如何应对数据跨境流动的风险？
导读
随着世界多极化、经济全球化、社会信息化的大潮，数据跨境流动的价值与风险越来越凸显。其风险源于技术漏洞、管理缺位和政策法规的不完善，渗透于数据全生命周期，已经成为进一步推进数据治理、护航数字经济亟待解决的问题。这些问题具体表现在：海量跨境数据难以梳理分类，不当应用引发风险隐患；跨境数据攻击升级，黑灰产加剧数据风险；各国高度重视跨境数据流动规制、角力升温。为此，需要统筹“内”与“外”两个大局、数据“出”与“入”两个流向以及“发展”与“安全”两个方面，在法规制度、责任体系、安全保障上，做好数据安全和跨境数据流动管理的相关工作。
一、引言
全球海量数据在网络空间中不断流转，带来了经贸交易、技术交流、资源分享等跨国合作，数据的挖掘和利用释放了数据价值、提升了经济效率、增进了社会福祉。但同时，这些数据中不可避免地涵盖了个人敏感信息、企业运营数据和国家信息数据。随着这些敏感数据的规模越来越庞大，数据种类越来越丰富，数据跨境越来越频繁，安全风险日益加剧。此外，数据跨境流动在专业技术、知识产权、政策法规等方面都还存在一些问题，如何有效防范数据跨境流动带来的风险，成为进一步推进数据治理、护航数字经济亟待解决的问题。
二、数据跨境流动风险分析
数据跨境流动的风险渗透在数据生产、采集、传输、存储、处理和共享等各环节，安全威胁成因复杂交织。如在传输环节，跨境流动的数据面临传输过程被中断，数据被截获、篡改、伪造等风险；又如在存储环节，跨境数据的承载介质多样、存储属地分散、访问人员庞杂，数据跨域存储防护薄弱部位出现数据泄露等问题。这其中，既有传统安全风险在新行业新领域的蔓延，也有新技术新业态引发的新风险；同时，数据安全技术漏洞、管理缺位和政策法规不完善的问题也不容忽视。目前，数据跨境流动的风险主要表现在以下几个方面。
2.1 海量跨境数据难以梳理分类，不当应用引发风险隐患
在互联网前期，其开放特性使数据随着网页浏览、在线视频、电子商务、社交网络等服务，在服务器和终端之间流动。云计算技术兴起后，谷歌、亚马逊、脸书、阿里等跨国巨头企业，建立了可支撑全球信息服务的超级数据中心，数据跨境流动日益频繁、密集。随着4G/5G等信息通信技术的快速发展，数以百亿计的传感器打通了物理世界与虚拟世界的“隔离墙”，实现了自然世界与信息世界的广泛渗透和深度交互。遍布全球的传感器，作为物理世界的“神经末梢”，无时无刻不在将感知数据传到信息世界的“大脑”——数据中心。海量数据在此过程中不断产生，并随时间持续积累，这些数据可能尚未被有效开发利用，也可能作为关键信息基础设施的有益补充被用于支撑能源、通信、交通、金融、公共事业等行业运行，也可能形成对个人或企业具有价值收益或损失属性的各类数据。
国际数据公司IDC发布的《数字化世界——从边缘到核心》和《2025年中国将拥有全球最大的数据圈》白皮书表明，2018年—2025年中国数据总量的年平均增长速度是30%，将以每年3%的速度超过全球平均水平。2018年，中国共产生7.6 ZB数据，预计在2025年中国数据总量将增至48.6ZB，占全球27.8%，成为最大的数据总量，远超美国的30.6ZB。这些数据来自各类平台、设备，对信息和上下文分析至关重要。随着经贸、技术等多领域的国际合作，各类数据也日益频繁地在全球进行跨境流动并得以累积。这些数据通过分析可产生深度影响企业、个人的数据，甚至得出关乎经济运行、社会治理、公共服务、国防安全等的关键信息。例如，通过海量手机位置可反向绘制移动通信基站分布图；再如，根据跨国电商订单等数据推测用户群体的消费情况和对应行业的宏观经济运行情况。
在跨境数据流动过程中，如何对已有和源源不断新产生的海量数据进行全面梳理和有效管理是不小的挑战。一方面，数据在产生、存储后，被开放利用的情况随着数据采集、挖掘、分析等技术的不断发展而动态变化，加上数据体量大、增速快，当下未必就能准确地完成分级分类评估；另一方面，跨境流动中已被开发利用的各类数据，呈现形态各异、应用领域广泛、价值定义不明的状态，新技术、新业态引发的数据风险未知大于已知，加剧了数据跨境流动的安全隐患。
