一文詳解：數(shù)字政府如何開展數(shù)據(jù)安全工作？

今天，我們?cè)诰W(wǎng)上辦事有多簡(jiǎn)單？

以前需多次現(xiàn)場(chǎng)辦理的，現(xiàn)在可能“最多跑一次”，甚至“一次都不用跑”了；很多事情可以“一網(wǎng)通辦”、“跨省通辦”；部分政務(wù)更是達(dá)到了可以“秒批、秒辦”的速度。

網(wǎng)上辦事如此便捷，得益于相關(guān)數(shù)據(jù)的共享交換和合理利用。然而，數(shù)據(jù)在給民眾和相關(guān)行業(yè)帶來便利的同時(shí)，由于其高度集中、共享開放，數(shù)據(jù)安全的隱患和風(fēng)險(xiǎn)也在陡然加劇。數(shù)據(jù)安全事件日益頻發(fā)，更給各級(jí)政府敲響了警鐘。

習(xí) 近 平 總 書 記近日在主持中央全面深化改革委員會(huì)第二十五次會(huì)議時(shí)強(qiáng)調(diào)，要全面貫徹網(wǎng)絡(luò)強(qiáng)國戰(zhàn)略，把數(shù)字技術(shù)廣泛應(yīng)用于政府管理服務(wù)，推動(dòng)政府?dāng)?shù)字化、智能化運(yùn)行，為推進(jìn)國家治理體系和治理能力現(xiàn)代化提供有力支撐。會(huì)議指出，要始終繃緊數(shù)據(jù)安全這根弦，加快構(gòu)建數(shù)字政府全方位安全保障體系，全面強(qiáng)化數(shù)字政府安全管理責(zé)任。

數(shù)據(jù)安全工作的重要性自然不言而喻，那么，各級(jí)政府單位的數(shù)據(jù)安全工作具體該怎么開展呢？對(duì)此，深信服結(jié)合思路與實(shí)踐兩個(gè)方面分享了幾點(diǎn)建議。

1 以公共數(shù)據(jù)安全作為數(shù)據(jù)安全的主要工作方向

什么是公共數(shù)據(jù)？公共數(shù)據(jù)指的是國家機(jī)關(guān)、事業(yè)單位，以及其他依照法律法規(guī)授權(quán)、具有管理公共事務(wù)職能或服務(wù)的組織，在依法履行公共管理職責(zé)或公共服務(wù)過程中收集和產(chǎn)生的數(shù)據(jù)。綜合各地?cái)?shù)據(jù)相關(guān)政策中的定義來看，公共數(shù)據(jù)的范圍很大，超越了過去的政務(wù)數(shù)據(jù)邊界定義。

相對(duì)于一般性的數(shù)據(jù)資源，公共數(shù)據(jù)的質(zhì)量和信息價(jià)值更高，不僅可以助力政府提供更高質(zhì)量的公共服務(wù)、讓企業(yè)和群眾辦事更方便，同時(shí)，還能提升政府的治理能力。由于包含大量個(gè)人隱私數(shù)據(jù)和政務(wù)重要信息，公共數(shù)據(jù)集中、統(tǒng)一管理后，數(shù)據(jù)安全問題更加突出，因此政府在數(shù)據(jù)安全工作開展過程中，以公共數(shù)據(jù)安全為核心工作范圍，能夠更好地保障數(shù)據(jù)安全。

2 以公共數(shù)據(jù)的業(yè)務(wù)場(chǎng)景作為安全規(guī)劃建設(shè)的主要切入點(diǎn)

傳統(tǒng)基于數(shù)據(jù)全生命周期流程的數(shù)據(jù)安全分析，能夠?qū)Π踩芰Ψ治龅酶油暾５洳蛔阍谟冢茈y將其與公共數(shù)據(jù)的相關(guān)業(yè)務(wù)場(chǎng)景和組織相結(jié)合。例如，到底該由哪個(gè)部門來負(fù)責(zé)數(shù)據(jù)采集安全？又由哪個(gè)部門來負(fù)責(zé)數(shù)據(jù)共享安全？

深信服認(rèn)為，公共數(shù)據(jù)安全建設(shè)應(yīng)當(dāng)以業(yè)務(wù)場(chǎng)景視角為切入點(diǎn)，這樣能更好地梳理出安全需求的范圍及邊界，從而更有效地匹配安全能力的建設(shè)和投入。主要場(chǎng)景有以下六類：公共服務(wù)場(chǎng)景、數(shù)據(jù)開發(fā)利用場(chǎng)景、跨部門共享交換場(chǎng)景、大數(shù)據(jù)基礎(chǔ)設(shè)施運(yùn)行維護(hù)場(chǎng)景、應(yīng)用開發(fā)測(cè)試場(chǎng)景、數(shù)據(jù)資源管理場(chǎng)景。

3 充分調(diào)動(dòng)組織內(nèi)三類“主力軍”的數(shù)據(jù)安全職責(zé)

