第一章　數(shù)據(jù)安全背景與形勢

1.1　數(shù)字化轉(zhuǎn)型的深化階段　2

1.2　數(shù)據(jù)安全的新挑戰(zhàn)　2

1.3　新業(yè)務(wù)環(huán)境中的數(shù)據(jù)安全威脅與風(fēng)險　3

1.4　數(shù)據(jù)安全監(jiān)管的新進(jìn)展　4

1.5　亟待加強的數(shù)據(jù)安全能力建設(shè)　5



第二章　數(shù)據(jù)安全治理綜述

2.1　數(shù)據(jù)的定義　7

2.2　數(shù)據(jù)安全的定義　9

2.3　數(shù)據(jù)安全的重要性　9

2.4　傳統(tǒng)安全與數(shù)據(jù)安全的區(qū)別　11

2.5　數(shù)據(jù)安全治理的定義　12

2.6　數(shù)據(jù)治理與數(shù)據(jù)安全治理的關(guān)系　14

2.7　數(shù)據(jù)安全管理與數(shù)據(jù)安全治理的關(guān)系　17

2.8　數(shù)據(jù)安全治理目標(biāo)　18

2.9　數(shù)據(jù)安全治理要點　18

2.10　數(shù)據(jù)安全的常見誤區(qū)　19

2.10.1　數(shù)據(jù)安全合規(guī)不等于保障　19

2.10.2　數(shù)據(jù)安全方案不等于防護(hù)　20

2.10.3　數(shù)據(jù)安全運維不等于運營　20

2.10.4　數(shù)據(jù)安全技術(shù)不等于治理　21

2.11　數(shù)據(jù)安全治理面臨的挑戰(zhàn)和痛點　21

2.11.1　協(xié)同數(shù)據(jù)安全治理亟待強化　22

2.11.2　需重視個人信息利用與保護(hù)　22

2.11.3　需要行業(yè)背景下的場景化治理　23

2.11.4　亟待實現(xiàn)分類與分級自動化與精準(zhǔn)化　23

2.11.5　需要完善治理水平稽核評價體系　24

2.11.6　合規(guī)性層面的痛點　24

2.11.7　管理層面的痛點　25

2.11.8　技術(shù)層面的痛點　26

2.12　數(shù)據(jù)安全治理框架　26

2.12.1　數(shù)據(jù)安全治理框架的概念　26

2.12.2　微軟的DGPC框架　27

2.12.3　Gartner的DSG框架　30

2.12.4　數(shù)據(jù)安全成熟度模型　32

2.12.5　《數(shù)據(jù)安全法》與數(shù)據(jù)安全治理框架　35



第三章　數(shù)據(jù)安全治理建設(shè)思路

3.1　數(shù)據(jù)安全治理總體視圖　37

3.1.1　總體視圖　37

3.1.2　設(shè)計思路　37

3.2　數(shù)據(jù)安全總體規(guī)劃　44

3.2.1　數(shù)據(jù)安全規(guī)劃的重要性　44

3.2.2　數(shù)據(jù)安全規(guī)劃的基礎(chǔ)　44

3.2.3　制訂數(shù)據(jù)安全規(guī)劃　45

3.3　數(shù)據(jù)安全治理的實踐路線　46

3.3.1　數(shù)據(jù)安全規(guī)劃階段　46

3.3.2　數(shù)據(jù)安全建設(shè)階段　48

3.3.3　數(shù)據(jù)安全運營階段　51

3.3.4　數(shù)據(jù)安全評估與優(yōu)化　53

3.4　迭代式建設(shè)思路　54



第四章　數(shù)據(jù)生命周期的概念

4.1　數(shù)據(jù)生命周期的定義　55

4.2　與《數(shù)據(jù)安全法》的對應(yīng)關(guān)系　56

4.3　數(shù)據(jù)生命周期階段　56

4.3.1　數(shù)據(jù)采集　56

4.3.2　數(shù)據(jù)傳輸　57

4.3.3　數(shù)據(jù)存儲　58

4.3.4　數(shù)據(jù)處理　58

4.3.5　數(shù)據(jù)交換　59

4.3.6　數(shù)據(jù)銷毀　59



第五章　數(shù)據(jù)安全合規(guī)要求

5.1　概述數(shù)據(jù)安全合規(guī)體系　61

5.2　數(shù)據(jù)安全主要法律和條例　63

