組織數(shù)據(jù)安全自適應(yīng)評價機制研究

范曉娟 劉玉嶺 吳 迪

1(中國科學(xué)院信息工程研究所知識保存與傳播工作室 北京 100101)

2(山東農(nóng)業(yè)大學(xué)公共管理學(xué)院 山東泰安 271000)

3(中國科學(xué)院信息工程研究所第六研究室 北京 100101)

4(中國網(wǎng)絡(luò)安全審查技術(shù)與認證中心 北京 100101)

(1403860778@qq.com)

2020年4月，《中共中央國務(wù)院關(guān)于構(gòu)建更加完善的要素市場化配置體制機制的意見》正式發(fā)布，國家層面首次將數(shù)據(jù)明確為生產(chǎn)要素.在2020年全球新型冠狀病毒社會背景下，中國數(shù)字經(jīng)濟增長規(guī)模達39.2萬億元，占當年GDP比重的38.6%(數(shù)據(jù)產(chǎn)業(yè)生態(tài)聯(lián)盟數(shù)據(jù)產(chǎn)業(yè)發(fā)展白皮書，2021)；與此同時，同年全球數(shù)據(jù)泄露、濫用、誤用安全事件已突破360億，給政府企業(yè)造成的成本損失為386億美元.2025年，中國數(shù)據(jù)量將占全球數(shù)據(jù)量的27.8%，成為全球最大的數(shù)據(jù)圈(IDC，2020).因此，在保護數(shù)據(jù)治理安全的基礎(chǔ)上充分發(fā)揮數(shù)據(jù)的使用價值成為全球數(shù)字經(jīng)濟發(fā)展關(guān)注的核心焦點.數(shù)據(jù)信息的跨國界流動安全深刻影響著世界經(jīng)濟格局，組織個體運行面臨更為復(fù)雜多變的內(nèi)外部安全環(huán)境和形勢.

1 數(shù)據(jù)安全回歸組織自適應(yīng)治理評估的現(xiàn)實意義

長期以來，數(shù)據(jù)安全治理偏重于“組織系統(tǒng)理論框架”和“監(jiān)管式評估”，較少關(guān)注“組織機構(gòu)的默認運營”和“組織自適應(yīng)管理能力評估”，如何鼓勵組織從數(shù)據(jù)安全治理新概念到有益實踐仍屬一個新課題：一方面，新問題集中表現(xiàn)為組織系統(tǒng)如何將數(shù)據(jù)安全轉(zhuǎn)化為生產(chǎn)力；另一方面，組織內(nèi)外部平行數(shù)據(jù)安全治理形成的成本疊加與平衡增量效益的重要性評估表明，鼓勵組織核心決策人、部門機構(gòu)管理人深度學(xué)習認知轉(zhuǎn)變，發(fā)展“組織系統(tǒng)自適應(yīng)性數(shù)據(jù)安全”能夠更好優(yōu)化政府與組織內(nèi)外資源配置.

1.1 擴大產(chǎn)業(yè)增量，緩解合規(guī)成本

數(shù)據(jù)安全治理的目標是在數(shù)字規(guī)制與數(shù)字應(yīng)用能力之間尋求平衡，具體體現(xiàn)在讓提升數(shù)據(jù)安全水平成為組織自發(fā)需求，而非被動式的數(shù)據(jù)安全合規(guī)應(yīng)對.目前，研究多側(cè)重于外部監(jiān)管維度的組織數(shù)據(jù)“合規(guī)”，但較少關(guān)注組織的當?shù)丶熬植繖C構(gòu)的適應(yīng)性，與組織“成本-收益”預(yù)期的經(jīng)濟屬性脫節(jié).從過程論視角來指導(dǎo)組織機構(gòu)部門與業(yè)務(wù)體系動態(tài)自評估發(fā)展，有效平衡數(shù)據(jù)治理成本，加強組織產(chǎn)品研發(fā)和業(yè)務(wù)流程應(yīng)用競爭能力，提高組織系統(tǒng)創(chuàng)新應(yīng)用.將數(shù)據(jù)安全涉及的核心信息隱私等問題引入系統(tǒng)與軟件生命周期過程，擴展系統(tǒng)與軟件工程實踐，有利于賦能組織跨境數(shù)據(jù)安全流動，拉動新一輪產(chǎn)業(yè)資本化.

