企業管理信息系統的數據安全治理能力成熟度模型研究

Maturity Model of Data Security Governance Capability for Enterprise Management Information System

LINJie JIANGTianhan

（School of Economics and Management，Tongji University， Shanghai 2Ooo92，China）

Abstract： As enterprise digital transformation accelerates and information technology continues to advance rapidly，management information systems （MIS）-the primary carriers of enterprise data-play an increasingly critical role in ensuring overall data security. Consequently， objectively assessng the maturity of data security governance capabilities within these systems has become a pressing concern. Grounded in the lifecycle of MIS， this study proposes a maturity assessment framework encompassing five evaluation dimensions and corresponding core indicators.A fuzzy comprehensive evaluation method is then employed to guide the assessment process and construct a five-level maturity model， ranging from the Chaotic Level to the Optimized Level. Finally， a case study involving Company J's charging operation management information system is presented to evaluate its data security governance capability，thereby validating the feasibility of the proposed model.

Key words： management information systems； data security governance； capability maturity； capability assessment

0 引言

全問題日益突出，數據泄露、黑客攻擊政企網絡等現象屢見不鮮，對我國企業的良序發展造成了嚴重沖擊，數據安全已經成為人們重點關注的領域之伴隨企業數字化轉型的不斷深入，企業數據安一。為確保國家數據安全，習近平總書記指出要切實保障國家數據安全，加強關鍵信息基礎設施安全保護，強化國家關鍵數據資源保護能力。因此，如何始終確保數據成為推動經濟社會發展的積極因素，防范數據安全問題帶來的潛在風險，已成為國家數據安全工作的首要任務之一。

保障數據安全不僅依賴于數據安全技術的應用，還需要企業構建一套完善的數據安全治理體系，以實現技術與架構的統一。然而，當下企業在數據安全治理能力方面存在評估不全面、缺乏模型方法衡量的問題2。因此，如何評估企業的數據安全治理能力成熟度，已成為亟待解決的問題。

企業管理信息系統作為企業數據的基本載體，提供了人員協作的平臺，已經成為支撐各項業務運營的核心組件，信息系統的安全性直接關系到企業數據的安全性3。因此，本文基于信息系統，從信息系統生命周期出發，借鑒中國電子技術標準化研究院的數據安全能力成熟度模型（DSMM）的過程域設計（GB/T37988一2019），提出一個基于信息系統的企業數據安全治理能力成熟度模型，旨在為企業提供一個基于企業管理信息系統的評估方法，用以實現數據安全治理成熟度等級評價，發現潛在的薄弱環節，從而更有針對性地制定策略和措施，提升企業數據安全治理的整體水平。

1 相關概念內涵

1.1能力成熟度模型

能力成熟度模型（CapabilityMaturityModel，簡稱CMM）最早用于軟件開發過程中的管理能力評級，表明過程的成熟度是影響其產出質量的關鍵因素，并劃分為五個等級，分別為初始級（Initial）、可重復級（Repeatable）、已定義級（Defined）、已管理級（Managed）和優化級（Optimizing）[4]。隨著研究的深人，CMM作為評估工具和持續改進的方法被應用到不同領域中，包括公共管理能力、項目管理、政務大數據等方向，體現了管理能力走向成熟的演化模式，組織能夠根據特征對成熟度進行有效評估，有助于明確自身的現狀，發現潛在的問題，從而制定出相應的改進策略。

1.2數據安全能力成熟度模型

2019年，國家市場監督管理總局和標準化管理委員會發布《信息安全技術數據安全能力成熟度模型》（簡稱DSMM），其中制定了三個維度，分別為數據生命周期安全、安全能力和能力成熟度[8]。DSMM將能力成熟度同樣定義為五個等級，分別是非正式執行、計劃跟蹤、充分定義、量化控制和持續優化，進一步又將數據生命周期安全維度細化為30個過程域，最終評估出來的能力成熟度取決于每個過程域的評分[3]。DSMM結合我國國情，提供了一個可落地的評估方法，并且不限定于固定領域，組織可以根據實際業務情況改進過程域，能夠有效地發現組織數據安全治理的短板，進而解決問題提升治理水平。