2.2 跨境数据攻击升级，黑灰产加剧数据风险
随着数据价值攀升，以数据为目标的跨境攻击越来越频繁，主要呈现以下3个特点：
第一，攻击者从独立的黑客扩展到具有特定目标诉求的专业团体。例如，全球最大的SIM卡制造商金雅拓曾遭英美联合攻击，SIM卡密钥被盗取，用于解密、监控移动通信用户的语音等通讯数据。这只是一个缩影，德、法、日等国也均已规划实施了数据监控项目。美国在互联网上具有先发优势和核心技术能力，美国联邦调查局 （FBI） 通过微软、谷歌、苹果、雅虎等九大互联网公司的服务器，监控全球电子邮件和通话记录等私人信息。据香港《南华早报》报道，中国网络曾遭美国政府黑客的入侵超过4年时间，攻击的成功率高达75%，成为最大的受害者。
第二，攻击对象从个人设备逐渐升级为各类泛在网络设备、终端和软硬件，甚至包括关键信息基础设施。比如，移动设备的GPS、麦克风、摄像头，移动通信的SIM卡、蜂窝基站、热点、蓝牙、Wi-Fi，以及广泛分布的物联网设备等。2018年4月，黑客组织“JHT”利用思科智能客户端漏洞大肆攻击俄罗斯、伊朗和中国的网络基础设施，波及多个互联网数据中心以及组织机构，交换机配置信息被清空，导致网络业务瘫痪。
第三，攻击方式随着技术发展不断演变升级，越来越多样，越来越隐蔽，越来越智能。以人工智能为例，通过对数据的推理学习，会使数据去标识化、匿名化等安全保护措施无效。例如，剑桥分析公司通过对Facebook用户数据的智能分析，获取用户包括种族、性格、信仰在内的各类隐私信息，将其用于非法牟利。同时，还可以对人工智能算法实施逆向攻击，非法获取算法内训练数据和运行时采集的数据。如通过对药物剂量智能预测算法的逆向攻击，结合患者的人口统计数据，可得出基因信息。
经由攻击获取的数据，通过网络黑灰产，流入数据地下交易市场，向境外海量转移，进一步加剧数据安全风险。根据360企业安全发布的《2018年暗网非法数据交易总结》报告，2018年7月，新加坡近150万公民的医保资料以每份35元的价格在暗网出售，受害者甚至包括新加坡领导人。此外，2018年12月，黑客组织Anonymous在暗网公开2万余名FBI特工和法国警察的信息，还有法国对外安全局、美国FBI和CIA、英国军情六处的各级网站域名和IP数据。
2.3 各国高度重视跨境数据流动规制、角力升温
跨境数据流动的规制角力，会影响不同国家对全球数据强弱不均的支配力，进一步影响商业先机的把握、公共事务的话语权和国际竞争力，世界各国对此都高度重视、纷纷布局、持续跟进。
欧盟设立高标准的数据保护条例，并在全球范围大力推广欧盟标准，延伸其成员国关于数据跨境流动的权利范畴，以维护欧洲利益。欧盟通过《通用数据保护条例（GDPR）》设立了全球几乎最严格的隐私保护制度，同时向全球推行《有关个人数据自动化处理之个人保护公约》（“第108号公约”），旨在推动欧盟以外的国家向欧盟数据保护标准靠拢，以实现其数据跨境流动框架。同时，为驱动以数据为要素的科技创新，进一步提升竞争力，欧盟也在尽力消除欧盟内的数据流动障碍。例如，欧盟的《欧洲数据经济中的私营部门数据共享指南》和《非个人数据自由流动框架条例》以最大程度地减弱欧盟成员国在欧洲的数据本地化趋势，推动数据共享，助力数字经济发展。
美国利用在信息通信技术、产业等方面的先天优势，主张全球数据自由流动，意图通过遍布世界各地的美属企业分支机构，得到更多经济利益，占领数据主权的制高点。2018年11月，澳大利亚等加入了亚太经济合作组织倡议构建的跨境隐私规则体系（CBPR）。至此，APEC的21个经济体中共有8个加入CBPR体系，进一步促进了CBPR体系内各国间数据的跨境流动。以美国为主导的多边数据跨境流动自律机制和隐私保护计划有了新进展。另一方面，2018年3月，美国总统特朗普签署了《澄清境外数据的合法使用法案（CLOUD）》，从法律层面对跨境调取海外公民的信息和通信数据等方面内容进行了规定。此外，根据数据的重要性和影响程度不同，美国对一些重要行业、重点领域或安全敏感的数据，实施禁止或限制出境管理。如，美国规定，对于属于安全分类的数据，存储的物理服务器必须分布在美国境内，只有美国公民可以访问，不能存于任何连接公共云的数据库；对于其他数据，要求通过政府的安全风险评估后才能外包。
