EDMC數據安全治理模型的研究與實現

陳龍 方偉 姚威 陳楊軻

摘要：數據安全治理從組織戰略、組織文化、組織建設、業務流程、規章制度、技術工具等各方面全面提升數據安全風險應對能力。文章在ISO 38505系列標準的基礎上，對實際需求進行研究和實踐，設計研究以評估-指導-監測-檢查為過程的EDMC數據安全治理模型。模型通過評估數據在當前和未來的安全狀況，并依據評估結果制定數據安全戰略來指導管理活動。通過技術手段，監測數據在業務訪問、使用、流轉過程中的行為，針對可能出現的數據安全事件進行監測和預警。最后對已定義的數據安全策略、規則的遵從性、監測的有效性進行檢查，確保相關策略執行到位。

關鍵詞：數據安全治理；數據安全監測；數據安全評估

doi：10.3969/J.ISSN.1672-7274.2024.04.015

中圖分類號：TP 309.2? ? ? ? ? 文獻標志碼：A? ? ? ? ? ? 文章編碼：1672-7274（2024）04-00-05

Research and Implementation of EDMC Data Security Governance Model

CHEN Long1， FANG Wei2， YAO Wei2， CHEN Yangke2

（1.China Mobile Group Zhejiang Co.， Ltd.， Hangzhou 310012， China;

2.Guangzhou Shining-Data Information Technology Co.， Ltd.， Guangzhou 510630， China）

Abstract： The EDMC Data Security Governance Model enhances an organization's ability to respond to data security risks and breaches by addressing security requirements and vulnerabilities from various aspects， such as organizational strategy， culture， construction， business processes， regulations， and technical tools. This model is designed based on practical needs， On the basis of ISO 38505 series standards， conducting research and practice to evaluate， direct， monitor， and check the implementation of data security policies and controls. Through technical means， the behavior of data in the process of business access， use and circulation is monitored and early warning is carried out for possible data security incidents. Finally， the compliance of defined data security policies， rules， and monitoring effectiveness are checked to ensure that relevant policies are implemented in place.

Keywords： data security governance; data security monitoring; data security assessment

1? ?研究背景

數字經濟發展至今，數據資源與大量線下場景實現深度融合，已成為重要的生產要素。數據共享和流通正成為數字經濟越來越普遍的業務需求，數據安全是數字經濟的生命線，是數字經濟蓬勃發展的安全閥，而傳統訪問控制、入侵檢測技術難以解決跨組織和部門的數據追蹤，數據處理活動的審計和監控，容易引發數據泄露和濫用的風險。很多組織在數據安全的浪潮下都在進行數據安全建設，但目前數據安全在設計和實施時面臨以下問題。

（1）基礎薄弱。數據安全的概念剛起，不像網絡安全有二十多年的沉淀，數據安全無論是產品還是技術都比較薄弱。

（2）管理復雜。數據安全更貼合業務，結構復雜，跨業務、安全、合規等部門需要協同開展，而其中的職責確難以劃分清楚，導致工作難以推進。

（3）急迫性強。數字經濟快速發展，數據價值和數據量劇增，法律法規、行業監管、安全風險迫在眉睫，需要迅速建立，然而欲速則不達。

（4）方案沉重。圍繞數據安全生命周期的方案涉及的內容很多，每個階段都涉及復雜的管理和技術，實施落地時起效慢、周期長、成本高。

因此，數據安全治理逐漸得到組織重視。數據安全治理意在確保數據的可用性、完整性和保密性。從組織戰略、組織文化、組織建設、業務流程、規章制度、技術工具等各方面全面提升數據安全風險應對能力，進而控制數據安全風險或將風險帶來的影響降至最低。

2? ?研究現狀

數據安全治理概念學術界基本認同Gartner的定義。Gartner認為“數據安全治理不僅僅是一套用工具組合的產品級解決方案，而是從決策層到技術層，從管理制度到工具支撐，自上而下貫穿整個組織架構的安全鏈條”[1]。

