精华观点 | 数安先锋行第一期：“数据安全合规与治理”主题沙龙
7月13日，由中国信息产业商会信息安全产业分会、中国计算机学会计算机安全专业委员会、中关村网络安全与信息化产业联盟指导，中关村网络安全与信息化产业联盟数据安全治理委员会主办，北京安华金和科技有限公司与《中国信息安全》杂志社联合承办的“数安先锋行”系列沙龙活动正式启航。
首期”数据安全合规与治理“主题沙龙携手中国网络安全审查技术与认证中心首席专家李京春、中国信息安全测评中心研究员都婧、北京信息安全测评中心高级工程师李媛、北京安华金和科技有限公司高级技术专家雷嘉宾等多位业界权威专家围绕数据安全合规治理、数据安全风险管理、实践成果分享、技术创新应用等方向深入探讨交流，开启了一场精彩纷呈的线上对话。
干货精选，先睹为快
合规驱动下的数据安全治理体系建设
数据安全需要依法依规治理，数据安全治理应依据立法秉持的基本原则：
1）《网络安全法》中国家坚持网络安全与信息化发展并重的原则、鼓励开发网络数据安全保护和利用技术的原则；2）《数据安全法》坚持维护数据安全与促进数据开发利用并重的原则，以开发利用促安全、以数据安全保障产业发展；坚持数据治理、开发利用等国家交流合作的原则，促进数据跨境、自由流动；3）《个人信息保护法》提出处理个人信息应当遵循合法、正当、必要和诚信原则；采取必要措施保障保护个人信息原则；4）《网络安全审查办法》坚持防范网络安全风险与促进先进技术应用相结合的原则；过程公正透明与知识产权保护相结合的原则；事前审查与持续监管相结合；企业承诺与社会监督相结合；5）《云计算服务安全评估办法》坚持事前评估与持续监督相结合的原则；保障安全与促进应用相统一的原则。
数据安全治理需要加强监管，需要处理使用侧（运营者、处理者、使用者、安全服务者）、监管侧（政府、机构）共同推动促进数据安全产业发展。
数据安全治理体系建设应从以下六方面开展：
1）须要风险评估、DSMM、DCMM等数据治理能力的不断迭代升级
2）须要对数字经济发展的关键要素进行保护和治理（软件定义、数据驱动、万物互联）
3）须要抓住重点环节精准保护和治理（数字化转型安全保护、数据开放与数据治理过程中的安全保护、数据共享与数据流动中的安全保护、数据应用安全保护、数据保护中的自身安全性）
4）须要对数据全生命周期进行安全保障
5）须要关注数据自身治理的质量
6）须要推动数据安全治理工作层面的“四梁八柱”体系建设
新形势下的数据安全风险管理
数据安全是在数字化经济时代下，从不同视角下的数据处理活动安全，防护数据被窃取、破坏、滥用、误用。
数据安全风险评估是数据安全风险管理的起点，以《数据安全法》为根本出发点，以发现数据安全风险为主要目的，能够帮助企业/组织发现自身数据安全问题和短板，明确数据安全保护需求，为建设数据安全风险管理指明方向，给出解决方案。
数据识别是数据安全风险评估的基础，通过数据梳理、分类分级明确数据安全管理的目标；数据处理场景识别是数据安全风险评估的主线，各类数据可能对应多个处理场景，而每个处理场景可能都存在潜在的安全风险，数据处理场景识别包括业务流程及相关应用；风险分析的各项活动需要在识别出的具体数据应用场景中展开，包含评估后果、评估事件可能性、估算风险级别。
实践中常见的数据安全风险涉及对外数据暴露面场景、内部办公场景、生产运维场景，包括数据收集风险、公开风险、加工风险、存储风险、使用风险、传输风险、提供风险。
如何做好数据安全保护工作：
1）做好数据安全管理：制度体系、技术工具、组织建设、人员能力
2）做好数据识别：摸清家底知晓具体有哪些数据，明确敏感数据使用状况、识别单位的数据安全管理目标、明确数据分布流动情况、指导数据安全风险治理
3）做好数据分类分级：数据分类分级是实施有效数据安全保护的基础
4）做好数据安全技术防护：身份认证技术、访问控制技术、加密技术、行为监控技术、内容分析技术、分类分级技术、审计技术
5）数据安全防护协同：数据安全防护需要各部门紧密配合
政务数据安全保障实践
《北京市“十四五”时期智慧城市发展行动纲要》提出，要在“四梁八柱深地基”框架基础上，夯实新型基础设施，推动数据要素有序流动，强化基础平台和数据服务能力建设，加强数据安全防护。其中，“数据管控层”以市大数据平台为中心，作为数据的流转枢纽。
从管理者视角，目前北京市政务大数据治理思路计划采取分域保护系统（数据专区域、数据生产域、数据治理域、数据开放域、数据共享域），分“域”管理数据，即一个域内数据活动目标清晰，业务需求相对明确，数据安全需求相对统一，可以执行较为一致的安全策略；同时解决数据分类分级难的问题。
政府建设具有行业属性的数据专区，保证数据真实有效，经过加工处理后，可以更安全的回到社会，服务于民。通过政务云数据专区可以实现持续监督、智能运维、监管数据共享、上云数据可见；分类分级方面，依据《DB11/T 1918 政务数据分级与安全保护规范》开展了积极的探索实践。
从数据处理者视角，应促进数据安全体系建设与网络安全体系的真正融合、数据共享常态化、积极开展企业数据安全管理能力评估、加强人员数据安全培训考核、构建常态化数据安全评估机制等，赋能政务数据安全保护实践。
数据安全运营平台解决方案与落地实践
