基于DSMM的数据安全评估方案设计研究

任兴 王英杰 李冰

关键词：数据安全；数据安全评估；数据安全策略；数据安全治理；能力成熟度模型

0 引言

随着信息技术的发展，通过网络收集、存储、传输、处理等方式产生的各种数据迅猛增长，并成为重要的市场经济要素，但开展数据应用的同时也面临着诸多安全隐患，数据安全与否已成为数据应用成败的关键。为了确保数据的保密性、完整性和可用性，需要评估其数据安全能力，并采取相应的措施来保护数据[1]。

基于GB∕T 37988-2019《信息安全技术 数据安全能力成熟度模型》国家标准的相关要求，通过数据安全能力成熟度模型（以下简称DSMM） 量化和评估不同方面的能力指标[2]，详细了解数据安全现状，定位数据安全能力短板，建立数据安全治理体系。因此，数据安全能力评估已成为发展数据安全的重要组成部分。

1 DSMM 的基本概念

1.1 DSMM 概述

DSMM是基于成熟度模型的思想，用于衡量组织在数据安全方面的能力水平。它由一系列能力层次和指标组成，每个层次和指标都代表了不同的数据安全能力水平。通过评估各个指标的实际情况，可以判断组织在数据安全方面的成熟度水平。

1.2 DSMM 构建过程

DSMM构建包括确定能力层次和指标、制定评估方法和工具以及确定评估标准和指南。在构建过程中，需要综合考虑组织的需求和实际情况，确保模型的适用性和有效性。

2 數据安全评估方案设计

2.1 确定评估流程

1） 评估准备阶段，主要开展数据安全评估的前期准备工作，准备评估相关的过程文件，制定具体的评估计划等工作。

2） 现场评估阶段，主要开展数据资产梳理、制度收集、过程域裁剪、人员访谈、资料审查、系统测试等工作。

3） 评估分析阶段，负责分析整理现场评估阶段的输出物，逐项对照DSMM指标要求，进行综合评定，输出不符合项以及对应的提升建议。需要满足个人信息保护和数据保护的法律法规、标准等要求和满足相关方的数据保护要求，以及通过技术和管理手段，保证自身控制和管理的数据安全风险可控[3]。

4） 报告编制阶段，负责进行评估内容的审核、报告编写、报告评审以及结果汇报等工作。

2.2 确定评估范围和指标

2.2.1 评估范围

基于DSMM的数据安全评估主要是按照组织机构的数据资产生命周期过程，对组织建设、制度流程、技术工具以及人员能力四个能力维度进行评估。评估范围如图1所示。

2.2.2 评估指标

评估指标是用以评估数据安全目标实现程度的数据安全相关活动和过程的单位，基于评估内容确定评估权重并赋予分值，定义详细评估指标[4]。

1） 数据安全能力维度

①组织建设：设立数据安全组织，明确职责、权限、标准、各相关人员进行沟通协作。

②制度流程：建立数据安全的行为规范和执行流程。

③技术工具：数据安全生命周期涉及的技术工具，是独立的功能、算法技术或工具。

④人员能力：利用相关技术工具，对组织业务运营过程中的数据安全风险进行监测、识别、预警和处置的能力。

2） 数据安全过程维度

数据安全过程维度是由30个过程域组成，覆盖了数据的全生命周期管理范围，包括数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全以及通用安全过程域[2]。

①数据采集安全：系统内部生成的数据以及从外部采集的数据，并保证数据采集阶段的安全。

②数据传输安全：数据在组织机构内部从一个实体通过网络流动到另一个实体的过程的安全。

③数据存储安全：数据以任何数字格式进行存储的阶段的安全。

④数据处理安全：对组织内的原始数据进行整理、清洗、转换、分析和可视化等操作阶段安全[5]。

⑤数据交换安全：组织内部进行数据交换的阶段的安全。

⑥数据销毁安全：对数据及数据存储介质通过相应操作手段，使数据在彻底删除后无法通过任何手段恢复的过程安全。

⑦通用安全：数据合规等贯穿整个数据生命周期的过程安全。

3） 详细评估指标

2.3 开展评估实施

2.3.1 准备工作

通过线上远程交流和网上信息调研的方式，详细了解评估对象的数据安全能力建设情况。准备评估项目所需材料，就评估项目有关事项进行确认。

2.3.2 现状调研

对评估对象进行深入了解和分析，在数据全生命周期的各个阶段中识别重要数据资产，主要工作内容包括：

1） 系统分析：了解重要信息系统情况，从业务角度、系统角度、数据角度描述信息系统功能、架构、流程及供应链情况，明确系统涉及的部门、人员以及相关的管理制度和制度落实情况。

