数据安全治理贯穿数据供给、流通、使用全过程,只有确保数据安全,才能真正实现数据要素市场的高质量发展。
一、数据要素发展对数据安全提出更高要求
数据已成为基础战略资源和关键生产要素,对发展新质生产力具有重要作用,只有让数据流动起来才能创造更大价值。近年来,我国陆续发布要素市场化配置、数据要素X行动计划等一系列政策,着力促进数据要素流通利用和价值释放。而要推动数据要素“活起来、动起来、用起来”,前提都是数据安全。如果数据安全事件频发,会导致企业不敢、不愿、不能共享数据,从而制约数字经济发展活力与动力。同时,数据大规模流通利用显著增加了数据触点和暴露面,数据泄露、滥用、垄断等风险问题日益凸显,对数据全生命周期安全保护提出更高要求。数据显示,2023年已确认的数据泄露事件比前一年翻了一番,再创历史新高。因此,平衡好数据安全保障和促进数据要素流通利用极为重要。
二、我国数据安全法律制度体系逐步完善
近年来,在总体国家安全观的指引下,我国加快完善数据安全法律标准体系,为企业健全数据安全管理和技术保护措施提供了规则指引。在法律法规方面,《数据安全法》《个人信息保护法》与《网络安全法》共同构成了我国数据安全立法的“三驾马车”,建立了数据分类分级、风险评估、监测预警、应急处置等关键制度机制,明确了数据全生命周期安全保护义务。工信领域出台了《工业和信息化领域数据安全管理办法(试行)》,固化总结前期工信领域数据安全管理实践经验,构建了“部-地方-企业”三级联动的数据安全工作机制,进一步细化明确了重要数据备案、数据全生命周期安全管理、风险评估、风险监测与应急处置等数据安全保护义务。在标准规范方面,全国网络安全标准化技术委员会(TC260)持续健全数据安全领域标准体系,推进数据分类分级、数据安全风险评估、数据安全评估机构能力要求等重点标准研制发布。各行业各领域也积极推进标准编制应用工作。例如,电信和互联网领域已发布行业数据安全标准体系建设指南,并研究发布多项行业数据安全标准。
三、企业数据安全能力提升建议
企业业务系统、业务流程日益复杂化对数据安全提出更高要求,建设体系化数据安全能力成为大势所趋。一是做好日常管理与技术能力建设。例如开展组织体系建设,岗位人员配备及制度机制建设,建设覆盖全部重要及核心数据的访问审计、数据加密、数据脱敏、攻击检测等数据安全保护技术能力,实现采集、使用、存储、交易等重点场景全覆盖。二是持续开展风险识别、评估与应对。除了做好管理与技术保障,在业务运营中,企业更要关注数据流转过程中的风险跟踪与监测。通过数据安全风险评估等方式,准确识别每一项数据处理活动的潜在风险,评估保障措施配备情况,及时发现和处理数据违规行为,加强风险防范和应对。
中国信通院数据安全团队在数据安全管理规范制定、风险评估、技术能力建设等方面积累了丰富的研究与实践经验。下一步将围绕典型场景探索构建数据流通安全治理框架,研制数据要素市场主体安全能力评价等标准,与业界共同促进数据有序流通。