数字政府建设中的数据应用安全机制研究＊—基于数据安全能力成熟度模型应用视角

黄 勇 刘琳琳 陈逸辉 张 迪 张 伟

（大连海关，辽宁大连 116001）

0.引言

数据安全正随着全球数字化转型步伐的加快而凸显出越来越重要的地位，数据安全在维护国家经济和信息安全中占有重要位置。数字政府建设中的数据时刻面临着巨大的管理风险和安全威胁[1]，《中华人民共和国数据安全法》[2]在数据安全管理制度和安全应用方面提出了明确要求，“国家机关应当依照法律、行政法规的规定，建立健全数据安全管理制度，落实数据安全保护责任，保障数据安全”。2022 年6 月24 日国务院印发的《关于加强数字政府建设的指导意见》中强调，在构建数字政府全方位安全保障体系方面，强化安全管理责任，落实安全制度要求，提升安全保障能力，提高自主可控水平，筑牢数字政府建设安全防线。因此，在数字政府建设中，建立健全数据应用安全机制成为重中之重。

1.数据安全能力成熟度模型的基本原理

《信息安全技术 数据安全能力成熟度模型》（GB/T 37988-2019）[3]将数据安全能力成熟度划分了1 ～5 个等级，依次为非正式执行级、计划跟踪级、充分定义级、量化控制级、持续优化级，将数据按照其生存周期分阶段采用不同的能力评估等级，分为数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全6 个阶段。在各个阶段内，从组织建设、制度流程、技术工具和人员能力等四个能力维度进行综合评估。

在此基础上，数据安全能力成熟度模型将上述6 个生存周期进一步细分，划分出30 个过程域，这30 个过程域分别分布在数据生存周期的6 个阶段，部分过程域贯穿于整个数据生存周期。数据安全能力成熟度模型在充分定义级对数据正当使用要求如下：（1）组织建设，组织应设立相关岗位或人员，负责对数据正当使用管理、评估和风险控制。（2）制度流程，一方面，应明确数据使用的评估制度，所有个人信息和重要数据的使用应先进行安全影响评估，满足国家合规要求后，允许使用。数据的使用应避免精准定位到特定个人，避免评价信用、资产和健康等敏感数据，不得超出与收集数据时所声明的目的和范围。另一方面，应明确数据使用正当性的制度，保证数据使用在声明的目的和范围内。（3）技术工具，一方面，应依据合规要求建立相应强度或粒度的访问控制机制，限定用户可访问数据范围；另一方面，应完整记录数据使用过程的操作日志，以备对潜在违约使用者责任的识别和追责。（4）人员能力，负责该项工作的人员应能够按最小够用等原则管理权限，并具备对数据正当使用的相关风险的分析和跟进能力。

2.数字政府建设中数据应用安全存在的主要问题

参照数据安全能力成熟度模型“充分定义级”，通过调研评估，从组织建设、制度流程、技术工具和人员能力4 个维度，查找目前数字政府建设中存在的数据安全问题。

2.1 组织建设不健全

（1）组织架构缺乏顶层设计，未形成统一的、自上而下的数据安全治理组织架构，单位内部数据应用和数据管理的职能较为分散且不够明确。（2）部分岗位职责不清晰，部分数据管理重要过程未指定专人管理，也未指定业务人员参与管理工作。

2.2 制度流程不完善

（1）制度流程未形成体系化，制度办法等一级、二级文件较多，规范、流程、记录等三级、四级文件较少；（2）制度流程内容不完整或缺失；（3）制度流程内容与建设目标之间存在差距。

2.3 技术工具不完备

（1）部分技术工具和技术措施缺失，无法保证相关工作的有效执行；（2）工具设备间联动性不足，不能最大限度发挥整体效能。

2.4 人员能力不足

（1）人员理解能力不足，在业务理解和依据业务特性进行解读实施上，存在能力不足问题；（2）风险识别能力不足，对于可能存在的风险了解不足，无法采取及时有效的措施规避风险。