2 模型構建

在過往的研究中，對企業數據安全治理能力的評估主要集中在數據生命周期方面，然而這忽略了管理信息系統的整體安全治理能力的評估。隨著信息技術的不斷發展，信息系統云化已成為時代發展的新趨勢，信息系統作為數據存儲和流通的載體，其安全性對于保障企業數據安全至關重要[9，10]。因此，我們需要重視信息系統的數據安全治理能力評估，以確保企業數據的安全性。

2.1 設計思路

信息系統生命周期由5個階段組成：系統規劃、系統分析、系統設計、系統實施以及系統運行和維護[11]，我們以生命周期為出發點，構建成熟度模型的評估維度，設計思路如圖1所示。

在信息系統的生命周期中，系統規劃、系統分析和系統設計階段構成了信息系統開發前的早期階段，主要目的在于通過需求分析、可行性研究等方式制定出信息系統設計的藍圖。我們的成熟度模型評估對象是已構建完成的信息系統，其架構才是體現系統設計藍圖實際應用的具體表現，對信息系統架構的綜合評估，有助于揭示早期設計決策的成效與不足。因此，在數據安全治理能力成熟度評估中，信息系統架構被視為首要維度。

系統實施階段是信息系統開發的主要過程，這一階段的核心任務是將早期設計階段所形成的概念和原型轉化為實際可執行的應用程序，這一轉換過程不僅對系統的功能和性能產生直接影響，而且也決定系統在未來運行期間的維護性和擴展性[12]。由于信息系統不是一成不變的，而是隨著業務需求的演變和技術更新而持續發展，這就說明一個成熟的信息系統一定是經歷過多個版本的迭代，因此我們有必要對開發過程的數據安全特性進行事后評估，從而為下一次版本的開發實踐提供改進方向[13]。通過這種評估，我們可以有效識別系統實施過程中在數據安全治理方面的風險和不足，并量化開發過程對數據安全治理能力的影響。

系統的運行和維護階段通常是信息系統生命周期中持續時間最長的過程，這個階段與企業的成長和變遷密切相關，要求在確保系統正常運行的同時，還要滿足發展的數據安全需求，確保系統的安全可靠性[14]。由于其持續階段的長久性，本文將其劃分為三個維度，分別是信息系統數據維度、信息系統用戶維度和信息系統運維維度。首先，信息系統數據維度重點以數據本身為評估主體，主要聚焦于數據的流轉、存儲以及與數據庫安全相關的治理策略，著重關注數據的完整性、機密性和可用性，有助于直觀展示信息系統內的數據安全治理成果。其次，由于當下大部分信息系統都存在多類型用戶機制，用戶行為對數據安全性的影響不容忽視，因此，信息系統用戶維度重點關注用戶的訪問操作權限及監管機制，通過評估揭示系統在未授權訪問管制和數據泄露防控方面的能力。最后，信息系統運維重點關注系統持續運行和維護能力，這是信息系統生命周期中系統運行和維護階段的直觀體現，確保信息系統在面對不斷變化的安全威脅時具備足夠的持久性和穩健性。

在已設計的企業信息系統數據安全治理能力成熟度評估的5個維度基礎上，通過廣泛閱讀相關文獻，遵循可操作性和科學性的原則，參考DSMM模型中安全過程域（PA）指標內容，本文設計并提出每個維度下的數據安全治理核心指標，結合能力成熟度模型（CMM，將企業的數據安全治理能力劃分為五個等級，分別為無序級、基礎級、管理級、規范級和優化級，總體結構如圖2所示。

2.2 信息系統架構

信息系統架構維度主要描述了系統應用和模塊及數據交換是否在信息系統規劃、設計階段就已經注人了數據安全治理思想，是數據安全治理成熟度模型中的首要維度及決定數據安全性的先決條件。

2.2.1 系統互連安全

系統互連安全用以評估系統和應用之間連接和數據交換的安全特征，主要分析系統是否使用了安全的連接協議，確保數據交換格式的標準化和安全性，在評估時須列出所有與主系統互連的子系統和應用，為每個連接建立一個數據交換流程圖，標識所有的連接協議和數據交換格式，并對數據交換期間的安全協議、安全算法進行詳細評估。

2.2.2 數據流連續性

數據流連續性是確保數據在各系統間流動和連貫的關鍵。通過明確的數據流圖，標識所有的數據存儲點、處理點和交換點，評估數據流動中是否存在未經授權的訪問，以及對于重點數據是否存在加密過程。