1.2 優(yōu)化政府與組織機構(gòu)的資源配置

組織數(shù)據(jù)安全治理能力評價的影響因素復(fù)雜，不僅僅受外部社會資源約束，且受復(fù)雜多樣組織本身機構(gòu)作用關(guān)系、組織核心利益方與決策者的價值觀等主觀認知因素的影響，導(dǎo)致目前關(guān)于組織自適應(yīng)能力評價的理論與實踐、可實現(xiàn)量化評價和持續(xù)優(yōu)化的組織適應(yīng)數(shù)據(jù)安全治理應(yīng)用模式較少.傳統(tǒng)“中性”治理成本造成的過度消耗負面問題并未得到治理倡導(dǎo)者的足夠重視.通過科學(xué)方法衡量一個組織的數(shù)據(jù)安全能力成熟度等級，用更為內(nèi)在的組織數(shù)據(jù)安全“自適應(yīng)能力”指標不可或缺.數(shù)據(jù)安全治理主要在實現(xiàn)目標與方法中探索有效實踐，圍繞實踐治理機制的管理、技術(shù)、評估和運營中的機構(gòu)“相互作用”過程，逐步延伸到金融、醫(yī)療、教育等重要行業(yè)組織機構(gòu)對于數(shù)據(jù)要素業(yè)務(wù)過程安全的自評估機制，有效實現(xiàn)組織機構(gòu)內(nèi)部以及政府、社會的資源配置.

2 組織數(shù)據(jù)安全治理系統(tǒng)框架模型與實踐現(xiàn)狀

目前，關(guān)于數(shù)據(jù)安全治理的系統(tǒng)理論模型和實踐主要來自于歐盟、美國、加拿大，代表性學(xué)者和機構(gòu)的研究理論推動形成國際適用性的框架和指南[1]，如表1所示：我國目前以平臺公司與研究院聯(lián)合推動數(shù)據(jù)安全能力建設(shè)實施指南，為行業(yè)組織實施數(shù)據(jù)安全提供了可操作性細項指引.

表1 數(shù)據(jù)安全治理代表框架

本文以組織自適應(yīng)數(shù)據(jù)安全治理動機和評價為目標，期許將歐盟與美國推動的數(shù)據(jù)保護設(shè)計問題回歸中國特色問題的研究與解決.

3 數(shù)據(jù)安全對組織自適應(yīng)治理評價的影響分析

在數(shù)字化轉(zhuǎn)型的社會制度背景下，所有領(lǐng)域均進入數(shù)據(jù)驅(qū)動的范疇，除傳統(tǒng)關(guān)鍵性安全行業(yè)，如醫(yī)療、核安全等所有組織都將面臨數(shù)據(jù)安全的內(nèi)外部問題.數(shù)據(jù)在各種各樣的環(huán)節(jié)中動態(tài)變化的情況下解決其防內(nèi)外部竊取、防濫用和防誤用.相應(yīng)數(shù)據(jù)安全的內(nèi)涵和所需要的方法完全不同.數(shù)據(jù)安全對復(fù)雜組織機構(gòu)組織的核心作用和影響實質(zhì)在于組織的內(nèi)在動態(tài)變革.

