DSMM 五级逐个拆：每一级审什么、要什么证据

五级速览

先看全局。这张表的用法不是"挑一个看起来合适的"，而是对照你手上真能打开、真能导出的东西，看哪一行的证据重点和现状重合。重合不上，说明还没到那一级。

下面逐级拆。每一级都按同一套结构讲四件事：审什么、谁适合、证据怎么组织（制度 / 流程记录 / 技术手段 / 数据记录）、常见退回原因。开头会先点明比上一级多了什么——这一句是整节的重心，因为等级之间的差别全在这里。

1 级非正式执行：有动作，但没有定型

审什么

1 级不是"什么都没做"，而是有动作、没定型。评估不会先要制度文本，而是顺着一条真实数据流往下问：这条数据谁采集的、谁批的、走的哪条通道、落在哪张表、谁能查、到期怎么处理。如果每个问题的答案都指向某个具体的人和他的记忆，这就是 1 级的典型状态。

看三件事。一是依赖个人：同一件事换个人做，做法就不一样，甚至没人知道上一轮是怎么做的。二是留痕偶发：能找到邮件、聊天记录、临时工单，但拼不出序列，也不知道哪次是"标准做法"。三是重复性不成立：某个项目做得好，是因为那个人在；换个项目就回到原点。评估在这里判断的是"能力有没有从人身上长出来"，答案通常是还没有。

还有一个容易被误解的点：1 级并不要求你去补一套制度。把不存在的制度写出来，比不写更麻烦——现场访谈一问"上次是谁按这条走的"，答不上来，反而会让人怀疑其他材料。

谁适合

数据量不大、业务相对单一、刚启动数据安全工作的组织；被集团或上级要求"先把现状摸清"的单位；以及把 1 级当作差距分析坐标、用来给内部立项做依据的企业。这一档的价值在对内：把六个环节的家底摆出来，短板会自己浮出来。

不适合把它当对外证明。1 级在招标与监管场景里对外说服力有限，多数采信方看的不是这一档。如果启动的动因只来自投标，先确认招标文件写的是哪一级，别把预算花在一个不被采信的档位上。

证据怎么组织

• 制度：通常没有成文制度，只有操作说明、上线文档或口头约定。建议整理成一页现状说明，逐环节写"有 / 部分有 / 没有"，标明依据是什么——这比硬凑一套制度诚实，也更好用。
• 流程记录：零散的邮件、审批截图、临时工单。按环节归堆，标出时间，能看出"做过"，但不要包装成"已成体系"。
• 技术手段：零散工具与默认配置，权限靠人记，日志多为系统自带、本地留存、周期偏短。这一栏如实写，别把供应商的平台算成自己的能力。
• 数据记录：个别时间点的事件记录，没有周期性统计。有几次真实的处置过程，比一堆空白表格有用。

常见退回原因

• 拿通用制度模板硬撑成 2 级。制度里写的动作在系统里找不到节点，访谈时也说不清"上一次是谁做的"，反而暴露了准备方向错了。
• 说不清"谁在做"。六个环节问下来，回答都是"信息部在处理"，没有岗位、没有人名、没有时间。这是 1 级材料里出现频率很高的一处硬伤。
• 把供应商的能力写成自己的。工具是乙方在运维，配置是乙方在改，操作记录拿不出来，等于这一格不属于你。
• 只写计划不写现状。通篇"将要建设""计划上线"，找不到一条"已经做过"的记录。评估看的是当下，不是路线图。

2 级计划跟踪：从临时处理，到有计划、有人盯

审什么

2 级看三件事。计划在不在：覆盖哪几个环节、什么时间做、谁负责、做到什么状态算完成。跟踪在不在：多久看一次、看了记什么、发现偏差怎么处理。计划与实际对不对得上：计划里写着季度做的事，台账里能不能找到对应的那一轮。

要强调的是，2 级允许覆盖不全。六个环节先做三四个是常见路径，评估不会因为"销毁还没做"就否定整体。但被声称覆盖的那几段必须真的在跑——评估会挑一段你已经写进计划的环节，往下追一层：这个月的动作在哪、谁签的字、发现问题改了没有。被追问的那一段撑不住，整份计划的可信度都会掉。

