近年來,，隨著大數(shù)據(jù)、云計(jì)算,、人工智能等數(shù)字技術(shù)的廣泛應(yīng)用,，業(yè)務(wù)系統(tǒng)中的數(shù)據(jù)呈現(xiàn)爆炸式增長(zhǎng)，數(shù)據(jù)已經(jīng)發(fā)展成為信息化時(shí)代下新的生產(chǎn)要素,，數(shù)據(jù)作為企業(yè)無形資產(chǎn)的潛在價(jià)值逐漸得到提升,，然而數(shù)據(jù)只有在不斷流動(dòng)使用中才會(huì)產(chǎn)生巨大的價(jià)值，數(shù)據(jù)流轉(zhuǎn)通常經(jīng)過數(shù)據(jù)傳輸,、數(shù)據(jù)存儲(chǔ),、數(shù)據(jù)處理、數(shù)據(jù)交換等過程,，需在保障數(shù)據(jù)安全的前提下開展上述活動(dòng)過程,，為此，我國(guó)出臺(tái)了一系列法律規(guī)范數(shù)據(jù)流轉(zhuǎn)使用過程中的安全性：

《網(wǎng)絡(luò)安全法》

第三十六條要求“網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施,，確保公民個(gè)人信息安全,，防止其收集的公民個(gè)人信息泄露、毀損,、丟失”,。

《數(shù)據(jù)安全法》

第一條提出“規(guī)范數(shù)據(jù)處理活動(dòng)，保障數(shù)據(jù)安全,，促進(jìn)數(shù)據(jù)開發(fā)利用，保護(hù)個(gè)人,、組織的合法權(quán)益,，維護(hù)國(guó)家主權(quán)、安全和發(fā)展利益”的立法目的,；

第七條提出“國(guó)家保護(hù)個(gè)人,、組織與數(shù)據(jù)有關(guān)的權(quán)益，鼓勵(lì)數(shù)據(jù)依法合理有效利用,，保障數(shù)據(jù)依法有序自由流動(dòng),，促進(jìn)以數(shù)據(jù)為關(guān)鍵要素的數(shù)字經(jīng)濟(jì)發(fā)展”。

《數(shù)據(jù)安全法》提出了針對(duì)數(shù)據(jù)流轉(zhuǎn)環(huán)節(jié)的安全原則和法律依據(jù),，也就是說,，在保障數(shù)據(jù)相關(guān)權(quán)益的前提下，國(guó)家鼓勵(lì)數(shù)據(jù)有序流動(dòng)并對(duì)數(shù)據(jù)進(jìn)行合法利用,。

應(yīng) 用 標(biāo) 準(zhǔn)

應(yīng)用標(biāo)準(zhǔn)：GB/T 37988-2019《信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》

GB/T 37988-2019《信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》提出了數(shù)據(jù)安全能力的成熟度模型架構(gòu),，并將數(shù)據(jù)所經(jīng)歷的生存周期劃分為6個(gè)階段：數(shù)據(jù)采集、數(shù)據(jù)傳輸,、數(shù)據(jù)存儲(chǔ),、數(shù)據(jù)處理,、數(shù)據(jù)交換、數(shù)據(jù)銷毀,，規(guī)定了每個(gè)階段的安全過程域與相應(yīng)的能力成熟度等級(jí)劃分,。

GB/T 37988-2019定義的數(shù)據(jù)生存周期與《數(shù)據(jù)安全法》定義的數(shù)據(jù)處理活動(dòng)過程關(guān)系如下：

本文我們針對(duì)GB/T 37988-2019《信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》標(biāo)準(zhǔn)中的數(shù)據(jù)交換階段的安全要求，從具體應(yīng)用角度出發(fā),，結(jié)合標(biāo)準(zhǔn)內(nèi)容展示實(shí)踐中的示范案例,。

01

條款解讀

應(yīng)用標(biāo)準(zhǔn) GB/T 37988-2019《信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》

實(shí)踐案例

案例背景：

“十四五”時(shí)期，我國(guó)開啟了全面建設(shè)社會(huì)主義現(xiàn)代化國(guó)家的新征程,，數(shù)據(jù)成為新的生產(chǎn)要素,，數(shù)字技術(shù)成為新的發(fā)展引擎，金融業(yè)作為典型的數(shù)據(jù)“密集型”行業(yè),，充分提升龐大數(shù)據(jù)的使用效率是助推數(shù)字業(yè)務(wù)不斷壯大的生產(chǎn)力要素,。