3.1 數(shù)據(jù)安全突破了組織原有的安全方法

數(shù)據(jù)安全在當前階段成為一個全新問題，原有安全方法在組織體系技術(shù)路徑、管理方式、操作方式等方面難以適應(yīng)：在技術(shù)層面，傳統(tǒng)安全措施難以適配大數(shù)據(jù)應(yīng)用場景，無法用傳統(tǒng)數(shù)據(jù)安全方法解決新問題；在管理層面，單一“以技術(shù)系統(tǒng)為中心的安全”“垂直行業(yè)監(jiān)管或宏觀法律自上而下的總量控制式外部約束”均呈現(xiàn)局限性，優(yōu)質(zhì)的數(shù)據(jù)需要好的管理[2]，好的管理需要好的治理邏輯支持；在操作層面，動態(tài)數(shù)據(jù)在提供服務(wù)的組織內(nèi)部的不同產(chǎn)品、業(yè)務(wù)、設(shè)備、系統(tǒng)、人員中流動，同時涉及一個針對性服務(wù)需求下的產(chǎn)業(yè)鏈組織間的流動[3]，多領(lǐng)域組織及機構(gòu)部門協(xié)作管理相互作用.

由此，數(shù)據(jù)安全涉及面極為寬泛，遠超出某一產(chǎn)品的安全，還涉及人員、業(yè)務(wù)、業(yè)務(wù)規(guī)則、共享機制、部門協(xié)作等，以復(fù)雜組織作為數(shù)據(jù)安全的出發(fā)點可以回歸問題源頭.

3.2 數(shù)據(jù)安全革新了組織內(nèi)部機構(gòu)的互作用影響關(guān)系

組織本身屬于 “系統(tǒng)中的系統(tǒng)”這類嵌套機構(gòu)，即一個組織由各獨立機構(gòu)部門組成，而各機構(gòu)部門本身就屬于一套復(fù)雜適應(yīng)性系統(tǒng)，被嵌套的機構(gòu)部門結(jié)構(gòu)增加了“母體組織系統(tǒng)”的多樣性和不確定性[4].數(shù)據(jù)安全在組織機構(gòu)中的適用本身屬于一項系統(tǒng)性工程；對一個復(fù)雜多樣組織而言，屬于一次新的組織內(nèi)革新，數(shù)據(jù)安全以數(shù)據(jù)為中心，更需要組織系統(tǒng)整體效果與組織機構(gòu)之間的自適應(yīng)評估決策，以促成相互有效關(guān)聯(lián)作用.

3.2.1 組織應(yīng)不斷調(diào)整應(yīng)對指令

組織中的行為者主要包括核心決策方、部門管理者、機構(gòu)代理人，這些主體一直在面對外部的不確定性中不斷作出調(diào)整策略和匹配的行為，在基于數(shù)據(jù)泄露等安全事件或偶發(fā)緊急性事件積累的實踐經(jīng)驗中，不斷塑造并形成整體對外的行為模式.各部門代理人調(diào)整行為的方式主要體現(xiàn)在業(yè)務(wù)流程和操作指南的調(diào)整.由于組織個體的獨立性和歷史經(jīng)驗各不相同，因此，通常適用于一個組織體的具體運營方式無法在另一個組織體中直接復(fù)制.

3.2.2 組織內(nèi)部應(yīng)重構(gòu)安全產(chǎn)品形態(tài)

基于組織中各部門管理人、分支機構(gòu)代理人的相互聯(lián)系和相互作用，機構(gòu)內(nèi)部不斷形成新的模式和行為方式.組織通過數(shù)據(jù)安全突發(fā)事件與外部反饋不斷進行自我重新組織，形成的結(jié)果一般體現(xiàn)在內(nèi)部的指令中，而不僅僅是外部監(jiān)管者或者控制者的單向指導(dǎo)變更.在某種程度上，集軟件安全、系統(tǒng)安全、網(wǎng)絡(luò)安全、算法等各要素在內(nèi)，過往僅僅按照法律規(guī)則執(zhí)行合規(guī)要求的單向管理模式已經(jīng)無法適應(yīng)數(shù)據(jù)的全面安全狀態(tài)提升，更多的是在內(nèi)部合規(guī)部門與技術(shù)研發(fā)部門的定性與定量協(xié)同中重組產(chǎn)品方向.

