CN116738449A - 一种基于dsmm的数据安全管控和运营*** - Google Patents

Abstract

本发明提供一种基于DSMM的数据安全管控和运营***，包括：资产管理模块，由资产发现单元、资产梳理单元和资产清单单元组成；安全设备管控模块，由安全设备管理单元和安全策略管理单元组成；分析研判模块，由原始日志、原始告警单元、指标管理单元、告警模型单元、告警处置单元、风险管理单元和事件管理单元组成；安全运营模块，由应急预案单元、运营知识库单元、工单管理单元和合作方评估单元组成。本发明参照国家标准《数据安全能力成熟度模型(DSMM)》，完善设计了平台型数据安全产品的功能，提供一种数据安全管控、运营***，用于自动发现敏感数据、智能协同纳管各数据安全设备以及日常数据安全运营，在数据安全合规建设中发挥巨大价值。

Description

一种基于DSMM的数据安全管控和运营***

技术领域

本发明涉及数据安全管理领域，更具体地，涉及一种基于DSMM的数据安全管控和运营***。

背景技术

近年《数据安全法》、《个人信息保护法》等多种安全法律相继实施，对信息安全提出了严格的合规性要求。随着大数据的大规模流转、汇总存储和分析，各种大数据技术架构、支撑平台和大数据软件的大范围使用，使得做好数据安全需要在多维度、全流程上使用各种设备进行防护，例如，数据分类分级设备、数据库审计设备、API监测设备、终端管控设备等。相应地，国家也出台了数据安全建设标准，例如《数据安全能力成熟度模型(DSMM)》。

然而市场中数据安全产品提供的技术防护能力基本都是单点能力，而数据又是流动且易传播的，单一的产品无法形成有效的保护。不少厂商购买了多个数据安全防护设备后不知如何协同管理，也很难利用安全设备形成完善的安全运营体系。

以数据为中心，面向数据全生命周期构建安全管理与防护体系，融合多种数据安全技术来实现平台化数据安全防护的数据安全平台(***)产品，是数据安全领域发展所聚焦的新方向，当前只有少数的相关产品。经过调研，市面上的数据安全平台在功能模块的设计上良莠不齐。

发明内容

本发明旨在克服上述现有技术的至少一种缺陷，提供一种基于DSMM的数据安全管控和运营***，用于解决现有技术中缺乏基于国家标准《数据安全能力成熟度模型(DSMM)》的完整的数据安全平台产品的问题。

本发明采用的技术方案包括：

本发明提供一种基于DSMM的数据安全管控和运营***，包括：资产管理模块，由资产发现单元、资产梳理单元和资产清单单元组成；资产发现单元用于执行数据资产的登记和提供数据资产登记机制；资产梳理单元用于整理数据资产的整体情况和提供数据分类分级达标或数据资产管理工具；清产清单单元用于提供可索引和查询的数据资产清单；安全设备管控模块，由安全设备管理单元和安全策略管理单元组成；安全设备管理单元用于对第三方安全工具进行管理；安全策略管理单元用于跟踪数据分类分级等第三方安全工具的策略运行效果，持续改进安全工具的策略配置；分析研判模块，由原始日志单元、原始告警单元、指标管理单元、告警模型单元、告警处置单元、风险管理单元和事件管理单元组成；原始日志单元具体用于标准化、归集、展示第三方安全设备采集的数据操作日志或其他日志信息；原始告警单元用展示安全管控设备因自身规则或策略产生的告警信息。；指标管理单元用于采用自动和人工审计相结合的方法对数据的高风险操作或事件进行监控；告警模型单元对各类数据访问和操作的日志进行统一的处理和分析，并量化数据访问和操作引发的数据安全风险；告警处置单元、风险管理单元以及事件管理单元在告警模型对日志、流量等内容关联分析的基础上，统一管理可能产生的安全事件。；安全运营模块，由应急预案单元、运营知识库单元、工单管理单元和合作方评估单元组成；应急预案单元用于提供数据安全策略规划数据和材料；运营知识库单元用于提供数据安全合规资料库以供查询；工单管理单元用于为各制度提供流程机制、评估机制和审批机制；合作方评估单元用于对数据供应链上下游的数据服务提供者和数据使用者的行为进行合规性审核和分析。

本发明提供的基于DSMM的数据安全管控和运营***，参照国家标准《数据安全能力成熟度模型(DSMM)》，完善设计了平台型数据安全产品的功能，提供一种数据安全管控、运营***，用于自动发现敏感数据、智能协同纳管各数据安全设备以及日常数据安全运营。DSMM标准围绕数据声明周期，定义了多层级的数据安全能力要求，涉及组织建设、制度流程、技术工具、人员能力4个能力维度，本发明利用资产管理模块、安全设备管控模块、分析研判模块以及安全运营模块，实现了DSMM国家标准中的大部分要求，***用户也可以借助该***实现相关DSMM要求，在数据安全合规建设中发挥巨大价值。

进一步，资产发现子单元具体用于按预设的周期发现数据资产、主机资产和API资产，并以列表的形式保存，形成资产发现列表；资产发现列表用于存储和展示资产发现信息，并提供资产认领功能。

进一步，资产梳理单元包括资产关系可视化子单元、账号权限管理子单元、资产上报子单元和分类分级子单元；资源关系可视化子单元用于将网络资产、数据资产、API资产、相关人员、资源相关账号之间的联系以无向图的形式呈现；账号权限管理子单元用于以若干种不同的方式将所纳管账号的权限及敏感状态可视化呈现；资产上报子单元用于为上级管理者提供主动向下级具体资产责任部门收集信息的方式；分类分级子单元用于在单元内配置分类分级任务，并将任务下发至对接的第三方分类分级工具，并在分类分级完成后自动同步分类分级结果。

进一步，资产清单单元包括数据源子单元、元数据子单元、API接口子单元、应用资产子单元、主机资产子单元、账号资产子单元；数据源子单元用于至少展示数据源总数、相关主机资产数、相关应用***数、相关人员数、已梳理的数据源数量、未梳理数据源数量，并以图或表的形式展示数据源类型分布；元数据子单元用于至少展示数据源总数、敏感数据源总数、敏感数据源占比、数据表总数、敏感数据表总数、敏感数据源占比、数据列总数、敏感数据列数、敏感数据列占比，并以图或表的形式展示不同敏感级别的数据源分布。进入任一库表档案页可查看表内各数据项的详细描述信息；API接口子单元用于至少展示接口总数、相关应用***数、相关账号数、敏感接口数及其占比、僵尸接口数及其占比，并以图或表的形式展示访问接口次数趋势；应用资产子单元用于至少展示业务应用***总数、高风险***数及其占比、中风险***数及其占比、低风险***数及其占比、无风险***数及其占比；主机资产子单元用于至少展示主机资产数、高风险资产数及其占比、中风险资产数及其占比、低风险资产数及其占比、无风险资产数及其占比；账号资产子单元用于至少展示账号数、活跃账号数、高风险账号数及其占比、中风险账号数及其占比、低风险账号数及其占比、无风险账号数及其占比，并以图或表的形式展示账号类型分布；人员资产子单元用于至少展示人员总数、高风险人员数及其占比、中风险人员数及其占比、低风险人员数及其占比、无风险人员数及其占比。

进一步，元数据子单元还用于在元数据清单页，以数据分级、共享属性、开放属性、数据领域、主题分类、更新周期作为高级筛选项，对元数据进行导航查看；元数据子单元还用于利用布设的资产发现设备，在资产发现子单元中自动发现数据源并提取元数据信息；在页面使用新增或批量导入元数据信息；使用资产上报子单元与其他账号协同上传元数据信息。

进一步，安全设备管理单元具体用于展示当前所有接入安全设备的信息；安全策略管理单元具体用于支持对任一设备策略的执行效果进行分析，并根据分析结果完成策略的调整。

进一步，原始日志单元具体用于标准化、归集、展示第三方安全设备采集的数据操作日志或其他日志信息；原始告警单元具体用于展示在数据各生存周期部署的安全管控设备因自身规则或策略产生的告警信息；指标管理单元具体用于对任一日志数据项执行过滤后，在时间窗口内按任一对象分组聚合，生成统计时序指标，并可设置指标标签和指标描述；告警模型单元具体用于创建若干个告警模型，利用告警模型对各类数据访问和操作的日志进行统一的处理和分析，识别数据访问和操作引发的数据安全风险；告警处置单元具体用于展示平台原始日志命中告警模型的告警记录；风险管理单元具体用于展示由告警人工判定生成的风险、手工填报的风险、以及其他***接口上报的风险；事件管理单元具体用于展示告警人工判定生成的风险、手工填报的风险、以及其他***接口上报的事件。