2.2.3 外部集成防護

隨著云計算和第三方服務的普及，外部集成防護也變得尤為重要。與外部服務的數據交換必須確保高度的安全性，評估時需要列出所有使用的云服務和第三方集成，為每個服務和集成評估其安全策略和合規性，確保對于核心數據有數據加密和訪問控制策略。

2.2.4 系統備份與冗余

通過多重的冗余策略，可以確保當某一系統或節點出現故障時，數據仍然可以正常訪問，保障數據的可用性，需要重點評估企業信息系統的冗余和備份策略，以及備份數據的存儲安全性，并定期考察數據恢復方式。

2.2.5應用程序編程接口（API）一致性

標準化的API設計可以確保數據的安全訪問和傳輸，保障數據只能被授權的應用和用戶訪問。企業需要列出信息系統所有開放的API，并評估每個API的訪問控制策略，考察是否使用了安全的API認證機制及日志記錄。

2.3 信息系統開發

信息系統開發維度描述了軟件開發過程中是否考慮到了數據的安全和保護，涉及從代碼編寫、測試到部署的整個生命周期。只有確保在每個階段都考慮到數據安全，才能真正達到數據安全治理的目標。

2.3.1 編碼規范

通過制定并執行安全編碼規范，可以顯著降低應用中潛在的安全威脅。安全開發生命周期是將安全考慮納入應用開發過程的方法，需要了解企業的應用開發流程，評估是否在系統開發的每個階段都考慮了安全需求，以及是否成立專門的組織負責安全監督，只有從信息系統根源上關注數據安全，才能實現安全系數更高的數據安全治理。

2.3.2 測試完整

安全測試不僅要求信息系統進行功能性測試，還要進行滲透測試、靜態和動態代碼分析，企業應該對信息系統進行回溯審計，評估是否有專門的安全測試計劃以及自動化的安全測試工具，確保現有系統已經經過嚴格的安全審查。

2.3.3補丁策略

企業需要確保有一個持續、規律的補丁策略以應對不斷變化的外部環境，需要根據補丁日志統計補丁和更新的發布頻率，評估是否有專門的團隊負責監控安全漏洞和發布補丁，確保所有已知的安全問題都得到及時解決。

2.3.4依賴透明

信息系統通常依賴于多個第三方庫或服務。企業需要評估信息系統是否具備一個清晰的依賴管理策略，這要求列出信息系統所有應用的第三方依賴，并為每個依賴評估其安全性和合規性，判斷企業是否存在針對依賴的監測組件，實現依賴的透明可控。

2.3.5 配置合規

配置合規關注應用的配置管理，不當的配置可能會導致整個應用的安全威脅，企業應全面了解當前系統關鍵部件的配置文件，并建立索引，評估是否已經使用默認密碼以及是否存在有加密敏感的配置信息，確保其不會成為潛在的安全隱患。

2.4信息系統數據

數據是企業的核心資產之一，信息系統數據維度直接面對數據本身，企業應確保數據在其生命周期內始終受到適當的保護和處理。該維度的評估需要一個全面的、跨多個技術和策略的方法，用以實現端到端的數據保護。

2.4.1傳輸加密防護

數據在傳輸過程中容易被截取和竊取，無論數據在信息系統內部還是在網絡內流轉，都存在數據完整性、可用性失效的可能，企業應深度了解信息系統的數據傳輸策略，并形成文稿固化，用以評估數據傳輸過程中采取的加密和安全措施，包括安全傳輸協議以及完整性校驗，防止數據被非法攔截或篡改。

2.4.2存儲隔離策略

該指標強調數據存儲的安全隔離策略，敏感數據應該存儲在安全的環境中，企業需要評估是否需要對敏感數據進行脫敏處理，以及存儲位置是否有足夠的物理和網絡安全措施，確保即使在物理或系統層面發生安全事件時，數據也不會被泄露。

2.4.3終端保障

隨著移動設備和遠程工作的普及，終端設備成為數據安全的重要部件。企業需要評估端點設備上的數據保護措施，包括是否對端點設備進行加密和訪問控制以及是否存在避免數據泄露的策略，用以確保所有設備都有適當的安全防護。

2.4.4數據庫安全

數據庫通常是攻擊者的首要目標，因為其存儲了大量有價值的數據，數據庫安全需要重點關注數據庫的抗攻擊和恢復能力，是數據安全治理中的關鍵因素。企業需要全面評估數據庫的加密、訪問控制和備份策略，了解數據庫是否存在訪問控制和身份驗證機制，并評估數據庫備份和恢復的能力，保障數據庫的安全。

