AI時代的數據安全體系：從理論到實踐

"袁泉，現任國投智能信息科技股份有限公司行業首席科學家，公安部計算機與信息處理標準化技術委員會委員。多年來致力於行業信息化、數字化轉型及安全體系規劃設計、標準編制與落地實施工作。作為核心負責人，帶領團隊參與了多個國家級、部級項目建設任務，多次獲得省部級科技進步獎；參與編制了公安行業大數據、網絡和數據安全、業務應用標準。2019年開始，作為核心專家參與了某行業網絡和數據安全體系設計，並帶領團隊完成了零信任系列產品、數據安全產品、安全管理與運營中心的開發，參與了多個省市單位的安全建設任務。？ 多年專註於從數據全生命周期管理、多場景數據使用、跨域數據流轉視角研究網絡和數據安全的理論、方法、標準等，重點有兩個方向：一是探索建立與業務場景、技術發展適配的網絡和數據安全方法體系，讓安全成為信息工程、系統工程的內生部分；二是研究安全能力建設與運營體系，讓安全與業務一體集成、協同發展。？ 在對理論、方法、標準體系進行研究的同時，致力於安全能力工程化設計、實施、運營方法的完善、驗證和推廣。"

目??錄

背 景 篇

第1章　數據安全面面觀2

1.1?我們與數據安全2

1.1.1?突然面對數據安全2

1.1.2?觸碰零信任3

1.1.3?思考AI時代的數據安全5

1.1.4    數據安全深化了我們的

數智化認識8

1.1.5?義無反顧地擁抱數據安全9

【感悟】數據安全，唯有迎難而上9

1.2?提供數據者說數據安全9

1.2.1?誰是數據的提供者9

1.2.2?提供數據者的擔憂與困惑11

1.2.3?提供數據者的安全責任11

1.2.4?提供數據者對數據安全的期待12

【感悟】不解決提供數據者的安全

顧慮，數據流動就是空談12

1.3?收集數據者說數據安全13

1.3.1?誰是數據的收集者13

1.3.2?收集數據者的擔憂與困惑13

1.3.3?收集數據者的安全責任14

1.3.4?收集數據者對數據安全的期待14

【感悟】數據收集是業務與數據安全

融合的源點，也是經常被忽略的地方14

1.4?使用數據者說數據安全15

1.4.1?誰是數據的使用者15

1.4.2?使用數據者的擔憂與困惑15

1.4.3?使用數據者的安全責任16

1.4.4?使用數據者對數據安全的期待17

【感悟】看到風險才能做好應對18

1.5?加工處理數據者說數據安全18

1.5.1?誰是數據的加工處理者18

1.5.2?加工處理數據者的擔憂與困惑19

1.5.3?加工處理數據者的安全責任19

1.5.4    加工處理數據者對數據安全

的期待20

【感悟】數據加工階段：重要且易被

忽視的安全環節20

1.6?管理數據者說數據安全21

1.6.1?誰是數據的管理者21

1.6.2?管理數據者的擔憂與困惑21

1.6.3?管理數據者的數據安全責任21

1.6.4?管理數據者對數據安全的期待22

【感悟】數據安全是數據管理的核心

挑戰22

1.7?監管數據安全者說數據安全23

1.7.1?監管數據安全者23

1.7.2?監管數據安全者的安全責任23

1.7.3?監管數據安全者的擔憂與困惑24

1.7.4    監管數據安全者對數據安全

的期待24

【感悟】數據安全是剛性要求，需要

以制度規範與崗位職責保障執行25

1.8?產品供應商說數據安全25

1.8.1?數據安全產品的供應商25

1.8.2    產品供應商對數據安全的

擔憂與困惑26

1.8.3?產品供應商的數據安全責任26

1.8.4?產品供應商對數據安全的期待27

【感悟】安全產品供應商需要技術

也需要責任擔當27

第2章　數據安全的點線面體29

2.1    從安全視角看數據“轉不起來”