為了贏得競(jìng)爭(zhēng)和進(jìn)行快速的業(yè)務(wù)創(chuàng)新，以銀行業(yè)為代表的金融業(yè)越來越強(qiáng)調(diào)服務(wù)的敏捷供應(yīng),，因此,，對(duì)于IT保障來說，通過DevOps和持續(xù)交付實(shí)現(xiàn)敏捷開發(fā),，保證上層業(yè)務(wù)和服務(wù)的快速迭代,，成為普遍的選擇。在這個(gè)過程中,，測(cè)試環(huán)境和數(shù)據(jù)成為敏捷開發(fā)對(duì)測(cè)試影響的最重要的挑戰(zhàn)之一,。咨詢公司 Capgemini發(fā)布的2018年WQR（World Quality Report）全球質(zhì)量報(bào)告顯示，58%的受訪者表示仍然在使用手動(dòng)的方式生成測(cè)試數(shù)據(jù),。因此,，生產(chǎn)數(shù)據(jù)如何自動(dòng)化完成數(shù)據(jù)交換階段的安全共享與發(fā)布，是解決敏捷開發(fā)與數(shù)據(jù)供應(yīng)的關(guān)鍵問題,。

具體到以銀行業(yè)為首的金融機(jī)構(gòu)在數(shù)據(jù)使用方面一直在不斷探索,，而基于CDM技術(shù)的敏捷數(shù)據(jù)管理方案，在針對(duì)銀行內(nèi)部生產(chǎn)數(shù)據(jù)經(jīng)過共享交換區(qū)域?qū)崿F(xiàn)閉環(huán)式數(shù)據(jù)發(fā)布與共享的場(chǎng)景有較好的效果,，且在多家大型金融客戶現(xiàn)場(chǎng)部署并長(zhǎng)時(shí)間穩(wěn)定運(yùn)行,，比較適用于金融行業(yè)的數(shù)據(jù)使用管理。

數(shù)據(jù)資產(chǎn)在未來金融科技創(chuàng)新發(fā)展中處于重要地位,，金融數(shù)據(jù)全生命周期管理體系需要更加完備,，數(shù)據(jù)安全和個(gè)人隱私需要具備有效的隱私保護(hù)手段，綜合以上要求,，針對(duì)外部組織提供數(shù)據(jù)或進(jìn)行數(shù)據(jù)交換時(shí),，可采用數(shù)據(jù)管理與數(shù)據(jù)脫敏的聯(lián)合方案，貫穿組織內(nèi)部到外部的數(shù)據(jù)安全發(fā)布與使用,。

基于CDM技術(shù)的敏捷數(shù)據(jù)管理方案實(shí)踐

當(dāng)前市面上的CDM技術(shù)產(chǎn)品主要分為三類：

1,、以存儲(chǔ)為核心提供的CDM,，雖然能夠提供快照和克隆功能，但很難實(shí)現(xiàn)跨異構(gòu)存儲(chǔ),，構(gòu)建企業(yè)級(jí)規(guī)則驅(qū)動(dòng)的副本數(shù)據(jù)平臺(tái),，并缺乏豐富的數(shù)據(jù)交換階段的共享與發(fā)布服務(wù)能力，無法提供自動(dòng)化,、自服務(wù)等功能,。

2、塊級(jí)CDP技術(shù)提供的CDM功能,，利用CDP技術(shù)所創(chuàng)建的副本數(shù)據(jù),，是一種磁盤快照技術(shù)，無法保證數(shù)據(jù)的一致性,，并且同一時(shí)間的磁盤快照只能掛載一份,，難以滿足多應(yīng)用場(chǎng)景的數(shù)據(jù)共享與發(fā)布需求。

3,、端到端的CDM：把單純面向恢復(fù)的應(yīng)用場(chǎng)景,，變成了面向數(shù)據(jù)使用包括但不限于數(shù)據(jù)共享、數(shù)據(jù)發(fā)布,、數(shù)據(jù)分發(fā)的應(yīng)用場(chǎng)景,，通過副本數(shù)據(jù)在各個(gè)業(yè)務(wù)環(huán)節(jié)的即時(shí)可用，為更多的數(shù)據(jù)共享業(yè)務(wù)場(chǎng)景提供數(shù)據(jù)支撐,。

金融行業(yè)為提升敏捷開發(fā)的效率,，通常選擇更注重?cái)?shù)據(jù)服務(wù)的端到端的CDM方案，在生產(chǎn)到準(zhǔn)生產(chǎn)環(huán)境,、生產(chǎn)到開發(fā)測(cè)試環(huán)境的數(shù)據(jù)發(fā)布,，以及組織內(nèi)部到外部的數(shù)據(jù)提供或數(shù)據(jù)交換等業(yè)務(wù)場(chǎng)景應(yīng)用。