2.4.5 應用層掩護

應用層掩護涉及應用層數據的保護和隱藏策略，企業需重點評估數據掩碼、數據偽裝和訪問日志的落地情況，包括是否對敏感數據進行掩碼或偽裝、是否具備詳細的應用訪問日志以及是否設立防止常見攻擊的措施，目標為即使數據被非法訪問，也不會泄露企業的核心信息。

2.5 信息系統用戶

在數字化時代，正確地管理和控制信息系統用戶對敏感資源的訪問變得尤為重要，安全的措施應確保只有經授權的用戶才能訪問和處理相關信息，用戶和身份管理是實現這一目標的關鍵環節，是數據安全治理的重點關注階段。

2.5.1 驗證規范措施

身份驗證用于驗證用戶的正確性，確保只有經過授權的用戶可以訪問信息系統，這是最基本的安全需求，是數據安全得以實現的必要前提。企業應該評估是否有強制的多因素認證機制，并且驗證系統用戶訪問權限是否基于角色進行分配，同時考察企業用戶訪問權限的定期審查方法和頻率，保證用戶的合規參與。

2.5.2 用戶行為監視

通過實時分析和監控使用敏感組件的個體行為模式，可以及時監測到異常活動及快速識別非正常操作，企業需評估用戶行為的日志記錄和審查機制，包括使用涉密數據的用戶是否有詳細的用戶訪問和操作日志，以及是否存在自動化的異常行為檢測工具，用于及時發現和防范不正當的訪問和行為。

2.5.3特權用戶管理

系統管理員擁有遠高于普通用戶的權限，擁有對系統和數據廣泛訪問的機會，需要對該類特權用戶進行額外的管理策略，因此需要評估其授權和監控機制，包括特權用戶的操作是否有詳細的日志記錄并判定是否得到了監管部門的審查，應當采用最小權限原則，杜絕內部數據泄露風險。

2.5.4 外部接入安全

外部接入安全考慮了外部用戶因素，如合作伙伴、供應商或遠程員工等，確保他們的安全訪問是一大挑戰。企業應當評估外部用戶的訪問控制和監控機制，包括是否具備專門的訪問策略，針對外部用戶的訪問是否受到必要的限制和監控，以及外部用戶的訪問策略是否符合根據需求動態更新。一方面需要確保數據安全，另一方面需要保障必要的靈活度，以平衡用戶便捷和數據安全兩方面需求。

2.5.5 教育完備性

用戶是信息系統的直接使用者，確保他們具備足夠的安全知識和意識是至關重要的，定期的安全培訓和意識形成活動可以幫助信息系統用戶識別和避免常見的安全威脅。企業需要評估培訓的內容和頻率，包括培訓內容是否覆蓋了常見的安全威脅和防范方法，以及是否具備員工用戶反饋機制，確保所有用戶都了解他們在數據安全中的角色和職責。

2.6 信息系統運維

信息系統運維是企業數據安全治理生命周期中最為持久的階段，隨著技術的快速發展和威脅面的擴大，企業必須確保能夠適應新的挑戰，僅僅采取預防措施是不夠的，只有持續監控并迅速響應安全事件，才能有效降低安全風險。

2.6.1 實時監測機制

實時監測機制強調對信息系統和應用行為的監控能力，要求實現快速收集、分析和警報潛在的不安全事件，企業應該評估監控工具的覆蓋范圍和效果，包括是否針對敏感部件安裝全面實時監控軟件，監控工具是否可以檢測到常見的安全威脅，以及是否有自動化的告警機制，用于幫助企業快速識別和應對安全威脅。

2.6.2異常篩查能力

該部分專注于信息系統對異常行為的檢測和響應能力。通過建立基線和識別偏離基線的行為，企業可以及時響應潛在的不安全事件，要求評估異常檢測的準確性和響應時間，包括是否存在專門的工具和專門的團隊負責異常檢測，以及響應的平均時間，同時還應關注企業是否具備預先制定的響應計劃及異常記錄方案。

2.6.3 災備恢復能力

企業需要確保具備全面的備份策略，定期備份關鍵數據，并測試這些備份以保障其有效性，此外，還需有一個詳細的災難恢復計劃，以便在發生大規模的安全事件時能夠迅速恢復業務。在評估期間，需要重點評估備份的頻率、范圍和恢復的效率，并執行定期演練。

