《数据安全能力成熟度模型》实践指南： 络可用性管理

2019年8月30日，《信息安全技术 数据安全能力成熟度模型》（GB/T 37988-2019）简称DSMM（Data Security Maturity Model）正式成为国标对外发布，并已于2020年3月起正式实施。

DSMM将数据按照其生命周期分阶段采用不同的能力评估等级，分为数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全六个阶段。DSMM从组织建设、制度流程、技术工具、人员能力四个安全能力维度的建设进行综合考量。DSMM将数据安全成熟度划分成了1-5个等级，依次为非正式执行级、计划跟踪级、充分定义级、量化控制级、持续优化级，形成一个三维立体模型，全方面对数据安全进行能力建设。

数据安全能力成熟度模型

在此基础上，DSMM将上述6个生命周期进一步细分，划分出30个过程域。这30个过程域分别分布在数据生命周期的6个阶段，部分过程域贯穿于整个数据生命周期。

数据生命后期安全过程域

随着《中华人民共和国数据安全法(草案)》的公布，后续DSMM很可能会成为该法案的具体落地标准和衡量指标，对于中国企业而言，以DSMM为数据安全治理思路方案选型，可以更好的实现数据安全治理的制度合规。

01定义

络可用性管理，DSMM官方描述定义为通过 络基础设施及 络层数据防泄漏设备的备份建设，实现 络的高可用性，从而保证数据传输过程的稳定性。

DSMM标准在充分定义级对 络可用性管理要求如下：

组织建设

组织应设立负责 络可用性管理的人员或团队。

制度流程

应制定组织的 络可用性管理指标，包括可用性的概率数值、故障时间/频率/统计业务单元等;基于可用性管理指标，建立 络服务配置方案和宕机替代方案等。

1) 应对关键的 络传输链路、 络设备节点实行冗余建设；

2) 应部署相关设备对 络可用性及数据泄漏风险进行防范，如负载均衡、防入侵攻击、数据防泄漏检测与防护等设备。

负责该项工作的人员应具有 络安全管理的能力，了解 络安全中对可用性的安全需求，能够根据不同业务对 络性能需求制定有效的可用性安全防护方案。

02实践指南

组织建设

组织机构在条件允许的情况下应该设立一个 络可用性管理部门以及招募相关的人员负责管理公司的 络可用性，为公司制定整体的 络可用性管理方案和标准，包括制定可用性的标准数值、故障指标、故障处理方案等，对公司的 络节点、传输链路进行考察，并部署相应设备保障 络可用性、防止出现数据泄露等风险，同时还应根据公司不同的业务环境所提出的各种 络性能需求制定有效可靠的安全防护方案等。

人员能力

针对 络可用性管理部门的相关人员，必须具备良好的数据安全风险意识，熟悉国家 络安全法律法规以及组织机构所属行业的政策和监管要求，在进行 络可用性管理的时候主要依据《 络安全法》中的相关要求，对公司的 络可用性做好管理与保护，除此之外，还需要相关人员具备良好的 络架构基础，熟悉公司内部的 络结构和环境，熟悉常用的 络安全防护设备，熟悉常见的 络威胁手段，能够在公司内部的 络环境中根据不同部门或业务对 络环境的不同要求，制定高效可靠的 络安全防护方案， 络可用性管理方案等，并推动相关要求确实有效的落地执行。

针对业务团队的技术团队人员，必须具备足够的 络设备搭建经验， 络设备维护管理和 络可用性维护管理等经验，了解业务团队的所有业务环境，具备一定的应急响应能力，在面对突发性 络瘫痪的情况时，应及时进行应急处置，并上 路可用性管理部门，进行溯源排查等。

落地执行性确认

针对 络可用性管理人员能力的实际落地执行性确认，可通过内部审计、外部审计等形式以调研访谈、问卷调查、流程观察、文件调阅、技术检测等多种方式实现。

制度流程

1） 络可用性管理指标

可用性指系统或组件在指定的条件和时间内，维持其规定功能的能力，塔通常以百分比标识并能综合反映设备的可靠性和可维修性。影响 络可用性的主要因素有 络的设计结构、设备的可靠性、传输介质和设备运行环境因素。 络可用性常用到以下指标：

