扫码微信咨询
DSMM数据管理能力成熟度评估
2023-05-31
196
DSMM认证，也称为数据管理能力成熟度评估，也有地方称为《数据安全能力成熟度模型》（GB/T 37988—2019，DSMM）认证。
近年来，随着信息技术和人类生产生活交汇融合，通过网络收集、存储、传输、处理和产生的各种数据迅猛增长。很多企业对于DSMM的需求还是很大的，但DSMM还是有很多专业性的问题，为了便于大家可以快速了解DSMM，擎标就给大家将常见的问题做了汇总，一起来看看吧！
一、DSMM是什么？
DSMM标准以数据为中心，重点围绕数据生命周期，从组织建设、制度流程、技术工具和人员能力四个方面进行安全保障。
DSMM标准关注企业自身业务产生的数据和与外部第三方组织交互的数据，以衡量组织机构的数据安全能力，促进组织机构了解并提升自身的数据安全水平。
本标准适用于组织机构数据安全能力的自身评估，也适用于第三方机构对组织机构的数据安全保障能力进行评估。
本标准借鉴能力成熟度模型（CMM）的思想，以CMM的通用实践来衡量能力成熟度等级，以《要求》中的安全要求为基础，定义数据安全过程域和基本实践，指导组织机构如何持续达到所对应的安全要求。
二、DSMM的基础申报条件
具有独立企业法人地位，属于数据拥有方或数据方案提供方；
社会信誉良好，有良好的知识产权保护意识，近三年无触犯国家法律法规的行为，无经营异常或严重违法失信行为，无不正当竞争行为；
满足《GB_T 37988-2019信息安全技术数据安全能力成熟度模型》相应级别要求；
有5人左右参与相关数据安全管理工作的人员。
三、DSMM的等级划分有哪些？
DSMM将数据管理能力成熟度划分为五个等级，自低向高依次为1级:非正式执行、2级：计划跟踪、3级：充分定义、4级：量化控制、5级：持续优化，不同等级代表企业数据安全管理和应用的成熟度水平不同。
数据安全过程维度——数据生命周期全过程，包括数据采集、数据传输、数据存储、数据处理、数据交换、数据销毁安全，以及通用安全过程。
三维度相互交叉，形成具体的基本实践（BP），全部的基本实践构成DSMM的条款内容；基于组织企业对各基本实践的满足程度，最终确定企业所达到的成熟度等级。
DSMM每个级别有什么区别？
L1非正式执行：执行非正式过程，随机、无序、被动执行安全过程，依赖个人经验，无法复制。
L2计划跟踪：在业务系统级别主动实现了安全过程的计划与执行，但没有形成体系化，可验证过程执行与计划一致，跟踪、控制执行的进展。
L3充分定义：在组织级别实现了安全过程的规范执行，标准过程进行制度化，过程可重复执行，执行结果可核查。
L4量化控制：建立了量化目标，安全过程可度量。
L5持续优化：根据组织的整体目标，不断改进和优化组织能力和安全过程有效性。
四、DSMM与ISO27001和等保有何不同？
等保标准以备案系统为主要评估对象，偏向传统网络系统安全，侧重于物理安全、网络安全、安全建设管理等方面的网络系统安全保护。
ISO27001标准是以组织为对象，偏向信息安全管理，侧重于指导组织依据信息安全风险评估的结果选择合适的控制措施，设计构建信息安全管理体系。
DSMM标准也是以组织为评估对象，聚焦数据全生命周期的防护，从四个安全能力维度提出分级要求，帮助组织打造与业务贴合紧密的数据安全架构。
五、DSMM适合哪些评估对象？
DSMM是针对企业数据安全管理和应用能力的评估框架，从标准本身讲，任何企业都可以申请，目前主要适用于两类。
一是数据拥有方：大数据企业、信息技术产业、互联网企业、金融业、银行业、保险业、证券行业、保险业、电子商务平台、数据中心、政务和高校等企事业单位。
二是数据方案提供方：数据开发/运营商、信息系统建设和服务提供商、信息技术服务提供商等。
六、做DSMM对企业的价值
资产保护：企业通过数据安全认证可建立完善数据安全体系，制定全面合理的数据安全制度流程及管理措施，提高企业数据安全保护意识，保障企业数据资产安全。
风险防控：数据安全能力体系的建设的不仅拥有应对数据风险的发生时的防护能力，更能从源头对风险进行防控，降低数据安全事故发生的概率。
合规要求:《数据安全法》《个人信息保护法》等相关法律法规相继出台，对企业数据安全建设提出了要求，数据安全认证可帮助企业满足相关法律法规要求，落实责任义务。
