网络安全设计与建设必须关注“权益”问题

---

---

所谓权益就是受法律保护的权利和利益，可见法律是权益保障的根本。随着我国《民法典》的颁布执行，依法治国的理念落实到方方面面，同时近两年颁布和执行的涉及网络安全的法律和规范也是数量众多，这无不说明，权益保护是社会治理和网络治理的核心要素。对于法律层面的问题，本文不做过多说明，作者仅想从权益保护层面对安全设计和建设做个思考。

---

网络安全行业从业者在安全设计和建设过程中往往更关注安全体系本身以及关联应用，对权益问题思考的要少一些，所以形成的方案或系统，技术上都满足要求，但如果按照保护权益角度衡量就有问题了，这样的方案或系统随着业务发展，最终一定会出现责权利混乱的情况（当下很多云环境下的安全方案，作者认为都或多或少存在权益混乱的问题），这种混乱对网络安全是灾难性的。

---

当前是数据时代，数据已被明确是社会生产中的重要生成资料。信息化就是通过对作为生产资料的数据进行处理从而达成某种生产目的，并获得价值增值。从这个维度分析，明确操作实体对数据的权益就是网络安全设计和建设在权益保护层面最关键的环节，而信息化中的其他组成部分（机房、电脑、网络设备、应用系统等）的权益保护按照物权进行落实即可。

---

明确操作实体对数据的权益

---

首先，要从“以流程为主线，转变为以数据为核心”来看待信息化，并进行数据梳理。数据包括业务数据、管理数据、配置数据、过程数据、系统数据、环境数据等，尽量做到分类清楚和全面。（生产资料管理）

---

其次，将所有参与信息化的操作实体（人/机构）按照现实情况进行梳理和分类，同样要做到分类清楚和全面。（生产关系管理）

---

再者，参照物权的相关内容，结合数据的实际特点，梳理权益内容【包括但不限于所有权、使用权、处置权（增、删、改、查）、知情权、监督权、授权权、认证审查权、测试鉴定权等】

---

最后，落实生产关系和生产资料之间的权益对应，在对应过程中无需面面俱到，仅需抓住主要内容。建立这种主要对应关系目的是指导网络安全设计者在安全设计中切勿因为技术限制而导致主要对应关系错位产生权益混乱。（生产力管理）

---

总结：

上述内容说的很抽象，大家读起来可能比较生涩一些，不过其中心思想就是在网络安全设计和建设过程中，时刻注重权益保障，确保在责权利划分清楚的前提下再去选择网络技术和设计网络安全框架。

为了便于理解上述文章中的相关内容，大家可以参考《集中模式下（云）的安全设计思想》。

【注：以上观点仅是作者肤浅认识，仅供大家参考】

“作者今天又严重失眠，相关文字有不严谨的地方请多担待”

---

参考文章

---

---

来源：与智慧做朋友

作者：李志勇

声明：文章的部分图片来源于网络，版权并不属于作者

---

---