5.2.1　《網(wǎng)絡(luò)安全法》在數(shù)據(jù)安全治理中的作用　63

5.2.2　《數(shù)據(jù)安全法》構(gòu)建綜合的數(shù)據(jù)安全治理框架　64

5.2.3　《個人信息保護(hù)法》全面保障個人信息權(quán)益　65

5.2.4　三法的內(nèi)在聯(lián)系及差異　67

5.2.5　《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》實施重點防護(hù)　68

5.2.6　《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》細(xì)化治理規(guī)則　69

5.2.7　《中華人民共和國民法典》提供補充性規(guī)定　70

5.3　數(shù)據(jù)安全相關(guān)規(guī)范性文件　70

5.3.1　數(shù)據(jù)安全需要協(xié)同治理　70

5.3.2　重要規(guī)章及規(guī)范性文件　71

5.3.3　地方性管理辦法　75

5.3.4　數(shù)據(jù)安全相關(guān)標(biāo)準(zhǔn)　76

5.4　概述國外數(shù)據(jù)安全法規(guī)　77

5.5　數(shù)據(jù)安全合規(guī)框架　78

5.5.1　數(shù)據(jù)安全合規(guī)風(fēng)險　79

5.5.2　數(shù)據(jù)安全合規(guī)分類　81

5.5.3　建立合規(guī)框架的意義　82

5.5.4　構(gòu)建合規(guī)框架的考慮　82

5.5.5　數(shù)據(jù)安全合規(guī)的核心要點　83

5.5.6　構(gòu)建合規(guī)架構(gòu)　85

5.5.7　制定合規(guī)制度的流程　86

5.5.8　實施數(shù)據(jù)安全合規(guī)框架　87

5.6　常見合規(guī)問題和建議　88



第六章　數(shù)據(jù)安全風(fēng)險評估

6.1　概述信息安全風(fēng)險評估　93

6.1.1　信息安全風(fēng)險評估的概念　93

6.1.2　信息安全風(fēng)險分析原理　94

6.1.3　信息安全風(fēng)險評估流程　95

6.2　數(shù)據(jù)安全風(fēng)險評估的概念　96

6.2.1　數(shù)據(jù)安全風(fēng)險的定義　96

6.2.2　數(shù)據(jù)安全風(fēng)險要素及關(guān)系　96

6.2.3　數(shù)據(jù)安全風(fēng)險評估流程　97

6.3　評估準(zhǔn)備階段　98

6.3.1　明確評估目標(biāo)　98

6.3.2　確定評估范圍　99

6.3.3　組建評估團隊　100

6.3.4　開展前期準(zhǔn)備　100

6.3.5　編制評估方案　101

6.4　信息調(diào)研階段　102

6.4.1　調(diào)研數(shù)據(jù)處理者　102

6.4.2　調(diào)研業(yè)務(wù)和信息系統(tǒng)　103

6.4.3　調(diào)研數(shù)據(jù)資產(chǎn)　104

6.4.4　識別數(shù)據(jù)處理活動　105

6.4.5　識別安全防護(hù)措施　106

6.5　風(fēng)險識別階段　107

6.5.1　風(fēng)險識別的概念和步驟　107

6.5.2　分析已有的風(fēng)險評估報告　108

6.5.3　識別數(shù)據(jù)安全管理風(fēng)險　109

6.5.4　識別數(shù)據(jù)安全技術(shù)風(fēng)險　123

6.5.5　識別數(shù)據(jù)處理活動風(fēng)險　132

6.5.6　識別個人信息風(fēng)險　146

6.6　風(fēng)險分析與評估階段　159

6.6.1　數(shù)據(jù)安全風(fēng)險分析　159

6.6.2　數(shù)據(jù)安全風(fēng)險評估　161

6.6.3　數(shù)據(jù)安全風(fēng)險清單　163

6.7　評估總結(jié)階段　163

6.7.1　編制評估報告　163

6.7.2　風(fēng)險緩解建議　164

6.7.3　分析殘余風(fēng)險　164



第七章　數(shù)據(jù)安全治理組織架構(gòu)

