DSMM 评估怎么做：六个环节逐个过

先说结论：DSMM 评估的难点不在制度文件，而在六个环节里有没有真实的技术手段和运行记录。制度里写"数据已加密""已脱敏""已审计"，这只是个说法；评估时要能打开系统看见加密配置、能导出脱敏任务记录、能抽到带时间戳的审计日志。拿不出来，这条就不算——写得再规范也是零分项。

DSMM 是数据安全能力成熟度评估模型，把能力分成 5 个等级：1 非正式执行、2 计划跟踪、3 充分定义、4 量化控制、5 持续优化。评估的观察对象是一张矩阵：横向是数据生存周期的六个环节——采集、传输、存储、处理、交换、销毁；纵向是四个能力维度——组织、制度、技术、人员。六个环节乘以四个维度，每一格都要有"做了什么"和"凭什么证明"。

流程上通常先做自评或差距分析，摸清现状与目标的距离，再由具备资质的评估机构实施正式评估。评估看的是证据：制度文件、流程记录、技术手段（分类分级、脱敏、加密、审计）、以及实际运行数据。

这篇按"先定级 → 六个环节各自看什么 → 四个维度怎么补 → 自评怎么做 → 正式评估看什么证据 → 常见返工点 → 与 DCMM / ISO 27001 和监管要求怎么排"的顺序讲。不写标准号，不写费用与周期数字——这两样都取决于评估范围、企业规模和机构安排，以承担评估的机构为准。

一、先定级：五级里，多数企业卡在 2 级到 3 级之间

定级先看要求从哪来：招标文件里写了哪一级、监管检查提到了什么、集团或客户的数据安全要求卡在哪一档。原文写了就按原文准备，以招标文件或监管方书面要求为准，不要按行业习惯猜。

为什么卡在 2 到 3 之间？因为这两级的性质不同。2 级证明"有人在盯"，3 级证明"有定义、有流程、有记录"。从 1 到 2，靠加人、加会议、加检查能推上去；从 2 到 3，必须把动作写进制度、嵌进系统、并且真的跑过若干轮留下痕迹。技术手段这一栏在这道坎上被拉得很开——没有分类分级的标签、没有脱敏和加密的实际配置、没有集中可查的审计日志，制度和人员写得再好也补不上。

两点提醒。其一，级别不是越高越好，4 级要的是量化指标和预警机制，没有几年运行数据硬上，性价比不成立。其二，任何机构都不应提前承诺你能到几级。等级判定由评估机构按评估规则独立作出，本文也不对结果作任何承诺。

二、采集与传输：数据从哪来、怎么走

六个环节里，采集是源头，传输是管道。源头不清，后面的分级、脱敏、审计都无处落脚——你不知道哪些数据进来了，就没法给它们打标签。

采集环节会被问到的：

• 有没有数据源台账。业务系统、第三方合作、公开渠道、终端导入，各类来源分别有哪些，谁批的，进来了什么字段。台账对不上系统，后面全歪。
• 采集前有没有授权与告知。涉及个人信息的采集，告知与同意的形式、留存方式要能拿出来。具体要求以现行监管要求为准。
• 采集时是否打分类分级标签。这是技术维度的关键动作：新进来的数据在入库或接入环节有没有自动或半自动的分类分级标注，还是等出了事再回头补。
• 接口有没有管住。对外提供的采集接口、SDK、埋点清单，有没有鉴权和字段白名单，还是"谁都能调"。

传输环节会被问到的：通道是否加密（系统间调用、跨网传输、移动端回传）、跨网与跨境传输有没有独立审批、第三方接口有没有台账和到期复核。跨境这一项监管关注度高，是否允许、需要什么手续，以现行监管要求为准，不要凭经验判断。

三、存储与处理：加密、脱敏、权限，看配置不看说法

这一段是企业自评时自我感觉良好、现场被问得比较狠的部分。原因很简单：存储和处理的技术手段都有"看起来有"的替代品——买了加密软件的License、开了数据库自带的审计、做过一次手工脱敏，都能在汇报材料里写成"已具备能力"，但都不是可持续运行的能力。

