文章來(lái)源：北京軟協(xié)官方微信公眾號(hào)

近日，北京軟件和信息服務(wù)協(xié)會(huì)發(fā)布《2024北京數(shù)字經(jīng)濟(jì)標(biāo)桿企業(yè)成果集》（以下簡(jiǎn)稱《成果集》）。天融信「數(shù)據(jù)安全風(fēng)險(xiǎn)管控體系建設(shè)」入選《成果集》“數(shù)字基礎(chǔ)技術(shù)標(biāo)桿”，以技術(shù)創(chuàng)新助力首都數(shù)字經(jīng)濟(jì)發(fā)展。

作為北京軟件和信息服務(wù)業(yè)協(xié)會(huì)副會(huì)長(zhǎng)單位，天融信立足北京近30年，持續(xù)發(fā)揮網(wǎng)安領(lǐng)軍企業(yè)優(yōu)勢(shì)，不斷加強(qiáng)關(guān)鍵核心技術(shù)攻關(guān)，已累計(jì)獲得2項(xiàng)國(guó)家科技進(jìn)步獎(jiǎng)、8項(xiàng)省部級(jí)科技進(jìn)步獎(jiǎng)、2項(xiàng)社會(huì)科技獎(jiǎng)，用實(shí)際行動(dòng)助力我國(guó)和首都數(shù)字經(jīng)濟(jì)高質(zhì)量發(fā)展！

成果背景

數(shù)字中國(guó)建設(shè)是我國(guó)“十四五”規(guī)劃中提出的重大發(fā)展戰(zhàn)略，其關(guān)鍵目標(biāo)之一是提升政務(wù)數(shù)字化、智能化水平。大數(shù)據(jù)、云計(jì)算、人工智能等新技術(shù)在政務(wù)服務(wù)管理中快速發(fā)展和應(yīng)用，給數(shù)字政府建設(shè)帶來(lái)便利的同時(shí)也引入了許多安全風(fēng)險(xiǎn)。數(shù)據(jù)作為數(shù)字政府建設(shè)的核心要素，可信可控的數(shù)據(jù)安全屏障是數(shù)字政府建設(shè)的生命線。

天融信參考GB/T 24364-2023《信息安全技術(shù) 信息安全風(fēng)險(xiǎn)實(shí)施指南》和GB/T 37988-2019《信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》兩個(gè)國(guó)家標(biāo)準(zhǔn)，開展數(shù)據(jù)資產(chǎn)識(shí)別、數(shù)據(jù)生命周期監(jiān)管和風(fēng)險(xiǎn)監(jiān)測(cè)，確保數(shù)據(jù)在收集、存儲(chǔ)、使用、加工、傳輸、提供、公開等各個(gè)環(huán)節(jié)都能得到有效保護(hù)，防止數(shù)據(jù)泄露和濫用，構(gòu)建適應(yīng)業(yè)務(wù)發(fā)展的數(shù)據(jù)安全風(fēng)險(xiǎn)管控和安全保護(hù)體系，實(shí)現(xiàn)數(shù)據(jù)全方位安全監(jiān)控與審計(jì)溯源，保護(hù)數(shù)據(jù)資源的安全合規(guī)。

數(shù)據(jù)安全風(fēng)險(xiǎn)管控體系建設(shè)減少了數(shù)據(jù)泄露、數(shù)據(jù)非法利用、數(shù)據(jù)篡改或破壞等風(fēng)險(xiǎn)，保障數(shù)據(jù)使用安全、共享與公開安全、流通安全和業(yè)務(wù)的連續(xù)性、穩(wěn)定性，提升政府的治理能力，推動(dòng)數(shù)據(jù)價(jià)值的釋放，為數(shù)字經(jīng)濟(jì)高質(zhì)量發(fā)展和高水平安全提供基礎(chǔ)。

成果亮點(diǎn)

