關(guān)于構(gòu)建數(shù)據(jù)安全生態(tài)圈的研究與實(shí)踐

曾令平 李 凱 楊浩淼

1(神州綠盟成都科技有限公司 成都 610213)

2(北京神州綠盟科技有限公司 北京 100089)

3(電子科技大學(xué) 成都 611731)

數(shù)字經(jīng)濟(jì)的發(fā)展離不開(kāi)對(duì)數(shù)據(jù)安全的保障，當(dāng)前發(fā)展過(guò)程中顯露出來(lái)的數(shù)據(jù)安全問(wèn)題阻礙著數(shù)字經(jīng)濟(jì)的發(fā)展.此外，一些網(wǎng)絡(luò)安全問(wèn)題聚化為數(shù)據(jù)安全問(wèn)題，如跨境數(shù)據(jù)流動(dòng)、數(shù)據(jù)泄露等.Risk Based Security公司的數(shù)據(jù)顯示，2020年3個(gè)季度數(shù)據(jù)泄露的總數(shù)達(dá)到360億條[1].與此同時(shí)，數(shù)據(jù)壟斷、數(shù)據(jù)濫用、數(shù)據(jù)權(quán)屬、數(shù)據(jù)流通等新型問(wèn)題也進(jìn)入研究和管理視野[2].

美國(guó)、歐盟、中國(guó)等陸續(xù)出臺(tái)的重要政策和執(zhí)法措施越來(lái)越聚焦“數(shù)據(jù)安全”和“隱私保護(hù)”.歐盟發(fā)布了《通用數(shù)據(jù)保護(hù)條例》(General Data Protection Regulation, GDPR)[3]；美國(guó)加利福尼亞州公布了《加利福尼亞州消費(fèi)者隱私法案》(California Consumer Privacy Act, CCPA)[4]；中國(guó)則頒布了《中華人民共和國(guó)網(wǎng)絡(luò)安全法》(以下簡(jiǎn)稱《網(wǎng)絡(luò)安全法》)、《中華人民共和國(guó)數(shù)據(jù)安全法》(以下簡(jiǎn)稱《數(shù)據(jù)安全法》)和《中華人民共和國(guó)個(gè)人信息保護(hù)法》(以下簡(jiǎn)稱《個(gè)人信息保護(hù)法》)，這3部法律在立法定位上堅(jiān)持總體國(guó)家安全觀，共同構(gòu)成了我國(guó)數(shù)據(jù)新秩序下的三駕馬車.與此同時(shí)，截止到2021年8月，全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)(TC260)圍繞數(shù)據(jù)安全和個(gè)人信息保護(hù)發(fā)布9項(xiàng)、在研22項(xiàng)國(guó)家標(biāo)準(zhǔn)[5].這一系列操作對(duì)數(shù)據(jù)商業(yè)化利用與公民個(gè)人信息保護(hù)之間的關(guān)系進(jìn)行了規(guī)則約束，保護(hù)了數(shù)據(jù)和公民個(gè)人信息安全，維護(hù)了國(guó)家安全和公民合法權(quán)益，對(duì)數(shù)字經(jīng)濟(jì)發(fā)展起到了極大的推動(dòng)作用.

隨著國(guó)家政策、法律法規(guī)逐漸完善，傳統(tǒng)安全企業(yè)布局正悄然發(fā)生轉(zhuǎn)變，互聯(lián)網(wǎng)頭部企業(yè)開(kāi)始布局網(wǎng)絡(luò)安全領(lǐng)域，網(wǎng)絡(luò)安全廠商、電信運(yùn)營(yíng)商、設(shè)備廠商以及一些新生的獨(dú)角獸企業(yè)都不同程度聚焦在5G安全、數(shù)據(jù)安全、安全合規(guī)等前沿?zé)狳c(diǎn)領(lǐng)域和方向.在“十四五”規(guī)劃的征求意見(jiàn)稿中，“數(shù)據(jù)”一詞出現(xiàn)了60余次.隨著新基建的不斷發(fā)展以及數(shù)據(jù)開(kāi)放的齒輪不斷加快，在合規(guī)的前提下，數(shù)據(jù)業(yè)務(wù)所帶來(lái)的價(jià)值將是巨大的.智慧城市、智慧醫(yī)療、智能配送等都在運(yùn)用大數(shù)據(jù)分析技術(shù)，數(shù)據(jù)價(jià)值已成為一種新常態(tài).

