隨著《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》等一系列數(shù)據(jù)相關(guān)的法律法規(guī)頒布施行，國(guó)家對(duì)數(shù)據(jù)安全的重視程度空前，監(jiān)管也愈加嚴(yán)格。這極大的促進(jìn)了數(shù)據(jù)安全行業(yè)的發(fā)展，推動(dòng)企業(yè)數(shù)據(jù)安全建設(shè)進(jìn)入“快進(jìn)模式”。但隨著安全建設(shè)的不斷深入，各種規(guī)劃、制度、要求的增多，在進(jìn)入安全運(yùn)營(yíng)階段后，可能會(huì)出現(xiàn)制度未落地、要求未執(zhí)行到位的情況，這時(shí)候合規(guī)檢查的存在就顯得尤為重要。
合規(guī)檢查是指從安全合規(guī)的角度出發(fā)，通過(guò)某些方法和手段，發(fā)現(xiàn)企業(yè)數(shù)據(jù)安全中一些需要優(yōu)化及改正的地方，從而推動(dòng)整個(gè)安全體系的建設(shè)與運(yùn)營(yíng)。
數(shù)據(jù)合規(guī)檢查分為專項(xiàng)檢查與日常檢查兩種類型。其中，專項(xiàng)檢查一般會(huì)是針對(duì)某個(gè)具體方面，覆蓋整個(gè)企業(yè)的檢查工作，涉及范圍廣，但內(nèi)容具有針對(duì)性，例如終端安全檢查，需要對(duì)企業(yè)所有終端進(jìn)行檢查；日常檢查是對(duì)日常操作進(jìn)行檢查或領(lǐng)導(dǎo)臨時(shí)安排的檢查工作，這是針對(duì)某個(gè)系統(tǒng)或應(yīng)用開展的，涉及的內(nèi)容會(huì)比較廣，但范圍不大。
01
現(xiàn)狀調(diào)研
企業(yè)在進(jìn)行數(shù)據(jù)安全合規(guī)檢查之前，首先要進(jìn)行充分的現(xiàn)狀調(diào)研，梳理企業(yè)的基本信息、數(shù)據(jù)情況、整體制度和安全防護(hù)情況。如果現(xiàn)狀不明確，可能會(huì)導(dǎo)致數(shù)據(jù)安全合規(guī)檢查工作沒有頭緒，無(wú)法開展。因此，明朝萬(wàn)達(dá)數(shù)據(jù)安全專家強(qiáng)調(diào)要在數(shù)據(jù)安全合規(guī)檢查工作開始前進(jìn)行現(xiàn)狀調(diào)研，明確合規(guī)檢查的范圍、對(duì)象，并將整理結(jié)果匯總至相關(guān)責(zé)任人。調(diào)研方向如下：
1、梳理企業(yè)基本信息，了解企業(yè)的主要業(yè)務(wù)范圍、業(yè)務(wù)規(guī)模，分析企業(yè)對(duì)于國(guó)家、社會(huì)、人民生命財(cái)產(chǎn)的重要性，了解企業(yè)是否建立數(shù)據(jù)安全管理制度和組織機(jī)構(gòu)。
2、梳理企業(yè)數(shù)據(jù)基本信息，了解企業(yè)數(shù)據(jù)的類別、重要程度、規(guī)模、分布位置、流動(dòng)路徑、責(zé)任人，承載數(shù)據(jù)的系統(tǒng)情況及其網(wǎng)絡(luò)拓?fù)洹⑦\(yùn)營(yíng)維護(hù)等情況。
3、梳理企業(yè)數(shù)據(jù)安全防護(hù)情況，了解企業(yè)的數(shù)據(jù)安全管理機(jī)制建設(shè)情況，初步掌握企業(yè)已部署的數(shù)據(jù)安全防護(hù)系統(tǒng)及采取的防護(hù)措施。
02
確定內(nèi)容
數(shù)據(jù)安全合規(guī)檢查可以按內(nèi)容分為管理檢查項(xiàng)和技術(shù)檢查項(xiàng)。也可以按照檢查方式分為人工檢查和工具檢查。還可以根據(jù)數(shù)據(jù)級(jí)別分為數(shù)據(jù)安全通用防護(hù)和數(shù)據(jù)安全分級(jí)防護(hù)，為不同的數(shù)據(jù)對(duì)象確定不同的檢查內(nèi)容。
1、人工檢查：安全管理制度、組織機(jī)構(gòu)、人員保障、權(quán)限管理、供應(yīng)鏈數(shù)據(jù)安全管理、系統(tǒng)與設(shè)備安全管理、研發(fā)運(yùn)維管理、安全評(píng)估記錄、日志留存與審計(jì)、檢測(cè)預(yù)警管理、信息共享管理、應(yīng)急處置管理。
2、工具檢查：數(shù)據(jù)收集安全、數(shù)據(jù)存儲(chǔ)安全、數(shù)據(jù)使用安全、數(shù)據(jù)傳輸安全、數(shù)據(jù)提供安全、數(shù)據(jù)公開安全、數(shù)據(jù)銷毀安全、數(shù)據(jù)出境安全、數(shù)據(jù)轉(zhuǎn)移安全、研發(fā)運(yùn)維安全。
