中国数字安全治理探析*

顾 璨

（上海赛博网络安全产业创新研究院，上海 200003）

0 引 言

随着大数据时代的来临，一方面，数据在社会生产生活中正占据着越来越重要的作用，并开始成为至关重要的生产要素；另一方面，在数据越发重要的背景下，当下数据泄露问题频发，数据安全面临严峻挑战，如何在充分利用数据作为生产要素推动我国经济社会发展的同时保障数据安全，是大数据时代我们必须处理好的问题。对于中国而言，开展数据安全治理迫在眉睫，《中华人民共和国数据安全法》的出台打响了我国数据安全治理的第一枪，在这样的情况下，我们有必要开展数据安全治理的细化研究，进一步发展和完善我国数据安全治理体系，促进我国数据安全治理能力的提升。

1 数据安全现状概述

在国家大数据战略的大力推动下，我国大数据驱动的产业创新层出不穷，各种“互联网+”应用和服务大大缩短了企业和用户的距离。一方面，人工智能等技术在城市治理、金融、医疗、交通、家居、制造等领域广泛应用，数据采集终端越来越多，传输速度越来越快。个人用户成为万物互联、人机交互、天地一体的智能化网络空间中重要数据的生产者和消费者。作为机器学习、深度学习等人工智能技术的根基，数据也成为“智能+”时代企业制胜的法宝。与此同时，数据作为重要资产，受到安全威胁的程度也越来越严重，数据遭滥用和泄露的现象极为普遍。另一方面，目前我国电子政务进入了改革深水区，为加强数据交换和信息共享，将各领域政务数据、公民个人信息迁移至政务云平台，加强网络和信息安全保护成为重中之重的任务。

2019年10月，党的十九届四中全会决议通过的《中共中央关于坚持和完善中国特色社会主义制度推进国家治理体系和治理能力现代化若干重大问题的决定》（以下简称《决定》），首次增列“数据”为生产要素，要求健全劳动、资本、土地、知识、技术、管理、数据等生产要素由市场评价贡献、按贡献决定报酬的机制。纵观社会经济发展，从以土地、劳动力为生产要素的农业经济时代，到以资本、技术为生产要素的工业经济时代，演进到如今以数据生产要素为核心推动力的数字经济时代，生产要素形态的演进具有鲜明的社会经济发展时代特征。

1.1 全球数据安全事件频发

云计算、大数据、物联网、移动互联网、人工智能等新技术的快速发展，使网络边界开始不断地被打破，数字双生、敏捷创新、安全合规驱动快速转型，社会和企业都面临着数字化转型所带来的数据安全风险[1]。数字化的程度越高，数据安全风险暴露面、攻击面便越广，加之数据价值的提升，数据市场的驱动，数据利益相关方趋之若鹜，围绕网络攻击、数据窃取和数据交易形成的数据黑市已经成为大规模、有组织的犯罪集团，数据黑灰产猖獗，数据滥用及数据安全事件愈演愈烈。

2018年以来，全球各地爆发了多起大规模数据泄露事件，其中造成较大影响的包括印度公民身份数据库Aadhaar数据泄露、Facebook数据泄露、雅虎数据泄露，以及微博用户数据被出售等，这些事件不管是在涉及人数，还是在引发的舆论关注度，抑或是经济赔偿额度等多个方面都影响巨大。相关数据泄露事件的发生地既涵盖了拥有全球数字技术霸权的美国，也包括中国、印度等技术大国和人口大国，这些事件表明数据泄露已经对全球民众的个人隐私与数据安全带来了极大挑战，也体现出当前开展数据安全治理刻不容缓。

1.2 各国数据安全监管艰难前行

面对严峻的数据安全和隐私保护形势，全球各国监管机构都采取了应对措施，力图通过立法加强企业和组织的数据保护主体责任。截至目前，100多个国家和地区已经制定了专门的个人信息保护法。然而数据安全法规的实施和执行并不顺畅，尤其是对于已掌握海量数据的科技公司来说，难以及时完成数据梳理并落实满足法律法规要求的数据保护措施。2018年5月，欧盟通用数据保护条例（GDPR）正式实施后，社会隐私组织和监管机构都将目光投向谷歌、Facebook、亚马逊等全球科技巨头，对其开展数据隐私保护审查。其中，谷歌因违反GDPR被法国数据保护监管机构处以5000万欧元罚款。同时，这些科技公司也遭到了来自俄罗斯、日本等地监管机构的调查和起诉，例如，2019年1月俄罗斯通信监管机构宣布对Facebook和Twitter发起民事诉讼，原因是其未能履行俄罗斯的数据保护法。从全球来看，各国数据安全监管处于起步阶段，科技巨头首当其冲成为被监管的焦点。然而，数据安全监管任重道远，如何平衡数据安全保障和数据价值实现仍是亟待解决的全球难题。

