您所在的位置： 首頁 >
新聞資訊 >
公司資訊 >
工業(yè)和信息化領(lǐng)域信息安全要關(guān)注起來了?。?！
近日，工信部為貫徹落實(shí)《數(shù)據(jù)安全法》《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》，研究起草了《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全行政處罰裁量指引（試行）》并向社會公開征求意見，這意味著工業(yè)和信息化領(lǐng)域的數(shù)據(jù)安全將從“需要怎么做，應(yīng)該怎么做”進(jìn)入到“不這么做，將會受什么處罰”的監(jiān)管執(zhí)法階段，此辦法推動著工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全行政處罰工作向制度化、規(guī)范化方向開展。
來看看行政處罰裁定的工作方式是怎樣的。
依據(jù)網(wǎng)安法、數(shù)安法、行政處罰法和工信部行政處罰程序，工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全行政處罰由違法行為發(fā)生地的行政處罰機(jī)關(guān)管轄，兩個(gè)及以上行政處罰機(jī)關(guān)對同一違法行為均有管轄權(quán) ，應(yīng)當(dāng)由最先立案的行政處罰機(jī)關(guān)管轄，工業(yè)和信息化部依職權(quán)指導(dǎo)監(jiān)督工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全違法行為管轄工作。
已經(jīng)明確了處罰情形，需要著重關(guān)注。
裁量指引中定義的數(shù)據(jù)安全行政處罰情形，按不履行數(shù)據(jù)安全保護(hù)義務(wù)、向境外非法提供數(shù)據(jù)和不配合監(jiān)管三個(gè)方面，明確了25個(gè)違規(guī)情形，對重要數(shù)據(jù)和核心數(shù)據(jù)處理者進(jìn)行了著重要求。
25個(gè)明確的違規(guī)情形包含了數(shù)據(jù)安全工作的組織體系、管理體系、技術(shù)體系和運(yùn)營體系，進(jìn)一步銜接、細(xì)化、落實(shí)《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》，推動著工業(yè)和信息化領(lǐng)域組織的數(shù)據(jù)安全進(jìn)行體系化建設(shè)、實(shí)戰(zhàn)化建設(shè)。
金 瀚信安的方案是不錯(cuò)的選擇。
金 瀚信安數(shù)據(jù)安全治理體系化、實(shí)戰(zhàn)化解決方案，從“一中心、四體系、六過程”的頂層設(shè)計(jì)思路出發(fā)，構(gòu)建以工業(yè)和信息化領(lǐng)域重要數(shù)據(jù)、核心數(shù)據(jù)的安全防護(hù)為中心；以組織、管理、技術(shù)和運(yùn)營四個(gè)數(shù)據(jù)安全體系；實(shí)現(xiàn)工業(yè)和信息化領(lǐng)域重要數(shù)據(jù)、核心數(shù)據(jù)全生命周期六大過程的安全防護(hù)。
組織體系建設(shè)
工業(yè)企業(yè)數(shù)據(jù)安全組織體系，需要構(gòu)建一個(gè)由企業(yè)數(shù)據(jù)部門、業(yè)務(wù)部門、信息安全部門共同組成的，既懂安全，又懂?dāng)?shù)據(jù)的，獨(dú)立的，為數(shù)據(jù)安全端到端負(fù)責(zé)的組織，包括數(shù)據(jù)安全管理團(tuán)隊(duì)、數(shù)據(jù)安全建設(shè)運(yùn)營團(tuán)隊(duì)、數(shù)據(jù)安全審計(jì)團(tuán)隊(duì)等數(shù)據(jù)安全治理相關(guān)角色。建立相互促進(jìn)、相互監(jiān)督的數(shù)據(jù)安全管理組織機(jī)制。
管理體系設(shè)計(jì)
工業(yè)企業(yè)數(shù)據(jù)安全管理體系的制度流程規(guī)劃需要從組織層面整體考慮和設(shè)計(jì)，并形成體系框架。制度體系需要分層，層與層之間，同一層不同模塊之間需要有關(guān)聯(lián)邏輯，在內(nèi)容上不能重復(fù)或矛盾，一般分為四級。
防護(hù)技術(shù)能力建設(shè)