进一步，告警模型单元所创建的告警模型包括规则模型、关联模型、统计模型和AI模型；规则模型用于对任一日志数据项执行过滤后，设置完全匹配、正则表达式、等式运算或不等式运算的内容匹配规则；关联模型用于同时对任两条日志设置规则进行时序和逻辑上的组合；统计模型用于对任一已创建的时序指标设定等式运算或不等式运算；AI模型用于对任一已创建的时序指标配置ARIM、指数平滑、周期性高斯估计、特征点偏离、新出现实体等异常检测算法。

进一步，应急预案单元包括预案管理子单元和演练管理子单元；预案管理子单元用于展示和管理已经公开的应急预案；演练管理子单元用于针对每个预案支持执行立即演练和管理。

进一步，运营知识库单元用于展示和管理数据安全合规资料；工单管理单元用于将发现的问题和/或相关事项，以及其处理结果以工单方式存储，并管理所生成的工单；合作方评估单元用于展示合作方总数，以及合作方存在的高、中、低风险数量，支持查询合作方信息。

与现有技术相比，本发明的有益效果为：

本发明提供一种基于DSMM的数据安全管控和运营***，由于现有技术中还没有出现能够实现国家标准《数据安全能力成熟度模型(DSMM)》的数据安全管控和运营***，本发明根据DSMM国家标准的大部分规定，设计出适应该标准的4大功能模块，包括资产管理模块、安全设备管控模块、分析研判模块和安全运营模块，每个模块下细分的单元均根据具体的每一条DSMM国家标准进行设计，能够很好地满足DSMM标准中涉及组织建设、制度流程、技术工具、人员能力的4个能力维度，在数据安全合规建设中有很大的价值，是一款面向数据全生命周期构建安全管理与防护体系，融合多种数据安全技术来实现平台化数据安全防护的数据安全平台产品。

附图说明

图1为本发明实施例中***的模块组成示意图。

图2为本发明实施例中资产发现列表的展示界面示意图。

图3为本发明实施例中资产关系可视化子单元1021的界面示意图。

图4为本发明实施例中账号权限管理子单元1022的界面示意图。

图5为本发明实施例中数据源子单元1031的界面示意图。

图6为本发明实施例中元数据子单元1032的界面示意图。

图7为本发明实施例中API接口子单元1033的界面示意图。

图8为本发明实施例中应用资产子单元1034的界面示意图。

图9为本发明实施例中主机资产子单元1035的界面示意图。

图10为本发明实施例中账号资产子单元1036的界面示意图。

图11为本发明实施例中人员资产子单元1037的界面示意图。

图12为本发明实施例中元数据子单元1032的另一界面示意图。

图13为本发明实施例中***管理人员资产的界面示意图。

图14为本发明实施例中***以树结构管理组织架构的界面示意图。

图15为本发明实施例中安全设备管理单元201的界面示意图。

图16为本发明实施例中安全设备管理单元201展示当前阶段下的各类统计信息的界面示意图。

图17为本发明实施例中安全设备管理单元201展示数据脱敏工具信息的界面示意图。

图18为本发明实施例中安全设备管理单元201展示任一具体安全工具的界面示意图。

图19为本发明实施例中原始告警单元301的界面示意图。

图20为本发明实施例中原始告警单元301中指标配置页面的示意图。

图21为本发明实施例中告警处置单元304的界面示意图。

图22为本发明实施例中风险管理单元305的界面示意图。

图23为本发明实施例中事件管理单元306的界面示意图。

图24为本发明实施例中事件管理单元306中新增安全事件的界面示意图。

图25为本发明实施例中预案管理子单元4011和演练管理子单元4012的界面示意图。

图26为本发明实施例中运营知识库单元402的界面示意图。

图27为本发明实施例中工单管理单元403的审核界面示意图。

图28为本发明实施例中工单管理单元403中通用工单的界面示意图。

图29为本发明实施例中工单管理单元403中资产认领工单的界面示意图。

图30为本发明实施例中工单管理单元403中资产上报工单的界面示意图。

图31为本发明实施例中工单管理单元403中告警、风险、事件处置工单的界面示意图。

图32为本发明实施例中工单管理单元403中高危漏洞处置工单的界面示意图。

图33为本发明实施例中工单管理单元403中高危端口处置工单的界面示意图。

图34为本发明实施例中工单管理单元403中违规外联处置工单的界面示意图。

图35为本发明实施例中工单管理单元403中弱口令处置工单的界面示意图。

图36为本发明实施例中工单管理单元403中DSMM/DSG问题处置工单的界面示意图。

图37为本发明实施例中工单管理单元403中工单当前状态显示的界面示意图。

图38为本发明实施例中合作方评估单元404中展示人员信息的界面示意图。

图39为本发明实施例中合作方评估单元404中展示合作方***列表的界面示意图。

图40为本发明实施例中自定义列表字段功能的界面示意图。

具体实施方式

本发明附图仅用于示例性说明，不能理解为对本发明的限制。为了更好说明以下实施例，附图某些部件会有省略、放大或缩小，并不代表实际产品的尺寸；对于本领域技术人员来说，附图中某些公知结构及其说明可能省略是可以理解的。

实施例1

如图1所示，本实施例提供一种基于DSMM的数据安全管控和运营***，包括以下模块：资产管理模块100、安全设备管控模块200、分析研判模块300以及安全运营模块400。

基于DSMM在“数据资产管理”和“数据分类分级”过程域的安全要求，资产管理模块100由资产发现单元101、资产梳理单元102和资产清单单元103组成。

三个单元下的多个子单元分别用于满足多个具体的DSMM标准要求。

资产发现单元101用于执行数据资产的登记和提供数据资产登记机制；资产梳理单元102用于量化数据资产的整体情况和提供数据分类分级达标或数据资产管理工具；清产清单单元103用于提供可索引和查询的数据资产清单。

具体地，在DSMM标准中，在数据资产管理过程域，数据安全成熟度3级以上的标准要求：“应通过技术工具执行数据资产的登记,实现对数据资产的自动属性标识(BP.23.10)”。

基于此，资产发现单元101具体用于按预设的周期发现数据资产、主机资产和API资产，并以列表的形式保存，形成资产发现列表。在具体的实施方式中，资产发现单元101基于第三方资产发现探针(设备)工作，包括主动发现和被动发现两种方式。主动发现是利用平台的内置扫描功能得到资产列表。被动发现是将其他安全设备上报安全日志中的资产信息与平台资产清单对比，找到新增的资产。资产发现单元101包含“立即更新”功能，使用可立即发现当前类型的资产，同时也可设定1小时、3小时、6小时、12小时、24小时，共5种周期的扫描任务。每次选择会触发一次立即扫描(同步)，之后会按周期间隔，资产发现单元101在整点增量更新资产信息。

每次同步完成后，资产的信息以列表的形式保存在当前的页面中，所形成的资产发现列表用于存储和展示资产发现信息。如图2所示，列表展示的信息包括但不限于：资产名称、资产细分类型、所属***、主机端口、资产来源、资产发现时间、可操作选项等。

在DSMM标准中，在数据资产管理过程域，数据安全成熟度3级以上的标准要求：“应明确数据资产登记机制，明确数据资产管理范围和属性,确保组织内部重要的数据资产已有明确的管理者或责任部门(BP.23.08)”。

基于此，资产发现列表提供资产认领功能。如图2所示，资产认领有两个入口，一是当前用户直接认领入库。直接点击资产发现列表中的认领按钮，会要求当前用户登记资产所属部门和资产所属***，认领人则会登记为该资产的负责人。二是通过派发工单来让其它人员认领资产。在新增工单时选择资产认领类型工单，并指定受理部门、受理人、审核部门、审核人、截止时间等工单属性。当受理人账号登录平台时则会收到资产认领通知，受理人完成资产登记后则会进入工单审核流程，审核人账号登录平台时则会收到审核通知。发起工单的用户则可全程在工单管理单元403跟踪工单进度。

在DSMM标准中，在数据资产管理过程域，数据安全成熟度4级以上的标准要求：“应通过数据资产管理***量化组织内部数据资产的整体情况，包括但不限于数据资产的数据量、各等级数据资产的分布情况等，从而便于数据资产管理人员进行组织整体数据资产现状的统计(BP.23.16)”。基于此，本***设计资产梳理单元102，单元内下设的四个子单元分别提供三种不同的资产量化方式。

资产梳理单元102包括资产关系可视化子单元1021、账号权限管理子单元1022、资产上报子单元1023和分类分级子单元1024。

资产关系可视化子单元1021用于将主机资产、数据资产、API资产、资源相关人员、资源相关账号之间的联系以无向图的形式呈现。在具体的实施方式中，如图3所示，资产关系可视化子单元1021可自动通过所属部门、IP、安全责任人、数据领域、标签、告警信息等属性的匹配，将主机资产、数据资产、API接口、人员、账号之间的联系以无向图的形式呈现。对于关系图，可筛选查看范围，选项包括：全部、只看实体资产、只看相关人员。默认值为“全部”，选中“只看实体资产”则仅保留数据源、应用***、主机资产类型；选中“只看相关人员”则仅保留与中心节点直接关联的账号以及这些账号关联的人员。从风险等级角度，也可选定只查看敏感资产或高风险资产。对于某个资产节点，可选择查看该资产的名称、所属部门、类别、主机IP等基本信息。支持通过账号、资产名称、所属部门、主机地址、标签等关键词检索某一资产及其关系图。整个子单元用于帮助管理员理清资产关系，明确安全风险影响范围，为下一步安全建设及优化工作提供决策依据。