2.6.4 系統性能穩定性

隨著硬件的老化以及存儲信息的擴增，信息系統的性能下降是一個必然趨勢，可能會導致遭受分布式拒絕服務攻擊（Distributeddenialofserviceat-tack，簡稱DDoS）或惡意軟件活動，這就要求企業評估具備實時的性能監控機制，以及性能下降到閾值時的自動警告機制。對于參與敏感數據活動的信息系統組件，應及時保障其性能穩定性，減少遭受攻擊的風險。

2.6.5 集成規范度

該方面強調了與第三方安全工具和服務的集成標準，需要確保信息系統與第三方的集成是安全的，在評估時首先應列出所有集成的第三方安全工具和服務，評估服務提供商的信譽程度，包括是否進行定期更新和提供維護工具的服務，以及是否符合國際安全標準，集成規范性構成了基于云服務的數據安全的重要前提。

3 評估實施過程

3.1 評估方法

在構建完成評估維度和核心指標的基礎上，本文采用模糊綜合評價法（FuzzyComprehensionEvaluation，簡稱FCE）對企業數據安全治理能力成熟度進行評估。FCE是一種基于模糊數學理論用于處理具有不確定性信息的綜合評價方法，已經在管理決策領域得到了廣泛應用[15]。評估基本過程包括確定評價指標、確定權重分配、構建模糊評價矩陣和計算評價結果。

我們構建評估指標集合 U 作為評估對象

本文使用圖1中的核心指標評估企業數據安全治理能力成熟度，共有5個維度，總計25個評估指標（ n=25 ），并假設評估l個層級時指標的權重

為W

當 llt;25 時，權重 W 表示為待評估指標的相對權重，當 l=25 時即表示評估全部核心指標，此時每個指標的權重 為全局權重。企業可根據自身企業類型及重點關注方向進行權重的適應性變換。針對一般性企業，每個指標可設置為同等權重，表明對于信息系統所有評估維度及指標的同等關注度。

前期工作完成后，企業需邀請若干數據安全治理領域專家針對指標集合 U 進行逐項評級，共分為五個等級，分別從1至5表明該指標數據安全治理能力的遞增，專家將 選擇一個合適的評價等級，并構建指標評價矩陣

其中 表示為專家針對指標 選擇評估等級 j 的數量，并針對每一行進行歸一化處理，即保證

從上述指標評價矩陣出發，我們將對企業數據安全治理成熟度任意l個層級進行綜合評價，構建評價向量 B

為了更好地量化結果，本文使用分值向量 P 進行轉換

本文將成熟度劃分為五個等級：無序級、基礎級、管理級、規范級、優化級。整體呈現出從萌芽到成熟狀態的階梯狀過程分布，其中Result對應等級如表1所示：

每個等級分別對應于該階段企業數據安全治理的能力要求和特征，其整體特征描述如表2所示。

3.2 評估等級

3.2.1 無序級

在此階段，企業的數據安全治理體系尚處于起步或初步形成狀態，缺乏明確的合規、風險管理、數據保護和用戶身份管理等關鍵要素的策略和流程，企業僅憑自然發展態勢對待數據安全，缺乏系統的規劃和應對措施，違規行為可能完全不被察覺。該階段的企業應對數據風險能力極弱，尚未認識到數據安全治理的重要性，安全意識薄弱，敏感數據處于高風險狀態，需要盡快構建數據安全治理體系，提高風險防范能力。

3.2.2 基礎級

當前階段，企業已經開始認識到數據安全治理的重要性，并著手制定基礎策略和流程，包括加強人員、技術、資金的投人，基本已構建較為明確的數據安全治理目標。數據開始根據其敏感性進行分類，基礎的訪問控制和數據保護策略開始出現，基礎的風險識別和評估流程也被納入計劃中。然而，盡管取得了一定進展，但仍然存在較大的隱患，敏感數據仍然面臨多種風險。企業下一步工作重點是加強數據安全治理策略和流程的實施，確保所有相關政策在實際操作中得到有效的執行。此外，企業還應著手設計和實施自動化處理流程，以進一步提升數據安全治理的效率和效果。

