2019年8月30日，《信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》（GB/T 37988-2019）簡(jiǎn)稱DSMM（Data Model）正式成為國(guó)標(biāo)對(duì)外發(fā)布，并已于2020年3月起正式實(shí)施。
DSMM將數(shù)據(jù)按照其生命周期分階段采用不同的能力評(píng)估等級(jí)，分為數(shù)據(jù)采集安全、數(shù)據(jù)傳輸安全、數(shù)據(jù)存儲(chǔ)安全、數(shù)據(jù)處理安全、數(shù)據(jù)交換安全、數(shù)據(jù)銷毀安全六個(gè)階段。DSMM從組織建設(shè)、制度流程、技術(shù)工具、人員能力四個(gè)安全能力維度的建設(shè)進(jìn)行綜合考量。DSMM將數(shù)據(jù)安全成熟度劃分成了1-5個(gè)等級(jí)，依次為非正式執(zhí)行級(jí)、計(jì)劃跟蹤級(jí)、充分定義級(jí)、量化控制級(jí)、持續(xù)優(yōu)化級(jí)，形成一個(gè)三維立體模型，全方面對(duì)數(shù)據(jù)安全進(jìn)行能力建設(shè)。
在此基礎(chǔ)上，DSMM將上述6個(gè)生命周期進(jìn)一步細(xì)分，劃分出30個(gè)過(guò)程域。這30個(gè)過(guò)程域分別分布在數(shù)據(jù)生命周期的6個(gè)階段，部分過(guò)程域貫穿于整個(gè)數(shù)據(jù)生命周期。
隨著《中華人民共和國(guó)數(shù)據(jù)安全法(草案)》的公布，后續(xù)DSMM很可能會(huì)成為該法案的具體落地標(biāo)準(zhǔn)和衡量指標(biāo)，對(duì)于中國(guó)企業(yè)而言，以DSMM為數(shù)據(jù)安全治理思路方案選型，可以更好的實(shí)現(xiàn)數(shù)據(jù)安全治理的制度合規(guī)。
"
本系列文將以DSMM數(shù)據(jù)安全治理思路為依托，針對(duì)上述各過(guò)程域，基于充分定義級(jí)視角（3級(jí)），提供數(shù)據(jù)安全建設(shè)實(shí)踐建議，本文作為本系列第二十五篇文章，本文將介紹通用安全過(guò)程域的元數(shù)據(jù)管理過(guò)程域（PA25）。
"
01定義
元數(shù)據(jù)管理，DSMM官方描述定義為建立組織的元數(shù)據(jù)管理體系，實(shí)現(xiàn)對(duì)組織內(nèi)元數(shù)據(jù)的集中管理。
DSMM標(biāo)準(zhǔn)在充分定義級(jí)對(duì)元數(shù)據(jù)管理要求如下：
組織建設(shè)
應(yīng)設(shè)立組織層面的元數(shù)據(jù)管理人員，統(tǒng)一負(fù)責(zé)建立組織內(nèi)部元數(shù)據(jù)語(yǔ)義規(guī)則、管理要求和技術(shù)工具。
制度流程
1） 應(yīng)明確數(shù)據(jù)服務(wù)元數(shù)據(jù)語(yǔ)義統(tǒng)一格式和管理規(guī)則，如數(shù)據(jù)格式、數(shù)據(jù)域、字段類型、表結(jié)構(gòu)、邏輯存儲(chǔ)和物理存儲(chǔ)結(jié)構(gòu)及管理方式；
2） 應(yīng)明確數(shù)據(jù)安全元數(shù)據(jù)管理要求，如口令策略、權(quán)限列表、授權(quán)策略。
技術(shù)工具
1） 元數(shù)據(jù)管理工具應(yīng)支持?jǐn)?shù)據(jù)表的導(dǎo)航和搜索，提供表血緣關(guān)系、字段信息、使用說(shuō)明、其他關(guān)聯(lián)信息,方便用戶使用數(shù)據(jù)表；
