敏捷分享丨等保测评等第三方信息安全服务机构数据安全建设指南

>>> 国家市场监督管理总局和中国国家标准化管理委员会联合发布的《信息安全技术 网络安全等级保护测评机构能力要求和评估规范GBT36959-2018》中明文规定，测评机构应建立专门的文档存储场所和数据加密环境，严格管理测评相关数据信息。

>>> 中国合格评定国家认可委员会近日发布通知，自2022年7月1日起实施《检验机构能力认可准则在网络安全等级测评领域的应用说明》。其中对等保测评等第三方信息安全服务机构的数据安全与管理都提出了明确的要求：

●数据安全层面：通知文件明确要求测评机构在过程中应当建立数据和信息保密程序，采取技术措施保证相关数据和信息的全生命周期中的安全、保密和可控，切实做好在测评过程中收集到的国家秘密、工作秘密、商业秘密、重要敏感信息和个人隐私信息的数据防泄漏工作。

●数据管理层面：明确组织机构应建立多层次、立体化的管理制度，通过各种措施对可能面临的风险漏洞进行规避与控制。测评单位应具有系统性、针对性、可行性的相关管理举措。

在测评活动中，被测单位提供的资料、等保测评进程中生成的数据和记录等都是保密要求极高的核心数据。并且，在测评活动开始前，测评机构与被测单位还会就数据和信息安全等问题签订保密协议。一旦测评有关数据外泄，测评机构不但面临商业损失还会承担法律风险，可以说数据安全问题是整个测评活动有序推进、圆满完成的重要基石！对此，测评行业主要的数据安全需求主要包括：

>>> 数据存储安全

测评机构通过调研收集、整理记录产生的数据，存储在电脑终端中，这类数据或因为人员主动泄密等问题，带来极其严重的损失；

>>> 数据流转安全

由于业务需要，数据会经过业务系统或者内部网络进行交互传输，在该过程中，可能存在数据窃取、设备丢失等问题，使企业数据面临威胁；

>>> 数据管理需求

面对海量的测评相关数据，测评机构要在内部文档管理系统中存储3-5年，对这些数据如何进行安全防护和有效管理。

敏捷科技根据等保测评等机构的实际数据安全需求，结合自身在数据安全领域及应用系统安全方面的技术积累，研发了以主动式智能加密技术为核心的，集数据透明加密、外发管理、终端管理等功能于一体的统一平台——敏捷数据安全卫士系统DGS，从文件创建到删除的整个生命周期进行智能化的加密保护。

✔ 智能加密

DGS系统在内部部署后，对需要保护的文档进行强制自动加密。这些文档在内部办公场景下是透明加密状态，不影响正常办公使用。但是无论采取什么方式被带离内部环境以后，该文档将无法打开、无法查看、无法编辑。有效防止在走访调研等外出办公场景下设备丢失、损坏、被窃取等造成的数据外泄风险。

✔ 安全外发

用户可以根据自身不同的等级设置外发策略。需要外发的文件需要通过审批才允许外发，对于特别重要的文档，还可设置多级审批。可以根据需要对外发文件进行权限管控，控制外发文件的编辑权限、使用时间、使用次数、打印权限、硬件绑定等。

✔ 存储管理

敏捷数据安全卫士系统DGS通过集成云文档管理DM对存储在内部系统中的文件实现统一高效的加密防护与集中管理，通过文档内部共享及链接外发实现高效协同办公。面对海量数据，采取多层次、颗粒度的权限控制，完善权限管理与内部安全机制。不仅极大提升内部办公效率，确保文档安全性，也满足了企业日常文档管理中的各种需求。

该解决方案在当前测评单位业务平台的基础上，提供大数据平台，将数据安全防护系统相关日志信息进行安全可视化展示，形成一套以集中运维管理建设为核心，以数据生命周期管理为理念的“动态防御+安全管理”的安全服务支撑体系，实现了机构内部文件主动智能加密、未授权外传打不开、文件加密存储管理等效果。

● 通过官方机构对测评单位资质、技术措施和管理制度的审核或复审，保证测评流程符合合规要求；

● 防止企业内部因外出办公、人员流动等人为因素造成的数据外泄，降低自身数据安全风险；

● 通过技术手段与管理制度相结合，打造阳光透明、安全可靠的测评体系，提升客户的信任感。