我們可以把開展公共數(shù)據(jù)安全工作組織的角色分為兩類，一類是統(tǒng)籌與保障跨組織間數(shù)據(jù)共享交換安全的大數(shù)據(jù)資源管理部門，主要負(fù)責(zé)大數(shù)據(jù)平臺(tái)數(shù)據(jù)歸集后的數(shù)據(jù)安全及相關(guān)安全管理措施與標(biāo)準(zhǔn)規(guī)范建設(shè)等工作。另一類是各行業(yè)主管部門，負(fù)責(zé)統(tǒng)籌領(lǐng)域或組織內(nèi)的公共數(shù)據(jù)安全建設(shè)工作。

為了更好地保障跨組織間的公共數(shù)據(jù)流轉(zhuǎn)與利用，公共數(shù)據(jù)安全保護(hù)工作應(yīng)在大數(shù)據(jù)資源管理部門的統(tǒng)籌下充分協(xié)同。

在組織內(nèi)部，深信服認(rèn)為，具備數(shù)據(jù)資源管理職能、應(yīng)用開發(fā)測(cè)試職能及網(wǎng)絡(luò)安全管理職能的部門或團(tuán)隊(duì)?wèi)?yīng)作為“主力軍”，承擔(dān)主要的數(shù)據(jù)安全保護(hù)任務(wù)，其他部門則負(fù)責(zé)協(xié)同推進(jìn)。

其中，組織內(nèi)的數(shù)據(jù)資源管理部門需要統(tǒng)籌數(shù)據(jù)資源管理及數(shù)據(jù)安全管理的標(biāo)準(zhǔn)規(guī)范和管理措施，是數(shù)據(jù)安全管理的核心部門；在組織開展數(shù)據(jù)安全工作時(shí)，業(yè)務(wù)應(yīng)用側(cè)會(huì)有大量數(shù)據(jù)安全組件的開發(fā)集成工作，應(yīng)用開發(fā)測(cè)試部門扮演著非常重要的角色；網(wǎng)絡(luò)安全部門作為共性數(shù)據(jù)安全能力建設(shè)、運(yùn)行及安全運(yùn)營部門，負(fù)責(zé)對(duì)數(shù)據(jù)安全工作提供基礎(chǔ)共性支撐并持續(xù)開展風(fēng)險(xiǎn)監(jiān)測(cè)。

數(shù)字政府下的公共數(shù)據(jù)安全實(shí)踐

政府在具體的數(shù)據(jù)安全建設(shè)體系落地實(shí)踐中該怎么做呢？開展工作前，需要明確《數(shù)據(jù)安全法》、《網(wǎng)絡(luò)安全法》、《個(gè)人信息保護(hù)法》和等級(jí)保護(hù)2.0之間的關(guān)系。開展工作時(shí)，首先，建設(shè)單位需要結(jié)合具體的業(yè)務(wù)場(chǎng)景、數(shù)據(jù)屬性、合規(guī)適用等進(jìn)行需求分析。其次應(yīng)當(dāng)通過自上而下的治理模式構(gòu)建數(shù)據(jù)安全保障體系。

數(shù)據(jù)安全落地實(shí)踐“五步走”——

第一步：了解被保護(hù)數(shù)據(jù)資產(chǎn)，定義數(shù)據(jù)保護(hù)場(chǎng)景

在開展公共數(shù)據(jù)保護(hù)工作的初始階段，組織需要以職能范圍、業(yè)務(wù)發(fā)展方向、合規(guī)要求等作為輸入，明確需要保護(hù)的數(shù)據(jù)資源基本信息，如位置、類別等，確定數(shù)據(jù)保護(hù)涉及的業(yè)務(wù)場(chǎng)景，如：數(shù)據(jù)共享交換場(chǎng)景、大數(shù)據(jù)基礎(chǔ)設(shè)施運(yùn)行維護(hù)場(chǎng)景、數(shù)據(jù)資源管理場(chǎng)景等等，并可以通過梳理敏感數(shù)據(jù)的流轉(zhuǎn)過程，實(shí)現(xiàn)對(duì)應(yīng)場(chǎng)景下的數(shù)據(jù)安全風(fēng)險(xiǎn)與合規(guī)的需求分析。

第二步：構(gòu)建數(shù)據(jù)安全能力藍(lán)圖，進(jìn)行差距評(píng)估

在明確了涉及數(shù)據(jù)安全保護(hù)的場(chǎng)景后，就可以基于數(shù)據(jù)安全的總體目標(biāo)開展規(guī)劃設(shè)計(jì)，定義數(shù)據(jù)安全工作的能力藍(lán)圖、主要任務(wù)與重點(diǎn)工程。數(shù)據(jù)安全的能力藍(lán)圖是一種從能力視角對(duì)工作目標(biāo)進(jìn)行分解的框架，在藍(lán)圖的基礎(chǔ)上可以基于數(shù)據(jù)安全目標(biāo)開展現(xiàn)狀調(diào)研與差距分析工作，梳理組織現(xiàn)在的數(shù)據(jù)安全能力上的差距。

