数据安全成熟度标准.doc

《数据安全成熟度标准.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、GB/TXXXXX—XXXX信息安全技术　数据安全能力成熟度模型1　范围本标准基于大数据环境下电子化数据在组织机构业务场景中的数据生命周期，从组织建设、制度流程、技术工具以及人员能力四个方面构建了数据安全过程的规范性数据安全能力成熟度分级模型及其评估方法。本标准适用于组织机构数据安全能力的自身评估，也适用于第三方机构对组织机构的数据安全保障能力进行评估。2　规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。G

2、B/T25069—2010信息安全技术　术语GB/T20261—2006信息安全技术系统安全工程-能力成熟度模型GB/TAAAAA—AAAA信息技术大数据术语GB/TBBBBB—BBBB信息技术大数据参考框架GB/TCCCCC—CCCC信息安全技术个人信息安全规范GB/TDDDDD—DDDD信息安全技术大数据服务安全能力要求GB/TEEEEE—EEEE信息技术数据管理能力成熟度模型3　术语、定义和缩略语GB/T25069—2010中界定的以及下列术语和定义适用于本文件。3.1　术语和定义3.1.1　数据安全　datasecuri

3、ty以数据为中心的安全，保护数据的可用性、完整性和机密性。注：本标准是从组织建设、制度流程、技术工具以及人员能力等方面对组织机构的数据进行安全保护。3.1.2　数据安全能力　datasecuritycapability组织机构在组织建设、制度流程、技术工具以及人员能力等方面对数据的安全保障能力。43GB/TXXXXX—XXXX1.1.1　成熟度　maturity对一个组织的有条理的持续改进能力的度量，对实现特定过程的连续性、可持续性、有效性和可信度的度量。1.1.2　成熟度模型　maturitymodel对一个组织机构的成熟度进

4、行度量的模型，包括一系列的代表能力和进展的特征、属性、指示或是模式。模型的内容通常是最佳实践的举例说明。成熟度模型提供一个组织机构衡量其当前的实践、流程、方法的能力水平的基准，并设置提升的目标和优先级。当一个模型被广泛应用于某个特定的行业，这个行业可以基于模型，来评估本行业的组织机构的成熟度等级。1.1.3　组织机构organization安排了责任、权利和关系的一组人员和设施。1.1.4　安全过程域securityprocessarea实现同一安全目标的一系列数据安全相关活动、过程的集合。1.1.5　数据脱敏datadesen

5、sitization通过模糊化等方法对原始数据的处理，达到屏蔽敏感信息的一种数据保护方法。1.1.6　数据产品dataproduct直接或间接使用数据的产品，包括但不限于能访问原始数据，提供数据计算、数据存储、数据交换、数据分析、数据挖掘、数据展示等应用的软件产品。1.1.7　数据加工dataprocessing对原始数据进行抽取、转换、加载的过程；包括开发数据产品或数据分析。1.1.8　合规compliance对数据所适用的法律法规的遵循。1.2　缩略语下列缩略语适用于本标准：ACL访问控制列表（AccessControlLi

6、st）CMM能力成熟度模型（CapabilityMaturityModel）DDOS分布式拒绝服务（DistributedDenialofService）DLP数据防泄漏（DataLossPrevetion）TLS传输层安全（TransportLayerSecurity）SSL安全套接层（SecureSocketsLayer）2　数据安全能力成熟度模型架构2.1　模型架构本标准借鉴能力成熟度模型（CMM）的思想，以CMM的通用实践来衡量能力成熟度等级，以《信息安全技术大数据服务安全能力要求》中的安全要求为基础，指导组织机构如何持

7、续达到所对应的安全要求。数据安全能力成熟度模型的模型架构由以下三方面构成（如图1所示）：——数据生命周期安全：围绕数据生命周期，提炼出大数据环境下，以数据为中心，针对数据生命周期各阶段建立的相关数据安全过程域体系。43GB/TXXXXX—XXXX——安全能力维度：明确组织机构在各数据安全领域所需要具备的能力维度，明确为制度流程、人员能力、组织建设和技术工具四个关键能力的维度。——能力成熟度等级：基于统一的分级标准，细化组织机构在各数据安全过程域的5个级别的能力成熟度分级要求。图1　数据安全能力成熟度模型架构对于图1的模型架构的说

8、明如下：1）基于电子数据在组织机构内的数据生命周期，明确定义各阶段特定的数据安全过程域和数据生命周期通用的安全过程域。各阶段特定的数据安全过程域，包括数据采集、数据存储、数据传输、数据处理、数据交换和数据销毁这六个阶段中，各阶段特定的数据安全过程域。数据生命周期