政策扶持：随着相关法律法规完善，各地区政府鼓励当地企业组织建立数据安全合规体系，并提供政策扶持。
宣传推广：组织通过数据安全认证，结合数据安全体系建设的经验，可形成行业最佳实践，扩大行业知名度，带动行业发展。
核心竞争力：通过数据安全认证的企业，可作为高度受信的数据拥有方及数据服务提供方，提升自身核心竞争力，为企业客户提供安全的数据服务。
七、DSMM评估方式有哪些？
DSMM评估方式主要包括人员访谈、文档审核、配置检查、工具测试、旁站式验证等方式，具体情况如下：
（1）文档审核：由被评价组织输入与数据安全相关的文档材料（如数据安全的方针政策、制度规范流程、培训教育材料、以及与产品技术相关的设计实施方案、配置说明、运行记录和其他配套表单）、审核小组审核相关的文档材料是否已涵盖完整数据生存周期的PA和控制项。
（2）配置检查：根据被审核方提供的技术材料，登陆相关的系统工具平台，检査配置是否与材料保持一致，对文档审核内容进行核实。
（3）工具测试：利用技术工具对系统工具进行测试，验证是否符合数据安全成熟度模型特定等级的技术能力要求，也可采信第三方的测试报告。
（4）旁站式验证：审核人员在现场通过实地观察人员行为、技术设施和环境状况判断人员的安全意识、业务操作、管理程序等方面的安全情况。
（5）人员访谈：通过访谈的方式与被审核方进行交流、讨论等活动，获取相关证据，了解有关信息。
八、企业如何开展贯标准备工作？
准备工作分为三个阶段：
（1）差距分析：对照能力等级标准的相关要求，梳理本企业数据管理的相关制度、执行过程文档、数据管理平台和工具的相关资料，进行差距分析，制定建设提升工作计划。
（2）能力建设：健全数据管理组织，完善数据管理制度体系，优化数据管理平台和工具，开展对标自评估。
（3）量化评估：组建评估队伍，提交正式评估申请，开展第三方评估，获取评估结果和提升整改意见。
数据安全能力成熟度模型能够用来衡量一个组织的数据安全能力成熟度水平，可以帮助行业、企业和组织发现数据安全能力短板，相关主管部门也可以用于数据安全管理，根据数据安全能力水平高低决定企业拥有数据的类型和范围，最终提升全社会的数据安全水平和行业竞争力，确保大数据产业及数字经济的发展。做DSMM就找上海擎标。
近年来，随着信息技术和人类生产生活交汇融合，通过网络收集、存储、传输、处理和产生的各种数据迅猛增长。很多企业对于DSMM的需求还是很大的，但DSMM还是有很多专业性的问题，为了便于大家可以快速了解DSMM，擎标就给大家将常见的问题做了汇总，一起来看看吧！
一、DSMM是什么？
DSMM标准以数据为中心，重点围绕数据生命周期，从组织建设、制度流程、技术工具和人员能力四个方面进行安全保障。
DSMM标准关注企业自身业务产生的数据和与外部第三方组织交互的数据，以衡量组织机构的数据安全能力，促进组织机构了解并提升自身的数据安全水平。
本标准适用于组织机构数据安全能力的自身评估，也适用于第三方机构对组织机构的数据安全保障能力进行评估。
本标准借鉴能力成熟度模型（CMM）的思想，以CMM的通用实践来衡量能力成熟度等级，以《要求》中的安全要求为基础，定义数据安全过程域和基本实践，指导组织机构如何持续达到所对应的安全要求。
二、DSMM的基础申报条件
具有独立企业法人地位，属于数据拥有方或数据方案提供方；
社会信誉良好，有良好的知识产权保护意识，近三年无触犯国家法律法规的行为，无经营异常或严重违法失信行为，无不正当竞争行为；
满足《GB_T 37988-2019信息安全技术数据安全能力成熟度模型》相应级别要求；
有5人左右参与相关数据安全管理工作的人员。
三、DSMM的等级划分有哪些？
DSMM将数据管理能力成熟度划分为五个等级，自低向高依次为1级:非正式执行、2级：计划跟踪、3级：充分定义、4级：量化控制、5级：持续优化，不同等级代表企业数据安全管理和应用的成熟度水平不同。
数据安全过程维度——数据生命周期全过程，包括数据采集、数据传输、数据存储、数据处理、数据交换、数据销毁安全，以及通用安全过程。
三维度相互交叉，形成具体的基本实践（BP），全部的基本实践构成DSMM的条款内容；基于组织企业对各基本实践的满足程度，最终确定企业所达到的成熟度等级。
DSMM每个级别有什么区别？
