最新新闻:

数据安全和数据治理「大数据时代数据安全如何保障」

时间:2022-11-30 11:47:12来源:搜狐

今天带来数据安全和数据治理「大数据时代数据安全如何保障」,关于数据安全和数据治理「大数据时代数据安全如何保障」很多人还不知道,现在让我们一起来看看吧!

文│北京安华金和科技有限公司解决方案部总监 孟昊龙

近年来,数据价值在各行业领域所发挥的作用与日俱增,构建与之相适应的数据安全保障体系显得尤为关键,即系统性降低数据安全风险,以合理的安全成本保障数字化转型,适应新的数据应用技术和应用场景等。在此背景下,仅依靠单一的数据安全技术或单一场景的数据安全能力,已不能满足当前多样化的数据安全需求,也不能满足《数据安全法》《个人信息保护法》中的合规要求。所以,构建数据安全保障体系应从认识论、方法论、综合技术能力、行业特点、最佳实践以及投入成本等多方面进行考量。这种依循平衡数字化业务发展与数据安全综合治理的思路,是数据安全治理的精髓所在,即“安全贯穿发展”。


一、数字时代,如何处理发展和安全的关系

(一)对数据要素的利用必须以安全为前提

数据要素的利用,在于提升数据的可访问性、可解释性和可索引性,同样一份数据,经过不同使用者的处理,能够发挥出不同的数据价值,这是数据要素利用的关键。数据中的信息涉及商业机密、个人隐私和国家安全,所以对数据要素的利用需要以安全为前提。《网络安全法》中强调数据的保密性、完整性、可用性,如今,对数据安全还应考虑在其全生命周期中的安全可控,以及对个人、社会、国家的影响。数据要素利用和数据安全二者之间的关系是辩证的,诸多法规的出台为数据利用划定了红线,但还需要考虑所在行业属性及其自身属性,对数据要素的利用需要健全的数据安全机制,认识数据行业属性、自身属性,监督数据安全规范被有效遵守并严格执行。

(二)数据安全的中长期规划和短期目标的平衡

构建数据安全保障体系的目标是降低数据所面临的风险,而风险贯穿于数据的全生命周期之中。企业开展数字业务,构建数据安全体系,首先要明确自身的行业属性和业务数据的属性。例如,某电力企业即属于能源行业,也属于关键基础设施,产生的数据既有企业数据、又有每个家庭的电力数据,所以该企业的数据安全关系到国家、社会和个人三个层面。开展数据安全治理工作,企业应充分考虑相关法律、行业标准、安全技术等要求,制定适合自身实际情况的中长期数据安全治理目标,并围绕这个目标开展数据安全治理的规划,通过行业经验和自身实践,达到数据利用与数据安全之间的平衡。

其次,数据安全不是一蹴而就的工作,具有长期性。企业一方面要把数据安全和生产安全同等看待、长期经营。数据安全治理本身具有复杂性和长期性,中长期规划需要从组织、制度、技术、运营、优化等多方面加以思考并付诸实践。另一方面,通过实现短期目标,可以解决企业所面临数据安全风险中最为突出的问题。例如,上述的电力企业在进行业务测试时,使用的测试数据是真实数据,数据丢失的风险较大。通过数据的去标识化技术及相应的管理措施,实现测试数据的去标识化,可以降低真实数据的丢失风险。

因此,企业的数据安全治理需要在体系化的中长期规划建设,与迅速启动取得效果之间进行平衡。去标识化、审计、分类分级是当前作为数据安全治理比较好的启动点。

(三)数据安全治理成本与收益的平衡

数据安全治理工作需要考虑成本与收益的平衡,才能取得企业需要的治理效果。

1. 数据安全治理工作的各项成本

经济成本。很多企业通过项目实施建立数据安全治理体系,后期还需要对治理体系进行优化、技术迭代等。当前数据安全建设成本大体占整体信息安全建设的 10%-39%,并在逐渐加大,大型客户的投资从几百万到几千万不等。

管理成本。首先,数据安全需要长期的管理和运营,需要建设专门的组织结构推动数据安全建设,并将数据安全的管理要求贯彻到日常的数据处理和维护工作中,以及业务开展和企业风控管理中。影响管理成本的因素,主要分为外部和内部两方面。外部因素包括企业经营的法律、监管环境,不仅要考虑国内环境,还要根据业务的情况,对国外的相关环境加以考量。此外还包括数据安全市场环境,即数据安全发展趋势、产业结构、能够协调的资源配置等,以及技术革新对企业经营环境的影响。内部因素包括企业制定数据安全管理的组织架构及决策链,是否能够及时、全面的发现企业数据安全所面临的风险,从而做出正确的决策。其次,企业制定的数据安全管理制度、规范、操作标准等,是否能够有效落实。第三,企业内部环境变化,相关数据安全措施,是否能够适时调整。

人力成本。数据安全建设需要配置专业的技术人员,如果企业数据包含个人信息,按照规定还应配置个人信息保护的专门职位。当前,数据安全领域非常需要“跨界”人才,例如同时具备法律、数据安全技术的混合型人才。

