今天跟大家跟分享一下，数据安全能力框架。

大家常常听到过的名词：“DSG框架”、“DGPC框架”、“DSMM框架”、“DCDS框架”。第一次看到这些名词的时候，我也看不懂，也不知道是撒子意思。今天给大家分享一下。

DSG框架

2017年的时间节点，Gartner提出了（Data Security Governance）数据安全治理框架。

DSG框架示意图（英文）

DSG框架示意图（国语）

如上图所示，此框架认为，从企业的经营策略、数据安全治理、制定治理整体策略，直接从技术工具开始对数据安全进行治理是不正确的，正确的方式应该是从企业业务风险分析出发，对企业内部的数据进行采集、识别、分类分级管理，并针对数据在多个场景中的机密性、完整性、可用性实行策略管控。再对企业的业务数据，对数据的整个生命周期，进行策略编排，来降低企业的数据风险、业务风险。

在DSG框架中，数据安全治理得过程一共分为5个阶段。

1、平衡业务与风险、威胁、合规之间的关系（5个维度之间的平衡）

• 企业经营策略：数据安全治理应保持与企业经营策略的制定和实施，目标达成一致。

• 治理：数据安全需要开展治理工作（另一种解读：管理：与现有企业的管理手段相结合）

• 合规：知道未来企业需要面临的合规要求

• IT策略：与企业整体IT策略同步

• 风险承受能力：企业对安全风险的承受力是多......？

2、数据治理

• 需要梳理出所需要保护的对象，企业内部的数据不一定都具有保护的价值，优先选择重要数据进行数据安全治理工作，毕竟安全资源有限，要是钱多的话，就当我没说。接下来就是根据现有行业的规范进行分类分级，如果你接触的企业，没有现有的行业规范，那你就是吃螃蟹的人。

3、安全策略

• 关系：数据访问者、访问对象、访问组织、访问行为等等。

• 安全策略：根据使用场景，实行针对性的安全策略，要记住所有的安全策略，不可能完全消除风险！只要安全风险在承受力范围内，就是合理的可以的。（不要死板板的跟客户这样说，不然容易挨叼，得圆滑一点）

4、安全工具

• 根据数据不同生命周期，可采取不同的数据安全技术/工具，DSG框架中提到了carypto（加密）、DCAP（数据审计）、DLP（数据防泄漏）、CASB(云访问代理)、IAM（身份识别与访问能力）、UEBA（用户和实体行为分析），等其他的安全工具现在也有，例如数据流转监测分析、API等

5、策略编排

• 数据安全工具，实行安全策略集中管理、同步下发。策略执行对象应包括关系型数据库、大数据类型、文档文件、云端数据等数据类型。

本来还想写其他的框架的，明天再说吧，有点累了。