7.1　組織架構(gòu)　166

7.1.1　組織架構(gòu)的重要性與設(shè)計原則　166

7.1.2　典型組織架構(gòu)　167

7.1.3　組織架構(gòu)的具體職能　167

7.2　數(shù)據(jù)安全協(xié)調(diào)機制　170

7.2.1　概述協(xié)調(diào)機制　170

7.2.2　協(xié)調(diào)機制的組成要素　172

7.2.3　面臨的挑戰(zhàn)與對策　174

7.3　人員管理　176

7.3.1　人員登記、審查與保密制度　177

7.3.2　定崗與定員　177

7.3.3　人員能力提升與考核　180

7.3.4　權(quán)限與訪問控制管理　181

7.3.5　監(jiān)控與審計機制　182

7.3.6　員工離職管理　183

7.3.7　數(shù)據(jù)安全文化建設(shè)　184



第八章　數(shù)據(jù)安全戰(zhàn)略與策略

8.1　數(shù)據(jù)安全戰(zhàn)略與策略的概念　185

8.1.1　組織管理中的戰(zhàn)略與策略　185

8.1.2　數(shù)據(jù)安全戰(zhàn)略的概念　186

8.1.3　數(shù)據(jù)安全策略的概念　186

8.1.4　比較數(shù)據(jù)安全戰(zhàn)略與策略　187

8.2　規(guī)劃數(shù)據(jù)安全戰(zhàn)略　188

8.3　數(shù)據(jù)安全戰(zhàn)略內(nèi)容框架　189

8.3.1　制定數(shù)據(jù)安全愿景、使命與目標(biāo)　189

8.3.2　治理范圍和責(zé)任的確定　189

8.3.3　組織架構(gòu)和角色分配　190

8.3.4　跨部門協(xié)作與溝通機制　191

8.3.5　法規(guī)遵從與行業(yè)標(biāo)準(zhǔn)　192

8.3.6　風(fēng)險評估與優(yōu)先級設(shè)定　192

8.3.7　制定數(shù)據(jù)安全策略和原則　193

8.3.8　成本效益分析與預(yù)算規(guī)劃　194

8.3.9　實施時間表與關(guān)鍵里程碑規(guī)劃　194

8.3.10　溝通和培訓(xùn)計劃　195

8.3.11　持續(xù)改進(jìn)與戰(zhàn)略調(diào)整　196

8.4　數(shù)據(jù)安全戰(zhàn)略示例　197

8.5　編寫數(shù)據(jù)安全策略的思路　197

8.6　數(shù)據(jù)安全策略示例　198



第九章　數(shù)據(jù)分類和分級

9.1　數(shù)據(jù)分類分級的概念　199

9.1.1　數(shù)據(jù)分類的概念　199

9.1.2　數(shù)據(jù)分級的概念　199

9.1.3　數(shù)據(jù)分類分級的作用　200

9.1.4　數(shù)據(jù)分類分級的原則　201

9.2　實施數(shù)據(jù)分類　202

9.2.1　通用數(shù)據(jù)分類方法　202

9.2.2　通用數(shù)據(jù)分類流程　203

9.2.3　行業(yè)數(shù)據(jù)分類框架　205

9.2.4　行業(yè)數(shù)據(jù)分類流程　205

9.2.5　個人信息的識別和分類　206

9.2.6　公共數(shù)據(jù)的識別和分類　208

9.3　實施數(shù)據(jù)分級　212

9.3.1　通用數(shù)據(jù)分級方法　212

9.3.2　通用數(shù)據(jù)分級流程　214

9.3.3　通用數(shù)據(jù)分級框架　214