换一个角度理解这一级：2 级证明的是"有人在管"，还证明不了"管得住"。这两句话差一个字，差的是整整一级。

谁适合

有明确外部时间点、但体系还没成形的企业：招标截止、监管检查、集团考核，这类"必须在某个月之前拿出东西"的场景，通常从 2 级起步。也适合刚设了一个牵头人、但还跨不动业务与法务部门的组织——先把计划、台账、例会跑起来，是让其他部门进入角色的现实办法。

做过 ISO 27001 的企业在这一档起步会轻一些：方针、文件控制、内审这套骨架是现成的，风险评估的方法也能复用。但要注意，ISO 27001 的控制项是按风险域组织的，DSMM 是按数据环节组织的，两套坐标需要重新对齐一次，直接搬文件在现场会被问住。

证据怎么组织

• 制度：开始有成文规定，但多为单点规定，比如只写了权限审批办法、只写了共享流程。缺的是分环节细则和制度之间的引用关系——A 制度说"按 B 执行"，B 却不存在，这种情况在 2 级很常见。
• 流程记录：这是 2 级核心的证据形态：年度或专项计划、责任分工表、例会纪要、进度跟踪表、环节台账。评估看的不是表格好不好看，而是它有没有连续更新过。
• 技术手段：开始采购和配置工具，但通常只在一个系统或一个场景生效，规则靠人工配、靠人工看。这一栏在 2 级不是硬门槛，但要能说清用在哪、谁在用。
• 数据记录：开始有月度或季度统计，各部门口径自己定，横向不可比。可比的统计口径是到 3 级才需要解决的事，2 级只要"有数、数得出来"。

常见退回原因

• 计划只是目标，没有跟踪痕迹。有年度计划，但找不到一次例会纪要、一次进度更新、一次偏差纠正。计划的证明力全在跟踪上。
• 责任人只在文件里。访谈时被问到的人，不知道自己被写成了某个环节的责任人。这一条几乎无法现场补救。
• 台账靠一个人维护。这个人休假、调岗或离职，记录就断。说明跟踪没有进流程，还停在 2 级之前。
• 声称全覆盖，抽查只有存储。材料写"六环节均已覆盖"，往下追交换与销毁，两段完全空着。覆盖范围说得比实际大，比说得小更伤。

3 级充分定义：有定义、可复用，换个人做结果一样

审什么

看四件事。定义覆盖不覆盖六个环节——不是"有没有一份总纲"，而是采集、传输、存储、处理、交换、销毁每一段都有可执行的规则；流程标不标准——同一个动作在不同部门走的是同一条路，而不是各改一版；执行有没有记录——按流程走的每一轮都留了痕；跨部门是否用同一套语言——业务、法务、IT 说的是同一件事，不是三套说法。

评估在这里的核心动作是抽样加回溯：抽一条真实数据，从分类标签查到采集审批，从共享台账查到接收方，从销毁记录查到介质处置。链条上任何一环空着，这一段就压不上去。做法上通常比问"你们有没有制度"更进一步：让工程师当场打开系统，看标签在不在、日志能不能导、审批流能不能点开。

还有一道常被忽略的沟：制度写了，和制度做到了，中间隔的是系统节点。审批在系统里走，还是事后补签一张单子，两者的证明力完全不是一回事。评估会看这一点。

谁适合

多数企业把 3 级作为目标，因为它是"体系真正跑起来"和"还在靠人推"之间的分水岭。典型匹配场景：政企项目投标把数据安全能力写成资格条件；行业监管检查要求提供自证材料；对外共享数据、开放接口、做联合建模时对方要做安全尽调。这三类需求明确、时间节点清楚，是常见的启动动因。

数据规模到一定程度、业务部门已经开始主动问"哪些数据我能用、能用到什么程度"的企业，也往往在这一档。因为 3 级做的事——分类分级、权限收敛、共享审批——本来就是为了回答这些问题，评估只是把它们固定下来。