基于上述定義，Gartner提出數據安全治理框架（Data Security Governance，DSG）[2]，微軟提出隱私、保密和合規性框架（Data Governance for Privacy， Confidentiality and compliance DGPC）[3]。我國于2020年3月開始實施國家標準GB/T 37988—2019《信息安全技術——數據安全能力成熟度模型》，該標準提出數據安全能力成熟度模型（Data Security Capability Maturity Mode，DSMM），對數據的整個生命周期進行評估，能夠幫助組織發現自身數據管理存在的問題，識別差距并制定相關策略，建立數據安全治理體系，最終提升數據安全水平和行業競爭力[4]。

國際標準化組織ISO發布ISO 38505《數據治理安全管理體系》。標準闡述了數據安全治理的意義，明確了治理主體的職責以及對數據治理監督機制的要求，提出包括目標、原則和模型的數據安全治理框架。其中標準認為治理主體應運用評估（Evaluate）—指導（Direct）—監督（Monitor）的EDM模型來開展數據治理工作。

（1）評估：當前及未來的數據使用情況。例如，評估數據方面的公司戰略與商業模式、技術工具的應用情況等。

（2）指導：編制及實施戰略和政策，以確保數據使用符合業務目標。圍繞評估情況制定數據戰略及相應的治理體系政策。

（3）監督：政策及戰略的落地執行情況。建立相應的監督機制以確保在組織內部推行相關措施，如將相關治理指標納入KPI考核體系等。

ISO 38505是全球首個針對組織數據安全治理的管理體系，代表數據安全治理的國際通行要求。本文在ISO 38505系列標準的基礎上，對實際需求進行研究和實踐，設計研究以評估（Evaluate）—指導（Direct）—監測（Monitor）—檢查（Check）為過程的EDMC數據安全治理模型（見圖1）。

3? ?EDMC模型

EDMC數據安全治理模型通過評估數據在當前和未來的安全狀況，在保障業務的前提下實現合規約束和風險管控兩大數據安全目標。組織依據評估結果制定數據安全戰略來指導管理活動，并建立數據安全政策來保障管理活動符合戰略的需要。通過技術手段，監測數據在業務訪問、使用、流轉過程中的行為，讓數據與業務達到一個更加穩定、平衡的狀態，針對網絡上可能出現的數據安全事件進行監測和預警，實現多場景全鏈路的數據安全監測。最后，對已定義的數據安全策略、規則的遵從性、監測的有效性進行檢查，確保相關策略執行到位。

3.1 評估（Evaluate）

評估是指評估數據在當前和未來的安全狀況。按照評估的方法，分為技術評估和風險評估。

（1）技術評估是通過模擬互聯網攻擊者使用的技術手段、攻擊思路對組織的數據資產進行滲透測試，同時采用攻擊者視角獲取組織數據資產在互聯網的暴露面，審視在外部可能存在的攻擊面及脆弱性，并驗證暴露資產的漏洞可利用性，結合滲透測試形成關聯關系，全面有效的發現組織的數據安全風險。

數據安全技術評估與網絡安全技術評估的方法類似，而數據安全風險評估則更具特點，且是《數據安全法》明確要求的。在《網絡數據安全管理條例（征求意見稿）》中更是明確“重要數據處理者、關鍵信息基礎設施運營者、處理100萬人以上個人信息的個人信息處理者、大型互聯網平臺運營者、赴境外上市的數據處理者、黨政機關、網絡安全等級保護三級及以上運營者，應每年開展一次數據安全風險評估。”

（2）數據安全風險評估的方法參考《信息安全技術 數據安全風險評估方法（征求意見稿）》和《網絡數據安全管理條例（征求意見稿）》。數據安全風險評估是對數據處理者的數據安全管理、數據處理活動、數據安全技術和個人信息保護情況進行安全評估，發現存在的安全問題和風險隱患，健全安全制度、改進安全措施、堵塞安全漏洞，進一步提高數據安全和個人信息保護能力。數據安全風險評估主要包括評估準備、信息調研、風險識別、綜合分析、評估總結5個階段（見圖2）。

3.2 指導（Direct）

指導最重要的特征是堅持黨管數據，進一步加強黨委對網絡安全和信息化工作的統一領導，建立和完善黨管數據安全的體制機制。黨員干部要深刻領會學習貫徹《數據安全法》的政治意義，把數據安全和發展列入黨委重要議事日程

