《数据安全能力成熟度模型》实践指南：元数据管理

2019年8月30日，《信息安全技术数据安全能力成熟度模型》（GB/T 37988-2019）简称DSMM（Data Security Maturity Model）正式成为国标对外发布，并已于2020年3月起正式实施。

DSMM将数据按照其生命周期分阶段采用不同的能力评估等级，分为数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全六个阶段。DSMM从组织建设、制度流程、技术工具、人员能力四个安全能力维度的建设进行综合考量。DSMM将数据安全成熟度划分成了1-5个等级，依次为非正式执行级、计划跟踪级、充分定义级、量化控制级、持续优化级，形成一个三维立体模型，全方面对数据安全进行能力建设。

在此基础上，DSMM将上述6个生命周期进一步细分，划分出30个过程域。这30个过程域分别分布在数据生命周期的6个阶段，部分过程域贯穿于整个数据生命周期。

随着《中华人民共和国数据安全法(草案)》的公布，后续DSMM很可能会成为该法案的具体落地标准和衡量指标，对于中国企业而言，以DSMM为数据安全治理思路方案选型，可以更好的实现数据安全治理的制度合规。

本系列文将以DSMM数据安全治理思路为依托，针对上述各过程域，基于充分定义级视角（3级），提供数据安全建设实践建议，本文作为本系列第二十五篇文章，本文将介绍通用安全过程域的元数据管理过程域（PA25）。

01 定义

元数据管理，DSMM官方描述定义为建立组织的元数据管理体系，实现对组织内元数据的集中管理。

DSMM标准在充分定义级对元数据管理要求如下：

组织建设

应设立组织层面的元数据管理人员，统一负责建立组织内部元数据语义规则、管理要求和技术工具。

制度流程

1）应明确数据服务元数据语义统一格式和管理规则，如数据格式、数据域、字段类型、表结构、逻辑存储和物理存储结构及管理方式；

2）应明确数据安全元数据管理要求，如口令策略、权限列表、授权策略。

技术工具

1）元数据管理工具应支持数据表的导航和搜索，提供表血缘关系、字段信息、使用说明、其他关联信息,方便用户使用数据表；

2）应建立元数据访问控制策略和审计机制，确保元数据操作的追溯。

人员能力

负责该项工作的人员应了解元数据管理的理论基础，理解组织的元数据管理的业务需求。

02 实践指南

组织建设

组织机构应该在条件允许的情况下设立元数据管理部门并招募相关的管理人员和技术人员，负责为公司提供必要的技术支持，负责为组织机构内部制定整体的元数据管理制度、元数据语义规则等，负责对组织机构内部的元数据场景进行风险评估，负责为技术人员建立规范的元数据访问控制策略和审计机制，确保任何人对元数据的操作都可以追踪溯源。除此之外，元数据管理部门还需要为元数据审核人员（技术人员）进行专门的安全意识培训，并推动以上相关要求再组织机构中确实可靠的落地执行。

人员能力

针对元数据管理部门的管理人员来说，必须具备良好的数据安全风险意识，熟悉国家网络安全法律法规以及组织机构所属行业的政策和监管要求，在进行元数据管理以及制定元数据管理制度和元数据语义规则的时候，严格按照《网络安全法》、《数据安全法》、《个人信息保护法》等国家相关法律法规和行业规范执行，同时还需要相关的管理人员具备一定的元数据管理经验，拥有良好的元数据管理专业知识基础且通过了岗位能力测试，熟悉主流的元数据管理制度、管理流程、管理要求和技术工具，能够根据不同的管理要求和元数据安全属性进行相应的风险评估，能够根据元数据管理和审核的整体需求明确应使用的元数据管理和审核工具。除此之外，还需要管理人员能够主动根据行业及政策变化更新相关的知识和技能，具备能够结合业界标准、合规准则、业务场景制定标准化元数据管理制度的能力。

针对元数据管理部门的技术人员来说，同样也必须具备良好的元数据管理安全风险意识，熟悉相关的法律法规以及政策要求，熟悉主流厂商的元数据审核案例，熟悉主流的元数据访问控制和审计的工具及其使用方法，拥有至少一年以上的元数据审核经验，充分理解并执行由管理人员制定的元数据管理方案，充分理解组织机构内部的元数据管理的业务需求，具备能够主动根据政策变化和技术发展更新自身相关知识和技能的能力，具备能够对突发的元数据审计事件进行应急处理的能力。

落地执行性确认

针对元数据管理岗位人员能力的实际落地执行性确认，可通过内部审计、外部审计等形式以调研访谈、问卷调查、流程观察、文件调阅、技术检测等多种方式实现。

制度流程

1）元数据管理目的

元数据主要是描述数据属性的，或者描述信息资源或数据等对象的数据。同时元数据本身也是数据，因此可以用类似数据的方法在数据库中进行存储和获取。进行元数据管理目的在于：识别和评价数据资源，追踪数据资源在使用过程中的变化；实现简单高效地管理大量网络化数据；实现信息资源的有效发现、查找、一体化组织和对使用资源的有效管理。如果没有元数据，组织IT系统中收集和存储的所有数据都会失去意义，也就没有业务价值。

2）元数据管理规范

组织应熟悉国家网络安全法律法规以及组织机构所属行业的政策和监管要求，结合实际情况建立元数据管理制度，明确元数据的编写要求（如数据格式、数据域、字段类型、表结构、逻辑存储和物理存储结构及管理方式等）、元数据访问控制要求、元数据变更管理流程、元数据变更和访问操作日志记录和审计要求等，防止组织内部合法人员利用违规或违法取得的权限进行不正当的操作。并通过建立元数据管理平台进行统一管理，采取严格的访问控制、监控审计和职责分离来确保数据处理安全。