第三步：識(shí)別并明確數(shù)據(jù)安全保護(hù)責(zé)任部門

基于所定義的安全能力藍(lán)圖，可以進(jìn)一步分析這些場(chǎng)景下主要的責(zé)任部門，檢視各部門所具備的資源是否可以支撐數(shù)據(jù)安全目標(biāo)的達(dá)成。明確參與數(shù)據(jù)安全保護(hù)的部門，其目的是為了確保數(shù)據(jù)安全的需求可以分解至相關(guān)能力的部門來承接，比如：想要完成應(yīng)用的數(shù)據(jù)安全能力改造就需要由組織開發(fā)測(cè)試部門來參與；數(shù)據(jù)安全的運(yùn)營工作就需要由安全部門的運(yùn)營團(tuán)隊(duì)的職能來覆蓋。

數(shù)據(jù)安全部分組織職能責(zé)任示例：

第四步：開展數(shù)據(jù)安全制度、標(biāo)準(zhǔn)和技術(shù)措施的建設(shè)

按照重要性、成本、優(yōu)先級(jí)等多種因素推動(dòng)切合實(shí)際的工作落地。例如，推進(jìn)數(shù)據(jù)安全制度建設(shè)，一方面要推動(dòng)公共數(shù)據(jù)安全行政管理職能的落地，另一方面要加強(qiáng)數(shù)據(jù)安全標(biāo)準(zhǔn)的制定，從而在制度保障上對(duì)數(shù)據(jù)的管理、操作、維護(hù)做出規(guī)范，對(duì)數(shù)據(jù)安全風(fēng)險(xiǎn)進(jìn)行有效控制。當(dāng)然也可以基于實(shí)際的重點(diǎn)任務(wù)開展應(yīng)用數(shù)據(jù)安全技術(shù)措施建設(shè)、數(shù)據(jù)脫敏/去標(biāo)識(shí)化等技術(shù)能力建設(shè)。

第五步: 持續(xù)推動(dòng)數(shù)據(jù)資產(chǎn)的安全管理與數(shù)據(jù)風(fēng)險(xiǎn)的安全運(yùn)營

落實(shí)公共數(shù)據(jù)安全的常態(tài)化運(yùn)營工作，以數(shù)據(jù)資產(chǎn)安全管理為例，需要持續(xù)對(duì)公共數(shù)據(jù)資產(chǎn)進(jìn)行發(fā)現(xiàn)、分類分級(jí)、標(biāo)記等元數(shù)據(jù)管理工作，這些工作常常建立在數(shù)據(jù)血緣管理、數(shù)據(jù)唯一性管理、數(shù)據(jù)質(zhì)量管理等等數(shù)據(jù)治理活動(dòng)中。而數(shù)據(jù)分析安全運(yùn)營則如同網(wǎng)絡(luò)漏洞威脅監(jiān)測(cè)預(yù)警一樣，需要對(duì)存在可疑數(shù)據(jù)訪問權(quán)限、敏感數(shù)據(jù)泄漏等進(jìn)行持續(xù)性安全監(jiān)測(cè)與響應(yīng)，并基于問題持續(xù)推動(dòng)數(shù)據(jù)安全工作改進(jìn)。

總結(jié)

立足公共數(shù)據(jù)，以業(yè)務(wù)場(chǎng)景作為切入點(diǎn)，是未來引領(lǐng)、推動(dòng)政府?dāng)?shù)字化轉(zhuǎn)型的一個(gè)方向。

但目前，公共數(shù)據(jù)安全在國內(nèi)仍處于起步階段，以上思路與實(shí)踐更多從規(guī)劃視角出發(fā)。組織單位在開展數(shù)據(jù)安全工作時(shí)，仍需要結(jié)合實(shí)際的業(yè)務(wù)場(chǎng)景去進(jìn)行，用理論推動(dòng)實(shí)踐，用實(shí)踐來修正或補(bǔ)充理論，方能形成屬于自己的方法論和實(shí)踐經(jīng)驗(yàn)。

深信服數(shù)據(jù)安全解決方案基于《數(shù)據(jù)安全法》和《個(gè)人信息保護(hù)法》等法律法規(guī)的要求和實(shí)際的數(shù)據(jù)安全風(fēng)險(xiǎn)場(chǎng)景，通過人工智能和機(jī)器學(xué)習(xí)等先進(jìn)技術(shù)，為政府、教育、醫(yī)療等各個(gè)行業(yè)用戶提供面向業(yè)務(wù)場(chǎng)景的數(shù)據(jù)安全建設(shè)體系，讓數(shù)據(jù)使用變得更加合規(guī)、安全。

 雷峰網(wǎng)(公眾號(hào)：雷峰網(wǎng))