工業(yè)數(shù)據(jù)安全防護(hù)技術(shù)能力，要以基礎(chǔ)網(wǎng)絡(luò)安全能力為支撐，根據(jù)數(shù)據(jù)安全需求、標(biāo)準(zhǔn)、規(guī)范、目標(biāo)等，在數(shù)據(jù)全生命周期不同的過程中執(zhí)行最佳的數(shù)據(jù)安全防護(hù)實(shí)踐，構(gòu)建一套有效保障工業(yè)數(shù)據(jù)安全使用、共享的技術(shù)保障體系。
（1）數(shù)據(jù)采集安全：結(jié)合數(shù)據(jù)采集、清洗、轉(zhuǎn)換、匯聚階段的不同特點(diǎn)和要求，利用敏感數(shù)據(jù)識別、分類分級、身份認(rèn)證、安全審計(jì)等技術(shù)，保障數(shù)據(jù)采集安全、數(shù)據(jù)真實(shí)可靠。
（2）數(shù)據(jù)傳輸安全：數(shù)據(jù)在傳輸過程中可能會面臨被竊取風(fēng)險(xiǎn)，可利用鏈路加密、數(shù)據(jù)加密、數(shù)據(jù)脫敏等技術(shù)，保障數(shù)據(jù)在傳輸過程中的安全。
（3）數(shù)據(jù)存儲安全：結(jié)合數(shù)據(jù)分級分類，實(shí)現(xiàn)關(guān)鍵數(shù)據(jù)加密存儲與分級數(shù)據(jù)的安全隔離，保障數(shù)據(jù)的存儲安全，主要包括實(shí)施用戶訪問控制、數(shù)據(jù)存儲合規(guī)審計(jì)、存儲介質(zhì)安全、訪問行為審計(jì)等。
（4）數(shù)據(jù)處理安全：根據(jù)數(shù)據(jù)分級分類，明確數(shù)據(jù)處理模式和要求，為處理過程提供安全保障，主要包括數(shù)據(jù)權(quán)限管控、數(shù)據(jù)脫敏、數(shù)據(jù)處理異常行為監(jiān)控和分析、數(shù)據(jù)處理合規(guī)審計(jì)等。
（5）數(shù)據(jù)交換安全：根據(jù)數(shù)據(jù)管理制度規(guī)定、數(shù)據(jù)分類分級結(jié)果，利用權(quán)限管控、數(shù)據(jù)脫敏、數(shù)據(jù)水印等技術(shù)保障數(shù)據(jù)交換過程中的安全，同時(shí)對交換過程中數(shù)據(jù)類別、數(shù)據(jù)量進(jìn)行識別監(jiān)控，防止數(shù)據(jù)被過量交換。
（6）數(shù)據(jù)銷毀安全：數(shù)據(jù)銷毀常采用刪除、格式化等常規(guī)操作來“銷毀”數(shù)據(jù)，事實(shí)上數(shù)據(jù)并沒有被真正銷毀，在新數(shù)據(jù)寫入同一存儲空間前，該數(shù)據(jù)會一直保留，從而存在被他人刻意恢復(fù)的風(fēng)險(xiǎn)，所以在數(shù)據(jù)銷毀時(shí)，需要采用多次復(fù)寫，或者加密復(fù)寫等技術(shù)保證數(shù)據(jù)完全被銷毀。
持續(xù)安全運(yùn)營優(yōu)化
以應(yīng)用數(shù)據(jù)安全管理平臺的“化零為整、機(jī)器學(xué)習(xí)、威脅分析、感知未然、聯(lián)防聯(lián)控、健康預(yù)警”功能作為數(shù)據(jù)安全運(yùn)營的抓手，對全網(wǎng)數(shù)據(jù)安全風(fēng)險(xiǎn)持續(xù)監(jiān)測、風(fēng)險(xiǎn)識別、安全防護(hù)、安全響應(yīng)，提升數(shù)據(jù)安全運(yùn)營的效率。
同時(shí)，通過數(shù)據(jù)安全風(fēng)險(xiǎn)評估、應(yīng)急演練、定期審計(jì)等運(yùn)營手段，對數(shù)據(jù)安全能力度和效果進(jìn)行稽核，對短板指標(biāo)對應(yīng)的人員、制度、技術(shù)多維度分析與優(yōu)化，不斷豐富和提升數(shù)據(jù)安全建設(shè)的完整性和成熟度，最終達(dá)到對整個(gè)數(shù)據(jù)安全的全方位管控和動態(tài)調(diào)優(yōu)。
方案價(jià)值
●全面覆蓋處罰裁定指引中的處罰情形，規(guī)避組織的處罰風(fēng)險(xiǎn)；
●建立并完善工業(yè)和信息化領(lǐng)域組織的數(shù)據(jù)安全管理體系，引導(dǎo)組建數(shù)據(jù)安全管理團(tuán)隊(duì)，完善安全制度及流程體系，提高數(shù)據(jù)安全管理能力和運(yùn)營能力；
●為工業(yè)和信息化領(lǐng)域組織構(gòu)建起統(tǒng)一的、聯(lián)動聯(lián)防的、合成作戰(zhàn)的數(shù)據(jù)安全防護(hù)控制體系，可應(yīng)對更加復(fù)雜的數(shù)據(jù)安全威脅及問題，提升數(shù)據(jù)安全防控能力；