账号权限管理子单元1022用于以若干种不同的方式将所纳管账号的权限及敏感状态可视化呈现。在具体的实施方式中，如图4所示，账号权限管理子单元1022有可视化呈现的3种方式，具体为：

账号权限统计：以柱状图呈现各部门的账号数量。横坐标为部门，纵坐标为该部门开设的账号数量；用热力图呈现各部门的高权账号情况，横坐标为部门，纵坐标为高权账号数量，并以热力(颜色深度)呈现该部门高权账号的占比。

账号权限矩阵：用散点的形式将各账号不同的权限等级在坐标系中标识出来。其中，横坐标为账号涉及的敏感表数量，纵坐标为该账号拥有的权限项总数。根据各账号在两个维度上的相对位置，将坐标系平均分为高、中、低三个矩阵区间。可直观的将账号权限数量上的敏感等级展示出来。

账号关联图谱：支持按数据库或是按单位部门搜索数据资源。当按照“数据库”搜索时，展示以数据库为中心的关联对应的账号；当按照“单位部门”搜索时，展示以单位部门为中心的关联对应的数据库及数据库账号。数据库节点展示基础信息为“数据库名称、数据库类型、数据库地址”，节点用不同颜色区分显示数据库下属账号数量的不同，例如数据库下属账号2个及以上时，节点颜色为深色，2个以下时为浅色；账号节点展示名称、所属人员、单位部门以及关联的数据表、字段、字段对应的操作权限，节点用不同的颜色区分显示账号权限数量的不同，例如，某账号的权限数大于该数据资源下属所有账号权限项数的平均数量时，节点为深色。反之为浅色。

资产上报子单元1023用于为上级管理者提供主动向下级具体资产责任部门收集信息的方式。在具体的实施方式中，资产上报子单元1023旨在为上级管理者提供一种主动向下级具体资产责任部门收集信息的方式。管理者可创建即时上报任务或周期性上报任务，要求下级对其所负责的资产信息重新审核上报。对于即时上报任务可配置的信息如表1所示。

表1

周期性上报任务则可定期对下级提出上报要求，任务可配置，如表2所示。

表2

/>

/>

上报任务发起人可以卡片或列表的形式查看所有资产上报任务。其中展示的信息包括：任务名称、任务类型、任务状态、发起时间、发起人、任务受理人、资产上报类型、任务描述、审核状态、变更类型、填报人。并可对某一具体上报任务执行删除操作。

上报任务将会以工单的形式发送至受理人，受理人处置工单即执行上报任务，工单的具体处置方式见本说明书安全运营模块-工单处置部分。

在DSMM标准中，针对数据分类分级过程域，数据安全成熟度3级以上的标准要求：“应建立数据分类分级打标或数据资产管理工具,实现对数据的分类分级自动标识、标识结果发布、审核等功能(BP.01.09)”，基于此，本***的分类分级子单元1024用于在单元内配置分类分级任务，并将任务下发至对接的第三方分类分级工具，并在分类分级完成后自动同步分类分级结果。

在具体的实施方式中，分类分级任务创建时具体可配置数据源、运行周期、是否忽略空表、是否取样检测、全量扫描或只对未分类分级的数据扫描等任务要求，并指定结果核准用户。分类分级完成后进入核准步骤，核准用户登录***后收到分类分级核准工单，工单附加分类分级结果，面对工单，核准用户可选择确认或驳回，驳回时可添加修订意见。

所有分类分级任务在页面以列表的形式保存。列表展示的信息包括数据源名称、主机端口、所属部门、所属应用***、执行周期、状态、最近执行时间、创建时间等信息，可对列表中的任务进行立即执行、查看、编辑、删除等操作。

在DSMM标准中，在数据资产管理过程域中，数据安全成熟度3级以上的标准要求：“应建立便于索引和查询的数据资产清单,并能够及时更新数据资产相关信息(BP.23.11)”，基于此，资产清单单元103设计为包括数据源子单元1031、元数据子单元1032、API接口子单元1033、应用资产子单元1034、主机资产子单元1035、账号资产子单元1036。在资产清单单元103中，单元内设置数据源、元数据、API接口、应用资产、主机资产、账号资产、人员资产子单元，分别展示各类资产的详情清单，并可在各子单元中对资产完成增删改查、导入导出等操作。

数据源子单元1031用于至少展示数据源总数、相关主机资产数、相关应用***数、相关人员数、已梳理的数据源数量、未梳理数据源数量，并以图或表的形式展示数据源类型分布。在具体的实施方式中，如图5所示，数据以饼图展示数据源类型分布，类型可能包括mysql、mongodb等具体的数据库产品。其中“已梳理”的定义为已完成分类分级的数据源。以卡片形式罗列各具体数据源，卡片展示的信息包括数据源名称、数据源类型、主机端口、所属部门、所属应用***、标签等信息，鼠标悬停可快捷查看该数据源涉及的告警数量等告警相关信息。卡片操作包括查看详细档案、编辑、删除。另外可选择以列表形式展示数据源，列表包含的信息与卡片包含信息一致。单元内支持以表格形式导入该类型资产。***提供导入表格模板，用户填写模板信息上传后则更新当前资产清单。模板与清单列表表结构一致。

元数据子单元1032用于至少展示数据源总数、敏感数据源总数、敏感数据源占比、数据表总数、敏感数据表总数、敏感数据源占比、数据列总数、敏感数据列数、敏感数据列占比，并以图或表的形式展示不同敏感级别的数据源分布。如图6所示，数据以饼图展示不同敏感级别的数据源分布(敏感级别来自分类分级结果)。下方以卡片形式罗列各具体数据源，卡片展示的信息包括数据源名称、表名称、数据源类型、主机端口、所属部门、所属应用***、数据领域、主题标签、敏感等级等信息。鼠标悬停可快捷查看该数据源涉及的告警数量、敏感列数等告警、敏感相关信息。卡片操作包括查看详细档案、编辑、删除。进入任一库表档案页可查看表内各数据项的详细描述信息，包括列名、数据类型、是否为空、默认值、是否主键、是否敏感、敏感等级、分类结果、识别字段等。

另外可选择以列表形式展示元数据，列表包含的信息与卡片包含信息一致。单元内支持以表格形式导入该类型资产。***提供导入表格模板，用户填写模板信息上传后则更新当前资产清单。模板与清单列表表结构一致。

API接口子单元1033用于至少展示接口总数、相关应用***数、相关账号数、敏感接口数及其占比、僵尸接口数及其占比，并以图或表的形式展示访问接口次数趋势。如图7所示，数据以折线图展示近7天访问接口次数的趋势，并明显标注出当天访问数较前一日的环比情况。下方以卡片形式罗列各具体API接口，卡片展示的信息包括接口名称、所属部门、所属***、接口地址、登记来源、主题分类、应用领域、标签等信息。鼠标在卡片悬停可快捷查看该接口告警相关信息，包括告警总数、今日新增告警、未处置告警、已处置告警。卡片操作包括查看详细档案、编辑、删除。进入任一资产详情页可以关系图的形式查看本资产及其相关联的其他各种类型资产，关系图呈现的效果与资产关系可视化子单元1021中的关系图一致。另外可选择以列表形式展示接口，列表包含的信息与卡片包含信息一致。单元内支持以表格形式导入该类型资产。***提供导入表格模板，用户填写模板信息上传后则更新当前资产清单。模板与清单列表表结构一致。

应用资产子单元1034用于至少展示业务应用***总数、高风险***数及其占比、中风险***数及其占比、低风险***数及其占比、无风险***数及其占比。***告警等级的取值来源于该***关联的主机资产、接口资产、数据资产中的告警，其中只要告警等级中最高等级为高的则为高风险；告警等级的最高等级为中的则为中风险；告警等级的最高等级为低的则为低风险；没有告警的则为无风险。告警参考范围为本***“分析研判”中心所产生的告警。告警等级则由用户在设置相关告警规则、策略时自行决定。如图8所示，下方以卡片形式罗列各具体***，卡片展示的信息包括***名称、所属部门、等保等级、区域名称、防护情况。其中防护情况的类型包括未上报或该***安全防护设备的数量。防护设备统计范围为：云web应用防火墙、数据库审计、日志审计、综合漏洞扫描、主机安全、防篡改、运维审计、态势感知等。鼠标在卡片悬停可快捷查看该***的关联资产数和关联工单数。关联资产包括主机资产、数据资产、接口资产。工单包括隐患工单、时间工单。卡片操作包括上报、详情、编辑、删除。进入任一资产详情页可以关系图的形式查看本资产及其相关联的其他各种类型资产，关系图呈现的效果与资产关系可视化子单元1021中的关系图一致。另外可选择以列表形式展示***，列表包含的信息与卡片包含信息一致。单元内支持以表格形式导入该类型资产。***提供导入表格模板，用户填写模板信息上传后则更新当前资产清单。模板与清单列表表结构一致。

