【医疗行业】山石网科以数据为中心的安全治理体系250324(1) conv.docxVIP

v

从一维到多维，让数据安全治理有章可循以数据为中心的安全治理体系

数据安全治理思考

2

国家层面的法律法规密集发布

3

医疗相关数据安全政策

国卫办规划发〔201〕号201年月1日

《关于落实卫生健康行业网络信息与数据安全责任的通知》建立网络信息与数据安全管理制度的操作规程，明确各过程中的网络信息与数据安全责任。建设网络信息与数据安全应急体系，包括：应急预案、组建应急队伍、开展应急演练。组织开展网络信息与数据安全教育与培训，保障必要的经费投入。

国标委GB/T39722020，202年1月1日发布，202年月日正式实施《信息安全技术健康医疗数据安全指南》

确保健康医疗数据的保密性、完整性和可用性；确保健康医疗数据使用和披露过程的合法性和合规性，保护个人信息安全、公众利益和国家安全。

《关于印发医疗卫生机构网络安全管理办法的通知》，国卫规划发〔202〕2号第三章数据安全管理，建立健全数据安全和个人信息保护制度，建立数据安全管理组织架构。

第二十二条：各医疗卫生机构应加强数据收集、存储、传输、处理、使用、交换、销毁全生命周期安全管理工作，数据全生命周期活动应在境内开展，因业务需向境外提供的，应当按照相关法律法规及有关要求进行安全评估或审核，针对影响或者可能影响国家安全的数据处理活动需提交国家安全审查，防止数据安全事件发生。

《全国公共卫生信息化建设标准与规范（试行）》

4

山石基于合规红线与价值释放的平衡思考

监管合规 业务安全

建设路径“看不清” 事件响应“追不上”

? 数据安全问题复杂，合规要求快速发展，“头痛医头， ? 没有应急预案，缺乏事件响应经验，错失

脚痛医脚”没有构建体系化建设思路。

数据风险“摸不清”? 重要数据怎么流转说不清。

? 核心数据面对风险不知道。

定制化建设路径设计

? 基于不同发展阶段的企业，所面对的数据安全问题及其自有的数据安全战略，定制化设计数据安全规划方案。

全方位数据风险捕捉

最快响应与最佳取证时机。安全意识“没概念”

? 员工数据安全意识薄弱。

运营困惑 ? 数据内部管理关系混乱。解决思路智能化安全运营流程

? 通过自动化平台，智能化分析事件，动态调整安全策略，指标化安全运营成效，实现数据安全运营降本增效。

常态化数安意识强化

? 全链路数据盘点及分类分级保护

? 构建动态数据风险评估机制。

? 通过定期法律法规解读及安全事件分析等

培训全面赋能员工数安意识。

5

数据安全治理框架

6

关于数据安全治理目标的思考

合规+业务+科学模型

?通过“一群有技能的人”，遵循标准化的“制度、流程”，使用

“技术、工具和平台”保障“运营中”数据的安全。

1

法律法规、行业需求

2

整体的数据发展战略

3

企业的业务现状和发展

4

数据安全治理能力现状

5

安全、性能和成本间的平衡

7

双维驱动、人机共治的安全整体规划思路

安全制度建设 安全组织建设 安全人员能力建设

零信任理念

网络安全等保2.0合规新评测标准下的安全能力建设

安全技术工具

安全服务

以数据为中心，“人机共治”为目标的安全治理体系建设

面向业务的

可持续安全运营能力

AI赋能

安全应急响应体系建设 安全监督审计体系建设

8

以数据为中心的安全治理体系框架

通用技术传输提供访问控制数据防泄露数据脱敏身份鉴别访问控制数据防泄露数据销毁处置介质使用管理介质销毁管理身份鉴别数据传输加密数据防泄露动态更新人

通用技术

传输

提供

访问控制

数据防泄露

数据脱敏

身份鉴别

访问控制

数据防泄露

数据销毁处置

介质使用管理

介质销毁管理

身份鉴别

数据传输加密

数据防泄露

数据安全应急响应体系

应急预警平台

应急响应机制

应急处置能力

9

以数据为中心的安全治理框架基于实际业务场景和数据处理活动的数据安全治理数据的权属结构与确权

指引数据安全制度规范体系 保障 数据安全运营管理体系

指引

管理制度建设 组织机构建设 安全管理团队能力 安全运营流程管理

收集存储

数据安全管理总则（办法） 数据安全组织建设管理规定 删除 使用 数据安全管理能力 数据分类分级管理

数据分类分级管理制度 员工和合作方数据操作指南 数据安全运营能力 数据访问权限管理

公开 加工 数据共享管理

数据安全事件应急管理办法 员工和合作方管理制度 数据安全技术能力

数据安全风险评估管理个人信息安全管理办法 人员培训管理制度 数据安全合规能力 日志审计和监督检查

数据处理活动管理办法 数据权限管控制度 数据安全监测能力 公共数据安全培训

数据安全技术防护体系

数据收集 数据存储 数据使用 数据加工 数据传输 数据提供 数据公开