2） 應(yīng)建立元數(shù)據(jù)訪問(wèn)控制策略和審計(jì)機(jī)制，確保元數(shù)據(jù)操作的追溯。
人員能力
負(fù)責(zé)該項(xiàng)工作的人員應(yīng)了解元數(shù)據(jù)管理的理論基礎(chǔ)，理解組織的元數(shù)據(jù)管理的業(yè)務(wù)需求。
02實(shí)踐指南
組織建設(shè)
組織機(jī)構(gòu)應(yīng)該在條件允許的情況下設(shè)立元數(shù)據(jù)管理部門并招募相關(guān)的管理人員和技術(shù)人員，負(fù)責(zé)為公司提供必要的技術(shù)支持，負(fù)責(zé)為組織機(jī)構(gòu)內(nèi)部制定整體的元數(shù)據(jù)管理制度、元數(shù)據(jù)語(yǔ)義規(guī)則等，負(fù)責(zé)對(duì)組織機(jī)構(gòu)內(nèi)部的元數(shù)據(jù)場(chǎng)景進(jìn)行風(fēng)險(xiǎn)評(píng)估，負(fù)責(zé)為技術(shù)人員建立規(guī)范的元數(shù)據(jù)訪問(wèn)控制策略和審計(jì)機(jī)制，確保任何人對(duì)元數(shù)據(jù)的操作都可以追蹤溯源。除此之外，元數(shù)據(jù)管理部門還需要為元數(shù)據(jù)審核人員（技術(shù)人員）進(jìn)行專門的安全意識(shí)培訓(xùn)通達(dá)oa辦公系統(tǒng)--數(shù)據(jù)備份與恢復(fù)指南，并推動(dòng)以上相關(guān)要求再組織機(jī)構(gòu)中確實(shí)可靠的落地執(zhí)行。
人員能力
針對(duì)元數(shù)據(jù)管理部門的管理人員來(lái)說(shuō)，必須具備良好的數(shù)據(jù)安全風(fēng)險(xiǎn)意識(shí)，熟悉國(guó)家網(wǎng)絡(luò)安全法律法規(guī)以及組織機(jī)構(gòu)所屬行業(yè)的政策和監(jiān)管要求，在進(jìn)行元數(shù)據(jù)管理以及制定元數(shù)據(jù)管理制度和元數(shù)據(jù)語(yǔ)義規(guī)則的時(shí)候，嚴(yán)格按照《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》、《個(gè)人信息保護(hù)法》等國(guó)家相關(guān)法律法規(guī)和行業(yè)規(guī)范執(zhí)行，同時(shí)還需要相關(guān)的管理人員具備一定的元數(shù)據(jù)管理經(jīng)驗(yàn)，擁有良好的元數(shù)據(jù)管理專業(yè)知識(shí)基礎(chǔ)且通過(guò)了崗位能力測(cè)試，熟悉主流的元數(shù)據(jù)管理制度、管理流程、管理要求和技術(shù)工具，能夠根據(jù)不同的管理要求和元數(shù)據(jù)安全屬性進(jìn)行相應(yīng)的風(fēng)險(xiǎn)評(píng)估，能夠根據(jù)元數(shù)據(jù)管理和審核的整體需求明確應(yīng)使用的元數(shù)據(jù)管理和審核工具。除此之外，還需要管理人員能夠主動(dòng)根據(jù)行業(yè)及政策變化更新相關(guān)的知識(shí)和技能，具備能夠結(jié)合業(yè)界標(biāo)準(zhǔn)、合規(guī)準(zhǔn)則、業(yè)務(wù)場(chǎng)景制定標(biāo)準(zhǔn)化元數(shù)據(jù)管理制度的能力。