在國(guó)家標(biāo)準(zhǔn)規(guī)范的指導(dǎo)下，天融信根據(jù)某部委的實(shí)際業(yè)務(wù)需求及數(shù)據(jù)安全建設(shè)目標(biāo)，搭建數(shù)據(jù)安全管理平臺(tái)，開發(fā)數(shù)據(jù)資產(chǎn)管理、數(shù)據(jù)分類分級(jí)、數(shù)據(jù)安全防護(hù)、數(shù)據(jù)安全審計(jì)等功能，滿足部委對(duì)數(shù)據(jù)全生命周期管理、風(fēng)險(xiǎn)發(fā)現(xiàn)和監(jiān)測(cè)等需求。同時(shí)，天融信持續(xù)跟蹤平臺(tái)應(yīng)用情況并加速迭代更新，實(shí)現(xiàn)數(shù)據(jù)安全風(fēng)險(xiǎn)管控、態(tài)勢(shì)感知和持續(xù)運(yùn)營(yíng)。

數(shù)據(jù)安全風(fēng)險(xiǎn)管控體系建設(shè)幫助部委取得如下關(guān)鍵成果，為數(shù)字政府建設(shè)提供安全的數(shù)據(jù)環(huán)境，保障數(shù)據(jù)資源的安全、有序流動(dòng)和利用，為數(shù)字經(jīng)濟(jì)發(fā)展保駕護(hù)航。

構(gòu)建資產(chǎn)基礎(chǔ)信息庫(kù) | 為數(shù)據(jù)安全風(fēng)險(xiǎn)識(shí)別奠定基礎(chǔ)

數(shù)據(jù)安全管理平臺(tái)的非侵入式風(fēng)險(xiǎn)探知子系統(tǒng)，從資產(chǎn)基礎(chǔ)信息、安全漏洞信息、僵木蠕惡意代碼信息監(jiān)測(cè)入手，準(zhǔn)確構(gòu)建資產(chǎn)基礎(chǔ)信息庫(kù)，實(shí)施分析和驗(yàn)證安全風(fēng)險(xiǎn)點(diǎn)，形成資產(chǎn)脆弱性識(shí)別和威脅情報(bào)管理能力，從而建立信息安全風(fēng)險(xiǎn)識(shí)別管理能力。

實(shí)現(xiàn)數(shù)據(jù)安全治理 | 促進(jìn)數(shù)據(jù)合規(guī)流通使用

根據(jù)部委的數(shù)據(jù)安全合規(guī)、風(fēng)險(xiǎn)控制和業(yè)務(wù)需求，遵循《數(shù)據(jù)安全能力成熟度模型》對(duì)數(shù)據(jù)安全關(guān)鍵能力的描述，在業(yè)務(wù)、場(chǎng)景、數(shù)據(jù)資產(chǎn)、數(shù)據(jù)分類分級(jí)、數(shù)據(jù)風(fēng)險(xiǎn)等方面進(jìn)行識(shí)別分析，通過(guò)數(shù)據(jù)安全管控平臺(tái)構(gòu)建數(shù)據(jù)資產(chǎn)分類分級(jí)、數(shù)據(jù)資產(chǎn)視圖、數(shù)據(jù)風(fēng)險(xiǎn)監(jiān)控、數(shù)據(jù)安全審計(jì)、多維度統(tǒng)計(jì)分析等數(shù)據(jù)安全能力，對(duì)部委各業(yè)務(wù)階段的數(shù)據(jù)情況持續(xù)跟蹤和動(dòng)態(tài)監(jiān)測(cè)，建立全方位、多層次、立體化的數(shù)據(jù)安全能力。

構(gòu)建全業(yè)務(wù)數(shù)據(jù)安全防護(hù)能力 | 實(shí)現(xiàn)數(shù)據(jù)持續(xù)運(yùn)營(yíng)

通過(guò)數(shù)據(jù)安全管理平臺(tái)下安全大數(shù)據(jù)治理子系統(tǒng)，按照國(guó)家和部委的數(shù)據(jù)安全治理標(biāo)準(zhǔn)建立適合部委的安全數(shù)據(jù)采集機(jī)制，對(duì)采集到的數(shù)據(jù)資產(chǎn)、威脅、風(fēng)險(xiǎn)等信息進(jìn)行建模分析，建立數(shù)據(jù)風(fēng)險(xiǎn)評(píng)估流程，支撐風(fēng)險(xiǎn)處置、安全指標(biāo)管理和安全策略調(diào)整，并通過(guò)數(shù)據(jù)安全管控平臺(tái)構(gòu)建可感知、可量化、可管控、可追溯、可運(yùn)營(yíng)的全業(yè)務(wù)數(shù)據(jù)安全防護(hù)能力。

