下载掌阅APP，畅读海量书库
立即打开
数据安全的规划和建设并不是一个全新的话题，但是之前的大多数解决方案是以满足合规性为主要目的。在很多组织经历了数据泄露风险和事件之后，安全性现在已成为以数据为中心的数字化转型战略的关注重点。当前，数据量的快速增长和数据泄露事件频发的趋势，加上组织内外不断扩大的数据使用需求，极大地改变了对数据保护及其解决方案的诉求。由于数据安全涉及数据生产、传输、存储、使用、共享、销毁等全生命周期的每一步，并且涉及众多参与者，所以一个成功的数据安全方案的规划和建设需要借鉴一些有经验的模型框架。这里我们介绍几个常见的数据安全模型框架。
Gartner将数据安全治理（Data Security Governance，简称DSG）定义为：“信息治理的一个子集，专门通过定义的数据策略和流程来保护组织数据（包含结构化数据和非结构化文件的形式）。”数字化企业从不断增长的数据量中创造价值，但不能忽视与之同时增长的风险。安全和风险管理负责人应制定一个数据安全治理框架，以减少数据安全和隐私保护可能出现的风险。随着数据被共享给业务合作伙伴和其他数据生态系统，数据安全、隐私保护、信任等问题将会增加。DSG框架可以帮助减少相关风险，从而实现有效的安全防御。
企业在数字化转型中面临着两个大的挑战：一是加强数据和分析治理，提高竞争优势的业务需求；一是加强安全和风险治理，制定适当的安全策略以降低业务风险。数据安全治理（图2-1）有助于在两者之间取得一个最佳的平衡。DSG框架可以帮助制定合适的安全策略和管理规则，这些管理规则可以进行协调和管理。
图2-1 数据安全治理的融合
在进行数据安全建设准备的时候，大多数人会直接从最流行或者自己认为最重要的某个技术或者产品开始。但是在DSG框架（图2-2）中，这并不是一个最佳、最有效的开始位置，因此该框架明确指出“不要从这里开始”。因为具体的产品或者技术是被孤立在其提供的安全控制和其操作的数据流中的，单一产品很难从全局或者全生命周期的视角降低业务风险。
图2-2 DSG框架
资料来源：Gartner ID 465140
安全体系的决策者需要了解机会成本对业务的影响，评估在安全和隐私方面的投资是否会降低业务风险。所以数据安全治理应该从解决业务风险开始（图2-3）。这对数据安全管理者来说是一个巨大的挑战。
图2-3 数据安全治理从业务风险开始
不同的数据或隐私风险对业务风险和财务风险的影响不同，其处理优先级也不同，即按照不同的优先级进行考虑和解决。数据集会发生变化，并在本地数据库和云服务之间流动。此外，部署多个应用和安全产品将产生多个管理控制台。管理者独立于安全管理团队和隐私管理团队之外，每个团队都有单独的预算；每个管理控制台具有不同的数据安全控制和管理权限，甚至对相同用户的不同账户也会有不同的控制策略；这些控件策略在不同的存储位置、终端或数据传输路径上以不同的方式执行。这些因素会导致不一致，增加了数据和隐私风险，从而可能产生业务风险。从统一的业务视角甄别和梳理数据安全风险，并与业务相关人建立紧密的支持或合作关系，对于确定如何缓解这些业务风险至关重要。
大多数企业的安全投资和策略都对应着一系列不同的产品，并对一些数据库和数据流通道进行了不同程度的控制。因此，开展全面的数据普查和地图创建工作，并确定现有数据安全和访问控制的状态是非常重要的。作为初始步骤，可以为某个垂直的数据流路径或者特定的数据集创建数据地图。
接下来需要使用数据发现产品，对存储在不同数据库的数据进行发现、梳理和关联。通常需要使用多种类型的产品和技术来覆盖存储、流通、分析和终端等不同的场景。因此，需要跨多个管理控制台进行手动编排，以确保数据发现、梳理、关联的一致性。然后，根据核心数据发布情况（图2-4），从业务风险较高的数据开始，创建与之相关的业务流程和应用程序清单。
