《信息安全技術 數(shù)據(jù)安全能力成熟度模型-編制說明》

一、任務來源

《信息安全技術數(shù)據(jù)安全能力成熟度模型》是國家標準化管理委員會下達的信息

安全國家標準制定項目，國標計劃號為XXX。本標準為自主制定標準，牽頭單位為阿里

巴巴（北京）軟件服務有限公司，參與標準申請單位有中國電子技術標準化研究院、中

國信息安全測評中心、國家信息中心、中國移動通信集團公司、四川大學、中國軟件評

測中心、浙江螞蟻小微金融服務集團股份有限公司、公安部第三研究所、中國科學院軟

件研究所、國家信息技術安全研究中心、阿里云計算有限公司、深圳市騰訊計算機系統(tǒng)

有限公司、騰訊云計算（北京）有限責任公司、北京京東叁佰陸拾度電子商務有限公司、

陜西省信息化工程研究院、中國軟件與技術服務股份有限公司、中國科學院計算機網(wǎng)絡

信息中心、中國科學院信息工程研究所、北京奇安信科技有限公司、北京數(shù)字認證股份

有限公司、廣州賽寶認證中心服務有限公司、南京中新賽克科技有限責任公司、深圳開

源互聯(lián)網(wǎng)安全技術有限公司、啟明星辰信息技術集團股份有限公司、北京聚睿智能科技

有限公司、遠江盛邦（北京）網(wǎng)絡安全科技股份有限公司、杭州華途軟件有限公司、深

信服科技股份有限公司、勤智數(shù)碼科技股份有限公司、北京世紀互聯(lián)寬帶數(shù)據(jù)中心有限

公司、北京天融信科技有限公司、成都亞信網(wǎng)絡安全技術產(chǎn)業(yè)研究院有限公司等27家

單位，歸口單位為全國信息安全標準化技術委員會（簡稱信安標委）。

二、項目的目的與意義

數(shù)據(jù)安全能力成熟度模型是針對大數(shù)據(jù)的各參與組織（如：數(shù)據(jù)提供者、數(shù)據(jù)消費

者、服務提供商等）的自身數(shù)據(jù)安全能力的評估模型，模型旨在提供一個結(jié)構(gòu)化的數(shù)據(jù)