①平均无故障时间（Mean Time Between Failures，MTBF），即整个 络的各组件(链路、节点)不间断无故障连续运行的平均时间。MTBF越大，表明越不容易出故障，可用性自然高。MTBF反映的是 络的可靠性（reliability）；

②平均修复时间（Mean Time To Repair，MTTR），即从故障发生到故障消除所需要的平均时间。MTTR越小，表示故障时间越短，可用性也就越高。出现故障后，要经过检查、识别、定位、修复和核查过程，还可能出现技术延迟和后勤延迟，MTTR不仅与设备的种类和所在位置有关，与是否使用 络管理系统及该系统的响应速度和告警能力有关，还与维修队伍的整体素质（包括体质、管理、责任心、维修支援能力等因素）有关；

③可用度（Availability）：可用性的定量描述；

④不可用度（Unavailability）：与可用度相对；

2）提高 络可用性

①在 络规划设计阶段，需要细致分析业务模型，确定基础 络拓扑，对影响 络可用性的关键节点和链路必须做充分的冗余设计，并根据 络结构，在各个层次、各个节点部署合适的高可用性技术。

②在组件或设备选型时，除保证技术指标外，也要有足够高的可靠性指标。

③持续进行 络维护和优化。利用高效的 络设备管理工具持续监控、分析、预测、优化，最大限度的规避 络拥塞。

④在进行软硬件版本升级或新设备，新业务上线时，需要事先详细规划，制定应急预案。

⑤高度关注 络安全问题。定期对主机系统和 络系统进行安全评估，构建一个多层次的安全防御和预警系统。

⑥做好业务系统和 络系统的协调。积极分析业务模型，并适当的进行调整，可以让 络更通畅。

3） 络服务配置原则

①层次化：分层次设计 络结构，严格定义各层次的功能；

②模块化：根据区域划分拓扑结构；

③可扩展：根据业务发展需要，通过简单复制模块单元来拓展 络；

④冗余设计：提供设备和链路的冗余保护；

4） 络可用性管理规范

①设定 络可用性管理部门，负责 络及其组件设备的日常维护以及 络故障的应急工作，全面负责可能出现的各种突发事件处置工作，并协调解决 络故障处置工作中的重大问题。

② 络故障发生前， 络可用性管理部门需预先对 络故障预警预 体系进行建设，编制 络故障防治规划。

③ 络可用性管理部门需加强对 络及各组件的日常监测及其日志保存工作，发现险情时，需及时向领导小组 告。

④ 络可用性管理部门要严格执行值班制度，以保障最先发现 络故障并及时处置次突发事件。

⑤建立健全 络故障速 制度，保障突发性 络故障信息可立即发布预警。

⑥ 络故障发生时，立即启动应急预案，采取应急处置程序，判定 络故障级别，并立即向领导小组 告。在 络故障处置过程中，应及时 告 络故障处置工作的进展情况，直至故障修复。

⑦ 络故障消除后，由 络可用性管理部门向领导小组宣布 络故障应急期结束，并予以公告，同时预案终止。

技术工具简述

数据在 络传输过程中依赖 络的可用性，一旦发生 络故障或者瘫痪，数据传输也会受到影响甚至中断。 络可用性管理过程域的设定，即要求建设高可用性的 络，从而保证数据传输过程的稳定性。所谓 络可用性并不是单纯的 络设备、服务器或节点的通断，而是一种综合管理信息，以反映支持业务的 络是否具有业务所要求的可用性。 络系统的可用性包括：链路的可用性，交换节点的可用性（如交换机和路由器），主机系统的可用性， 络拓扑结构的可用性，电源的可用性以及配置的可用性等。但由于 络节点与 络链路的故障无法完全避免，因此构建高可用性 络的基础就是要实现快速故障发现和快速故障恢复，在这个过程中涉及相关的检测手段及冗余措施。