的原因29

2.1.1?“讓數據轉起來”的典型場景30

2.1.2    “讓數據轉起來”的安全

合規要求33

2.1.3    從規劃設計層面看數據安全

流轉34

2.1.4    從建設實施層面看數據安全

流轉36

2.1.5    從運營服務層面看數據安全

流轉37

【感悟】數據安全合規流轉很難，

安全不應成為“背鍋俠”39

2.2?大家都說實現數據安全很難39

2.2.1?安全合規要求越來越高40

2.2.2    業務發展對數據安全的要求

越來越高41

【案例】某項目的“坑”41

2.2.3?技術環境越來越復雜41

2.2.4    參與角色多、工作鏈條長，

統一認識難，落實責任更難42

2.2.5?缺乏適用的解決方案和產品43

2.2.6    安全不是“單點”問題，

集成實施難度大43

2.2.7?持續運營難度大43

2.2.8?缺乏專業的人才和隊伍44

【感悟】正視困難，尋找能解決問題

的解決方案44

2.3?大家都說實現數據安全成本高45

2.3.1?建設方認為數據安全成本高45

【案例】安全的錢都花在哪裏了？值

不值？46

2.3.2    產品供應方認為數據安全

成本高46

2.3.3    業務應用建設方認為數據

安全成本高47

2.3.4    安全管理與運營方認為數據

安全成本高48

2.3.5    安全監管方認為數據安全

成本高48

【感悟】最重要的是要“值得”49

2.4?聊聊安全助力業務發展49

【案例】安全推動業務合規發展50

2.4.1    為業務提供安全穩定的基礎

設施架構50

2.4.2?讓數字化業務安全發展50

2.4.3?讓智能化業務更安全50

2.4.4?讓數據釋放更大價值51

2.4.5    讓數據安全合規流動，帶來

新的業務機會51

2.4.6?提升客戶信任與品牌價值51

【感悟】安全是業務發展的隱形翅膀51

2.5?我們理解的數據安全51

2.5.1?對數據安全的常見認識和理解52

2.5.2?我們對數據安全的基本認識56

2.5.3?從整體視角理解數據安全60

2.5.4?從業務視角理解數據安全64

【感悟】數據安全是業務數智化轉型

發展的基礎需求，是一項系統工程65

2.6    大家希望數據能安全合規地

“轉起來”66

2.6.1    科學規劃設計是讓“數據

轉起來”的保障66

2.6.2    規範安全建設實施是讓

“數據轉起來”的手段67

2.6.3    高效的數據安全治理是讓

“數據轉起來”的引擎68

2.6.4    讓多方安心與放心是讓“數據

轉起來”的目標69

【感悟】挑戰即機遇69

意?義?篇

第3章　數據安全的理論研究72

3.1?從安全與合規說起72

3.1.1?深入理解合規72

【案例】“合規”怎麼執行74

3.1.2?認識安全與合規的關系75

3.1.3?看清楚安全要求76

3.1.4?看清楚合規要求77

【感悟】安全與合規是一盤棋81

3.2    利用還原論、控制論和系統論

細看數據安全81

3.2.1    還原論、控制論、系統論與

數據安全81

3.2.2    用還原論、控制論與系統論

認識數據安全84

3.2.3    用還原論、控制論與系統論

設計數據安全86

3.2.4    用還原論、控制論與系統論

實施數據安全89

【感悟】理論思想是很好的武器90

3.3?取他山之石90

3.3.1?國外發展情況91

3.3.2?國內發展情況95

3.3.3?網絡安全戰略發展趨勢分析97

3.3.4?網絡安全方法發展趨勢分析98

【感悟】這是一個對抗的戰場99

第4章　數據安全規劃的構成要素100

4.1?安全規劃是必需的100

4.1.1?一直強調的安全規劃101

4.1.2?安全規劃遇到問題101

4.1.3    數據安全階段做好安全規劃

的意義102

4.1.4?安全規劃的關鍵要求106

4.1.5?安全規劃的開展步驟109

4.1.6?規劃設計的主要內容111

【感悟】事不謀，必不成111

4.2?明確安全目標是根本111

4.2.1?安全目標的內涵111

4.2.2?安全目標的來源112

4.2.3?明確安全目標的方法參考113

4.2.4?明確安全目標的誤區114

【案例】某大型商業銀行案例114

【感悟】安全目標是所有參與方的

目標115

4.3?劃定數據安全邊界115

4.3.1?數據安全邊界的內涵116

4.3.2?數據安全邊界的核心價值116