存储看四件事：

1. 加密做到哪一层。是磁盘或存储卷加密，还是库表字段级加密？两者防的不是同一类风险。制度写"敏感字段加密"，实际只有磁盘加密，这个差距现场一问就清楚。
2. 密钥怎么管。密钥谁持有、多久轮换、有没有分离存放。加密做得好不好，往往取决于密钥管理这一环，而这一环常被整段忽略。
3. 存在哪、存多久。数据分区与存储位置、留存期限与到期处理规则。留存期限要有依据，不能"一直留着"。
4. 备份与恢复。备份是否加密、恢复演练做过没有、演练记录在哪。只有备份策略没有演练记录，等于没验证过。

处理看四件事：权限是否收敛到必要范围（按角色和场景授权，而不是按部门打包）、开发测试与分析场景是否用脱敏数据、操作行为是否被审计、账号从开通到回收是否闭环。其中脱敏这一项，判断标准是有没有规则、有没有版本、有没有任务记录——手工改几行数据导出给测试，不算技术手段。

四、交换与销毁：容易漏掉的两头

交换和销毁是六个环节里存在感偏低的两段，也是差距集中的两段。原因不难理解：采集、存储、处理天天在跑，有人盯着；对外提供是偶发动作，销毁更是几年才轮一次，很容易停在"知道要做"的层面。

交换环节：对外提供数据的场景要列全——客户交付、合作方共享、监管报送、集团内部调阅。每个场景问四句：谁批的、批了什么字段、对方怎么用、什么时候回收或终止。技术上关注接口推送是否有字段白名单、文件导出是否有水印与审计、共享数据是否脱敏。证据形态是共享台账 + 审批记录 + 接口调用日志，三样能对上才算闭环。只有邮件里一句"同意提供"，不能算台账。

销毁环节：到期数据怎么删、介质怎么处理、账号怎么注销、备份里的副本有没有一起处理。这一段的典型漏洞是"删了主库，忘了备份和终端"——评估时问一句"备份里那份还在吗"，答案往往不理想。销毁要有审批、有执行记录，重要介质建议有双人见证与处置凭证。销毁记录要能回答：什么数据、什么时候、由谁、用什么方式、谁验证的。

五、四个能力维度怎么补：组织、制度、技术、人员

四个维度不是四份材料，是同一件事的四个面。把它们当成四条并行的准备线，是自评阶段常见的误解——结果是制度写了一套、技术做了一套、人员培训又一套，彼此不引用，现场一问就散。

四个维度里，技术维度是分水岭，因为它无法靠文字补齐。组织可以发文、制度可以修订、人员可以培训，这些都能在内部完成；技术手段必须有系统、有配置、有运行数据，装不出来。这也是很多企业自评时四维度都写"基本符合"、正式评估却在技术项上集中失分的原因。

补的顺序建议是：先定组织与责任人 → 再修制度让它描述"实际在做的事" → 同步把技术动作嵌进系统节点 → 用培训和考核把人的动作固定下来。反过来先写制度、再找技术凑，制度就会写成一份做不到的愿望清单。

六、自评/差距分析怎么做：从证据倒推，不从条款打分

自评的价值是提前发现缺口，不是给自己发一张合格证。做法上，比逐条打分更有效的是顺着数据流走一遍。

1. 画数据流。每一类重要数据从哪进来（采集）、经过哪些通道（传输）、落在哪些库和文件里（存储）、被谁怎么用（处理）、给过谁（交换）、到期怎么处理（销毁）。画完会发现，很多系统的数据流和制度描述的不是同一条线。
2. 铺矩阵。六个环节 × 四个维度，二十四格。每格填三句话：有没有成文规定？系统里有没有对应动作？能不能导出记录？三句都"有"，再补一句：证据在哪、谁能当场拿出来。
3. 实地取证。不要开会问"我们做了吗"，直接让人打开系统：抽一条客户数据看标签、导一段昨天的审计日志、找一个脱敏任务的执行记录。开一次会问出来的"有"，和当场能打开看见的"有"，往往不是一个东西。
4. 出差距清单。按性质分类，因为不同类的补法完全不同——这才是自评真正的产出。

