? ? ? ?DSMM（Data Security capability MaturityModel）認證是我國首個依據(jù)國家標準《信息安全技術 數(shù)據(jù)安全能力成熟度模型》（GB/T 37988-2019）開展的數(shù)據(jù)安全認證，該標準是由阿里巴巴聯(lián)合中國電子技術標準化研究院、國家信息安全工程技術研究中心、中國信息安全測評中心等業(yè)內權威機構聯(lián)合編寫的國家標準，是國內第一個數(shù)據(jù)安全標準認證，于2019年8月30日發(fā)布，2020年3月1日正式實施。? ??
DSMM認證評估是依據(jù)《信息安全技術 數(shù)據(jù)安全能力成熟度模型》（GB/T 37988-2019）國家標準和《數(shù)據(jù)安全能力建設實施指南V1.0》，對組織的數(shù)據(jù)安全開展能力評估。
DSMM評估以組織為單位，以數(shù)據(jù)為中心，圍繞四個安全能力維度、七個安全過程維度、五個安全能力等級評價組織的數(shù)據(jù)安全能力。
? ? ? ?四個能力維度：組織建設、制度流程、技術工具、人員能力。
? ? ? 七個安全過程維度：數(shù)據(jù)采集安全、數(shù)據(jù)傳輸安全、數(shù)據(jù)存儲安全、數(shù)據(jù)處理安全、數(shù)據(jù)交換安全、數(shù)據(jù)銷毀安全、通用安全，共計30個數(shù)據(jù)安全能力過程域和576個基本實踐；
? ? ? 五個安全能力等級：從低到高依次1至5級。
申請什么級別??
? ? ? 成都DSMM認證申請什么認證的級別主要依據(jù)企業(yè)的實際情況來判斷，沒有強制硬性規(guī)定初次申請級別的限制。大部分組織都適合申請DSMM2級認證，DSMM3級適合具有較高數(shù)據(jù)安全實踐水平的組織申請。DSMM4級適合在數(shù)據(jù)安全領域建設水平領先的組織申請。最高級DSMM5級目前暫不開放申請。? ??
涉及的部門??
管理層
? ? ? ?高層管理層，主要了解公司有沒有相應的數(shù)據(jù)安全策略和方針，以及對組織設置的建議，涉及到后面的組織能力建設工作以及數(shù)據(jù)安全戰(zhàn)略規(guī)劃有沒有相應的預算。如果公司本身是把數(shù)據(jù)安全劃到 IT 安全和信息安全和網(wǎng)絡安全里面，是很小的一塊，推動數(shù)據(jù)安全的能力建設就會有比較大的阻力，因為不是公司目前的一個重要重點工作。
研發(fā)部門
? ? ? 主要需了解系統(tǒng)業(yè)務定位、系統(tǒng)架構、業(yè)務數(shù)據(jù)范圍及數(shù)據(jù)采集、傳輸、處理、交換過程中的數(shù)據(jù)安全保護建設情況等內容。
以及要了解重要的業(yè)務和系統(tǒng)，在整個生命周期什么位置，比如說它是屬于采集環(huán)節(jié)，還是屬于數(shù)據(jù)處理環(huán)節(jié)？然后對重要的系統(tǒng)，要了解系統(tǒng)主要的用戶，用戶的規(guī)模大概多少，數(shù)據(jù)的模型架構，內部數(shù)據(jù)的流轉情況，以及它與外部系統(tǒng)的之間的數(shù)據(jù)關系；? ??