成果效益

應(yīng)用效益

（1）以7億條/日的速度采集六大類設(shè)備的安全日志，建立20余個(gè)分析模型，實(shí)現(xiàn)安全事件的深度分析和挖掘，響應(yīng)速度提升50%，分析效率提升60%，問(wèn)題報(bào)告準(zhǔn)確度達(dá)90%。

（2）配置13種識(shí)別規(guī)則，納管數(shù)據(jù)庫(kù)、應(yīng)用、賬號(hào)等五類資產(chǎn)數(shù)據(jù)，按照所屬中心、網(wǎng)絡(luò)域、應(yīng)用、業(yè)務(wù)系統(tǒng)、集群資產(chǎn)、資產(chǎn)等7個(gè)維度進(jìn)行數(shù)據(jù)流向展示，形成人員畫像和數(shù)據(jù)畫像，實(shí)現(xiàn)數(shù)據(jù)行為的監(jiān)控和審計(jì)。

（3）經(jīng)過(guò)數(shù)據(jù)安全治理，為部委建立滿足數(shù)據(jù)安全能力成熟度3級(jí)的數(shù)據(jù)安全保護(hù)體系，并實(shí)現(xiàn)對(duì)10余種防護(hù)探針的數(shù)據(jù)采集，提供數(shù)據(jù)資產(chǎn)管理、分類分級(jí)、安全防護(hù)、告警與響應(yīng)和安全審計(jì)等5大管控應(yīng)用，可視化展示數(shù)據(jù)資產(chǎn)分布、數(shù)據(jù)安全流轉(zhuǎn)、數(shù)據(jù)安全告警、數(shù)據(jù)安全風(fēng)險(xiǎn)、數(shù)據(jù)資產(chǎn)防護(hù)和重要數(shù)據(jù)分布等6類安全態(tài)勢(shì)，滿足部委數(shù)據(jù)安全管理需求。

社會(huì)效益

（1）向政企單位提供詳盡的信息安全風(fēng)險(xiǎn)管理的指引與建議，幫助政企單位識(shí)別潛在風(fēng)險(xiǎn)、準(zhǔn)確評(píng)估風(fēng)險(xiǎn)影響、實(shí)施有效控制并持續(xù)監(jiān)控信息安全，保障數(shù)據(jù)要素的安全流通。

（2）基于網(wǎng)絡(luò)安全國(guó)家標(biāo)準(zhǔn)，規(guī)范信息安全風(fēng)險(xiǎn)管理的流程和方法，為其他政企單位在管理信息安全風(fēng)險(xiǎn)時(shí)遵循最佳實(shí)踐、提高管理效率和質(zhì)量提供參考，有效抵御數(shù)字經(jīng)濟(jì)發(fā)展過(guò)程中數(shù)據(jù)安全問(wèn)題帶來(lái)的風(fēng)險(xiǎn)。

（3）為信息安全技術(shù)和服務(wù)的提供方提供可靠的建設(shè)方法，也為信息安全技術(shù)和服務(wù)的使用方提供可靠的產(chǎn)品和服務(wù)，滿足使用方數(shù)據(jù)安全建設(shè)和風(fēng)險(xiǎn)管理的需求。

經(jīng)濟(jì)效益

（1）通過(guò)數(shù)據(jù)安全能力成熟度模型的評(píng)估，幫助部委全面了解自身的數(shù)據(jù)安全能力水平，建設(shè)數(shù)據(jù)安全防護(hù)能力，提高了部委的信息安全水平，并為其他組織提供了參考，有效降低組織由于信息泄露或數(shù)據(jù)篡改等數(shù)據(jù)安全事件帶來(lái)的經(jīng)濟(jì)損失。

（2）通過(guò)數(shù)據(jù)安全管理平臺(tái)幫助部委直觀了解自身存在的數(shù)據(jù)安全風(fēng)險(xiǎn)，明確了數(shù)據(jù)安全建設(shè)方向和重點(diǎn)，幫助部委合理投入資源，降低建設(shè)成本和運(yùn)營(yíng)成本。

（3）滿足國(guó)家標(biāo)準(zhǔn)對(duì)信息安全風(fēng)險(xiǎn)評(píng)估、數(shù)據(jù)安全能力成熟度評(píng)估的要求，幫助部委滿足我國(guó)法律法規(guī)的要求，從而避免因違規(guī)帶來(lái)的經(jīng)濟(jì)處罰和聲譽(yù)損失。