近日，工信部為貫徹落實(shí)《數(shù)據(jù)安全法》《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》，研究起草了《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全行政處罰裁量指引（試行）》并向社會公開征求意見，這意味著工業(yè)和信息化領(lǐng)域的數(shù)據(jù)安全將從“需要怎么做，應(yīng)該怎么做”進(jìn)入到“不這么做，將會受什么處罰”的監(jiān)管執(zhí)法階段，此辦法推動著工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全行政處罰工作向制度化、規(guī)范化方向開展。
來看看行政處罰裁定的工作方式是怎樣的。
依據(jù)網(wǎng)安法、數(shù)安法、行政處罰法和工信部行政處罰程序，工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全行政處罰由違法行為發(fā)生地的行政處罰機(jī)關(guān)管轄，兩個(gè)及以上行政處罰機(jī)關(guān)對同一違法行為均有管轄權(quán) ，應(yīng)當(dāng)由最先立案的行政處罰機(jī)關(guān)管轄，工業(yè)和信息化部依職權(quán)指導(dǎo)監(jiān)督工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全違法行為管轄工作。
已經(jīng)明確了處罰情形，需要著重關(guān)注。
裁量指引中定義的數(shù)據(jù)安全行政處罰情形，按不履行數(shù)據(jù)安全保護(hù)義務(wù)、向境外非法提供數(shù)據(jù)和不配合監(jiān)管三個(gè)方面，明確了25個(gè)違規(guī)情形，對重要數(shù)據(jù)和核心數(shù)據(jù)處理者進(jìn)行了著重要求。
25個(gè)明確的違規(guī)情形包含了數(shù)據(jù)安全工作的組織體系、管理體系、技術(shù)體系和運(yùn)營體系，進(jìn)一步銜接、細(xì)化、落實(shí)《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》，推動著工業(yè)和信息化領(lǐng)域組織的數(shù)據(jù)安全進(jìn)行體系化建設(shè)、實(shí)戰(zhàn)化建設(shè)。
金 瀚信安的方案是不錯(cuò)的選擇。
金 瀚信安數(shù)據(jù)安全治理體系化、實(shí)戰(zhàn)化解決方案，從“一中心、四體系、六過程”的頂層設(shè)計(jì)思路出發(fā)，構(gòu)建以工業(yè)和信息化領(lǐng)域重要數(shù)據(jù)、核心數(shù)據(jù)的安全防護(hù)為中心；以組織、管理、技術(shù)和運(yùn)營四個(gè)數(shù)據(jù)安全體系；實(shí)現(xiàn)工業(yè)和信息化領(lǐng)域重要數(shù)據(jù)、核心數(shù)據(jù)全生命周期六大過程的安全防護(hù)。
組織體系建設(shè)
工業(yè)企業(yè)數(shù)據(jù)安全組織體系，需要構(gòu)建一個(gè)由企業(yè)數(shù)據(jù)部門、業(yè)務(wù)部門、信息安全部門共同組成的，既懂安全，又懂?dāng)?shù)據(jù)的，獨(dú)立的，為數(shù)據(jù)安全端到端負(fù)責(zé)的組織，包括數(shù)據(jù)安全管理團(tuán)隊(duì)、數(shù)據(jù)安全建設(shè)運(yùn)營團(tuán)隊(duì)、數(shù)據(jù)安全審計(jì)團(tuán)隊(duì)等數(shù)據(jù)安全治理相關(guān)角色。建立相互促進(jìn)、相互監(jiān)督的數(shù)據(jù)安全管理組織機(jī)制。
管理體系設(shè)計(jì)
工業(yè)企業(yè)數(shù)據(jù)安全管理體系的制度流程規(guī)劃需要從組織層面整體考慮和設(shè)計(jì)，并形成體系框架。制度體系需要分層，層與層之間，同一層不同模塊之間需要有關(guān)聯(lián)邏輯，在內(nèi)容上不能重復(fù)或矛盾，一般分為四級。
防護(hù)技術(shù)能力建設(shè)