自评报告有一个信号值得警惕：二十四格全部"符合"，一条真差距都没有。这种自评到现场一抽样就会掉，不是因为水平不够，而是因为自评没起到发现问题的功能。反过来，自评找出二十来条具体差距，每条配上补法、责任人和目标状态，这份自评才是有用的东西。

另外，差距分析的口径要与评估机构对齐。同一条要求，不同评估人员关注的角度可能不同；自评阶段就把判断口径、抽样方式、证据形式问清楚，比现场解释省力得多。具体要求以承担评估的机构当期评估规则为准。

七、正式评估看什么证据：文件、记录、系统，加一场访谈

正式评估通常分两段：先做文件评审，看材料齐不齐、彼此对不对得上；再进现场做访谈、抽样和系统查验。四类证据的过关标准不太一样。

现场有一段值得单独准备：演示。评估方可能要求工程师当场操作——查一条数据的分类标签、跑一次脱敏任务、按数据对象检索审计日志、导出一份共享台账。这些动作如果只有一个人会做，或者要靠供应商远程支持，风险很高。做法很朴素：把要演示的动作写成脚本，让实际做这件事的人练几遍，而不是让项目经理代为讲解。

访谈也有讲究。评估会问真正在做这件事的人：这条数据的分类是谁定的、依据什么；上个季度发现了几条告警、怎么处置的；对外提供数据时谁签的字。这类问题靠背材料过不去。访谈对象要选能讲清"为什么这么定"的人，而不是口条好的人。

关于独立性：咨询和评估是两个角色，帮你建体系的人不应同时出评估结论。遇到"我们自己评、结果心里有数"这种说法，先问一句：出结论的是哪家机构、资质在哪查。评估机构的名单与资质范围以主管机构公布的当期信息为准，本文不列名单。

八、常见返工点，以及和 DCMM、ISO 27001 怎么排

返工这件事，多数不是水平问题，是证据形态问题——事情做了，但没留下能被查的东西。以下几条出现频率高，启动前值得先自查一遍。

• 制度写"已加密"，现场拿不出配置。加密范围、密钥管理、轮换记录三样有一个说不清，这一条就悬空。
• 分类分级只做到表头。有分级办法、有分级清单，但系统里字段没打标，抽一条数据查不到级别。
• 脱敏靠人肉。没有规则库、没有任务记录，测试环境的数据是"谁要用谁改"。
• 权限矩阵按部门写。不是按角色和系统写，实际运行里超级账号共用，矩阵和现实是两张皮。
• 日志开了但导不出来。本地留存、周期短、没有集中收集，抽查时拿不出指定时间段的记录。
• 共享动作没有台账。对外提供靠邮件和口头，字段范围、接收方、回收时间都说不清。
• 销毁只管了主库。备份、终端、测试环境里的副本没处理，介质报废没有处置记录。
• 日期倒挂。制度发布日晚于执行记录的产生日，或记录里出现还没生效的版本号。这类硬伤很难解释。
• 自评全项达标。没有一条真差距，正式评估一抽样就掉。
• 全部交给外部。顾问比员工还熟，员工答不上"这条规则是谁定的、多久跑一次"。

