【 2-1 】

工程规划

知识点说明:数据安全工程规划不是平均花钱,而是先从业务目标、现有问题和数据重要程度出发,确定建设优先级,再把有限预算放到最影响业务的环节。规划的价值在于决定“先做什么、后做什么”,避免资源被平均分散。

工程规划案例配图

只有5万元,先改哪里?

新疆尼娅面包厂准备拿出5万元改善数据安全。周厂长列出一串问题:配方文件很多人能看,订单资料散在不同电脑,生产记录经常找不到最新版,备份也从没真正恢复过。他问张婷:“钱就这么多,是不是每个地方都分一点?”

张婷没有先看报价,而是把问题对应的数据分开:配方属于核心经营数据,订单和生产记录直接影响当天业务,备份关系到故障后的恢复。再看影响范围,四类问题虽然都存在,但后果并不一样。

她继续沿业务流程看时间成本。订单表找不到,会让员工反复询问;生产记录混乱会导致核对;而配方权限过宽和备份无法恢复,一旦出问题,可能让多人长时间停下来处理。问题不是“哪里都缺一点钱”,而是预算和风险重要程度发生了错位。

张婷把业务影响、发生可能性和整改成本放在一起对比,抓住最影响经营连续性的几个控制点,把5万元分成明确的先后顺序:先收紧核心配方访问,再验证关键备份能否恢复,其余问题使用现有Excel、账号和流程逐步整理。

预算没有增加,却不再平均撒出去。5万元从一笔模糊的“安全费用”,变成了按照业务重要程度依次解决关键问题的工程资源。

01 · 重点摘要

重点和必记

重点

  • 工程目标是在数据生命周期各环节建立可执行、可验证、可追溯的控制措施。
  • 规划原则包括业务驱动、分级保护、全程覆盖、最小授权、纵深防护、可运维性和持续改进。
  • 需求调查输入包括业务流程、系统清单、资产台账、风险问题和合规要求;输出包括调研记录、范围和问题清单。
  • 常用调查方法包括访谈、文档审查、配置核查、日志抽查、样本测试和现场走查。

必记

  • 工程范围包含技术产品、制度流程、人员职责、测试验证、运维和持续改进。
  • 每个阶段都应形成明确交付物。