目前 络可用性的主要考核指标公式可参考以下

络可用性的计算公式：

从上述公式我们可以看出，为了提高 络可用性，我们需要尽量的提高平均故障间隔时间（MTBF），即保证 络在规定时间内不出故障或少出故障，主要的措施有避错和容错机制。同时降低平均修复时间（MTTR），即 络出了故障要能迅速修复，主要措施时快速检错和快速排错（恢复）。因此主要有4方面技术方法来提高 络可用性。

1）避错措施

避错就是通过改进硬件的制造工艺和设计，选择技术成熟可靠的软硬件等策略来防止 络系统的错误产生，从而提高 络的可靠性，并通过可靠性来提高 络的可用性。

避错方法包括各种硬件、软件和管理措施。

硬件避错方法是通过改进硬件的制造工艺和设计，防止错误的产生，包括 络中电气系统的避错、 络设备的避错、服务器的避错和 络中传输媒体的避错等。

软件避错方法包括形式说明、过程管理、软件测试和程序设计技术选择等，例如 络应用系统的避错和成熟可靠的 络操作系统的使用等。

管理避错方法要求 络运行管理要严格按照规范进行，包括制度建设、任务分配、设备标识、规范文档记录、各种软硬件日常维护和 络安全管理标准等，例如管理信息存储的避错、 络中 络结构选择的避错和日常 络管理的避错等

2）容错机制

避错方法可以提高 络可靠性，但无论多么可靠的系统都会出现系统失效，光靠避错方法不能完全解决系统的可靠性，因此通过容错技术，外加冗余资源消除单点故障使系统在单点故障中仍能正常工作。冗余资源主要包含三块：硬件冗余、软件冗余、路由冗余。

3）快速检错

实现快速检错包括故障检测和故障诊断两方面，故障检测的作用是确定故障是否存在，故障诊断的作用是确定故障的位置。一般快速检错是从故障现象出发，以 络诊断工具为手段获取诊断信息，确定 络故障点，查找问题的根源具体包括：

①自动检错而不是人工检错可以更快提高检错的速度；

②借助线路检测工具（如线缆测试仪、时间域反射计）可以加快线路故障的检错速度；

③利用 络管理系统专门的管理进程不断地检测路由器的关键数据并及时给出 警可以加快路由器故障的检测速度；

④通过工具自动监视主机流量、扫描主机端口和服务来检测主机的异常，可以加快主机故障的检测速度；

⑤利用 络测试仪可以自动定位 络故障源，找出故障点并显示其 络相关信息，从而加快逻辑故障的检测速度；

⑥利用 络分析工具进行快速检错，如协议分析程序Snigger，操作系统中内置的一些非常有用的软件 络测试工具等；

4）快速排错（恢复）

排错事在 络出现故障时，逐一排除故障，恢复系统的可用性。 络故障排错的方法分为：

①分层故障排错法：它主要根据 络分层的概念进行逐步分析的方法；

②分块故障排错法：此方法从设备的配置文件入手，将配置文件分为管理部分、端口部分、路由协议部分、策略部分和接入部分，并对其逐一进行检查排错；

③分段故障排错法：此方法是把 络分段，逐段排除故障；

④替换法：替换法是检查硬件问题最常用的方法。如怀疑是 线问题时，更换一根确定完好的 线尝试。

受限于篇幅，此处技术工具不进行进一步展开，在 络系统的不同建设阶段，我们可以选择性的引入不同的技术工具，这里我们按照 络系统建设的三个阶段： 络系统设计期、 络系统建设期、 络系统维护期来理解技术工具的使用

络系统设计期： 络系统设计期的时候， 络系统还处于不完整的状态，在这个阶段，可以根据避错措施中涉及的各方面，对 络系统涉及到的硬件、软件进行选型，在经济许可的情况下，选择技术成熟可靠的软硬件等策略来防止 络系统的错误产生

络系统建设期： 络系统建设期时，此时 络基本可用，为防止突发的 络事故导致 络不可用的情况，此时引入容错措施，通过硬件或软件的负载均衡增加 络可靠性。

络系统维护期：通过前面的避错、容错措施的建设， 络可用性大大增强，同时 络出错的概率也大大降低，此时主要是针对日常 络系统的监控、检错、排错，使用相关技术工具，不断减少平均修复时间，从而实现 络可用性的全维度把控。