學習貫徹《數據安全法》是落實總體國家安全觀的必然要求。數據安全事關國家安全，組織的黨委書記要承擔數據安全工作的決策和議事協調，研究制定、指導實施有關重大方針政策，統籌協調重大事項和重要工作，建立組織數據安全工作協調機制，實現最高決策。組織學習貫徹《數據安全法》，就是堅持總體國家安全觀，從應對數據這一非傳統領域的國家安全風險角度，以實際行動落實我國數據安全治理的頂層設計。

因此，培訓和宣貫是數據安全治理中非常重要的一環。培訓宣貫需要講究方法與對策。這一過程通常會面對兩種挑戰：一是多數人員都是初次接觸數據安全治理領域，直接灌輸數據安全知識反而效果差；再者，不同部門、不同角色對數據安全治理體系控制域的側重點不一樣，因此，培訓宣貫適宜循序漸進，以案例—意識—技術—體系的順序進行，同時為了提高效率，涉及相同治理領域的部門或角色可集中進行培訓宣貫。

指導過程的重要輸出物是數據安全治理體系文檔。文檔首先對組織的數據安全治理現狀做自上而下全面的摸排檢視，再根據實際情況對既有的治理體系進行完善設計，形成完整而符合標準的數據安全治理體系文檔。其中，數據安全戰略需適配組織的業務戰略，如此才能有的放矢，真正起到數據安全治理對組織發展目標的賦能作用。

數據安全治理體系文檔通常可分為三級：一級文檔作為總綱，對治理體系進行指導和治理域框架劃定，主要涵蓋體系的方針目標、組織架構、治理域范圍等內容；二級文檔作為管理規范，涵蓋各治理域的管理政策；三級文檔作為管理程序，具體構建管理規范在組織中的運行管理流程及附上相應的模板、表單等。

在實際編纂過程中，值得注意的是：對數據安全治理現狀進行詳盡評估是體系文檔編纂前的一大參考要素，也是保障數據安全治理實現常態化管控的重要起點。數據安全治理體系文檔的建設難點在于實現與組織既有業務流程的高契合度，這是治理體系標準落地的核心，否則難以持續性地推行落地。

數據安全治理體系的建設與投入始終是要以提升業務價值為導向，同時在數據安全治理體系的建設和維護過程中，需要注意與組織實際業務場景的結合。數據安全治理的落地建設是一項長期工程。組織需要不斷踐行PDCA循環，讓數據安全治理持續地散發活力，讓數據與業務達到一個更加穩定、平衡的狀態，更自信地迎接來自信息時代的機遇與挑戰。

3.3 監測（Monitor）

監測是否有數據安全事件的發生，針對數據安全事件和風險的來源，從外部、內部、第三方三個方面進行安全監測，適用的場景如下：

3.3.1 內部數據泄露場景

數據泄露無小事，內部人員的數據竊取、疏忽行為、內外串謀、離職前獲取數據，心懷不滿惡意行為是所有數據泄露事件中代價最高昂且最難檢測到的事件。通過的風險監控能夠有效識別用戶異常、賬號被濫用、員工利用賬號所做的操作與正常業務范圍不符合等行為。

3.3.2 外部數據竊取場景

隱藏在組織正常運行中的那些已被攻陷、被外部遠程控制的潛伏主機，可接收外部惡意指令，進行暴力破解、數據收集、數據隱蔽外傳、異常域名訪問等數據竊取行動。這種威脅隱蔽性強難發現，損失難估量。

3.3.3 第三方數據濫用場景

第三方合作伙伴具有一定的權限，在業務合作時可進行數據共享，然而也存在數據濫用的風險。合作伙伴在非工作需要時利用API接口大量、頻繁調取數據，從而獲得組織的敏感數據。

通過技術手段建設數據安全監測中心，完成對業務的多源數據的收集，通過自動梳理數據的運行過程，將涉及的用戶、業務、IP、數據使用、接口使用形成完整的畫像，對各種交互實體的數據行為進行實時監測，依托不同業務場景，利用基線策略和數據模型刻畫正常行為，進而發現異常的行為，實現數據行為在全鏈路運行中的安全監測，強化數據泄露事前的預警、事中發現和事后溯源的能力。

