美創科技四個行業資料安全治理實踐案例

透過現狀調研與溝通，編寫符合該機構戰略和業務發展的資料安全制度體系，最終確定 《資料安全管理制度》、《資料安全人員管理規範》、《資料安全應急響應管理制度》等制度 ，覆蓋資料全生命週期各階段，圍繞組織、流程、技術、人員等維度制定，為其組織資料安全管理上提供有力支撐。

合規性評估和加固建議： 聯合對標13項法規、條例，充分了解其資料安全合規情況， 以 規避可能存在的法律風險，做到“早發現、早處理”。該部分評估對相關法律法規條款逐一進行解讀、現狀描述，同時對每個條款衍生或關聯的相關法律、法規、標準和指南等內容進行標識，最後針對存在的風險提供建議。

資料全生命週期評估和加固建議： 結合實際情況，從技術和管理兩個維度，涵蓋資料生命週期風險評估和資料基線及漏洞評估，基於訪談和工具分析現有的資料安全風險，最終得出當前資料業務的安全風險總體情況， 並 以GAP圖清晰展示，提供安全加固建議。

資料安全建設規劃依照前期資料安全諮詢專案的評估差距進行補足，著眼於資料全生命週期安全，針對不同的階段提供技術加固方案，考慮到使用者資料安全建設的緊迫性， 分為短期和長期建設規劃，包括資料安全防護可用的產品或技術手段、建設週期、先後順序，以及建設完成後差距評估，為其明確資料安全規劃建設之路 。

結合《公共資料分類分級指南》、《人口綜合庫資料規範》、《資訊保安技術 個人資訊保安規範》等規範，對該市大資料局的人口庫進行梳理， 形成《市大資料局資料分類分級參考規範》，並將標準內建到分類分級工具中 。

透過暗資料發現產品提前配置好人口庫的分類分級及發現模版，對所在的資料庫開展資產發現作業，實現 自動化的資料業務型別識別，對資料含義進行標識。

在業務型別識別基礎上完成對人口庫資料的分類分級， 透過工具進行標籤管理，並生成視覺化的分類分級報告。

透過問卷調研、工具探查等方式多維度盤點資料資產，釐清資料資產現狀，並在此基礎上進行資料分類分級：

對資料安全現狀進行分析，識別和分析資料資產在全生命週期各階段風險，並給予中立的加固建議，包括：

基於資料安全風險評估的結果，結合實際情況，提供針對性的資料安全建設規劃方案：

由於現階段暫無製造業的分類分級指南，美創科技本次以《工業資料分類分級指南（試行）》為基礎，參考公共資料、物流交通、能源、電信、金融行業的分類分級實踐結果。 在企業原有分類分級的基礎上，細化補充了資料類別和級別，並且設計了基於資料分類分級結果的資料許可權。

對資料安全現狀進行分析，識別和分析資料資產在全生命週期各階段風險，包括對《資料安全法》、《個人資訊保護法》、《通用資料保護條例》等 國內外法律法規檔案進行全面解讀和分析， 參考資訊保安風險分析方法，透過定性分析和定量分析的方法， 分析並計算資料資產所面臨的風險值， 並給予中立的加固建議。

基於資料安全風險評估的結果，結合實際情況，提供針對性的資料安全建設規劃方案，明確建設依據、建設規劃、建設路徑、建設週期、建設優先順序等內容，指引資料安全建設道路， 完善《資料安全管理辦法》、《資料全生命週期管理制度》、《資料介面安全管理規範》、《資料脫敏規範》、《資料安全風險評估管理制度》等 5 份制度規範 。此外， 透過培訓賦能和專案實施過程中的成果移交，協助組織形成一套基礎的資料安全合規評估工具，讓組織具備常態化的自評估能力。