图2-4 核心数据分布情况
当完成了DSG框架所建议的工作之后，就可以进入数据安全产品和技术的预研、部署、上线和调整优化等环节。选择合适的工具，参照最佳实践，常态化地实现数据安全运营，往往比通过DSG框架从业务风险找突破口、制定项目目标更加有挑战性，也更加关键。在当前大部分政企快速数字化转型的进程中，安全管理部门与业务部门找到明显的薄弱环节和数据安全的风险点并达成共识是相对容易的。
Forrester提出的数据安全管控（Data Security Control，简称DSC）框架把安全管控数据分解成三大领域：定义数据、分解和分析数据、防御风险和保护数据（图2-5）。
图2-5 数据安全控制的三大领域
我们不太可能完完全全地把数据保护起来，比如把所有的数据都加密从运维的角度来说太复杂了，而且效率比较低。为了更好地了解所要保护的数据，进行数据发现和数据分类非常关键。
①数据发现。
为了保护数据，我们必须首先知道数据都存储在哪里。
②数据分类。
数据分类是数据保护的基石，首先需要制定相应的标准。当然，数据分类的标准会随着业务和数据的变化而有所变化。
剖析数据的商业价值及其在业务中的重要性，然后决定相应的安全策略和技术。比如对于经常与外部交换的敏感数据，安全团队可以部署能够实现安全协作的方案；对于内部业务部门希望用于数据分析的敏感数据，可以对使用中的数据进行保护或进行匿名去标识化处理。同时，了解数据的状态很重要：数据是如何流动的？谁在使用这些数据？使用频率如何？使用的目的是什么？这些数据是如何收集的？如果数据完整性受到破坏，会产生什么样的后果？
随着数据风险的加大，以及攻击的数量和复杂程度的增加，DSC框架建议了四种方法。
①控制访问。
确保正确的用户能够在正确的时间访问正确的数据。要在整个生命周期中保护数据，并严格限制可以访问重要数据的人数，持续监控用户的访问行为。
②监控数据使用行为。
帮助安全团队预先提示潜在的滥用行为。可以通过部署用户实体行为分析（User and Entity Behavior Analytics，简称UEBA）等工具，并将其与安全分析集成，来实现主动保护敏感数据所需的可见性。
③删除不再需要的数据。
通过适当的数据发现和分类，可以防御性地处置不再需要的敏感数据。安全、防御性地处理数据是一种强大的防御策略，可以降低法律风险，降低存储成本，并降低数据泄露的风险。
④混淆数据。
不法分子利用互联网上的“地下黑市”买卖敏感数据。我们可以通过使用数据抽象和模糊技术（如加密、去标识化和掩蔽）生成“混淆数据”，来降低数据的价值。
跨越多种异构数据库的数据生成和使用正在呈指数级地高速增长，使得原有的数据安全保护方法不再充分有效。因此需要在数据安全体系结构和产品技术选择方法上进行较大的调整和优化。为了业务的发展，许多企业都为“数据孤岛”式的使用场景建立了单独的团队，没有对数据安全产品、策略、管理和实施进行统一的规划和管理。为此，Gartner提出了以数据为中心的审计和保护（Data-Centric Audit and Protection，简称DCAP）框架。DCAP框架是一类产品，其特点是能够集中监控不同的应用、各类用户、特权账号管理员对数据的使用情况提供六种支持能力（图2-6）。甚至可以通过机器学习或行为分析的算法，提供智能化的更高级别的风险洞察力。结合上文提到的DSG框架，通过跨越非结构化、半结构化和结构化数据库或存储库的应用数据安全策略和访问控制来实现数据保护。
图2-6 DCAP框架提供的六种支持能力
DCAP框架主要提供的支持能力如下。