就我国而言，2021年6月《中华人民共和国数据安全法》正式公布，明确提出应“建立健全数据安全治理体系，提高数据安全保障能力”[2]。从业内数据安全治理研究及实践情况来看，2019年发布的国家标准GB/T 37988—2019《信息安全技术 数据安全能力成熟度模型》（DSMM标准）积极推动了我国数据安全治理的发展。中央网信办于2021年发布的《数据安全治理能力评估方法》明确了数据安全治理能力评估框架[3]。

1.3 全球数据安全合作方兴未艾

数据安全对于一国开展数字治理、维护网络安全、推动数字经济的稳步发展具有重要现实意义。基于此，包括网络空间国家行为体、非国家行为体在内的数字治理多利益攸关方有必要通力协作，开展全球数据安全合作，促进数据安全在全球各国落地生根，更好地为数字治理、数字经济服务。

当前，全球数据安全合作仍处于早期阶段，开展全球数据安全合作的国际规则仍不够明确，这也是下一阶段各个国家、互联网企业、技术社群等数据安全利益相关方需要重点讨论的课题。但尽管如此，部分国家已经吹响了开展全球数据安全合作的号角，中国是推动全球数据安全合作的领头羊。2020年9月8日，中国提出了《全球数据安全倡议》，欢迎政府、国际组织、信息技术企业、技术社群、民间机构和公民个人等各主体秉持共商共建共享理念，齐心协力促进数据安全，并呼吁各国在因执法等需要调取跨境数据时，应通过司法协助或两国双边协议解决相关问题，互相尊重对方在数据安全领域的权益[4]。2021年3月29日，中国同阿拉伯国家共同发表《中阿数据安全合作倡议》，阿拉伯国家成为全球首个与中国共同发表数据安全倡议的地区[5]。对于中国而言，应秉承习近平主席提出的网络空间命运共同体理念，根据民主原则构建各方都能接受的、平衡各方利益的数据治理国际规则[6]，并在此基础上推动全球数据安全合作，在维护我国数据安全的同时，促进全球数据安全整体水平的提升，改善数字治理环境，为促进全球数字经济发展作出中国贡献。

2 数据安全治理理念

数据安全治理是一种特殊的数据安全管理体系，与传统数据安全管理体系有所不同的是，数据安全治理更贴近数据全生命周期流转。总体而言，数据安全治理在提升数据资产价值、提高业务效益、降低企业安全风险的同时，实现了数据安全保障的最优化。

以治理范围为划分标准，数据安全治理可以分为国家数据安全治理和组织数据安全治理，前者是针对国家战略层面落实数据开发利用和数据安全统筹发展的策略，后者是基于数据生命周期建立涵盖组织保障、制度规范、安全技术和人才建设等多重维度的策略[7]。

数据治理的目标可归纳为运营合规、风险可控、价值创造。数据治理的框架主要分为五大域别，即管理域，主要包括战略、组织、制度、流程；过程域，主要包括分析、设计、执行、评估、数据架构、管控平台、治理工具；治理域，主要包括主数治理、业务数据治理、分析数据治理；价值域，主要包括数据流通、数据服务、数据洞察。

数据安全治理的观念可在隐私保护和数据权两种概念下加以理解：在隐私保护的概念下，数据安全治理的目标是去除数据中的隐私信息，涉及的关键技术有差分隐私、数据匿名化和数据脱敏技术；与前者概念下数据所有者与其数据失去联系不同，在数据权的概念下，数据所有者能够保障关于数据的各项权利，并从数据中获取利益，在此概念下的数据使用安全技术保证使用者无须接触原始数据即可完成使用，既不消除隐私信息也不侵犯数据隐私。

3 各典型行业数据安全需求

3.1 政务数据安全需求

电子政务数据安全治理是数据安全治理在电子政务行业的扩展和落地应用。其治理对象包括政府在社会公共事务治理中所产生、使用、共享、开放和交换的数据。所涉及的业务流程包括政府信息公开、公共资源整合交换共享、政府社会公共事务处理等，渗透于数据产生、导入、处理、使用、销毁、导出生命周期的各个阶段[8]。