3.2.3 部門應(yīng)互通設(shè)計技術(shù)路徑

擺脫數(shù)據(jù)安全困境是各不同機構(gòu)部門、機構(gòu)代理之間有效“鏈接”的結(jié)果.基于不同部門之間的“鏈接”，新關(guān)系模式、系統(tǒng)分層特征和結(jié)構(gòu)開始呈現(xiàn).新模式對各部門代理人產(chǎn)生影響，同時形成不可還原的獨立行為模式新特征，一般包括決策者的認知意識、行為規(guī)則和工作組方式，如技術(shù)部門安全多方計算(MPC)、同態(tài)加密、可信執(zhí)行環(huán)境(TEE)、差分隱私(DP)、聯(lián)邦學(xué)習[5]、同態(tài)加密、數(shù)據(jù)信托[6]技術(shù)路徑的選擇與配合，與數(shù)據(jù)合規(guī)官、法律合規(guī)部管理及代理人之間形成持續(xù)動態(tài)互通.

4 組織數(shù)據(jù)安全自適應(yīng)治理評價策略

數(shù)據(jù)處理問題全面存在于組織內(nèi)部各部門中.在組織體系內(nèi)不斷形成應(yīng)對數(shù)據(jù)安全事件的新技術(shù)與管理實踐、運營結(jié)構(gòu)和業(yè)務(wù)流程.在數(shù)據(jù)全生命周期中，包括核心管理者在內(nèi)，組織內(nèi)部各獨立運行機構(gòu)之間不斷進行著自動適應(yīng)式的調(diào)整.具體如下.

4.1 明確管理者在組織數(shù)據(jù)安全新邊界中的角色定位

核心決策者本人屬于他所管理的組織的一部分，其他機構(gòu)部門代理人對于決策者也存在相互影響的問題.決策者對自己在組織中的角色有多種認知和定位，如觀察與評估者、外部控制者、關(guān)聯(lián)建立者、參與方，而以上角色定位取決于對外部數(shù)字經(jīng)濟安全環(huán)境的匹配.

4.1.1 設(shè)定目標和優(yōu)先級

核心決策者應(yīng)當聚焦設(shè)置安全目標達成的前置條件和安全效益潛能，而非單純的員工禁止濫用數(shù)據(jù)的控制和命令.根據(jù)對組織目標的潛在貢獻，優(yōu)先選擇需要強化關(guān)聯(lián)的部門領(lǐng)域，考慮設(shè)定優(yōu)先級安全風險控制基準和技術(shù)工具，如安全評估是最常用的方式，突發(fā)數(shù)據(jù)安全應(yīng)急事件狀態(tài)下的防御除外.

4.1.2 定義行為邊界和標準化動作

組織需要明確行為邊界.標準化行為、強化系統(tǒng)邊界可以彌補自組織的內(nèi)在創(chuàng)新，因此，安全分析和風險評估則成為定義系統(tǒng)邊界的部分行為，“可量化計算的安全控制邏輯”代表了一種可為組織系統(tǒng)接受的行為邊界設(shè)計基準[7].在這種情況下，可以將外部合規(guī)要求從合規(guī)動作設(shè)計為遵守數(shù)據(jù)安全要求內(nèi)在行為守則.

4.1.3 優(yōu)化組織體系效率與監(jiān)督行為邊界

數(shù)據(jù)安全管理不能獨立于組織核心業(yè)務(wù)流程和策略系統(tǒng)，安全管理決策者應(yīng)考慮如何以同樣甚至更低成本實現(xiàn)更優(yōu)、更安全的安全產(chǎn)品[8].對組織決策者而言，數(shù)據(jù)安全環(huán)境態(tài)勢下的管理決策本身屬于一種改變傳統(tǒng)符合合規(guī)的認知調(diào)整.

監(jiān)督行為邊界要求組織首先定義可以忽視分析的數(shù)據(jù)和不具備分析價值的數(shù)據(jù)[9]，要求持續(xù)簡化并且只關(guān)注與安全相關(guān)的信號，以此作出篩選.與此同時，需要理解數(shù)據(jù)安全書面指南和行為之間始終存在差距[10]，為縮小這種差距，內(nèi)部指令更應(yīng)符合遵守工作組的行為準則和機構(gòu)部門或機構(gòu)代理的預(yù)期.