（1）敏感数据发现和分类：跨越关系型数据库（Relational Database Management System，简称RDBMS）、数据仓库、非结构化数据文件、半结构化数据文件和半结构化大数据平台（如Hadoop）等实现敏感数据的发现和分类，需要能够涵盖基础设施服务（Infrastructure as a Service，简称IaaS）、软件即服务SaaS（Software as a service，简称SaaS）和数据库即服务（DataBase-as-a-Service，简称DBaaS）中的本地存储和基于云的存储。
（2）实时监控数据访问行为：针对用户的数据访问进行权限设置、监控和控制，特别是包括管理员和开发人员等高权限用户的权限；使用基于角色的访问控制（Role-Based Access Control，简称RBAC）和基于属性的访问控制（Attribute-Based Access Control，简称ABAC），实现对特定敏感数据的访问控制和监控。
（3）特定敏感数据访问管控：使用行为分析技术实时监控用户对敏感数据的访问行为，针对不同场景的模型，生成可定制的安全警报，阻断高风险的用户行为和访问模式等。
（4）数据访问权限设置、监控和控制：对用户和管理员访问特定敏感数据进行管控，可以通过加密、去标识化、脱敏、屏蔽或阻塞来实现。
（5）数据访问和风险事件审计报告：生成用户数据访问和风险事件审计报告，提供针对不同场景的可定制化的详细信息，从而满足不同的法律法规或标准审计要求。
（6）单一监测和管理控制台：支持跨多个异构数据格式的统一数据安全监测和策略管控。
结合上文提到的DCAP框架和IBM公司的需要，IBM公司提出了数据审计和保护成熟度模型（Database Audit and Protection Maturity Model，简称DAPMM）。
数据安全保护不仅仅是纯粹的产品和技术问题，更是一个过程，是一种结构化且可重复的方法，用于识别、保护和降低数据安全风险。这种方法需要协调人员、流程和技术，以便安全地为业务服务并防御风险。虽然人们认为技术在该方法中起着至关重要的作用，但解决方案的设计和产品技术的实施往往是孤立的，忽视了协作和交付时人员与过程的影响。简而言之，成功的数据安全规划需要在生命周期的每个阶段整合跨职能的人员、流程和技术（图2-7）。
图2-7 数据安全生命周期及相关团队整合
DAPMM遵循以下能力成熟度模型的结构（图2-8）。该模型为组织提供了实施落地的基础，以确定改进数据安全能力的差距，实施新的解决方案，或对现有解决方案提出改进。
图2-8 能力成熟度模型的结构
DAPMM的落地实施需要组织内各个数据所有者的支持和配合。DAPMM落地实施的五项建议如图2-9所示。
图2-9 DAPMM落地实施的五项建议
（1）获得高管支持。数据保护是一项跨组织的工作。数据所有者、开发者和数据库管理员等的通力合作是成功的必要条件。通过一个明确的执行发起人，最好是高级别的发起人，比如首席安全官、首席信息官、首席财务官或首席运营官，方便获得数据安全相关工作的资金支持。
（2）梳理数据所有者（数据治理的一部分）。明确各种数据的所有者，这对于开展数据的分级、分类和保护数据工作至关重要。
（3）制定风险所有者分担策略。让数据所有者分担风险责任将有助于实现这些组织的合作和资源。高管支持和数据治理通常都是成功的必要条件。
（4）保证数据安全相关人员稳定性。在不缺失重要历史资料的前提下解决员工流动问题，对于数据保护策略的成功至关重要。
（5）评估并实施数据安全平台。通过平台全生命周期解决数据保护问题，实现既遵从传统法律法规，又满足下一代数据安全实际需求的目的。
