组织数据安全自适应评价机制研究

范晓娟 刘玉岭 吴 迪

1(中国科学院信息工程研究所知识保存与传播工作室 北京 100101)

2(山东农业大学公共管理学院 山东泰安 271000)

3(中国科学院信息工程研究所第六研究室 北京 100101)

4(中国网络安全审查技术与认证中心 北京 100101)

(1403860778@qq.com)

2020年4月，《中共中央国务院关于构建更加完善的要素市场化配置体制机制的意见》正式发布，国家层面首次将数据明确为生产要素.在2020年全球新型冠状病毒社会背景下，中国数字经济增长规模达39.2万亿元，占当年GDP比重的38.6%(数据产业生态联盟数据产业发展白皮书，2021)；与此同时，同年全球数据泄露、滥用、误用安全事件已突破360亿，给政府企业造成的成本损失为386亿美元.2025年，中国数据量将占全球数据量的27.8%，成为全球最大的数据圈(IDC，2020).因此，在保护数据治理安全的基础上充分发挥数据的使用价值成为全球数字经济发展关注的核心焦点.数据信息的跨国界流动安全深刻影响着世界经济格局，组织个体运行面临更为复杂多变的内外部安全环境和形势.

1 数据安全回归组织自适应治理评估的现实意义

长期以来，数据安全治理偏重于“组织系统理论框架”和“监管式评估”，较少关注“组织机构的默认运营”和“组织自适应管理能力评估”，如何鼓励组织从数据安全治理新概念到有益实践仍属一个新课题：一方面，新问题集中表现为组织系统如何将数据安全转化为生产力；另一方面，组织内外部平行数据安全治理形成的成本叠加与平衡增量效益的重要性评估表明，鼓励组织核心决策人、部门机构管理人深度学习认知转变，发展“组织系统自适应性数据安全”能够更好优化政府与组织内外资源配置.

1.1 扩大产业增量，缓解合规成本

数据安全治理的目标是在数字规制与数字应用能力之间寻求平衡，具体体现在让提升数据安全水平成为组织自发需求，而非被动式的数据安全合规应对.目前，研究多侧重于外部监管维度的组织数据“合规”，但较少关注组织的当地及局部机构的适应性，与组织“成本-收益”预期的经济属性脱节.从过程论视角来指导组织机构部门与业务体系动态自评估发展，有效平衡数据治理成本，加强组织产品研发和业务流程应用竞争能力，提高组织系统创新应用.将数据安全涉及的核心信息隐私等问题引入系统与软件生命周期过程，扩展系统与软件工程实践，有利于赋能组织跨境数据安全流动，拉动新一轮产业资本化.

1.2 优化政府与组织机构的资源配置

组织数据安全治理能力评价的影响因素复杂，不仅仅受外部社会资源约束，且受复杂多样组织本身机构作用关系、组织核心利益方与决策者的价值观等主观认知因素的影响，导致目前关于组织自适应能力评价的理论与实践、可实现量化评价和持续优化的组织适应数据安全治理应用模式较少.传统“中性”治理成本造成的过度消耗负面问题并未得到治理倡导者的足够重视.通过科学方法衡量一个组织的数据安全能力成熟度等级，用更为内在的组织数据安全“自适应能力”指标不可或缺.数据安全治理主要在实现目标与方法中探索有效实践，围绕实践治理机制的管理、技术、评估和运营中的机构“相互作用”过程，逐步延伸到金融、医疗、教育等重要行业组织机构对于数据要素业务过程安全的自评估机制，有效实现组织机构内部以及政府、社会的资源配置.

2 组织数据安全治理系统框架模型与实践现状

目前，关于数据安全治理的系统理论模型和实践主要来自于欧盟、美国、加拿大，代表性学者和机构的研究理论推动形成国际适用性的框架和指南[1]，如表1所示：我国目前以平台公司与研究院联合推动数据安全能力建设实施指南，为行业组织实施数据安全提供了可操作性细项指引.

表1 数据安全治理代表框架

本文以组织自适应数据安全治理动机和评价为目标，期许将欧盟与美国推动的数据保护设计问题回归中国特色问题的研究与解决.

3 数据安全对组织自适应治理评价的影响分析

在数字化转型的社会制度背景下，所有领域均进入数据驱动的范畴，除传统关键性安全行业，如医疗、核安全等所有组织都将面临数据安全的内外部问题.数据在各种各样的环节中动态变化的情况下解决其防内外部窃取、防滥用和防误用.相应数据安全的内涵和所需要的方法完全不同.数据安全对复杂组织机构组织的核心作用和影响实质在于组织的内在动态变革.

3.1 数据安全突破了组织原有的安全方法

数据安全在当前阶段成为一个全新问题，原有安全方法在组织体系技术路径、管理方式、操作方式等方面难以适应：在技术层面，传统安全措施难以适配大数据应用场景，无法用传统数据安全方法解决新问题；在管理层面，单一“以技术系统为中心的安全”“垂直行业监管或宏观法律自上而下的总量控制式外部约束”均呈现局限性，优质的数据需要好的管理[2]，好的管理需要好的治理逻辑支持；在操作层面，动态数据在提供服务的组织内部的不同产品、业务、设备、系统、人员中流动，同时涉及一个针对性服务需求下的产业链组织间的流动[3]，多领域组织及机构部门协作管理相互作用.