3.数字政府数据应用安全机制的构建

着眼于数字政府建设中的实际情况，构建一整套数据应用安全机制，包括“数据安全责任机制”“数据安全制度流程体系化运作机制”“数据安全技术工具联动机制”和“数据安全人员技能培训机制”。首先，建立上下联动的数据安全组织架构，明确各层级的数据安全职责，建立数据安全责任机制；其次，依据职责分工，对数据安全管理制度流程进行体系化建设，建立动态运作机制；再次，通过技术工具之间的协同和联动，对数据全生存周期流转进行监测和防护，也为数据安全风险评估提供输入[4]；最后，建立数据安全人员技能培训机制，为数据安全建设提供强有力的保障，以进一步巩固和完善数据安全建设工作。各个机制之间相互协调，又层层推进。

3.1 建立数据安全责任机制

数据安全组织建设是数据安全治理体系建设、实施的最关键问题之一，直接关系到体系建设的成败。

在具体组织架构上，首先以当前网络安全管理架构为基础，确定数据安全管理的组织架构，且架构中至少包括决策层、管理层、执行层、参与层和监督层几个主要层次，以确保各项工作职责分工明确，工作执行过程相互协调、制约。

在具体权责划分上，以数据安全决策方、数据安全管理方、数据运营方、数据所有方及数据使用方等角色的职责描述为参考，结合自身组织架构设置情况，根据下属各级部门及参与人在不同场景下担任的角色差异，通过角色映射方式进行权责分配，明确数据安全责任到各部门及个人。

3.1.1 确定数据安全组织架构（见图1）

首先，数据安全管理应采取“一把手负责制”，在现有组织架构基础上成立“数据安全领导小组”，由各部门主管领导及数据安全官担任组员，领导小组将负责确定数据安全管理要求，定期听取数据安全工作汇报，并指导、监督数据安全管理工作。其次，由数据安全领导小组指派高层管理人员作为各运行单位数据安全的负责人，并组建数据安全管理团队，各运行单位应全面落实数据安全责任制，根据具体工作职责划分层层落实。再次，由数据安全管理团队负责指导组建数据安全管理执行团队，负责各自职责范围内数据安全的治理、建设、监测、运营及技术支撑，管理团队应明确管理要求、编制数据安全管理规范及标准，用于指导数据安全执行团队有序、合规地开展工作。之后，对全部工作的参与者，包括各单位内部员工及外部合作相关方人员，定期开展数据安全宣传教育工作，对专业的技术人员开展数据安全专业技能培训，对关键岗位人员要求其通过权威的认证，以保证其有能力完成其所承担的工作。最后，各单位根据自身实际情况，建立自上而下的监督、评价机制，建立自下而上的反馈、汇报机制。在数据安全决策层的指导下，由数据安全管理方组织数据所有方、数据运营方，定期开展数据安全检查，同时做好常态化检查，发挥日常监督检查的重要作用。各层级也应定期主动开展自查，进行经常性的安全排查，查隐患、找漏洞、补短板。

图1 数据安全组织架构

3.1.2 明确数据安全角色权责划分

“数据安全领导小组”是数据安全的决策方，是各单位数据安全决策层的角色体现，履行数据安全的最终决策、监督及指导职能。数据安全管理方是各单位数据安全管理层的角色体现，履行数据安全的制度要求制定、数据安全保护建设落实、数据安全监督检查评价等职责。各运行单位应基于自身实际组织架构，将数据安全管理相关职能落实到具体部门及个人。数据所有方是各单位数据安全执行层的角色体现之一，是各自责任范围内数据的主管部门及最终责任方，履行数据安全的资产梳理定级、安全管理要求、数据使用及管理审批授权等职责，并配合数据安全管理方完成数据安全保护及检查评估工作。数据运营方是各单位数据安全执行层的角色体现之一，履行各自责任范围内数据的技术保护措施使用、数据安全控制策略设定、数据安全运维管理及数据安全应急处置等职责，并配合数据安全管理方完成数据安全保护及检查评估工作。数据使用方是各单位数据安全参与层的角色体现，履行所持有、使用、操作数据的安全保护责任，并配合数据安全管理方、数据运营方完成数据安全保护及检查评估工作。