L1非正式执行：执行非正式过程，随机、无序、被动执行安全过程，依赖个人经验，无法复制。
L2计划跟踪：在业务系统级别主动实现了安全过程的计划与执行，但没有形成体系化，可验证过程执行与计划一致，跟踪、控制执行的进展。
L3充分定义：在组织级别实现了安全过程的规范执行，标准过程进行制度化，过程可重复执行，执行结果可核查。
L4量化控制：建立了量化目标，安全过程可度量。
L5持续优化：根据组织的整体目标，不断改进和优化组织能力和安全过程有效性。
四、DSMM与ISO27001和等保有何不同？
等保标准以备案系统为主要评估对象，偏向传统网络系统安全，侧重于物理安全、网络安全、安全建设管理等方面的网络系统安全保护。
ISO27001标准是以组织为对象，偏向信息安全管理，侧重于指导组织依据信息安全风险评估的结果选择合适的控制措施，设计构建信息安全管理体系。
DSMM标准也是以组织为评估对象，聚焦数据全生命周期的防护，从四个安全能力维度提出分级要求，帮助组织打造与业务贴合紧密的数据安全架构。
五、DSMM适合哪些评估对象？
DSMM是针对企业数据安全管理和应用能力的评估框架，从标准本身讲，任何企业都可以申请，目前主要适用于两类。
一是数据拥有方：大数据企业、信息技术产业、互联网企业、金融业、银行业、保险业、证券行业、保险业、电子商务平台、数据中心、政务和高校等企事业单位。
二是数据方案提供方：数据开发/运营商、信息系统建设和服务提供商、信息技术服务提供商等。
六、做DSMM对企业的价值
资产保护：企业通过数据安全认证可建立完善数据安全体系，制定全面合理的数据安全制度流程及管理措施，提高企业数据安全保护意识，保障企业数据资产安全。
风险防控：数据安全能力体系的建设的不仅拥有应对数据风险的发生时的防护能力，更能从源头对风险进行防控，降低数据安全事故发生的概率。
合规要求:《数据安全法》《个人信息保护法》等相关法律法规相继出台，对企业数据安全建设提出了要求，数据安全认证可帮助企业满足相关法律法规要求，落实责任义务。
政策扶持：随着相关法律法规完善，各地区政府鼓励当地企业组织建立数据安全合规体系，并提供政策扶持。
宣传推广：组织通过数据安全认证，结合数据安全体系建设的经验，可形成行业最佳实践，扩大行业知名度，带动行业发展。
核心竞争力：通过数据安全认证的企业，可作为高度受信的数据拥有方及数据服务提供方，提升自身核心竞争力，为企业客户提供安全的数据服务。
七、DSMM评估方式有哪些？
DSMM评估方式主要包括人员访谈、文档审核、配置检查、工具测试、旁站式验证等方式，具体情况如下：
（1）文档审核：由被评价组织输入与数据安全相关的文档材料（如数据安全的方针政策、制度规范流程、培训教育材料、以及与产品技术相关的设计实施方案、配置说明、运行记录和其他配套表单）、审核小组审核相关的文档材料是否已涵盖完整数据生存周期的PA和控制项。
（2）配置检查：根据被审核方提供的技术材料，登陆相关的系统工具平台，检査配置是否与材料保持一致，对文档审核内容进行核实。
（3）工具测试：利用技术工具对系统工具进行测试，验证是否符合数据安全成熟度模型特定等级的技术能力要求，也可采信第三方的测试报告。
（4）旁站式验证：审核人员在现场通过实地观察人员行为、技术设施和环境状况判断人员的安全意识、业务操作、管理程序等方面的安全情况。
（5）人员访谈：通过访谈的方式与被审核方进行交流、讨论等活动，获取相关证据，了解有关信息。
八、企业如何开展贯标准备工作？
准备工作分为三个阶段：
（1）差距分析：对照能力等级标准的相关要求，梳理本企业数据管理的相关制度、执行过程文档、数据管理平台和工具的相关资料，进行差距分析，制定建设提升工作计划。
（2）能力建设：健全数据管理组织，完善数据管理制度体系，优化数据管理平台和工具，开展对标自评估。
（3）量化评估：组建评估队伍，提交正式评估申请，开展第三方评估，获取评估结果和提升整改意见。
数据安全能力成熟度模型能够用来衡量一个组织的数据安全能力成熟度水平，可以帮助行业、企业和组织发现数据安全能力短板，相关主管部门也可以用于数据安全管理，根据数据安全能力水平高低决定企业拥有数据的类型和范围，最终提升全社会的数据安全水平和行业竞争力，确保大数据产业及数字经济的发展。做DSMM就找上海擎标。