电子政务数据作为国家基础性战略资源，已经成为当代社会政务服务、政务监管以及社会治理的核心支柱。而公共资源的整合，政务服务和数据的交换、共享和协同，更是极大地推进了政府治理能力现代化。电子政务数据事关国家政治经济运行、国防和社会稳定，具有敏感程度高、经济价值高、数据量庞大、数据关联关系复杂等特点。随着电子政务数据利用开发的快速发展、数据安全威胁和形势的日益严峻，以及《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》和《数据安全管理办法（征求意见稿）》等法律法规的出台，都对电子政务数据安全治理提出了更高的要求。推动全市政务数据集中共享的基础是完成政务数据治理，即通过梳理和整合政府所掌握的政务、企业和个人数据，基于数据生命周期全过程闭环管理理论，对政务数据资产进行科学管理，利用数据驱动业务，通过数据公示及数据资产服务和实现数据的增值。对于政务数据的安全需求，主要包括以下几个方面：

第一，数据合规安全需求。在整个“数字底座”即政务数据大脑的建设过程中，首先应清晰了解政务数据大脑数据治理所需遵从的国家法律法规，以便确定与政务数据安全目标所匹配的政策、规范、流程、框架以及合规边界，解决“怎样控制风险”以及“需要遵循的底线”，从而指导今后政务数据共享过程中的一系列数据安全管理和技术活动。

各委办局单位的网络安全、数据安全等均由信息化管理部门负责管理，但针对数据安全尚无独立的组织架构，当前数据安全的管理与信息安全管理组织架构是复用的。有些单位按照业务划分来具体落实相关系统的安全管理。所有调研单位均对数据安全“一把手”负责制有了解，但在一些信息化与安全建设相对滞后的单位，安全管理组织还需进一步明确分工职责，将安全管理落到实处。

各委办局单位均设立有信息安全相关岗位，但均为兼职，对于一些网络安全等级保护定级为三级的系统也是如此，在人员不足的情况下，安全专职岗位难以落实。

在巡检和检查制度方面，运维类巡检落实较好，对于网络和硬件的巡检通常能够保证每季度执行一次，但整体化的安全检查未常态化。绝大部分调研单位没有安全相关的奖惩制度，通常是基于某一安全事件或安全问题进行通报或发布整改要求，并未形成固化制度或流程。

目前对于一些有明确行业要求的数据，例如地理信息数据等，已有相对明确的管理要求，但就各个调研单位自身而言，对于数据资产的识别完整性还有待提升，细化程度仍需加强。体系化的数据分级分类工作普遍尚未开展，涉及数据共享或数据公开的情况通常由信息化管理部门向业务部门征询意见，以确定数据的重要性和共享或公开的程度。

在人员管理方面，特别是针对外部人员的管理，各单位虽有相关要求，但细化程度不足，或是受实际网络条件限制，一些管控措施难以有效实现。对于第三方提供运维服务或研发服务的厂商，进入工作区或申请运维所需网络资源均有相应的审批流程，但对于网络资源的使用权限细化程度不足，无法对所有操作进行有效管理。对于一些涉及关键业务系统的操作，需要专人现场监督，防止违规，管理成本较高，也带来了不可控的安全风险。

目前，各单位虽然已经具备了一些安全用数的规定、业务流程，但尚未完成完备的数据安全治理策略和流程的制定，与之对应的数据安全政策文件也未成体系，距离“有章可循”还存在较大差距。与之相关的一系列管理、标准与规范、业务流程、业务操作指南、业务申请或审批模板等文件还没有上升到政策文件体系建设的高度。

第二，数据共享安全需求。随着工作的不断深入，政务应用服务、政务数据服务等业务对上下游数据的汇集、流转、处理和共享的需求不断增加。当前政务公共数据的开放和基础数据资源跨部门、跨区域共享，这方面已经看到了初步成效。市政务数据大脑一方面基于数据驱动政务业务创新价值，另一方面对政务数据的完整性、保密性和可用性提出更多的安全需求。

此外，为了达成政务数据安全开放共享的整体目标，还需要围绕数据共享相关业务的开展情况，进行详细的风险调研、分析，产出数据风险报告，梳理流动性敏感数据资产、敏感数据流动情况，识别并检测流动性敏感数据风险，并基于风险报告输出符合各用数单位的实际业务需求，并且推动数据安全风险治理建议的实施。

第三，数据安全体系化建设需求。在推动数据安全体系的建设过程中应注意管理与技术并重并举，安全管理体系化是安全技术防护手段充分发挥作用的关键，数据共享的安全管理应在明确权责、数据分级分类的基础上统一要求。在策略方面不仅需要建立起相关完善的管理策略，还需要建立符合业务实际的技术策略，同时这些策略需要及时同步给各数据接入单位，以便更好地开展日常运维和管理，将安全管理落到实处。

