隨著全球數(shù)字化轉(zhuǎn)型和我國新基建加速落地，做好數(shù)據(jù)安全治理成為企業(yè)的共識。單一的數(shù)據(jù)安全技術(shù)或單一場景的數(shù)據(jù)安全能力，已經(jīng)不能滿足多樣化的數(shù)據(jù)安全需求，更不能滿足《個人信息保護(hù)法》《數(shù)據(jù)安全法》的合規(guī)要求。構(gòu)建數(shù)據(jù)安全保障體系，要從方法論、綜合技術(shù)能力、投入成本等多方面去考量。因此，企業(yè)要做好數(shù)據(jù)安全治理，重點在安全貫穿發(fā)展。
數(shù)字時代，如何處理發(fā)展和安全的關(guān)系
一、對數(shù)據(jù)要素的利用必須以安全為前提
數(shù)據(jù)要素的利用，在于提升數(shù)據(jù)的可訪問性、可解釋性和可索引性。同樣一份數(shù)據(jù)，經(jīng)過不同使用者的處理，能夠發(fā)揮出不同的數(shù)據(jù)價值，這是數(shù)據(jù)要素利用的關(guān)鍵。數(shù)據(jù)中的信息涉及商業(yè)機(jī)密、個人隱私和國家安全，所以對數(shù)據(jù)要素的利用需要以安全為前提。
二、數(shù)據(jù)安全的中長期規(guī)劃和短期目標(biāo)的平衡
構(gòu)建數(shù)據(jù)安全保障體系的目標(biāo)是降低數(shù)據(jù)所面臨的風(fēng)險，而風(fēng)險貫穿于數(shù)據(jù)的全生命周期之中。企業(yè)開展數(shù)字業(yè)務(wù)，構(gòu)建數(shù)據(jù)安全體系，首先要明確自身的行業(yè)屬性和業(yè)務(wù)數(shù)據(jù)的屬性。企業(yè)開展數(shù)據(jù)安全治理工作，應(yīng)充分考慮相關(guān)法律、行業(yè)標(biāo)準(zhǔn)、安全技術(shù)等要求，制定適合自身實際情況的中長期數(shù)據(jù)安全治理目標(biāo)，并圍繞目標(biāo)開展數(shù)據(jù)安全治理的規(guī)劃，通過行業(yè)經(jīng)驗和實踐，達(dá)到數(shù)據(jù)利用與數(shù)據(jù)安全之間的平衡。
三、數(shù)據(jù)安全治理成本與收益的平衡
數(shù)據(jù)安全治理工作需要考慮成本與收益的平衡，才能取得企業(yè)需要的治理效果。數(shù)據(jù)安全治理工作的各項成本，包括經(jīng)濟(jì)成本、管理成本、人力成本。數(shù)據(jù)安全治理的收益，包括數(shù)據(jù)安全合規(guī)，降低企業(yè)商業(yè)風(fēng)險，協(xié)助企業(yè)數(shù)據(jù)資產(chǎn)有效利用。對企業(yè)內(nèi)部數(shù)據(jù)資源的挖掘利用，以及數(shù)據(jù)對外的共享與協(xié)同利用，需要在合法合規(guī)以及有效技術(shù)手段下。
數(shù)字時代，數(shù)據(jù)安全治理的主要內(nèi)容
數(shù)據(jù)安全治理的核心內(nèi)容是 “降低數(shù)據(jù)風(fēng)險，促進(jìn)數(shù)據(jù)有序利用”。在運營過程中，將管理者的思路落實，并根據(jù)企業(yè)內(nèi)外部的環(huán)境變化，不斷調(diào)整優(yōu)化管理制度和技術(shù)運用，做到對合規(guī)變化和風(fēng)險變化的及時應(yīng)對。
一、中國本土企業(yè)的數(shù)據(jù)安全合規(guī)
簡單來說企業(yè)需要了解自身所屬行業(yè)面臨的合規(guī)要求，制定數(shù)據(jù)安全目標(biāo)，分析數(shù)據(jù)使用的各個重點場景，通過 “管理 + 技術(shù)” 的手段來降低數(shù)據(jù)安全風(fēng)險。并能夠通過數(shù)據(jù)安全各類評估，證明企業(yè)履行了數(shù)據(jù)安全保護(hù)義務(wù)。
二、出海企業(yè)、跨國公司的數(shù)據(jù)安全合規(guī)