針對(duì)元數(shù)據(jù)管理部門的技術(shù)人員來(lái)說(shuō)，同樣也必須具備良好的元數(shù)據(jù)管理安全風(fēng)險(xiǎn)意識(shí)，熟悉相關(guān)的法律法規(guī)以及政策要求，熟悉主流廠商的元數(shù)據(jù)審核案例，熟悉主流的元數(shù)據(jù)訪問(wèn)控制和審計(jì)的工具及其使用方法，擁有至少一年以上的元數(shù)據(jù)審核經(jīng)驗(yàn)，充分理解并執(zhí)行由管理人員制定的元數(shù)據(jù)管理方案，充分理解組織機(jī)構(gòu)內(nèi)部的元數(shù)據(jù)管理的業(yè)務(wù)需求，具備能夠主動(dòng)根據(jù)政策變化和技術(shù)發(fā)展更新自身相關(guān)知識(shí)和技能的能力，具備能夠?qū)ν话l(fā)的元數(shù)據(jù)審計(jì)事件進(jìn)行應(yīng)急處理的能力。
落地執(zhí)行性確認(rèn)
針對(duì)元數(shù)據(jù)管理崗位人員能力的實(shí)際落地執(zhí)行性確認(rèn)，可通過(guò)內(nèi)部審計(jì)、外部審計(jì)等形式以調(diào)研訪談、問(wèn)卷調(diào)查、流程觀察、文件調(diào)閱、技術(shù)檢測(cè)等多種方式實(shí)現(xiàn)。
制度流程
1）元數(shù)據(jù)管理目的
元數(shù)據(jù)主要是描述數(shù)據(jù)屬性的，或者描述信息資源或數(shù)據(jù)等對(duì)象的數(shù)據(jù)。同時(shí)元數(shù)據(jù)本身也是數(shù)據(jù)， 因此可以用類似數(shù)據(jù)的方法在數(shù)據(jù)庫(kù)中進(jìn)行存儲(chǔ)和獲取。進(jìn)行元數(shù)據(jù)管理目的在于：識(shí)別和評(píng)價(jià)數(shù)據(jù)資源，追蹤數(shù)據(jù)資源在使用過(guò)程中的變化；實(shí)現(xiàn)簡(jiǎn)單高效地管理大量網(wǎng)絡(luò)化數(shù)據(jù)；實(shí)現(xiàn)信息資源的有效發(fā)現(xiàn)、查找、一體化組織和對(duì)使用資源的有效管理。如果沒(méi)有元數(shù)據(jù)，組織IT系統(tǒng)中收集和存儲(chǔ)的所有數(shù)據(jù)都會(huì)失去意義，也就沒(méi)有業(yè)務(wù)價(jià)值。
2）元數(shù)據(jù)管理規(guī)范
組織應(yīng)熟悉國(guó)家網(wǎng)絡(luò)安全法律法規(guī)以及組織機(jī)構(gòu)所屬行業(yè)的政策和監(jiān)管要求，結(jié)合實(shí)際情況建立元數(shù)據(jù)管理制度，明確元數(shù)據(jù)的編寫(xiě)要求（如數(shù)據(jù)格式、數(shù)據(jù)域、字段類型、表結(jié)構(gòu)、邏輯存儲(chǔ)和物理存儲(chǔ)結(jié)構(gòu)及管理方式等）、元數(shù)據(jù)訪問(wèn)控制要求、元數(shù)據(jù)變更管理流程、元數(shù)據(jù)變更和訪問(wèn)操作日志記錄和審計(jì)要求等，防止組織內(nèi)部合法人員利用違規(guī)或違法取得的權(quán)限進(jìn)行不正當(dāng)?shù)牟僮?。并通過(guò)建立元數(shù)據(jù)管理平臺(tái)進(jìn)行統(tǒng)一管理，采取嚴(yán)格的訪問(wèn)控制、監(jiān)控審計(jì)和職責(zé)分離來(lái)確保數(shù)據(jù)處理安全。
①元數(shù)據(jù)訪問(wèn)控制要求