基于CDM技術(shù)的敏捷數(shù)據(jù)管理方案,，通過一份原始數(shù)據(jù)副本，可快速創(chuàng)建出多個(gè)虛擬數(shù)據(jù)副本,，這些虛擬數(shù)據(jù)副本相對(duì)原始存儲(chǔ)幾乎不占用任何存儲(chǔ)空間,，且整個(gè)發(fā)布動(dòng)作可以在分鐘級(jí)完成。也就是說,，該方案在通過獲取一份生產(chǎn)數(shù)據(jù)作為黃金副本的情況下,，可對(duì)外發(fā)布多份虛擬數(shù)據(jù)用于準(zhǔn)生產(chǎn)、測(cè)試環(huán)境等場(chǎng)景的數(shù)據(jù)交付,，每一份虛擬數(shù)據(jù)都是獨(dú)立的,，并且是可讀寫的，數(shù)據(jù)在經(jīng)過變更后,，可通過快照進(jìn)行狀態(tài)保存,，多個(gè)快照之間可以任意切換,，這種數(shù)據(jù)發(fā)布方式比傳統(tǒng)拷貝的方式，方便快捷,、耗時(shí)短,，且虛擬數(shù)據(jù)集中存放在數(shù)據(jù)存儲(chǔ)池中，通過數(shù)據(jù)掛載方式交付給目標(biāo)環(huán)境使用,，實(shí)現(xiàn)了數(shù)據(jù)快速交付與管理,，并且實(shí)現(xiàn)了數(shù)據(jù)的集中管控。

CDM方案還設(shè)置了數(shù)據(jù)共享交換區(qū)域,，數(shù)據(jù)提供方與接收方的數(shù)據(jù)樹狀拓?fù)浣Y(jié)構(gòu),，可以詳細(xì)展示共享數(shù)據(jù)的來源、所屬存儲(chǔ)池,、接收目標(biāo)的關(guān)聯(lián)關(guān)系,，通過可視化拓?fù)鋱D全局預(yù)覽數(shù)據(jù)交換階段數(shù)據(jù)發(fā)布的詳細(xì)情況，便于排查數(shù)據(jù)共享內(nèi)容合規(guī)性與共享路徑的安全性,。

針對(duì)向組織外部提供數(shù)據(jù)或數(shù)據(jù)交換的需求,，則需要在數(shù)據(jù)發(fā)布之前進(jìn)行敏感數(shù)據(jù)的脫敏處理，通過應(yīng)用專業(yè)的數(shù)據(jù)脫敏產(chǎn)品,，保障數(shù)據(jù)發(fā)布后的隱私安全,，防止核心數(shù)據(jù)泄露，同時(shí)需要保證脫敏后數(shù)據(jù)的邏輯關(guān)系保持,、高仿真度,、可用性。

數(shù)據(jù)作為金融業(yè)服務(wù)的核心資源,，數(shù)據(jù)安全已經(jīng)成為金融信息科技重點(diǎn)的監(jiān)管領(lǐng)域,，央行和金融行業(yè)監(jiān)管部門不斷下發(fā)關(guān)于金融創(chuàng)新和金融數(shù)據(jù)安全的監(jiān)管要求。通過基于CDM技術(shù)的敏捷數(shù)據(jù)管理方案的建設(shè),，既滿足金融機(jī)構(gòu)對(duì)數(shù)據(jù)流動(dòng)價(jià)值的挖掘需求,，也符合國(guó)家對(duì)金融數(shù)據(jù)使用與監(jiān)控的安全性要求。

（本文作者：上海上訊信息技術(shù)股份有限公司吳陽(yáng)）

北京卓越同舟咨詢有限公司成立于2002年,經(jīng)國(guó)家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)批準(zhǔn)設(shè)立的專業(yè)企業(yè)認(rèn)證及咨詢機(jī)構(gòu)(批準(zhǔn)號(hào): CNCA-Z-01Q-2006-038),，能為各種行業(yè),、各種規(guī)模的組織提供ISO9001 質(zhì)量管理體系、IATF16949汽車生產(chǎn)件及相關(guān)服務(wù)件組織的質(zhì)量管理體系要求,、ISO14001環(huán)境管理體系,、 ISO45001職業(yè)健康安全 管理體系、ISO22000/HACCP食品安全管理體系/危害分析與關(guān)鍵控制點(diǎn)ISO/IEC27001信息安全管理體系,、ISO/IEC200001T服務(wù) 管理體系,、ISO22301業(yè)務(wù)連續(xù)性管理體系等管理體系認(rèn)證咨詢、產(chǎn)品認(rèn)證咨詢,、企業(yè)資質(zhì)認(rèn)證咨詢,、企業(yè)管理咨詢(組織設(shè)計(jì),、流程優(yōu)化、成本審計(jì),、品控管理,、顧客滿意度測(cè)評(píng)、5S管理等)及相關(guān)培訓(xùn)服務(wù),。