《資料安全能力成熟度模型》實踐指南02：資料採集管理

2019年8月30日，《資訊保安技術資料安全能力成熟度模型》（GB/T 37988-2019）簡稱DSMM（Data Security Maturity Model）正式成為國標對外發布，並已於2020年3月起正式實施。

DSMM將資料按照其生命週期分階段採用不同的能力評估等級，分為資料採集安全、資料傳輸安全、資料儲存安全、資料處理安全、資料交換安全、資料銷燬安全六個階段。DSMM從組織建設、制度流程、技術工具、人員能力四個安全能力維度的建設進行綜合考量。DSMM將資料安全成熟度劃分成了1-5個等級，依次為非正式執行級、計劃跟蹤級、充分定義級、量化控制級、持續最佳化級，形成一個三維立體模型，全方面對資料安全進行能力建設。

DSMM三維立體模型

在此基礎上，DSMM將上述6個生命週期進一步細分，劃分出30個過程域。這30個過程域分別分佈在資料生命週期的6個階段，部分過程域貫穿於整個資料生命週期。

資料生命週期安全過程域

隨著《中華人民共和國資料安全法(草案)》的公佈，後續DSMM很可能會成為該法案的具體落地標準和衡量指標，對於中國企業而言，以DSMM為資料安全治理思路方案選型，可以更好的實現資料安全治理的制度合規。

本系列文將以DSMM資料安全治理思路為依託，針對上述各過程域，基於充分定義級視角（3級），提供資料安全建設實踐建議，本文作為本系列第二篇文章，將介紹資料採集安全階段的資料採集安全管理過程域（PA02）。

01定義

資料採集安全管理，DSMM官方描述定義為在採集外部客戶、合作伙伴等相關方資料的過程中，組織應明確採集資料的目的和用途，確保滿足資料來源的真實性、有效性利最少夠用等原則要求,並明確資料採集渠道、規範資料格式以及相關的流程和方式，從而保證資料採集的合規性、正當性、一致性。

DSMM標準在充分定義級對資料採集安全管理要求如下：

組織建設

組織應設立資料採集安全管理的崗位和人員，負責制定相關的資料採集安全管理的制度,推動相關要求、流程的落地，並對具體業務或專案的風險評估提供諮詢和支援。

制度流程

1)應明確組織的資料採集原則，定義業務的資料採集流程和方法；

2)應明確資料採集的渠道及外部資料來源，並對外部資料來源的合法性進行確認；

3)應明確資料採集範圍、數量和頻度，確保不收集與提供服務無關的個人資訊和重要資料；

4)應明確組織資料採集的風險評估流程，針對採集的資料來源、頻度、渠道、方式、資料範圍和型別進行風險評估；

5)應明確資料採集過程中個人資訊和重要資料的知悉範圍和需要採取的控制措施，確保採集過程中的個人資訊和重要資料不被洩漏；

6)應明確自動化採集資料的範圍。

技術工具

1)應依據統一的資料採集流程建設資料採集相關的工具，以保證組織資料採集流程實現的一致性，同時相關係統應具備詳細的日誌記錄功能，確保資料採集授權過程的完整記錄；

2)應採取技術手段保證資料採集過程中個人資訊和重要資料不被洩漏。

人員能力

負責該項工作的人員應能夠充分理解資料採集的法律要求、安全和業務需求，並能夠根據組織的業務提出針對性的解決方案。

02實踐指南

組織建設

組織機構在條件允許的情況下可以設立兩個資料採集安全團隊，其中一個團隊為資料採集安全管理團隊，主要負責為公司制定整體的資料採集安全合規管理制度，同時推動相關要求、制度、流程的真正落地；另一個資料採集安全團隊為資料採集風險評估團隊，主要負責為公司的業務部門提供針對不同業務或專案場景的資料安全評估服務支援，並制定相應的改進方案。