跨國公司往往面臨著兩種以上數(shù)據(jù)安全相關(guān)法律體系的制約和要求，簡單做法是分而治之，各國分公司都遵循當(dāng)?shù)氐臄?shù)據(jù)安全法律行事。但這樣的做法也會帶來弊端，企業(yè)在管理、經(jīng)營、決策等方面的成本更高。我國數(shù)據(jù)出境要使用網(wǎng)信辦的標(biāo)準(zhǔn)合同并備案審核，企業(yè)應(yīng)根據(jù)兩地法律監(jiān)管體系對數(shù)據(jù)出境要求的差異，有針對性地設(shè)計符合兩地法律體系的數(shù)據(jù)出境企業(yè)規(guī)則。
三、數(shù)據(jù)安全治理技術(shù)綜合運用的成效
多種數(shù)據(jù)安全技術(shù)的綜合使用，是大中型企業(yè)降低數(shù)據(jù)安全風(fēng)險的有效手段。
數(shù)據(jù)安全治理落地的一些典型挑戰(zhàn)
一、數(shù)據(jù)分類分級的智能化、自動化
很多企業(yè)已通過專業(yè)咨詢機(jī)構(gòu)完成對數(shù)據(jù)的分類分級，形成了數(shù)據(jù)分類分級清單和一些數(shù)據(jù)安全管理制度。面對龐大的數(shù)據(jù)量，分類分級要以 “自動化” 為主，“人工” 為輔。
二、數(shù)據(jù)的分級分域存儲
數(shù)據(jù)的分級分域存儲需要在數(shù)據(jù)分類分級的基礎(chǔ)上進(jìn)行，根據(jù)安全需求和業(yè)務(wù)需求制定。但是，數(shù)據(jù)分級分域存儲對大多數(shù)企業(yè)來說，目前難度較高。絕大多數(shù)企業(yè)在應(yīng)用設(shè)計時，數(shù)據(jù)結(jié)構(gòu)是以業(yè)務(wù)需求為第一位的。如果要求數(shù)據(jù)分級分域存儲，那么在應(yīng)用設(shè)計之初，就要以數(shù)據(jù)安全和數(shù)據(jù)分類分級為基準(zhǔn)，構(gòu)建新的數(shù)據(jù)結(jié)構(gòu)。
三、個人刪除權(quán)與可攜帶權(quán)的運用
在《個人信息保護(hù)法》及很多行業(yè)規(guī)范中，都提到針對個人信息刪除的問題。與歐盟的《通用數(shù)據(jù)保護(hù)條例》中規(guī)定的刪除權(quán)不同，我國對個人信息刪除的規(guī)定在技術(shù)上相對容易實現(xiàn)，即要求企業(yè)做到已刪除的個人信息為 “不可檢索、不可訪問” 的狀態(tài)。
四、個人信息安全影響評估
《個人信息保護(hù)法》要求個人信息處理者定期進(jìn)行個人信息安全影響評估，《信息安全技術(shù)個人信息安全影響評估指南》也對評估方法進(jìn)行了相應(yīng)闡述。從技術(shù)角度來看，個人信息安全影響的評估難度較大，主要有以下原因：準(zhǔn)確定位個人信息評估的主體；影響個人信息安全評估的技術(shù)。
五、數(shù)據(jù)交易的合規(guī)性
近年來，數(shù)據(jù)的流通與交易已被行業(yè)和市場認(rèn)可。交易只是其中的一個環(huán)節(jié)，還有很多環(huán)節(jié)需要不斷夯實。比如：重要數(shù)據(jù)、個人信息在交易的時候，還面臨著法律層面的監(jiān)管。
企業(yè)做好數(shù)據(jù)安全治理，需要完善數(shù)據(jù)安全治理規(guī)劃，提高數(shù)據(jù)安全技術(shù)防護(hù)能力，并且，要將數(shù)據(jù)安全貫穿在數(shù)據(jù)經(jīng)濟(jì)的發(fā)展過程中。同時，要注意不能一味強(qiáng)調(diào)安全而過度防范，這樣容易導(dǎo)致影響企業(yè)經(jīng)濟(jì)發(fā)展。正確的數(shù)據(jù)安全治理之道是：有規(guī)劃地建設(shè)發(fā)展，使數(shù)據(jù)安全治理和數(shù)據(jù)經(jīng)濟(jì)相輔相成。