1 數(shù)據(jù)安全概述

隨著我國(guó)《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》和《個(gè)人信息保護(hù)法》的制定與實(shí)施，合規(guī)性已成為數(shù)據(jù)安全治理與建設(shè)的重要驅(qū)動(dòng)力.在數(shù)據(jù)安全合規(guī)視角下，數(shù)據(jù)安全的需求和驅(qū)動(dòng)力發(fā)生了根本性的改變.因此，本文以《網(wǎng)絡(luò)安全法》正式實(shí)施為分界線，將數(shù)據(jù)安全治理與建設(shè)分為2個(gè)階段：無(wú)合規(guī)性需求與有合規(guī)性需求，并分別定義為數(shù)據(jù)安全1.0與數(shù)據(jù)安全2.0階段[6].2個(gè)階段的比較如表1所示：

表1 數(shù)據(jù)安全2個(gè)階段比較

在數(shù)據(jù)安全2.0階段，開(kāi)展數(shù)據(jù)安全治理與建設(shè)主要有3個(gè)驅(qū)動(dòng)力：合規(guī)驅(qū)動(dòng)、風(fēng)險(xiǎn)驅(qū)動(dòng)和業(yè)務(wù)驅(qū)動(dòng)，數(shù)據(jù)安全合規(guī)性已成為其中最重要的驅(qū)動(dòng)力.因此，本文將從構(gòu)建數(shù)據(jù)安全生態(tài)圈基本框架以及各層級(jí)的基本內(nèi)容出發(fā)，結(jié)合落地實(shí)踐經(jīng)驗(yàn)，提出數(shù)據(jù)安全建設(shè)落地執(zhí)行路徑.

2 數(shù)據(jù)安全生態(tài)圈的定義

在網(wǎng)絡(luò)安全領(lǐng)域，已經(jīng)提出構(gòu)建由中央網(wǎng)絡(luò)安全與信息化委員辦公室統(tǒng)一領(lǐng)導(dǎo)、網(wǎng)絡(luò)安全主管部門(mén)協(xié)調(diào)負(fù)責(zé)、各相關(guān)部門(mén)齊抓共管、網(wǎng)絡(luò)行業(yè)組織積極推動(dòng)、網(wǎng)絡(luò)公司主動(dòng)履責(zé)、網(wǎng)民及社會(huì)各界廣泛參與的“六位一體”網(wǎng)絡(luò)安全生態(tài)圈[7].借助網(wǎng)絡(luò)安全生態(tài)圈的構(gòu)建思路，本文提出的數(shù)據(jù)安全生態(tài)圈是指全民共同守護(hù)、全社會(huì)共同參與、全世界合作互融，以“1個(gè)中心，2個(gè)循環(huán)，3個(gè)體系，5個(gè)關(guān)鍵，8大路線”為頂層設(shè)計(jì)的數(shù)據(jù)安全生態(tài)融合體系，如圖1所示.該體系相互影響、相互制約、相互信任、不斷演變，并在一定時(shí)期內(nèi)處于相對(duì)穩(wěn)定的動(dòng)態(tài)平衡狀態(tài).

