尧图网络 高端网站定制 · 原创设计
免费咨询热线
400-888-6620
免费获取方案
读数据安全架构设计与实践20安全政策文件体系(上)
1. 数据安全文件体系1.1. 数据安全文件体系即一系列管理、标准与规范、流程、指南、模板等文件的文档化记录1.2. 当企业开始规范化运作的时候特别是需要通过外部的认证、测评的时候文档化的文件体系就是必不可少的了1.3. 四层文件体系架构1.3.1. 政策总纲/实践框架属于该领域内的顶层文件1.3.1.1. 包括该领域工作的目标、范围、基本原则或政策方针​、组织与职责等授权各级组织按照设定的角色和职责动用组织资源来为目标服务1.3.1.2. 顶层文件不引用下层文件1.3.1.3. 属于治理的范围属于治理的三个元素之一1.3.2. 管理规定和技术标准/规范1.3.3. 操作指南/指引/流程1.3.4. 交付件模板、Checklist1.3.5. 属于合规管理的范围1.3.5.1. 主要职责1.3.5.1.1. 构建一套符合法律法规、监管要求、合同义务、行业最佳实践以及业务发展需要的政策文件体系1.3.5.1.2. 作为风险管理的输入和依据1.3.5.1.3. 基于外部环境如法律法规的变化、外部审计、认证/测评、业务变化、各种反馈优化调整政策文件体系1.3.5.1.3.1. “规”也不见得就完全是合理的也需要持续改进1.4. 能力成熟度标准通常可分为五级1.4.1. 第一级为临时的或不可重复的实践做法1.4.2. 第二级为可重复的实践做法1.4.3. 第三级为充分定义的政策、流程、控制措施并文档化发布1.4.3.1. 一般可以认为是及格线1.4.3.2. 从第三级开始要求具备相对完善的文档化的定义包括风险、控制程序要求、流程遵从等领域的严格定义并在实践和治理活动中遵从这些文件1.4.4. 第四级为可量化度量1.4.4.1. 可视为80分标准1.4.5. 第五级为基于度量、定期审计的反馈与持续改进1.5. 数据安全四层文件体系1.5.1. 数据安全政策总纲属于顶层文件一旦发布一般不会再轻易修改因为它规定了整个数据安全体系的目标、范围、各项基本原则数据分级分类、授权等是各团队赖以共同协作的纲领性文件1.5.2. 管理规定、技术标准/规范1.5.3. 操作类的流程/指南、技术类指引等文件1.5.4. 模板1.6. 标准、规范与管理规定的关系1.6.1. 如果标准里面每种场景都只有一种选择要求所有的业务都必须满足那就是“基线标准”​Baseline Standard​1.6.2. 在安全领域基线标准也可称之为“安全红线”​表示标准里面的要求没有商量的余地实践中不得低于基线标准1.6.3. 最低要求可视为“基线标准”​可以理解为“60分标准”​即及格线1.6.4. 介于最低要求和最高要求之间的标准可以理解为“80分标准”​1.6.5. 要求最为严格的部分可以视为“95分标准”​即最佳安全实践1.6.6. 内部的数据安全能力成熟度通过选定一批指标为每一个指标设定达到该级别应该具备的能力让各业务对照自检评价现状和差距并可以用柱状图或雷达图表示出来1.6.7. 标准就是解决“有什么组件或套餐可以提供”的问题1.6.8. 标准中并不直接规定最终的落地要求不直接作用于业务承接这一重要职能的文件就是规范了1.6.9. 规范就是适配业务场景的技术要求1.6.9.1. 在技术要求中可以决定选用什么标准来适配业务场景1.6.10. 标准比作备件库那么规范就是组装作业规程决定使用什么样的工具、备件以及组装过程1.6.11. 在技术规范无法覆盖的业务场景通常使用管理规定或管理要求​作为非技术性的控制手段降低风险如规定组装作业时必须佩戴安全帽1.6.12. 