? ? ? ?要了解業(yè)務數(shù)據(jù)的流轉過程，包括在采集環(huán)節(jié)，采集的方式、渠道范圍，合規(guī)性的控制。數(shù)據(jù)在傳輸環(huán)節(jié)要備份恢復，能夠傳輸加密。數(shù)據(jù)處理環(huán)節(jié)就要了解這個系統(tǒng)數(shù)據(jù)處理和數(shù)據(jù)分析的功能有哪些？有沒有一些脫敏的場景和脫敏的規(guī)則，以及數(shù)據(jù)后臺的數(shù)據(jù)管理是怎么運作的？它的功能有哪些？
業(yè)務部門
? ? ? 需要了從業(yè)務部門了解業(yè)務目標和需求，數(shù)據(jù)和信息資源，業(yè)務流程和日常工作如何開展。通過歷史業(yè)務流程審批的留痕材料，驗證數(shù)據(jù)安全的實際開展情況。
運維部門
? ? ? 需要了解網(wǎng)絡架構、安全要求、安全技術工具及數(shù)據(jù)存儲、數(shù)據(jù)銷毀過程、數(shù)據(jù)安全保護建設情況等內容。
DSMM評估方式主要包括人員訪談、文檔審核、配置檢查、工具測試、旁站式驗證等方式，具體情況如下：
? ? ? 文檔審核：由被評價組織輸入與數(shù)據(jù)安全相關的文檔材料（如數(shù)據(jù) 安全的方針政策、制度規(guī)范流程、培訓教育材料、以及 與產(chǎn)品技術相關的設計實施方案、配置說明、運行記錄 和其他配套表單）、審核小組審核相關的文檔材料是否 已涵蓋完整數(shù)據(jù)生存周期的PA和控制項。
? ? ? ?配置檢查：根據(jù)被審核方提供的技術材料，登陸相關的系統(tǒng)工具 平臺，檢査配置是否與材料保持一致，對文檔審核內容進行核實。
? ? ? ?工具測試：利用技術工具對系統(tǒng)工具進行測試，驗證是 否符合數(shù)據(jù)安全成熟度模型特定等級的技術 能力要求，也可采信第三方的測試報告。
? ? ? ?旁站式驗證：審核人員在現(xiàn)場通過實地觀察人員行為、技術設施和環(huán)境狀況判斷人員的安全 意識、業(yè)務操作、管理程序等方面的安全情況。? ??
? ? ? 人員訪談：通過訪談的方式與被審核方進行交流、討論 等活動，獲取相關證據(jù)，了解有關信息。
評估交付物??
? ? ? ?評估結果：DSMM標準重點關注企業(yè)業(yè)務數(shù)據(jù)，以衡量組織機構安全能力，全面展示企業(yè)數(shù)據(jù)安全能力項成熟度評估等級。
? ? ? ?評估報告：幫助企業(yè)展示數(shù)據(jù)安全能力現(xiàn)狀，識別數(shù)據(jù)安全能力相關問題，給出評估結論、詳細評估結果和階段性安全提升建議等，給出評估等級建議。
申請什么級別??
? ? ? ?申請什么認證的級別主要依據(jù)企業(yè)的實際情況來判斷，沒有強制硬性規(guī)定初次申請級別的限制。大部分組織都適合申請DSMM2級認證，DSMM3級適合具有較高數(shù)據(jù)安全實踐水平的組織申請。DSMM4級適合在數(shù)據(jù)安全領域建設水平領先的組織申請。最高級DSMM5級目前暫不開放申請。? ??
涉及的部門??
管理層
? ? ? ?高層管理層，主要了解公司有沒有相應的數(shù)據(jù)安全策略和方針，以及對組織設置的建議，涉及到后面的組織能力建設工作以及數(shù)據(jù)安全戰(zhàn)略規(guī)劃有沒有相應的預算。如果公司本身是把數(shù)據(jù)安全劃到 IT 安全和信息安全和網(wǎng)絡安全里面，是很小的一塊，推動數(shù)據(jù)安全的能力建設就會有比較大的阻力，因為不是公司目前的一個重要重點工作。
研發(fā)部門
? ? ? 主要需了解系統(tǒng)業(yè)務定位、系統(tǒng)架構、業(yè)務數(shù)據(jù)范圍及數(shù)據(jù)采集、傳輸、處理、交換過程中的數(shù)據(jù)安全保護建設情況等內容。
以及要了解重要的業(yè)務和系統(tǒng)，在整個生命周期什么位置，比如說它是屬于采集環(huán)節(jié)，還是屬于數(shù)據(jù)處理環(huán)節(jié)？然后對重要的系統(tǒng)，要了解系統(tǒng)主要的用戶，用戶的規(guī)模大概多少，數(shù)據(jù)的模型架構，內部數(shù)據(jù)的流轉情況，以及它與外部系統(tǒng)的之間的數(shù)據(jù)關系；? ??