圖1 數(shù)據(jù)安全生態(tài)圈架構(gòu)

3 數(shù)據(jù)安全生態(tài)圈的構(gòu)成

3.1 1個(gè)中心

《信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》[8](以下簡(jiǎn)稱“DSMM”)以數(shù)據(jù)為中心，重點(diǎn)圍繞數(shù)據(jù)生命周期，從組織建設(shè)、制度流程、技術(shù)工具、人員能力4個(gè)維度給出了組織數(shù)據(jù)安全能力的成熟度模型架構(gòu).基于DSMM思想，提出以數(shù)據(jù)安全防護(hù)為中心的數(shù)據(jù)安全生態(tài)圈建設(shè)目標(biāo)，圍繞數(shù)據(jù)處理活動(dòng)展開(kāi)安全防護(hù)，實(shí)現(xiàn)組織數(shù)據(jù)安全治理與能力建設(shè).

3.2 2個(gè)循環(huán)

在組織數(shù)據(jù)安全治理與能力建設(shè)上要實(shí)現(xiàn)“雙循環(huán)”新格局，“雙循環(huán)”可解釋為“內(nèi)循環(huán)”和“外循環(huán)”.“內(nèi)循環(huán)”指組織需選擇適合自身的數(shù)據(jù)安全建設(shè)體系，從管理、技術(shù)、運(yùn)營(yíng)等不同維度出發(fā)，不斷獲得相對(duì)安全；“外循環(huán)”是指在“內(nèi)循環(huán)”的基礎(chǔ)上，隨著數(shù)字產(chǎn)業(yè)化的不斷發(fā)展和完善，組織的數(shù)據(jù)業(yè)務(wù)通過(guò)合法合規(guī)的流動(dòng)產(chǎn)生價(jià)值，為組織帶來(lái)數(shù)字紅利.

3.3 3個(gè)體系

管理和技術(shù)不分家，兩者相輔相成.管理和技術(shù)的不斷融合需要持續(xù)運(yùn)營(yíng)和不斷優(yōu)化調(diào)整，以實(shí)現(xiàn)持續(xù)自適應(yīng)的數(shù)據(jù)安全防護(hù)能力.對(duì)于不同數(shù)據(jù)責(zé)任主體，數(shù)據(jù)安全體系建設(shè)的工作目標(biāo)和側(cè)重點(diǎn)也有所不同.參照《電信和互聯(lián)網(wǎng)行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)體系建設(shè)指南》[9]、DSMM等標(biāo)準(zhǔn)，借鑒行業(yè)最佳實(shí)踐，對(duì)組織提出建設(shè)包含管理體系、技術(shù)體系和運(yùn)營(yíng)體系的數(shù)據(jù)安全體系.

3.3.1 管理體系

從組織管理視角出發(fā)，通過(guò)對(duì)政策法規(guī)、標(biāo)準(zhǔn)規(guī)范及行業(yè)主管部門(mén)的管理要求進(jìn)行解讀，管理體系設(shè)計(jì)主要從組織建設(shè)、管理策略與制度、管理流程和能力認(rèn)證4個(gè)維度進(jìn)行橫向擴(kuò)展，再對(duì)每個(gè)維度進(jìn)行縱向細(xì)分，形成可落地執(zhí)行的數(shù)據(jù)安全管理體系，如圖2所示.

圖2 數(shù)據(jù)安全管理體系設(shè)計(jì)

3.3.2 技術(shù)體系

數(shù)據(jù)安全技術(shù)體系是數(shù)據(jù)安全實(shí)踐工作的保障條件，也是數(shù)據(jù)安全管理的輔助手段.數(shù)據(jù)安全技術(shù)體系設(shè)計(jì)從數(shù)據(jù)采集、數(shù)據(jù)傳輸、數(shù)據(jù)存儲(chǔ)、數(shù)據(jù)處理、數(shù)據(jù)交換、數(shù)據(jù)銷毀的全生命周期出發(fā)，綜合組織所有安全域進(jìn)行整體規(guī)劃，并考慮需要具備的技術(shù)手段和工具，如圖3所示.