3.2.3 管理級

在此階段，企業已經實施并建立其數據安全治理體系，關鍵流程和策略已明確并得以遵循。數據保護、訪問控制、風險管理和合規等關鍵領域都已得到了綜合考慮，這表明企業的數據安全治理能力已基本達到應用標準。對于一般敏感程度的數據及部件，管理級的數據安全治理已經能夠應對大部分的安全風險，達到該階段要求是治理走向成熟的關鍵性標志，表明企業已經完成相對科學、規范的數據安全治理過程，大部分數據只會面臨可接受的安全風險，能夠得到較為有效的保護。

3.2.4 規范級

進入此階段的企業已經在其數據安全治理策略中實施了先進的技術和流程，自動化處理是該階段的顯著特征，數據安全治理得到了全面的部署和管理。合規遵從性不再是被動的需求，而是成為支持業務創新的驅動力，策略不僅細化，而且具備動態調整能力，可隨時根據實際情況做出調整。用戶數據的保護已經達到了高級別。在該等級，企業已經解決數據面臨的各種現實風險，但是對于未來可能存在的潛在風險還沒辦法完全預估。

3.2.5 優化級

在最高的成熟度階段，企業的數據安全治理已完全集成并自動化，使用最前沿的技術和最佳實踐來支持業務需求和創新。此階段的企業不僅滿足基本的合規要求，還能持續自我評估和優化，確保其數據安全策略始終站在行業前沿。該階段企業數據安全防控能力極強，能夠保障所有敏感數據的安全，所有數據安全相關的技術、人員和資源均得到合理利用，能夠實現數據安全治理的最高目標。在未來需要持續創新并尋找新的方法和技術以保持領先地位，同時也要確保能夠迅速應對新的威脅和挑戰。

4案例分析

本文在已構建評估維度和指標的基礎上，以J公司為研究對象，應用第3章的評估實施過程，使用評估模型對其數據安全治理水平進行評估，找出信息系統數據安全治理的薄弱方面并提出相應建議，從而驗證本文的評估模型的有效性。

4.1 公司簡介

J公司是一家主營新能源充電設備運營的公司，成立于2015年，注冊地位于安徽省，集研發、銷售、運營為一體，主要從事于新能源汽車及電動自行車充電樁運營業務，從終端設備、系統平臺到運營支撐，提供全方位的充電系統解決方案及充電網運營服務。近幾年來，J公司已與多地政府合作，業務范圍不斷擴張，旗下充電樁運營中電動自行車服務占比 55% ，新能源汽車充電服務占比 45% ，業務地點覆蓋安徽省所有地市及周邊省份部分城市，主要分布于各個城市的商業綜合體、酒店及小區中。J公司基于物聯網研發，已打通線上線下布局，聚焦多處本土社區單元充電需求，形成網格化分布，升級完成多個智能充電樁一站式服務試點，發展態勢良好。

J公司采用信息管理制度，自研有充電運營管理信息系統，包括計算機終端及微信小程序，全面推行OA管理軟件及充電樁服務系統，涵蓋客戶日常的充值充電、數據分析及公司內部管理等需求。在2023年9月，J公司遭受境外不知名黑客團隊攻擊，造成充電服務系統癱瘓長達52小時，其間不僅業務功能受影響，還造成包括用戶及公司內部敏感信息在內的嚴重數據泄露，損失慘重。在危機解除后，J公司隨即組建數據安全治理部門，嚴防此類事件再次發生。

4.2 數據收集

由于J公司在近期才組建數據安全治理部門，在此之前并沒有規范完整的治理過程，所以需要成立專門的評估小組用以評估。除了現有的J公司數據安全治理部門3位負責人外，還邀請了構建充電運營管理信息系統的核心技術成員3位、負責公司審查的部門負責人2位以及項目小組牽頭人1位，共計9位成員。

在經過評估小組全體成員對文章構建的評估指標的審議并獲得一致認可后，根據本次J公司數據安全治理評估總自標明確評估范圍，并確保提供必要的數據支持。本次評估采用了多元化數據收集方式，包括人員訪談、資料分析、問卷調研等，以確保數據的全面性和準確性。評估小組根據上述構建的基于信息系統的企業數據安全治理能力成熟度模型評估指標，結合J公司實際情況進行全面分析，對每一項指標進行評估，并按照1至5級進行評價標注，其中1至5級分別對應本文成熟度模型的無序級至優化級，得到評估對象指標統計，如表3所示。