2. 数据安全治理的收益

数据安全合规。防止法律诉讼和监管处罚。数据安全治理体系是否已经建设、完善,在面临诉讼和处罚时都是自证的重要依据。例如在数据出境中,必须要识别出境数据的类型、数量,以及评估接收方的数据保护能力等。

降低企业商业风险。开展数据相关业务时,会有大量的重要数据和个人信息被收集、存储、处理、交互,客户信息、个人资料的泄露不仅面临监管的处罚,还会面临企业商业信誉的损失。同时,数据安全的合规甚至会影响企业业务经营的合法性。通过数据安全治理,体系化地对数据安全风险进行规避,能够确保企业开展业务时数据安全风险可控,保障持续化经营。

协助企业数据资产有效利用。数据安全治理是为了“数据使用自由而安全”,需要对数据和生命周期有清晰的认识和技术管控,能为数据资产的利用起到推动作用。但对企业内部数据资源的挖掘利用,以及数据对外的共享与协同利用,需要在合法合规以及有效技术手段下。


二、数字时代,数据安全治理的主要内容

数据安全治理的核心内容是“降低数据风险,促进数据有序利用”。安华金和通过不断和实践,将数据安全治理工作通过管理体系、技术体系和运营体系进行落地。在管理体系中,需要梳理各类合规要求,并结合企业实际制定一套数据安全制度。在技术体系中,通过一系列数据安全技术的综合运用,对上述制度进行技术化实现,并在不同场景中有不同的侧重。在长期运营过程中,需将管理者的思路落实,而且能根据企业内外部的环境变化,不断调整优化管理制度和技术运用,做到对合规变化和风险变化的及时应对。

(一)中国本土企业的数据安全合规

图 企业数据安全治理工作

简单来讲,企业需要了解自身所属行业面临的合规要求,制定数据安全目标,分析数据使用的各个重点场景,通过“管理 技术”的手段来降低数据安全风险。并能够通过数据安全各类评估,证明企业履行了数据安全保护义务。

按照国家相关法律、法规、标准等对数据安全的要求,可以将国内的数据安全行业大致分为两类,即面向企业(ToB)与面向用户(ToC)。ToB 行业往往只有企业数据,例如能源、海洋、国土等行业;ToC 行业除了企业数据外,还会有大量的个人信息,例如金融、电信、医疗、教育等行业。

ToB 行业以《数据安全法》及各行业规范为基准,除保障数据的完整性、可用性、保密性外,还要通过各种措施降低数据风险,避免因数据安全事件的发生对国家、社会造成负面影响。

ToC 行业以《数据安全法》《个人信息保护法》及各行业规范为基准,除 ToB 行业的数据安全要求外,更加重视对个人敏感信息的采集和利用,同时加大对个人信息主体人格权、生命财产、公平权等的针对性保护。

但是,不管是哪个行业,合规对于大型企业来说都是具有挑战性的工作,这也是本文的观点,即数据安全治理工作不是一蹴而就,而是需要有体系、有规划、有目标、有步骤地逐渐实施。

(二)出海企业、跨国公司的数据安全合规

跨国公司往往面临着两种以上数据安全相关法律体系的制约和要求,简单做法是分而治之,各国分公司都遵循当地的数据安全法律行事。但这样的做法也会带来弊端,企业在管理、经营、决策等方面的成本更高。例如,两国间的数据交互受到不同法律的监管,很容易因两种法律要求的不一致,导致企业管理成本增加等问题。

以某跨国公司为例,其在欧盟和中国境内均存有数据业务,需要采集和使用个人信息,因而受到欧盟《通用数据保护条例》与中国《数据安全法》《个人信息保护法》的监管。在此背景下,开展合规管理时,应综合考虑不同法律体系的相同点和不同点,通过一套公司制度满足两地法律要求,以降低管理成本。例如在数据出境的场景中,欧盟对数据离境的要求是企业适用约束性企业规则(BCRs)或使用数据出境标准合同(SCC),数据才可出境,我国数据出境要使用网信办的标准合同并备案审核,企业应根据两地法律监管体系对数据出境要求的差异,有针对性地设计符合两地法律体系的数据出境企业规则。

(三)数据安全治理技术综合运用的成效

全面降低企业的数据安全风险,需要多种数据安全技术综合运用。以安华金和的实践经验来看,通过数据安全平台可实现对多种数据安全技术的综合使用、统一管理及调度,能够实现个人信息删除权、“可携带权”等一系列难度较高的要求。同时,分类分级后的标签数据能够与数据安全策略进行匹配和联动,从而实现对数据和数据流动的监控。因此,多种数据安全技术的综合使用,是大中型企业降低数据安全风险的有效手段。


三、数据安全治理落地的一些典型挑战

(一)数据分类分级的智能化、自动化

当前,很多企业已通过专业咨询机构完成对数据的分类分级,形成了数据分类分级清单和一些数据安全管理制度。但是,其数据分类分级清单和管理制度大多停留在纸面上,技术上无法直接运用。