圖3 數(shù)據(jù)安全技術(shù)體系設(shè)計(jì)

3.3.3 運(yùn)營(yíng)體系

數(shù)據(jù)安全治理與能力建設(shè)是一個(gè)長(zhǎng)期持續(xù)的過(guò)程，需要在組織內(nèi)持續(xù)落實(shí)數(shù)據(jù)安全管理和技術(shù)要求，并基于組織的自身特點(diǎn)、具體業(yè)務(wù)場(chǎng)景和技術(shù)發(fā)展不斷調(diào)整和優(yōu)化，形成數(shù)據(jù)安全運(yùn)營(yíng)長(zhǎng)效機(jī)制，為數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估、報(bào)告、信息共享、監(jiān)測(cè)預(yù)警、處置等提供能力支撐.數(shù)據(jù)安全運(yùn)營(yíng)體系設(shè)計(jì)由淺入深主要分為4個(gè)層級(jí)：數(shù)據(jù)監(jiān)測(cè)、常態(tài)管控、風(fēng)險(xiǎn)預(yù)警、持續(xù)改進(jìn)，如圖4所示：

圖4數(shù)據(jù)安全運(yùn)營(yíng)體系設(shè)計(jì)

3.4 5個(gè)關(guān)鍵

在進(jìn)行數(shù)據(jù)安全體系整體規(guī)劃和設(shè)計(jì)時(shí)，需根據(jù)組織具體業(yè)務(wù)和應(yīng)用場(chǎng)景等合理進(jìn)行.在此過(guò)程中，需注意以下5個(gè)關(guān)鍵點(diǎn).

3.4.1 頂層數(shù)據(jù)安全標(biāo)準(zhǔn)的制定

數(shù)據(jù)安全標(biāo)準(zhǔn)的制定遵循層級(jí)式設(shè)計(jì)理念.依據(jù)政策法規(guī)、標(biāo)準(zhǔn)規(guī)范和行業(yè)要求，結(jié)合實(shí)際業(yè)務(wù)需求，制定數(shù)據(jù)安全管理標(biāo)準(zhǔn)四級(jí)框架，形成一套完整的、可操作的管理制度和管理流程，確保數(shù)據(jù)安全工作有法可依、有規(guī)可循.

3.4.2 組織建設(shè)與人員能力支撐

進(jìn)行數(shù)據(jù)安全管理首先要成立專門(mén)的數(shù)據(jù)安全管理的組織機(jī)構(gòu)，以明確數(shù)據(jù)安全管理的政策，落實(shí)和監(jiān)督由誰(shuí)長(zhǎng)期負(fù)責(zé)，確保數(shù)據(jù)安全管理的有效落實(shí).組織機(jī)構(gòu)可按照決策層、管理層、執(zhí)行層、監(jiān)督層這4個(gè)層級(jí)進(jìn)行設(shè)計(jì)，在具體執(zhí)行過(guò)程中，可賦予已有安全團(tuán)隊(duì)與其他相關(guān)部門(mén)數(shù)據(jù)安全管理的工作職能，或?qū)で蟮谌綄I(yè)團(tuán)隊(duì)開(kāi)展工作.在人員能力支撐方面，已經(jīng)有關(guān)于網(wǎng)絡(luò)安全行業(yè)特殊人才的提案，且近期國(guó)家主管部門(mén)也在統(tǒng)籌制定人才認(rèn)定的標(biāo)準(zhǔn).組織在培養(yǎng)數(shù)據(jù)安全人員能力時(shí)，需要重點(diǎn)關(guān)注以下4個(gè)能力：數(shù)據(jù)安全管理能力、數(shù)據(jù)安全技術(shù)能力、數(shù)據(jù)安全運(yùn)營(yíng)能力和數(shù)據(jù)安全合規(guī)能力.

