可以更好的实现数据安全治理的制度合规。

　　数据安全能力成熟度模型架构

　　DSMM将数据按照其生命周期分阶段采用不同的能力评估等级，分为数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全六个阶段。DSMM将数据安全成熟度划分成了1-5个等级，依次为非正式执行级、计划跟踪级、充分定义级、量化控制级、持续优化级，形成一个三维立体模型，全方位对数据安全进行能力建设和评估。

　　图1：DSMM数据能力成熟度模型

　　DSMM在数据生命周期的六个阶段，刻画出30个关键过程域，其中有19个专有的安全过程域和11个通用的安全过程域。

　　数据生命周期安全过程域

　　注：PA ：Process Area 过程域

　　1

　　数据采集安全

　　PA01数据分类分级；PA02 数据采集分类管理；PA03 数据源鉴别和记录；PA04 数据质量管理

　　2

　　数据传输安全

　　PA05 数据传输加密；PA06 网络可用性管理

　　3

　　数据存储安全

　　PA07 存储介质安全；PA08 逻辑存储安全；PA09 数据备份和恢复

　　4

　　数据处理安全

　　PA10 数据过敏；PA11 数据分析安全；PA12 数据正当使用；PA13 数据处理环境安全；PA14 数据导入导出安全

　　5

　　数据交换安全

　　PA15 数据共享安全；PA16 数据发布安全；PA17 数据接口安全

　　6

　　数据销毁安全

　　PA18 数据销毁处置；PA19 介质销毁处置

　　通用安全过程域

　　PA20 数据安全策略规划

　　PA21 组织和人员管理

　　PA22 合规管理

　　PA23 数据资产管理

　　PA24 数据供应链管理

　　PA25 元数据管理

　　PA26终端数据安全

　　PA27 监控与审计

　　PA28 鉴别与访问控制

　　PA29 需求分析

　　PA30安全事件应急

　　数据分级分类模型

　　图2：数据安全分类分级模型

　　根据数据安全分类分级模型，数据主要分类为：重要数据、个人及企业信息、业务数据，其相应的数据级别如下：

　　重要数据分级

　　1

　　第一级

　　数据受到破坏后会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

　　2

　　第二级

　　数据受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害。或者对社会秩序和公共利益造成损害但不损害国家安全。

　　3

　　第三级

　　数据受到破坏后。会对社会秩序和公共利益造成严重损害。或者对国家安全造成损害。

　　4

　　第四级

　　数据受到破坏后。会对社会秩序和公共利益造成特别严重损害。或者对国家安全造成严重损害。

　　5

　　第五级

　　数据受到破坏后，会对国家安全造成严特别严重损害。

　　个人及企业信息分级

　　1

　　低

　　保密：非授权用户获取个人信息数据对个人或群体等造成有限的不良影响。

　　完整：个人信息数据被非法授权修改和破坏对个人或群体等造成有限的不良影响。

　　可用：合法用户使用个人信息数据被不正当拒绝对个人或群体等造成有限的不良影响。

　　2

　　中

　　保密：非授权用户获取个人信息数据对个人或群体等造成严重的不良影响。

　　完整：个人信息数据被非法授权修改和破坏对个人或群体等造成严重的不良影响。

　　可用：合法用户使用个人信息数据被不正当拒绝对个人或群体等造成严重的不良影响。

　　3

　　高

　　保密：非授权用户获取个人信息数据对个人或群体等造成灾难性的不良影响。

　　完整：个人信息数据被非法授权修改和破坏对个人或群体等造成灾难性的不良影响。

　　可用：合法用户使用个人信息数据被不正当拒绝对个人或群体等造成灾难性的不良影响。

　　业务数据分级

　　1

　　低

　　保密：非授权用户获取业务数据对组织运营、组织资产等造成有限的不良影响。

　　完整：业务数据被非法授权修改和破坏对组织运营、组织资产等造成有限的不良影响。

　　可用：合法用户使用业务数据被不正当拒绝对组织运营、组织资产等造成有限的不良影响。

　　2

　　中

　　保密：非授权用户获取业务数据对组织运营、组织资产等造成有限的不良影响。

　　完整：业务数据被非法授权修改和破坏对组织运营、组织资产等造成有限的不良影响。

　　可用：合法用户使用业务数据被不正当拒绝对组织运营、组织资产等造成有限的不良影响。

　　1

　　高

　　保密：非授权用户获取业务数据对组织运营、组织资产等造成灾难性（的不良影响。

　　完整：业务数据被非法授权修改和破坏对组织运营、组织资产等造成灾难性的不良影响。。

　　可用：合法用户使用业务数据被不正当拒绝对组织运营、组织资产等造成灾难性的不良影响。

　　企业可基于上述公共分类、分级策略，结合自身业务合规需求实际，规划出自己的数据分类分级方法，建立组织/公司自己的数据分类分级原则和方法，将数据按照重要程度进行分类，然后在数据分类的基础上根据数据安全在受到破坏后，对组织造成的影响和损失进行分级。

　　在进行数据分类分级后需要有针对性地制定数据防护要求，设置不同的访问权限、对重要数据进行加密存储和传输、敏感数据进行脱敏处理、重要操作进行审计记录和分析等。

　　为了进一步介绍数据的分级分类管控，后续将分几期文章，引用《中国移动的大数据分级分类管控实施指南》进行介绍。如果想详细了解管控措施，可咨询报名益安的PDPF（1+2）课程，该课程不仅介绍欧盟的GDPR通用数据保护条例，还介绍了《数据安全法（草案）》和《个人信息安全规范》，同时可以考取EXIN PDPF证书。