4.3.3    數據安全邊界的核心構成

維度117

【感悟】邊界不清，責任不明119

4.4?明確數據安全要素119

4.4.1?數據安全要素的內涵120

4.4.2?數據安全要素解構120

4.4.3?數據安全要素的協同邏輯124

【感悟】看清楚數據安全要素是

做好數據安全的第一步127

4.5?重要的安全策略127

4.5.1?安全策略的主要作用域128

4.5.2?安全策略也有生命周期131

4.5.3?制定安全策略131

4.5.4?審核發布安全策略132

4.5.5?安全策略決策133

4.5.6?安全策略執行與控制133

4.5.7?安全策略評估與調整134

【感悟】策略要與產品解耦，策略

決策要與策略執行解耦134

4.6    分清並落實安全責任是關鍵

核心134

4.6.1    責任是安全發展的重要驅

動力134

4.6.2?安全責任的核心要素135

4.6.3?安全責任分配的基本原則135

4.6.4?安全責任落實與治理136

【案例】不能等到出安全事故才去

厘清責任137

【感悟】從責任驅動安全到責任

落實安全137

第5章　數據安全不能是空中樓閣138

5.1?安全設計與安全規劃138

5.1.1?安全設計與安全規劃138

5.1.2?可參考的安全設計原則140

5.1.3?安全設計的內容143

5.1.4?安全規劃設計要落地144

【感悟】有設計未必是一場美夢，

但不設計一定是一場噩夢146

5.2?安全建設是關鍵一環146

5.2.1?數據安全建設的關註點分析147

5.2.2?數據安全建設難點148

5.2.3?數據安全建設關鍵環節149

5.2.4?數據安全建設方式152

【感悟】不論何種建設方式，最終

是“一張安全地圖”155

5.3?產品選擇很重要155

5.3.1?要清楚需要什麼樣的產品155

5.3.2?產品選擇過程156

5.3.3?產品選擇的關鍵環節156

5.3.4?供應鏈安全不能忽視157

5.3.5?產品選擇“避坑”參考157

【感悟】關鍵是選“我需要的”159

5.4    聊聊安全產品的疊加“魔法”（BUFF）159

5.4.1?疊加可以是“魔法”160

5.4.2?疊加也許不是“魔法”161

5.4.3?用“魔法”打敗“魔法”162

【感悟】疊加的原則是“值得”164

5.5?說說解決方案164

5.5.1?解決方案的誤區164

5.5.2?解決方案的基本要求166

5.5.3?解決方案也要持續優化167

【感悟】解決方案的核心是解決

問題168

第6章　數據安全必須“轉起來”169

6.1?安全管理與運營在發展169

6.1.1    以主動預防為目標，做實

資產管理與基線配置170

6.1.2    以差異化保護為策略，保證

安全措施按需實施172

6.1.3    以有效管控風險為目標，

構建多層次實時安全風險

治理體系173

6.1.4    強化策略控制，讓安全能力

一體運行174

6.1.5    以人為中心，以職責為約束，

落實安全業務活動175

6.1.6    以技術邏輯為依據，以指標

和約束為指導，落實技術

活動176

6.1.7    安全保護過程和成效要可見、

可評估176

6.1.8?向智能化與自動化發展177

【感悟】安全管理與運營從靜態到

動態、從被動到主動177

6.2?談談安全評估177

6.2.1?安全評估的目標與特點178

6.2.2　安全評估的主要方法179

6.2.3　安全評估的發展180

【感悟】評估是為了更有針對性地

行動181

落?地?篇

第7章　數據安全規劃的著眼點184

7.1?看看數據與應用所處的環境184

7.1.1?AI時代的數據與應用184

7.1.2?數據所處技術環境185

7.1.3?應用所處技術環境187

7.1.4?不可阻擋的技術環境變化190

【感悟】數據與應用的發展是不會

停下來等待安全的發展191

7.2?再聊數據安全的難題191

7.2.1?數據的內涵已經改變191

7.2.2?數據安全的特性已經改變192

7.2.3?數據安全是大家的事情195

7.2.4?數據安全是全生命周期的196

7.2.5?數據安全是動態的196

7.2.6?數據安全是平衡的196

7.2.7?數據安全需要持續運營197

【感悟】數據安全是個系統性問題，

需要“全科醫生”197

7.3    擺擺解決數據安全問題的

關鍵點197

7.3.1?明確安全需求與安全目標198