對數據進行監測的首要前提是發現數據。監測中心通過流量分析自動發現業務資產，包括業務IP、端口，賬號，API接口，及時發現未知的數據資產，掌握數據資產的分布狀況，實現摸清家底、全盤掌控。

發現數據后要識別數據，包括敏感數據的發現及合理化的分類分級。中心通過AI技術賦能數據安全治理過程，通過內置的智能分類器對數據進行自動化標簽處理，并再結合法律法規的解讀和導入進行自動化的分級分類處置。

監測過程的核心是數據行為分析與風險告警。記錄數據運行的全過程，并進行可視化的展示。通過多種篩選模式，以多個維度展現數據被使用的方式。用戶實體行為分析（User Entity Behavior Analytics，UEBA）技術[5]，是一種面向用戶和實體的行為，基于海量數據，采用高級數據分析方法刻畫正常行為、發現用戶異常行為的技術。監測過程中不關心各類網絡告警以及某條高風險事件，而是對異常用戶和用戶的異常，如非工作地點登錄、非計劃內重啟等行為進行監測。進而更符合數據的業務場景。圍繞用戶發現異常行為、將風險定位到用戶。該技術已經在行業中得到應用，證明其具有可行性。

最后將監測到數據安全事件進行風險告警，根據風險等級分為高中低三級，可篩選關注的風險，維度包括時間、資產、業務等。此外，告警信息中包括源地址、目的地址、用戶、業務系統等。告警詳情中包括詳細的數據包信息，協助分析事件的原因，判斷事件的真實性，并提供完整的數據包下載，作為事件溯源的證據，同時提供處理建議，協助降低安全風險。

3.4 檢查（Check）

檢查階段是對數據安全治理實施情況的檢查，獲取和度量數據安全治理工作的有效性和價值，檢查已定義的數據安全治理策略的執行情況，并使得組織數據安全策略和績效的一致。

3.4.1 執行情況

數據安全治理策略的執行情況的檢查主要是對已定義的數據安全策略、規則的遵從性、合規性進行度量，確保數據安全的相關策略執行到位，并及時發現執行過程中存在的問題，及時更新策略。例如，我們可以用以下指標來考核數據安全管理者是否合格。

（1）管理者應認識到自己的工作是積極主動的，積極發現問題，而不是被動處理問題。

（2）管理者必須參加不少于已計劃和舉行的數據安全工作會議的80%。

（3）管理者必須每年參加至少8小時的數據管理和數據安全相關的正式培訓。

（4）管理者必須每年為業務部門、it部門提供8小時的數據安全方面的教育。

在實際工作中，組織根據自身的需求和現狀定義數據安全治理度量和評價體系。包括組織人員方面、流程制度方面、風險評估方面、宣傳培訓方面等。

3.4.2 有效性和價值

任何計劃都必須具備可行性，才能獲得高層領導和相關利益干系人的支持，包括資金支持、資源支持、政策支持等。關于數據安全治理成功的衡量標準，要結合數據治理，以數據為基礎，以事實為依據，來證明數據安全的有效性和成本持續投入的合理性。如果沒有一套評價指標，任何新計劃都將無法證明其價值，數據安全治理也不例外。

數據安全治理可以和數據治理結合，其有效性和價值建立在對組織的業務安全價值提升的基礎上，也就是通過數據安全治理提升了哪些業務和安全指標，如收入和利潤的增加、成本的降低、安全事件的降低、工作效率的提高、監管機構評分等。

組織數據安全治理的過程是一個問題發現、定義策略、執行項目、監控成效的閉環管理過程，他不是一個從提出需求到解決需求的線性瀑布模型，而是一個不斷迭代、循環上升的螺旋模型。

