《数据安全能力成熟度模型》实践指南：数据供应链安全

2019年8月30日，《信息安全技术数据安全能力成熟度模型》（GB/T 37988-2019）简称DSMM（Data Security Maturity Model）正式成为国标对外发布，并已于2020年3月起正式实施。

DSMM将数据按照其生命周期分阶段采用不同的能力评估等级，分为数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全六个阶段。DSMM从组织建设、制度流程、技术工具、人员能力四个安全能力维度的建设进行综合考量。DSMM将数据安全成熟度划分成了1-5个等级，依次为非正式执行级、计划跟踪级、充分定义级、量化控制级、持续优化级，形成一个三维立体模型，全方面对数据安全进行能力建设。

在此基础上，DSMM将上述6个生命周期进一步细分，划分出30个过程域。这30个过程域分别分布在数据生命周期的6个阶段，部分过程域贯穿于整个数据生命周期。

随着《中华人民共和国数据安全法(草案)》的公布，后续DSMM很可能会成为该法案的具体落地标准和衡量指标，对于中国企业而言，以DSMM为数据安全治理思路方案选型，可以更好的实现数据安全治理的制度合规。

本系列文将以DSMM数据安全治理思路为依托，针对上述各过程域，基于充分定义级视角（3级），提供数据安全建设实践建议，本文作为本系列第二十四篇文章，本文将介绍通用安全过程域的数据供应链安全过程域（PA24）。

01 定义

数据供应链安全，DSMM官方描述定义为通过建立组织的数据供应链管理机制，防范组织上下游的数据供应过程中的安全风险。

DSMM标准在充分定义级对数据供应链安全要求如下：

组织建设

应设置了组织整体的数据供应链安全管理岗位和人员，负责制定整体的数据供应链管理要求利解决方案。

制度流程

1）应明确数据供应链安全管理规范，定义数据供应链安全目标、原则和范围，明确数据供应链的责任部门和人员、数据供应链上下游的责任和义务以及组织内部的审核原则；

2）组织应通过合作协议方式明确数据链中数据的使用目的、供应方式、保密约定、安全责任义务等；

3）应明确针对数据供应商的数据安全能力评估规范，根据该规范对数据供应商的数据安全能力进行评估，并将评估结果应用于供应商选择、供应商审核等供应商管理过程中。

技术工具

应建立组织整体的数据供应链库，用于管理数据供应链目录和相关数据源数据字典，便于及时查看并更新组织上下游数据链路的整体情况，并用于事后追踪分析数据供应链上下游合规情况。

人员能力

负责该项过程的人员应了解组织上下游数据供应链的整体情况，熟悉供应链安全方面的法规和标准，并具备推进供应链管理方案执行的能力。

02 实践指南

组织建设

数据供应链是指围绕数据主体，通过制定统一数据标准、管理统一数据质量、保障数据全生命周期安全，从对供应部门数据的采集开始，到数据的存储、治理、共享交换、挖掘计算、开放，最后把数据供应到需求部门手中进行数据应用，将组织内外部数据生产方、数据采集方、数据治理方、数据运营方、数据平台方、数据开发方、数据消费方等连成一个整体的功能网状结构，以实现数据资源资产化、数据资产服务化、数据服务价值化的目的。

基于上述目标，为实现数据供应链安全，首先依然是需要组织针对数据供应链安全管理进行专岗专人，主要需负责制定组织整体的数据供应链管理要求和解决方案，因此该岗位需要对组织现有数据整体供应流程、介入各方以及对应职责和应用需求等进行明确，并基于此实现相关方案制定、输出以及落地。

人员能力

根据上述组织建设思路，对应的数据供应链安全管理团队的人员，应至少具备3方面能力：

1、了解组织数据供应链整体架构，如组织建设思路所述，该岗位人员需负责制定组织整体的数据供应链管理要求和解决方案，因此该岗位需要对组织现有数据整体供应流程、介入各方以及对应职责和应用需求等进行明确，并能够清楚理解组织数据供应链整体架构，以便于后续分析和方案制定。

2、了解数据供应链安全相关标准法规，在了解组织数据供应链整体架构之上，为明确方案需求，需要相关人员能够从法律合规层面了解所需进行的方案构建内容，因此相关人员需对数据供应链相关安全标准、法律法规有较为深刻的理解。

3、方案输出与推进落地，需要相关人员根据上述内容输出对应组织整体的数据供应链管理要求和解决方案，并有能力将其推进落地。

落地执行性确认

针对组织数据供应链安全能力的实际落地执行性确认，与上述各数据安全生命周期确认方式类似，可通过内部审计、外部审计等形式以调研访谈、问卷调查、流程观察、文件调阅、技术检测等多种方式实现。