①元数据访问控制要求

a.元数据管理部门需按照“角色”对用户进行划分，并制定元数据管理平台的访问规则，管理用户对元数据库的访问，如：元数据库中数据的访问控制、元数据分析的访问控制、元数据维护的权限等。所有使用的用户都必须按规定执行，以确保元数据的安全；

b.元数据管理部门必须确保用户权限被限定在许可的范围内，同时能够访问到有权访问的信息；

c.元数据管理部门需对元数据管理平台进行设置，保证在进入系统平台前必须执行登录操作，并且记录登录成功与失败的日志；

d. 访问控制的规则和权限应结合实际情况，并记录在案；

②元数据变更管理流程

为保证元数据变更过程中的安全性和规范性，元数据管理部门应制定元数据变更相关的安全规范。关于元数据变更管理的流程可参考如下：

组织人员根据实际情况，结合业务需求，明确需要变更的元数据，并在元数据管理平台上行提出元数据变更申请，需要填写的内容包括申请人、元数据变更内容、变更原因等。

提交数据变更申请后，元数据管理平台会启用自动审核，对变更的元数据进行初步的有效性审核，主要以过滤数据结构性错误为主，例如缺少字段类型错误、编码确实或不可识别字符编码等。如果自动检查发现错误，会将错误数据放入问题数据栏，以便数据管理员进行人工审核。经元数据平台自动审核后，提报元数据管理部门审批。

元数据管理部门接到元数据变更申请后，组织相关人员开展元数据变更评审会议，对所申请的元数据的变更进行合理性和必要性的评估，并对元数据的质量以及变更影响进行评估。对于评审通过的元数据变更申请，元数据管理部门在元数据管理平台上录入元数据变更实施期限并确认元数据变更申请审核。若评审结果为否决变更，则由元数据管理部门在元数据管理平台进行否决需求操作。

如果元数据变更申请已通过元数据管理部门审核，元数据将自动进入待发布流程。经元数据管理部门作最后确认后，元数据平台会将需要变更的元数据正式入库并发布上线，同时发布元数据变更通知和变更说明文档。

③元数据变更和访问操作审计记录

为了安全起见，在元数据变更和维护的各个阶段都需要加入安全审计机制，严格、详细地记录元数据变更和维护过程中的相关信息，方便后续问题排查分析和安全事件取证溯源。同时，元数据管理部门需设置专人定期对元数据变更和维护相关的日志记录进行安全审计，发布审计报告，并跟进审计中发现的异常。

技术工具简述

元数据是“关于数据的数据”，即对数据的描述信息。对数据不同方面的描述形成不同类型的元数据，一般而言，元数据一般分为业务元数据（如业务术语、业务规则等）、技术元数据（如数据库表结构、文件结构等）、操作元数据（如数据的更新时间、更新频率等）和管理元数据（如数据的负责部门、负责人等）。元数据管理是关于元数据的创建、存储、整合与控制等一整套流程的集合。因此通过元数据管理工具实现识别和评价数据资源，追踪数据资源在使用过程中的变化；实现简单高效地管理大量网络化数据；实现信息资源的有效发现、查找、一体化组织和对使用资源的有效管理。

技术工具的方法和原理

如下，为元数据管理系统的主要设计流程图：

元数据管理系统的功能框架包括数据源层、元数据获取层、元数据存储层、元数据服务接口层、元数据管理层和元数据应用层。

元数据源层。元数据层包括数据仓库设计的数据仓库产品、数据挖掘工具、建立数据仓库过程中所需的数据信息等。
元数据获取层。实现元数据源中各个系统的元数据抽取。元数据桥接器通过符合双方约定规范的接口或各个产品提供的特定接口实现元数据的抽取，并把抽取出的元数据存入元数据存储部分中的元数据库。
元数据存储层。实现元数据的存储，存储的元数据包括业务元数据和技术元数据，元数据按模型主题组织。存储库的逻辑模型设计须兼顾效率和模型的可拓展性与灵活性。
元数据管理层。由元数据管理和系统管理2个部分构成。元数据管理实现元数据的更新管理、同步管理、版本管理等功能。系统管理实现用户管理、权限管理、日志管理、备份与恢复等功能。一些元数据管理部分的功能需要人工或半人工操作。
元数据服务接口层。包括元数据对外的访问接口，包括ETL、DQM、OA系统或其他系统的服务接口，这些系统通过元数据服务接口部分访问元数据存储部分的元数据。该部分为其他用户或系统使用元数据提供了扩展方式。通过数据访问接口返回元数据中的数据内容，并生成其他数据系统需要的数据字典或提供其他应用的访问接口，提供与ETL系统、数据质量管理系统的数据交换机制。
元数据应用层。提供元数据管理、技术、业务用户的访问。该部分实现元数据查询、元数据浏览、元数据分析等基本功能模块。

技术工具工作流程和目标

元数据管理系统应能实现以下目标：

元数据管理工具应支持数据表的导航和搜索：集中展现数据仓库系统的各模块元数据，保持数据在各模块描述的一致性。全面实现系统各模块资源共享，实现元数据的快速访问。提供表血缘关系：能够通过血缘路径（指数据的来源、处理过程以及与其他数据之间的关系）查找问题的原因并加以解决。同时提供字段信息、使用说明、其他关联信息，方便用户使用数据表。
应建立元数据访问控制策略和审计机制，确保元数据操作的追溯。

元数据工作流程及框架详细图如下：