“數據安全合規與治理”主題沙龍

7月13日，由中國信息產業商會信息安全產業分會、中國計算機學會計算機安全專業委員會、中關村網絡安全與信息化產業聯盟指導，中關村網絡安全與信息化產業聯盟數據安全治理委員會主辦，《中國信息安全》雜志社與北京安華金和科技有限公司聯合承辦的“數安先鋒行”系列沙龍活動正式啟航。

首期”數據安全合規與治理“主題沙龍攜手中國網絡安全審查技術與認證中心首席專家李京春、中國信息安全測評中心研究員都婧、北京信息安全測評中心高級工程師李媛、北京安華金和科技有限公司高級技術專家雷嘉賓等多位業界權威專家圍繞 數據安全合規治理、數據安全風險管理、實踐成果分享、技術創新應用 等方向深入探討交流，開啟了一場精彩紛呈的線上對話。

干貨精選，先睹為快

中國網絡安全審查技術與認證中心首席專家 李京春

合規驅動下的數據安全治理體系建設

數據安全需要依法依規治理，數據安全治理應依據立法秉持的基本原則 ：

1）《網絡安全法》中國家堅持網絡安全與信息化發展并重的原則、鼓勵開發網絡數據安全保護和利用技術的原則；2）《數據安全法》堅持維護數據安全與促進數據開發利用并重的原則，以開發利用促安全、以數據安全保障產業發展；堅持數據治理、開發利用等國家交流合作的原則，促進數據跨境、自由流動；3）《個人信息保護法》提出處理個人信息應當遵循合法、正當、必要和誠信原則；采取必要措施保障保護個人信息原則；4）《網絡安全審查辦法》堅持防范網絡安全風險與促進先進技術應用相結合的原則；過程公正透明與知識產權保護相結合的原則；事前審查與持續監管相結合；企業承諾與社會監督相結合；5）《云計算服務安全評估辦法》堅持事前評估與持續監督相結合的原則；保障安全與促進應用相統一的原則。

數據安全治理需要加強監管，需要處理使用側（運營者、處理者、使用者、安全服務者）、監管側（政府、機構）共同推動促進數據安全產業發展。

數據安全治理體系建設應從以下六方面開展 ：

1）須要風險評估、DSMM、DCMM等數據治理能力的不斷迭代升級

2）須要對數字經濟發展的關鍵要素進行保護和治理（軟件定義、數據驅動、萬物互聯）

3）須要抓住重點環節精準保護和治理（數字化轉型安全保護、數據開放與數據治理過程中的安全保護、數據共享與數據流動中的安全保護、數據應用安全保護、數據保護中的自身安全性）

4）須要對數據全生命周期進行安全保障

5）須要關注數據自身治理的質量

6）須要推動數據安全治理工作層面的“四梁八柱”體系建設

中國信息安全測評中心研究員 都婧

新形勢下的數據安全風險管理

數據安全是在數字化經濟時代下，從不同視角下的數據處理活動安全，防護數據被竊取、破壞、濫用、誤用。

數據安全風險評估是數據安全風險管理的起點 ，以《數據安全法》為根本出發點，以發現數據安全風險為主要目的，能夠幫助企業/組織發現自身數據安全問題和短板，明確數據安全保護需求，為建設數據安全風險管理指明方向，給出解決方案。

數據識別是數據安全風險評估的基礎，通過數據梳理、分類分級明確數據安全管理的目標；數據處理場景識別是數據安全風險評估的主線，各類數據可能對應多個處理場景，而每個處理場景可能都存在潛在的安全風險，數據處理場景識別包括業務流程及相關應用；風險分析的各項活動需要在識別出的具體數據應用場景中展開，包含評估后果、評估事件可能性、估算風險級別。