证据怎么组织

• 制度：覆盖六环节的制度体系、分类分级办法、应急预案与职责文件。要看出版本号、生效日期、发布与宣贯记录，部门名与系统名是本企业的。制度之间要能互相引用，不出现指向空处的条款。
• 流程记录：采集审批、权限开通与回收、共享审批、销毁审批，每条都要有发起、审批、结论、时间闭环。只有结果单、没有中间审批链的，不算走完流程。
• 技术手段：分类分级在系统里落了标签、脱敏有规则库与任务日志、加密有配置说明与密钥轮换记录、审计日志集中可检索、权限矩阵按角色与系统写。这一栏是 3 级的分水岭，靠文字补不上。
• 数据记录：连续时间跨度的日志、告警处置、演练报告、培训与考核记录，前后口径一致。只有一期数据、或者两处口径互相矛盾的，说服力很弱。

常见退回原因

• 制度是外部模板。部门名、系统名还是别家的，或者写着已经下线的系统。这一条一眼能看出来，而且会连累其他材料的可信度。
• 有制度没系统节点。制度要求审批，实际靠邮件和口头，记录是事后补的。属于典型的"执行缺口"，比制度缺口更难补。
• 分类分级只做到表头。有分级办法、有分级清单，但系统字段没打标，抽一条数据查不到级别。这是 3 级失分集中的地方。
• 六环节有两三段是空的。通常是交换与销毁。存储的加密和权限做得很细，对外提供靠微信发文件，整条链就断在那一格。

六环节逐段的取证细节，可以对照 DSMM 评估怎么做：六个环节逐个过 那篇看；与数据管理侧的差别，见 DCMM 五级逐个拆。

4 级量化控制：从"按定义做了"，到"做得怎么样"

审什么

看四条。指标能不能复算：给一份原始数据，另一个人按你写的公式算出来是同一个数——算不出来，这个指标就只是报表上的一个格子。有没有基线：阈值是基于历史波动定的，还是拍出来的目标值。预警之后有没有处置：规则配了不算，触发过几次、怎么处理的、复盘写了什么，才是证据。指标有没有真的改变过什么：一条从来不影响任何决定、也从来不触发任何动作的指标，是装饰。

4 级还有一个隐性要求：度量要能下钻。指标异常时，能从汇总数一路点到具体的日志、具体的人、具体的时间点。做不到下钻的量化，只能说明"有个数在动"，说明不了"我们知道哪里出了问题"。

这一级的投入结构和前三级不一样。前三级主要是把动作做对、把记录留下；4 级要先有历史数据，才谈得上基线和阈值。这也是"没有几年运行数据硬上 4 级不成立"的原因——不是钱的问题，是时间的问题，数据攒不出来。

谁适合

数据规模大、监管强度高的行业：金融、医疗、电信、汽车数据等场景，检查时经常要看趋势和异常处置，而不是看一份制度。集团要横向比较下属单位的，也属于这一档——分级结果要能比，就必须有统一的度量口径。

还有一类容易被忽略：已经稳定运行 3 级一段时间、内部开始用数据说话的企业。当安全部门开始被问"今年的投入换来了什么"，4 级就变成了内部需求，不只是外部要求。反过来，如果现在还答不上"六个环节哪一段的失分多"，那说明 3 级还没跑顺。

证据怎么组织

• 制度：指标管理办法、度量口径定义（每个指标的计算公式、数据来源、统计周期、责任人）、阈值与预警规则、指标定期评审机制。口径定义是这一级制度的重心，写不清口径，后面全歪。
• 流程记录：指标的定期评审纪要、异常复盘、阈值调整的审批记录、改进项的立项与验收。调整阈值要有理由，不能因为"不好看"就放宽。
• 技术手段：度量与报表平台、监控告警规则配置、日志与指标打通。能下钻是关键：从指标点到原始日志，中间不需要人工导表拼接。
• 数据记录：至少若干个连续周期的指标数据、基线值与正常波动区间、告警与处置记录、改进前后对比。单期数字不构成基线。