在数据分级分类的基础上，安全保护应围绕数据的全生命周期开展，在采集、传输、处理、存储、消费、销毁等各个环节，通过安全控制措施实现数据的保密性、完整性、可用性、可控性和不可否认性的安全目标，做到对外部攻击、信息泄漏、篡改、越权和抵赖等威胁的防范。

3.2 企业数据安全需求

对于企业而言，数据安全治理绝不仅仅是一个产品或解决方案“套餐”，而是从决策层到技术层、从业务部门到技术部门、从管理制度到技术支撑的一种自上而下贯穿企业各个部门的完整覆盖，并且要与期间的各个环节相匹配和适应。企业内的各个层级之间也需要对数据安全治理的目标和宗旨达成共识，确保采取合理和适当的方法对数据资产实现有效保护，从而产生以下安全需求。

第一，应对敏感数据泄露风险。在数据价值越来越受重视的同时，针对数据的攻击、违规行为也越发激烈。有调查显示，除了黑客攻击，有内部人员参与的信息贩卖、共享第三方的违规泄露事件也层出不穷，约三分之二的安全威胁是从组织内部发起的[9]。另外终端环境的不可控也可能带来安全威胁，因为轻量级设备类型多样、安全能力相对较弱，且用户缺乏对恶意软件的防范意识，同时，随着无人机、智能电视、智能音箱、智能摄像头、智能穿戴设备、智能医疗设备等物联设备终端大量联网，这些设备也存在可被攻击者利用的安全漏洞，导致数据安全敞口极速扩大，数据安全风险加剧。

第二，应对新技术数据安全风险。关注云计算带来的数据安全和信息泄露风险、大数据带来的个人和企业隐私透明问题、物联网带来的业务模式重构风险、区块链带来的共享风险、人工智能带来的伦理风险等，保障新技术高效可信运行。

第三，应对监管规定。2019年1月，中央网信办、工信部、公安部、市场监管总局四部门联合发布《关于开展App违法违规收集使用个人信息专项治理的公告》，成立了App违法违规收集使用个人信息专项治理工作组[10]。2019年全年，App违法违规收集使用个人信息专项治理工作组依托专业评估机构和行业专家的力量，对用户规模大、与生活关系密切、问题反映集中的1000余款App进行了评估，对发现问题的App督促其整改，对未落实整改要求的App建议有关监管部门进行下架处理。

随着2020年“3·15”晚会曝光多款手机App曝光隐私信息，专项整治工作力度不断加大，取得了显著的成效，App运营者履行个人信息保护责任义务的意愿不断加强，广大用户的个人信息安全保护意识不断提升。

3.3 金融行业数据安全需求

首先，行业性安全监管压力。随着有关数据安全的各项法律法规的发布，针对金融行业的数据安全也备受关注。2012年3月，中国人民银行发布了《关于金融机构进一步做好客户个人金融信息保护工作的通知》（银发〔2012〕80号），要求金融机构加强客户个人金融信息保护。近年来，银监会先后印发了《中国银监会办公厅关于加强网络信息安全与客户信息保护有关事项的通知》（银监办发〔2017〕2号）、《中国银监会关于进一步深化整治银行业市场乱象的通知》（银监发〔2018〕4号）等要求，明确“强化工作机制，做好内部防控；完善技术手段，提高安全水平；优化服务流程，加大宣传力度”，严防“违法违规查询、获取、使用、泄露、出售客户信息或商业秘密，以谋取私利”行为。在监管越来越受到重视的情况下，个人信息也是数据安全治理的要地。2020年以来，中国人民银行为加强个人金融信息安全管理，指导各相关机构规范处理个人金融信息，最大程度保障个人金融信息主体合法权益，维护金融市场稳定，颁布了JR/T 0171—2020《个人金融信息保护技术规范》，并于2020年3月正式实施。

其次，开放银行模式增加数据泄漏风险。开放银行是一种平台化商业模式，通过与商业生态系统共享数据、算法、交易、流程和其他业务功能，为商业生态系统的客户、员工、第三方开发者、金融科技公司、供应商和其他合作伙伴提供服务，使银行创造出新的价值，构建新的核心能力[11]。同时开放银行连接了服务的提供方、交易发起方等众多主体，新兴的业务场景也会使业务数据的访问、操作和使用面临诸多风险，需要明确数据分级部署的安全、系统接口和传输的安全，以及权限和访问控制的安全。同时，数据还可能被提取出来进行统计汇总和特定分析，数据将从线上转移到线下，如何保证数据的安全导出和线下利用、保管，也是数据安全关注的重点之一。