7.3.2?做實安全規劃設計198

7.3.3?明確制度規範與職責199

7.3.4?選好技術路線和適配的產品199

7.3.5?利用好安全大數據，做實

動態安全運營202

【感悟】數據安全要做到“大處

著眼，細處著手”202

7.4?學習的主要安全模型與框架203

7.4.1?信息安全管理體系203

7.4.2?信息安全治理體系207

7.4.3?數據安全治理框架211

7.4.4?數據安全能力成熟度模型212

7.4.5?NIST網絡安全框架215

7.4.6?零信任架構220

7.4.7?持續自適應風險與信任評估224

7.4.8?網絡安全網格架構227

7.4.9    ITU端到端通信系統安全

架構227

7.4.10?ATT&CK框架 228

7.4.11?SABSA安全架構方法論229

【感悟】持續演進，異曲同工233

7.5?聊聊安全架構233

7.5.1?安全規劃設計的形態234

7.5.2?什麼是安全架構235

7.5.3?安全架構的主要原則236

7.5.4?安全架構的主要內容237

7.5.5?安全架構的構建路徑238

7.5.6?安全架構的註意事項239

【感悟】無規矩不成方圓，安全

尤其如此240

7.6    理理安全架構與企業架構

的關系240

7.6.1?回顧企業架構240

7.6.2?提出安全架構241

7.6.3    安全架構與企業架構其他

部分的協同243

7.6.4    與企業架構協同構建安全

架構參考方法245

【感悟】沒有企業架構，也要有

安全架構246

7.7    從學習的主要模型中看安全

目標247

7.7.1?主要模型的安全目標247

7.7.2?可參考的安全目標253

【感悟】安全目標是組織戰略目標

的構成，決定了安全努力的方向254

7.8    從學習的主要模型中看安全

邊界254

7.8.1?主要模型的安全邊界255

7.8.2?可參考的安全邊界258

【感悟】業務“邊界”越來越模糊，

安全邊界必須清晰259

?7.9    從學習的主要模型中看安全

構成要素及關系259

7.9.1    主要模型的安全構成要素

及關系259

7.9.2?安全構成要素及關系特點268

【感悟】分解清晰才能學會組裝268

7.10    從學習的主要模型中看安全

策略與措施269

7.10.1?主要模型的安全措施與策略269

7.10.2?可參考的安全措施274

【感悟】安全措施的差異源於安全

目標的差異276

7.11?從學習的主要模型看安全責任276

7.11.1?主要模型的安全責任276

7.11.2?可參考的安全責任280

【感悟】責任是重要驅動力，

責任明則安全落281

第8章　數據安全設計的基本點282

8.1?先聊聊零信任282

8.1.1?零信任的出現283

8.1.2?零信任的關鍵落地設計284

【案例】激烈的零信任落地之爭288

8.1.3?零信任需要逐步落地289

8.1.4?主要挑戰290

【感悟】零信任是“哈姆雷特”291

8.2    說說密碼基礎設施與密碼應用

服務291

8.2.1?密碼基礎設施291

8.2.2?密碼應用服務292

8.2.3?密碼管理293

8.2.4?密碼安全293

8.2.5?國產密碼測評294

8.2.6?主要挑戰295

【感悟】用好密碼技術需要精細

設計296

8.3?大家都在做的資產管理296

8.3.1?資產安全管理的關鍵作用297

【案例】不定期的資產大排查298

8.3.2?資產安全管理的主要內容298

8.3.3?主要挑戰301

【感悟】資產是大家的，資產管理

是大家的事302

8.4?最熱的數據分類分級302

8.4.1?數據分類分級的要求303

8.4.2?數據分類分級發揮的作用305

【案例】一場關於數據分類分級

的“戰役”308

8.4.3?數據分類分級的關鍵環節308

8.4.4?主要挑戰309

【感悟】AI時代，數據分類分級是

業務價值與安全價值的融合點310

8.5?大家都說的IAM311

8.5.1?身份與訪問控制危機311

8.5.2?IAM的目標與核心價值312

8.5.3?IAM的主要內容314

【案例】IAM之戰315

8.5.4?IAM實施中面臨的主要挑戰316

【感悟】AI時代，不但要知道

“數字身份是誰”，還要知道

“數字身份代理誰”317

8.6?重要的審計與合規檢查317

8.6.1?安全審計318