常见退回原因

• 指标是过程计数。培训覆盖率、演练次数、工单完成率——这些数的是"做了几次"，不是"防住了多少"。过程计数只能支撑 2 级的跟踪，撑不起 4 级的度量。
• 只有一期数据。没有基线，阈值无从谈起，所谓量化只是把当季数字写进表。这一条在 4 级材料里出现频率很高。
• 指标算不出来源。问公式和取数口径答不上来，换个人复算对不上。度量一旦不能复算，就不能用来做判断，也不能用来追责。
• 有预警无处置。规则配了，翻记录一条处置都没有。要么是规则形同虚设，要么是处置根本没留痕，两种解释都不利。

5 级持续优化：看见之后能改，改了能验证

审什么

看四条。机制：优化有没有固定入口——定期评审、风险变化触发、事件驱动，三条里至少要有明确的几条，而不是"领导觉得该改了才改"。触发：外部风险变化（新业务、新数据类型、新的攻击手法、监管口径调整）能不能被识别并转化成能力调整。验证：改完之后有没有测过效果，指标动了没有，动了多少。输出：方法有没有沉淀成可复用的东西——能对外讲清，能被其他单位或行业拿去用。

5 级还看一个隐性指标：稳定性。优化不能靠某个能人推动。这个人调岗、离职、退休，机制还在不在？能人推动的优化，本质上还是 1 级的能力长在人身上，只是这个人级别高一点。

这一级通常不是投标驱动的。真要靠它去投标的场景不多，多数组织的动因是行业标杆定位、集团总部对下属单位的方法输出、或者本身就在做数据安全服务。以短期采信为目标的，做到 3 级或 4 级更实际，把资源压到 5 级是错配。

谁适合

少数组织。典型是行业内的标杆单位、集团总部或区域总部、对外输出方法论与服务的机构，以及数据安全本身就是核心竞争力的企业（比如做数据平台、风控、行业云服务的）。

判断自己是不是这一档，有个简单的问法：过去两年里，有没有哪一次能力调整是因为"我们度量到了问题"而发生的，而不是因为"出事了"或"上面要求"？答得出具体案例、能说清调整前后的差别，才算摸到了 5 级的边。

证据怎么组织

• 制度：能力优化管理机制、能力演进规划、复盘与知识沉淀制度、方法输出的管理要求。制度要写清"谁可以发起优化、依据什么判断、怎么验收"，而不是只写"持续改进"四个字。
• 流程记录：定期能力评审、优化立项与验收、跨组织经验输出（内外部培训、方法文档、行业交流）的记录。优化的立项理由要能回到某条指标或某个风险变化。
• 技术手段：能力配置可调整的架构、新技术引入的验证记录（试点范围、评估结论、推广或回退的决定）。试过又撤掉的记录同样有价值，它证明的是判断机制在工作。
• 数据记录：多年指标趋势、优化前后对比、由风险事件或外部变化驱动的调整案例。这一栏的时间跨度是硬要求，短时间凑不出来。

常见退回原因

• 把例行演练当持续优化。年年做同一套演练，流程、脚本、参与人都不变，也没有因为演练结果改过任何配置。这是"重复"，不是"优化"。
• 优化没有效果验证。改了，但说不出改完指标有没有动、动了多少。没有验证的改进，只是动作，不是能力。
• 靠外部顾问推动。顾问一走机制就停，内部没有承接的人。评估一问"这套方法现在谁在维护"，答案就露了。
• 拿单个项目的个别做法当组织级能力。一个项目做得好，别的项目没有复制，流程也没固化，这属于 3 级里的一段亮点，不是 5 级的组织能力。

跨等级共用的证据：一套底座，五级都用得上

五个等级审的深度不同，但有一批材料是所有等级都要看的。把这批材料单独整理成一套公共底座，比每次评估重新翻箱倒柜省力得多，也更容易保持前后一致。级别往上走，变的是深度和覆盖面，不是换一套材料。

共用不等于照搬。有三条纪律，违反任何一条都会在核对时暴露出来：

1. 同一数据只能有一个版本。数据类别名称、系统名称、责任人、时间点，在现状说明、计划、制度、台账里必须完全一致。前后差一个名字，就要花时间去解释，而解释本身会引出新问题。
2. 日期不能倒挂。制度发布日晚于执行记录的产生日，或者记录里出现还没生效的版本号，这类硬伤很难圆过去，而且一眼就能看出是临时补的。
3. 同一份制度，要指到本级关心的动作。1 级指现状、2 级指计划与跟踪、3 级指流程节点、4 级指度量口径、5 级指优化入口。只写"我们有这个制度"没有意义。