? ? ? ?要了解業(yè)務數(shù)據(jù)的流轉過程，包括在采集環(huán)節(jié)，采集的方式、渠道范圍，合規(guī)性的控制。數(shù)據(jù)在傳輸環(huán)節(jié)要備份恢復，能夠傳輸加密。數(shù)據(jù)處理環(huán)節(jié)就要了解這個系統(tǒng)數(shù)據(jù)處理和數(shù)據(jù)分析的功能有哪些？有沒有一些脫敏的場景和脫敏的規(guī)則，以及數(shù)據(jù)后臺的數(shù)據(jù)管理是怎么運作的？它的功能有哪些？
業(yè)務部門
? ? ? ?需要了從業(yè)務部門了解業(yè)務目標和需求，數(shù)據(jù)和信息資源，業(yè)務流程和日常工作如何開展。通過歷史業(yè)務流程審批的留痕材料，驗證數(shù)據(jù)安全的實際開展情況。
運維部門
? ? ? 需要了解網(wǎng)絡架構、安全要求、安全技術工具及數(shù)據(jù)存儲、數(shù)據(jù)銷毀過程、數(shù)據(jù)安全保護建設情況等內容。
DSMM評估方式主要包括人員訪談、文檔審核、配置檢查、工具測試、旁站式驗證等方式，具體情況如下：
? ? ? ?文檔審核：由被評價組織輸入與數(shù)據(jù)安全相關的文檔材料（如數(shù)據(jù) 安全的方針政策、制度規(guī)范流程、培訓教育材料、以及 與產(chǎn)品技術相關的設計實施方案、配置說明、運行記錄 和其他配套表單）、審核小組審核相關的文檔材料是否 已涵蓋完整數(shù)據(jù)生存周期的PA和控制項。
? ? ? ?配置檢查：根據(jù)被審核方提供的技術材料，登陸相關的系統(tǒng)工具 平臺，檢査配置是否與材料保持一致，對文檔審核內容進行核實。
? ? ? ?工具測試：利用技術工具對系統(tǒng)工具進行測試，驗證是 否符合數(shù)據(jù)安全成熟度模型特定等級的技術 能力要求，也可采信第三方的測試報告。
? ? ? ?旁站式驗證：審核人員在現(xiàn)場通過實地觀察人員行為、技術設施和環(huán)境狀況判斷人員的安全 意識、業(yè)務操作、管理程序等方面的安全情況。? ??
? ? ? ?人員訪談：通過訪談的方式與被審核方進行交流、討論 等活動，獲取相關證據(jù)，了解有關信息。
評估交付物??
? ? ? 評估結果：DSMM標準重點關注企業(yè)業(yè)務數(shù)據(jù)，以衡量組織機構安全能力，全面展示企業(yè)數(shù)據(jù)安全能力項成熟度評估等級。
? ? ? 評估報告：幫助企業(yè)展示數(shù)據(jù)安全能力現(xiàn)狀，識別數(shù)據(jù)安全能力相關問題，給出評估結論、詳細評估結果和階段性安全提升建議等，給出評估等級建議。
? ? ? 以上是成都DSMM認證的簡單介紹，數(shù)據(jù)安全管理是每個IT大數(shù)據(jù)行業(yè)必須所要重視的一個方面，還沒有辦理的可以評估企業(yè)是否合適，規(guī)范企業(yè)，讓企業(yè)獲得更大的競爭力。