安全管理實踐框架，幫助大數(shù)據(jù)的參與組織建立一套關于如何管理數(shù)據(jù)安全能力的通用

術語和共識，指導參與大數(shù)據(jù)的組織自身以及產(chǎn)業(yè)鏈上下游、合作方建立數(shù)據(jù)安全能力

評估模型及其數(shù)據(jù)安全能力的提升方案，為第三方機構(gòu)評估組織的數(shù)據(jù)安全成熟度水平

提供了劃分基準，有助于促進大數(shù)據(jù)行業(yè)的健康發(fā)展和公平競爭。

數(shù)據(jù)安全能力成熟度模型可以幫助大數(shù)據(jù)組織：

●構(gòu)建數(shù)據(jù)安全管理框架

●評估組織的數(shù)據(jù)安全能力水準

●衡量數(shù)據(jù)安全能力提升的進展

●建立自己的數(shù)據(jù)安全能力提升路線

三、主要工作過程

（一）《大數(shù)據(jù)安全能力成熟度評估模型》國標研究項目：

1、2016年8月，研究課題下達。

2、2016年8月24日，召開第一次專題研討會；

3、2016年10月19日，信安標委第二次會議周的討論；

4、2016年12月7日，召開第二次專題研討會；

5、2016年12月28日，召開第三次專題研討會；

6、2017年1月17日，召開項目結(jié)題評審會，評審通過，輸出研究報告和標準草

案。

（二）《大數(shù)據(jù)安全能力成熟度模型》國家標準制定項目：

1、2017年4月，立項在大數(shù)據(jù)安全特別工作組獲得通過；

2、2017年5月8日，標準編制組召開第一次專題研討會，并對標準草案進行修

改完善；

3、2017年6月7日，標準編制組召開第二次專題研討會，并對標準草案進行修

改完善；

4、2017年6月12日，標準編制組召開與《大數(shù)據(jù)服務安全能力要求》的聯(lián)合研

討會；

5、2017年6月14日，標準編制組召開第三次專題研討會，并對標準草案進行修

改完善；

6、2017年6月21日，標準編制組召開第四次專題研討會，并對標準草案進行修

改完善；

7、2017年6月26日，召開專家評審會，收集到對標準草案的修改完善的意見；

8、2017年6月28日，召開大數(shù)據(jù)安全特別工作組會議，同意根據(jù)會議意見，對

標準文稿修改后，作為征求意見稿提交；

9、2017年7月12日，標準編制組召開第五次專題研討會，并對標準草案進行修改

完善；

10、2017年7月27日，標準編制組召開第六次專題研討會，并對標準草案進行修

改完善，形成了《信息安全技術數(shù)據(jù)安全能力成熟度模型》的征求意見稿。

四、標準的主要內(nèi)容

本標準定義了數(shù)據(jù)安全能力成熟度模型。本模型基于大數(shù)據(jù)環(huán)境下電子化數(shù)據(jù)在組

7

織機構(gòu)業(yè)務場景中的數(shù)據(jù)生命周期，定義了數(shù)據(jù)安全過程域體系。在本體系下從組織建

設、制度流程、技術工具以及人員能力四個方面構(gòu)建了規(guī)范性的數(shù)據(jù)安全能力成熟度分

級評估方法。

本標準適用于組織機構(gòu)評估自身的數(shù)據(jù)安全能力，也適用于第三方機構(gòu)對組織機構(gòu)

的數(shù)據(jù)安全能力進行評估。

本標準涉及的主要內(nèi)容包括：

1、數(shù)據(jù)安全能力成熟度模型架構(gòu)

具體包括模型架構(gòu)、數(shù)據(jù)生命周期安全、數(shù)據(jù)安全過程域體系、安全能力維度、成

熟等級定義等。

安全能力維度包括：組織建設、制度流程、技術工具和人員能力四個方面。

2、各成熟度等級下的安全能力通用實踐

具體包括對各能力級別的安全能力通用實踐的描述，五個能力等級分別為：能力等

級1—非正式執(zhí)行、能力級別2—計劃跟蹤、能力級別3—充分定義、能力級別4—量

化控制、能力級別5—持續(xù)優(yōu)化。

3、數(shù)據(jù)生命周期通用的安全基本實踐

數(shù)據(jù)生命周期通用的安全過程域具體包括：策略與規(guī)程、數(shù)據(jù)與系統(tǒng)資產(chǎn)、組織和

人員管理、業(yè)務規(guī)劃與管理、數(shù)據(jù)供應鏈管理、合規(guī)性管理等。

本標準定義了這些過程域的安全基本實踐。

4、數(shù)據(jù)生命周期各階段的安全基本實踐

數(shù)據(jù)生命周期各階段的安全過程域具體包括：數(shù)據(jù)采集安全、數(shù)據(jù)傳輸安全、數(shù)據(jù)

存儲安全、數(shù)據(jù)處理安全、數(shù)據(jù)交換安全、數(shù)據(jù)銷毀安全等。

本標準定義了這些過程域的安全基本實踐。

5、數(shù)據(jù)安全能力成熟度等級的評定方法。

6、數(shù)據(jù)安全能力成熟度模型額使用方法。

五、產(chǎn)業(yè)化情況、推廣應用論證和預期達到的經(jīng)濟效果

《數(shù)據(jù)安全能力成熟度模型》的標準草案，已經(jīng)實現(xiàn)在全國各行各業(yè)30多家企業(yè)

的試點落地，很好地幫助這些企業(yè)提升自身的數(shù)據(jù)安全保護能力，促進了數(shù)據(jù)的交易與

共享，有效促進了大數(shù)據(jù)產(chǎn)業(yè)的安全健康發(fā)展。

六、采用國際標準和國外先進標準情況

7

本標準為自主制定。

七、與相關法律法規(guī)及國家有關規(guī)定、國內(nèi)相關標準的關系

本標準與現(xiàn)行法律、法規(guī)以及國家標準沒有沖突與矛盾的地方。

本標準與全國信息安全標準化技術委員會制定的《大數(shù)據(jù)服務安全能力要求》相配

套，將《大數(shù)據(jù)服務安全能力要求》中的安全要求作為安全基本實踐的基礎，來實現(xiàn)數(shù)

據(jù)安全能力成熟度的等級評定。

八、有關問題的說明

項目組在標準編制過程中，經(jīng)歷了內(nèi)部討論與論證、技術研討會等過程，項目組在

工作過程中遵循GB/T1.1—2009編制原則，對國內(nèi)外現(xiàn)狀做了大量調(diào)研，完成了標準草

案的編寫工作。在整個過程中未遇到重大意見分歧，但對專家提出的意見和建議，我們

做了應答和處理，更好地完善了我們的標準編制工作。

九、有關專利的說明

本標準不涉及