GB/T 37988—2019 数据安全能力成熟度模型

好的，这是根据您提供的文本生成的学习笔记：

标准概述

• 标准编号为 GB/T 37988—2019
• 标准名称为《信息安全技术数据安全能力成熟度模型》
• 英文名称为 Information security technology-Data security capability maturity model
• 发布日期为 2019年8月30日
• 实施日期为 2020年3月1日
• 本标准由国家市场监督管理总局、中国国家标准化管理委员会发布

主要内容

• 提出了组织数据安全能力的成熟度模型架构
• 规定数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全、通用安全的成熟度等级要求
• 适用于对组织数据安全能力进行评估，也可作为组织开展数据安全能力建设时的依据

术语定义

• 数据安全（data security）：通过管理和技术措施，确保数据有效保护和合规使用的状态
• 保密性（confidentiality）：使信息不泄漏给未授权的个人、实体、进程，或不被其利用的特性
• 完整性（integrity）：准确和完备的特性
• 可用性（availability）：已授权实体一旦需要就可访问和使用的数据和资源的特性
• 数据安全能力（data security capability）：组织在组织建设、制度流程、技术工具以及人员能力等方面对数据的安全保障
• 能力成熟度（capability maturity）：对一个组织有条理的持续改进能力以及实现特定过程的连续性、可持续性、有效性和可信度的水平
• 能力成熟度模型（capability maturity model）：对一个组织的能力成熟度进行度量的模型，包括一系列代表能力和进展的特征、属性、指示或者模式
• 安全过程（security process）：用于实现某一安全目标的完整过程，包含输入和输出
• 过程域（process area）：实现同一安全目标的相关数据安全基本实践的集合
• 基础实践（base practice）：实现某一安全目标的数据安全相关活动
• 通用实践（generic practice）：在评估中用于确定任何安全过程域或基本实践的实施能力的评定准则
• 数据脱敏（data desensitization）：通过一系列数据处理方法对原始数据进行处理以屏蔽敏感数据的一种数据保护方法
• 数据处理（data processing）：对原始数据进行抽取、转换、加载的过程
• 数据供应链（data supply chain）：为满足数据供应关系，通过资源和过程将需方、供方相互关联的结构
• 规程（procedure）：对执行一个给定任务所采取动作历程的书面描述
• 合规（compliance）：对数据安全所适用的法律法规的符合程度

DSMM架构

• DSMM 架构由安全能力维度、能力成熟度等级维度和数据安全过程维度构成
  • 安全能力维度明确了组织在数据安全领域应具备的能力，包括组织建设、制度流程、技术工具和人员能力
  • 能力成熟度等级维度划分为五级，分别是：非正式执行级、计划跟踪级、充分定义级、量化控制级和持续优化级
  • 数据安全过程维度包括数据生存周期安全过程和通用安全过程

安全能力维度

• 安全能力分为四个方面
  • 组织建设：数据安全组织的设立、职责分配和沟通协作
  • 制度流程：组织数据安全领域的制度和流程执行
  • 技术工具：通过技术手段和产品工具落实安全要求或自动化实现安全工作
  • 人员能力：执行数据安全工作的人员的安全意识及相关专业能力

数据安全过程维度

-分为数据生存周期安全过程和通用安全过程
    - 数据生存周期安全包括数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全六个阶段

数据安全PA体系

-分为数据生存周期安全过程和通用安全过程两部分，共包含30个PA
    -数据采集安全 (PA01~PA04)：数据分类分级、数据采集安全管理、数据源鉴别及记录、数据质量管理
    -数据传输安全 (PA05~PA06)：数据传输加密、网络可用性管理
    -数据存储安全 (PA07~PA09)：存储媒体安全、逻辑存储安全、数据备份和恢复
    -数据处理安全 (PA10~PA14)：数据脱敏、数据分析安全、数据正当使用、数据处理环境安全、数据导入导出安全
    -数据交换安全 (PA15~PA17)：数据共享安全、数据发布安全、数据接口安全
    -数据销毁安全 (PA18~PA19)：数据销毁处置、存储媒体销毁处置
    -通用安全 (PA20~PA30)：数据安全策略规划、组织和人员管理、合规管理、数据资产管理、数据供应链安全、元数据管理、终端数据安全、监控与审计、鉴别与访问控制、需求分析、安全事件应急

PA编码规则

-每个PA有对应的编号，分别采用递增的数值01、02,...,表示
-每个PA 由一些BP组成。BP用BP.XX.XX来进行编号,第一组编码表示所在 PA的序号，第二组编码表示具体BP的序号。
-对于每个PA的每个级别,需要同时满足本级别和所有低于该级别的BP的要求,才能达到本级别的能力水平,依此类推。

数据采集安全

数据分类分级 (PA01)

-基于法律法规以及业务需求确定组织内部的数据分类分级方法,对生成或收集的数据进行分类分级标识。

数据采集安全管理 (PA02)

-在采集外部客户、合作伙伴等相关方数据的过程中,组织应明确采集数据的目的和用途,确保满足数据源的真实性、有效性和最少够用等原则要求,并明确数据采集渠道、规范数据格式以及相关的流程和方式,从而保证数据采集的合规性、正当性、一致性。