4.1.4 建立組織機構(gòu)之間的有效互動“鏈接”

組織的黏結(jié)性需要管理、業(yè)務(wù)、技術(shù)、研發(fā)、運營這些不同機構(gòu)部門、代理人之間的協(xié)同作用，如組織的指令應(yīng)確保組織在適度靈活調(diào)整中不斷回歸常態(tài)化運行[11].決策者個人不是組織的外部觀察者或者命令發(fā)號者，而是鏈接組織體系的一部分，他與其他部門管理者之間的行為互動形成同一數(shù)據(jù)安全目標下系統(tǒng)運行結(jié)果.

4.1.5 創(chuàng)設(shè)數(shù)字安全態(tài)勢感知下的知識能力

安全風險開始遍布關(guān)鍵基礎(chǔ)設(shè)施、工業(yè)網(wǎng)、車聯(lián)網(wǎng)、能源網(wǎng)、政府與智慧城市等各大場景.因此，數(shù)字化的安全威脅已經(jīng)延伸至現(xiàn)實世界，安全保護的對象正在從計算機安全、網(wǎng)絡(luò)安全升級為數(shù)字安全，如360公司每年接到并處理的勒索攻擊事件就多達4 000余起.受害企業(yè)面臨著重要數(shù)據(jù)資產(chǎn)被盜和泄露的重大風險，輕則業(yè)務(wù)停頓，重則被迫繳納巨額贖金.數(shù)字安全態(tài)勢感知成為一種內(nèi)化的自組織能力，通常需要決策部門管理者進行自評估支持.

組織自適應(yīng)能力是復(fù)雜自適應(yīng)系統(tǒng)的主要特征，同時也是核心適應(yīng)性機制[12].有效的自我組織能力需要在安全應(yīng)對實踐中將充足的數(shù)字安全態(tài)勢感知內(nèi)化為可行動的知識.因此，從研究決策者的角度來看，如何快速有效地通過數(shù)據(jù)挖掘發(fā)現(xiàn)操作性強、能為企業(yè)爭取競爭能力優(yōu)勢的可行動知識是最核心的問題.

4.2 建立組織應(yīng)對數(shù)據(jù)安全環(huán)境的變革模型

組織能力演變和組織結(jié)構(gòu)柔性化也是組織在網(wǎng)絡(luò)攻擊、信息泄露與濫用等新威脅環(huán)境下內(nèi)在變革的重要因素[13].當下來看，以數(shù)據(jù)為核心的數(shù)字安全成為組織變革的影響動因，組織外部威脅性安全隱含在環(huán)境動態(tài)變化下，組織內(nèi)部的安全應(yīng)對在不同因素影響下形成不同模式.為進一步分析模式優(yōu)劣，從時間維度進行短期與長期的效果評估，體現(xiàn)組織變革模式選擇隨著時間的推移以及變革的深入所發(fā)生的變化.關(guān)于數(shù)據(jù)安全關(guān)鍵組織變革模式模型如圖1所示：

在應(yīng)對國際安全環(huán)境、數(shù)據(jù)安全事件中，組織通過外部資源與內(nèi)部機構(gòu)的評估與組合實現(xiàn)的整體結(jié)果差異較大.在模式對比下可以看出：有效的評估與部門組合可以支持組織的自適應(yīng)主動變革.

4.3 實現(xiàn)多層評估的進階優(yōu)化

在當前數(shù)據(jù)安全環(huán)境下，組織面臨被動的外部監(jiān)管式評估，在內(nèi)部運行環(huán)境中，為推動機構(gòu)部門之間的有效連接，機構(gòu)部門的自評估不可或缺.

4.3.1 組織動態(tài)情境下的可靠性評估

由于數(shù)據(jù)安全管理具有與傳統(tǒng)組織運行相背離的沖突特點，在對組織機構(gòu)進行可靠性數(shù)據(jù)安全能力評估中，需要對已有安全理論進行擴展，如在關(guān)鍵分級分類評估方法中需要作出2類假設(shè)前提：一是在對關(guān)鍵性數(shù)據(jù)安全行業(yè)組織的理解中，復(fù)雜多樣組織機構(gòu)相關(guān)度最高；二是數(shù)據(jù)安全管理的對象是一個復(fù)雜組織體系.