由此，数据安全涉及面极为宽泛，远超出某一产品的安全，还涉及人员、业务、业务规则、共享机制、部门协作等，以复杂组织作为数据安全的出发点可以回归问题源头.

3.2 数据安全革新了组织内部机构的互作用影响关系

组织本身属于 “系统中的系统”这类嵌套机构，即一个组织由各独立机构部门组成，而各机构部门本身就属于一套复杂适应性系统，被嵌套的机构部门结构增加了“母体组织系统”的多样性和不确定性[4].数据安全在组织机构中的适用本身属于一项系统性工程；对一个复杂多样组织而言，属于一次新的组织内革新，数据安全以数据为中心，更需要组织系统整体效果与组织机构之间的自适应评估决策，以促成相互有效关联作用.

3.2.1 组织应不断调整应对指令

组织中的行为者主要包括核心决策方、部门管理者、机构代理人，这些主体一直在面对外部的不确定性中不断作出调整策略和匹配的行为，在基于数据泄露等安全事件或偶发紧急性事件积累的实践经验中，不断塑造并形成整体对外的行为模式.各部门代理人调整行为的方式主要体现在业务流程和操作指南的调整.由于组织个体的独立性和历史经验各不相同，因此，通常适用于一个组织体的具体运营方式无法在另一个组织体中直接复制.

3.2.2 组织内部应重构安全产品形态

基于组织中各部门管理人、分支机构代理人的相互联系和相互作用，机构内部不断形成新的模式和行为方式.组织通过数据安全突发事件与外部反馈不断进行自我重新组织，形成的结果一般体现在内部的指令中，而不仅仅是外部监管者或者控制者的单向指导变更.在某种程度上，集软件安全、系统安全、网络安全、算法等各要素在内，过往仅仅按照法律规则执行合规要求的单向管理模式已经无法适应数据的全面安全状态提升，更多的是在内部合规部门与技术研发部门的定性与定量协同中重组产品方向.

3.2.3 部门应互通设计技术路径

摆脱数据安全困境是各不同机构部门、机构代理之间有效“链接”的结果.基于不同部门之间的“链接”，新关系模式、系统分层特征和结构开始呈现.新模式对各部门代理人产生影响，同时形成不可还原的独立行为模式新特征，一般包括决策者的认知意识、行为规则和工作组方式，如技术部门安全多方计算(MPC)、同态加密、可信执行环境(TEE)、差分隐私(DP)、联邦学习[5]、同态加密、数据信托[6]技术路径的选择与配合，与数据合规官、法律合规部管理及代理人之间形成持续动态互通.

4 组织数据安全自适应治理评价策略

数据处理问题全面存在于组织内部各部门中.在组织体系内不断形成应对数据安全事件的新技术与管理实践、运营结构和业务流程.在数据全生命周期中，包括核心管理者在内，组织内部各独立运行机构之间不断进行着自动适应式的调整.具体如下.

4.1 明确管理者在组织数据安全新边界中的角色定位

核心决策者本人属于他所管理的组织的一部分，其他机构部门代理人对于决策者也存在相互影响的问题.决策者对自己在组织中的角色有多种认知和定位，如观察与评估者、外部控制者、关联建立者、参与方，而以上角色定位取决于对外部数字经济安全环境的匹配.

4.1.1 设定目标和优先级

核心决策者应当聚焦设置安全目标达成的前置条件和安全效益潜能，而非单纯的员工禁止滥用数据的控制和命令.根据对组织目标的潜在贡献，优先选择需要强化关联的部门领域，考虑设定优先级安全风险控制基准和技术工具，如安全评估是最常用的方式，突发数据安全应急事件状态下的防御除外.

4.1.2 定义行为边界和标准化动作

组织需要明确行为边界.标准化行为、强化系统边界可以弥补自组织的内在创新，因此，安全分析和风险评估则成为定义系统边界的部分行为，“可量化计算的安全控制逻辑”代表了一种可为组织系统接受的行为边界设计基准[7].在这种情况下，可以将外部合规要求从合规动作设计为遵守数据安全要求内在行为守则.

4.1.3 优化组织体系效率与监督行为边界

数据安全管理不能独立于组织核心业务流程和策略系统，安全管理决策者应考虑如何以同样甚至更低成本实现更优、更安全的安全产品[8].对组织决策者而言，数据安全环境态势下的管理决策本身属于一种改变传统符合合规的认知调整.

监督行为边界要求组织首先定义可以忽视分析的数据和不具备分析价值的数据[9]，要求持续简化并且只关注与安全相关的信号，以此作出筛选.与此同时，需要理解数据安全书面指南和行为之间始终存在差距[10]，为缩小这种差距，内部指令更应符合遵守工作组的行为准则和机构部门或机构代理的预期.

