数据安全治理dsg，数据安全治理体系框架

数字经济已成为我国经济发展新常态的创新力量，保障数据安全、实施数据安全治理将是数字经济发展的重中之重。我国数据安全起步较晚，数据安全的技术工具和标准成熟相对较慢。我们想用三个页面来快速概述数据安全治理的现状，帮助您了解天空卫士的数据安全治理自动化技术。

第一部分首先介绍美国联邦政府的数据安全项目：持续诊断和缓解(CDM)。

什么是清洁发展机制？

什么是CDM?我们来看看CDM的“身世”。

信息技术给美国带来了快速发展，网络安全风险和威胁始终受到高度关注。 21世纪初以来，美国开始考虑自己的网络安全之路，各种网络安全法律和网络安全战略的颁布，逐步明确了美国联邦政府的网络安全机构、职责分工和合作机制。

美国持续诊断和缓解（CDM）项目是国土安全部（DHS）国家网络空间安全保护系统（NCPS）计划的三大项目之一，美国提出了这一概念。 2012 年。

CDM是由美国网络安全和基础设施安全局（CISA）主导的网络安全产品和服务采购标准，帮助美国联邦、州和地方政府识别和减轻新兴网络威胁的影响，旨在增强保护能力全面地。联邦政府，专用网络。 CISA 的前身是国家保护计划局(NPPD)，隶属于美国国土安全部(DHS)。总统2020财年预算提案提出向DHS投资19.19亿美元，其中负责保护国家网络安全的CISA将获得约10亿美元或更多，占该部门总预算的一半以上。网络安全预算。在2020年预算制定中，CDM是主要预算类别。商业公司提供的数百万种商业产品和服务必须添加到CDM 批准产品清单(APL) 中，该清单须经过DHS 和CISA 产品认证和批准。

提出CDM的理由

针对美国联邦政府网络的网络攻击正变得越来越复杂，其中许多攻击都是“强烈的”、持续的、动态的攻击。政府网络和系统包含与国家安全相关的敏感数据。政府必须保护这些数据免遭盗窃并保护其网络和系统。 CDM 规划是一种基于风险的自动化动态网络安全分析方法，可帮助您保持更安全。在提供基本服务的同时保护敏感数据。

CDM的四个阶段

CDM项目分为四个阶段。

第一阶段，资产管理——“互联网上有什么？”

在此阶段，您管理四种类型的网络资产：硬件资产管理、软件资产管理、配置设置管理和漏洞管理。第2 阶段，人力资本管理——“谁在您的网络中？”

此阶段包括四部分内容：管理授予访问权限的信任、管理安全相关行为、管理凭证和身份验证以及管理帐户/访问/管理权限。第3 阶段，事件管理——“网络上发生了什么？”

该阶段涵盖应急准备与响应、应急响应、设计与施工战略规划、设计与施工质量、审计信息管理、运行安全管理、网络访问控制管理等七个方面。第4 阶段，数据管理——“如何保护我的数据？”

该阶段包括五个功能：数据发现和分类、数据保护、数据泄露预防、数据泄露响应和信息权限管理。

CDM 功能要求

CDM包括资产管理、身份与访问管理、网络安全管理、数据保护管理四大功能。

CDM功能需求

数据保护管理能力包括数据发现与分类、数据保护、数据防泄露、数据泄露响应、信息权限管理五项功能。

CDM对数据发现和分类、数据保护、数据丢失防护、数据泄露响应和信息权限管理都有详细的要求，内容广泛，将在后面的章节中更详细地介绍。

清洁发展机制的作用

CDM 计划是加强政府网络和系统网络安全的动态方法。 CDM 计划使DHS（和其他美国联邦机构）能够持续识别网络安全风险，根据潜在影响对这些风险进行优先级排序，并确保网络安全人员首先解决最重要的问题。我们提供的功能和工具可帮助您减少风险你的风险。降低网络安全风险

CDM 为整个政府提供了一套一致的持续诊断解决方案，增强了政府识别和减轻新兴网络威胁影响的能力。使网络管理员能够随时了解自身网络的安全状况，及时了解存在的风险和威胁，在威胁发生时第一时间识别并解决，并实施威胁解决策略，将成本控制在较低的水平。最低限度。提升安全响应能力

CDM 可以提高您识别和减轻新兴网络威胁影响的能力，减少网络威胁面，提高安全态势的可见性，并提高安全响应能力。根据紧急程度解决各种风险问题

快速识别网络安全风险并优先处理最严重的问题，以降低运营风险并提高IT 系统和政府网络的系统利用率。

CDM数据保护的基本要求

至少必须满足以下条件：

数据保护管理流程和政策

需要保护敏感/个人数据在存储、使用和传输过程中的安全，确保数据资产的机密性、完整性和可用性，并确保敏感信息只有在合法授权的情况下才能被访问和使用。管理流程和策略包括：

识别敏感/私人数据资产。

了解数据资产和关联数据流的位置。

识别授权角色、用户以及个人数据的使用、处理、披露和保留。

建立与数据资产的严重性和影响相称的访问控制和保护措施。

监控数据资产管理和保护措施的有效性。

收集并报告数据资产泄露行为。

及时响应并通知相关方数据泄露情况。

有效恢复而不影响运营。

CDM标准和要求表明数据安全的主要目标是：

明确数据所有权和使用权。制定健全的数据所有权规则，以确保所有数据更改均具有法律可执行性并有完整记录。

根据公司的内部和外部要求（法律、监管、业务），保持适当的数据机密性并防止信息泄露。

建立数据事件响应和灾难恢复机制，制定完整的响应流程，在发生事件时最大程度地减少损失并缩短影响时间。

哪些国际厂商深入参与CDM？

哪些国际网络安全厂商大力参与CDM？提供哪些产品？如何参与？以被雷神公司收购并整合的美国数据安全公司Forcepoint 为例。

2017 年10 月，Forcepoint 向美国总务管理局提出的第一份申请被纳入CDM 计划。这使得政府机构能够快速获得网络安全产品。

Forcepoint 的下一代防火墙(NGFW)、电子邮件安全、网络安全和DLP 产品均属于初始申请批准的一部分，并且可在第3 阶段CDM 批准产品列表(APL) 中找到。

11 月底，CDM APL 又接受了两款Forcepoint 产品。 Forcepoint 行为分析技术(UEBA) 和Forcepoint 内部威胁防御(Insider Threat) 现在也包含在批准产品列表中。

这是对CDM内容的介绍，接下来的两章将介绍我国数据安全治理的发展现状以及数据安全治理的下一步发展。敬请关注！