3.4.3 數(shù)據(jù)安全管理基線標(biāo)準(zhǔn)化

數(shù)據(jù)安全管理基線(以下簡(jiǎn)稱“數(shù)據(jù)安全基線”)可以理解為數(shù)據(jù)安全管理要求，是指組織開(kāi)展數(shù)據(jù)處理活動(dòng)和有關(guān)平臺(tái)系統(tǒng)應(yīng)遵循的原則和安全保護(hù)要求，包括組織保障、制度建設(shè)、規(guī)范與流程建立等管理性要求，規(guī)范執(zhí)行相關(guān)配套技術(shù)性要求，以及實(shí)行數(shù)據(jù)安全運(yùn)營(yíng)的可持續(xù)性要求.國(guó)務(wù)院2021年度立法工作計(jì)劃就包括制定數(shù)據(jù)安全管理?xiàng)l例[10]，2020年TC260發(fā)布的《信息安全技術(shù) 網(wǎng)絡(luò)數(shù)據(jù)處理安全規(guī)范》(征求意見(jiàn)稿)[11]也提出了網(wǎng)絡(luò)運(yùn)營(yíng)者利用網(wǎng)絡(luò)開(kāi)展數(shù)據(jù)處理活動(dòng)應(yīng)遵循的規(guī)范和安全要求.因此，數(shù)據(jù)安全基線標(biāo)準(zhǔn)化勢(shì)在必行，如圖5所示：

圖5 數(shù)據(jù)安全基線標(biāo)準(zhǔn)化

3.4.4 工具定制開(kāi)發(fā)與自主創(chuàng)新

多年來(lái)，國(guó)內(nèi)外大環(huán)境的不斷變化為信創(chuàng)產(chǎn)業(yè)的誕生創(chuàng)造了絕佳時(shí)機(jī).信創(chuàng)產(chǎn)業(yè)是數(shù)據(jù)安全、網(wǎng)絡(luò)安全的基礎(chǔ)，也是“新基建”的重要內(nèi)容.無(wú)論是網(wǎng)絡(luò)基礎(chǔ)設(shè)施建設(shè)主體、設(shè)備廠商、安全廠商還是其他各家企業(yè)，都需要有自主創(chuàng)新思維和自主研發(fā)能力，構(gòu)建起自己的產(chǎn)業(yè)標(biāo)準(zhǔn)和生態(tài)，逐漸擺脫西方國(guó)家的技術(shù)限制[12].

3.4.5 數(shù)據(jù)安全一體化安全運(yùn)營(yíng)

數(shù)據(jù)流動(dòng)才能產(chǎn)生價(jià)值，數(shù)據(jù)安全的有效流動(dòng)需要通過(guò)建設(shè)數(shù)據(jù)安全一體化安全運(yùn)營(yíng)機(jī)制來(lái)保障.Gartner發(fā)布的2021年10大數(shù)據(jù)和分析趨勢(shì)之一便是XOps，其目標(biāo)是運(yùn)用DevOps的最佳實(shí)踐實(shí)現(xiàn)效率和規(guī)模經(jīng)濟(jì)，在保證可靠性、可重用性和可重復(fù)性的同時(shí)，減少技術(shù)和流程的重復(fù)并實(shí)現(xiàn)自動(dòng)化.XOps使企業(yè)機(jī)構(gòu)能夠通過(guò)數(shù)據(jù)和分析的運(yùn)營(yíng)化推動(dòng)業(yè)務(wù)價(jià)值的實(shí)現(xiàn)[13].

2021年3月19日，綠盟科技正式發(fā)布智慧安全3.0理念體系.該理念體系提出以體系化建設(shè)為指引，構(gòu)建“全場(chǎng)景，可信任，實(shí)戰(zhàn)化”的安全運(yùn)營(yíng)能力，達(dá)到“全面防護(hù)，智能分析，自動(dòng)響應(yīng)”的防護(hù)效果.可見(jiàn)，數(shù)據(jù)安全一體化安全運(yùn)營(yíng)已不再遙遠(yuǎn)，其將逐漸成為一種新趨勢(shì)、新業(yè)態(tài).