8.6.2?合規檢查322

8.6.3?主要挑戰326

【感悟】安全審計與合規檢查為

組織構建基礎的“治理防線”326

8.7?熱鬧的UEBA和SIEM326

8.7.1?UEBA與SIEM的目標327

8.7.2?UEBA的主要內容329

8.7.3?SIEM的主要內容331

【案例】貓很多，為什麼還不一定

能抓住老鼠332

8.7.4?主要挑戰??332

【感悟】不管黑貓白貓，抓住老鼠

就是好貓333

8.8    大家都頭痛的數據全生命周期

安全334

8.8.1?數據全生命周期安全的目標334

8.8.2    數據全生命周期安全的主要

內容335

【案例】數據全生命周期安全到底

是誰的職責349

8.8.3?主要挑戰349

【感悟】從數據安全保護與隱私

保護視角看，攻防能力失衡351

8.9?各顯神通的終端安全351

8.9.1?終端種類352

8.9.2?終端威脅分析353

8.9.3?終端安全的目標353

8.9.4    終端安全實施過程及主要

內容354

【案例】背負著沈重負擔的終端

安全358

8.9.5?主要挑戰358

【感悟】必須攻克終端安全這

“第一公裏”359

8.10    互聯互通要求下的通信網絡

安全360

8.10.1?通信網絡安全的目標360

8.10.2?通信網絡安全的關鍵設計361

8.10.3?通信網絡安全的主要措施362

【案例】管理分工導致的安全

分裂365

8.10.4?新技術場景示例366

8.10.5?主要挑戰367

【感悟】做不到安全的互聯互通，

何談AI時代368

8.11?新技術環境下的計算平臺安全368

8.11.1?計算平臺風險分析369

【案例】數據被刪除是誰的責任371

8.11.2?計算平臺的安全目標371

8.11.3?計算平臺安全框架372

8.11.4?雲計算平臺安全主要內容374

8.11.5?AI計算平臺安全主要內容377

8.11.6?主要挑戰378

【感悟】計算平臺的安全是個系統

工程379

8.12?“左移”的應用安全379

8.12.1?標準規範參考380

8.12.2?應用安全的目標380

8.12.3?實施框架381

【案例】一切都非常清晰，為什麼

還是落實不了應用安全384

8.12.4?過程及主要內容384

8.12.5?主要挑戰387

【感悟】應用安全是安全領域的

一個難題，也是一顆“明珠”??388

8.13?越來越重要的供應鏈安全389

8.13.1?供應鏈安全目標389

8.13.2?供應鏈脆弱性分析391

【案例】AI時代需要重點關註哪些

供應鏈安全風險392

8.13.3?ICT供應鏈安全的主要內容392

8.13.4?軟件供應鏈安全的主要內容394

8.13.5?主要挑戰398

【感悟】供應鏈安全是安全的起點398

8.14?大家都關心的態勢感知399

8.14.1?態勢感知的核心目標399

8.14.2?態勢感知的技術框架399

8.14.3?態勢感知的主要內容400

【案例】一次集體學習態勢感知402

8.14.4    態勢感知在整體安全中

發揮的作用402

8.14.5?態勢感知在實踐中的發展403

8.14.6?主要挑戰404

【感悟】起點在“感”、結果在

“知”，數據是關鍵要素404

8.15?壓力很大的數據安全風險管理405

8.15.1?信息安全風險管理的目標405

8.15.2    信息安全風險管理的主要

內容406

8.15.3    數據安全風險評估的主要

內容409

【案例】有了UEBA、SIEM，還需

要風險管理嗎？412

8.15.4    數據安全風險管理與其他

安全措施的關系413

8.15.5?主要挑戰414

【感悟】非常重要、但很難做到的

風險管控417

8.16?分類分級的安全事件處置417

8.16.1?相關國家標準??417

8.16.2?安全事件的分類分級418

8.16.3?安全事件處置過程及主要

內容421

【感悟】安全事件處置是安全的

後置防線，必須守牢424

8.17?總是成為“挑戰”的安全數據425

8.17.1?安全數據的種類與來源425

8.17.2?安全數據發揮的主要作用426

8.17.3?安全數據處理428

8.17.4?安全數據管理430

【案例】安全數據的建設應用

模式430

8.17.5?主要挑戰431

【感悟】安全數據是感知、評估、

決策的依據??432