工業(yè)數(shù)據(jù)安全防護(hù)技術(shù)能力，要以基礎(chǔ)網(wǎng)絡(luò)安全能力為支撐，根據(jù)數(shù)據(jù)安全需求、標(biāo)準(zhǔn)、規(guī)范、目標(biāo)等，在數(shù)據(jù)全生命周期不同的過程中執(zhí)行最佳的數(shù)據(jù)安全防護(hù)實(shí)踐，構(gòu)建一套有效保障工業(yè)數(shù)據(jù)安全使用、共享的技術(shù)保障體系。
（1）數(shù)據(jù)采集安全：結(jié)合數(shù)據(jù)采集、清洗、轉(zhuǎn)換、匯聚階段的不同特點(diǎn)和要求，利用敏感數(shù)據(jù)識別、分類分級、身份認(rèn)證、安全審計(jì)等技術(shù)，保障數(shù)據(jù)采集安全、數(shù)據(jù)真實(shí)可靠。
（2）數(shù)據(jù)傳輸安全：數(shù)據(jù)在傳輸過程中可能會面臨被竊取風(fēng)險(xiǎn)，可利用鏈路加密、數(shù)據(jù)加密、數(shù)據(jù)脫敏等技術(shù)，保障數(shù)據(jù)在傳輸過程中的安全。
（3）數(shù)據(jù)存儲安全：結(jié)合數(shù)據(jù)分級分類，實(shí)現(xiàn)關(guān)鍵數(shù)據(jù)加密存儲與分級數(shù)據(jù)的安全隔離，保障數(shù)據(jù)的存儲安全，主要包括實(shí)施用戶訪問控制、數(shù)據(jù)存儲合規(guī)審計(jì)、存儲介質(zhì)安全、訪問行為審計(jì)等。
（4）數(shù)據(jù)處理安全：根據(jù)數(shù)據(jù)分級分類，明確數(shù)據(jù)處理模式和要求，為處理過程提供安全保障，主要包括數(shù)據(jù)權(quán)限管控、數(shù)據(jù)脫敏、數(shù)據(jù)處理異常行為監(jiān)控和分析、數(shù)據(jù)處理合規(guī)審計(jì)等。
（5）數(shù)據(jù)交換安全：根據(jù)數(shù)據(jù)管理制度規(guī)定、數(shù)據(jù)分類分級結(jié)果，利用權(quán)限管控、數(shù)據(jù)脫敏、數(shù)據(jù)水印等技術(shù)保障數(shù)據(jù)交換過程中的安全，同時(shí)對交換過程中數(shù)據(jù)類別、數(shù)據(jù)量進(jìn)行識別監(jiān)控，防止數(shù)據(jù)被過量交換。
（6）數(shù)據(jù)銷毀安全：數(shù)據(jù)銷毀常采用刪除、格式化等常規(guī)操作來“銷毀”數(shù)據(jù)，事實(shí)上數(shù)據(jù)并沒有被真正銷毀，在新數(shù)據(jù)寫入同一存儲空間前，該數(shù)據(jù)會一直保留，從而存在被他人刻意恢復(fù)的風(fēng)險(xiǎn)，所以在數(shù)據(jù)銷毀時(shí)，需要采用多次復(fù)寫，或者加密復(fù)寫等技術(shù)保證數(shù)據(jù)完全被銷毀。
持續(xù)安全運(yùn)營優(yōu)化
以應(yīng)用數(shù)據(jù)安全管理平臺的“化零為整、機(jī)器學(xué)習(xí)、威脅分析、感知未然、聯(lián)防聯(lián)控、健康預(yù)警”功能作為數(shù)據(jù)安全運(yùn)營的抓手，對全網(wǎng)數(shù)據(jù)安全風(fēng)險(xiǎn)持續(xù)監(jiān)測、風(fēng)險(xiǎn)識別、安全防護(hù)、安全響應(yīng)，提升數(shù)據(jù)安全運(yùn)營的效率。
同時(shí)，通過數(shù)據(jù)安全風(fēng)險(xiǎn)評估、應(yīng)急演練、定期審計(jì)等運(yùn)營手段，對數(shù)據(jù)安全能力度和效果進(jìn)行稽核，對短板指標(biāo)對應(yīng)的人員、制度、技術(shù)多維度分析與優(yōu)化，不斷豐富和提升數(shù)據(jù)安全建設(shè)的完整性和成熟度，最終達(dá)到對整個(gè)數(shù)據(jù)安全的全方位管控和動態(tài)調(diào)優(yōu)。
方案價(jià)值
●全面覆蓋處罰裁定指引中的處罰情形，規(guī)避組織的處罰風(fēng)險(xiǎn)；
●建立并完善工業(yè)和信息化領(lǐng)域組織的數(shù)據(jù)安全管理體系，引導(dǎo)組建數(shù)據(jù)安全管理團(tuán)隊(duì)，完善安全制度及流程體系，提高數(shù)據(jù)安全管理能力和運(yùn)營能力；
●為工業(yè)和信息化領(lǐng)域組織構(gòu)建起統(tǒng)一的、聯(lián)動聯(lián)防的、合成作戰(zhàn)的數(shù)據(jù)安全防護(hù)控制體系，可應(yīng)對更加復(fù)雜的數(shù)據(jù)安全威脅及問題，提升數(shù)據(jù)安全防控能力；