主机资产子单元1035用于至少展示网络资产数、高风险资产数及其占比、中风险资产数及其占比、低风险资产数及其占比、无风险资产数及其占比。纳入统计的主机资产包括但不限于1.主机类：Windows、Nix；2.网络类：路由器、交换机、VPN、负载均衡、防火；3.安全类：网闸、入侵检测***(IDS)、入侵防护***(IPS)、统一威胁管理(UTM)、下一代防火墙、Web应用防火墙(WAF)、流量监测设备、网页防篡改、抗DDoS***、防病毒***、防间谍***、防泄密***、邮件审计***、身份管理***、流量清洗***、数据库审计***、Web审计***、运维审计***、上网行为审计***、统一审计网关、日志审计***、安全管理***、蜜罐***、应用扫描器、网络扫描器、主机扫描器、APT、主机安全管理***(EDR)；4.应用类：WEB服务器、数据库服务器、邮件服务器、存储服务器、FTP服务器、应用服务器、虚拟化设备、DNS服务器；5.审计组件：Windows审计代理、Nix审计代理、WMI审计代理、采集器、通信服务器、关联引擎；6.其他：网络打印机。资产告警等级的取值来源于该资产的设备IP匹配到的告警风险等级，取数为所有的告警中的最高等级，最高等级为高的则该资产为高风险资产，中的为中风险资产，低的为低风险资产，没有风险的为无风险资产。告警参考范围为本***“分析研判”中心所产生的告警。告警等级则由用户在设置相关告警规则、策略时自行决定。如图9所示，下方以卡片形式罗列各具体资产，卡片展示的信息包括资产名称、所属部门、所属***、设备IP、设备类型、标签。卡片操作包括查看详细档案、编辑、删除。进入任一资产详情页可以关系图的形式查看本资产及其相关联的其他各种类型资产，关系图呈现的效果与资产关系可视化子单元1021中的关系图一致。另外可选择以列表形式展示资产，列表包含的信息与卡片包含信息一致。单元内支持以表格形式导入该类型资产。***提供导入表格模板，用户填写模板信息上传后则更新当前资产清单。模板与清单列表表结构一致。

账号资产子单元1036用于至少展示账号数、活跃账号数、高风险账号数及其占比、中风险账号数及其占比、低风险账号数及其占比、无风险账号数及其占比，并以图或表的形式展示账号类型分布。如图10所示，数据以饼图展示账号类型分布。其中活跃账号的定义是近7日该账号有访问记录(包含今日)；账号类型包括数据库账号、应用***账号、主机账号、VPN账号、堡垒机账号；账号告警等级的取值来源于该账号匹配到的告警风险等级，取数为所有的告警中的最高等级，例如告警中最高等级为高的则该账号为高风险账号，没有风险的为无风险账号。两账号匹配的规则是，账号关联资产的ip、***端口、账号名同时相等即匹配。告警参考范围为本***“分析研判”中心所产生的告警。告警等级则由用户在设置相关告警规则、策略时自行决定。下方以卡片形式罗列各具体账号，卡片展示的信息包括所属部门、使用人、账号类型、关联类型、风险等级等信息。卡片操作包括查看详细档案、编辑、删除。进入任一资产详情页可以关系图的形式查看本资产及其相关联的其他各种类型资产，关系图呈现的效果与资产关系可视化子单元1021中的关系图一致。另外可选择以列表形式展示账号，列表包含的信息与卡片包含信息一致。单元内支持以表格形式导入该类型资产。***提供导入表格模板，用户填写模板信息上传后则更新当前资产清单。模板与清单列表表结构一致。

人员资产子单元1037用于至少展示人员总数、高风险人员数及其占比、中风险人员数及其占比、低风险人员数及其占比、无风险人员数及其占比。人员风险等级的取值来源于该用户关联的所有账号的最高告警等级，例如告警中最高等级为高，则该人员为高风险人员，没有告警的为无风险人员。告警等级则由用户在设置相关告警规则、策略时自行决定时人员与账号的关联关系需要用户自行梳理，***提供在线新增人员-账号资产映射和导入映射表两种梳理方式。如图11所示，下方以卡片形式罗列各具体人员，卡片展示的信息包括姓名、性别、在职状态、关联账号个数、所属部门、人员类型、人员职位、移动电话、风险等级等，其中人员类型包括敏感用户、高权限用户、远程接入用户等，可自定义。卡片操作包括查看详细档案、编辑、删除。进入任一资产详情页可以关系图的形式查看本资产及其相关联的其他各种类型资产，关系图呈现的效果与资产关系可视化子单元1021中的关系图一致。另外可选择以列表形式展示具体人员，列表包含的信息与卡片包含信息一致。单元内支持以表格形式导入该类型资产。***提供导入表格模板，用户填写模板信息上传后则更新当前资产清单。模板与清单列表表结构一致。

在具体的实施方式中，在DSMM标准里需满足元数据管理过程域中，数据安全成熟度3级以上的标准要求：“元数据管理工具应支持数据表的导航和搜索，提供表血缘关系、字段信息、使用说明、其他关联信息,方便用户使用数据表(BP.25.07)”，因此，元数据子单元1032还用于在元数据清单页，以数据分级、共享属性、开放属性、数据领域、主题分类、更新周期作为高级筛选项，对元数据进行导航查看。清单页内可使用主机名、表名、分类对元数据进行模糊搜索。如图12所示，在元数据档案详情页展示该元数据的基本信息，包括表名、表别名、数据源名称、所属部门、主机IP、所属***、创建时间、开发属性、共享属性、更新周期、主题分类、数据领域、使用说明；以及该元数据的告警统计，包括风险总数、今日新增、未处置数、已处置数，并用饼图展示高、中、低风险分布；以及数据表的字段信息，包括每个字段的字段名、表名、是否梳理、类型、识别规则、识别字段、是否敏感、分级、分类、长度、是否为空、默认值、是否主键等信息。

在具体的实施方式中，在DSMM标准里需满足元数据管理过程域中，数据安全成熟度4级以上的标准要求：“应具备实现元数据统一管理的能力，如建立组织统一的元数据管理***，将各业务的元数据通过集中的***面向组织内部提供(BP.25.11)”，因此，元数据子单元1032还用于利用布设的资产发现设备，在资产发现子单元中自动发现数据源并提取元数据信息；在页面使用新增或批量导入元数据信息；使用资产上报子单元与其他账号协同上传元数据信息。子单元内的元数据提供查询、编辑、删除的统一管理功能。其中可编辑的内容包括表名、表别名、所属数据源、数据源名称、所属***、开发属性、共享属性、更新周期、主题分类、数据领域、使用说明、标签。其中查询功能已在上一节详细描述。

在具体的实施方式中，在DSMM标准里需满足元数据管理过程域中，数据安全成熟度3级以上的标准要求：“应建立元数据访问控制策略和审计机制，确保元数据操作的追溯(BP.25.08)”，因此，***超级管理员拥有创建账号的权限，在创建账号时可按元数据的所属部门、所属***、开发属性、共享属性、数据领域、数据库、表名等信息规定新建账号访问元数据的范围和对元数据的操作权限(新增、删除、查询、编辑)，创建的账号在登录***后只可查看权限范围内的元数据信息。用户在***内对元数据进行新增、删除、查询、编辑等管理工作的操作日志，将统一保存在***的***内部管理模块，超级管理员可按照操作实施账号和操作对象审计操作日志，追溯元数据操作。

在具体的实施方式中，在DSMM标准里需满足组织和人员管理过程域中，数据安全成熟度3级以上的标准要求：“应通过技术工具自动化实现了数据安全相关的人力资源管理流程(BP.21.28)”，因此，除人员资产清单功能外，***还提供在线新增或删除人员。新增时可填报人员信息包括姓名、性别、身份证、移动电话、固定电话、常用邮箱、所属部门、人员职位、人员状态(值域为：在职、离职、准备离职、休假、外派)、人员类型(值域为：重点关注用户、离职用户、第三方用户、远程接入用户、敏感用户、高权限用户、(准)离职用户，自定义)、人员归属(甲方人员、合作方人员)、上传头像、人员标签、备注、扩展信息(合作方公司名称、合作方联系人、合作方联系方式)、关联账号名、关联资产。其中人员归属与扩展信息字段进行联动：当选择合作方人员时提示填写合作方公司名称、合作方联系人、合作方联系方式这三个字段，如果选择的是甲方人员，则隐藏这三个字段的填写。

