域名預(yù)訂/競(jìng)價(jià)，好“米”不錯(cuò)過

近日，以“數(shù)字驅(qū)動(dòng)，助推智慧能源創(chuàng)新發(fā)展”為主題的第三屆能源企業(yè)數(shù)字化創(chuàng)新發(fā)展論壇在北京成功舉辦。美創(chuàng)科技北京中心技術(shù)總監(jiān)李航進(jìn)行《數(shù)字化轉(zhuǎn)型下的數(shù)據(jù)安全治理實(shí)踐》主題演講，為能源企業(yè)構(gòu)建扎實(shí)的數(shù)據(jù)安全防護(hù)能力帶來(lái)新思路。

圖：美創(chuàng)科技北京中心技術(shù)總監(jiān)李航

今年3月，國(guó)家發(fā)展改革委、國(guó)家能源局印發(fā)《“十四五”現(xiàn)代能源體系規(guī)劃》，文件指出：要加快能源產(chǎn)業(yè)數(shù)字化智能化升級(jí)，推動(dòng)能源基礎(chǔ)設(shè)施數(shù)字化。同時(shí)要完善能源風(fēng)險(xiǎn)應(yīng)急管控體系，強(qiáng)化重要能源設(shè)施、能源網(wǎng)絡(luò)安全防護(hù)。

能源行業(yè)是國(guó)民經(jīng)濟(jì)基礎(chǔ)性行業(yè)，能源安全是國(guó)家安全的重要組成部分，任何的數(shù)據(jù)泄露都可能會(huì)帶來(lái)無(wú)法預(yù)估的損失。然而隨著新興技術(shù)入局，數(shù)據(jù)作為核心生產(chǎn)要素，逐漸集中、訪問邊界更加開放、使用方式越發(fā)復(fù)雜、數(shù)據(jù)權(quán)責(zé)已經(jīng)分離，遭受安全威脅的暴露面不斷增加，形勢(shì)更為嚴(yán)峻。

但目前，能源企業(yè)數(shù)據(jù)安全建設(shè)過程中普遍存在以下問題：

數(shù)據(jù)分類分級(jí)難開展

能源企業(yè)數(shù)據(jù)規(guī)模龐大結(jié)構(gòu)復(fù)雜，如何認(rèn)定重要數(shù)據(jù)和核心數(shù)據(jù)，如何準(zhǔn)確掌握資產(chǎn)情況，進(jìn)行分類分級(jí)和常態(tài)化運(yùn)營(yíng)管理，成本高、周期長(zhǎng)、準(zhǔn)確率低是一大難點(diǎn)。

數(shù)據(jù)資產(chǎn)難確權(quán)

能源企業(yè)數(shù)據(jù)資產(chǎn)使用復(fù)雜， IT部門、業(yè)務(wù)部門、安全部門等多方均會(huì)接觸到數(shù)據(jù)，數(shù)據(jù)的所有權(quán)，使用權(quán)，安全責(zé)任等難清晰劃分。

數(shù)據(jù)跨境流動(dòng)風(fēng)險(xiǎn)難防范

數(shù)據(jù)跨境流動(dòng)安全風(fēng)險(xiǎn)復(fù)雜交織，在監(jiān)管方數(shù)據(jù)跨境要求未明晰的情況下，如何開展數(shù)據(jù)安全合規(guī)自查自糾，是一項(xiàng)亟待解決的問題。

傳統(tǒng)的信息安全建設(shè)無(wú)法覆蓋現(xiàn)有的數(shù)據(jù)安全問題，因此能源企業(yè)需要數(shù)據(jù)安全治理思路體系化夯實(shí)安全防護(hù)能力。

能源企業(yè)數(shù)據(jù)安全治理實(shí)踐路徑

基于十余年積累，美創(chuàng)以Gartner DSG、DSMM數(shù)據(jù)安全能力成熟度模型、Gartner CARTA、等保2.0以及零信任2.0數(shù)據(jù)安全架構(gòu)為參考模型，沉淀總結(jié)出適合能源企業(yè)的數(shù)據(jù)安全治理實(shí)踐路徑，并在實(shí)踐中不斷優(yōu)化，有效落地。

圖：美創(chuàng)數(shù)據(jù)安全治理實(shí)踐路徑

組織現(xiàn)狀識(shí)別 發(fā)現(xiàn)問題制定計(jì)劃

通過專業(yè)咨詢團(tuán)隊(duì)+自動(dòng)化數(shù)據(jù)發(fā)現(xiàn)和分類分級(jí)工具，對(duì)企業(yè)系統(tǒng)架構(gòu)、業(yè)務(wù)流程及網(wǎng)絡(luò)拓?fù)溥M(jìn)行梳理，明確敏感數(shù)據(jù)有哪些、都存儲(chǔ)在哪里、流轉(zhuǎn)情況如何，最終形成數(shù)據(jù)資產(chǎn)清單、數(shù)據(jù)流向圖及數(shù)據(jù)權(quán)限清單。