再说组合。这三件事经常出现在同一份数据类项目的投标文件里，但查的是不同的东西，互不替代。

实操上有三条经验：

• 做过 ISO 27001 的企业，DSMM 起步会轻一些，但不能直接换算。ISO 27001 偏组织级 ISMS，风险评估、权限管理、审计、内审这套骨架可以直接复用；DSMM 偏数据生命周期，要按六个环节重新铺一遍技术证据。"有 ISO 27001 就等于数据安全做到位"这个推论不成立。
• DSMM 与 DCMM 的交叉点在数据安全。分类分级、权限控制、审计留痕这些要求重叠，制度底稿可以共用一份；但取证口径要分别做——DCMM 看数据安全在数据管理体系里的位置，DSMM 看安全能力本身的成熟度。共用底稿省的是重复劳动，不是重复取证。
• 顺序按截止时间倒排，不按"体系完善度"排。标书里谁是准入项就先做谁；两者都是准入项时，通常先搭 ISO 27001 的体系骨架（方针、文件控制、内审、纠正措施），再往 DSMM 的环节深度上补，复用度更高。

至于和监管要求的关系，要把两件事分开看。常见动因是数据安全法、个人信息保护法相关的合规义务、监管检查、以及政企投标的资质门槛。这些是"为什么现在要做"的现实推力。但DSMM 是能力评估，不是合规结论——它说明你的数据安全能力到了哪一级，不能替代合规性判断；反过来，合规检查发现的问题，往往是 DSMM 技术维度的现成差距清单，两边可以对着补。是否合规、需要履行哪些义务，以现行监管要求为准。

概念层面的补充说明可以看 DSMM 百科页；DCMM 的完整流程见这一篇；几套体系怎么选，见ITSS / CMMI / DCMM / CSMM 对照；信息安全侧的体系建设见 ISO 27001 与 ISO 20000，整体地图在体系认证总览。

行动清单

启动前按顺序过一遍，每条都能给出具体答案再往下走：

• ⬜ 我能说清 目标等级来自哪里——招标文件、监管要求还是客户准入，原文写了什么
• ⬜ 本次评估纳入哪些业务、系统、数据类别已经画出来，范围说得清
• ⬜ 六个环节每一段都有一名对接人，而不是全压在信息安全一个人身上
• ⬜ 我们画过一条完整的数据流，从采集到销毁能串起来
• ⬜ 分类分级在系统里落了标签，抽一条数据能查到级别
• ⬜ 加密、脱敏、审计能当场打开配置和日志，不只有截图和合同
• ⬜ 对外共享有台账，销毁有审批和处置记录，备份里的副本也管住了
• ⬜ 我们做过一轮自评或差距分析，能拿出二十来条具体差距
• ⬜ 我们准备了能现场演示的人：会查标签、会导日志、会跑脱敏的工程师
• ⬜ 我清楚 DSMM 与 DCMM、ISO 27001 的先后顺序，哪些材料能共用、哪些要重新取证

十条里打勾不到五条，说明现在还不是约评估的时候——先把技术手段配起来、让记录跑出来，比先约现场再补证快得多。盘不清的地方，也可以直接联系我们，按六个环节逐条过一遍。

结语：先把证据跑出来，再谈等级

DSMM 评估考的是一件很朴素的事：你说的、系统里跑的、记录里留的，是不是同一件事。制度说明应该怎么做，配置说明实际怎么防，日志说明真的这么防了，访谈说明做的人知道为什么这么做。四样串起来，能力才成立；少一样，就得回到系统现场去补，而不是回去改文档。

所以顺序是：先定级和范围 → 顺着数据流铺六环节 × 四维度的矩阵 → 自评找差距 → 补组织与制度、配技术手段 → 让机制真的跑一段、把记录长出来 → 才谈评估排期。反过来做，材料写得再齐整，也顶不住现场那一轮演示和抽样。

▍不确定六个环节里哪一段缺口大？留言或私信我，备注"DSMM 自评"，我发你一份按环节拆开的自查清单。

普华智科 / CertFastLine 普华认证｜出口认证 & 检测 & 管理体系咨询 本文为合规科普参考，非法律意见或评估结论；等级划分、评估程序、机构受理范围、费用与周期以主管机构当期文件及承担评估的机构要求为准