《數據安全治理實踐指南》是數據安全推進計劃在數據安全治理領域的系列研究報告，旨在梳理數據安全治理的概念內涵，探討企業數據安全建設路線，并于2021年7月發布《數據安全治理實踐指南(1.0)》版本。
經過一年多的發展，企業數據安全治理取得了有效進展，同時也面臨新的挑戰。比如當前大部分企業的數據安全管理制度聚焦在原則、管理規定等較粗顆粒度的層面，對數據業務的下沉指導不充分，導致具體業務場景下的技術落地仍然缺乏實踐指引，容易與管理要求脫節等。
《指南(2.0)》依據大量行業調研和企業實踐，在《指南(1.0)》的基礎上優化了數據安全治理總體視圖，并針對數據分類分級難落地、管理與技術易脫鉤等焦點問題的建設方案進行了初步探索，進一步細化了數據安全治理實踐路線。
以下為現場PPT分享實錄
我國高度重視數據安全，2021年以來，國家、行業、地方相繼頒布了大量數據安全政策文件。作為數字經濟健康發展的重要基石，數據安全的重要性愈發突出，數據安全治理需求愈加明顯。在這個大背景下，我們持續研究數據安全治理實踐方法論，幫助各行業提升數據安全治理能力。
相比1.0版本，《指南(2.0)》在三方面進行了優化升級。一是提出3344數據安全治理總體視圖，即3項治理目標、3層治理體系、4項治理維度、4步實踐路線。二是提出全新數據安全治理理念，優化規劃-建設-運營-優化的數據安全治理實踐路線;三是提出數據分類分級7步建設路線。更加切合企業數據安全治理建設實際需要，同時也分析了企業數據安全治理最為關注的熱點問題。
《指南2.0》延續了對數據安全治理概念的理解，從組織內部來看，數據安全治理是指在組織數據安全戰略的指導下，為確保組織數據處于有效保護和合法利用的狀態，以及具備保障持續安全狀態的能力，內外部相關方協作實施的一系列活動集合。由此，梳理出數據安全治理的三個要點：一是“以數據為中心”，二是“多元化主體共同參與”，三是“兼顧發展與安全”。
《指南2.0》依據《數據安全治理能力評估方法》和大量的數據安全治理能力評估實踐工作，提煉出3344數據安全治理總體視圖：即3項治理目標、3層治理體系、4項治理維度、4步實踐路線，用以描繪數據安全治理的建設藍圖和實踐路線。
數據安全治理目標是組織數據安全治理工作開展的前進方向。數據安全治理工作有三大目標：滿足合規要求是底線，管理數據安全風險是需要解決的重要問題，促進數據開發利用則是確保數據安全與業務發展的雙向促進。
數據安全治理體系是組織達成數據安全治理目標需要具備的能力框架，組織應圍繞該體系進行建設。本指南中的數據安全治理體系是一個三層架構，分別包括數據安全戰略層、數據全生命周期安全層和基礎安全層。
數據安全治理維度包括組織架構、制度體系、技術工具和人員能力四個方面，，以解決“誰來干”、“怎么干”、“干的如何”、“有沒有能力干”等關鍵問題。
在數據安全治理實踐路線上，本指南從大量企業數據安全治理實踐經驗中提煉出“全局體系規劃，場景有序落地，運營持續加強，評估助力優化”的數據安全治理實踐理念，并進一步豐富形成“規劃—建設—運營—優化”的閉環路線。
數據安全治理實踐的第一步是全局體系規劃，在該階段主要確定組織數據安全治理工作的總體定位和愿景，根據組織整體發展戰略內容，結合實際情況進行現狀分析，制定數據安全規劃，并對規劃進行充分論證。
第二步是場景落地建設。為了快速響應不同業務場景下不同的數據安全策略要求，本指南提出場景化的建設思路。一般來說，可以從數據全生命周期和業務運行環境兩個角度對場景進行劃分。企業通過逐個場景的數據安全建設，最終推動數據安全治理體系在組織內的全面落地。
數據分類分級作為最為關鍵的場景，是數據安全工作的橋頭堡和必選題。針對這一特定場景，本指南結合行業實踐，進一步細化了分類分級建設過程，提出了分類分級7步走的建設思路。
完成數據安全治理體系建設之后，還需要進行數據安全治理的持續運營，打通各環節的建設內容，促進整個體系的良性發展。運營工作覆蓋事前-事中-事后，包括風險防范、監控預警和應急處理三方面。
如何評價數據安全治理成效，并實現治理體系的優化改進是組織在數據安全治理能力建設過程中面臨的重要問題。一般來說，可以從內部評估和第三方評估兩個維度入手。第三方評估方面，中國信通院推出了國內首個數據安全治理能力評估服務，經過兩年的積累，已經完成4批43家企業的數據評估，幫助企業實現了數據安全治理體系的優化。
展望數據安全治理的發展，我們認為有以下幾大趨勢：一是政策引領與戰略自驅齊頭并進，推進數據安全治理不斷深入;二是數據驅動的業務發展，激勵數據安全治理組織從“有型”到“有效”;三是數據安全風險治理能力的建設與提升，將成為數據安全治理的重要組成;四是第三方數據安全評估認證作為提升數據安全治理能力的主要抓手，將被更多行業組織引入。
《指南2.0》在編寫過程中，得到了各行業組織的廣泛支持和幫助，再次感謝!