3.2 建立数据安全制度流程体系化运作机制

以现有网络及数据安全管理制度为基础，通过完善一级文件、二级文件、三级文件和四级文件，建立健全数据安全制度流程体系，并动态运作。

结合现状，制定《数据安全管理办法》作为一级文件，对数据安全管理提出总体要求，明确依据文件、适用范围、管理目标、保护对象、组织架构、部门职责、管理内容等。二级文件依据一级文件的内容进行制定，形成以《数据采集安全管理办法》《数据传输安全管理办法》《数据存储安全管理办法》《数据处理安全管理办法》《数据交换安全管理办法》《数据销毁安全管理办法》《数据通用过程安全管理办法》和《数据安全风险评估管理办法》为主的二级文件，二级文件将一级文件中明确的管理内容进行细化，提出具体的管理要求，为各类数据活动提供制度依据。三级文件依据二级文件的内容进行编制，对数据生存周期各数据操作进行规范。四级文件对各数据操作的过程和结果进行记录，并保存和归档。所有文件的上级文件内容若发生修订、更新，则自身内容也相应进行调整，形成动态的体系化运作机制。

3.3 建立数据安全技术工具联动机制

整个数据安全技防体系框架（见图2）分为4 个部分，分别为数据安全监管中心、数据安全技术工具、数据安全技术措施和各场景数据生存周期保护。

图2 数据安全技防体系框架

数据安全监管中心为整个框架的核心，负责监控采集和策略下发。各类数据安全技术工具应统一接受数据安全监管中心的策略下发，确保各中心数据安全策略执行的一致，并将运行信息及日志记录统一、实时上传给数据安全监管中心，供数据安全管理及风险分析。

数据安全技术工具包括但不限于数据资产管理工具、数据源鉴别工具、数据存储管理工具、过期数据管理工具、数据发布系统工具、数据接口管理工具、数据销毁工具、密钥管理工具、数据供应链管理工具、元数据管理工具、数据防泄漏监控工具、数据安全需求分析系统和数据安全事件管理工具等。数据安全技术工具之间应建立紧密的协同联动机制，结合数据安全技术措施，更好地对各场景数据生存周期进行保护。

数据安全技术措施包括但不限于缓存数据清理技术、个人信息泄露防护技术、数据脱敏方案、数据传输加密技术、合规资料库、重要数据防护技术、终端数据安全技术、数据存储加密技术、身份鉴别技术、访问控制技术和安全审计技术等。数据安全技术措施应与数据安全技术工具进行协同，支撑各场景数据生存周期保护。

各场景数据生存周期保护包括但不限于数据采集保护、数据传输保护、数据存储保护、数据处理保护、数据交换保护和数据销毁保护等。

3.4 建立数据安全人员技能培训机制

人是数据安全建设中最重要的因素，一切数据安全管理规范、技术措施都是以人为基础，加强对人员的教育往往能解决管理及技术手段无法解决的问题。在人员能力培养方面，应从全员教育、制度宣贯及专业人员培训认证3个层面进行全方位的人员培训。

对于数据安全管理中的专业人员，比如数据安全管理专责人员、数据安全管理的执行人员、第三方供应商参与建设及管理人员等，均应在项目早期阶段就开始进行系统化的数据安全治理培训，以便更好地配合数据安全防护体系建设。

对于全体数据安全的参与者，比如数据的操作者、数据的一般管理者、参与数据分析处理的第三方合作伙伴等，均应在项目中期阶段，即数据安全管理体系建立起来后，开展数据安全管理体系宣贯培训，以便在数据安全管理及技术措施落地后能够充分配合具体的管理要求，避免不必要的误操作。

对于各单位的全体员工及相关第三方人员，比如普通工作人员及参与者，可定期开展数据安全意识教育培训，以提升全员的网络及数据安全意识，纠正工作、生活中的不良习惯，进而促进数据安全整体水平。

4.结语

数字政府建设离不开创新，创新必须牢牢守住数据安全底线。随着物联网、云计算、大数据等新一代信息技术的加速发展，数据应用场景更加丰富，应用领域更加广阔，应用价值更加凸显，数据已经成为国家基础性战略资源和生产要素，关系国家安全与经济社会发展，其安全管理形势也更加严峻。科技战线的工作者必须以习近平新时代中国特色社会主义思想为指导，牢固树立总体国家安全观，严格数据管理，始终把数据应用安全贯穿到数字政府建设中数据应用的各领域和全过程，持续加强信息化项目建设规范和政务数据管控，努力走好数字产业化和产业数字化之路。