结合安全说数据安全治理为什么难以落地的一些总结和部分思考

数据作为当前时代的第五大生产要素，数据即石油的概念被引引而出，其重要性不言而喻。2020年4月9日，中共中央国务院首次公布关于要素市场化配置的文件——《关于构建更加完善的要素市场化配置体制机制的意见》（以下简称《意见》），指出土地、劳动力、资本、技术、数据五大生产要素的改革方向和相关体制机制的建设要求。

    数据治理先行还是数据安全治理先行，在这里我们提出一个基本的一个思路，针对于数据量大的情况下，我们一般提倡数据治理先行反而自制，然后紧接着是数据安全治理，因为我们以前一直保持基本观念就是数据治理为数据安全治理提供了输入条件，当然小的数据体量的客户除外。

    对于数据安全和治理三个维度的要素，我们如果按照紧急或者是大小程度去排序，应该是数据大于治理大于安全。

    当然对于整个数据治理或者是数据安全治理的过程来说，数据的清洗工作或者说数据的梳理工作占据了整个过程当中的90%以上啊，而其他的比如说像数据的建仓数据的入库以及数据的分享对接，使用共享等等则只占10%。

    在整个数据安全或者是数据治理的过程当中，我们都考虑一个问题，如何对数据进行降本增效的效果，对于当前gartner所提出的DSG这个框架和理论从整体来说层次太高，目标理念可以，但落地点不行。这这里还需要结合一些实际的情况进行优化调整，比如技术市场推行力度，以及验证的成熟度等等！

    再说一下DSG这个逻辑上我们需要去执行的话，按照整个框架我们需要投入更大的人力财力物力，在国内我们要求去执行的话，我们需要去制定一些定制化的策略，也就是要做减法做瘦身。

    当前如果我们从数据安全治理的角度去考虑，则是安全驱动数据治理，而非从数据治理本身的考虑。从这个维度来讲，也就是失去了我们安全与业务之间的平衡关系，我们一直保证的一个基本出发点是。业务驱动安全，安全促进业务，安全保障业务。

    当前基于数据安全的标准化相对较少，各类安全技术层出不穷且实现的技术成熟度也不完全一致，从落地尚不能做有效保障。当前涉及到数据安全的技术领域相对较多，业务的应用场景复杂度相较于网安来说数安的层面更复杂，且和相对于业务来说紧密度会更高。从另外一个维度来说，当前如何去实现业务和安全资金的平衡就显为更加重要。在这里用治理和安全来进行诠释，需要去区分治理是从管理的角度，而安全是从保障的角度不同的角度思考的问题和出发点不同在此我们也需要去不同场景下权衡利弊！

    当前数据安全合规的要求下，该如何去进行应对？

    对于如何去进行治理，我们可以分两种不同的阵营去进行介绍，一类是抵制型的，一类是非抵制型的。

1,对于不抵制型的数据安全治理应对方式。

1〕根据合规的基本要求梳理出相对应的自理工作及技术应对方案。

2〕在此情况下一定重点是要保障业务，而不是说是全部上齐过程可以分阶段分期去进行实现，核心是保障我们业务核心数据的安全，我们也可以从另外一侧如数据的敏感性，个人隐私等相关数据。

3〕第3点，在考虑数据安全治理的情况下，我们一定是先做好网安的技术工作，这里面我们要区分一下网安和数安的基本区别。

2,对于抵制型数据安全治理的应对方式

1〕第1点我们是需要去考虑当前思考这个主要原因如下第2点耗时耗力，而且短期内没有收益，当前数字化进程本身就比较慢普及率不高所以对于数据安全治理造成一定的麻烦！当前如从数字化转型的角度去考虑，我们可能需要更多的时间，而且当前和数据安全治理并不匹配，这个也是需要管理者需要去考虑的事情。

2〕作为抵触，还有一个非常重要的传统网安技术，已基本实现安全的战略目标，特别是针对于下一代网安产品，从各角度都有所做能力延伸。但从数据安全的管理条例和要求等内容上来看，其能力建设不足，技术落地不充分等，必然会导致合规程度下降。

3〕在传统网安的基础之上，我们可以建议做部分能力的扩展，这个扩展一定是基于当前业务的紧急需要程度以及当前技术在国内落地实现的程度以及相关已具备的标准化。

    俗话说得好，道高一尺魔高一丈，对于攻防来说也是一样的，所以说对于攻击者来说，我们往往是只需要一个突破点就可以实现突破和胜利，但对方是者来说考虑的一定是覆盖全局全面的防御策略，所以说从工作的工作量以及难度来说，这个是完全不同的。在此建议网安的工作者根据企业自身的建设需要以及环境需要选择合适的，可落地的，有规划的方案和技术能力提供相对应的服务，做到有规划，有阶段，有落地，可监控，可防御成体系的整体安全运营方案服务。