a.元數(shù)據(jù)管理部門需按照“角色”對(duì)用戶進(jìn)行劃分，并制定元數(shù)據(jù)管理平臺(tái)的訪問(wèn)規(guī)則，管理用戶對(duì)元數(shù)據(jù)庫(kù)的訪問(wèn)，如：元數(shù)據(jù)庫(kù)中數(shù)據(jù)的訪問(wèn)控制、元數(shù)據(jù)分析的訪問(wèn)控制、元數(shù)據(jù)維護(hù)的權(quán)限等。所有使用的用戶都必須按規(guī)定執(zhí)行，以確保元數(shù)據(jù)的安全；
b.元數(shù)據(jù)管理部門必須確保用戶權(quán)限被限定在許可的范圍內(nèi)，同時(shí)能夠訪問(wèn)到有權(quán)訪問(wèn)的信息；
c.元數(shù)據(jù)管理部門需對(duì)元數(shù)據(jù)管理平臺(tái)進(jìn)行設(shè)置，保證在進(jìn)入系統(tǒng)平臺(tái)前必須執(zhí)行登錄操作，并且記錄登錄成功與失敗的日志；
d. 訪問(wèn)控制的規(guī)則和權(quán)限應(yīng)結(jié)合實(shí)際情況，并記錄在案；
②元數(shù)據(jù)變更管理流程
為保證元數(shù)據(jù)變更過(guò)程中的安全性和規(guī)范性，元數(shù)據(jù)管理部門應(yīng)制定元數(shù)據(jù)變更相關(guān)的安全規(guī)范。關(guān)于元數(shù)據(jù)變更管理的流程可參考如下：
組織人員根據(jù)實(shí)際情況，結(jié)合業(yè)務(wù)需求，明確需要變更的元數(shù)據(jù)，并在元數(shù)據(jù)管理平臺(tái)上行提出元數(shù)據(jù)變更申請(qǐng)，需要填寫(xiě)的內(nèi)容包括申請(qǐng)人、元數(shù)據(jù)變更內(nèi)容、變更原因等。
提交數(shù)據(jù)變更申請(qǐng)后，元數(shù)據(jù)管理平臺(tái)會(huì)啟用自動(dòng)審核，對(duì)變更的元數(shù)據(jù)進(jìn)行初步的有效性審核，主要以過(guò)濾數(shù)據(jù)結(jié)構(gòu)性錯(cuò)誤為主，例如缺少字段類型錯(cuò)誤、編碼確實(shí)或不可識(shí)別字符編碼等。如果自動(dòng)檢查發(fā)現(xiàn)錯(cuò)誤，會(huì)將錯(cuò)誤數(shù)據(jù)放入問(wèn)題數(shù)據(jù)欄，以便數(shù)據(jù)管理員進(jìn)行人工審核。經(jīng)元數(shù)據(jù)平臺(tái)自動(dòng)審核后，提報(bào)元數(shù)據(jù)管理部門審批。
元數(shù)據(jù)管理部門接到元數(shù)據(jù)變更申請(qǐng)后通達(dá)oa辦公系統(tǒng)--數(shù)據(jù)備份與恢復(fù)指南，組織相關(guān)人員開(kāi)展元數(shù)據(jù)變更評(píng)審會(huì)議，對(duì)所申請(qǐng)的元數(shù)據(jù)的變更進(jìn)行合理性和必要性的評(píng)估，并對(duì)元數(shù)據(jù)的質(zhì)量以及變更影響進(jìn)行評(píng)估。對(duì)于評(píng)審?fù)ㄟ^(guò)的元數(shù)據(jù)變更申請(qǐng)，元數(shù)據(jù)管理部門在元數(shù)據(jù)管理平臺(tái)上錄入元數(shù)據(jù)變更實(shí)施期限并確認(rèn)元數(shù)據(jù)變更申請(qǐng)審核。若評(píng)審結(jié)果為否決變更，則由元數(shù)據(jù)管理部門在元數(shù)據(jù)管理平臺(tái)進(jìn)行否決需求操作。
