CISP-DSG 预习课程（2021）

这门课讲什么：数据安全治理，不是泛安全科普

CISP-DSG 的全称是注册数据安全治理专业人员（Certified Information Security Professional - Data Security Governance），发证方是中国信息安全测评中心。它和 CISP 主体认证的区别在于：CISP 覆盖面很宽，从网络、主机到应用安全都要碰；DSG 这一支把范围收窄到「数据」这一条主线上，考的是数据在整个生命周期里怎么分类分级、怎么定策略、怎么落地管控、怎么满足合规要求。

这套 2021 年的预习课程，定位很明确：在正式培训或考试之前，把知识框架先立起来。所以它不会像正式教材那样逐条抠标准原文，而是把 DSG 的知识域拆成几块讲清楚——数据安全治理的基本概念与框架、法律法规与标准依据（网络安全法、数据安全法、个人信息保护法这条线，以及等级保护、DSMM 等标准体系）、数据分类分级的方法论、数据全生命周期的安全管控措施、以及数据安全治理的落地组织与流程。看完之后你应该能画出一张自己的知识地图，知道每一块在考什么、在实际项目里对应什么工作。

技术背景与知识结构：偏管理框架，但有工程落点

需要先说明一个预期管理问题：DSG 不是纯技术认证，不考你会不会配数据库审计、会不会写脱敏脚本。它的主体是治理框架、合规要求和流程设计。但这不代表它离工程很远——恰恰相反，分类分级标准定完之后，落地要靠在数据平台里打标签、在数仓里做字段级权限、在数据流转链路上做脱敏和审计。做数据平台、做安全合规、做数据治理的开发者，会在这门课里找到自己日常工作的「上位依据」。

课程里的知识大致可以归到三层：

• 合规层：法律条文和标准规范的要求边界，哪些是强制、哪些是推荐。
• 方法层：分类分级的判定逻辑、数据安全能力成熟度模型的分域思路、风险评估的流程。
• 执行层：组织架构怎么设、制度怎么定、技术手段怎么配合、如何做持续运营而不是一次性过审。

怎么用这份资料：对照实践，而不是刷完视频

预习课程的特点是密度不高、节奏偏慢，适合当作「第一遍建立语感」。建议的用法是：先按顺序过一遍，每过一个知识域就停下来问自己一个问题——我手里的项目里，哪些数据、哪些流程对应这一块？比如讲到分类分级，就拿自己公司的用户表、订单表、日志表试着分一次级，你会立刻发现标准里的分级规则落到真实字段上有多模糊，这种模糊感正是考试和实务的共同难点。

配套的章节笔记适合在第二遍时用。第一遍看视频做标记，第二遍只读笔记，把没记住的概念补上，第三遍集中处理法规条款和标准编号这类需要硬记的内容。DSG 考试里法规依据和标准名称是高频考点，光理解不够，得能对应上。

自学路径与前置准备

如果完全没有安全基础，建议先把信息安全的基本概念过一遍——CIA 三元组、风险评估的基本模型、等级保护的分级思路，这些是 DSG 的默认前提。有开发或数据平台经验的人上手会更快，因为分类分级、权限控制、数据脱敏这些词你在工程里见过实物，缺的只是把它们组织成治理语言。

时间安排上，预习阶段控制在两周左右比较合适：一周搭框架，一周补法规和标准。之后的正式学习或备考再针对性加强。如果目标不是考证，而是想在公司推动数据安全治理落地，那这套框架同样能用——它提供的是和合规、法务、管理层对话的共同语言，这一点比记住几个标准编号更值钱。

适合谁，不适合谁

适合：做数据平台、数据治理、安全合规的工程师，需要补上治理视角和合规依据；准备考 CISP-DSG 的人，用它做考前框架梳理；技术管理者，需要理解数据安全治理的组织与流程怎么搭。

不适合：想学具体安全工具操作的人，比如渗透测试、漏洞扫描、SIEM 配置，这门课基本不涉及；期待大量动手实验的人，预习课程以讲授和框架梳理为主，动手部分要另找资料。