4.3 評估過程

針對表3獲取的原始評估數據，對每一行進行歸一化處理，得到的結果如表4所示，其數值部分即為指標評價矩陣。

根據表4，我們可以提取出數值部分，形成指標評價矩陣R。在此基礎上結合指標權重W可以進行任意1個層級 的綜合評價。針對J企業，由于其之前未進行過系統的數據安全治理評估，評估小組決定對每個核心評估指標給予同等的關注，所以此次評估所有指標的權重相等。本文以信息系統架構維度評估為例，其對應核心指標是表4評估項中的第1至5行，根據這些信息，我們可以計算出評價向量 B 。

最后，使用分值向量 P 進行轉換

同理可得其余維度、全局整體及每一指標單項評估結果，具體結果在4.4中展示。

4.4 評估結果

本文依次對信息系統架構、開發、數據、用戶、運維5個維度進行評估結果計算，并且分別以5個維度為對象進行該維度下的治理水平評估，其分值結果如圖3所示，通過雷達圖可以清晰地評判企業數據安全治理能力在各個維度及指標上的結果。

圖3（a）揭示了J企業在5個維度的評估分值，可以看到信息系統架構維度和用戶維度方面都具備較為堅實的基礎，而信息系統運維維度則是處于最低分值的狀態，存在顯著的可改進空間。

細分來看，J企業在管理信息系統的用戶身份管理、權限控制及行為監測等方面的安全能力上，表現出高度的重視，并具備了相對成熟的實踐經驗，在系統設計分析階段已考慮到安全需求，基本建立了安全的系統框架。然而，J企業在信息系統運維維度則重視程度不足，缺乏災備恢復能力及系統性能穩定性，這些問題都可能導致系統在面對安全威脅時反應遲緩從而無法保證業務需求，增加數據安全風險。實際上，這也是導致J公司發生數據泄露事件的根本原因。此外，在數據維度方面，J企業主要注重了終端保障功能，即對于客戶使用的微信小程序端數據有著非常良好的防護體系，但是在其余方面均存在著不足的情況。

通過對于每個維度的分析，我們可以更準確地識別J企業在數據安全治理上的優勢和不足，其詳細評價如表5所示。

4.5 對策建議

經過評估，我們發現J公司的管理信息系統在各維度評分存在不均衡的情況，根據木桶原理可知，在一個組織和系統中，實踐能力的高低往往由短板所決定，因此對于J公司而言，當務之急是加強信息系統運維和數據維度的能力。

短期來看，首要任務是針對已識別的顯著風險點采取緊急緩解措施，應盡快落實數據安全治理團隊的目標，快速建立災備恢復計劃，識別關鍵業務數據，至少建立基本的數據備份和恢復流程，保證災備期間基本業務的正常運行，杜絕業務停擺現象的再次發生，并且探索和第三方數據安全公司合作的可能性，臨時補充內部能力的不足。此外，應當部署輕量級的性能監控工具以快速了解系統的瓶頸，保障系統的穩定運行。針對數據庫及數據傳輸過程需要給予更多的關注，確保數據庫管理系統的補丁及時更新，防止已知漏洞的攻擊，同時對現有的數據傳輸路徑進行全面審查，識別并關閉任何未加密的數據通道，對外部接口返回的數據進行嚴格的敏感信息過濾和處理，防止敏感數據泄露給未授權的用戶或系統，并且采用成熟的技術實現加密過程。

長期來看，僅僅是修補不足是不夠的，J企業應該建立全面的安全培訓體系，確保涵蓋所有員工和合作伙伴，培訓內容應包括安全意識教育、安全技能培訓和應急響應演練等，通過定期的安全知識競賽、模擬攻擊演練等活動，提升員工的安全意識和實戰能力。針對現有短板，J企業應該制定詳細的災難恢復計劃和業務連續性規劃，以確保在發生重大災難時能夠迅速恢復業務運營，為此，可能需要與第三方組織合作，并自建備用數據中心，組建明確的安全人員團隊，實現持續風險管理機制。此外，J企業需要一定周期重新評估企業的數據安全治理水平，根據評估結果動態調整安全策略和技術防護措施，確保企業始終能夠應對新出現的安全挑戰。

5 總結

隨著信息技術的深入融合和企業數字化轉型的加速發展，企業數據安全問題已逐漸成為關注的重點之一。為幫助企業更好地理解和提升自身的數據安全治理能力，建立一套數據安全治理能力成熟度的評估方法顯得尤為重要。考慮到信息系統作為數據的主要載體，其在數據安全治理中的核心地位不容忽視，本文基于這一需求，設計并提出了基于信息系統的企業數據安全治理能力成熟度模型。

