一、M是什么？——數(shù)據(jù)安全能力成熟度模型的“前世今生”

M（Data SecurityMaturity Model）是我國首個數(shù)據(jù)安全領域國家標準（GB/T37988-2019），由全國信息安全標準化技術委員會（TC260）制定發(fā)布。M借鑒了國際上成熟度模型的理論和實踐，結合我國數(shù)據(jù)安全現(xiàn)狀和需求，構建了一套科學、系統(tǒng)、可操作的數(shù)據(jù)安全能力評估體系。

M將組織的數(shù)據(jù)安全能力劃分為5個等級，并從4個能力維度和30個安全過程域?qū)M織的數(shù)據(jù)安全能力進行全面評估，幫助企業(yè)識別數(shù)據(jù)安全短板，明確改進方向，持續(xù)提升數(shù)據(jù)安全防護水平。

圖片來源：GBT 37988-2019 信息安全技術數(shù)據(jù)安全能力成熟度模型

二、M誰能做？——誰需要這把數(shù)據(jù)安全的“金鑰匙”？

M適用于所有涉及數(shù)據(jù)處理活動的組織，包括但不限于：

M標準的適用范圍非常廣泛，沒有行業(yè)的限制，對數(shù)據(jù)安全有需求、關注自身數(shù)據(jù)安全能力建設情況的組織均適合申請M，申請條件如下：

這些條件確保了申請組織在數(shù)據(jù)安全方面具有一定的基本能力和管理體系，滿足上述條件，即可申請M認證。

三、M怎么做？——從評估到認證，步步為營構建數(shù)據(jù)安全防線

M評估以組織為單位，以數(shù)據(jù)為中心，圍繞數(shù)據(jù)的生命周期，對組織建設、制度流程、技術工具以及人員能力4個能力維度進行評估，涵蓋5個成熟度級別、30個數(shù)據(jù)安全能力過程域和576個基本實踐（BP)，其不同級別BP分布情況如下：

企業(yè)應根據(jù)自身實際情況，選取初次申請級別的限制。大部分組織適合申請M2級，M3級適合具有較高數(shù)據(jù)安全實踐水平的組織申請，M4級適合在數(shù)據(jù)安全領域建設水平的組織申請。

M評估認證流程通常分為三個階段，幫助企業(yè)循序漸進地提升數(shù)據(jù)安全管理水平：

(1) 前期咨詢：明確目標，制定方案

需求調(diào)研：評估機構深入了解企業(yè)業(yè)務特點、數(shù)據(jù)安全現(xiàn)狀和評估目標。

方案制定：根據(jù)調(diào)研結果，制定個性化的M評估認證方案，明確評估范圍、時間計劃、資源配置等。

標準宣貫：對企業(yè)相關人員進行M標準培訓，提升對標準的理解和應用能力。

(2) 內(nèi)部評估：自查自糾，夯實基礎

差距分析：企業(yè)根據(jù)M標準進行自評估，識別數(shù)據(jù)安全管理現(xiàn)狀與目標等級的差距。

能力建設：針對差距分析結果，制定并實施整改計劃，完善數(shù)據(jù)安全管理體系，提升數(shù)據(jù)安全能力。

文檔準備：整理完善數(shù)據(jù)安全管理制度、流程、記錄等文檔，為正式評估做好準備。

(3) 評估認證：專家把脈，認證

現(xiàn)場評估：評估機構專家團隊進駐企業(yè)，通過訪談、查閱文檔、系統(tǒng)測試等方式進行現(xiàn)場評估。

評估報告：根據(jù)現(xiàn)場評估結果，形成評估報告，明確企業(yè)數(shù)據(jù)安全能力等級和改進建議。

認證決定：評估機構根據(jù)評估報告做出認證決定，并頒發(fā)M認證證書。