2019年，我們課題組承擔了監管單位的重大安全課題，其中將數據安全流動監管標準的研究放在重要位置。在課題研究過程中，意識到數據與安全是不能割裂的，他們之間的關系需要清晰理解。
第一步，我們需要確定監管的主體，也就是數據的所有者。在當前的環境中，大部分數據的所有者實際上是國家，數據的管理和保護是由各個組織單位代表國家來執行的。我們目前面臨的一個普遍現象是存在大量的盲數據、死數據和僵尸數據。研究認為，問題的核心在于內部的數據管理問題，這是目前各數字化組織和大數據局亟待解決的問題。

目前，我們面臨的主要挑戰有幾點：首先，大部分的數據還處于無序資源階段，其次，我們需要明確數據的價值。在具體到行業和組織時，主要關注靜態數據和動態數據的處理問題，以及結構化、半結構化和非結構化數據的處理方法。

落實主責數據安全保護的指導、監督、檢查、做好主責數據安全的保衛、保障、保護，重點做好問題分析，圍繞靜態數據和動態數據兩個方面的關鍵問題：

1、盲數據、僵尸數據、死數據

2、底賬不清、權屬不清、責權不清

3、數據資源、數據資產定義

4、數據使用情況不清，誰在訪問、誰在用

5、數據泄露有那些風險

6、數據流動前的安全策略沒有確定

7、數據流動中的安全監控沒有手段

8、數據后動后的安全審計不可控

數據在不同的管理和流通階段，其安全成熟度是不一樣的。因此，在數據安全的發展過程中，我們需要考慮的不僅僅是數據的完整性、可用性和保密性，而且還需要考慮數據在全生命周期中的監管問題。我們在使用數據的同時，要保證其合規性，既要激活數據，又要明確底線。這并不是一個復雜的問題，只是需要我們把它清晰地列出來，作為一個討論的過程，從而使邏輯更加清晰，理解更加容易。我在數據流動監管中的一些問題和思考，可以簡要概括為七點：

思考一：圖中的黃、藍、紅區域代表數據所有者、安全員和審計員，它們之間存在矛盾。將這些權力分離并賦予相應的角色可以改善數據安全和治理。

思考二：這張圖是在制定標準時繪制，涵蓋了等保1.0和2.0階段的要求。數據場景、管理特點和視角發生了變化，數據安全法也在制定過程中。數據的管理需要根據不同的成熟度和要求進行適配。

思考三：在某省大數據的課題研究多次討論中，分析了數據所有者、提供者、使用者、運營者、運營者和監管者的角色。數據所有者通常是各省廳，數據運營者和監管者則是數據局數據提供者是各省廳。此外，數據的交換模式和交易模式也是討論的重點。

思考四：整體流動決策形成了無數個閉環，涉及審計、提供、申請和共享等方面。在不同的場景下需要設計不同的流程和角色。單位如果能夠設計好這些流程，就能夠取得良好效果。

思考五：以全國某信息系統為例，數據流動場景涉及到跨部門流動、跨組織流動、跨行業流動、跨層級流動、跨區域流動、甚至跨境流動。每個場景都需要設計相應的安全監管小場景。不能采用統一的策略進行管理。

思考六：監管的目標是讓數據更加開放和有效利用，包括全程可視、狀態可察、權益可控、權限可審、流動追溯和監審一體。透明度是關鍵，但目前許多單位還存在黑匣子問題。

思考七：數據安全保護逐漸趨向業務化，涉及越來越多的關注者和處理者。業務化的數據安全需要角色、流程和平臺的支持。數據的開放程度和深度在不斷增加，需要綜合維度的考量。

這些思考是多年來的積累，目前看來是正確的。然而，未來的情況并不一定如此。因此，對于數據安全，與其用單一的視角看待，不如結合業務和安全來考慮。接下來，我們將看一個實例，它將數據視為一種有價證券，并展示了其實際應用場景。

在這個案例實際應用場景中，包括數據進庫出庫登記、賬務清、權益清、權限清等。同時需要做畫像、技術支持、運行維護、分級分類、流動監管和效益評估等工作。在需求梳理過程中，需要涉及上級監管單位、數據處和安全處等角色，以確保數據的有效管理。數據流動管理是關鍵，主要解決的問題：

