编者按
随着“数据二十条”及《网络安全法》《数据安全法》《个人信息保护法》的密集落地，合规已从倡议转变为红线。然而，企业面临的真正挑战并非“是否要做”，而是“做到何种程度”。传统“边界防御+单点技术”的模式导致安全烟囱林立，投入巨大却难以量化安全水位。
2020年，上海联通引入国家标准《信息安全技术 数据安全能力成熟度模型》（DSMM，GB/T 37988-2019），将抽象的安全能力量化为30个过程域、4个能力维度和5个成熟度等级。作为中国联通在上海的重要分支机构及网络安全现代产业链链长单位，上海联通历经分散、集约到智慧运营三个阶段，于2023年4月成为集团内首家DSMM三级认证单位，并于2024年11月获行业最高等级——DSMM四级认证。本文深入解析其数据安全运营体系的构建路径。
四个盲区：安全投入为何“不显效”
上海联通在体系重构前，梳理出传统安全模式的四大痛点：
1. 静态防线难守动态流动
传统保护侧重“锁住”数据，往往牺牲可用性与完整性。但在数据要素价值源于流动的今天，静态防护已无法适应复杂的流通场景。
2. 内外风险交织难防
数据在存储、传输及使用全流程中需兼顾机密性、完整性与可用性。单一的边界防护难以阻断内部流转环节的风险，外部攻击常与内部泄露交织发生。
3. 数据流向缺乏可视
面对内部业务、跨域交互及端到端服务等复杂场景，缺乏主动识别手段。数据泄露、未授权访问等异常往往滞后发现，处于被动响应状态。
4. 合规责任分散难统
法规要求日益严格，但数据安全长期被视为“安全部门职责”。跨部门壁垒深、专业人才匮乏，导致安全团队单打独斗，难以推动全局治理。
核心问题在于企业缺乏一本清晰的“安全能力账”，既不知存量优势，也不明缺口所在，导致持续改进无从谈起。
解法：以标准为尺，构建闭环体系
第一步：对标标准，厘清差距
组建专业团队后，首要任务并非采购工具，而是深度解读GB/T 37988-2019标准。将30个过程域涉及的基本实践逐条拆解，从组织建设、制度流程、技术工具、人员能力四个维度进行现状比对，形成明确的差距清单。
第二步：七步铺开，有序建设
遵循“制定方案→数据分类分级→制定策略矩阵→完善制度体系→补齐技术能力→强化人员培训→持续迭代改进”的路径。关键在于先明确“哪些数据重要”，再实施“重点保护”。
第三步：固化“六步法”运营闭环
将DSMM标准解码为可执行的运营动作：数据分类分级→匹配策略→防护覆盖→风险监测→洞察处置→策略优化。这不仅是一次性项目，更是可按年滚动、持续迭代的运营流程。
组织重塑：责任下沉至业务
建立由CSO牵头的五层架构（决策、管理、执行、参与、监督），并推行RACI责任矩阵，确立“谁管业务、谁管业务数据、谁管数据安全”的原则，打破部门壁垒。
架构升级：原子化能力整合
摒弃孤立的“烟囱式”产品，以数据为中心，基于分类分级结果，通过统一运营平台将加密、水印、脱敏、审计等能力封装为可复用的“原子能力”，实现全链路风险关联分析。
成绩单：从三级迈向四级
安全整改工单化
将风险监测与整改纳入数字化工单运营，结合系统权重与安全策略覆盖率，建立数据安全指数评估体系，实现安全成效的可视化与可考核。
能力外溢与成果积淀
除自身通过DSMM三、四级认证外，上海联通还向国泰君安、中金所等重点客户输出DSMM三级认证方案。累计获得数据安全相关专利6项、发表论文2篇、荣获行业及省部级奖项16项，并完成“数安沪航”“护城行动”等10余项专项行动。
清晰的发展路径
2020年启动建设，经历分散运营、集约运营至智慧运营阶段；2023年4月获DSMM三级认证；2024年11月获DSMM四级认证。整个过程依托三年滚动规划，从组织、制度、人员、技术四条线持续完善。
三道门槛：标准落地的实战破局
难点一：标准抽象，落地无据
问题：DSMM指明能力目标，但未提供具体代码级指引。
破局：配套制定数据存储/传输加密、脱敏、备份恢复等10余项技术规范及流程，确保每条防护措施有据可依、有章可循。
难点二：加密部署，性能瓶颈
问题：硬加密成本高，Mybatis插件拦截覆盖面有限，难以适配模糊查询及数仓ETL场景。
破局：改为JDBC驱动层拦截，将加密、解析、SQL映射封装于客户端驱动，密钥缓存于Redis与应用Cache。应用仅需引入Jar包并修改配置，整体性能损耗控制在10%以内。
难点三：流量可见，风险难溯
问题：传统交换机分光镜像方式效率低，无法串联用户、应用及数据库行为。
破局：在联通天宫云容器环境部署API监测探针，实现从用户到数据库的全链路流转监测，清晰描绘数据在应用、API及字段间的流转路径，并结合工单系统对异常行为进行实时告警与处置。
案例启示
1. 量化是管理的前提
本案例的核心价值不在于单一技术方案，而在于“先找尺子量一遍”的方法论。通过将30个过程域逐一比对，将凭经验的“手艺”转化为可打分的清单，为持续改进奠定基础。
2. 从“项目”到“运营”的跃迁
避免安全体系止步于认证通过。上海联通的“六步法”闭环实现了安全能力的年度滚动与持续迭代，这也是DSMM三级（充分定义）与四级（量化控制）的本质区别。
3. 业务认责是关键
技术之外，最难的是让业务部门认领安全责任。通过RACI矩阵将“谁管业务谁管安全”落到实处，使安全团队从“单打独斗”转向“统筹协调”，是实现全域覆盖的决定性一步。
“数据安全最难的不是挡住攻击，而是说清楚自己到底有多安全——只有能被量化的工作，才能被持续改进。”
企业名片
ENTERPRISE
中国联合网络通信有限公司上海市分公司（上海联通）
中国联通在上海的重要分支机构，定位为数字信息基础设施运营服务国家队、网络强国数字中国智慧社会建设主力军、数字技术融合创新排头兵。
· 下设13个区分公司及多个专业机构，服务于上海城市数字化转型与区域经济发展
· 在5G、云计算、大数据、物联网、人工智能及安全等领域加速布局
· 网络安全现代产业链链长单位，2023年成为联通集团内首家DSMM三级认证单位，2024年获DSMM四级认证
精彩推荐
