當今世界，信息化帶來巨大發(fā)展機遇的同時也帶來新的安全風險和挑戰(zhàn)，為實現(xiàn)數(shù)據(jù)價值釋放，推動數(shù)字經(jīng)濟快速發(fā)展，開展數(shù)據(jù)安全治理已成為各界共識?！毒W(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護法》這“三駕馬車”構(gòu)成了我國數(shù)據(jù)安全領(lǐng)域完整的基礎(chǔ)性法律體系，為國家、地方、行業(yè)、個人的數(shù)據(jù)安全保護提供了最重要的法律參考依據(jù)，為我國建立健全數(shù)據(jù)安全治理體系指明了發(fā)展方向。

隨著技術(shù)的進步和業(yè)務(wù)模式的發(fā)展，安全和業(yè)務(wù)的界限日益模糊，組織的數(shù)據(jù)安全體系建設(shè)也逐步從為了滿足監(jiān)管合規(guī)需求才進行的“被動防護”轉(zhuǎn)向?qū)?shù)據(jù)安全和業(yè)務(wù)發(fā)展有機結(jié)合的“主動安全”。未來的數(shù)據(jù)安全建設(shè)趨勢是將數(shù)據(jù)安全技術(shù)融合到業(yè)務(wù)實踐中，實現(xiàn)數(shù)據(jù)安全管控和業(yè)務(wù)流程的有機結(jié)合，在盡量不影響業(yè)務(wù)流程的同時實現(xiàn)數(shù)據(jù)安全管控，達到“數(shù)據(jù)使用更安全”的目的。同時，通過將數(shù)據(jù)分類分級、智能掃描等安全技術(shù)融入到業(yè)務(wù)工作中，不但能夠?qū)崿F(xiàn)數(shù)據(jù)安全“按需管控”，更能夠進一步促進業(yè)務(wù)的發(fā)展。

全球化發(fā)展大勢下，中國的數(shù)據(jù)出境也呈現(xiàn)常態(tài)化趨勢，數(shù)據(jù)出境政策頻出。其中，《個人信息保護法》代表著數(shù)據(jù)出境安全的評估制度正式落地；《數(shù)據(jù)出境安全評估辦法》則是系統(tǒng)對我國數(shù)據(jù)出境“安檢”提出具體要求，配套編制的《數(shù)據(jù)出境安全評估申報指南（第一版）》更好的指導組織落實數(shù)據(jù)出境評估具體要求，滿足數(shù)據(jù)出境合規(guī)要求。在政策壓力下，相關(guān)組織最終要通過數(shù)據(jù)出境風險自評估，梳理自身存在的安全風險。

為了回答以上三個實際問題，就需要一套完整、體系化的數(shù)據(jù)安全治理解決方案，而其中關(guān)鍵的一環(huán)，即數(shù)據(jù)安全服務(wù)。

不久前，《工業(yè)和信息化部等十六部門關(guān)于促進數(shù)據(jù)安全產(chǎn)業(yè)發(fā)展的指導意見》發(fā)布，明確“壯大數(shù)據(jù)安全服務(wù)”，推進規(guī)劃咨詢與建設(shè)運維服務(wù)，積極發(fā)展數(shù)據(jù)檢測、評估、認證服務(wù)。數(shù)據(jù)安全服務(wù)市場正在步入快速發(fā)展的黃金期，同時，數(shù)據(jù)安全服務(wù)品類也呈現(xiàn)出多樣化趨勢，包括：數(shù)據(jù)安全合規(guī)評估、數(shù)據(jù)安全規(guī)劃咨詢、數(shù)據(jù)分類分級、數(shù)據(jù)安全運維、人員培訓與教育、數(shù)據(jù)安全應(yīng)急響應(yīng)與演練、數(shù)據(jù)安全防護能力評估等。本文將詳細介紹數(shù)據(jù)安全建設(shè)中常見的數(shù)據(jù)安全服務(wù)類型以及相關(guān)服務(wù)內(nèi)容、流程，以供參考。

評估內(nèi)容：從組織建設(shè)、制度流程、技術(shù)工具及人員能力四個能力維度，對應(yīng)用系統(tǒng)數(shù)據(jù)安全現(xiàn)狀進行安全評估，識別應(yīng)用系統(tǒng)或業(yè)務(wù)條線的數(shù)據(jù)安全保護能力是否達到相應(yīng)能力等級及發(fā)現(xiàn)數(shù)據(jù)安全風險，并輸出差距評估相關(guān)報告材料。