9.4　行業(yè)數(shù)據(jù)分級方法　216

9.4.1　數(shù)據(jù)分級要素　216

9.4.2　數(shù)據(jù)影響分析　217

9.4.3　基本分級規(guī)則　218

9.4.4　個人信息的分級　219

9.4.5　衍生數(shù)據(jù)的分級　221

9.4.6　數(shù)據(jù)的重新分級　222

9.5　行業(yè)數(shù)據(jù)分類分級示例　223

9.5.1　行業(yè)數(shù)據(jù)分類　223

9.5.2　行業(yè)數(shù)據(jù)分級　225



第十章　數(shù)據(jù)安全管理制度

10.1　概述管理制度　226

10.2　管理制度的重要性及作用　227

10.3　編寫適用的管理制度　228

10.3.1　編寫管理制度的基本原則　228

10.3.2　管理制度的編寫步驟　229

10.3.3　編寫管理制度的技巧　232

10.3.4　編寫管理制度的常見誤區(qū)　235

10.4　四級文件架構(gòu)　238

10.5　管理制度體系　239

10.5.1　制度體系框架　239

10.5.2　一級文件內(nèi)容框架　240

10.5.3　二級文件內(nèi)容框架　240

10.5.4　三級文件內(nèi)容框架　240

10.5.5　四級文件內(nèi)容框架　240



第十一章　數(shù)據(jù)安全技術(shù)體系

11.1　概述數(shù)據(jù)安全技術(shù)需求　241

11.2　安全技術(shù)與安全產(chǎn)品的區(qū)別　241

11.3　全生命周期安全防護(hù)需求　242

11.3.1　數(shù)據(jù)采集安全　242

11.3.2　數(shù)據(jù)傳輸安全　243

11.3.3　數(shù)據(jù)存儲安全　244

11.3.4　數(shù)據(jù)處理安全　245

11.3.5　數(shù)據(jù)交換安全　248

11.3.6　數(shù)據(jù)銷毀安全　249

11.4　通用安全防護(hù)需求　250

11.4.1　組織和人員管理　250

11.4.2　合規(guī)管理　251

11.4.3　數(shù)據(jù)資產(chǎn)管理　251

11.4.4　數(shù)據(jù)供應(yīng)鏈安全　252

11.4.5　元數(shù)據(jù)管理　253

11.4.6　終端數(shù)據(jù)安全　253

11.4.7　監(jiān)控與審計　254

11.4.8　鑒別與訪問控制　255

11.4.9　安全事件應(yīng)急　256

11.5　數(shù)據(jù)安全產(chǎn)品與應(yīng)用場景　256

11.5.1　數(shù)據(jù)資產(chǎn)識別工具　257

11.5.2　數(shù)據(jù)分類分級工具　258

11.5.3　數(shù)據(jù)水印工具　260

11.5.4　數(shù)據(jù)庫加密系統(tǒng)　262

11.5.5　數(shù)據(jù)庫脫敏系統(tǒng)　264

11.5.6　數(shù)據(jù)備份和恢復(fù)工具　267

11.5.7　數(shù)據(jù)銷毀工具　269

11.5.8　數(shù)據(jù)庫審計系統(tǒng)　271

11.5.9　數(shù)據(jù)庫防火墻系統(tǒng)　273

11.5.10　DLP系統(tǒng)　274

11.5.11　數(shù)據(jù)安全風(fēng)險評估系統(tǒng)　277

11.5.12　IAM系統(tǒng)　279