如果元數(shù)據(jù)變更申請(qǐng)已通過(guò)元數(shù)據(jù)管理部門審核，元數(shù)據(jù)將自動(dòng)進(jìn)入待發(fā)布流程。經(jīng)元數(shù)據(jù)管理部門作最后確認(rèn)后，元數(shù)據(jù)平臺(tái)會(huì)將需要變更的元數(shù)據(jù)正式入庫(kù)并發(fā)布上線，同時(shí)發(fā)布元數(shù)據(jù)變更通知和變更說(shuō)明文檔。
③元數(shù)據(jù)變更和訪問(wèn)操作審計(jì)記錄
為了安全起見(jiàn)，在元數(shù)據(jù)變更和維護(hù)的各個(gè)階段都需要加入安全審計(jì)機(jī)制，嚴(yán)格、詳細(xì)地記錄元數(shù)據(jù)變更和維護(hù)過(guò)程中的相關(guān)信息，方便后續(xù)問(wèn)題排查分析和安全事件取證溯源。同時(shí)，元數(shù)據(jù)管理部門需設(shè)置專人定期對(duì)元數(shù)據(jù)變更和維護(hù)相關(guān)的日志記錄進(jìn)行安全審計(jì)，發(fā)布審計(jì)報(bào)告，并跟進(jìn)審計(jì)中發(fā)現(xiàn)的異常。
技術(shù)工具簡(jiǎn)述
元數(shù)據(jù)是“關(guān)于數(shù)據(jù)的數(shù)據(jù)”，即對(duì)數(shù)據(jù)的描述信息。對(duì)數(shù)據(jù)不同方面的描述形成不同類型的元數(shù)據(jù)，一般而言，元數(shù)據(jù)一般分為業(yè)務(wù)元數(shù)據(jù)（如業(yè)務(wù)術(shù)語(yǔ)、業(yè)務(wù)規(guī)則等）、技術(shù)元數(shù)據(jù)（如數(shù)據(jù)庫(kù)表結(jié)構(gòu)、文件結(jié)構(gòu)等）、操作元數(shù)據(jù)（如數(shù)據(jù)的更新時(shí)間、更新頻率等）和管理元數(shù)據(jù)（如數(shù)據(jù)的負(fù)責(zé)部門、負(fù)責(zé)人等）。元數(shù)據(jù)管理是關(guān)于元數(shù)據(jù)的創(chuàng)建、存儲(chǔ)、整合與控制等一整套流程的集合。因此通過(guò)元數(shù)據(jù)管理工具實(shí)現(xiàn)識(shí)別和評(píng)價(jià)數(shù)據(jù)資源，追蹤數(shù)據(jù)資源在使用過(guò)程中的變化；實(shí)現(xiàn)簡(jiǎn)單高效地管理大量網(wǎng)絡(luò)化數(shù)據(jù)；實(shí)現(xiàn)信息資源的有效發(fā)現(xiàn)、查找、一體化組織和對(duì)使用資源的有效管理。
技術(shù)工具的方法和原理
如下，為元數(shù)據(jù)管理系統(tǒng)的主要設(shè)計(jì)流程圖：
元數(shù)據(jù)管理系統(tǒng)的功能框架包括數(shù)據(jù)源層、元數(shù)據(jù)獲取層、元數(shù)據(jù)存儲(chǔ)層、元數(shù)據(jù)服務(wù)接口層、元數(shù)據(jù)管理層和元數(shù)據(jù)應(yīng)用層。
技術(shù)工具工作流程和目標(biāo)
元數(shù)據(jù)管理系統(tǒng)應(yīng)能實(shí)現(xiàn)以下目標(biāo)：
元數(shù)據(jù)工作流程及框架詳細(xì)圖如下：
通過(guò)元數(shù)據(jù)獲取、存儲(chǔ)來(lái)獲取元數(shù)據(jù)，結(jié)合實(shí)際需求進(jìn)行元數(shù)據(jù)相關(guān)應(yīng)用和功能的實(shí)現(xiàn)。在實(shí)際訪問(wèn)過(guò)程中，添加用戶認(rèn)證和授權(quán)管理，從而控制相關(guān)功能模塊的使用。