1. 数据安全文件体系
1.1. 数据安全文件体系，即一系列管理、标准与规范、流程、指南、模板等文件的文档化记录
1.2. 当企业开始规范化运作的时候，特别是需要通过外部的认证、测评的时候，文档化的文件体系就是必不可少的了
1.3. 四层文件体系架构
-
1.3.1. 政策总纲/实践框架，属于该领域内的顶层文件
-
1.3.1.1. 包括该领域工作的目标、范围、基本原则（或政策方针）、组织与职责等，授权各级组织按照设定的角色和职责，动用组织资源来为目标服务
-
1.3.1.2. 顶层文件不引用下层文件
-
1.3.1.3. 属于治理的范围，属于治理的三个元素之一
-
1.3.2. 管理规定和技术标准/规范
-
1.3.3. 操作指南/指引/流程
-
1.3.4. 交付件模板、Checklist
-
1.3.5. 属于合规管理的范围
-
1.3.5.1. 主要职责
1.3.5.1.1. 构建一套符合法律法规、监管要求、合同义务、行业最佳实践以及业务发展需要的政策文件体系
1.3.5.1.2. 作为风险管理的输入和依据
1.3.5.1.3. 基于外部环境如法律法规的变化、外部审计、认证/测评、业务变化、各种反馈，优化调整政策文件体系
1.3.5.1.3.1. "规"也不见得就完全是合理的，也需要持续改进
1.4. 能力成熟度标准通常可分为五级
-
1.4.1. 第一级为临时的或不可重复的实践做法
-
1.4.2. 第二级为可重复的实践做法
-
1.4.3. 第三级为充分定义的政策、流程、控制措施，并文档化发布
-
1.4.3.1. 一般可以认为是及格线
-
1.4.3.2. 从第三级开始，要求具备相对完善的文档化的定义，包括风险、控制程序要求、流程遵从等领域的严格定义，并在实践和治理活动中遵从这些文件
-
1.4.4. 第四级为可量化（度量）
-
1.4.4.1. 可视为80分标准
-
1.4.5. 第五级为基于度量、定期审计的反馈与持续改进
1.5. 数据安全四层文件体系
-
1.5.1. 数据安全政策总纲，属于顶层文件，一旦发布，一般不会再轻易修改，因为它规定了整个数据安全体系的目标、范围、各项基本原则（数据分级分类、授权）等，是各团队赖以共同协作的纲领性文件
-
1.5.2. 管理规定、技术标准/规范
-
1.5.3. 操作类的流程/指南、技术类指引等文件
-
1.5.4. 模板
1.6. 标准、规范与管理规定的关系
-
1.6.1. 如果标准里面每种场景都只有一种选择，要求所有的业务都必须满足，那就是"基线标准"（Baseline Standard）
-
1.6.2. 在安全领域，基线标准也可称之为"安全红线"，表示标准里面的要求没有商量的余地，实践中不得低于基线标准
-
1.6.3. 最低要求可视为"基线标准"，可以理解为"60分标准"，即及格线
-
1.6.4. 介于最低要求和最高要求之间的标准，可以理解为"80分标准"
-
1.6.5. 要求最为严格的部分可以视为"95分标准"，即最佳安全实践
-
1.6.6. 内部的数据安全能力成熟度通过选定一批指标，为每一个指标设定达到该级别应该具备的能力，让各业务对照自检，评价现状和差距，并可以用柱状图或雷达图表示出来
-
1.6.7. 标准就是解决"有什么组件（或套餐）可以提供"的问题
-
1.6.8. 标准中并不直接规定最终的落地要求，不直接作用于业务，承接这一重要职能的文件就是规范了
-
1.6.9. 规范，就是适配业务场景的技术要求
-
1.6.9.1. 在技术要求中，可以决定选用什么标准来适配业务场景
-
1.6.10. 标准比作备件库，那么规范就是组装作业规程，决定使用什么样的工具、备件以及组装过程
-
1.6.11. 在技术规范无法覆盖的业务场景，通常使用管理规定（或管理要求），作为非技术性的控制手段，降低风险，如规定组装作业时必须佩戴安全帽
-
1.6.12. 管理规定、技术规范都是为了降低风险而采用的控制手段，在管理规定或技术规范中都可以引用某个内部标准