制度流程

针对数据供应链相关制度流程，主要包含数据供应链框架、数据供应链外部供应商合作规范与能力评估规范。

1、数据供应链框架

数据供应链的总体框架通常由五大功能体系、九大流程环节构成。

五大体系由数据生产运营体系、数据质量管理体系、数据价值评估体系、数据安全风控体系、数据联盟协同体系组成。九大流程环节包括数据归集、数据存储、数据治理、数据开发、内部共享交换、数据应用、外部共享交换、数据开放、数据交易环节。五大体系对九大流程环节提供全面的流程、质量、价值、安全和联盟协同保障能力。不同的功能保障体系都有其重点流程环节。

2、数据供应链外部供应商合作规范

针对外部供应商相关数据合作，组织应通过合作协议方式明确数据链屮数据的使用目的、供应方式、保密约定、安全责任义务等，并通过合作协议等书面文件形式确保供应商数据使用目的无未授权扩散、供应方式可靠，并严格遵守数据流动保密要求，明确列举双方安全责任义务与违约处置等。

3、数据供应链外部供应商能力评估规范

针对外部供应商数据流动合作，组织也同样应基于数据安全能力成熟度指南标准，根据组织自身已达到标准，对外部供应商进行对应能力评估，确认其在数据安全生命周期过程中可达到的数据安全能力成熟度，并判定其等级是否不低于组织已达到、或需要数据流动过程中需达到的最低等级要求，若否则无法进行合作，通过对供应商进行数据安全能力成熟度评估，实现对供应商的安全要求选型，降低由于数据供应链中因供应商的数据安全隐患导致的数据泄露或损失。

技术工具简述

在组织内部，根据数据的流向关系会存在一个数据供应链。组织从数据供应链的上游取得数据进行使用，同时组织也将数据提供给数据供应链的下游使用。从上游而来的数据可能会有恶意数据夹带风险，提供给下游使用的数据可能会有数据泄露的风险。所以，组织为了保证数据供应链上下游的安全，必须建立数据供应链相关的技术工具，对从上游下来的数据进行审查记录，对分发到下游的数据进行控制记录，并建立独立的供应链数据库以便于管理。

技术工具的方法和原理

1、数据供应链元数据管理

元数据描述的是数据的背景、内容、数据结构及其生命周期管理。简而言之，元数据是“数据的背景”。通俗可以理解为数据模型就是元数据。元数据管理是数据供应链管理的基础，数据供应链的安全也需要元数据的有效管理。在数据供应链中，其元数据包括但不限于数据供应链授权信息、流转对账信息、场景使用信息、供应链节点信息、数据鉴别标志信息等。通过对元数据的管理，可以实时监测和查询数据供应链路整体情况，更好的掌握数据情况。而且通过对数据供应链元数据的鉴别等措施，就可以元数据层面对异常数据、恶意数据等进行检测清洗拦截。

2、流入数据审查

在数据供应链中，组织必定存在于数据供应链的某个节点，组织从这个节点的直接上游获得数据。从上游获得的数据不一定是安全的，有可能已经被攻击者恶意篡改，所以组织在使用数据供应链上游提供的数据之前，必须先通过数据鉴别技术进行严格的审查。数据审查包括来源审查、完整性检查、恶意数据检测等。可以使用的技术包括加密技术、数字签名技术、数字证书技术、恶意代码检测技术等。可以利用加密技术，使数据供应链中传递的数据都是加密的，同时在加密数据中加入数字签名、数字证书等。当组织接收到来自上游的数据时，首先利用对应的解密技术的密钥解密数据，然后使用数字签名和数字证书校验数据的完整性，最后利用恶意代码检测工具检查数据是否安全。保证流入组织的数据是可用的、完整未被篡改的、安全的。

3、数据流出控制

在数据供应链中，组织除了会从供应链上游获取数据之外，也会将组织数据传递给数据供应链的下游。数据从组织内流出往往会带来敏感信息泄露的问题，所以，使用相关技术对流出的数据进行控制对数据供应链整体的数据安全至关重要。流出数据的敏感信息泄露问题一方面是把组织内部不希望流出的数据在未知情况下流向了数据供应链下游，另一方面是流出的数据被攻击者恶意拦截窃听。基于第一种情形，数据在从组织内流出之前需要进行严格的授权审批，多级审批全部通过之后数据才可以流出。同时，使用数据打标工具对提前对授权流出的数据打上变迁，在流出时进行检测，一旦检测到未标记数据的流出行为，会立即阻断并停止数据的流出，告警提示流出数据异常。针对流出数据可能会被攻击者恶意获取的情况，数据供应链需要事先建立统一的传输数据加密规定，按照统一的加密标准进行数据供应链内的数据加密传输，同时使用安全可信的数据传输链路，如SSL等。