面对庞大的数据量,分类分级要以“自动化”为主,“人工”为辅。在安华金和的技术演进中,分类分级工具使用了数据内容识别、关键字分析、机器学习、智能关联、行业知识库等一系列技术,极大提升了自动分类分级的效率和准确率。

数据资产和数据分类分级清单保存在自动化工具中,不但可以导出清单,还可以通过工具提供的 API,将分类分级工具和其他数据安全技术对接,使其他的数据安全技术能够直接识别分类分级后的标签数据。同时,数据安全专家能够将数据安全管理制度、行业规定、国家法律等的不同要求,拆解形成技术化的语言,结合数据标签,匹配业务需求和场景,制定安全策略,完成数据分类分级与合规制度的技术落地。

(二)数据的分级分域存储

数据的分级分域存储需要在数据分类分级的基础上进行,根据安全需求和业务需求制定。但是,数据分级分域存储对大多数企业来说,目前难度较高。绝大多数企业在应用设计时,数据结构是以业务需求为第一位的。如果要求数据分级分域存储,那么在应用设计之初,就要以数据安全和数据分类分级为基准,构建新的数据结构。

以金融机构为例,个人敏感信息在金融系统中大量存在,分布在各个库表中。如果某新业务要求数据分级分域存储,就需要在应用架构设计时,数据结构优先考虑数据分类分级,将《金融数据安全 数据安全分级指南》中规定的金融个人敏感信息在逻辑上存储到单独的库表中。

(三)个人删除权与可携带权的运用

在《个人信息保护法》及很多行业规范中,都提到针对个人信息删除的问题。与欧盟的《通用数据保护条例》中规定的删除权不同,我国对个人信息删除的规定在技术上相对容易实现,即要求企业做到已删除的个人信息为“不可检索、不可访问”的状态。从安华金和的实践来看,履行删除权可在数据安全技术综合使用的条件下实现。履行个人信息的可携带权,与实现删除权的技术类似,也可在数据安全技术综合使用下实现。

(四)个人信息安全影响评估

《个人信息保护法》要求个人信息处理者定期进行个人信息安全影响评估,《信息安全技术个人信息安全影响评估指南》也对评估方法进行了相应阐述。从技术角度来看,个人信息安全影响的评估难度较大,主要有以下原因。

1. 准确定位个人信息评估的主体

准确定位个人信息评估的主体,是有效开展个人信息安全影响评估的基础。例如在医疗行业,普通病患者、慢性病患者、特殊病患者三类人群,他们的个人信息从技术角度看是一样的。但当数据发生泄露后,对个人财产、人格权等影响程度明显不同,特殊病患者的个人信息泄露后,对个人的影响最大。因此,在对个人信息进行分类分级时,就要考虑个人信息安全影响评估的主体特征,结合实际情况采取适合的措施,针对性地进行数据保护。

2. 影响个人信息安全评估的技术

对个人信息的处理过程中,对主体影响最大的方面包括数据收集、处理、共享等。无论评估涉及哪个方面,都需要多种技术运用与人工相结合的方式进行评估。例如在数据的自动化决策中,评估人员需要判断数据是否能标识某一类主体,这就需要结合数据脱敏、存储端数据识别、应用端数据识别等多种技术。

(五)数据交易的合规性

近年来,数据的流通与交易已被行业和市场认可。截至 2021 年,全国的数据交易平台已有 17家,但多数平台的数据成交量有限。一方面,如果将数据交易置于数据全生命周期来看,交易只是其中的一个环节,还有很多环节需要不断夯实。另一方面,诸如重要数据、个人信息在交易的时候,还面临着法律层面的监管。例如个人信息需要个人同意后才可交易,否则需要匿名化处理,但是,匿名化后的数据价值会在一些场景中打折扣。

隐私计算是近年来很热的一个话题,在不暴露真实数据的情况下,可以直接交换数据结果。笔者认为,目前隐私计算市场的热度高于其真实水平,很多数据交易平台虽然使用了隐私计算技术,却没有找到具体使用场景。数据的提供方不知道如何将自己的数据归类、展示,使用方也无法从纷繁复杂的数据中,快速找到自己模型需要的样例,这或许是隐私计算技术发展较慢的原因。


四、结语

综上,数据安全治理要辅助数字经济发展,数据安全要贯穿在数字经济的发展过程中,为数字经济夯实前行道路。如果一味强调安全导致过度防范,也会影响经济发展。而将数据安全弃之不顾,采用“先发展、再治理”的思路,等到问题出现必将付出惨痛代价。“不冒进、不躺平”,有规划地逐步建设发展,使得数据安全治理与数字经济的发展相辅相成,才是正确的数据安全治理之道。

(本文刊登于《中国信息安全》杂志2022年第4期)

声明:文章仅代表原作者观点,不代表本站立场;如有侵权、违规,可直接反馈本站,我们将会作修改或删除处理。

图文推荐

热点排行

精彩文章

热门推荐