理論上資料採集安全管理團隊應該提供對資料採集風險評估團隊的諮詢和支援，但若是組織機構沒有設立兩個資料採集安全團隊的條件，可以將兩個團隊的職責合併在一起，僅僅只設立一個資料採集安全團隊，既負責制定合規制度、又負責提供對專案的風險評估服務。

人員能力

針對該項工作的相關人員，需要熟悉國家網路安全法律法規以及組織機構所屬行業的政策和監管要求，在採集資料的過程中嚴格按照《網路安全法》、《個人資訊保安規範》等相關國家法律法規和行業規範執行，同時還需要相關人員熟悉組織機構的業務特徵，瞭解業務線的政策方向和戰略調整，具備良好的資料採集安全風險意識，能夠根據組織機構內不同的業務場景提出針對性的風險評估報告以及相應解決方案，能夠確保專案實施過程中的資料分析能夠順利有序地進行。

落地執行性確認

針對組織建設和對應人員能力的實際落地執行性確認，可透過內部審計、外部審計等形式以調研訪談、問卷調查、流程觀察、檔案調閱、技術檢測等多種方式實現。

制度流程

1）基本原則

進行資料採集活動時，應遵循合法、正當、必要的原則，具體包括：

❖ 權責一致——採取技術和其他必要的措施保障個人資料和重要資料的安全，對資料處理活動，對資料主體合法權益造成的損害承擔責任；

❖ 目的明確——具有明確、清晰、具體的資訊處理目的；

❖ 選擇同意——向資料主體明示資訊處理目的、方式、範圍等規則，徵求其授權同意；

❖ 最小必要——只處理滿足資料主體授權同意的目的所需的最少資料型別和數量。目的達成後，應及時刪除所採集的資料；

❖ 公開透明——以明確、易懂和合理的方式公開處理資料的範圍、目的、規則等，並接受外部監督；

❖ 確保安全——具備所面臨過的安全風險相匹配的安全能力，並採取足夠的管理措施和技術手段，保護資料的保密性、完整性、可用性；

❖ 主體參與——向資料主體提供能夠查詢、更正、刪除其資訊，以及撤回授權同意、登出賬戶、投訴等方法。

2）資料採集源

大資料採集主要有4種來源：

❖ 管理資訊系統：管理資訊系統是指企業、機關內部的資訊系統，如事務處理系統、辦公室自動化系統，主要用於經營和管理，為特定使用者的工作和業務提供支援。資料的產生既有終端使用者的始輸入，又有系統的二次加工處理。系統的組織結構是專用的，資料通常是結構化的。

❖ Web資訊系統：Web資訊系統包括網際網路中的各種資訊系統，如社交網站、社會媒體、系統引擎等，主要用於構造虛擬的資訊空間，為廣大使用者提供 和社交服務。系統的組織結構是開放式的，大部分資料是半結構化或者無結構的。資料的產生者主要是線上使用者。

❖ 物理資訊系統：物理資訊系統是指關於各種物理物件和物理過程的資訊系統，如實時監控、實時檢測，主要使用者生產排程、過程控制、現場指揮、環境保護等。系統的組織結構是封閉的，資料由各種嵌入式感測裝置產生，可以是關於物理、化學、生物等性質和狀態的基本測量值，也可以是關於行為和狀態的音訊、影片等多媒體資料。

❖ 科學實驗系統：科學實驗系統實際上也屬於物理資訊系統，但其實驗環境是預先設定的，主要用於學術研究等，資料是有選擇的、可控的，有時可能是人工模擬生成的模擬資料。資料往往具有不同的形式。