8.18?AI時代的安全知識432

8.18.1?安全知識的分類433

【案例】數字化時代、AI時代安全

知識的新定位434

8.18.2?安全知識的表達435

8.18.3?安全知識的獲取與處理439

8.18.4?安全知識的管理441

8.18.5?主要挑戰442

【感悟】AI時代的安全知識將給

安全工作插上翅膀442

8.19?聊聊數據安全治理443

8.19.1?數據安全治理的核心內涵443

【案例】數據安全治理的實踐路徑445

8.19.2?數據安全治理的主要內容446

8.19.3?主要挑戰451

【感悟】數據安全治理是數據安全

發展的一大步451

8.20?聊聊縱深防禦452

8.20.1?縱深防禦的目標452

【案例】大家理解的縱深防禦怎麼

差別這麼大453

8.20.2?縱深防禦的主要內容453

8.20.3?主要挑戰458

【感悟】實現縱深防禦必須打破

各自為戰459

8.21?聊聊業務連續性459

8.21.1?業務連續性的目標??459

8.21.2?相關概念460

8.21.3?從安全視角認識業務連續性461

8.21.4?從安全視角落實業務連續性462

【案例】可怕的病毒，脆弱的

業務464

8.21.5?落實業務連續性的要點??464

【感悟】業務連續性是安全與業務

融合的終極目標465

8.22?人工智能面對的數據安全465

8.22.1    人工智能面對的數據安全

風險分析465

8.22.2?人工智能的數據安全要求469

【案例】人工智能可信嗎？470

8.22.3    人工智能數據安全風險

應對措施471

【感悟】智能在延伸，風險也在

延伸472

目??錄

第9章　數據安全建設的入手點473

9.1    從數據安全邊界視角組織數據

安全建設473

9.1.1    範圍與邊界對安全建設的

導向作用474

9.1.2    從範圍與邊界看安全建設

的內容475

9.1.3    基於範圍與邊界實施安全

建設的路徑和方法479

【案例】安全建設者與業務建設者

的“對話”480

9.1.4?主要挑戰481

【感悟】明確邊界和範圍才能談

安全建設482

9.2    從保護要求視角組織數據安全

建設482

9.2.1    保護要求對安全建設的

導向作用482

9.2.2    從保護要求看安全建設

的內容483

【案例】安全建設需求從哪裏來485

9.2.3    基於保護要求實施安全建設

的路徑和方法485

【感悟】保護要求就是安全需求486

9.3?以邏輯拓撲落實數據安全建設487

9.3.1?邏輯拓撲的核心要素487

9.3.2    邏輯拓撲在數據安全建設中

的作用488

9.3.3    以邏輯拓撲落實安全建設的

參考內容491

【案例】某大型組織以邏輯拓撲

落實數據安全建設494

9.3.4?主要挑戰494

【感悟】邏輯拓撲就是要解決安全

“旁站”問題495

9.4?聊聊安全能力與安全產品496

9.4.1?相關概念496

9.4.2?安全能力與安全產品的關系499

【案例】在安全建設中，安全能力

與安全產品的實現誰說了算500

9.4.3?安全能力建設和發展501

9.4.4?安全能力與安全產品的失衡503

【感悟】安全能力是“舵”，安全

產品是“錨”505

9.5?聊聊產品選擇與集成505

9.5.1    安全產品選擇與集成的內涵

及關聯505

【案例】產品選擇與集成關乎安全，

更關乎業務506

9.5.2?安全產品選擇506

9.5.3?安全產品集成??509

9.5.4?註意事項511

【感悟】產品選擇與集成關乎現在，

更關乎未來511

第10章　數據安全運營的立足點512

10.1?落實責任溯源的方法512

10.1.1    責任溯源的法律與政策

依據??512

10.1.2?責任溯源的工作目標??513

10.1.3?責任溯源的參考框架??513

【案例】責任溯源很重要，但能

做到嗎？516

10.1.4?責任溯源實施要點517

10.1.5?主要挑戰519

【感悟】安全工作的核心目標就是

“把責任落下去”520

10.2?可參考的數據安全評估模型520

10.2.1?數據安全評估模型521

10.2.2?個人信息安全影響評估模型521

10.2.3?數據安全評估模型526

【案例】數據安全評估是第三方的

事情，組織需要考慮嗎？535

【感悟】安全評估是“以終為始”535

10.3?評價數據安全成效的方法535