3.5 8大路線

數(shù)據(jù)安全生態(tài)圈建設(shè)的有效落地需要先做好計(jì)劃，然后實(shí)施，實(shí)施中進(jìn)行復(fù)核檢測(cè)，進(jìn)而改進(jìn)，如此反復(fù)階梯式完成，形成一個(gè)螺旋式上升的PDCA循環(huán).因此便有了以下8大路線：協(xié)調(diào)戰(zhàn)略 、制定行動(dòng)計(jì)劃(P)、多方參與、啟動(dòng)基線控制(D)、策略執(zhí)行與下發(fā)、監(jiān)測(cè)與創(chuàng)新(C)、安全運(yùn)營(yíng)、評(píng)估和優(yōu)化(A).這8大路線包含2條邏輯鏈路，一條是“技管并重，分級(jí)防護(hù)”，即確定統(tǒng)一的數(shù)據(jù)安全戰(zhàn)略與方針，制定多部門(mén)共同參與的機(jī)制，采用管理和技術(shù)相結(jié)合的方式，針對(duì)數(shù)據(jù)資產(chǎn)和數(shù)據(jù)應(yīng)用場(chǎng)景采取差異化的管控措施，建立持續(xù)自適應(yīng)的數(shù)據(jù)安全風(fēng)險(xiǎn)和信任評(píng)估機(jī)制，合理選擇安全控制方式，有效降低數(shù)據(jù)安全風(fēng)險(xiǎn).另一條是“集中運(yùn)營(yíng)，循序漸進(jìn)”，即建立層次化的數(shù)據(jù)安全管理組織和集中的數(shù)據(jù)安全管控措施，全面覆蓋數(shù)據(jù)安全治理與能力建設(shè)各個(gè)領(lǐng)域，實(shí)現(xiàn)可度量、可管理、可改進(jìn)的集中運(yùn)營(yíng)保障體系，為業(yè)務(wù)的平穩(wěn)運(yùn)行提供可信的數(shù)據(jù)安全支撐環(huán)境.

通過(guò)以上8大路線的2條邏輯鏈路的落地實(shí)施，最終形成完善的、有效銜接的、響應(yīng)及時(shí)的和運(yùn)轉(zhuǎn)高效的數(shù)據(jù)安全生態(tài)運(yùn)營(yíng)體系.

4 數(shù)據(jù)安全KPI指標(biāo)體系實(shí)踐

近年來(lái)，我國(guó)不斷出臺(tái)數(shù)據(jù)安全和個(gè)人信息保護(hù)法律、法規(guī)和相關(guān)政策.例如，《網(wǎng)絡(luò)安全法》聚焦網(wǎng)絡(luò)安全方向，維護(hù)網(wǎng)絡(luò)空間良好生態(tài)；《數(shù)據(jù)安全法》是數(shù)據(jù)領(lǐng)域的基礎(chǔ)性法律，強(qiáng)調(diào)了保障數(shù)據(jù)安全與促進(jìn)數(shù)據(jù)開(kāi)發(fā)利用并重；《民法典》設(shè)立專章規(guī)范隱私權(quán)和個(gè)人信息保護(hù)，提出個(gè)人信息權(quán)益并將其定位為人格屬性；《個(gè)人信息保護(hù)法》是針對(duì)個(gè)人信息保護(hù)的專門(mén)法律，兼顧個(gè)人信息的安全和利用；《信息安全技術(shù) 個(gè)人信息安全規(guī)范》[14]也是針對(duì)個(gè)人信息安全，提供了具有可操作性的指引，規(guī)范了個(gè)人信息處理活動(dòng)應(yīng)遵循的原則和安全要求.

本文將根據(jù)上述政策法規(guī)及標(biāo)準(zhǔn)規(guī)范，從數(shù)據(jù)安全KPI指標(biāo)體系設(shè)計(jì)入手，進(jìn)一步分析數(shù)據(jù)安全體系建設(shè)可落地執(zhí)行的路徑，包括KPI指標(biāo)體系模型、KPI指標(biāo)體系總體框架以及數(shù)據(jù)安全評(píng)價(jià)指標(biāo)和評(píng)價(jià)要素[15]等.