最后，现代化数据安全工具需求。随着金融数字化转型和信息技术（IT）环境的改变，金融行业更加需要能够简化数据安全场景和降低复杂性的解决方案，同时，这些工具应能够既涵盖内部传统安全问题，又能适应现代的、基于云的数字转型技术。现代化的数据安全工具包括能够落地的敏感数据发现工具、数据自动化分类分级工具、数据脱敏工具、UEBA等。

4 数据安全治理建议

当前，大数据时代已经来临，诸如信息窃取、数据泄露等数据安全事件将与日俱增，给全球数据安全带来巨大挑战。面对此种情况，一方面，我们要提升我国在数据安全治理中的能力，这是我国开展数据安全治理的重要基石；另一方面，我们也要积极开展数据安全治理的全球合作，加强各国数据安全保护协调工作，推动各国数字经济及全球经济的发展。

4.1 提升我国数据安全治理能力

结合我国数据安全治理的实际情况，为提升我国数据安全治理能力，推动我国数据安全治理的进一步发展，建议如下：

第一，普及数据安全与数据权的相关知识。加强数据安全保护知识的普及，帮助我国民众了解数据运行流转的方式，普及数据安全相关法律法规，培养民众保护自身及他人数据权的意识，并提升民众鉴别违规数据操作的能力。上述措施将有助于形成良好的数据保护环境，便于推进数据安全治理。

第二，加强数据安全治理研究。目前我国已初步形成一套数据安全治理研究体系，但仍需要在两方面进行突破和改进：一方面，应在多学科领域下进行多视角的研究，深入探究数据安全治理背后的影响因素和作用机理；另一方面，应立足于我国甚至立足于当地特殊情况展开具有本土化特色的研究，构建具有地方特色的数据安全治理研究体系。

第三，大力发展数据安全相关技术。除理论研究外，数据安全技术是为数据安全治理提供可行性的重要保障，而目前众多安全技术距离实际大规模应用仍有相当差距，如同态加密和安全多方计算的运算效率仍需大幅提高，数据信托在法律层面和实施层面的完备性也需进一步探索[12]。继续推动数据安全技术的发展是数据安全治理中至关重要的组成部分。

4.2 开展全球数据安全治理合作

数据安全风险是各国面临的共同挑战，化解这一风险需要各国建立互信、深化合作，同时要求数据安全治理各利益攸关方共同参与。基于此，建议如下：

第一，开展全球数据安全治理合作的机制化建设。当前，全球数据安全合作仍处于早期阶段，数据安全治理合作的沟通机制、突发数据安全事件的响应机制、跨国数据安全的合作机制等仍不明确。因此，国际社会有必要通过机制化建设进一步夯实全球数据安全治理合作的基础。同时，鉴于中国在当前全球数据安全合作中的领先角色，我国依然可以在合作机制的建设上发挥重要作用。

第二，鼓励非国家行为体参与到全球数据安全治理合作之中。包括私营部门、公民社会在内的非国家行为体和国家行为体一样，都是网络空间治理、数据安全治理中的重要行为者和参与者，特别是，目前部分全球性跨国科技企业掌握着海量数据，相关企业的参与必将有助于全球数据安全治理合作迈上一个新的台阶。

第三，推动跨境数据的安全、有序流动。一方面，跨境数据的流动对于数字经济、全球经济的发展至关重要，有数据表明，跨境数据流动在2005到2015年的十年间使全球国内生产总值增长了约10%，数据流所产生的附加值估计为2.8万亿美元，已经超过了货物贸易的贡献[13]；另一方面，跨境数据的安全、有序流动是数据流能够产生价值的前提所在。因此，国际社会应共同努力，确保跨境数据的安全、有序流动，从而为全球经济发展注入新的活力。

5 结 语

数据安全治理的成效将在很大程度上对我国网络空间安全、经济社会发展产生直接影响，特别是在当下全球数据泄露事件频发、数据安全面临严峻挑战的背景下，构建我国数据安全治理体系具有极大的现实意义，对于推动我国数据安全综合治理能力的提升、维护我国和全球数据安全意义重大。为了实现这一目标，要求我们结合我国政务、企业、金融等不同行业的数据安全需求，构建我国数据安全治理框架与模型，在提升我国自身数据安全治理能力的同时，积极开展全球数据安全治理合作，实现我国数据安全治理与全球合作的结合，从而更好地推动我国数据安全发展，维护全球数据安全与稳定。