-
1.6.13. 如果业务场景比较简单，将管理规定、标准、规范合在一起也是没有问题的
1.7. 外部法规转为内部文件
-
1.7.1. 外部的法律法规、监管要求、行业标准、实践参考多种多样，是无法直接在企业内部作为合规基线的
-
1.7.2. 为了对内部安全进行规范化治理，我们就需要把各种各样的外部要求转化为内部文件，作为开展工作的依据
-
1.7.3. 隐私保护领域严重依赖外部的法律法规，而且如果涉及国际业务，法律法规的种类、地域适配、条款要求非常多
-
1.7.3.1. 需要寻求另外的方法来支持
2. 数据安全政策总纲
2.1. 政策总纲是数据安全治理的三个核心要素之一（另外两个是战略、组织），奠定整个政策文件体系的基调。管理政策、安全标准以及技术规范，是数据安全合规管理的主要交付内容
2.2. 即数据安全领域的顶层文件，可以将其看成是一个在管理层达成共识的授权令，授权各级组织按照设定的角色和职责，动用组织资源来为数据安全目标服务
2.3. 数据安全以数据的安全收集、安全使用、安全传输、安全存储、安全披露、安全流转与跟踪为目标，防止敏感数据泄露，并满足合规要求
2.4. 数据安全要保护的范围
-
2.4.1. 各种结构化数据，包括存放于数据库、缓存系统中的数据
-
2.4.2. 非结构化数据，是指数据结构不规则，没有预定义的数据模型，不便用二维表来表现的数据
-
2.4.2.1. 包括各类文件如办公文档、文本、图片、音频、视频等
-
2.4.3. 资源：网络资源、计算资源、存储资源、进程、产品功能、网络服务、系统文件等
2.5. 数据安全涉及的组织范围：全体
- 2.5.1. 数据安全不仅仅是安全团队的事情，也需要业务的重度参与，且业务才是业务数据安全的首要责任人
2.6. 做安全有自上而下和自下而上两种做法
-
2.6.1. 好的企业都是采取自上而下推动的模式
-
2.6.2. 自下而上的模式，安全往往不被重视，项目推动困难
2.7. 数据安全组织，就是数据安全政策从制定到落地，并持续优化改进的组织保障
- 2.7.1. 是我们要推行数据安全政策，需要哪些组织单元（在企业里面通常为部门、工作组等）协同工作，各自的分工是什么样的，各自承担什么样的职责
2.8. 授权原则
-
2.8.1. 授权，是指对角色或人员的授权
-
2.8.2. 仅授予相关角色或人员以完成业务工作所需的最小权限
-
2.8.3. 在涉及敏感数据的权限时，需考虑权限分离（SOD, Separation of Duty）
-
2.8.3.1. 在一人承担多个重要角色时，往往可能导致授权漏洞的发生
-
2.8.4. 授权与行权分离，负责审批权限的人不能执行，即不能审批自己提交的权限或业务单据
2.9. 数据保护原则
-
2.9.1. 明确责任人：应确定每个业务领域的数据安全责任人
-
2.9.2. 基于身份的信任原则：默认不信任企业内部和外部的任何人/设备/系统，需基于身份认证和授权，执行以身份为中心的访问控制和资产保护
-
2.9.3. 数据流转原则：数据流转，包括但不限于数据共享给其他业务、数据流出当前安全域等，应经过责任人审批
-
2.9.4. 加密传输原则：外网Web业务应采取全站HTTPS加密，内网对重要的敏感数据加密传输
-
2.9.5. 加密存储原则：对敏感的个人信息、个人隐私、UGC数据、身份鉴别数据，采取加密存储措施
-
2.9.6. 脱敏展示原则：当展示个人信息时，应采取脱敏措施
-
2.9.7. 业务连续性：建立备份和恢复机制
2.10. 数据安全外部合规要求
-
2.10.1. 法律法规：包括但不限于《网络安全法》《个人信息安全规范》、规划中的《数据安全法》，以及开展国际业务所涉及的数据保护法规
-
2.10.2. 认证/测评要求：如等级保护测评，适用于CII（关键信息资产）
-
2.10.3. 审计要求：如适用于美国上市公司的SOX审计
-
2.10.4. 监管要求：来自特定行业（金融、支付、证券、保险等）的监管要求