数据安全建设面临“管理难、监测难、追溯难、防护难”的一系列挑战，亟需建立完善的数据安全治理体系，有效解决数据流转中的安全问题。
数据安全治理需要数据安全管理/监督方建立管理能力和运营监管能力，数据安全运营方建立日常运营(监测和管理)能力，数据作业方建立监测和防护能力，从而构建运营体系、管理体系、监控体系阶段相辅相成的行之有效的数据安全治理体系。
在落地实践过程中，需制定数据安全管理办法、数据安全管理规范、数据安全关键流程管理规范、数据安全分类分级规范，并遵循分类分级原则（统一性原则、稳定性原则、合理性原则、关联叠加原则、就高不就低原则、自主性原则），通过日常运营工作台支撑数据安全运营业务流程；通过可视化运营监管能力帮助管理者全面掌握数据安全运营状况，从而实现：
1）提升数据安全保障能力，防范来自于外部威胁和发生自内部的风险。
2）追踪溯源风险源头，对数据使用进行管控、脱敏。实现数据资产有效分级分类。
3）对数据资源全生命周期管理，以数据安全基础防护能力为技术支撑，建立安全集中管控、事件集中处理、风险集中处置的数据安全闭环管理。
本期研讨问题精彩观点
01
新形势下对数据安全风险评估提出了新要求，同时对数据安全防护也不再是一两个技术或产品就能解决的，那么数据安全防护协同的防护思路如何体现？
数据是流动的，数据安全风险也在时刻变化，因此需要动态调整防护策略，使得数据安全防护具备动态适应能力，也需要安全部门、业务部门共同参与，建立动态有序可持续发展的数据安全管理运行机制，来促进建设、开发、使用、运维等各个环节有效运行，同时保证相关标准、技术工具有效支撑，做好数据安全防护协同。
02
北京市十四五智慧城市发展纲要对全国各城市的智慧城市建设都有指导作用，就数据安全建设的两方面建议：一是“树立底线思维”，有哪些数据安全技术是必须要做的；二是“最佳性价比”的数据安全技术有哪些？
在信息化建设过程及各单位履职的过程中，应当秉持“数据是流动的”理念，以此来指导、研究分析数据安全技术；此外，技术应用要与自身业务需求相匹配，这就要求数据分类分级工作及时开展，做到“摸清家底”，才能进一步采取防护措施。例如数据共享可以采取API接口、文件方式共享，其中涉及到的数据认证、传输、加密、访问控制等传统技术，去标识化、隐私计算等新技术也要结合数据应用场景，对相应级别的数据起到防护作用。数据安全建设需要技术和管理并行，我们也号召数据处理者应选择可靠的、技术过硬的服务团队才能真正有效实现数据安全建设。
03
数据安全运营管控平台在政数局实践过程中都有哪些落地能力，解决数据安全“管理难、监测难、追溯难、防护难”的问题？
管理：数据安全组织架构需要有高层参与，并对相应的管理制度进行统筹把关。
监测：在数据汇聚侧，可以借鉴数据库审计技术；在数据共享开放侧，建议采用接口级别的监测，监测接口所出的数据及是否存在爬虫、传输明文、传输密码等情况，实现数据从库层面到出口层面的全方位监测。
防护：从结构化数据来看，常见的有数据库防火墙，数据库安全运维，接口层面有API网关，传输层面的vpn；此外，隐私计算技术可以实现数据价值的流通，重要数据安全防护要以数据分类分级结果为前提。
追溯：可以通过数据水印或区块链相关技术来保证数据在流转和追溯过程中不被篡改和可溯源性。
04
最后，我们聊聊健康码这个热点事件，首先我们贡献了个人信息，才能获得疫情防护的方便；对“健康码”在数据安全和个人信息保护方面应当采取怎样的措施？
健康码承载大量市民信息，容易成为网络攻击的众矢之的，且有很多来自于境外的风险，需要关注数据篡改的问题，避免扰乱防疫工作的正常运行，要做好充分的应急预案，确保御敌于外，同时建议做好数据分级的管理。
健康码使得出行信息与健康状态相关联，需要保证前端app、小程序合规，建议在各方之间的数据流通过程中，强调数据安全责任，并通过法律手段建立监督和发现的机制和措施。
从《个人信息保护法》出发，健康码系统在收集个人信息时应当考虑配合数据安全技术能力，授权信息与个人信息应是绑定的，在数据流通过程中，保障个人信息不被篡改和随意操作，要考虑权限和数据两方的属性；此外，可以考虑建立数据对账的机制，例如场所码、疫苗信息、核酸信息等均来自不同数据管理方，这些展示的数据应与源头数据进行定期对账，发生数据不统一时可以进行及时追溯，也可以对恶意的个人信息操作问题起到防护的作用。
健康码大数据应用场景下，无所不在的数据搜集技术，多样化的数据处理技术使得较难以控制个人信息的搜集场景和应用场景，需要针对疾控人员、业务人员、开发运维人员做好个人信息保护教育培训，同时大数据健康码业务系统需要保障业务连续性，相关管理部门应能及时监督各方履行数据安全保护义务。
建议实施中除依照法律法规外，可以参考标准GB/T39335-2020《信息安全技术 个人信息安全影响评估指南》、GB/T 35273-2020《信息安全技术个人信息安全规范》、 GB/T 41479-2022《信息安全技术 网络数据处理安全要求》。
“数安先锋行”系列沙龙将为产业界持续提供开放交流的平台，不断推动数据安全治理实践落地，围绕数据安全热点话题，分享前沿产品技术与解决方案，致力于成为以技术创新驱动产业发展，以行业实践夯实产业根基，聚焦技术成果和实践案例的分享交流平台，技术赋能，数治未来。
往期推荐