DSMM 等级如何选择？数据安全能力成熟度评估的分级要求与企业定位解析

在数据安全治理工作中，"DSMM 应该申请几级""2 级和 3 级的差距在哪里"是数据安全负责人与合规团队在启动评估前关心的问题。DSMM 的等级并不是越高越好，而是要与企业实际的数据安全能力水平、业务数据敏感程度与合规要求相匹配：等级定位过高，能力建设与证据准备跟不上，评估难以通过；定位过低，又无法覆盖监管与客户对数据保护的实际期待。理解各等级的能力要求与判定方式，是做好等级选择的前提。本文结合思特瑞咨询在数据安全与数据管理咨询领域的实践，对 DSMM 的分级要求与企业定位方法进行解析。

从标准依据看，DSMM（数据安全能力成熟度模型）依据国家标准《信息安全技术 数据安全能力成熟度模型》（GB/T 37988-2019）开展，该标准于 2019 年 8 月 30 日发布、2020 年 3 月 1 日实施，是我国数据安全领域的国家标准，适用于所有对数据安全有需求、关注自身数据安全能力建设情况的组织，不限定行业。

从模型结构看，DSMM 由三个部分构成。一是四个安全能力维度：组织建设（是否设立专门的数据安全岗位与人员、职责分工是否清晰）、制度流程（覆盖数据采集、传输、存储、处理、交换、销毁各环节的制度与流程是否完善并有效执行）、技术工具（数据加密、访问控制、数据脱敏、备份恢复等技术手段是否具备并与业务系统适配）、人员能力（人员的数据安全意识与专业技能是否满足要求）。二是七个安全过程维度：数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全与通用安全，合计 30 个过程域。三是五个安全能力等级，自低向高为 1 级非正式执行级、2 级计划跟踪级、3 级充分定义级、4 级量化控制级、5 级持续优化级。

从等级内涵看，各等级的能力状态差别明确。1 级非正式执行级：安全过程随机、无序、被动执行，主要依赖个人经验，难以复制。2 级计划跟踪级：在业务系统级别主动实现安全过程的计划与执行，能够跟踪与控制执行进展，但尚未形成全面体系。3 级充分定义级：在组织级别实现安全过程的规范执行，标准过程制度化，过程可重复执行，执行结果可核查。4 级量化控制级：建立量化的安全目标，安全过程可度量，能够通过数据分析评估与改进数据安全能力。5 级持续优化级：根据组织整体目标持续改进数据安全能力与过程有效性，快速适应业务与技术变化。

从等级选择建议看，标准本身未对初次申请的级别设置强制限制，实践中的通行做法是：多数组织适合从 2 级起步，先建立有计划的、可跟踪的数据安全过程；3 级适合已具备较高数据安全实践水平、需要向客户与监管方证明体系化能力的组织；4 级适合在数据安全领域建设水平领先、具备量化管理基础的组织；5 级目前暂不开放申请。评价采用评分制：先针对每个过程域的四个能力维度逐项打分，再通过计算平均分与修正分值得到过程域分值，终形成组织的综合得分与等级结论。

从行业观察看，企业在 DSMM 推进中常见三类问题。一是等级选择脱离实际，尚未建立基本的过程计划与控制机制便直接申报较高等级，能力建设与证据准备压力过大。二是以技术工具替代体系机制，采购了加密、脱敏与访问控制工具，但组织职责、制度流程与人员能力并未同步建设，评分时四个维度难以均衡达标。三是忽视数据全生命周期的完整性，只关注存储与处理环节的安全措施，对采集阶段的合规性、交换与共享环节的责任界定、销毁环节的处置记录缺乏管理。有效的做法是以数据全生命周期为主线，逐环节梳理合规义务与控制措施，再对照四个能力维度补齐差距。

在适用对象上，DSMM 适用于两类组织：一类是数据拥有方，如大数据企业、金融机构、政务单位等掌握大量数据的组织；另一类是数据解决方案提供方，如数据运营商、信息系统建设商等对外提供数据相关服务的组织。从地域看，数据要素市场建设推进较快、政企数据治理需求集中地区的组织关注度更高；金融、电信、能源、政务与互联网是数据安全需求较为集中的行业。

DSMM 评估的实施通常沿"差距分析—能力建设—测量评估"三步展开，具体包括：现状诊断与等级定位、数据安全组织与职责建设、制度流程体系建立、技术工具部署与适配、人员培训与意识提升、内部评估与整改、正式评估与等级结论获取等环节，证书有效期通常为三年，期间接受监督以确保持续有效。企业宜在启动前先完成数据资产梳理与合规义务识别，使安全措施有的放矢。选择咨询机构时，建议考察其是否熟悉 GB/T 37988-2019 的能力维度与过程域要求、是否具备数据安全技术与合规咨询经验、是否能与数据治理体系协同建设。商务层面，专业机构会将服务范围与费用透明列明并写入合同，无隐形收费。

等级结论之后，组织应把数据安全要求融入日常运营：以数据分类分级为基础管理数据资产，以访问控制与加密等手段守住关键环节，以监测与响应机制应对安全事件，以定期评估与演练检验能力有效性。数据安全能力的建设没有终点，把制度、技术与人员的改进循环持续运行下去，才能真正降低数据风险。

思特瑞咨询的数据咨询资质产品线覆盖 DSMM 数据安全能力成熟度评估的贯标咨询与评估辅导，可根据组织的数据资产状况与合规要求提供等级定位建议，并与数据治理咨询、DCMM 数据管理能力成熟度评估等工作协同推进。公司总部位于苏州工业园区，在上海、北京、南京、杭州、合肥、成都、南昌等地设有分支机构，顾问团队具备数据安全与管理体系咨询经验。如您正在了解"DSMM 等级选择"的判定方法，欢迎通过官网（http://www.szstr.com）或咨询热线 400-636-6998 与思特瑞咨询联系。