从国际主要国家经验可以看出，对于数据跨境流动的规制，着重在恰到好处的数据本地化策略和健全的数据跨境流动制度，既尽量减少数据安全风险，更好地保护数据资料、数据资源和数据资产；同时，持续推动数据自由流动，有效地释放数据潜力，护航国内以数据为核心的数字产业。
三、对策建议
我国在全面实施促进大数据发展行动的同时，亟需科学完备的数据安全保障体系。跨境数据流动作为数据保护的重要一环，面临着日益严峻的风险和安全挑战。为此，要处理好3个关系：第一，统筹“内”与“外”两个大局，对内，要加快发展以数据为核心的数字及安全产业，支撑、促进数字经济发展；对外，要积极推动数据驱动的双边、多边对话和合作，进一步扩大国际伙伴关系。第二，统筹数据“出”与“入”两个流向，既要进一步扩大数据开放，助力企业“走出去”，服务“一带一路”等国家战略；又要发挥自身产业优势，促进全球数据汇聚，增强数据竞争优势。第三，统筹“发展”与“安全”两个方面，管理上严宽并重，坚持守住安全底线，同时持续推动数据流动，有效释放数据红利，更好地发展经济、服务人民、造福社会。
3.1 完善法规制度环境
3.2 构建安全责任体系
制定完善行业数据出境分级分类的指导目录、等级保护条例和管理细则，与现有的网络安全和数据安全管理体系做好衔接。明确监管部门、行业主管部门和企业等的责任和义务，构建涵盖数据生产者、使用者等主体权责分明的安全责任体系。授权监管机构建立数据跨境流动安全评估和审批认证制度，确立测试标准，明确认证流程，细化审核程序。统筹不同行业主管部门联合开展针对数据跨境流动的安全检查和风险评估，督促指导各责任主体落实数据安全防护和出境管理相关要求，建立健全突发事件应急处置机制。
3.3 强化数据安全保障
布局完善产学研用投协同的数据安全科技创新生态，加强数据安全新技术、产品和服务的应用和推广。对数字基础设施进行安全加固，推进国产化部署，防范系统、网络后门以及非法数据通道。推动数据加密、隔离、防泄露、溯源、销毁等技术研发，提升数据跨境流动全环节风险监测和安全防护水平，以实现数据系统攻不进，数据传输切不断，数据资产窃不走、数据滥用行为赖不掉的目标。鼓励研制具有行业针对性的数据安全防护和出境管理解决方案，组织开展重点领域试点示范，探索行业最佳产品和服务实践，推动技术创新、应用推广和产业化。
作者简介
王娟娟：中国科学院大学博士，就职于中国信息通信研究院政策与经济研究所，从事工业和信息化技术、产业和政策等方面的研究。
联系方式：wangjuanjuan@caict.ac.cn
宋 恺：就职于中国信息通信研究院政策与经济研究所，监管研究部副主任，高级工程师。
联系方式：songkai@caict.ac.cn
本文刊于《信息通信技术与政策》2019年第7期
《信息通信技术与政策》
由工业和信息化部主管、中国信息通信研究院于1975年主办的《电信网技术》（月刊）自2018年3月正式更名为《信息通信技术与政策》。《信息通信技术与政策》刊载内容在覆盖传统电信领域的基础上向信息、通信和ICT领域延伸。本刊物重点解读行业政策、标准，报道国家重大科研项目成果及业内最新最热产品与技术解决方案。
主要栏目：专题、专家论坛、产业与政策、发展策略、泰尔检测、产品与技术方案。
投稿邮箱：ictp@caict.ac.cn
中国信通院最新推出专业学习服务小程序—“信通微课”，方便您随时随地学习行业领先知识，欢迎体验！
扫描识别下方二维码，或从公众号首页导航栏进入“信通微课”小程序。
校 审 | 陈 力、 凌 霄
编 辑 | 珊 珊
推荐阅读