從合規(guī)和能力兩個(gè)角度出發(fā)，對(duì)組織數(shù)據(jù)安全現(xiàn)狀進(jìn)行分析(如基礎(chǔ)風(fēng)險(xiǎn)評(píng)估、安全能力差距評(píng)估、合規(guī)評(píng)估等)，并依據(jù)組織對(duì)風(fēng)險(xiǎn)的容忍度，給出處置建議。從而摸清底數(shù)、明確權(quán)責(zé)、制定計(jì)劃，為數(shù)據(jù)安全保護(hù)奠定基礎(chǔ)。

安全體系建設(shè) 需求分析解決問題

在合規(guī)目標(biāo)的指導(dǎo)下，結(jié)合組織現(xiàn)狀、數(shù)據(jù)分類分級(jí)結(jié)果、進(jìn)行符合企業(yè)實(shí)際業(yè)務(wù)場(chǎng)景的數(shù)據(jù)安全建設(shè)。包括：

管理體系建設(shè) ：完整合理的組織架構(gòu)、人員配置，以此確保相關(guān)工作的落地執(zhí)行，定義決策層、管理層、監(jiān)督層、執(zhí)行層的安全職責(zé)及動(dòng)態(tài)協(xié)同機(jī)制。依據(jù)法規(guī)政策、參考ISO框架、DSMM模型完成制度規(guī)范建設(shè)。

技術(shù)體系建設(shè) ：以數(shù)據(jù)安全管理平臺(tái)為中心，基于分類分級(jí)結(jié)果，對(duì)安全產(chǎn)品的有效性和合理性進(jìn)行充分評(píng)估，提出指導(dǎo)意見，進(jìn)行前期的安全策略設(shè)計(jì)，并借助相應(yīng)的安全能力(數(shù)據(jù)脫敏、數(shù)據(jù)庫(kù)透明加密、數(shù)據(jù)庫(kù)審計(jì)等)進(jìn)行落地，以實(shí)現(xiàn)數(shù)據(jù)安全策略聯(lián)動(dòng)管控，1+1大于2的效果。

治理成效評(píng)估 檢查驗(yàn)證評(píng)估效果

基于前期建設(shè)效果進(jìn)行檢驗(yàn)評(píng)估，通過這一階段徹底杜絕“不知道、不合理、不執(zhí)行”的現(xiàn)象，進(jìn)而達(dá)到持續(xù)優(yōu)化數(shù)據(jù)安全管理體系的目的。

過程跟蹤 ：制度、流程正式發(fā)布后，涉及崗位人員在日常工作中對(duì)流程有效性、合理性進(jìn)行檢驗(yàn)，并提出改進(jìn)建議。

成果反饋 ：通過安全檢查、風(fēng)險(xiǎn)評(píng)估、攻防演練、網(wǎng)絡(luò)安全周等活動(dòng)對(duì)組織架構(gòu)、制度流程、技術(shù)工具和人員能力進(jìn)行檢驗(yàn)。

體系化完善 固定成績(jī)問題總結(jié)

數(shù)據(jù)安全需要持續(xù)構(gòu)建、不斷改進(jìn)、提升防護(hù)效果，數(shù)據(jù)安全運(yùn)營(yíng)是必不可少的一環(huán)，需要將數(shù)據(jù)安全納入組織現(xiàn)有的信息安全管理體系中，同時(shí)從數(shù)據(jù)資產(chǎn)梳理、數(shù)據(jù)安全風(fēng)險(xiǎn)監(jiān)測(cè)、數(shù)據(jù)安全事件應(yīng)急管理、數(shù)據(jù)安全審計(jì)等方面來(lái)建設(shè)以資產(chǎn)為核心的數(shù)據(jù)安全運(yùn)營(yíng)體系。定期對(duì)現(xiàn)有的數(shù)據(jù)安全能力進(jìn)行審視，發(fā)現(xiàn)存在不足進(jìn)行相應(yīng)處置，最終達(dá)到持續(xù)提升數(shù)據(jù)安全能力這一目標(biāo)。

能源安全無(wú)小事，數(shù)據(jù)安全本身的復(fù)雜性以及數(shù)據(jù)安全產(chǎn)品的碎片化導(dǎo)致數(shù)據(jù)安全建設(shè)落地的難度比較大，因此要有體系化思維，系統(tǒng)化作戰(zhàn)，這也是能源企業(yè)未來(lái)數(shù)字化進(jìn)程中應(yīng)具備的基本能力，美創(chuàng)基于沉淀的治理經(jīng)驗(yàn)和產(chǎn)品能力，提供更為專業(yè)、全棧的產(chǎn)品與服務(wù)，助力能源企業(yè)數(shù)據(jù)更安全!

申請(qǐng)創(chuàng)業(yè)報(bào)道，分享創(chuàng)業(yè)好點(diǎn)子。點(diǎn)擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！