随着《网络安全法》《数据安全法》《个人信息保护法》等一系列数据相关的法律法规颁布施行，国家对数据安全的重视程度空前，监管也愈加严格。这极大的促进了数据安全行业的发展，推动企业数据安全建设进入“快进模式”。但随着安全建设的不断深入，各种规划、制度、要求的增多，在进入安全运营阶段后，可能会出现制度未落地、要求未执行到位的情况，这时候合规检查的存在就显得尤为重要。
合规检查是指从安全合规的角度出发，通过某些方法和手段，发现企业数据安全中一些需要优化及改正的地方，从而推动整个安全体系的建设与运营。
数据合规检查分为专项检查与日常检查两种类型。其中，专项检查一般会是针对某个具体方面，覆盖整个企业的检查工作，涉及范围广，但内容具有针对性，例如终端安全检查，需要对企业所有终端进行检查；日常检查是对日常操作进行检查或领导临时安排的检查工作，这是针对某个系统或应用开展的，涉及的内容会比较广，但范围不大。
01
现状调研
企业在进行数据安全合规检查之前，首先要进行充分的现状调研，梳理企业的基本信息、数据情况、整体制度和安全防护情况。如果现状不明确，可能会导致数据安全合规检查工作没有头绪，无法开展。因此，明朝万达数据安全专家强调要在数据安全合规检查工作开始前进行现状调研，明确合规检查的范围、对象，并将整理结果汇总至相关责任人。调研方向如下：
1、梳理企业基本信息，了解企业的主要业务范围、业务规模，分析企业对于国家、社会、人民生命财产的重要性，了解企业是否建立数据安全管理制度和组织机构。
2、梳理企业数据基本信息，了解企业数据的类别、重要程度、规模、分布位置、流动路径、责任人，承载数据的系统情况及其网络拓扑、运营维护等情况。
3、梳理企业数据安全防护情况，了解企业的数据安全管理机制建设情况，初步掌握企业已部署的数据安全防护系统及采取的防护措施。
02
确定内容
数据安全合规检查可以按内容分为管理检查项和技术检查项。也可以按照检查方式分为人工检查和工具检查。还可以根据数据级别分为数据安全通用防护和数据安全分级防护，为不同的数据对象确定不同的检查内容。
1、人工检查：安全管理制度、组织机构、人员保障、权限管理、供应链数据安全管理、系统与设备安全管理、研发运维管理、安全评估记录、日志留存与审计、检测预警管理、信息共享管理、应急处置管理。
2、工具检查：数据收集安全、数据存储安全、数据使用安全、数据传输安全、数据提供安全、数据公开安全、数据销毁安全、数据出境安全、数据转移安全、研发运维安全。
03
合规检查
企业在明确了检查内容后，应迅速成立检查小组，按既定的检查计划，针对不同的检查项进行数据安全合规检查。
对于管理制度和台账文档清单可以人工进行检查，但针对数据生命周期中的数据资产清单、敏感数据识别、异常行为监测、敏感数据泄露、非法越权访问、数据跨境传输、数据非法外联等人工难以检查的内容则应该采用专用工具，通过流量扫描技术、敏感数据识别技术、API接口脆弱性分析技术和终端安全检查技术进行检查，减少人工检查工作量的同时也可以量化检查。对于大部分数据生命周期技术检查项，可以使用开源工具进行扫描、收集和分析数据安全情况。针对少部分无法用开源工具检查的项目，也可以用合规检查安全U盘等其他专用工具进行专项检查。
产品优势
1、支持windows7、windows10、winSever、统信uos、麒麟uos等主流终端环境；
2、支持office文件、wps文件、压缩文件、代码文件等主流文件格式内容扫描；
3、基于行业数据分类分级，预置大量检查规则；
4、支持合规检查结果统计汇总。
04
总结提升
数据安全合规检查不是结束，而是一个开始。在数据安全合规检查后，应基于对国家法律法规、行业标准、技术的研究，基于企业安全现状，梳理出数据安全的管理需要遵循安全政策，建立科学的数据安全保护制度，解决公司实际存在的安全问题，增强抗击数据安全威胁的能力。结合业务发展规划、数据安全现状和数据安全合规检查情况，编制数据安全能力提升规划，为数字化转型和业务发展、数据安全建设提供决策依据。
专家总结
明朝万达数据安全专家提醒，针对行业特定的数据安全重点问题，使用人工加自动化工具方式开展数据安全合规检查，能够有效发现数据安全问题，并通过对相关的问题进行专业分析，为数据安全整体提升起着至关重要的作用。
基于“动态数据安全，数据全生命周期管控”的产品理念，明朝万达始终以守护用户数据价值为己任，致力于让安全真正服务于业务发展。在大数据、云计算等新技术应用背景下，明朝万达以数据安全为核心、自主可控的国密算法应用技术为基础，研发的Chinasec（安元）数据安全系列产品及解决方案，覆盖数据产生、存储、交换、使用等全生命周期重要环节，实现对服务器、数据库、PC终端、移动终端以及网络通信的全IT架构下数据安全的协同联动管理，打造企业级的数据安全防护体系。