外部監(jiān)管治理維度的評估與頭部企業(yè)引領(lǐng)下的行業(yè)評估，其評估方式與指標參數(shù)仍存在一定側(cè)重，但目標主要在不同組織機構(gòu)數(shù)據(jù)參考效用最終仍歸于組織的自我評估結(jié)果.數(shù)據(jù)安全管理、技術(shù)和運營措施在有效內(nèi)化，在評估反饋結(jié)果中出現(xiàn)的有益或負擔很容易得以證明.

4.3.2 基于時間效果的質(zhì)量自評估

基于“測試—反饋—應(yīng)用—優(yōu)化—復(fù)評估”的循環(huán)設(shè)計，對于實現(xiàn)評估質(zhì)量的量化，為組織內(nèi)部機構(gòu)和核心決策者提供可持續(xù)有益參考，并為組織整體效果反饋作再次干預(yù)準備.將有效評估與反饋后再評估動態(tài)發(fā)現(xiàn)的嘗試應(yīng)用于組織數(shù)據(jù)安全競爭能力準備，提出針對不同情境的組織內(nèi)部自適應(yīng)監(jiān)督與調(diào)試、外部半監(jiān)督的動態(tài)反饋，最終發(fā)現(xiàn)自評估模型.對錯誤較多的數(shù)據(jù)安全模式應(yīng)用進行半監(jiān)督學(xué)習，從而提升評估效率，提高外部評估準確度.

5 評價及出現(xiàn)問題時的積極選擇與干預(yù)路徑

傳統(tǒng)合規(guī)解決沖突目標的零和范式轉(zhuǎn)變?yōu)檎头妒?，以組織為單位的治理評估為組織落地實踐提供有效補充[14].組織內(nèi)部機構(gòu)協(xié)作中的自適應(yīng)評估為構(gòu)建《信息安全技術(shù)數(shù)據(jù)安全能力成熟度模型》(DSMM)[8,15]提供一種過程依據(jù).

5.1 構(gòu)建有效評價指標

數(shù)據(jù)安全決策者管理一個復(fù)雜自適應(yīng)組織本身屬于一種平衡內(nèi)部對立部門的行為，在競爭需求和難以應(yīng)對解決的二分法中，需要持續(xù)平衡多需求中的矛盾，這就會涉及不同層級的命令處理.通常情況下，在最高與最低標準之間的中間維度強化評估的結(jié)果效用，具體指標如表2所示：

表2 有效評價作用影響指標

5.2 迭代評價優(yōu)化組織數(shù)據(jù)安全的自適應(yīng)性

以組織部門、組織整體分層評估及反饋作為有效需求的管理指標，組織機構(gòu)內(nèi)部運轉(zhuǎn)各環(huán)節(jié)在動態(tài)應(yīng)對內(nèi)部研發(fā)、外部事件中，最終仍回到一個平衡狀態(tài)中，即組織常態(tài)化運行，具體如圖2所示.

圖2 組織系統(tǒng)自適應(yīng)能力的評價

6 結(jié)束語

數(shù)據(jù)安全評估機制作為檢查數(shù)據(jù)安全治理效用的最有效措施，基于現(xiàn)行DSMM，本文以組織“成本-收益”的默示運行模式為基礎(chǔ)，以正和商業(yè)屬性為目標，在現(xiàn)行外部監(jiān)管式評估方法基礎(chǔ)上探討新數(shù)據(jù)安全要求下的組織自適應(yīng)治理評估提升路徑，推動建立組織自評估與外部半監(jiān)督評估共生下的內(nèi)生數(shù)據(jù)安全運行能力，為共同形成指導(dǎo)行業(yè)組織的有益實踐提供有效、多元、可持續(xù)選擇和建議.