DGPC（Data Governance for Privacy Confidentiality and Compliance）框架是微软的隐私、保密和合规性数据治理框架。该框架以数据生命周期为第一维度，以安全架构、身份认证访问控制系统、信息保护和审计等安全要求为第二维度，组成了一个二维的数据安全防护矩阵，帮助安全人员体系化地梳理数据安全防护需求。
（1）传统的IT安全方法侧重于IT基础设施，DGPC框架注重通过边界安全与终端安全进行保护，重点关注对存储数据的保护。
（2）DGPC框架注重隐私相关的保护措施，包括对重点数据的获取和保护，对客户收集、处理信息等行为的管控。
（3）数据安全和数据隐私合规责任需要通过一套统一的控制目标和控制行为来控制和管理，以满足合规性要求。
DGPC框架可与现有的IT管理和控制框架（如COBIT）、ISO/IEC 27001/27002信息安全管理体系规范、支付卡行业数据安全标准（PCI DSS）等安全规范和标准协同工作。DGPC框架围绕人员、流程和技术三个核心能力领域构建。
在人员领域，DGPC框架把数据安全相关组织分为战略层、战术层和操作层三个层次，每一层次都要明确组织中的数据安全相关的角色职责、资源配置和操作指南。
在流程领域，DGPC框架认为，组织应首先检查数据安全相关的各种法规、标准、策略和程序，明确必须满足的要求，并使其制度化与流程化，以指导数据安全实践。
在技术领域，微软开发了一种工具（数据安全差距分析表）来分析与评估数据安全流程控制和技术控制存在的特定风险，这种方法具体落到风险/差距分析矩阵模型中（图2-10）。该模型围绕数据安全生命周期、四个技术领域、数据隐私和保密原则构建。
图2-10 风险/差距分析矩阵模型
为了识别安全风险并选择合适的技术措施和行为来保护机密数据，组织必须首先了解信息如何在整个系统中流动，以及信息如何在不同阶段被多个应用程序访问和处理。
组织还需要系统评估保护其数据机密性、完整性和可用性的技术是否足以将风险降低到可接受的水平。以下技术领域为此任务提供了一个参考框架。
（1）数据的基础架构。
保护机密信息需要技术基础架构，可以保护计算机、存储设备、操作系统、应用程序和网络免受黑客入侵和内部人员窃取。
（2）身份和访问控制。
身份和访问控制技术有助于进行身份认证和访问控制，保护个人信息免受未经授权的访问，同时保证合法用户的可用性。这些技术包括认证机制、数据和资源访问控制、供应系统和用户账户管理。从合规角度来看，IAM功能使组织能够准确地跟踪和管理整个企业所有用户的权限。
（3）信息保护。
机密数据需要持续保护，因为它们可能在组织内部或外部被共享。组织必须确保其数据库、文档管理系统、文件服务器等处存放的数据在整个生命周期内被正确地分类和保护。
（4）审计和报告。
审计和报告验证系统与数据访问控制是否有效，这些对于识别可疑的或不合规的行为十分有用。
此外还有人工控制作为辅助。
以下4条原则旨在帮助组织选择能够保护其机密数据的技术和行为，以指导风险管理和决策的过程。
原则1：在整个信息生命周期中遵守策略。这包括承诺按照适用的法规和条例处理所有数据，保护隐私数据、尊重客户的选择并得到客户同意，允许个人在必要时审查和更正其信息。
原则2：将数据滥用风险降至最低。信息管理系统应提供合理的管理、技术和物理保障，以确保数据的机密性、完整性和可用性。
原则3：将数据丢失的影响降至最低。信息保护系统应提供合理的保护措施，如加密数据以确保数据遗失或被盗后的机密性。制订适当的数据泄露应对计划，并规划升级路径，对所有可能参与违规处理的员工进行培训。