03
合規(guī)檢查
企業(yè)在明確了檢查內(nèi)容后，應(yīng)迅速成立檢查小組，按既定的檢查計(jì)劃，針對(duì)不同的檢查項(xiàng)進(jìn)行數(shù)據(jù)安全合規(guī)檢查。
對(duì)于管理制度和臺(tái)賬文檔清單可以人工進(jìn)行檢查，但針對(duì)數(shù)據(jù)生命周期中的數(shù)據(jù)資產(chǎn)清單、敏感數(shù)據(jù)識(shí)別、異常行為監(jiān)測(cè)、敏感數(shù)據(jù)泄露、非法越權(quán)訪問(wèn)、數(shù)據(jù)跨境傳輸、數(shù)據(jù)非法外聯(lián)等人工難以檢查的內(nèi)容則應(yīng)該采用專用工具，通過(guò)流量掃描技術(shù)、敏感數(shù)據(jù)識(shí)別技術(shù)、API接口脆弱性分析技術(shù)和終端安全檢查技術(shù)進(jìn)行檢查，減少人工檢查工作量的同時(shí)也可以量化檢查。對(duì)于大部分?jǐn)?shù)據(jù)生命周期技術(shù)檢查項(xiàng)，可以使用開源工具進(jìn)行掃描、收集和分析數(shù)據(jù)安全情況。針對(duì)少部分無(wú)法用開源工具檢查的項(xiàng)目，也可以用合規(guī)檢查安全U盤等其他專用工具進(jìn)行專項(xiàng)檢查。
產(chǎn)品優(yōu)勢(shì)
1、支持windows7、windows10、winSever、統(tǒng)信uos、麒麟uos等主流終端環(huán)境；
2、支持office文件、wps文件、壓縮文件、代碼文件等主流文件格式內(nèi)容掃描；
3、基于行業(yè)數(shù)據(jù)分類分級(jí)，預(yù)置大量檢查規(guī)則；
4、支持合規(guī)檢查結(jié)果統(tǒng)計(jì)匯總。
04
總結(jié)提升
數(shù)據(jù)安全合規(guī)檢查不是結(jié)束，而是一個(gè)開始。在數(shù)據(jù)安全合規(guī)檢查后，應(yīng)基于對(duì)國(guó)家法律法規(guī)、行業(yè)標(biāo)準(zhǔn)、技術(shù)的研究，基于企業(yè)安全現(xiàn)狀，梳理出數(shù)據(jù)安全的管理需要遵循安全政策，建立科學(xué)的數(shù)據(jù)安全保護(hù)制度，解決公司實(shí)際存在的安全問(wèn)題，增強(qiáng)抗擊數(shù)據(jù)安全威脅的能力。結(jié)合業(yè)務(wù)發(fā)展規(guī)劃、數(shù)據(jù)安全現(xiàn)狀和數(shù)據(jù)安全合規(guī)檢查情況，編制數(shù)據(jù)安全能力提升規(guī)劃，為數(shù)字化轉(zhuǎn)型和業(yè)務(wù)發(fā)展、數(shù)據(jù)安全建設(shè)提供決策依據(jù)。
專家總結(jié)
明朝萬(wàn)達(dá)數(shù)據(jù)安全專家提醒，針對(duì)行業(yè)特定的數(shù)據(jù)安全重點(diǎn)問(wèn)題，使用人工加自動(dòng)化工具方式開展數(shù)據(jù)安全合規(guī)檢查，能夠有效發(fā)現(xiàn)數(shù)據(jù)安全問(wèn)題，并通過(guò)對(duì)相關(guān)的問(wèn)題進(jìn)行專業(yè)分析，為數(shù)據(jù)安全整體提升起著至關(guān)重要的作用。
基于“動(dòng)態(tài)數(shù)據(jù)安全，數(shù)據(jù)全生命周期管控”的產(chǎn)品理念，明朝萬(wàn)達(dá)始終以守護(hù)用戶數(shù)據(jù)價(jià)值為己任，致力于讓安全真正服務(wù)于業(yè)務(wù)發(fā)展。在大數(shù)據(jù)、云計(jì)算等新技術(shù)應(yīng)用背景下，明朝萬(wàn)達(dá)以數(shù)據(jù)安全為核心、自主可控的國(guó)密算法應(yīng)用技術(shù)為基礎(chǔ)，研發(fā)的Chinasec（安元）數(shù)據(jù)安全系列產(chǎn)品及解決方案，覆蓋數(shù)據(jù)產(chǎn)生、存儲(chǔ)、交換、使用等全生命周期重要環(huán)節(jié)，實(shí)現(xiàn)對(duì)服務(wù)器、數(shù)據(jù)庫(kù)、PC終端、移動(dòng)終端以及網(wǎng)絡(luò)通信的全I(xiàn)T架構(gòu)下數(shù)據(jù)安全的協(xié)同聯(lián)動(dòng)管理，打造企業(yè)級(jí)的數(shù)據(jù)安全防護(hù)體系。
