DSMM评估的5个关键要素

DSMM评估的关键要素

DSMM评估受数据价值、合规要求、组织发展等多方面驱动，各方面都有数据安全工作关注要素。根据我们在政务、金融等多个领域的评估实践来看，DSMM评估的关键要素主要由以下几个方面构成：

DSMM定义了数据安全能力的5个级别。L1级为随机、无序、被动地执行全过程，完全依赖于个人经验，无法复制；L2级为计划跟踪级别，适合多数企业数据安全能力建设的申请级别；L3级为充分定义级，要求足够的数据安全团队保障、完善的制度流程和专业的技术工具，因此在人力、物力、财力等方面投入要远高于L2级，适合具有较高数据安全实践水平的企业组织申请；L4级为量化控制级，适合在数据安全领域建设水平lingxian的企业组织申请；L5根据企业组织的整体目标，不断改进和优化组织能力和数据安全过程。

核心业务数据、敏感数据、密钥资产数据等重要数据应纳入数据资产评估范围。对于有些企业组织，业务系统未进行集成化管理，具备几十甚至上百个系统，大大增加了DSMM评估企业的整改成本，在明确数据资产范围过程中，可暂不纳入辅助业务系统。评估人员有义务帮助企业组织平衡业务系统数据安全整改成本与数据资产收益。

为了更好地识别数据安全风险，有效有条不紊地通过数据安全能力成熟度，评估人员应熟练掌握GB∕T 37988-2019 《信息安全技术 数据安全能力成熟度模型》、GB∕T 35274-2017《信息安全技术 大数据服务安全能力要求》等技术框架，以及《中华人民共和国网络安全法》、《中华人民共和国数据安全法》和《中华人民共和国个人信息保护法》等上位法，必要时应对企业组织所属行业规范、合规要求进行了解。