DSMM評估的關(guān)鍵要素

DSMM評估受數據價(jià)值、合規要求、組織發(fā)展等多方面驅動(dòng)，各方面都有數據安全工作關(guān)注要素。根據我們在政務(wù)、金融等多個(gè)領(lǐng)域的評估實(shí)踐來(lái)看，DSMM評估的關(guān)鍵要素主要由以下幾個(gè)方面構成：

? 要素一：能力建設目標

DSMM評估要確定建設目標，即數據安全能力成熟度級別。

DSMM定義了數據安全能力的5個(gè)級別。L1級為隨機、無(wú)序、被動(dòng)地執行全過(guò)程，完全依賴(lài)于個(gè)人經(jīng)驗，無(wú)法復制；L2級為計劃跟蹤級別，適合多數企業(yè)數據安全能力建設的申請級別；L3級為充分定義級，要求足夠的數據安全團隊保障、完善的制度流程和專(zhuān)業(yè)的技術(shù)工具，在人力、物力、財力等方面投入要遠高于L2級，適合具有較高數據安全實(shí)踐水平的企業(yè)組織申請；L4級為量化控制級，適合在數據安全領(lǐng)域建設水平lingxian的企業(yè)組織申請；L5根據企業(yè)組織的整體目標，不斷改進(jìn)和優(yōu)化組織能力和數據安全過(guò)程。

? 要素二：數據資產(chǎn)范圍

數據資產(chǎn)是為組織產(chǎn)生價(jià)值的數據資源，是指可以提升企業(yè)組織效益、提高管理水平或通過(guò)出售、租賃數據的方式獲得經(jīng)濟收益。

核心業(yè)務(wù)數據、敏感數據、密鑰資產(chǎn)數據等重要數據應納入數據資產(chǎn)評估范圍。對于有些企業(yè)組織，業(yè)務(wù)系統未進(jìn)行集成化管理，具備幾十甚至上百個(gè)系統，大大增加了DSMM評估企業(yè)的整改成本，在明確數據資產(chǎn)范圍過(guò)程中，可暫不納入輔助業(yè)務(wù)系統。評估人員有義務(wù)幫助企業(yè)組織平衡業(yè)務(wù)系統數據安全整改成本與數據資產(chǎn)收益。

? 要素三：數據安全風(fēng)險

在DSMM評估工作過(guò)程中，評估人員應幫助企業(yè)組織對自身數據資產(chǎn)的業(yè)務(wù)系統在數據的采集、傳輸、存儲、處理、交換和銷(xiāo)毀過(guò)程，梳理數據安全風(fēng)險點(diǎn)，并記錄所有風(fēng)險點(diǎn)，全面掌握企業(yè)組織的數據安全能力現狀與建設目標的差距。

▲數據安全風(fēng)險分布

為了更好地識別數據安全風(fēng)險，有效有條不紊地通過(guò)數據安全能力成熟度，評估人員應熟練掌握GB∕T 《信息安全技術(shù) 數據安全能力成熟度模型》、GB∕T 《信息安全技術(shù) 大數據服務(wù)安全能力要求》等技術(shù)框架，以及《中華人民共和國網(wǎng)絡(luò )安全法》、《中華人民共和國數據安全法》和《中華人民共和國個(gè)人信息保護法》等上位法，必要時(shí)應對企業(yè)組織所屬行業(yè)規范、合規要求進(jìn)行了解。

? 要素四：數據安全意識

評估人員具備豐富的數據安全風(fēng)險意識是DSMM評估工作的前提。評估人員需要幫助企業(yè)組織依據數據安全風(fēng)險，根據數據流轉過(guò)程、企業(yè)組織運作方式，形成數據安全風(fēng)險知識庫。依據知識庫，企業(yè)組織數據安全法律法規、數據泄漏案例等培訓，提高員工數據安全風(fēng)險意識。

? 要素五：數據安全團隊

，要素三至要素五在DSMM評估過(guò)程中存在很多主觀(guān)內容，評估人員的專(zhuān)業(yè)度、經(jīng)驗積累和引導能力非常重要。