參考依據(jù)：《信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》、《數(shù)據(jù)安全治理能力評估方法》、《網(wǎng)絡(luò)數(shù)據(jù)安全處理要求》等。

成果交付物：在數(shù)據(jù)分類分級執(zhí)行過程中，從項目啟動到結(jié)束，除了前期調(diào)研、需求分析等基礎(chǔ)軟件建設(shè)步驟，咨詢團隊會對應(yīng)提供：《需求調(diào)研表》、《調(diào)研記錄文檔》、《資產(chǎn)掃描報告》、《調(diào)研結(jié)果報告》、《需求分析報告》外，還包括《數(shù)據(jù)資產(chǎn)清單》、《數(shù)據(jù)分類分級指南/規(guī)范》、《數(shù)據(jù)分類分級報告》。

參考依據(jù)：《信息安全技術(shù) 個人信息安全規(guī)范(GB/T35273-2020)、《信息安全技術(shù) 網(wǎng)絡(luò)數(shù)據(jù)分類分級要求》（征求意見稿）、《信息安全技術(shù) 重要數(shù)據(jù)識別指南》(征求意見稿)以及行業(yè)、地方數(shù)據(jù)分類分級標準等。

成果交付物：匯編輸出《數(shù)據(jù)安全合規(guī)評估報告書》，另附參考指南/標準清單&附件。具體報告內(nèi)容包括不限于如下：

參考標準：基于《數(shù)據(jù)安全法》、《個人信息保護法》，聯(lián)合其他數(shù)據(jù)安全相關(guān)辦法規(guī)定、行業(yè)監(jiān)管等文件，參考ISO37301：2021標準、Gartner DSG架構(gòu)、PDCA方法等。

成果交付物：《數(shù)據(jù)安全風險評估報告》作為最終的交付物，報告主要內(nèi)容包括：

參考依據(jù)：《數(shù)據(jù)安全法》、《信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》、《信息安全技術(shù) 數(shù)據(jù)安全風險評估方法》等國家標準、行業(yè)標準、地方標準對評估指標進行定制。

評估收益：全面識別組織數(shù)據(jù)面臨的各種風險，并據(jù)此采用適當安全處置措施。數(shù)據(jù)安全風險評估及其形成的記錄文檔，可用于證明組織已經(jīng)主動評估風險并采取一定的安全保護措施，有助于減輕、甚至免除組織的相關(guān)責任和名譽損失。

成果交付物：最終輸出《個人信息安全風險評估報告書》，包括不限于：

參考依據(jù)：《個人信息保護法》、《信息安全技術(shù) 個人信息安全規(guī)范》、《信息安全技術(shù) 個人信息安全影響評估指南》，結(jié)合組織所在行業(yè)的相關(guān)規(guī)定，如：醫(yī)療衛(wèi)生行業(yè)《GB/T 39725-2020 信息安全技術(shù) 健康醫(yī)療數(shù)據(jù)安全指南》等。

參考依據(jù)：《數(shù)據(jù)安全法》、《個人信息保護法》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護條例》、《網(wǎng)絡(luò)安全審查辦法》、《數(shù)據(jù)出境安全評估辦法》、《數(shù)據(jù)出境安全評估申報指南（第一版）》、《信息安全技術(shù) 個人信息安全影響評估指南》、《信息安全技術(shù) 個人信息安全規(guī)范》、《信息安全技術(shù) 數(shù)據(jù)出境安全評估指南（征求意見稿）》、《信息安全技術(shù) 重要數(shù)據(jù)識別規(guī)則（征求意見稿）》、《個人信息出境標準合同辦法》等。

參考依據(jù)：《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護基本要求》、《信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》、《信息安全技術(shù) 信息安全風險評估規(guī)范》、《信息安全技術(shù) 個人信息安全規(guī)范》、《信息安全技術(shù) 個人信息安全影響評估指南》

成果交付物：在制定檢查內(nèi)容時，提供數(shù)據(jù)安全檢查清單，包括檢查類別、檢查項目、檢查內(nèi)容、檢查方式及檢查要點，根據(jù)要點判定出檢查結(jié)果，最終形成《數(shù)據(jù)安全檢查結(jié)果報告》等。

成果交付物：包括管理制度、技術(shù)制度、檢查制度等，如《數(shù)據(jù)安全管理制度》、《數(shù)據(jù)采集與傳輸規(guī)范制度》、《數(shù)據(jù)安全人員管理制度》、《數(shù)據(jù)安全應(yīng)急響應(yīng)管理制度》、《數(shù)據(jù)安全檢查制度》等。