数据安全人员能力
数据安全治理不是简单技术形的工种，在现在大数据背景下，是一个复合型的工作，所需要配备的人 员也需要具有多方面的能力。数据安全领域较新，在国内这方面培养的人员较少，也是当前逐步需要提升 的关键任务。
数据安全的人员能力主要包括几个维度，数据安全管理能力、数据安全运营能力、数据安全技术能力 和数据安全合规能力。通用能力在本章节中不再具体描述。
数据安全管理能力
目前大部分组织尚未正式开展数据安全体系建设，也较少有数据安全的专职职能岗位，对人员能力的 培养也在起步阶段。但是随着组织对数据安全的重视度逐步提高，体系建设的诉求也越来越强，所以如何 建设完整的数据安全体系，做好数据安全管理是企业面临的第一大问题。
数据安全管理包含以下能力：
M1 熟悉国家网络安全法律法规及组织所属行业的政策和监管要求，了解行业内数据安全建设的最佳实践路线；
M2 具备良好的业务发展战略判断能力，能够通过平衡业务需求和法律风险进行战略思考并提供实用建议；
M3 熟悉组织的业务特性，能根据业务的发展变化，制定或调整组织的数据安全策略；
M4 能够基于组织的数据安全策略，编制相关的制度体系文件，对业务过程进行规范指导；
M5 在隐私保护、数据安全、风险管理、审计合规等相关领域至少 3 年以上的管理经验；
M6 具备组织内跨部门的管理协调能力，能够调动其他部门资源配合落地相关的数据安全控制机制。 M7 具备数据安全管理团队的组建及人才梯队建设的能力；
M8 具备数据安全应急指挥能力，对业务过程中发生的数据安全问题，能够准确判断快速组织相关人员进行应急处置；
M9 了解组织业务及数据特性，在各业务部门有针对性的落实数据安全策略和控制措施；
M10 具备与国家单位、行业监管机构及合作伙伴之间的沟通协调能力，能利用外部资源协助组织数据安全体系的建设；
M11 具备良好的数据安全风险意识。
数据安全运营能力
数据安全建设是一个长期持续的过程，需要在组织内持续性的落实数据安全的相关制度和流程，并基 于组织的业务变化和技术发展不断的调整和优化，安全也是一个不断螺旋上升的过程，因此需要做好数据 安全运营工作。数据安全运营包含以下能力：
O1 具备数据安全策略、制度规程及技术工具在组织内部的推广落地能力;
O2 具备利用相关技术工具，对组织业务运营过程中的数据安全风险进行监测、识别、预警和处置的
能力;
O3 具备对组织现有数据安全控制措施的有效性进行识别和判断的能力;
O4 具备对员工进行数据安全培训和安全意识教育的能力。
数据安全技术能力
数据安全的实现，需要技术和工具平台的支撑，来完成安全管控措施的构建，从而实现数据安全能力 的建设。数据安全技术目前正在逐步更新和迭代，在大数据环境下，要求组织内从事数据安全领域的技术 人员具备以下能力：
T1 熟悉国内外主流的数据安全产品和工具，如数据防泄漏（DLP）、脱敏工具、数据溯源、加密平台
等，能准确判断当前组织所需的最佳实践，并深入和落地应用；
T2 在数据安全全生命周期中，能评估潜在数据安全风险，如数据业务风险、数据风控风险、隐私保
护风险等，并能制定有效、合理降低数据风险的解决方案或者措施；
T3 在数据安全架构设计时，能够贴合业务和合规场景，覆盖数据在全生命周期中的保护；
T4 能对敏感数据流动做好审计工作，具备风险排查能力，快速处置数据的篡改和泄露等风险；
T5 能对当前数据安全体系进行技术验证，如白盒、灰盒和黑盒等安全测试和对抗，从而让数据安全
防御形成一个持续迭代更新的良性循环系统；
T6 需要自研或平台型的组织，应熟悉数据安全技术发展，了解国内外前沿的数据安全和隐私保护技
术，如加密技术、差分隐私和 UEBA等，能在恰当时期引入组织需要的技术，从而降低数据安全 和隐私保护的风险。
数据安全合规能力
在数据安全领域，国内外越来越多的法律法规、标准逐步出台，如《网络安全法》、《个人信息保护法 （草案）》、欧盟《一般数据保护条例（GDPR）》等，合规工作成了数据安全领域建设的底线。如何保障合 规要求准确识别，并形成内部规章指导合规落地工作，主要具备的能力包括：
C1 熟悉国内外数据安全和隐私保护的法律、政策和行业标准，并精通适用于本组织业务开展所必须遵守的法律、政策和标准内容；
C2 能够依据外部合规要求，建立覆盖组织的数据安全和隐私保护的管理体系和机制，并推动多方参与，落地执行；
C3 能够与组织内采购、供应商管理以及法律等部门合作，确保合作伙伴执行统一的标准，使得合同和操作层面的协议、数据安全和隐私保护管理计划，符合国内外数据安全政策与法规要求；
C4 能够与业务、法务和风险等部门协作，发现的隐私合规问题，并制定纠正措施和计划，定期进行评审。
人员能力与组织架构的映射
考虑到数据安全组织架构中各个层级能力要求会有侧重和交叉，用下图来表示他们之间映射关系：
表1：人员能力与组织架构映射关系
| 组织架构 | 管理能力 | 运营能力 | 技术能力 | 合规能力 |
|---|---|---|---|---|
| 策略层 | M1、 M2、 M3、 M6、 M7、 M10 | O1 | T2、T3 | C1、C2、 |
| 管理层 | M1、 M2、 M3、 M4、 M5、 M6、 M7、 M8、 M9、 M11 |
O1、 O4 | T1、T3 | C1、C2、C3、C4 |
| 执行层 （运营） | M1、 M6、 M8、 M9、 M11 | O1、O2、O3、 O4 | T1、T2、T3、T4 | C1、C4 |
| 执行层 （技术） | M1、 M6、 M8、 M9、 M11 | O2、 O3 | T1、T2、T3、T4、T5、 T6 |
C1、C4 |
| 监督层 | M1、 M2、 M3、 M4、 M5、 M6、 M7、 M8、 M9、 M11 |
O3、 O4 | T1、T4、T5 | C1、C4 |
| 员工、 合作伙伴 | M11 | / | / | / |