4.1.4 建立组织机构之间的有效互动“链接”

组织的黏结性需要管理、业务、技术、研发、运营这些不同机构部门、代理人之间的协同作用，如组织的指令应确保组织在适度灵活调整中不断回归常态化运行[11].决策者个人不是组织的外部观察者或者命令发号者，而是链接组织体系的一部分，他与其他部门管理者之间的行为互动形成同一数据安全目标下系统运行结果.

4.1.5 创设数字安全态势感知下的知识能力

安全风险开始遍布关键基础设施、工业网、车联网、能源网、政府与智慧城市等各大场景.因此，数字化的安全威胁已经延伸至现实世界，安全保护的对象正在从计算机安全、网络安全升级为数字安全，如360公司每年接到并处理的勒索攻击事件就多达4 000余起.受害企业面临着重要数据资产被盗和泄露的重大风险，轻则业务停顿，重则被迫缴纳巨额赎金.数字安全态势感知成为一种内化的自组织能力，通常需要决策部门管理者进行自评估支持.

组织自适应能力是复杂自适应系统的主要特征，同时也是核心适应性机制[12].有效的自我组织能力需要在安全应对实践中将充足的数字安全态势感知内化为可行动的知识.因此，从研究决策者的角度来看，如何快速有效地通过数据挖掘发现操作性强、能为企业争取竞争能力优势的可行动知识是最核心的问题.

4.2 建立组织应对数据安全环境的变革模型

组织能力演变和组织结构柔性化也是组织在网络攻击、信息泄露与滥用等新威胁环境下内在变革的重要因素[13].当下来看，以数据为核心的数字安全成为组织变革的影响动因，组织外部威胁性安全隐含在环境动态变化下，组织内部的安全应对在不同因素影响下形成不同模式.为进一步分析模式优劣，从时间维度进行短期与长期的效果评估，体现组织变革模式选择随着时间的推移以及变革的深入所发生的变化.关于数据安全关键组织变革模式模型如图1所示：

在应对国际安全环境、数据安全事件中，组织通过外部资源与内部机构的评估与组合实现的整体结果差异较大.在模式对比下可以看出：有效的评估与部门组合可以支持组织的自适应主动变革.

4.3 实现多层评估的进阶优化

在当前数据安全环境下，组织面临被动的外部监管式评估，在内部运行环境中，为推动机构部门之间的有效连接，机构部门的自评估不可或缺.

4.3.1 组织动态情境下的可靠性评估

由于数据安全管理具有与传统组织运行相背离的冲突特点，在对组织机构进行可靠性数据安全能力评估中，需要对已有安全理论进行扩展，如在关键分级分类评估方法中需要作出2类假设前提：一是在对关键性数据安全行业组织的理解中，复杂多样组织机构相关度最高；二是数据安全管理的对象是一个复杂组织体系.

外部监管治理维度的评估与头部企业引领下的行业评估，其评估方式与指标参数仍存在一定侧重，但目标主要在不同组织机构数据参考效用最终仍归于组织的自我评估结果.数据安全管理、技术和运营措施在有效内化，在评估反馈结果中出现的有益或负担很容易得以证明.

4.3.2 基于时间效果的质量自评估

基于“测试—反馈—应用—优化—复评估”的循环设计，对于实现评估质量的量化，为组织内部机构和核心决策者提供可持续有益参考，并为组织整体效果反馈作再次干预准备.将有效评估与反馈后再评估动态发现的尝试应用于组织数据安全竞争能力准备，提出针对不同情境的组织内部自适应监督与调试、外部半监督的动态反馈，最终发现自评估模型.对错误较多的数据安全模式应用进行半监督学习，从而提升评估效率，提高外部评估准确度.

5 评价及出现问题时的积极选择与干预路径

传统合规解决冲突目标的零和范式转变为正和范式，以组织为单位的治理评估为组织落地实践提供有效补充[14].组织内部机构协作中的自适应评估为构建《信息安全技术数据安全能力成熟度模型》(DSMM)[8,15]提供一种过程依据.

5.1 构建有效评价指标

数据安全决策者管理一个复杂自适应组织本身属于一种平衡内部对立部门的行为，在竞争需求和难以应对解决的二分法中，需要持续平衡多需求中的矛盾，这就会涉及不同层级的命令处理.通常情况下，在最高与最低标准之间的中间维度强化评估的结果效用，具体指标如表2所示：

表2 有效评价作用影响指标

5.2 迭代评价优化组织数据安全的自适应性

以组织部门、组织整体分层评估及反馈作为有效需求的管理指标，组织机构内部运转各环节在动态应对内部研发、外部事件中，最终仍回到一个平衡状态中，即组织常态化运行，具体如图2所示.

图2 组织系统自适应能力的评价

6 结束语

数据安全评估机制作为检查数据安全治理效用的最有效措施，基于现行DSMM，本文以组织“成本-收益”的默示运行模式为基础，以正和商业属性为目标，在现行外部监管式评估方法基础上探讨新数据安全要求下的组织自适应治理评估提升路径，推动建立组织自评估与外部半监督评估共生下的内生数据安全运行能力，为共同形成指导行业组织的有益实践提供有效、多元、可持续选择和建议.