原则4：展示数据保护策略和措施的有效性。为确保问责制度的实施，组织应遵守隐私保护和保密原则，并通过适当的监督、审计和控制措施来加以验证。此外，组织应该有一个报告违规行为的报告制度和明确定义的流程。
数据安全能力成熟度模型（Data Security Maturity Model，简称DSMM）基于数据在组织的业务场景中的数据生命周期，从组织建设、制度与流程、技术与工具、人员能力四个方面构建了数据安全过程的规范性数据安全能力成熟度模型及评估方法。DSMM架构如图2-11所示。
图2-11 DSMM架构图
DSMM架构包括以下维度。
（1）数据安全过程维度。该维度是围绕数据生命周期，以数据为中心，针对数据生命周期各阶段建立的相关数据安全过程体系，包括数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全等过程。
（2）安全能力维度：明确组织在各数据安全领域所需要具备的能力，包括组织建设、制度与流程、技术与工具、人员能力四个维度。
（3）能力成熟度等级维度：基于统一的分级标准，细化组织在各数据安全过程域的五个级别的数据安全能力成熟度分级要求。五个级别分别是非正式执行、计划跟踪、充分定义、量化控制、持续优化。
DSMM评估的是整个组织的数据安全能力成熟度，它不局限于某一系统。依据组织的业务复杂度、数据规模，按照业务部门进行拆分；从组织建设、制度与流程、技术与工具、人员能力展开。通过对各项安全过程所需具备的安全能力的评估，可评估组织在每项安全过程的实现能力属于哪个等级（图2-12）。
图2-12 DSMM评估流程
在实际应用中，应根据不同业务部门进行分组评估。首先，确定业务部门负责人，辅助评估过程的资源协调工作。然后，与业务部门负责人一同梳理基本的业务流程，结合PA（过程域），根据线上生产数据和线下离线数据两条线，确定各过程域（Process Area，简称PA）访谈部门和访谈对象，并根据评估工作的展开动态调整。
数据安全能力成熟度等级评估流程如图2-13所示。
图2-13 数据安全能力成熟度等级评估流程
由于各组织在业务规模、业务对数据的依赖性，以及组织对数据安全工作定位等方面的差异，组织对该模型的使用应“因地制宜”（图2-14）。
图2-14 DSMM在组织的应用
在使用该模型时，首先，组织应明确其目标的数据安全能力成熟度等级。根据对组织整体的数据安全成熟度等级的定义，组织可以选择适合自己业务实际情况的数据安全能力成熟度等级目标。本标准定义的数据安全成熟度等级中，3级目标适用于所有具备数据安全保障需求的组织作为自己的短期目标或长期目标，达到3级标准者意味着组织能够针对数据安全的各方面风险进行有效的控制。然而，对于业务中尚未大量依赖于大数据技术的组织而言，数据仍然倾向于在固有的业务环节中流动，对数据安全保障的需求整体弱于强依赖于大数据技术的组织，因此其短期目标可先定位为2级，待达到2级的目标之后再进一步提升到3级。
然后，在确定目标数据安全能力成熟度等级的前提下，组织根据数据生存周期所覆盖的业务场景挑选适用于组织的数据安全过程域。例如，组织A不存在数据交换的情况，因此数据交换的过程域就可以从评估范围中剔除掉。
最后，组织基于对DSMM内容的理解，识别数据安全能力现状并分析与目标能力等级之间的差异，在此基础上执行数据安全能力的改进与提升计划。而伴随着组织业务的发展变化，还需要定期复核、明确自己的目标数据安全能力成熟度等级，然后进行新一轮评估与工作。