實踐中常見的數據安全風險涉及對外數據暴露面場景、內部辦公場景、生產運維場景，包括數據收集風險、公開風險、加工風險、存儲風險、使用風險、傳輸風險、提供風險。

如何做好數據安全保護工作 ：

1）做好數據安全管理：制度體系、技術工具、組織建設、人員能力

2）做好數據識別：摸清家底知曉具體有哪些數據，明確敏感數據使用狀況、識別單位的數據安全管理目標、明確數據分布流動情況、指導數據安全風險治理

3）做好數據分類分級：數據分類分級是實施有效數據安全保護的基礎

4）做好數據安全技術防護：身份認證技術、訪問控制技術、加密技術、行為監控技術、內容分析技術、分類分級技術、審計技術

5）數據安全防護協同：數據安全防護需要各部門緊密配合

北京信息安全測評中心高級工程師 李媛

政務數據安全保障實踐

《北京市“十四五”時期智慧城市發展行動綱要》 提出，要在“四梁八柱深地基”框架基礎上，夯實新型基礎設施，推動數據要素有序流動，強化基礎平臺和數據服務能力建設，加強數據安全防護。其中，“數據管控層”以市大數據平臺為中心，作為數據的流轉樞紐。

從管理者視角 ，目前 北京市政務大數據治理思路計劃采取分域保護系統 （數據專區域、數據生產域、數據治理域、數據開放域、數據共享域）， 分“域”管理數據 ，即一個域內數據活動目標清晰，業務需求相對明確，數據安全需求相對統一，可以執行較為一致的安全策略；同時解決數據分類分級難的問題。

政府建設具有行業屬性的數據專區，保證數據真實有效，經過加工處理后，可以更安全的回到社會，服務于民。 通過政務云數據專區可以實現持續監督、智能運維、監管數據共享、上云數據可見；分類分級方面，依據《DB11/T 1918 政務數據分級與安全保護規范》開展了積極的探索實踐。

從數據處理者視角，應促進數據安全體系建設與網絡安全體系的真正融合、數據共享常態化、積極開展企業數據安全管理能力評估、加強人員數據安全培訓考核、構建常態化數據安全評估機制等，賦能政務數據安全保護實踐。

北京安華金和科技有限公司高級技術專家 雷嘉賓

數據安全運營平臺解決方案與落地實踐

數據安全建設面臨“管理難、監測難、追溯難、防護難”的一系列挑戰，亟需建立完善的數據安全治理體系，有效解決數據流轉中的安全問題。

數據安全治理需要數據安全管理/監督方建立管理能力和運營監管能力，數據安全運營方建立日常運營(監測和管理)能力，數據作業方建立監測和防護能力 ，從而構建 運營體系、管理體系、監控體系 階段相輔相成的行之有效的數據安全治理體系。

在落地實踐過程中，需制定 數據安全管理辦法、數據安全管理規范、數據安全關鍵流程管理規范、數據安全分類分級規范 ，并遵循分類分級原則（統一性原則、穩定性原則、合理性原則、關聯疊加原則、就高不就低原則、自主性原則），通過日常運營工作臺支撐數據安全運營業務流程；通過可視化運營監管能力幫助管理者全面掌握數據安全運營狀況，從而實現：

1）提升數據安全保障能力，防范來自于外部威脅和發生自內部的風險。

2）追蹤溯源風險源頭，對數據使用進行管控、脫敏。實現數據資產有效分級分類。

3）對數據資源全生命周期管理，以數據安全基礎防護能力為技術支撐，建立安全集中管控、事件集中處理、風險集中處置的數據安全閉環管理。

本期研討問題精彩觀點

01新形勢下對數據安全風險評估提出了新要求，同時對數據安全防護也不再是一兩個技術或產品就能解決的，那么數據安全防護協同的防護思路如何體現？

數據是流動的，數據安全風險也在時刻變化，因此需要動態調整防護策略，使得 數據安全防護具備動態適應能力，也需要安全部門、業務部門共同參與，建立 動態有序可持續發展的數據安全管理運行機制，來促進建設、開發、使用、運維等各個環節有效運行，同時保證相關標準、技術工具有效支撐，做好數據安全防護協同。

