《数据安全法》倒计时 奇安信发布业内首个“数据安全能力框架”

我国首部与数据安全相关的法律《数据安全法》将于9月1日正式实施。随着DT（Data Technology）时代的到来，数据已成为数字经济发展的核心生产要素，是国家重要资产和基础战略资源。

尤其在网络攻击威慑上升、数据安全风险与日俱增的新形式下，数据安全已成为数字经济时代最紧迫和最基础的安全问题，加强数据安全治理已成为维护国家安全和国家竞争力的战略需要。

图 奇安信集团董事长齐向东在BCS2021讲解DT时代的复杂性挑战

大数据DT时代，数据应用场景和参与主体的日益多样化，数据安全体系建设必须抛弃传统的单点防御模式，而要采用全局治理的体系化建设思路。为此，奇安信集团于8月30日正式发布“数据安全能力框架”（简称：能力框架），以及“数据安全运行构想图”（数据安全ConOps），旨在为数字化转型不断深入的大型政企客户以及业内伙伴，提供基于甲方视角的数据安全全面图景，以及一条构建大数据安全体系的可行道路。

奇安信副总裁韩永刚表示，奇安信数据安全能力框架、ConOps及配套举措建议，是数据安全建设的一套思路、方法与工具，帮助用户去设计和构建业务场景的数据安全体系和解决方案，展现了“数据安全治理到技术体系落地如何去贯穿，以及安全能力在信息化各个层面的工程化落地方法”。

数据安全非单点技术

能力框架提供全面图景

基于大量的行业建设实践，奇安信总结出大数据安全建设的五条基本思路：

首先是数据安全并非单点技术，而是一个能力体系；

第二是数据安全与业务逻辑有更频繁的交互，更需要实现安全内生；

第三是数据安全治理成果需与数据安全策略相结合，即数据安全治理的成果，从管理办法制定到数据的分级分类，都需要与技术体系结合，才能指导安全建设，实现数据安全治理的技术与运营落地。

第四是“数据安全防护体系”需与“零信任架构”结合，做到“主体身份可信、业务访问行为合规、数据实体有效防护”。

最后是双视角的数据安全全流程防护，将数据生命周期视角与业务流转视角相结合，进行数据流转的精准控制。政企客户要构建这样综合的数据安全体系，显然需要一套能力框架进行指引。

图 数据安全能力框架

奇安信推出的能力框架，是基于甲方视角、针对数据安全领域的全面图景。该框架以数据安全治理体系的理论为逻辑推演依据，同时参考结合了Gartner DSG、DSMM、微软DGPC中的有效的思路，保证数据安全建设的先进性；覆盖数据安全治理体系的每一个阶段，保证建设的有序性；覆盖数据实体防护的全能力，确保数据的安全可控。

能力框架的纵轴从数据安全管理、技术和运行视角，覆盖数据安全治理每一个阶段；横轴从数据实体防护角度出发，从基础环境安全、身份安全与访问控制 数据保护、监测与响应、审计定责，到数据备份恢复，覆盖数据实体防护的全能力。

韩永刚强调，能力框架一是解决了如何从数据安全治理把数据安全策略层层具象化落实到具体产品能力的拉通方法问题；二是回答了在兼顾多重典型数据应用场景下在政企信息化环境中，什么区域需要哪些数据安全能力与产品部署的问题。

数据安全全流程防护需要基于数据脉络做精准管控，同时结合数据全生命周期的安全防护。其中精准管控需要根据数据脉略，结合零信任架构和数据安全治理的成果（如分类分级、数据标签，数据目录，资源属性等），动态评估主体的数字身份、安全状态和信任等级，实现对客体资源的精准控制访问；结合数据全生命周期，对数据实体做全方位的防护（如采集要过滤敏感数据，存储安全加密，使用精准管控、访问留痕交易采用数据沙箱等）。

奇安信数据安全能力框架中的每一个元素都是一种数据安全的能力组件，是数据安全治理与数据防护形成的交织点，每个组件代表着数据安全在不同阶段、不同层面所需要的安全能力。能力框架共包含567个能力组件，不同行业可结合自己的业务特点进行适当的能力选择，在数据安全的体系建设与运行过程中，将其有序的分布到每一层次里，进行相应的数据安全的管控与防护。这些组件结合起来，可实现弹性扩展、自适应和自生长，满足政企客户不断变化的数据安全需求。

数据安全ConOps

贯穿治理先行、规划设计到技术落地

为使政企机构能更容易理解，数据安全的有效运转是从策略到流转，再到应用组件控制与网络计算环境的多层次结合的复杂系统，奇安信基于系统工程的方法，从数据安全运行视角，以新型数据中心的业务场景为依托，基于业务到技术实现的层次化视角，设计了数据安全ConOps。

图 数据安全ConOps（以抽象脱敏的“健康码”为示例）

数据安全ConOps呈现了数据安全应具备的三个状态：

治理态、规划态和运行态，

体现出数据安全从治理先行到规划设计、技术落地的转化过程。数据安全治理需要与技术体系相结合进行落地。

数据安全ConOps分为四个层次：

自下而上分别为是--数据中心和信息化层、业务应用和安全能力层、数据流转与管控层、数据安全策略层。

这四个层次从支撑到抽象，涵盖了产品部署、应用能力、业务流转、逻辑规则四个层次，分别对应能力框架中的产品策略、能力策略、管控策略和业务策略，ConOps和能力框架结合，更直观的为客户提供数据安全全局治理的体系化建设思路。

除了发布数据安全能力框架和ConOps之外，奇安信还建议：面对大数据应用的数据安全防护，政企机构应基于数据应用场景、业务逻辑与数据的流转，从“管理、技术、运行”来开展数据安全的治理与防护工作，以数据安全治理为前提，在进行数据安全组织建设、制度建设与数据资产梳理及分级分类的前提下进行数据安全防护设计，并通过数据安全态势感知进行数据安全运营，从数据资产管理、数据流动态势、数据风险分析、用户行为分析等维度，促进数据安全治理的闭环形成，对数据安全能力进行持续演进。 

分析人士认为，奇安信发布的“数据安全能力框架”与ConOps，适合了数据安全与业务逻辑不断深度交互的趋势，更深刻体现内生安全理念，可帮助在数字化转型上不断深入的大型政企客户，以及业内伙伴，在大数据安全体系的构建上，提供更加清晰的全局思路，以及更具实操的完整方法和工具。