如图13所示，支持利用表格导入人员资产，可在导入前下载表格模板，模板字段与新增人员所填信息基本一致；支持导出人员列表，支持按条件过滤筛选后导出人员列表。人员详情页首先展示人员基础信息包括姓名，性别，人员状态，职位，人员归属，人员标签，人员类型，所属部门，身份证号，常用邮箱，固定电话，移动电话，描述，合作方公司名称，合作方联系人，合作方联系方式，其中联系方式将做脱敏处理；左下方以卡片形式展示当前人员关联的所有账号及账号关联的资产、资产类型以及资产所属部门。即人员关联账号，账号关联资产。资产类型包括数据库、应用服务、主机；右下方以折线图展示该人员下属账号每日访问次数，默认统计当前人员的所有账号访问次数，支持对单个账号进行访问次数统计。统计范围为近一周，不包括当天。

如图14所示，***支持以树结构管理组织架构。使用添加节点来增加组织，可添加的组织信息包括组织名称、组织简称、组织机构代码、上级组织名称、区域名称、组织地址、组织联系人、组织联系方式、组织标签、备注。其中上级组织名称在新增节点时自动填充；删除组织架构时第一级不允许被删除，节点下有子节点的组织结构不允许被删除，只有末级允许被删除。有资产关联的部门不允许被删除，将根据实际情况提示取消关联数据资产、应用资产、接口资产等具体资产；支持编辑组织信息，其可编辑信息与新增组织时一致。还支持利用表格导入组织架构，可在导入前下载表格模板，模板字段与新增组织所填信息基本一致；支持导出人员列表，支持按条件过滤筛选后导出人员列表。查看组织架构时显示基本信息，包括组织名称、简称、机构代码、上级组织名称、区域名称、组织地址、联系人、联系方式、标签。

安全设备管控模块200，由安全设备管理单元201和安全策略管理单元202组成。安全设备管理单元201用于对第三方安全工具进行管理；安全策略管理单元202用于跟踪数据分类分级标识或其他第三方安全工具策略的运行效果，帮助持续改进策略方案。。

对于数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全，6个数据生存周期下的多个安全过程域，以及终端数据安全、鉴别与访问控制过程域，本***建议用户利用第三方安全工具实现各具体过程域中的安全要求，目前建议的工具包括：资产管理***、API风险监测***、数据安全分级域风险评估***、数据库审计***、数据库脱敏***、数据库加密***、运维管控***、堡垒机、网络DLP***、VPN***。如图15所示，本***在安全设备管理单元201内展示当前所有接入设备的信息，包括但不限于设备品牌、防护领域、上线时间、工具IP、资源消耗等；设有设备新增、删除、编辑信息、搜索查看的功能。单元内可从平台单点跳转至设备控制台，支撑用户开展、维持具体安全防护工作。

在DSMM标准里需满足在数据分类分级过程域中，数据安全成熟度5级以上的标准要求：“应跟踪数据分类分级标识效果,持续改进数据分类分级的技术工具(BP.01.14)”；数据传输加密过程域中，数据安全成熟度4级以上的标准要求：“应综合量化敏感数据加密和数据传输通道加密的实现效果和成本，定期审核并调整数据加密的实现方案(BP.05.15)”数据脱敏过程域中，数据安全成熟度5级以上的标准要求：“应持续跟踪业务新需求、数据脱敏新技术和最佳实践、合规新要求新变化等,持续改进数据脱敏规则和手段(BP.10.22)”，除上述要求外，DSMM对于多个过程域的技术防护提出了“持续优化、持续改进”的要求。基于此，安全策略管理单元202具体用于支持对任一设备策略的新增、修改、删除，还用于根据数据安全生存周期(TAB页形式)以卡片形式展示相关安全工具的策略运行状态以及运营数据可视化。例如数据脱敏工具对于新策略需配置如表3信息所示。用户可根据策略命中率等指标持续优化策略配置。

表3

对于生存周期的每个阶段，页面首先展示当前阶段下的各类统计信息，具体如表4所示，展示效果如图16所示：

表4

在统计信息的下方则以卡片的形式依次罗列每个第三方安全工具的信息，展示的信息因安全工具的种类不同而不同，例如分类分级工具的所显示的信息如表5所示：

表5

数据脱敏工具所显示的信息如表6所示，展示效果如图17所示：

表6

字段/图	解释
		安全工具ip	该安全工具管理菜单的安全工具ip
安全工具端口	该安全工具管理菜单的安全工具端口
		安全工具类型	该安全工具管理菜单的安全工具类型
安全工具厂商	该安全工具管理菜单的安全工具厂商
		策略总数	该安全工具策略列表的策略总数
已启用策略数	该安全工具策略列表的已启用策略数
		已停用策略数	该安全工具策略列表的已停用策略数
异常策略数	该安全工具策略列表的异常策略数
		脱敏完成表数量	AiMask的结构化脱敏任务所完成的表数量之和
脱敏数据	AiMask的结构化脱敏任务所完成的数据大小之和
		脱敏任务数据流向概况	通过环形图展示结构化数据脱敏四种数据流向的占比
策略列表	可点击进入策略列表

如图18所示，对任一具体安全工具，可从卡片跳转至“安全策略”列表页。页面以列表的形式展示该工具所有的安全策略，帮助用户了解工具策略明细。列表字段包括：策略名称、策略类型、IP段、服务数、启用状态、创建时间、更新时间、操作。

基于DSMM在“监控与审计”与“安全事件应急”过程域的安全要求，分析研判模块300由原始日志单元、原始告警单元301、指标管理单元302、告警模型单元303、告警处置单元304、风险管理单元305和事件管理单元306组成。

其中，原始日志单元用于标准化并归集第三方安全设备采集的数据操作日志或其他日志信息；原始告警单元301用于用于展示在数据各生存周期部署的安全管控设备因自身规则或策略产生的告警信息；；指标管理单元302用于采用自动和人工审计相结合的方法对数据的高风险操作或事件进行监控；告警模型单元303对各类数据访问和操作的日志进行统一的处理和分析，并量化数据访问和操作引发的数据安全风险；告警处置单元304、、风险管理单元305以及事件管理单元306在告警模型对日志、流量等内容关联分析的基础上，统一管理可能产生的安全事件。

基于数据正当使用过程域中，数据安全成熟度3级以上的标准要求：“应完整记录数据使用过程的操作日志,以备对潜在违约使用者责任的识别和追责(BP.12.08)”在数据各生存周期部署安全管控设备，同步收集每一个安全基础设备采集的日志信息(包括数据操作日志)，标准化后在原始日志内以列表的形式展示。列表展示的日志信息包括日志名称、来源IP、目的IP、目的端口、传输协议、应用协议、设备类型、设备名称、来源城市、解析产品名称、分配的IP地址、目的DNS域。提供自定义列表字段功能，可自由选择原始日志中的任一字段，作为日志信息的一部分，在当前页面列表中展示。如图40所示，

列表操作功能包括按条件搜索、导出、发布、可视化；其中可视化柱状图用于展示所有日志信息任一数据项所有具体取值的统计信息，统计范围为列表中的数据(可以是筛选后的结果)。具体的，X轴可选择任一日志字段，Y轴提供的统计函数包括平均数、计数、去重计数、最大值、最小值、求和。列表中的日志支持查看日志详情，所展示的内容除一般信息外还包括报文、对象分类、事件分类、行为分类、设备分类等。详情中的信息将根据日志类型的不同而不同。

基于监控与审计过程域中，数据安全成熟度3级以上的标准要求：“应建立针对数据访问和操作的日志监控技术工具,实现对数据异常访问和操作进行告警,高敏感数据以及特权账户对数据的访问和操作都纳入重点的监控范围(BP.27.09)”，在数据各生存周期部署安全管控设备，同步收集每一个安全基础设备因自身规则或策略产生的告警信息，并在原始告警单元301内以列表的形式展示。列表显示的告警信息包括采集器接收时间、告警名称、来源IP、目的IP、告警设备、设备类型的同时，提供自定义列表字段功能，可自由选择原始日志中的任一字段，作为告警信息的一部分，在当前页面列表中展示。如图19所示，列表操作功能包括按条件搜索、导出、发布、可视化；其中可视化柱状图用于展示所有告警信息任一数据项所有具体取值的统计信息，统计范围为列表中的数据(可以是筛选后的结果)。具体的，X轴可选择任一日志字段，Y轴提供的统计函数包括平均数、计数、去重计数、最大值、最小值、求和。列表中的告警支持查看告警详情，所展示的内容除一般信息外还包括报文信息、物理地址。详情中的信息将根据告警类型的不同而不同。