3）資料採集方式

資料採集的目的是獲得資料，資料採集的方式包括但不限於：

❖ 網路資料採集；

❖ 系統日誌採集；

❖ 其他資料採集。

4）資料採集週期

資料採集週期可根據資料狀態分為以下兩種：

❖ 對於實時檢測資料，應按照實際工作條件制定資料採集週期。例如系統連續進行10次採集，10次採集時間的平均值作為系統的資料採集週期；

❖ 對於系統生產基礎資料採用固定期限加動態調整的方式進行採集。例如變化不大的資料資訊採集週期可為6個月，涉及資料資訊變動的調整的可根據需要動態調整。

5）資料採集法律要求

採集的資料及採集過程嚴格按照《網路安全法》、《個人資訊保安規範》等相關國家法律法規和行業規範執行。

6）資料採集安全策略

組織開展資料採集活動的過程中應遵循如下基本要求，確保採集過程中的個人資訊和重要資料不被洩露：

❖ 定義採集資料的目的和用途，明確資料來源、採集方式、採集範圍等內容，並制定標準的採集模板、資料採集方法、策略和規範；

❖ 遵循合規原則，確保資料採集的合法性、正當性和必要性；

❖ 設定專人負責資訊生產或提供者的資料稽核和採集工作；

❖ 對於初次採集的資料，需採用人工與技術相結合的方式進行資料採集，並根據資料的來源、型別或重要程度進行分類；

❖ 最小化採集資料，僅需要完成必須工作即可，確保不收集與提供服務無關的個人資訊和重要資料；

❖ 對採集的資料進行合理化儲存，依據資料的使用狀態進行及時銷燬處理；

❖ 對採集的資料進行分級分類標識，並對不同類的級別的資料實施相應的安全管理策略和保障措施，對資料採集環境、設施和技術採取必要的安全管理措施。

7）資料採集風險流程評估

在對資料進行採集的過程中，應組織風險評估小組，對採集過程進行風險評估，評估內容包括但不限於合規安全性、技術安全性等。

8）技術工具簡述

針對資料採集和資料防洩漏，目前均有多種解決方案。資料採集根據採集的資料型別和資料來源不同，也會有不同的技術工具。目前主要有三類資料：資料庫資料、網路資料、系統日誌資料，根據資料型別的不同，主要有三類資料採集系統。資料防洩漏目前主要有資料加密技術、許可權管控技術及基於內容深度識別的通道防護技術。

資料採集系統

1）資料庫採集系統

❖ 在政府、企業、高校中，目前絕大部分業務相關的資料都採用結構化的方式儲存在後端的資料庫系統中，資料庫系統主要包含2大塊，一塊是關係型資料庫，如 、sql server、mysql。另一塊是非關係型資料庫如mongodb，redis。針對此種源資料，主要有3種實現資料採集的方式：直接資料來源同步、生成資料檔案同步、資料庫日誌同步。

2）網路資料採集

❖ 透過網路爬蟲或網站公開API等方式從網站上獲取資料資訊的過程。

3）系統日誌採集

❖ 不管是業務系統、作業系統、資料庫系統每天都會產生大量的日誌資料，針對此類日誌，目前有多款開源工具可實現資料採集功能，如Hadoop的Chukwa、Cloudera的Flume、 的Scribe等，這些工具均採用分散式架構，能滿足每秒數百兆位元組的日誌資料的採集和傳輸需求。

資料防洩漏技術

1）資料加密技術

❖ 資料加密包含磁碟加密、檔案加密、透明文件加解密等技術路線，目前以透明文件加解密最為常見。

2）許可權管控技術

❖ 數字許可權管理(Digital Right Management,

DRM)是透過設定特定的安全策略，在敏感資料檔案生成、儲存、傳輸的瞬態實現自動化保護，以及透過條件訪問控制策略防止敏感資料非法複製、洩漏和擴散等操作。

3）基於內容深度識別的通道防護技術

❖ 基於內容的資料防洩漏(Data Loss Prevention,DLP)概念最早源自國外，是一種以不影響使用者正常業務為目的，對企業內部敏感資料外發進行綜合防護的技術手段。

受限於篇幅，此處技術工具不進行進一步展開，下圖為資料採集安全管理的技術工具進行資料採集作業的基本流程圖。

資料採集流程圖