資料安全治理自動化( 一 ) “持續診斷與緩解 (CDM)”專案
數字經濟已成為我國經濟發展新常態下的創新力量，因此做好資料安全，進行資料安全治理，將成為數字經濟發展的首要工作。資料安全在中國起步比較晚，資料安全的技術工具和標準成熟度也較晚。在此，
我們希望用三個篇幅來淺談一下資料安全治理的現狀， 並帶您瞭解天空衛士的資料安全治理自動化技術。
第一個篇幅我們首先來了解美國聯邦政府的資料安全專案"持續診斷與緩解 (CDM)"
什麼是CDM
什麼是CDM呢？下面我們對CDM的“身世”做一下了解。
資訊化技術給美國帶來了飛速的發展，網路安全風險和威脅也一直備受重視。從 21 世紀初期，美國就開始了網路安全工作的探索，從各種網路安全法律、網路安全戰略出臺，逐漸明確了美國聯邦政府的網路安全機構、職責分工和協作機制。
美國持續診斷與緩解 （CDM）專案，是國土安全部（DHS）國家網路空間安全保護系統（NCPS）計劃三大專案之一，早在2012年美國國土安全域性就提出了這個概念。
CDM由美國網路安全和基礎設施安全域性（CISA）主導的網路安全產品和服務採購標準，目的是為提升美國聯邦、州、和地方政府在識別和減輕新興網路威脅影響的能力，以全面保護聯邦民用網路。
CISA的前身是國家保護與計劃局（NPPD），隸屬於是美國國土安全部（DHS）。
2020財年總統的預算案建議為DHS投資19。19億美元，其中負責全國網路安全防護的CISA預算約為10億多美元，佔部門網路安全總預算過半。
在2020財年預算安排中，CDM是預算中一個大類。
商業公司提供的數百萬種商業產品和服務要新增到CDM 批准產品清單 （APL） 中，都是需經過DHS和CISA產品認證及審批。
為什麼提出CDM
針對美國聯邦政府網路的網路攻擊越來越複雜、而很多是“強悍’的持續動態攻擊。政府網路和系統包含涉及國家安全的敏感資料。政府必須保護這些資料不被竊取，保護網路和系統不受攻擊，同時繼續向公眾提供基本服務，保護個人隱私、公民權利和公民自由。
而CDM計劃是自動化、基於風險的網路安全的動態分析方法，可以更好地確保敏感資料的安全，並在保護敏感資訊的同時提供基本服務。
CDM的四個階段
CDM專案共分為4個階段：
第一階段，資產管理—— “網路上有什麼？”
該階段管理4類網路資產，包括硬體資產管理、軟體資產管理、配置設定管理、漏洞管理。
第二階段，人員管理——“誰在網路上？”
該階段包含4項內容，分別是授予訪問許可權人的信任管理、安全相關的行為管理、憑據和身份驗證管理、帳戶/訪問/管理許可權管理。
第三階段，事件管理——“網路上發生什麼事？”
該階段包含7項內容，分別是突發事件的預備處置、突發事件的應對、設計及構建的策略規劃、設計及構建的質量、審計資訊管理、運營安全管理、網路訪問控制管理。
第四階段，資料管理——“如何保護資料？”
該階段包含五項能力，分別是資料發現及分類、資料保護、資料防洩露、資料洩露響應、資訊許可權管理。
CDM的能力要求
CDM包含
四項能力
，分別是：資產管理、身份和訪問管理、網路安全管理、資料保護管理。
CDM的功能要求
而其中資料保護管理能力，包含
五項功能
：資料發現及分類、資料保護、資料防洩露、資料洩露響應、資訊許可權管理。
關於資料發現及分類、資料保護、資料防洩露、資料洩露響應、資訊許可權管理CDM
都有詳細要求，由於涉及內容較多，詳細內容我們可以在後面的章節中展開。
CDM的作用
CDM 計劃是一種加強政府網路和系統網路安全的動態方法。CDM 計劃為 DHS ［和其他］ 美國聯邦機構提供了持續識別網路安全風險的能力和工具，根據潛在影響對這些風險進行優先排序，並使網路安全人員能夠首先緩解最重要的問題。
緩解網路安全風險
CDM提供了一套一致的、政府範圍的連續診斷解決方案，以增強政府識別和緩解新出現網路威脅影響的能力。使網路管理員能夠在任何時間瞭解各自網路的安全狀態，及時瞭解存在的風險和威脅，在發生威脅的時候能夠以最快的速度識別和解決威脅，並且將威脅解決的成本降到最低。
提升安全響應能力
CDM能夠提升識別和減輕新興網路威脅影響的能力，以減少網路威脅面，提高對安全態勢的可見性，提升安全響應能力等。
按照緊急程度處理不同風險問題
迅速識別網路安全風險，優先處理最嚴重的問題，降低IT系統和政府網路的運營風險，提升系統利用率。
CDM對資料保護的基本要求
至少要滿足以下條件：
資料保護管理的流程和策略
需要保護敏感/隱私資料在靜止、
使用和傳輸過程中
的安全，
確保資料資產的機密性、完整性和可用性
，並確保敏感資訊只有在合法授權的前提下才能被訪問和使用，資料保護管理的流程和策略，涵蓋以下內容：
識別敏感/隱私資料資產；
瞭解資料資產的位置、及相關的資料流
；
識別授權角色、使用者、使用、處理、披露和保留隱私資料；
建立與資料資產嚴重性和影響相稱的訪問控制及保護措施；
監控資料資產控制、及保護措施的有效性；
收集、及報告資料資產洩露；
及時響應通知利益相關者資料洩露；
有效恢復，
以達到
運營不受影響；
從CDM的標準和要求可以看出，做好資料安全的目標主要有以下幾點
明確資料所有權和使用權。制定完善的資料所有權管理規範，確保對資料的所有更改有法可依，有據可查；
根據企業內外部要求（法律法規和業務），做好資料保密工作，防止資訊洩露；
建立資料事件響應容災機制，制定完善的響應流程，確保當事故發生時能將損失降到最低、受影響時間縮至最短。
哪些國際廠商深度參與了CDM
哪些國際網路安全廠商參深度參與了CDM？提供了哪些產品？如何參與的？我們以被雷神收購整合的美國資料安全公司Forcepoint來舉例說明。
2017 年 10 月，Forcepoint 向美國總務管理局提出的初始申請被CDM計劃接受，該計劃使各機構能夠快速獲取網路安全產品。
Forcepoint的下一代防火牆（NGFW）、電子郵件安全、Web 安全和 DLP 產品都是初始應用程式批准的一部分，可在第三階段的 CDM 批准產品清單（APL）中使用。
11 月底，CDM APL接受了另外兩個 Forcepoint 產品。
Forcepoint行為分析技術（UEBA）、Forcepoint 內部威脅防禦（Insider Threat）現在也在批准的產品列表中找到。
以上是對CDM內容的介紹，在後續的兩個章節我們會介紹資料安全治理在中國的發展現狀，以及資料安全治理髮展的下一步。敬請期待！