基于监控与审计过程域中，数据安全成熟度3级以上的标准要求：“应采用自动和人工审计相结合的方法或手段对数据的高风险操作进行监控(BP.27.08)”，指标管理单元302具体用于提供时序指标创建功能，对任一日志数据项执行过滤后(过滤操作可选)，在时间窗口内(1分钟、10分钟、30分钟、1小时、6小时、1天等)，按任一对象分组聚合，生成统计时序指标，并可设置指标标签和指标描述。提供的分组聚合函数包括但不限于：均值、求和、中位数、众数、最小值、最大值、非重复计数、方差。指标配置页面如图20所示。

指标管理单元302内以列表形式展示已创建的指标，展示的信息包括但不限于：指标名称、数据源、指标分组对象、统计方法、时间窗口、指标描述、涉及数据表、创建人、创建时间、是否保存结果、是否运行等。列表操作提供对列表的搜索查询或对于某个指标编辑信息、开启或关闭、查看详情、查看结果。可查看或编辑的指标详情包括指标ID、指标名称、指标标签、指标描述、数据源及统计配置条件。提供指标详情页面，用于展示可视化展示指标描述、指标配置、历史最大最小值、指标折现图、指标概览。

其中折线图具体提供的功能包括：

1)曲线标注：用于解释曲线时序图中的曲线分别代表的含义，并且点击此处的注释可以直接对该注释的对象进行筛选，曲线时序图中只显示该对象。

2)时序图操作栏：此区域主要用作于对时序图的操作，可以对时序图进行缩放、回退和重置的操作。

3)时序图及信息详情：鼠标在时序图停留时，会展示出该时间节点，在时序图中展示的对象的数值。时序图主要显示的内容为默认分组和自定义分组中的对象的数据值。

4)时间轴：用于展示此时时序图的时间范围。

总体概览以饼图的形式展示指标在来源IP、目的IP、来源用户、目的端口、流入字节、传输协议等数据项的具体取值分布比例。具体概览的数据项将根据指标不同而不同。

在监控与审计过程域中，数据安全成熟度4级以上的标准要求：“应建立统一的数据访问和操作的日志监控技术工具，该技术工具可对各类数据访问和操作的日志进行统一的处理和分析，并量化数据访问和操作引发的数据安全风险,实现对数据安全风险的整体感知(BP.27.13)。告警模型单元303具体用于创建若干个告警模型，利用告警模型对各类数据访问和操作的日志进行统一的处理和分析，并量化数据访问和操作引发的数据安全风险。

告警模型单元303可创建的模型分为规则模型、关联模型、统计模型、AI模型。

规则模型：此功能可对任一日志数据项执行过滤后(过滤操作可选)，设置完全匹配、正则表达式、等式运算或不等式运算的内容匹配规则。同一条日志下的多个数据项匹配规则之间可设置为与、或的逻辑关系。多个数据项的内容匹配规则与它们之间的逻辑关系组成一条告警规则。此外还可配置告警名称、威胁等级、告警描述、处置建议等规则详细信息。当日志内容命中告警规则时产生相应告警。

关联模型：此功能可同时对任两条日志设置规则模型，除包含设置规则模型的所有功能外，可对两条规则进行时序和逻辑上的关联。时序关联包括：“A、B规则同时命中”、“A、B规则先后命中”、“A命中且B不命中”、“A命中n次以上再命中B事件”。并以分钟为单位设置时序组合发生的时间窗口。逻辑关联包括等于、不等于、包含、包含于，不包含于。此外还可配置告警名称、威胁等级、告警描述、处置建议等规则详细信息。当两条告警规则满足设定好的时序关联关系时产生相应告警。

统计模型：此功能可对任一已创建的时序指标设定等式运算或不等式运算的统计阈值模型。使用时可再次对指标设置时间窗口，以阈值检验时间窗口内指标的统计值。此外还可配置告警名称、威胁等级、告警描述、处置建议等规则详细信息。当时序指标满足阈值条件时产生相应告警。

AI模型：此功能可对任一已创建的时序指标配置ARIM、指数平滑、周期性高斯估计、特征点偏离、新出现实体等异常检测算法。此外还可配置告警名称、威胁等级、告警描述、处置建议等规则详细信息。当算法检测出异常结果时产生相应告警。

以上任一模型在创建时可配置模型输出告警的告警类型，告警类型的划分为两级，如表7

表7

基于不同安全工具日志所分析得到的告警自动归属于不同的数据生存阶段。安全工具与数据生存阶段的映射关系如表8

表8

为了满足安全事件应急过程域中，数据安全成熟度3级以上的标准要求：“应建立统一的安全事件管理***，对日志、流量等内容进行关联分析(BP.30.08)，告警处置单元304、风险管理单元305和事件管理单元306组成了安全事件管理***，具体的功能设计如下。

告警处置单元304以告警模型对日志、流量的关联分析为基础，将模型产生的告警以列表的形式展示。如图21所示，列表展示字段包括：告警名称、告警类型、起始时间、安全告警威胁等级、来源IP、目的IP、处置状态。同时提供自定义列表字段功能，可自由选择原始日志中的任一字段，作为告警记录的一部分在当前页面列表中展示。列表操作包括：按日期、名称、分组、某字段取值进行搜索、过滤，按当前列表字段导出告警记录。点击告警名称可进入告警详情页对某告警进行处置。详情页展示的基本信息包括来源IP、目的IP、原始ID、处置建议等。提供以表格或json格式展示该告警相关日志信息。标记功能可将告警标记为“未处置”、“已处置”、“处置完成”或“误报”四种状态；

而告警处置单元作为事件管理的基础，可对任一告警执行生成风险操作或生成事件操作。生成风险功能可将告警生成为风险，点击后进入风险创建页面，并将告警名称赋值于风险名称，起始时间赋值于发现时间；生成事件功能可将告警生成为事件，点击后进入事件的创建页面，并将告警名称赋值于时间名称、起始时间赋值于发现时间，目的IP赋值于目标对象IP，目的端口赋值于目标对象端口，来源IP赋值于来源IP，来源端口赋值于来源端口。

风险管理单元305作为统一事件管理***的一部分，以列表形式展示由告警人工判定生成的风险、手工填报的风险、以及其他***接口上报的风险。列表展示字段包括：风险名称、所属部门、风险等级、发现时间、数据来源(告警生成、手工填报、对接数据)、处置状态。列表操作包括：按某字段取值进行搜索、过滤，按当前列表字段导出风险记录，按时间排序，查看风险详情等。如图22所示，风险详情页展示风险名称、风险等级、目标对象IP、资产名称、目标对象端口、风险类型(值域为：运营违规、数据泄露、数据篡改、数据泄露、非法访问、***受损、数据滥用、操作违规、其他风险)、目标对象URL、所属部门、发现时间、结束时间、填报人、填报时间等基础信息，并显示该条数据的所有原始json，json支持下载txt格式的文件包。风险管理单元305内支持手动创建新增安全风险，创建时可配置风险的名称、风险级别、目标对象IP、风险类型、目标对象端口、发现时间、目标对象URL、结束时间、所属部门，并可上传文件或图片作为附件。对任一风险可执行“通报”处置，点击则跳转至安全运营模块的工单新增页面。

事件管理单元306作为统一事件管理***的一部分，以列表的形式展示告警人工判定生成的风险、手工填报的风险、以及其他***接口上报的事件。如图23所示，列表展示字段包括：事件名称、所属部门、事件类型(值域为：运营违规事件；***受损事件；数据安全事件：数据篡改事件、数据假冒事件、数据泄露事件、数据窃取事件、数据拦截事件、数据滥用事件、数据丢失事件、数据错误事件、数据投毒事件、其他数据安全事件；违规操作事件：权限滥用事件、权限伪造事件、行为抵赖事件、故障违规操作事件、误操作事件、人员可用性破环事件、未授权使用事件、其他违规操作事件；异常行为事件：访问异常事件、流量异常事件、其他异常行为事件；其他事件)、子类型、事件等级、发生事件、处置状态(值域为：未通报、已通报、通报并完成整改)、数据来源(值域为：告警生成、手工填报、对接数据)；列表操作包括：按某字段取值进行搜索、过滤，按当前列表字段导出风险记录，按时间排序，查看风险详情等。事件详情页展示事件名称、数据来源、发现时间、事件类型、事件类别编码、事件等级、发现时间、来源IP、目标对象IP、来源端口、目标对象端口、资产名称、目标对象URL、所属部门、应用***、填报人、填报时间、举证信息。

如图24所示，事件管理单元306内支持手动新增安全事件，创建时可配置风险的名称事件名称、事件等级、发现时间、事件描述、来源IP、目标对象IP、来源端口、目标对象端口、目标对象URL、事件类型、子类型、备注、举证信息、描述信息、原始事件，并可上传文件或图片作为附件。对任一事件可执行“通报”处置，点击则跳转至安全运营模块的工单新增页面。

基于DSMM在“数据安全策略规划”与“合规管理”等过程域的安全要求。本发明所述的***设计了安全运营模块400，安全运营模块400由应急预案单元401、运营知识库单元402、工单管理单元403和合作方评估单元404组成。