管理规定、技术规范都是为了降低风险而采用的控制手段在管理规定或技术规范中都可以引用某个内部标准1.6.13. 如果业务场景比较简单将管理规定、标准、规范合在一起也是没有问题的1.7. 外部法规转为内部文件1.7.1. 外部的法律法规、监管要求、行业标准、实践参考多种多样是无法直接在企业内部作为合规基线的1.7.2. 为了对内部安全进行规范化治理我们就需要把各种各样的外部要求转化为内部文件作为开展工作的依据1.7.3. 隐私保护领域严重依赖外部的法律法规而且如果涉及国际业务法律法规的种类、地域适配、条款要求非常多1.7.3.1. 需要寻求另外的方法来支持2. 数据安全政策总纲2.1. 政策总纲是数据安全治理的三个核心要素之一另外两个是战略、组织​奠定整个政策文件体系的基调。管理政策、安全标准以及技术规范是数据安全合规管理的主要交付内容2.2. 即数据安全领域的顶层文件可以将其看成是一个在管理层达成共识的授权令授权各级组织按照设定的角色和职责动用组织资源来为数据安全目标服务2.3. 数据安全以数据的安全收集、安全使用、安全传输、安全存储、安全披露、安全流转与跟踪为目标防止敏感数据泄露并满足合规要求2.4. 数据安全要保护的范围2.4.1. 各种结构化数据包括存放于数据库、缓存系统中的数据2.4.2. 非结构化数据是指数据结构不规则没有预定义的数据模型不便用二维表来表现的数据2.4.2.1. 包括各类文件如办公文档、文本、图片、音频、视频等2.4.3. 资源网络资源、计算资源、存储资源、进程、产品功能、网络服务、系统文件等2.5. 数据安全涉及的组织范围全体2.5.1. 数据安全不仅仅是安全团队的事情也需要业务的重度参与且业务才是业务数据安全的首要责任人2.6. 做安全有自上而下和自下而上两种做法2.6.1. 好的企业都是采取自上而下推动的模式2.6.2. 自下而上的模式安全往往不被重视项目推动困难2.7. 数据安全组织就是数据安全政策从制定到落地并持续优化改进的组织保障2.7.1. 是我们要推行数据安全政策需要哪些组织单元在企业里面通常为部门、工作组等协同工作各自的分工是什么样的各自承担什么样的职责2.8. 授权原则2.8.1. 授权是指对角色或人员的授权2.8.2. 仅授予相关角色或人员以完成业务工作所需的最小权限2.8.3. 在涉及敏感数据的权限时需考虑权限分离SOD, Separation of Duty2.8.3.1. 在一人承担多个重要角色时往往可能导致授权漏洞的发生2.8.4. 授权与行权分离负责审批权限的人不能执行即不能审批自己提交的权限或业务单据2.9. 数据保护原则2.9.1. 明确责任人应确定每个业务领域的数据安全责任人2.9.2. 基于身份的信任原则默认不信任企业内部和外部的任何人/设备/系统需基于身份认证和授权执行以身份为中心的访问控制和资产保护2.9.3. 数据流转原则数据流转包括但不限于数据共享给其他业务、数据流出当前安全域等应经过责任人审批2.9.4. 加密传输原则外网Web业务应采取全站HTTPS加密内网对重要的敏感数据加密传输2.9.5. 加密存储原则对敏感的个人信息、个人隐私、UGC数据、身份鉴别数据采取加密存储措施2.9.6. 脱敏展示原则当展示个人信息时应采取脱敏措施2.9.7. 业务连续性建立备份和恢复机制2.10. 数据安全外部合规要求2.10.1. 法律法规包括但不限于《网络安全法》​《个人信息安全规范》​、规划中的《数据安全法》​以及开展国际业务所涉及的数据保护法规2.10.2. 认证/测评要求如等级保护测评适用于CII关键信息资产2.10.3. 审计要求如适用于美国上市公司的SOX审计2.10.4. 监管要求来自特定行业金融、支付、证券、保险等的监管要求
RELATED

