第一章 概述

1. 背景介绍

全球大国博弈持续加剧，数据安全问题成为攸关国家安全、社会安全、公民安全的安全问题，数据上升到国家安全战略高度，成为与国家安全和国际竞争力紧密关联的关键因素。自《关于构建更加完善的要素市场化配置体制机制的意见》于2020年3月由中共中央国务院对外发布后，数据被定义为新型的生产要素，列为继土地、劳动力、资本、技术四类生产要素后的第五类生产要素。在《数据安全法》、《个人信息保护法》等法律法规和各类行业标准相继发布后，为数据安全保障提供了制度和法律支撑，实现了国家对数据安全监管的有法可依、有章可循、有规可守。依照法律法规和行业标准构建数据安全防护体系的必要性得以体现，未来各类数据滥用、数据泄露的行为都面临着被追责处罚的风险。

从数据的表现形式上来看，数据可分为结构化数据、半结构化数据和非结构化数据。结构化数据是指存储在数据库里可以用二维表结构来逻辑表达实现的数据，如Mysql、Oracle等关系型数据库里面存储的数据；半结构化数据是结构化数据的一种形式，它并不符合关系型数据库或其它数据表的形式关联起来的数据模型结构，但包含相关标记用来分隔语义元素以及对记录和字段进行分层，常见的如日志文件、XML文档、JSON文档、HTML文档等；非结构化数据是指相对于结构化数据而言，不方便用数据库二维逻辑来表现的数据，常见的如图片、视频、文本等。

在关注结构化数据安全保护的同时，个人信息、商业机密等敏感数据也同样存在于非结构化数据中，这些数据使用场景复杂，数据流转和输出途径多样化，面临的数据泄密隐患较大，因此也应重视对非结构化数据的安全保护。本项数据安全防泄密体系建设就主要针对非结构化数据开展安全防护。

2. 方案依据

• 国家法律法规类：

（一）《中华人民共和国网络安全法》；

（二）《中华人民共和国数据安全法》；

（三）《中华人民共和国个人信息保护法》；

• 国家标准规范类：

（一）《GB∕T 35273-2017 信息安全技术 个人信息安全规范》；

（二）《GB∕T 37964-2019 信息安全技术 个人信息去标识化指南》；

（三）《GB∕T 39335-2020 信息安全技术 个人信息安全影响评估指南》；

（四）《GB∕T 36073-2018 数据管理能力成熟度评估模型》；

（五）《GB∕T 37988-2019 信息安全技术 数据安全能力成熟度模型》；

（六）《GB∕T 38667-2020 信息技术 大数据 数据分类指南》；

（七）《GB∕T 20984-2022 信息安全技术 信息安全风险评估方法》；

（八）《GB∕T 31509-2015 信息安全技术 信息安全风险评估实施指南》；

（九）《GB∕T 37973-2019 信息安全技术 大数据安全管理指南》；

3. 指导原则

数据安全防泄密体系建设整体遵循如下原则：

• 科学性：按照数据的多维特征及其相互间逻辑关联进行科学和系统地分析。
• 实用性：确保整体服务方案的落地性和可行性，服务建设的落地要契合实际业务场景和数据情况，按照实际数据安全防护需求确定落地方法。
• 扩展性：方案在总体上应具有概括性和包容性，能够针对各种类型的数据开展数据安全防泄密体系建设，并满足将来可能出现的数据安全防护需求。
• 合法性：服务应满足我国法律、法规和标准规范对数据安全保护的有关规定，并持续跟进有关法律、法规和标准规范。
• 完整性：数据没有遭受以未授权方式所作的更改或破坏的特性。
• 保密性：使数据不泄露给未授权的个人、实体、进程，或不被其利用的特性。
• 可用性：已授权实体一旦需要就可访问和使用的数据和资源的特性。

第二章 现状分析

2022年数据泄漏事件整体呈现不断增长的趋势，同2021年相比，数据泄露事件在所有数据安全事件类型中的占比进一步上。从数据生命周期的角度来看，数据泄漏发生在数据存储阶段和使用阶段的占比较高，属于数据泄漏的高风险阶段和数据安全防御的重点阶段，应对这两个阶段保持高度重视。数据泄露事件的不断发生，使得数据防泄密体系建设的必要性得以体现。

第三章 详细建设思路

3.1 数据安全现状调研分析

3.1.1 外部合规要求调研分析

随着网安法、个人信息保护法、数据安全法、GDPR、等保2.0、国标、行业数据安全规范等的相继出台，对数据安全的监管力度不断加强，但是这些外部的法律法规、监管要求、行业标准数量种类繁多，无法作为直接在内部使用的基线。

在外部要求调研阶段，将业务适用的外部法律法规、监管要求进行了梳理，有助于在风险评估阶段形成合规基线，厘清合规遵从性需求。

3.1.2 数据资产总体情况调研

随着数据资产的意识不断增强，企业中面临多重问题，如资产构成不清楚、重要数据不可知、数据权限乱如麻、数据流转到失控等多方面的困难造成了数据安全风险和事件。数据资产盘点是数据安全防泄密体系建设的第一步，清楚保护目标，才能实施更准确的防护措施。

数据资产盘点通过调研访谈、文件分析、工具探查，多维度了解数据资产，明确数据资产构成、特征、范围及流转情况。明确数据资产梳理的范围，进一步制定相应的数据梳理模板、标准，通过工具+访谈方式收集有关的材料。按照模板和标准，对数据资产的有关信息进行初步梳理，形成数据资产目录初始清单；对初始清单进行筛选优化，按照系统级、表级梳理，后对其实施价值衡量，形成数据资产清单和数据流向图，从而厘清数据资产。

3.1.3 数据相关业务总体情况调研

与数据相关的业务主要是指以数据为核心生产要素的业务，这类业务高度依赖数据，除了对各项业务条线进行调研之外，同样需要在产品研发、测试和对外服务的过程中进行业务情况调研，需要梳理数据在业务/产品中的应用原理、交互的系统接口、相关的责任人，此过程同样重点关注高风险的环节。对业务情况进行调研梳理，有助于后续厘清数据流转路线，是基于数据分类分级的成果设计数据防泄密安全管控措施的重要依据，也是开展数据防泄密安全风险评估工作的重要参考。

3.1.4 数据涉及部门总体情况调研

与数据相关的部门往往是数据风险的高发部门，属于高敏感岗位，需要梳理企业与数据相关的部门数量、部门内部各岗位的职责、工作流程、数据操作环境等，重点关注可能存在高操作风险的环节。此项调研为数据防泄密安全管控措施的落地提供了关键依据。

3.1.5 数据防泄密技术能力总体情况调研

数据防泄密的实现，需要技术和工具平台的支撑，来完成安全管控措施的构建，从而实现数据安全防泄密体系的建设。数据安全技术目前正在逐步更新和迭代，数据防泄密技术能力总体情况调研是重要部分。

3.2 数据分类分