其中，应急预案单元401用于提供数据安全策略规划数据和材料；运营知识库单元402用于提供数据安全合规资料库以供查询；工单管理单元403用于为各制度提供流程机制、评估机制和审批机制；合作方评估单元404用于对数据供应链上下游的数据服务提供者和数据使用者的行为进行合规性审核和分析。

具体地，数据安全策略规划过程域中，数据安全成熟度3级以上的标准要求：“应建立数据安全策略规划的***，通过该***向组织全体员工发布策略规划的解读材料，以便于策略规划的落地推进(BP.20.12)”，基于此，应急预案单元401具体包括预案管理子单元4011和演练管理子单元4012。如图25所示，预案管理子单元4011内统一发布或演练针对各级各类事故和危险源制定的应急预案和演练方案，并明确事前、事发、事中、事后的各个过程中相关部门和有关人员的职责，结合工单管理，对演练过程中出现无法完成演练或者影响演练效果的问题跟踪处置。页面以列表的形式展示已经公开的应急预案，列表字段包括：预案名称、演练周期、已演练次数、最近演练时间、创建时间、创建人。列表操作包括按某字段取值进行搜索、过滤，导出应急预案，按时间排序，查看预案详情等。支持新建预案，新增时支持配置预案名称、预案内容、演练周期、上传预案附件。

演练管理子单元4012针对单个预案支持执行立即演练、查看详情、删除等操作。执行演练时可以设置演练的阶段和流程，完成后即可发起演练，***将按照演练任务涉及到的任务发布任务工单，演练过程中存在的问题，参与人员可以通过演练总结上报问题，作为演练发起人能够以时间轴的方式查看演练的具体进展，根据反馈的问题可以通过任务工单的形式完成发现问题的整改。

具体地，合规管理过程域中，数据安全成熟度3级以上的标准要求：“应建立数据安全合规资料库,相关人员可以通过该资料库查询合规要求(BP.22.12)”，运营知识库单元402将内容按照已有类别分别展示，用户可快速查询对应的材料，进行合规学习。如图26所示，页面以列表的形式展示上传的知识材料，列表字段包括：文件名称、文件来源、分类标签、文件描述、文件类型、上传时间。列表操作包括按某字段取值进行搜索、过滤，批量导出材料，按时间排序，查看预案详情等。其中分类标签可选择：法律法规、国家标准、公司规定、行业标准，并可自定义。针对某项知识材料可选择查看详情或删除。查看详情则进入材料原文查看页面。删除则进入回收站。

具体地，在数据分类分级、数据源鉴别及记录、数据正当使用等过程域中，都多次要求企业单位在过程域内需具备相关制度流程、评估机制或审批机制，工单管理单元403具体用于支撑单位制定、执行相关制度流程。单元内将平台发现的问题或者相关事项以工单方式跟进，并获取对应的处理结果，以保证平台中发现的问题和需要处理的事项能够有跟踪完成相关内容。

工单管理单元403的详细功能设计如下：

1.创建工单

1)在各业务功能页面创建。创建步骤：

(1)进入对应功能页面

(2)选择具体对象

(3)创建工单

(4)配置业务对应工单内容

(5)确认派发

具体地，资产管理模块100支持创建发布资产认领工单、资产上报工单；分析研判模块300支持创建发布告警处置工单、风险处置工单、事件通报工单、用户行为处置工单、高危漏洞处置工单、高位端口处置工单、违规外联处置工单、弱口令处置工单；安全运营模块400支持创建发布DSMM问题整改工单、DSG问题整改工单、应急演练工单。

2)在工单管理单元403创建。创建步骤：

(1)进入工单管理页

(2)创建工单

(3)选择工单类型

(4)配置该类型业务对应工单内容

(5)确认派发

其中创建的工单类型包括资产认领工单、资产上报工单、告警处置工单、风险处置工单、事件处置工单、用户行为处置工单、高危漏洞处置工单、高位端口处置工单、违规外联处置工单、弱口令处置工单；DSMM问题整改工单、DSG问题整改工单、应急演练工单、通用工单。

创建通用工单时可配置的工单信息如表9所示：

表9

/>

创建其他业务对应工单时，除填写通用工单内容外，需选择关联对象，各业务对应关联对象如表10所示，用户可借助工单中受理人、审批人、抄送人等相关配置项，形成自己的业务流程、审批机制，进行线上安全运营：

表10

/>

/>

2.工单操作

对于某一工单，除可查看详情外还可进行更多操作，可执行的操作将根据当前账号在工单中的人员属性(角色)和工单状态而决定。具体如表11所示。

表11

人员属性	状态	更多操作
			发起人	待处理	编辑、撤回、删除
	处理中	-
				处理完成	删除
	已撤回	重新派发、删除
				审核不通过	删除
	已关闭	删除
			受理人	待处理	处理、指派
	处理中	处理、指派
				处理完成	-
	已撤回	-
				审核不通过	重新处理、指派
	已关闭	-
			审核人	待审核	审核
	审核不通过	审核详情
				已关闭	-
抄送人	待处理	-
				处理中	-
	处理完成	-
				已撤回	-
	已关闭	-

3.处置工单

受理人接收到工单任务后可执行处置操作，处置方式将根据工单类型的不同而不同，具体如下：

1)通用工单：如图28所示，填选“处理结果”(无需处理或已处理)、“处理说明”和“上传附件”。

2)资产认领工单：如图29所示，填选“认领状态”(认领完成或不认领)、“处理说明”和“上传附件”。

3)资产上报工单：如图30所示，填选“是否存在变更”(是或否)、“处理说明”和“上传附件”。若资产存在变更，则需按当前任务的资产类型模板上传资产清单。模板与资产清单中各个资产的导入模板基本一致，只多一列“变更类型”数据项。

4)告警、风险、事件处置工单：如图31所示，需填选“处理结果”(误报、已处理、或暂不处理)“处理说明”和“上传附件”。

5)高危漏洞处置工单：如图32所示，需填选：“处理结果”(未发现、已修复或暂不处理)、“处理说明”和“上传附件”。

6)高危端口处置工单：如图33所示，需填选：“处理结果”(未发现、已封堵或暂不处理)、“处理说明”和“上传附件”。

7)违规外联处置工单：如图34所示，填选“处理结果”(未发现、已修复或暂不处理)、“处理说明”和“上传附件”。

8)弱口令处置工单：如图35所示，需填选“处理结果”(未发现、已整改或暂不整改)、“处理说明”和“上传附件”。

9)DSMM/DSG问题处置工单：如图36所示，需填选“处理结果”(已整改或暂不处理)、“处理说明”和“上传附件”。

4.工单状态

工单中涉及的各个角色都可以随时查看该工单当前的状态，跟进工单处置进度。当前状态的显示将根据该工单受到的操作不同而不同，具体如图37所示。

基于数据供应链安全过程域中，数据安全成熟度4级以上的标准要求：“应对数据供应链上下游的数据服务提供者和数据使用者的行为进行合规性审核和分析(BP.24.13)”；“应基于数据供应链的相关记录,，利用技术工具对数据供应链上下游的相关方开展安全审核和分析(BP.24.14)”，合作方评估单元404内首先展示合作方总数与厂商存在的高、中、低风险数量。其中风险等级来取值于该厂商关联人员的最高风险等级，如图38所示，例如某员工的某一账号存在高风险告警，则该厂商为高风险。告警参考范围为本***“分析研判”中心所产生的告警。告警等级则由用户在设置相关告警规则、策略时自行决定。账号之间的关联逻辑为：消息类型＝账号***类型、目的IP＝账号***IP，目的端口＝账号***端口，消息账号名＝账号的账号名。

统计信息下方以卡片的形式罗列各合作厂商，卡片展示的信息包括：厂商名称、服务状态、厂商简称、所属局方单位、厂商类型、厂商联系人、厂商标签。其中服务状态依据当前时间和服务时间范围的关系决定。若当前时间在服务时间范围内，为“服务中”。若当前时间在服务时间范围外，为“服务结束”。“服务结束”将显示提示：“业务合作已结束，请督促合作方依照合同约定及时关闭数据接口、删除数据。”卡片操作包括查看详细档案、编辑、删除。另外可选择以列表形式展示具体人员，列表包含的信息与卡片包含信息一致。支持以树结构索引查询厂家，或以局方部门、厂商名称、厂商类型、厂商联系人、厂商标签等信息搜索厂商。

合作厂商详情档案页首先展示厂商的基本信息，包括合作厂商名称、服务状态、厂商标签、厂商简称、厂商类型、管理单位、管理单位联系人、统一社会信用代码、所属区域、厂商服务时间、厂商联系人、厂商联系方式、创建时间、厂商官网、厂商详细地址、保密协议。