2） 数据梳理：识别重要数据（包括隐私类数据），数据业务属性、表现形式、存储位置等。

3） 现有制度收集：数据安全相关的制度体系文件，是否覆盖生命周期管理；数据安全工作的落地执行情况，是否有相关制度文件的记录性文档等。

4） 过程域裁剪：依据实际业务情况，在数据生命周期的30个过程域中，对不适用的过程域进行裁剪。

2.3.3 开展评估

1） 人员访谈

对相关人员进行访谈，以促进对被评估单位数据安全能力管理情况的分析与了解，掌握业务基本情况，结合其他评价方法和手段，对访谈了解掌握的信息进行验证，以确定实际的运行现状。包括以下内容：

了解被评估单位对数据安全的看法及要求，明确数据安全建设目标。

了解被评估单位数据安全建设现状及存在的问题。

了解平台建设、运维管理中的数据安全现状及存在的问题。

了解被评估单位数据日常运营，使用流程的现状及存在的问题。

了解工作人员、支撑厂商人员在数据安全方面的日常行为及安全意识的现状。

2） 文档查阅

由被评估单位提供其与数据安全相关的电子材料和文档材料（数据安全顶层规划、数据安全方针策略、数据安全制度规范、数据安全审批流程、数据安全培训教材以及数据安全产品技术相关的技术方案、配置策略、部署方式、日志记录、执行表单等），评估人员审核相关文档材料是否涵盖适用的数据全生命周期所涉及过程域的相关具体要求。

3） 配置检查

依据被评估单位所提供的技术材料，登录相关的系统平台，检查其配置属性是否符合相应的安全要求，是否与技术材料保持一致。配置检查主要包括以下内容：

是否使用服务最小化原则，是否关闭不必要的服务和端口。

内、外网之间、重要的网段之间是否进行了必要的隔离措施。

防火墙配置策略是否正确。

入侵检测设备配置策略是否正确。

各种设备配置中是否存在不安全因素。

是否存在僵尸账户。

权限分配是否合理。

是否有完善的日志审计策略是否完善。

备份/恢复策略是否完善。

4） 工具测试

利用专业的数据安全评估工具箱对系统平台进行测试，验证其是否有数据安全相关的漏洞，其数据安全策略是否配置合理，是否符合数据安全能力成熟度的技术要求。

①漏洞扫描

利用专业扫描工具检查平台系统的脆弱性，从而识别能被入侵者用来非法入侵的系统漏洞。扫描内容包括：

信息收集，識别主机与受限主机。

发现和漏洞扫描，全面的端口扫描，服务和应用程序的指纹识别。

扫描系统是否存在了弱口令的情况。

②渗透测试

渗透测试用于识别可能被利用的安全漏洞。主要目标是防止未经授权地访问、更改或利用系统。渗透测试针对已知的漏洞或跨应用程序发生的常见模式，不仅发现软件缺陷，还发现网络配置中的弱点。

5） 旁站验证

评估人员在现场通过实地观察评估对象的相关人员的操作过程、技术设施和环境状况判断人员的安全意识、业务操作、执行流程等方面的安全情况。

2.4 编制评估报告

通过分析整理现场评估输出物，对照评估指标要求进行评定，提出不符合项以及对应的提升建议，并编制评估报告《数据安全评估报告》，内容包含：评估范围、评估方式和周期、评估过程记录、评估结论。

3 结束语

本论文提出了基于DSMM的数据安全评估方案设计，该方案通过评估组织在数据安全能力方面的成熟度水平，帮助组织全面了解其数据安全现状，并提供改进建议，为后续制定改进策略提供依据。