11.5.13　公鑰基礎(chǔ)設(shè)施　281

11.5.14　SIEM系統(tǒng)　283

11.5.15　EDR　285

11.6　安全技術(shù)悖論　286



第十二章　數(shù)據(jù)安全運營體系

12.1　基于風(fēng)險的運營體系　288

12.1.1　安全運營與安全運維的區(qū)別　288

12.1.2　數(shù)據(jù)安全運營的作用　289

12.2　數(shù)據(jù)安全運營總體思路　289

12.2.1　PDCA循環(huán)的概念　289

12.2.2　基于PDCA循環(huán)的運營思路　290

12.2.3　基于風(fēng)險的數(shù)據(jù)安全運營　291

12.3　數(shù)據(jù)安全運營框架　293

12.3.1　概述IPDRR框架　293

12.3.2　數(shù)據(jù)安全運營框架　293

12.4　實施安全威脅與事件監(jiān)測　298

12.4.1　數(shù)據(jù)安全威脅類型　298

12.4.2　數(shù)據(jù)安全事件分類　298

12.4.3　監(jiān)測事件和威脅的方法　299

12.4.4　部署監(jiān)測工具　300

12.4.5　實時監(jiān)測與日志分析　302

12.4.6　威脅情報搜集與分析　303

12.5　實施安全事件應(yīng)急響應(yīng)　305

12.5.1　制訂應(yīng)急響應(yīng)計劃　305

12.5.2　組建應(yīng)急響應(yīng)團隊　306

12.5.3　識別、報告與分析　306

12.5.4　遏制、根除與恢復(fù)　308

12.5.5　總結(jié)與改進(jìn)　311

12.6　實施數(shù)據(jù)安全檢查　313

12.6.1　制訂檢查計劃　313

12.6.2　檢查方法　314

12.6.3　處置發(fā)現(xiàn)的問題　315

12.7　實施數(shù)據(jù)安全報告和溝通　316

12.7.1　定期報告機制　316

12.7.2　報告內(nèi)容框架　318

12.7.3　報告編寫規(guī)范　319

12.7.4　報告審核與審批　320

12.7.5　報告存檔與追溯　322

12.7.6　內(nèi)部溝通與協(xié)作機制　323

12.7.7　外部溝通與信息披露　324

12.8　實施供應(yīng)鏈數(shù)據(jù)安全管理　325

12.8.1　供應(yīng)鏈數(shù)據(jù)安全風(fēng)險評估　325

12.8.2　合作伙伴數(shù)據(jù)安全要求　327

12.8.3　數(shù)據(jù)共享與交換安全　327

12.8.4　供應(yīng)鏈數(shù)據(jù)安全監(jiān)控　328

12.8.5　供應(yīng)鏈安全協(xié)同　329

12.9　實施數(shù)據(jù)備份與恢復(fù)　329

12.9.1　數(shù)據(jù)備份策略　330

12.9.2　數(shù)據(jù)恢復(fù)流程　333

12.10　實施數(shù)據(jù)安全教育和培訓(xùn)　335

12.10.1　數(shù)據(jù)安全意識培養(yǎng)　335

12.10.2　數(shù)據(jù)安全技能培訓(xùn)　336

12.10.3　專項培訓(xùn)與認(rèn)證　337

12.10.4　培訓(xùn)效果評估與改進(jìn)　337

12.10.5　持續(xù)教育與更新　338



第十三章　治理成效評估和持續(xù)改進(jìn)