1、所有數據要進行入庫出庫的動態登記，防止入庫數據泄露；

2、所有數據的要做到底賬清晰、權益清楚、權限清楚，誰使用、誰授權、誰訪問，防止非法授權訪問；

3、所有數據要進行多維畫像，防止找不到位置、技術支持、運行維護和責任人；

4、所有數據要進行分級分類，防止低級別訪問高級別；

5、所有數據要進行流動安全監管（生產數據、測試數據、代碼數據，從哪里到哪里、合規性、時效性），看的見、管的準、過程拎得清、底線守得牢；

6、所有數據要開展效益評估和評價；

7、所有數據要做到多維度的統計與分析；

運行了三年期間取得了幾項重要成果，涵蓋了基礎性成果、創新性成果、主責成果和監管成果。

首先，建立了數據安全的組織架構，明確了數據所有者、使用者、提供者、運營者和監管者的角色和職責。建立了一個以數據類別、數據資產、數據庫、數據表、數據字段、敏感數據和加密數據為基礎的底賬，清晰地展示了不同級別數據域中各種數據的分布情況和基本屬性。

其次，實現了動態可查的數據準入過程。解決了兩個問題，即在數據入庫時記錄基礎信息和權益聲明，并補充了更多數據資源的屬性，實現了從資源到資產的轉變和多維管理。通過掃描未檢測數據資產的方式進行監控，識別出長時間未被檢測的數據資產，從而進行標識和準出操作。此外，還創建了多維畫像，以數據為核心，綜合考慮了資產的庫、表、權屬負責人、運維負責人、訪問統計、敏感數據、數據加密、熱度、訪問者、授權者、數據風險和效益等視圖。這個畫像是可以無限擴充的，并且在今年還在繼續擴展。

在數據準入過程中，還評估了每天訪問數據的人員，并進行了效益評價，支持當天、近24小時、近7天和近30天的評估。制定了詳細的多維評價報告，包括數據資產普查、流動審計、效益評價和風險評估等內容，并提供了自定義報告的模板供選擇。這些報告非常復雜花了四個半月的時間來完成。

第三、數據的入庫和出庫將其分為三類：重要、核心和一般。實現了全程可視化的概念，即從系統到人員，整個過程都可以實時、動態地監控，可以細粒度地查看每個具體的IP和人員。使領導能夠更好地理解這些信息。使用了三種顏色來表示不同的情況，這種實時動態監控是第二個重要的方面，它可以讓所有的管理角色都能看到、管控和了解情況，從而實現了數據的全面管理。

第四、在設計過程中將數據放入倉庫，左側是人員，右側是業務。數據最終歸結為業務訪問和人員訪問，這是兩個核心問題。許多單位可能限制人員的訪問權限，但是通過一種手段，可以了解到有多少人訪問數據，因此重點放在誰能做什么的原則上，形成了看管和監控的一體化。將督促和監管整合起來，完成了數據底賬視圖的監管。數據處提供了這個底賬視圖。到目前為止，很多單位在領導的問詢下只能提供基本的數據量信息，而無法回答其他維度的問題，但這個底賬視圖提供了更多的信息。另外還實現了數據流動的視圖，可以可視化地查看何時、由誰訪問數據。然而，對于數據的安全性和效益究竟如何，卻很少有人能夠回答。

總結出了一個核心問題：數據“看什么”？經過兩個多月的討論，得出了這個結論。首先需要看得見，即從領導、所有者和安全的視角來看，必須首先能夠看到數據。如果連這一點都看不見，那么后面的討論就沒有意義。第二個問題是監管，它涉及管理體系、技術體系、運行體系和知識庫體系。稱之為看管和監控，看是為了看到，管是分層管理，不可能由一個人全程管理，肯定有責任主體。而監控過程被稱為操作，它涉及配置數據的細粒度策略，包括安全配置、基線配置、底層掃描配置、分級分類配置、準入準出配置、授權配置、脫敏配置、加密配置和標簽配置等。每個配置動作都是監管的實施過程。最后一個方面是控制，即控制底線并提高底線。進行數據安全治理時的目標是提高底線，使數據治理能夠越來越開放。如果這兩個目標都沒有達成，你只是控制得很好，但沒有實際用處；或者你開放得很好，但沒有安全底線，都是不行的。

綜上所述，我們通過看管和監控一體化的方式，在圍繞數據流動安全監管的各個角色之間形成了協作，實現目標。

小結一下，數據安全治理難不難？難，難在哪里？不難，不難在哪里？這個問題纏繞了好多年，沒有數字中國，數字經濟，數據二十條，數據安全法這些新要求和新推動力，原來做數據安全并不難，做好網絡層，主機層，數據層身份認證，訪問控制，監控審計，加密脫敏，備份恢復，安全加固，最小權限，基本可以解決99%的問題。即便三權不分立，即便底帳模糊，即便一堆盲數據，死數據，僵尸數據。

要想激活數據，用好數據，跨組織，跨行業，跨區域，跨境，共享共用，流通交易，賦能經濟，作為數據所有者，每個具體的數字化組織單元就需要做好更細力度的數據安全治理。明紅線守底線的共享共用，將激活開放與風險管控的矛盾達成統一目標，讓數據主責明確，讓數據流動全程可視，狀態可查，權限可審，權益可控，流動追溯，監審一體下體現價值。