如图39所示，展示合作方的***列表，包括各***的所属部门、等保等级、防护情况，以及不同风险等级***的统计值。之后展示关联人员列表，包括各人员的姓名、在职状态、人员类型、人员职位、联系方式，以及不同风险等级人员的统计值。人员列表下方以时间轴的形式展示人员变更记录，每个变更节点展示的信息包括新增人员数量、退场人员数量、当前人员数量、操作人姓名、操作时间。

基于大数据环境下数据在机构业务中的流转情况，DSMM围绕数据生命周期，定义了多层级的数据安全能力要求。DSMM涉及组织建设、制度流程、技术工具、人员能力，4个能力维度，导致需要从多方面，借助多种技术工具完成建设。

融合多种数据安全技术来实现平台化数据安全防护的数据安全平台(***)，是近年较新的数据安全产品设计理念。本方案创新性的基于DSMM，设计了平台型数据安全管控、运营***的各项功能，提供了一种实现DSMM标准的方法，也为平台型数据安全产品的设计提供了方向。

本方案对于DSMM国家标准中的大部分要求给出了具体的平台型实现方法，依照此方案可以方便的开发数据安全平台(***)，而***用户又可借助所开发出的平台(***)成体系的实现相关DSMM要求。此效果将在数据安全合规建设中发挥巨大价值。

显然，本发明的上述实施例仅仅是为清楚地说明本发明技术方案所作的举例，而并非是对本发明的具体实施方式的限定。凡在本发明权利要求书的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明权利要求的保护范围之内。

Claims (10)

1.一种基于DSMM的数据安全管控和运营***，其特征在于，包括：

资产管理模块，由资产发现单元、资产梳理单元和资产清单单元组成；资产发现单元用于执行数据资产的登记和提供数据资产登记机制；资产梳理单元用于整理数据资产的整体情况和提供数据分类分级打标或数据资产管理工具；清产清单单元用于提供可索引和查询的数据资产清单；

安全设备管控模块，由安全设备管理单元和安全策略管理单元组成；安全设备管理单元用于对第三方安全工具进行管理；安全策略管理单元用于跟踪数据分类分级标识效果，持续优化数据分类分级的准确性；

分析研判模块，由原始日志单元、原始告警单元、指标管理单元、告警模型单元、告警处置单元、风险管理单元和事件管理单元组成；原始日志单元用于标准化并归集第三方安全设备采集的数据操作日志或其他日志信息；原始告警单元用于展示在数据各生存周期部署的安全管控设备因自身规则或策略产生的告警信息；指标管理单元用于采用自动和人工审计相结合的方法对数据的高风险操作或事件进行监控；告警模型单元对各类数据访问和操作的日志进行统一的处理和分析，并量化数据访问和操作引发的数据安全风险；告警处置单元、风险管理单元以及事件管理单元在告警模型对日志、流量等内容关联分析的基础上，形成告警信息，结合人工的核查确认的操作形成风险和事件的统一管理；

安全运营模块，由应急预案单元、运营知识库单元、工单管理单元和合作方评估单元组成；应急预案单元用于记录***应急方案制度和演练记录跟踪；运营知识库单元用于提供数据安全合规资料库以供查询；工单管理单元用于为各制度提供流程机制、评估机制和审批机制；合作方评估单元用于对数据供应链上下游的数据服务提供者和数据使用者的行为进行合规性审核和分析。

2.根据权利要求1所述的基于DSMM的数据安全管控和运营***，其特征在于，

资产发现单元用于按预设的周期发现数据资产、主机资产和API资产，并以列表的形式保存，形成资产发现列表；

资产发现列表用于存储和展示资产发现信息，并提供资产认领功能。

3.根据权利要求2所述的基于DSMM的数据安全管控和运营***，其特征在于，

资产梳理单元包括资产关系可视化子单元、账号权限管理子单元、资产上报子单元和分类分级子单元；

资源关系可视化子单元用于将主机资产、数据资产、API资产、相关人员、资源相关账号之间的联系以无向图的形式呈现；

账号权限管理子单元用于以若干种不同的方式将所纳管账号的权限及敏感状态可视化呈现；

资产上报子单元用于为上级管理者提供主动向下级具体资产责任部门收集信息的方式；

分类分级子单元用于在单元内配置分类分级任务，并将任务下发至对接的第三方分类分级工具，并在分类分级完成后自动同步分类分级结果。

4.根据权利要求2或3所述的基于DSMM的数据安全管控和运营***，其特征在于，

资产清单单元包括数据源子单元、元数据子单元、API接口子单元、应用资产子单元、主机资产子单元、账号资产子单元、人员资产子单元；

数据源子单元用于至少展示数据源总数、相关主机资产数、相关应用***数、相关人员数、已梳理的数据源数量、未梳理数据源数量，并以图或表的形式展示数据源类型分布；

元数据子单元用于至少展示数据源总数、敏感数据源总数、敏感数据源占比、数据表总数、敏感数据表总数、敏感数据源占比、数据列总数、敏感数据列数、敏感数据列占比，并以图或表的形式展示不同敏感级别的数据源分布；

API接口子单元用于至少展示接口总数、相关应用***数、相关账号数、敏感接口数及其占比、僵尸接口数及其占比，并以图或表的形式展示访问接口次数趋势；

应用资产子单元用于至少展示业务应用***总数、高风险***数及其占比、中风险***数及其占比、低风险***数及其占比、无风险***数及其占比；

主机资产子单元用于至少展示网络资产数、高风险资产数及其占比、中风险资产数及其占比、低风险资产数及其占比、无风险资产数及其占比；

账号资产子单元用于至少展示账号数、活跃账号数、高风险账号数及其占比、中风险账号数及其占比、低风险账号数及其占比、无风险账号数及其占比，并以图或表的形式展示账号类型分布；

人员资产子单元用于至少展示人员总数、高风险人员数及其占比、中风险人员数及其占比、低风险人员数及其占比、无风险人员数及其占比。

5.根据权利要求4所述的基于DSMM的数据安全管控和运营***，其特征在于，

元数据子单元还用于在元数据清单页，以数据分级、共享属性、开放属性、数据领域、主题分类、更新周期作为高级筛选项，对元数据进行导航查看；

元数据子单元还用于利用布设的资产发现设备，在资产发现子单元中自动发现数据源并提取元数据信息；在页面使用新增或批量导入元数据信息；使用资产上报子单元与其他账号协同上传元数据信息。

6.根据权利要求1所述的基于DSMM的数据安全管控和运营***，其特征在于，

安全设备管理单元具体用于展示当前所有接入安全设备的信息；

安全策略管理单元具体用于支持对任一设备策略的新增、修改、删除，还用于根据数据安全生存周期(TAB页形式)以卡片形式展示相关安全工具的运行状态、资源消耗、策略运行情况以及运营数据可视化。

7.根据权利要求1所述的基于DSMM的数据安全管控和运营***，其特征在于，

原始日志单元用于标准化、归集、展示第三方安全设备采集的数据操作日志或其他日志信息；

原始告警单元具体用于展示在数据各生存周期部署的安全管控设备因自身规则或策略产生的告警信息；

指标管理单元具体用于对任一日志数据项执行过滤后，在时间窗口内按任一对象分组聚合，生成统计时序指标，并可设置指标标签和指标描述；

告警模型单元具体用于创建若干个告警模型，利用告警模型对各类数据访问和操作的日志进行统一的处理和分析，并量化数据访问和操作引发的数据安全风险；

告警处置单元具体用于展示平台原始日志命中告警模型的告警记录；

风险管理单元具体用于展示由告警人工判定生成的风险、手工填报的风险、以及其他***接口上报的风险；

事件管理单元具体用于展示告警人工判定生成的风险、手工填报的风险、以及其他***接口上报的事件。

8.根据权利要求7所述的基于DSMM的数据安全管控和运营***，其特征在于，

告警模型单元所创建的告警模型包括规则模型、关联模型、统计模型和AI模型；

规则模型用于对任一日志数据项执行过滤后，设置完全匹配、正则表达式、等式运算或不等式运算的内容匹配规则；

关联模型用于同时对任两条日志设置规则进行时序和逻辑上的组合；

统计模型用于对任一已创建的时序指标设定等式运算或不等式运算；

AI模型用于对任一已创建的时序指标配置ARIM、指数平滑、周期性高斯估计、特征点偏离、新出现实体等异常检测算法。

9.根据权利要求1所述的基于DSMM的数据安全管控和运营***，其特征在于，

应急预案单元包括预案管理子单元和演练管理子单元；

预案管理子单元用于展示和管理已经公开的应急预案；

演练管理子单元用于针对每个预案支持执行立即演练和演练问题跟踪管理。

10.根据权利要求9所述的基于DSMM的数据安全管控和运营***，其特征在于，

运营知识库单元用于展示和管理数据安全合规资料；

工单管理单元用于将发现的问题和/或相关事项，以及其处理结果以工单方式存储，并管理所生成的工单；

合作方评估单元用于展示合作方总数，以及合作方存在的高、中、低风险数量，支持查询合作方信息。