数据安全体系化治理与实践分享 - 孙鹏亮_平安集团

数据安全体系化治理与实践分享

平安集团数据安全管理2022-10

国内监管趋严与内外部安全挑战

• 监管压力：数据安全治理面临日益严格的监管要求，相关法律法规和部门规章不断出台，包括《数据安全法》、《个人信息保护法》、《网络安全法》等。
• 内部管理问题：内部管理要求缺失，如员工违规处理、操作越权、制度流程缺失导致无章可循、管理责任不明确等。
• 外部安全挑战：外部供应商提供数据违法违规、合作方违反约定滥用泄露数据、外部攻击、黑产勾结等。

数据安全治理的核心差异

• 传统信息安全：关注防御和应急处置能力。
• 网络安全：强调网络空间主权。
• 数据安全：数据成为第五大生产要素，要求数据资产可视化、数据全生命周期动态保护、体系化、规范化治理，以及融合业务场景的差异化安全保护。

数据安全治理体系化与差异化

• 体系化：关注治理体系的构建和管理水平的评估。
• 差异化：根据不同的数据处理场景进行差异化保护。

国内外数据安全治理框架

• 微软DGPC框架：关注隐私、机密性和合规性。
• Gartner数据安全治理框架DSG：基于威胁建模与风险评估。
• 数据安全能力成熟度模型DSMM：涵盖战略层、战术层和操作层，形成制度规范、指导原则与策略，识别风险并采取控制措施。

数据安全治理体系

• 组织人员：建立负责人制，明确网络安全、数据安全、个人信息保护负责人。
• 制度流程：确制度促改进，识别差距，数字化驱动流程管理。
• 技术平台：数据分类分级、数据流监控、数据加密脱敏、数据外发归口监控与预警、风险自动处置、安全认证管控、安全度量与驾驶舱等。

敏感数据端到端保护

• 管控活动平台工具：包括敏感数据管理平台、风险流程管控平台、数据分类分级工具、数据访问溯源服务等。
• 核心平台工具：敏感数据管理平台（扫描/识别/脱敏/审批等）、风险流程管控平台、数据分类分级工具、文档溯源服务、数据访问溯源服务、数据代理重加密服务、DLP等。

数据分类分级

• 数据分类分级指引：建立流程，梳理资产，完善数据字典，明确分类分级策略。
• 解决方案：准备阶段、实施阶段、维护阶段，包括数据接入规则制定、数据标注复核优化、增量管理规则优化、策略维护变更管理等。

敏感数据加密安全改造案例

• 平台工具：员工端加解密服务平台、历史数据加密清洗工具、KMS加密机、秘钥管理加解密SDK、敏感数据管理平台、敏感数据地图、数据安全访问代理、应用数据库、大数据平台应用等。
• 技术实现：商用密码产品二级认证，KMS产品、硬件密码机，保障加解密合规、稳定、高效。

对外数据交换安全闭环管控案例

• 管理原则：事前申报审批、系统对接接口安全管理、非系统对接安全管理、自动化审计、合作方风险检视。
• 平台工具：风险流程管控平台、自动化审计、合作方风险检视、DLP邮件大文件数据外发申请、文件外发安全感知平台、员工风险看板、流量扫描平台、风险告警关联管控。

数据安全成熟度评估案例

• 评估方法：定期开展成熟度自评（半年或一年），更新成熟度评估指标，试点评估工具，里程碑。
• 评估矩阵：涵盖数据收集、数据传输、数据储存、数据处理、数据交换、数据销毁、通用安全等7个能力项，22个子项。
• 评估结果：试点机构平均成熟度等级，公司成熟度等级（预估）。