北京四方远望企业管理有限公司

DSMM数据安全能力成熟度评估

     随着信息技术的发展，人类社会已经进入数字时代，数据的指数级增长已经成为常态。数据具有极大的价值变现特点，世界各国都强烈意识到数据的重要性。然而，数据的价值变现、有效利用的前提是数据是安全的，所以，数据安全的保护能力，是数据有效利用的基础。我国也从国家层面，制定了相关法律法规，明确要求要合规、合法、有效的做好数据安全的保护。

    DSMM 标准关注企业自身业务产生的数据和与外部第三方组织交互的数据，以衡量组织机构的数据安全能力，促进组织机构了解并提升自身的数据安全水平。

    DSMM的架构由四个安全能力维度、七个安全过程维度、五个安全能力等级构成。

1.四个安全能力维度:组织建设、制度流程、技术工具、人员能力；

2.七个安全过程维度：数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全、通用安全，共计30个过程域；

3.五个安全能力等级：从低到高依次1至5级。

DSMM每个级别有什么区别

DSMM等级划分与核心特点如下：
L1非正式执行：执行非正式过程，随机、无序、被动执行安全过程，依赖个人经验，无法复制。

L2计划跟踪：在业务系统级别主动实现了安全过程的计划与执行，但没有形成体系化，可验证过程执行与计划一致，跟踪、控制执行的进展。

L3充分定义：在组织级别实现了安全过程的规范执行，标准过程进行制度化，过程可重复执行，执行结果可核查。

L4量化控制：建立了量化目标，安全过程可度量。

L5持续优化：根据组织的整体目标，不断改进和优化组织能力和安全过程有效性。

申请什么级别主要依据企业的实际情况来判断，没有硬性规定初次申请级别的限制。大部分组织适合申请DSMM2级，DSMM3级适合具有较高数据安全实践水平的组织申请，DSMM4级适合在数据安全领域建设水平领先的组织申请，DSMM5级暂不开放申请。当企业不确定能报几级时，可以联系佳普做分析预评估，0571-85131053。

DSMM贯标流程

Step1：差距分析——Step2：能力建设——Step3：测量评估。

企业如何开展贯标准备工作？

准备工作分为三个阶段：

（1）差距分析：对照能力等级标准的相关要求，梳理本企业数据管理的相关制度、执行过程文档、数据管理平台和工具的相关资料，进行差距分析，制定建设提升工作计划。

（2）能力建设：健全数据管理组织，完善数据管理制度体系，优化数据管理平台和工具，开展对标自评估。

（3）量化评估：组建评估队伍，提交正式评估申请，开展第三方评估，获取评估结果和提升整改意见。

DSMM的评价方法主要是评分制，先对每个过程域（PA）的四个能力维度（BP）进行打分，再通过计算平均分、修正分值的方式得到最终的PA分值，最终得到整体的综合得分。

DSMM是针对企业数据安全管理和应用能力的评估框架，从标准本身讲，任何企业都可以申请，目前主要适用于两类。

一是数据拥有方：大数据企业、信息技术产业、互联网企业、金融业、银行业、保险业、证券行业、保险业、电子商务平台、数据中心、政务和高校等企事业单位。

二是数据方案提供方：数据开发/运营商、信息系统建设和服务提供商、信息技术服务提供商等。

可通过国家市场监督管理总局全国认证认可信息公共服务平台（http://cx.cnca.cn/CertECloud/index/index/page）查询证书详情，并核查验证证书的有效性。

企业获取DSMM证书后如何维持证书的有效性

证书有效期为三年，根据现行评估规则不需要每年监督。证书到期前至少提前三个月申请再认证评估。

1.等保标准以备案系统为主要评估对象，偏向传统网络系统安全，侧重于物理安全、网络安全、安全建设管理等方面的网络系统安全保护。

2.ISO27001标准是以组织为对象，偏向信息安全管理，侧重于指导组织依据信息安全风险评估的结果选择合适的控制措施，设计构建信息安全管理体系。

3.DSMM标准也是以组织为评估对象，聚焦数据全生命周期的防护，从四个安全能力维度提出分级要求，帮助组织打造与业务贴合紧密的数据安全架构。

对通过国家《数据安全能力成熟度模型》（GB/T 37988—2019，DSMM）、《数据管理能力成熟度评估模型》（GB/T 36073—2018，DCMM）认证的企业，最高可领取50万元的补贴。