腾讯安全首发企业级「数据安全能力图谱」

当前数字化发展，无论是国家机关、企事业单位，还是普通自然人，对数据安全的关注和重视都是空前的，可以说数据安全是当前的热门话题、共性话题。国家、地方、企事业内部都在不断的完善相关法律法规和审计机制，提升自身的数据安全防护能力。

在数据安全体系建设时

你可能面临的困惑

1. 当前所管理的数据资产是否与实际资产相符，敏感数据都在哪里有，都在被谁访问；
2. 已建设有部分安全产品，并进行了相应的策略配置，不清楚做的够不够；
3. 清楚数据的重要性，有意识整体提升数据安全防护能力，但不知道如何开展，如何迭代；
4. 数据安全相关制度已具备一些，不知道是否还有遗漏，不知道贯彻执行情况如何，怎么稽核；
5. 平台建设方、运维方可能是同一团队，担心未来数据被滥用，如何形成制约；
6. 现有的运行状况都存在哪些泄漏点、风险点，影响有多大；
7. 知道数据安全投入是持续的，但还是想尽量避免重复投入，通过利旧、精准投入而实现降本增效。

为了使企事业单位在开展数据安全体系建设时有所参照，解决建设前、中、后的顾虑和困惑。通过调研数据安全领域的技术和产品，以及各行业top级企事业单位的管理经验，腾讯安全结合自身的应用与实践经验，绘制并发布数据安全能力图谱，助力企业规划数据安全体系的建设、加强数据场景的安全管控能力、指导数据安全能力的评估等场景。

关注腾讯安全（公众号：TXAQ2019）

回复【数据安全能力图谱】获取原图

腾讯数据安全能力图谱提出了六大能力，即数据资产管控能力、数据安全运营能力、数据业务安全管控能力、数据支撑环境安全管控能力、数据运维安全管控能力和数据安全感知能力，覆盖了数据全生命周期及重要的数据场景，在开展数据安全体系建设时具有很高的参考价值。

一. 数据资产管理能力

开展数据安全体系建设，首先要加强数据资产的管理能力，包括资产的变化情况、权限状况和使用状况，而非传统的登记备案模式。

数据资产梳理是提升数据资产管理能力的基础，也是建设数据安全体系的第一步。如果在资产状况不完整、资产信息不准确的情况下开展数据安全防护，则会出现盲点，防护手段的价值不能充分发挥，甚至会影响安全方面人力、财力的决策。因此，在开展数据安全体系建设时，一定要先开展数据资产梳理工作。

传统的梳理方式以访谈为主，存在准确率低、人工投入大的弊端。借助静态扫描和协议解析技术，结合人工的方式，可有效提升效率和准确率。另外，在开展数据资产梳理过程中，还可以发现高频资产、静默资产、僵尸库等，使得数据资产的管理水平也得到提升。

二. 数据安全运营能力

明确角色和义务、指定人员和责任、完善制度和规范、制定安全检查机制和权限管理机制。

数据安全运营是近几年逐渐被重视起来的。传统的数据安全防护主要靠技术手段和管理制度进行约束，相对被动，很多制度也执行不起来，从业人员安全能力有限，一旦出现安全事件，响应速度和处理能力相对较弱。通过建立完善的数据安全运营体系，让专业的人做专业的事，让数据安全工作伴随业务持续进行，提供实时的安全保障，可有效提升本组织的安全管理和防护能力，应对随时可能发布和执行的法律法规。

三. 数据业务安全管控能力

目前可用于数据安全管控的技术即成熟又全面，典型的有数据脱敏、数据加密、数据行为管控等等。由于数据安全需要与业务进行关联，甚至需要渗透到业务的流程中，数据安全类产品又相对独立，存在同质化的情况，这种情况下的集成往往会对业务造成性能大幅下降、改造工作量大、重复投入，不利于数据安全体系的建设。因此，需要将数据安全技术进行融合，统一管理、统一调用，以服务的形式应用到数据生命周期的各个环节中去。

四. 数据支撑环境安全管控能力

主要是对数据库本身和大数据组件进行安全加固，配合数据安全技术对数据资产进行访问控制，定期开展安全扫描和配置核查，确保数据资产的安全性和可用性。

五. 数据运维安全管控能力

数据运维角色一般是指DBA、数据运维工程师等相比应用权限范围更广泛的人员。目前数据安全领域出现的众多数据泄露事件大多是由这类人员造成，另外，数据运维过程中不排除会出现误操作造成的数据损毁现象。因此，高权限人员我们应该重点关注，对于高权限人员应从授权审批、违规识别与阻断、高危操作提示与阻断、数据遮蔽四个方面进行管控，并建立权限回收机制，支持静态授权和动态授权，管控粒度达到操作语句级。

六. 数据安全感知能力

数据安全感知能力的核心价值是发现违规并调查取证、稽核制度规范和安全策略的执行情况、趋势分析辅助决策。

数据安全感知能力的建设一般是由数据安全管理员和日志审计平台组成，日志审计平台可以帮助数据安全管理员对大量的日志进行进行运算和汇总，并从中自动发现触碰规则的行为，数据安全管理员可以从日志信息中发现潜在的安全风险，不断完善和增加安全规则，使得本组织的数据安全防护能力不断提升。

日志审计平台应具备日志信息采集、日志汇总与分析、规则识别、告警和可视化展现五个功能。

腾讯安全基于20年数据安全运营经验，整合输出数据安全能力，助力企事业单位开展数据安全体系建设。腾讯安全秉承“让数据遵规守序”的理念，联合生态伙伴，共同让数据管理遵循法规，让数据流动遵守秩序。

欢迎业内人士加入【腾讯数据安全交流群】，共同探讨数据安全能力和技术实践。

扫描二维码进群

或者添加小助手微信号【Tencent-DataSecurity】

发送【数据安全】进群