02北京市十四五智慧城市發展綱要對全國各城市的智慧城市建設都有指導作用，就數據安全建設的兩方面建議：一是“樹立底線思維”，有哪些數據安全技術是必須要做的；二是“最佳性價比”的數據安全技術有哪些？

在信息化建設過程及各單位履職的過程中，應當秉持“數據是流動的”理念，以此來指導、研究分析數據安全技術；此外， 技術應用要與自身業務需求相匹配，這就要求數據分類分級工作及時開展，做到“摸清家底”，才能進一步采取防護措施。例如數據共享可以采取API接口、文件方式共享，其中涉及到的數據認證、傳輸、加密、訪問控制等傳統技術，去標識化、隱私計算等新技術也要結合數據應用場景，對相應級別的數據起到防護作用。 數據安全建設需要技術和管理并行，我們也號召數據處理者應選擇可靠的、技術過硬的服務團隊才能真正有效實現數據安全建設。

03數據安全運營管控平臺在政數局實踐過程中都有哪些落地能力，解決數據安全“管理難、監測難、追溯難、防護難”的問題？

管理 ：數據安全組織架構需要有高層參與，并對相應的管理制度進行統籌把關。

監測 ：在數據匯聚側，可以借鑒數據庫審計技術；在數據共享開放側，建議采用接口級別的監測，監測接口所出的數據及是否存在爬蟲、傳輸明文、傳輸密碼等情況， 實現數據從庫層面到出口層面的全方位監測。

防護 ：從結構化數據來看，常見的有數據庫防火墻，數據庫安全運維，接口層面有API網關，傳輸層面的vpn；此外，隱私計算技術可以實現數據價值的流通， 重要數據安全防護要以數據分類分級結果為前提。

追溯 ：可以通過數據水印或區塊鏈相關技術來保證數據在流轉和追溯過程中不被篡改和可溯源性。

04最后，我們聊聊健康碼這個熱點事件，首先我們貢獻了個人信息，才能獲得疫情防護的方便；對“健康碼”在數據安全和個人信息保護方面應當采取怎樣的措施？

健康碼承載大量市民信息，容易成為網絡攻擊的眾矢之的，且有很多來自于境外的風險，需要關注數據篡改的問題，避免擾亂防疫工作的正常運行，要做好充分的應急預案，確保御敵于外，同時建議做好數據分級的管理。

健康碼使得出行信息與健康狀態相關聯，需要保證前端app、小程序合規，建議在各方之間的數據流通過程中，強調數據安全責任，并通過法律手段建立監督和發現的機制和措施。

從《個人信息保護法》出發， 健康碼系統在收集個人信息時應當考慮配合數據安全技術能力，授權信息與個人信息應是綁定的，在數據流通過程中，保障個人信息不被篡改和隨意操作，要考慮權限和數據兩方的屬性；此外，可以考慮建立數據對賬的機制，例如場所碼、疫苗信息、核酸信息等均來自不同數據管理方，這些展示的數據應與源頭數據進行定期對賬，發生數據不統一時可以進行及時追溯，也可以對惡意的個人信息操作問題起到防護的作用。

健康碼大數據應用場景下，無所不在的數據搜集技術，多樣化的數據處理技術使得較難以控制個人信息的搜集場景和應用場景，需要針對疾控人員、業務人員、開發運維人員做好個人信息保護教育培訓，同時 大數據健康碼業務系統需要保障業務連續性，相關管理部門應能及時監督各方履行數據安全保護義務。

建議實施中除依照法律法規外，可以參考標準GB/T39335-2020《信息安全技術 個人信息安全影響評估指南》、GB/T 35273-2020《信息安全技術個人信息安全規范》、 GB/T 41479-2022《信息安全技術 網絡數據處理安全要求》。

  “數安先鋒行”系列沙龍將為產業界持續提供開放交流的平臺，不斷推動數據安全治理實踐落地，圍繞數據安全熱點話題，分享前沿產品技術與解決方案，致力于成為以技術創新驅動產業發展，以行業實踐夯實產業根基，聚焦技術成果和實踐案例的分享交流平臺， 技術賦能，數治未來。