数据源鉴别及记录 (PA03)

-对产生数据的数据源进行身份鉴别和记录,防止数据仿冒和数据伪造。

数据质量管理 (PA04)

- 建立组织的数据质量管理体系,保证对数据采集过程中收集/产生的数据的准确性、一致性和完整性。

数据传输安全

数据传输加密 (PA05)

- 根据组织内部和外部的数据传输要求,采用适当的加密保护措施,保证传输通道、传输节点和传输数据的安全,防止传输过程中的数据泄漏。

网络可用性管理 (PA06)

 -通过网络基础设施及网络层数据防泄漏设备的备份建设,实现网络的高可用性,从而保证数据传输过程的稳定性。

数据存储安全

存储媒体安全（PA07)

• 针对组织内需要对数据存储媒体进行访问和使用的场景,提供有效的技术和管理手段,防止对媒体的不当使用而可能引发的数据泄漏风险.
• 存储媒体包括终端设备及网络存储

逻辑存储安全（PA08)

• 基于组织内部的业务特性和数据存储安全要求，建立针对数据逻辑存储、存储容器等的有效安全控制。

数据备份和恢复（PA09)

  -通过执行定期的数据备份和恢复,实现对存储数据的冗余管理,保护数据的可用性。

数据处理安全

数据脱敏

    -根据相关法律法规、标准的要求以及业务需求,给出敏感数据的脫敏需求和规则,对敏感数据进行脱敏处理,保证数据可用性和安全性的平衡。

数据分析安全

   -通过在数据分析过程采取适当的安全控制措施,防止数据挖掘、分析过程中有价值信息和个人隐私泄漏的安全风险。

数据正当使用

    - 基于国家相关法律法规对数据分析和利用的要求,建立数据使用过程的责任机制、评估机制,保护国家秘密、商业秘密和个人隐私,防止数据资源被用于不正当目的。

数据处理环境安全

        - 为组织内部的数据处理环境建立安全保护机制,提供统一的数据计算、开发平台,确保数据处理的过程中有完整的安全控制管理和技术支持。

数据导入导出安全

      -通过对数据导入导出过程中对数据的安全性进行管理,防止数据导入导出过程中可能对数据自身的可用性和完整性构成的危害,降低可能存在的数据泄漏风险。

数据交换安全

数据共享安全

        -通过业务系统、产品对外部组织提供数据时,以及通过合作的方式与合作伙伴交换数据时执行共享数据的安全风险控制,以降低数据共享场景下的安全风险。

数据发布安全

     -在对外部组织进行数据发布的过程中,通过对发布数据的格式、适用范围、发布者与使用者权利和义务执行的必要控制,以实现数据发布过程中数据的安全可控与合规。

数据接口安全

        - 通过建立组织的对外数据接口的安全管理机制,防范组织数据在接口调用过程中的安全风险。

数据销毁安全

数据销毁处置

   -通过建立针对数据的删除、净化机制,实现对数据的有效销毁,防止因对存储媒体中的数据进行恢复而导致的数据泄漏风险。

存储媒体销毁处置

   -通过建立对存储媒体安全销毁的规程和技术手段,防止因存储媒体丢失、被窃或未授权的访问而导致存储媒体中的数据泄漏的安全风险。

通用安全

数据安全策略规划 (PA20)

      -建立适用于组织数据安全风险状况的组织整体的数据安全策略规划，数据安全策略规划的内容应覆盖数据全生存周期的安全风险。

组织和人员管理 (PA21)

     -通过建立组织内部负责数据安全工作的职能部门及岗位，以及对人力资源管理过程中各环节进行安全管理，防范组织和人员管理过程中存在的数据安全风险。

合规管理 (PA22)

       -跟进组织需符合的法律法规要求,以保证组织业务的发展不会面临个人信息保护、重要数据保护、跨境数据传输等方面的合规风险。

数据资产管理 (PA23)

         -通过建立针对组织数据资产的有效管理手段，从资产的类型、管理模式方面实现统一的管理要求

数据供应链安全 (PA24)

      -通过建立组织的数据供应链管理机制,防范组织上下游的数据供应过程中的安全风险。

元数据管理 (PA25)

       -建立组织的元数据管理体系，实现对组织内元数据的集中管理。

终端数据安全(PA26)

       - 基于组织对终端设备层面的数据保护要求，针对组织内部的工作终端采取相应的技术和管理方案。

监控与审计

       -针对数据生存周期各阶段开展安全监控和审计，以保证对数据的访问和操作均得到有效的监控和审计，以实现对数据生存周期各阶段中可能存在的未授权访问、数据滥用、数据泄漏等安全风险的防控。

鉴别与访问控制 (PA28)

      -通过基于组织的数据安全需求和合规性要求建立身份鉴别和数据访问控制机制，防止对数据的未授权访问风险。

需求分析 (PA29)

     -通过建立针对组织业务的数据安全需求分析体系，分析组织内数据业务的安全需求。

安全事件应急 (PA30)

     -建立针对数据的安全事件应急响应体系，对各类安全事件进行及时响应和处置。

希望这些笔记能够帮助您更好地学习和理解相关知识。