4? ?創新性

4.1 在國際標準基礎上進行創新，推動模型在國內落地

2022年ISO編制《數據資產價值評價體系》，對數據產權方、運營方乃至監管方提出提高數據價值的能力要求，數據安全作為基礎保障，做不到數據的安全就無法實現數據的價值，因此將進一步推廣ISO 38505《數據治理安全管理體系》的落地實施。EDMC模型就是圍繞ISO 38505《數據治理安全管理體系》中EDM模型設計的，創新性地將監測調整為對內部數據行為的監測，進而發現最容易被忽視的內部威脅，并加入檢查跟蹤過程，形成EDMC數據安全治理模型。模型一方面完全按照標準設計，提供的技術和產品能夠直接適配標準；另一方面，模型結合國內的情況，將檢查過程納入模型中，能夠保證治理體系更良性、閉環的運行。

4.2 資產、用戶、數據全景測繪，安全伴隨數據運行全過程

數據并非按部就班的在既定線路上有序流動，存在諸多意外狀況。傳統的在數據既定的流動線路上安裝插件、Agent的方式并不能覆蓋數據運行所有過程。此外，對數據的操作行為存在諸多不確定性，每個用戶對數據的使用行為都有不同的業務要求及使用習慣，傳統的基于規則的檢測存在因規則不全導致的漏報和告警量大造成的誤報，給組織的管理者帶來極大的困擾。因此要使數據真正運行得安全有序，就必須考慮實際的、動態的變化和那些不確定的因素。EDMC模型摒棄傳統的埋點的方式，避免對關鍵節點的改造，讓安全伴隨數據運行，描繪出資產、用戶、業務的全景圖，讓數據的每一個行為都具備安全屬性，通過數據分析實現數據安全，通過不確定的、動態的數據建模與關聯分析的方法，實現數據運行全過程有序。

4.3 通過AI技術，實現數據建模分析和敏感

數據發現

傳統的基于規則的安全檢測存在因規則不全導致的漏報，以及因告警數量大導致的誤報的問題，通過機器學習搭建檢測模型可以有效彌補上述不足。機器學習建立模型首先是數據采集，提取出建模所需數據；然后是數據處理，清洗整合各類數據資源；其次是特征提取，結合業務經驗構建特征標簽；最后根據模型原理和業務邏輯搭建模型。在數據安全治理過程中合理地借助AI的能力，能有效解決敏感數據發現過程中準確度、匹配度等問題。通過AI算法挖掘潛在關鍵字，用于擴充規則庫。基于TF-IDF的關鍵字提取可以模擬人腦判斷類別的復雜方式，包括對內容進行語義學習，上下文判斷與關鍵字抽取等。通過建立不同類別的敏感信息模型，得到更加精準及穩定的分析，提高模型產出結果的準確率，實現“數據匯聚、模型分析、實戰應用、主動反饋”迭代優化的建模方法和流程，形成良性循環。

5? ?結束語

數據的巨大價值和重要意義已得到充分強調。越是如此，數據的價值實現越是必須以保護數據的安全作為前提。本文提出的EDMC數據安全治理模型是在國際標準的基礎上，加入中國特色，使得模型更適合在中國落地實施。通過EDMC數據安全治理模型建立場景化、輕量化、見效快的數據安全治理體系，積極落實數據安全保護義務，切實保障公民個人信息合法權益，為數字化轉型保駕護航。

參考文獻

[1] 數據安全治理白皮書概要版[J]．網絡安全和信息化，2018（7）：22-26.

[2] Gartner. How to Use the Data Security Governance Framework[EB/OL]. https：//www.gartner.com/en/documents/3873369-how-to-use-the-datasecurity-governance-framework， 2018-04-27

[3] Salido J， Manager S P， Group T C， et al. A guide to data governance for privacy， confidentiality，andcompliance.[EB/OL].2010-11-01.https：//iapp.org/media/pdf/knowledge_center/Guide_to_Data_Governance_Part3_Managing_Technological_Risk_whitepaper.pdf

[4] GB/T 37988-2019．信息安全技術-數據安全能力成熟度模型[S]．北京：中國標準出版社，2019.

[5] Salitin M A， Zolait A H. The role of User Entity Behavior Analytics to detect network attacks in real time[C]//2018 International Conference on Innovation and Intelligence for Informatics， Computing， and Technologies （3ICT）.IEEE， 2018： 1-5