本章介绍的几个数据安全理论框架对数据安全建设具有较强的理论指导意义，它们互相之间并无冲突。它们从不同视角看待同一问题，互为补充。在具体实践中，本书作者吸收了各个理论框架的思想，通过丰富的数据安全领域项目实战经验，总结了一套针对敏感数据保护的CAPE数据安全实践框架（图2-15），CAPE的含义是：Check，风险核查；Assort，数据梳理；Protect，数据保护；Examine，监控预警。接下来本书会详细介绍CAPE分别代表什么，并对相应章节标题在后边用（C）、（A）、（P）、（E）加以标注，方便读者阅读。
图2-15 CAPE数据安全实践框架
CAPE数据安全实践框架坚持以下三个原则。
保护数据安全的目标之一是，防止未经授权的用户进行数据非法访问和操作，因此需同时从访问者“身份”和访问对象“数据”两个方面入手，双管齐下。
非受信的企业内部和外部的任何人、系统或设备均需基于身份认证和授权，执行以身份为中心的动态访问控制。
有针对性地保护高价值数据及业务，实施数据发现和数据分类分级，执行以数据为中心的安全管理和数据保护控制。
在横向上，全面覆盖数据资源的收集、传输存储、加工、使用、提供、交易、公开、销毁等活动的整个生命周期，采用多种安全工具支撑安全策略的实施。
在纵向上，通过风险评估、数据梳理、访问监控、大数据分析，进行数据资产价值评估、数据资产弱点评估、数据资产威胁评估，最终形成数据安全态势感知。
通过组织、制度、场景、技术、人员等自上而下地落实和构建立体化的数据安全防护体系。
在信息技术和业务环境越来越复杂的当下，仅靠人工方式来运维和管理安全已经捉襟见肘；人工智能、大数据技术，如UEBA异常行为分析、NLP加持的识别算法、场景化脱敏算法等，已有成熟的实现方案。
仅靠单独的技术措施只能解决单方面的问题，因此必须形成体系化的思维，通过能力模块间的联动打通，形成体系化的整体数据安全防护能力，并持续优化和改进，从而提升整体安全运营和管理的质量与效率。
CAPE数据安全实践框架实现了敏感数据安全防护的全生命周期过程域全覆盖，建立了以风险核查为起点，以数据梳理为基础，以数据保护为核心，以监控预警作为支撑，最终实现“数据安全运营”的全过程、自适应安全体系，直至达到“整体智治”的安全目标。
通过风险核查让数据资产管理人员全面了解数据资产运行环境是否存在安全风险。通过安全现状评估能及时发现当前数据库系统的安全问题，对数据库的安全状况进行持续化监控，保持数据库的安全健康状态。数据库漏洞、弱口令（指容易破译的密码）、错误的部署或配置不当都容易让数据陷入危难之中。
数据库漏洞扫描帮助用户快速完成对数据库的漏洞扫描和分析工作，覆盖权限绕过漏洞、SQL注入漏洞、访问控制漏洞等，并提供详细的漏洞描述和修复建议。
弱口令检测基于各种主流数据库密码生成规则实现对密码匹配扫描，提供基于字典库、基于规则、基于枚举等多种模式下的弱口令检测。
配置检查帮助用户规避由于数据库或系统的配置不当造成的安全缺陷或风险，检测是否存在账号权限、身份认证、密码策略、访问控制、安全审计和入侵防范等安全配置风险。基于最佳安全实践的加固标准，提供重要安全加固项及修复的建议，降低配置弱点被攻击和配置变更风险。
数据梳理阶段包含以身份为中心的身份认证和设备识别、以数据为中心的识别与分类分级并对资产进行梳理，形成数据目录。
以身份为中心的身份认证和设备识别是指，网络位置不再决定访问权限，在访问被允许之前，所有访问主体都需要经过身份认证和授权。身份认证不再仅仅针对用户，还将对终端设备、应用软件等多种身份进行多维度、关联性的识别和认证，并且在访问过程中可以根据需要多次发起身份认证。授权决策不再仅仅基于网络位置、用户角色或属性等传统静态访问控制模型，而是通过持续的安全监测和信任评估，进行动态、细粒度的授权。安全监测和信任评估结论是基于尽可能多的数据源计算出来的。以数据为中心的识别与分类分级是指，进行数据安全治理前，需要先明确治理的对象，企业拥有庞大的数据资产，本着高效原则，应当优先对敏感数据分布进行梳理。“数据分类分级”是整体数据安全建设的核心且最关键的一步。通过对全部数据资产进行梳理，明确数据类型、属性、分布、账号权限、使用频率等，形成数据目录，以此为依据对不同级别数据实施不同的安全防护手段。这个阶段也会为客户数据安全提供保护，如为数据加密、数据脱敏、防泄露和数据访问控制等进行赋能和策略支撑。