13.1　概述數(shù)據(jù)安全治理成效評估　339

13.1.1　評估目的與意義　339

13.1.2　評估的基本原則　340

13.1.3　常用評估方法　341

13.1.4　評估流程　342

13.2　評估準(zhǔn)備工作　342

13.2.1　組建評估團隊　342

13.2.2　確定評估的目標(biāo)、范圍與指標(biāo)　343

13.3　文檔和信息收集　344

13.3.1　收集相關(guān)文檔和記錄　344

13.3.2　回顧歷史安全事件　345

13.4　現(xiàn)場評估與訪談　345

13.4.1　關(guān)鍵部門和人員訪談　346

13.4.2　實際操作觀察　346

13.4.3　記錄問題和建議　347

13.5　評估治理的有效性　348

13.5.1　評估治理框架和策略　348

13.5.2　評估組織結(jié)構(gòu)和職責(zé)　348

13.5.3　評估風(fēng)險管理和合規(guī)　349

13.5.4　評估數(shù)據(jù)分類分級　350

13.5.5　評估管理制度　351

13.5.6　評估技術(shù)保護(hù)措施　351

13.5.7　評估數(shù)據(jù)安全運營　352

13.5.8　評估人員培訓(xùn)和意識水平　353

13.6　發(fā)現(xiàn)和解決存在的問題　353

13.6.1　問題識別和分類　353

13.6.2　問題優(yōu)先級排序　354

13.6.3　制定解決方案　354

13.6.4　實施問題解決方案　355

13.7　持續(xù)改進(jìn)計劃　356

13.7.1　改進(jìn)計劃制訂　356

13.7.2　實施改進(jìn)措施　356

13.7.3　效果驗證與跟蹤　357

13.7.4　持續(xù)學(xué)習(xí)與適應(yīng)　358

13.7.5　新一輪評估準(zhǔn)備　358

13.8　編寫成效評估報告　359



第十四章　場景化數(shù)據(jù)安全治理策略

14.1　場景化數(shù)據(jù)安全治理的意義　361

14.2　個人敏感數(shù)據(jù)處理場景　362

14.3　政府和公共數(shù)據(jù)處理場景　364

14.4　數(shù)據(jù)共享和交易場景　366

14.5　內(nèi)部共享和集成場景　369

14.6　供應(yīng)鏈場景　371

14.7　云計算場景　374

14.8　遠(yuǎn)程辦公場景　376

14.9　物聯(lián)網(wǎng)場景　379

14.10　大數(shù)據(jù)處理場景　381

14.11　人工智能和機器學(xué)習(xí)場景　384

14.12　跨境傳輸和存儲場景　386

14.13　區(qū)塊鏈場景　389



第十五章　行業(yè)案例分析

15.1　電信行業(yè)數(shù)據(jù)安全治理背景　392

15.1.1　行業(yè)背景　392

15.1.2　面臨的挑戰(zhàn)　392

15.1.3　數(shù)據(jù)安全治理需求示例　394

15.2　電信運營商案例分析　395

15.3　金融行業(yè)數(shù)據(jù)安全治理背景　396

15.3.1　行業(yè)背景　396

15.3.2　面臨的挑戰(zhàn)　396

15.3.3　數(shù)據(jù)安全治理需求示例　397

15.4　證券公司案例分析　398



第十六章　趨勢與發(fā)展

16.1　新形勢下的數(shù)據(jù)安全治理　399

16.1.1　數(shù)據(jù)安全治理現(xiàn)狀與挑戰(zhàn)　399

16.1.2　組織面臨的數(shù)據(jù)安全治理新問題　401

16.2　技術(shù)革新與數(shù)據(jù)安全治理　403

16.2.1　創(chuàng)新技術(shù)在數(shù)據(jù)安全中的應(yīng)用　403

16.2.2　新興技術(shù)領(lǐng)域的數(shù)據(jù)安全挑戰(zhàn)　405

16.3　業(yè)務(wù)發(fā)展與數(shù)據(jù)安全　406

16.3.1　數(shù)據(jù)安全與組織發(fā)展策略　406

16.3.2　數(shù)據(jù)安全與商業(yè)實踐的平衡　408

16.4　長期挑戰(zhàn)和創(chuàng)新方向　410

16.4.1　長期發(fā)展中的挑戰(zhàn)與應(yīng)對　410

16.4.2　數(shù)據(jù)安全治理的創(chuàng)新方向　411



術(shù)語解釋　413

參考文獻(xiàn)　419

致謝　420

附錄　421