升级路径：别跳级，也别把升级当成换材料

五个等级之间是同一套能力的五个深度，不是五套不同的材料。这一点想清楚了，升级的路径自然就出来了：每一级要推上去的，是上一级还没长出来的那部分能力。

关于跳级，有四句判断值得记住：

• 高一级以低一级的落地为前提。3 级的证据是 4 级指标的数据来源，4 级的指标是 5 级优化的判断依据。低一级空着，高一级的材料就没有出处，只能编——而编出来的东西在现场抽样时撑不住一轮追问。
• 跳级准备的材料，通常先在抽样的地方被打回。因为高等级材料写的是"我们度量了什么""我们优化了什么"，而抽样抽的是"这一条数据现在是什么状态"。两张皮一对，问题立刻显形。
• 目标等级来自采信方，不来自能力自评。招标文件写了哪一级就按哪一级准备，只要求提供评估结果的就按结果准备，看差距分析报告的又是另一种准备方式。目标定错，投入会整体偏高或偏低，两种都是浪费。
• 升级不是换一套材料，是把同一套材料做深。同一个项目、同一条数据流，1 级写现状、3 级写流程与记录、4 级写它贡献了哪些指标、5 级写它触发了哪次调整。材料是同一批，深度不同。

行动清单：从定级到材料，按这个顺序推

看完五级，落到动作上其实是一条线。顺序别颠倒——先定目标等级，再盘现状，再补机制，然后才谈材料。反过来做，材料写得再齐整，也顶不住现场那一轮演示和抽样。

• ⬜写下目标等级的依据：招标文件、监管要求还是客户准入，原文写的是哪一级，谁在什么时间要
• ⬜画出一条完整的数据流：从采集到销毁，每一段经过哪个系统、谁负责、依据哪条规则
• ⬜对照五个等级，用一句话写下现状落在哪一级，并给出三条支撑事实，而不是一句感觉
• ⬜按六环节 × 四维度铺一张 24 格的表，每格填三句：有没有成文规定、系统里有没有对应动作、能不能导出记录
• ⬜逐格实测而不是开会问：抽一条数据看标签、导一段昨天的日志、找一个脱敏任务的执行记录
• ⬜把差距按性质分类：制度缺口、执行缺口、记录缺口、技术缺口。四类的补法完全不同，混在一起就会做成一份愿望清单
• ⬜先补塌陷的那两三格，不要在已经做得不错的环节上继续加码。资源压在长板上，投入产出比很低
• ⬜确认分类分级在系统里落了标签，这是 2 级以上所有环节的共同前提，也是失分集中的地方
• ⬜让审批走系统而不是走邮件，把动作嵌进流程节点，靠机制不靠自觉
• ⬜准备能现场演示的人：会查标签、会导日志、会跑脱敏的工程师，而不是让项目经理代为讲解
• ⬜提交前做一次交叉核对：抽两条数据，只靠材料复述全过程，看日期有没有倒挂、口径有没有打架
• ⬜想清楚拿证之后谁维护：责任部门、例会节奏、台账更新人。有效期考的是持续运行，不是到期换证

五级拆到这一步，其实是同一句话的五种深度：你说的、系统里跑的、记录里留的，是不是同一件事。制度说明应该怎么做，配置说明实际怎么防，日志说明真的这么防了，访谈说明做的人知道为什么这么做——四样串起来，能力才成立。少一样，就得回到系统现场去补，而不是回去改文档。

▍不确定自己现在落在哪一级？留言备注"DSMM 五级"，我发你一份按等级拆开的证据对照表

普华智科 / CertFastLine 普华认证｜出口认证 & 检测 & 管理体系咨询 本文为合规科普参考，非法律意见或评估结论；等级划分、评估程序、机构受理范围与判定要求以评估机构当期评估规则为准