相关推荐

如何抽取实体间的关系?GLiFormer Large v1 联合关系抽取实战教程

如何抽取实体间的关系?GLiFormer Large v1 联合关系抽取实战教程

如何抽取实体间的关系?GLiFormer Large v1 联合关系抽取实战教程 【免费下载链接】gliformer-large-v1 项目地址: https://ai.gitcode.com/hf_mirrors/knowledgator/gliformer-large-v1 GLiFormer Large v1 是面向信息抽取的多任务大模型,支持联…

📅 2026/11/3 19:11:01
OpenWhispr 语音转文字听写指南:如何用全局热键把说话直接变成文字

OpenWhispr 语音转文字听写指南:如何用全局热键把说话直接变成文字

OpenWhispr 语音转文字听写指南:如何用全局热键把说话直接变成文字 【免费下载链接】openwhispr Voice-to-text dictation app with local (Nvidia Parakeet/Whisper) and cloud models (BYOK). Privacy-first and available cross-platform. 项目地址: https://g…

📅 2026/11/3 19:11:01
26个数据集、91%的F1:GLiFormer Large v1基准评测数据全解读

26个数据集、91%的F1:GLiFormer Large v1基准评测数据全解读

人工智能NLP大模型 【免费下载链接】gliformer-large-v1 项目地址: https://ai.gitcode.com/hf_mirrors/knowledgator/gliformer-large-v1 点击查看 免费下载 GLiFormer Large v1 是一个 5.756 亿参数的开源多任务信息抽取模型:一个 DeBERTa 编码器同时…

📅 2026/11/3 19:11:01
MORE NEWS

更多资讯

📰

PasteSpider:开发者必备的剪贴板管理工具

1. PasteSpider项目概述PasteSpider是一个轻量级的剪贴板管理工具,专为开发者和效率工作者设计。它能够自动记录用户复制的所有内容,并通过智能分类和快速检索功能,帮助用户高效管理剪贴板历史。与系统自带的剪贴板相比,PasteSpid…

📰

CCC数字钥匙标准CCC-TS-101深度解读:配对、权限与邮箱机制

简介:面向汽车电子与数字钥匙领域的技术人员、车厂研发及移动端开发者,这份《CCC数字钥匙标准3.0》Word版提供了Car Connectivity Consortium发布的Digital Key Release 3规范原文(CCC-TS-101,版本1.1.0,2022年BoD批准…

📰

Python构建智能共享充电宝管理系统实战

1. 项目概述:共享充电宝管理系统的现实需求去年夏天在商场亲历的一幕让我萌生了开发这套系统的想法:一位用户焦急地寻找归还点,而工作人员正手动核对设备状态。这种低效管理方式在2023年仍大量存在,这正是我们开发hx4412系统的初衷…

📰

单卡4090跑满血DeepSeek-R1:KTransformers部署实战与避坑指南

简介:这份PDF面向具备Python开发经验的研究员与工程师,聚焦DeepSeek-R1满血版模型在资源受限环境下的低成本高性能部署难题。内容系统梳理了强推理弱训练硬件配置、蒸馏模型、KTransformers与Unsloth动态量化等降本路径,重点讲解KTransformer…

📰

大模型系统性入门指南:从Transformer到微调部署的完整路线图

我一直觉得,“大模型系统性入门”这件事,最难的从来不是找不到资料,而是资料多到让人不知道该从哪本开始啃。市面上关于Transformer的讲解、微调教程、部署攻略,多得像超市货架上的泡面,口味五花八门,但真正…

📰

HarmonyOS图像处理优化:高精度头像裁剪实践

1. HarmonyOS图像处理的技术背景与挑战HarmonyOS作为新一代智能终端操作系统,其图像处理能力直接关系到用户体验。在移动设备上实现高精度图像处理需要克服三大技术难点:内存限制、计算资源分配和实时性要求。与传统Android系统相比,HarmonyO…

TODAY

今日更新

THIS WEEK

本周精选

THIS MONTH

本月热门

读完文章,想聊聊您的网站?

告诉我们您的行业与需求,资深顾问一对一梳理方案与报价,全程免费。

📞 💬