基于数据使用场景的需求制定并实施相应的安全保护技术措施，以确保敏感数据全生命周期内的安全。这一步的实施更加需要以数据梳理作为基础，以风险核查的结果作为支撑，提供在数据收集、存储、传输、加工、使用、提供、交易、公开等不同场景下，既满足业务需求又保障数据安全的保护策略，降低数据安全风险。
数据是流动的，数据结构和形态会在整个生命周期中不断变化，需要采用多种安全工具支撑安全策略的实施，涉及数据加密、密钥管理、数据脱敏、水印溯源、数据防泄露、访问控制、数据备份、数据销毁等安全技术手段。
制定并实施适当的技术措施，以识别数据安全事件的发生。此过程包括数据溯源、行为分析、权限变化和访问监控等，能够通过全方位监控数据的使用和流动感知数据安全态势。
数据溯源。能够对具体的数据值如某人的身份证号码进行溯源，刻画该数据在整个链路中的流动情况，如被谁访问、流经了哪些节点，以及其他详细的操作信息，方便事后追溯和排查数据泄露问题。
行为分析。能够对核心数据的访问流量进行数据报文字段级的解析操作，完全还原出操作的细节，并给出详尽的操作结果。实体行为分析可以根据用户历史访问活动的信息刻画出一个数据的访问“基线”，而之后则可以利用这个基线对后续的访问活动做进一步的判别，以检测出异常行为。
权限变化。能够对数据库中不同用户、不同对象的权限进行梳理并监控权限变化。权限梳理可以从用户和对象两个维度展开。一旦用户维度或者对象维度的权限发生了变更，能够及时向用户反馈。
访问监控。实时监控数据库的活动信息。当用户与数据库进行交互时，系统应自动根据预先设置的风险控制策略，进行特征检测及审计规则检测，监控预警任何尝试攻击的行为或违反审计规则的行为。
目前还没有统一、成熟和广泛应用的数据安全框架或模型，因此多个组织根据实践经验提出了不同的数据安全框架或模型。这些框架或模型没有好坏之分，只是出发点和侧重点不同。DSG框架侧重从数据安全规划建设初期、从业务视角找到最佳的切入点，同时给出了持续度量和优化数据安全建设的框架，从而帮助一个数据安全项目成功实施。DSC框架的特点是，从技术的角度来剖析怎么实现数据安全管控，提出了梳理定义数据、分解分析数据、防御保护数据的三步骤框架。DCAP框架的特点是，它定义了一个完整的数据安全产品技术能力集所应该包含的六种能力，并且需要支持非结构化、半结构化和结构化数据、RDBMS、数据仓库、非结构化数据文件、半结构化大数据平台（如Hadoop）等。DAPMM强调数据安全方案不能是纯粹的产品和技术，而是一种结构化且可重复的方法，用于识别、保护数据，降低数据安全风险。这种方法需要协调人员、流程和技术。同时，DAPMM定义了相对应的数据安全能力成熟度模型，该模型为组织提供了实施落地的基础。DGPC框架与DAPMM有相似之处，主要围绕“人员、流程、技术”三个核心能力领域的具体控制要求展开，与现有安全框架体系或标准协调合作以实现治理目标。DGPC框架的特点是，以识别和管理与特定数据流相关的安全和隐私风险需要保护的信息，包括个人信息、知识产权、商业秘密和市场数据等。DSMM则基于数据在组织业务场景中的生命周期，从组织建设、制度与流程、技术与工具、人员能力四个方面构建了数据安全过程的规范性、数据安全能力成熟度分级模型及评估方法。