在原有的能力成熟度模型基礎上，本文構建了五個評估維度，以評估信息系統的能力成熟度，分別是信息系統架構、信息系統開發、信息系統數據、信息系統用戶和信息系統運維，基于每個維度的特性以及數據安全治理的實施方向，本文提出了相應的核心指標并進行了詳細的論述。基于評估維度和核心指標，本文將企業數據安全治理能力劃分為五個不同的成熟度等級，分別是無序級、基礎級、管理級、規范級和優化級，并構建評估過程。本文以J企業的充電運營管理信息系統為評估對象，通過實際應用檢驗了本文提出的數據安全治理能力成熟度模型，評估結果顯示，J企業在信息系統運維維度和數據維度評分較低，而在信息系統用戶維度評分較高，同時，本文還對每個指標進行了具體的評分，并基于J企業的實際情況，提出了針對性的對策建議。本文旨在為企業提供一種科學、合理的評估方法，幫助企業評估自身信息系統的數據安全治理成熟度，從而制定更加科學、合理的策略和措施。

本文所提出的基于信息系統的企業數據安全治理能力成熟度模型，為企業數據安全治理提供了一個新的評估視角和方法，能夠為企業提供有益的參考和指導，助力企業在數據安全治理上取得更加出色的成果。在未來的研究中，可以進一步探討模型核心指標的權重計算方法，以便根據不同企業的特點和需求進行更為靈活的評估，并根據實踐經驗不斷完善和優化成熟度模型。

參考文獻

[1］楊琳，高洪美，宋俊典，等.大數據環境下的數據治理框架研究及應用[J].計算機應用與軟件，2017，34（04）：65-69.

［2］王慶德，呂欣，王慧鈞，等.數據安全治理的行業實踐研究[J].信息安全研究，2022，8（04）：333-339.

[3]NICHO M.A process model for implementing informationsystems security governance[J]. Information amp;. Computer Se-curity，2018，26（1）： 10-38.

[4]BACH J.The Immaturity of the CMM[J].American Pro-grammer，1994，7：13.

[5］田軍，鄒沁，汪應洛.政府應急管理能力成熟度評估研究[J].管理科學學報，2014，17（11）：97-108.

[6］詹偉，邱菀華.項目管理成熟度模型及其應用研究[J].北京航空航天大學學報（社會科學版），2007（01）：18-21.

[7］吳志剛，廖昕，朱勝，等.政務大數據成熟度模型研究與應用[J].中國科技產業，2016（08）：77-80.

［8］中國電子技術標準化研究院，軟件服務有限公司阿里巴巴北京，中國信息安全測評中心，等.信息安全技術數據安全能力成熟度模型[S].國家市場監督管理總局；中國國家標準化管理委員會，2009.

［9］宋好好.云計算信息系統信息安全等級保護測評關鍵技術研究[J].信息網絡安全，2015（09）：167-169.

[10]MOGHADAM R S， Colomo-Palacios R. Information secu-rity governance in big data environments： A systematic map-ping[J]. Procedia computer science，20l8，138： 401-408.

[11]劉汝焯.計算機審計技術和方法[M].北京：清華大學出版社，2004.

[12]FITRIANI W R， RAHAYU P， SENSUSE D I. Chalengesin agile software development：A systematic literature re-view：2Ol6 International Conference on Advanced ComputerScience and Information Systems （ICACSIS）[C]. IEEE，2016.

[13]VANEMAN W K，TRIANFIS K. Planning for technologyimplementation： an SD （DEA） approach： PICMET'01. Port-land International Conference on Management of Engineer-ing and Technology.Proceedings Vol.1： Book of Summa-ries （IEEE Cat.No.01CH37199）[C].IEEE，2001.

[14]PILEGGI P，LAZOVIK E，BROEKHUIJSEN J，et al.Lifecycle Governance forEffectiveDigital Twins：A JointSystems Engineering and IT Perspective：2O2O IEEE International Systems Conference （SysCon）[C]. IEEE，2020.

[15]韓利，梅強，陸玉梅，等.AHP一模糊綜合評價方法的分析與研究[J].中國安全科學學報，2004（07）：89-92.