4.1 KPI指標(biāo)體系模型

目前，無(wú)論是國(guó)家層面還是行業(yè)實(shí)踐，都暫未形成帶有考核性質(zhì)的數(shù)據(jù)安全KPI指標(biāo)體系標(biāo)準(zhǔn).因此，從保障數(shù)據(jù)安全持續(xù)優(yōu)化改進(jìn)的角度出發(fā)，參考智慧城市評(píng)價(jià)模型[15]以及《數(shù)據(jù)安全治理能力評(píng)估方法》[16]，擬在規(guī)劃數(shù)據(jù)安全體系建設(shè)全景圖的基礎(chǔ)上，研究設(shè)計(jì)符合組織管理、技術(shù)、運(yùn)營(yíng)特點(diǎn)的數(shù)據(jù)安全KPI指標(biāo)體系模型.模型主要由能力類指標(biāo)、成效類指標(biāo)和運(yùn)營(yíng)類指標(biāo)組成，如圖6所示.

圖6 數(shù)據(jù)安全KPI指標(biāo)體系模型

4.2 KPI指標(biāo)體系總體框架

根據(jù)數(shù)據(jù)安全KPI指標(biāo)體系模型，數(shù)據(jù)安全KPI指標(biāo)體系總體框架如圖7所示.

圖7 數(shù)據(jù)安全KPI指標(biāo)體系總體框架

在數(shù)據(jù)安全KPI指標(biāo)體系總體框架中，能力類、成效類及運(yùn)營(yíng)類指標(biāo)所涉及的各個(gè)方面均為一級(jí)指標(biāo)，每個(gè)一級(jí)指標(biāo)包含若干二級(jí)指標(biāo)評(píng)價(jià)要素，每個(gè)二級(jí)指標(biāo)評(píng)價(jià)要素代表對(duì)一級(jí)指標(biāo)某個(gè)側(cè)重面的考量依據(jù).總體框架共包含13個(gè)一級(jí)指標(biāo)、 46個(gè)二級(jí)指標(biāo)評(píng)價(jià)要素.二級(jí)指標(biāo)評(píng)價(jià)要素的確立可根據(jù)當(dāng)年政策法規(guī)及組織自身管理要求動(dòng)態(tài)變化，以適應(yīng)數(shù)據(jù)安全與業(yè)務(wù)的健康發(fā)展.

4.3 評(píng)價(jià)指標(biāo)和評(píng)價(jià)要素

根據(jù)數(shù)據(jù)安全KPI指標(biāo)體系總體框架，這里僅對(duì)能力類一級(jí)指標(biāo)下的二級(jí)指標(biāo)評(píng)價(jià)要素進(jìn)行部分列舉和說(shuō)明，如表2所示：

表2 能力類一級(jí)指標(biāo)下的二級(jí)指標(biāo)評(píng)價(jià)要素

5 結(jié)束語(yǔ)

2021年是“十四五”開(kāi)局之年，也是構(gòu)建數(shù)據(jù)新次序的開(kāi)篇之年.國(guó)家層面既針對(duì)數(shù)據(jù)安全和個(gè)人信息保護(hù)領(lǐng)域制定立法依據(jù)，也針對(duì)安全人才培養(yǎng)和認(rèn)定、安全意識(shí)提升等提供認(rèn)證渠道，這對(duì)數(shù)據(jù)安全治理與能力建設(shè)起到很大的推動(dòng)作用.在有條不紊地推進(jìn)數(shù)據(jù)安全生態(tài)圈落地實(shí)施的同時(shí)，應(yīng)將數(shù)據(jù)安全與健康發(fā)展、維護(hù)用戶合法權(quán)益等作為組織必不可少的內(nèi)容，確保數(shù)據(jù)合法有序地流動(dòng)、共享、交易，積極推動(dòng)自身數(shù)字化轉(zhuǎn)型升級(jí)和業(yè)務(wù)增長(zhǎng).