10.3.1?數據安全成效評價的內涵536

10.3.2?數據安全成效評價的邊界536

10.3.3?量化指標評價536

10.3.4?模擬對抗評價537

10.3.5?事件溯源驗證評價538

【案例分享】平安無事時如何呈現

安全成效？539

【感悟】合規評估讓安全被動成長，

成效評價讓安全主動作為539

價 值 篇

第11章　AI時代的數據安全再定義542

11.1?再看AI時代的數據安全542

【觸動】AI時代需要更加關註數據

安全542

11.1.1?AI帶來數據應用新場景543

11.1.2?AI為數據安全帶來新能力544

11.1.3?AI帶來的新風險545

11.1.4    AI時代對數據安全的

新要求547

11.1.5?AI時代需要的新轉變549

【感悟】AI時代的數據安全要

“快一步”550

11.2?安全也是業務551

【思考】安全自身要運轉起來才能

更好地發揮作用551

11.2.1?業務的特性552

11.2.2?安全工作的業務特性553

11.2.3?安全業務的主要內容555

11.2.4?安全業務的主要路徑557

【感悟】安全有自己的業務邏輯和

業務流程559

11.3    識別數據安全的業務邏輯與

技術邏輯559

【思考】規範落實安全業務559

11.3.1?安全業務邏輯560

11.3.2?識別安全業務邏輯562

11.3.3?安全技術邏輯566

11.3.4?梳理安全技術邏輯568

【感悟】邏輯代表著規則、約束，

用於確保業務達成目標570

第12章　數據安全規劃的聚焦點571

12.1?構建安全架構571

【解析】構建能解決問題的安全架構571

12.1.1?構建安全架構的出發點572

12.1.2?構建安全架構的重要原則573

12.1.3?構建安全架構的技術路線575

12.1.4?構建安全架構577

【感悟】復雜問題沒有簡單解決方案580

12.2?安全架構的實施581

【解析】讓安全架構落地581

12.2.1?與企業架構一體實施582

12.2.2?安全架構與安全業務583

12.2.3?安全架構與安全建設585

12.2.4?安全架構與安全責任586

【感悟】安全架構及其落地實施

都不能有短板593

12.3?再聊安全策略594

【解析】安全策略是具象的、

可執行的594

12.3.1?安全策略的體系化595

12.3.2?安全策略的生命周期596

12.3.3?安全策略執行的關鍵環節598

【感悟】數據安全是策略驅動的，

策略是彈性的599

第13章　數據安全設計的關鍵點600

13.1?安全設計與“安全統起來”600

【解析】安全設計是讓“安全統

起來”的必需環節600

13.1.1?以“六全”解構數據安全602

13.1.2?以“八性”設計數據安全606

13.1.3    安全設計要讓安全責任

“落下去”611

13.1.4    安全設計要讓安全業務

“統起來”613

13.1.5    安全設計要讓安全技術

“統起來”614

【感悟】統籌設計才能防止“木桶

效應”，才能與業務發展平衡615

13.2?讓數據安全落地616

【觸動】從認識到行動更難616

13.2.1?數據安全落地路徑617

13.2.2?數據安全落地關鍵內容621

13.2.3?數據安全實施框架626

【感悟】數據安全的復雜性在於

“多特性交織且一個都不能少”627

13.3?聊聊安全業務的實現方法627

【觸動】客戶有三個互不連通的

安全管理平臺627

13.3.1?梳理主要安全業務關系628

13.3.2?重要的安全業務閉環633

13.3.3?關鍵技術保障637

【感悟】安全業務的核心目標是

讓安全“持續運轉”641

13.4?再聊零信任641

【悟道】零信任的實踐之旅641

13.4.1?零信任的多面性與復雜性644

13.4.2?從架構層面解析零信任645

13.4.3?從業務層面解析零信任647

13.4.4?從方法層面解析零信任648

13.4.5?從責任層面解析零信任652

13.4.6?從運營層面解析零信任653

【感悟】落實零信任首先需要業務

精細化654

13.5?細聊資產管理654

【悟道】落實資產管理“九大管”

有路徑654

13.5.1?資產的數字化描述657

13.5.2?資產全生命周期管控659

13.5.3?關鍵技術方法659

13.5.4?劃分角色落實責任662

【領悟】資產管理需要“抄底式”

推進662

13.6?細聊數據分類分級663

【觸動】“形式化”的數據分類分級663

13.6.1?數據分類分級的對象664

13.6.2?數據分類分級的場景665

13.6.3    數據分類分級的過程與

關鍵技術666

13.6.4?數據分類分級的安全性668

13.6.5    從數據分類分級到資產

分類分級668

【感悟】分類分級是解決復雜問題

的有效方法之一670

13.7?細聊身份與信任670

【解析】IAM對於數據安全的內涵670

13.7.1?做好身份管理671

13.7.2?持續的身份核驗672

13.7.3?動態信任評估673

13.7.4?身份風險的動態響應675

13.7.5?建立互信675

【感悟】信任是一場與風險共舞

的持久戰676

13.8?細聊權限與訪問控制676

【觸動】認識差異很大，實踐成效

差異更大676

13.8.1?各有特色的訪問控制678

13.8.2?權限與授權682

13.8.3    基於零信任的動態訪問

控制決策引擎模型685

13.8.4?識別並管理好策略執行點686

【感悟】訪問控制是數據安全的

核心力量687

13.9?細聊數據安全保護687

【疑惑】好像都明白，但還是

沒做好數據保護687

13.9.1?數據安全保護能力688

13.9.2?差異化保護691

13.9.3?權限與責任綁定693

13.9.4?數據安全技術保護框架698

【感悟】數據是流動的、變化的，

安全措施必須是動態的698

13.10?再看終端安全699

【解析】離開業務場景談終端安全

沒有意義699

13.10.1?終端的供應鏈安全699

13.10.2?端到端邏輯一體700

13.10.3?終端安全核心能力再拆解701

【感悟】終端安全是數據安全

的關鍵703

13.11?再看網絡和通信安全703

【解析】AI成為網絡安全的

“雙刃劍”703

13.11.1?推動安全能力融合704

13.11.2?催生新型安全能力705

13.11.3?AI技術賦能網絡和

通信安全706

【感悟】AI助力走向主動防禦707

13.12?再看計算安全707

【觸動】“大協同”讓計算安全更加

復雜707

13.12.1?端邊雲協同計算安全709

13.12.2?算力、算法和數據的安全

協同711

13.12.3?隱私計算714

【感悟】計算發生在哪裏，安全也要

延伸到哪裏717

13.13?再看應用安全717

【解析】AI時代的應用在改變717

13.13.1    AI時代應用安全的風險

特征720

13.13.2    AI時代應用安全的

新要求721

13.13.3    AI時代新的應用安全

能力723

【感悟】管不好應用安全就做不到

數據安全725

13.14?聊聊主動防禦725

【解析】主動防禦是數據安全的

必然選擇725

13.14.1?主動防禦的核心目標726

13.14.2?主動防禦的框架727

13.14.3?主動防禦的關鍵內容728

【感悟】主動防禦的發展目標為

“智能安全新生態”731

13.15?從數據安全看業務韌性732

【解析】安全目標從風險防控

升級到“提升業務韌性”732

13.15.1    業務韌性的安全特性

分析732

13.15.2    數據安全對業務韌性的

支撐邏輯733

13.15.3    數據安全與業務過程

融合735

13.15.4    以業務韌性為核心優化

數據安全體系框架736

【感悟】業務韌性是安全需求739

13.16    細聊人工智能面對的數據

安全保護739

【解析】服務人工智能的數據需要

差異化保護739

13.16.1?規劃與需求分析階段742

13.16.2?數據采集與預處理階段743

13.16.3?模型開發與訓練階段743

13.16.4?模型部署與推理階段744

13.16.5?模型監控與疊代階段745

13.16.6    模型退役與數據歸檔

階段746

【感悟】人工智能建設應用的

不同階段需要匹配不同的數據

安全保護747

第14章　數據安全建設的著力點748

14.1?聊聊數據安全自身的韌性748

【觸動】安全保障也有底線748

14.1.1?安全能力失效的典型場景749

14.1.2?構建安全韌性的底層邏輯750

14.1.3?安全韌性的建設路徑751

【感悟】以安全韌性保障業務韌性754

14.2?再聊數據安全建設754

【解析】數據安全是一項復雜系統

工程754

14.2.1?設計參考754

14.2.2?建設實施參考759

14.2.3?運營治理參考764

14.2.4?“避坑”參考764

【感悟】數據安全建設的核心邏輯

是“體系化構建與實戰化落地”769

第15章　數據安全運營的增長點770

15.1?細聊策略管理與執行770

【觸動】安全策略管理與執行

的困境770

15.1.1?安全策略的分類771

15.1.2?安全策略的規範化管理773

15.1.3?策略執行點779

15.1.4?策略管理與執行模型782

15.1.5?安全策略管理與執行的

關鍵方法783

【感悟】安全策略的覆蓋面、

管控點、延伸性、時效性決定

數據安全成效784

15.2    安全數智化驅動的數據

安全治理784

【解析】高難度的數據安全治理784

15.2.1    安全數據是安全治理的

基礎素材與核心要素785

15.2.2    安全知識是安全規律的

沈澱與實踐指引791

15.2.3    “安全+AI”是AI與安全

治理的深度融合794

【感悟】持續進步的數據安全治理

需要穩定的架構796