基于全生命周期的公共数据安全治理研究

于同同,王鹏皓

(1.黑龙江大学 信息管理学院,哈尔滨 150080;2.伊春森工铁力林业局有限责任公司,黑龙江 伊春 153000)

一、引言

随着数字化进程的加速,数据成为驱动经济社会发展的新引擎。2020年12月国家将数据作为生产要素写入政府文件,表明其在社会经济生产活动中发挥着越来越重要的作用,尤其体现在公共数据开放利用方面,为数字经济的价值提升注入新活力。数据要素在赋能数字经济蓬勃发展的同时,数字经济依靠本身具有的新一代数字技术,也能提高公共数据安全防护能力,降低公共数据泄露风险,为公共数据安全治理全生命周期中的各个环节提供先进技术和工具。2022年12月党中央国务院印发《关于构建数据基础制度更好发挥数据要素作用的意见》(以下简称《数据二十条》),其中明确指出要推进实施公共数据确权授权机制,注重公共数据效能和经济活力的提升。同时在地方政府层面,2022年1月浙江省出台关于公共数据的第一部地方性法规文件——《浙江省公共数据条例》,为公共数据共享、公共数据开发与利用分别设置专章,旨在加强公共数据管理;2021年12月江苏省颁布了《江苏省公共数据管理办法》,提出支持推动公共数据资源在诸多领域的开发与利用,提升公共数据资源价值。社会在享有公共数据共享开放利用带来价值的同时,也面临一系列安全问题,公共数据泄露与滥用、公共数据垄断、公共数据权属不明等公共数据安全问题错综复杂,阻碍了经济发展和社会治理能力提升。同时,公共数据安全事件层出不穷,南昌某高校师生个人信息在境外互联网上被公开售卖、45亿国内快递信息遭泄露等事件暴露了数据安全面临巨大挑战。因此,公共数据安全治理成为亟待解决的问题,在深入贯彻总体国家安全观的大背景下,构建公共数据安全治理路径成为解决实践进程问题的重要一环。

目前,数据安全方面,学界和业界的研究主要集中于“计算机数据安全”“大数据安全”“个人数据安全”“网络数据安全”“跨境数据安全”等,较少有学者从公共数据的视角对其安全问题进行深入研究;公共数据方面,其研究也较多集中于“公共数据政策”“公共数据授权运营”“公共数据开放”“公共数据开放平台”等有关公共数据赋能数字化经济、推进治理能力现代化的热点,鲜有学者从数据安全治理的角度对公共数据治理进行研究。为避免公共数据安全问题的发生,本文从公共数据全生命周期的视角出发,在公共数据多主体参与的基础上,构建出公共数据采集、归集、开放、保护、监管“五位一体”的安全治理框架,并提出相应的治理路径。

二、公共数据安全治理研究现状

(一)国内研究现状

国内对公共数据安全的研究主要涵盖以下方面:第一,各领域公共数据安全防护和治理研究。丁红发等人从数据全生命周期的视角出发研究政府数据开发过程中的数据安全与隐私保护,认为需要完善技术与管理相结合的法律体系和加强相应的技术标准规范约束[1];张凯围绕金融数据安全治理,提出应明确数据安全保护原则并且建立数据标准体系,筑牢数据治理安全底线[2];臧国全等人从通信数据敏感性和隐私安全出发,构建出隐私计量模型,为通信数据分类分级保护提供支持[3]。第二,公共数据安全治理技术路径研究。冯登国等人从大数据收集、存储、使用的过程视角出发,总结出面向数据安全与隐私保护的若干关键技术[4];杨力提出公共数据流通中“技术法规”应与“技术标准”相结合[5];黄宁玉等人设计出基于可信计算机技术的安全存储方案,以解决公共数据平台上公共数据安全存储问题[6]。第三,公共数据安全治理政策制度研究。张涛以数据政策为样本,研究数据开放与数据安全协同的关系[7];马海群基于政策演化思路对美国数据安全政策进行研究,指出了美国数据安全政策演化路径,为我国数据安全政策的制定提供借鉴[8];刘春年则对中美及欧盟三方数据安全政策进行对比分析,旨在促进我国数据安全政策内容的完善[9]。

(二) 国外研究现状

国外围绕数据安全主题出台了一系列的政策。美国联邦政府早在2011年就出台了《个人数据隐私和安全法》,提出保护个人数据信息安全;2021年出台《消费者数据隐私和安全法》,要求数据运营者规范处理收集到的敏感数据;2021年出台《安全数据法》,强调保护消费者隐私权和数据权。2018年欧盟出台《通用数据保护条例》,旨在保护个人数据的隐私安全。国外学者围绕公共数据安全也展开了各方面的研究, 如Jones概述了公共人口数据领域的核心概念和主要挑战,通过国际案例研究向我们展示了如何应对挑战以及在促进安全、社会可接受的人口数据用于公共利益方面应吸取的经验教训[10];Beagrie 聚焦数据安全保护成本与收益方面进行研究[11];Batuhan 通过研究人肉搜索中使用个人数据的重要程度,指出原则上个人数据只能在得到数据主体明确同意的情况下,并且是在特殊条件下才能进行处理[12]。

综上所述,国内外均较为关注公共数据安全,尤其是公共数据安全相关制度建设方面。然而目前从全生命周期视角展开的研究还比较少,因此本文从全生命周期视角出发探索公共数据安全治理路径,以期为数字经济发展提供引擎动力。

三、基于全生命周期的公共数据安全治理

(一)公共数据内涵

“公共数据”一词最早来自“政务信息”这一概念[13],后经过“政府信息资源”—“政府数据”—“政务数据”的演变,最后以“公共数据”的概念形式呈现。政府信息是指行政机关在履行行政管理职能过程中制作或者获取的,以一定形式记录、保存的信息,这在2007年《中华人民共和国政府信息公开条例》中有明确规定。2016年国务院颁布的《政务信息资源共享管理暂行办法》中提到政务信息资源的概念,它是指政务部门在履行职责过程中制作或获取的,以一定形式记录、保存的文件、资料、图表和数据等各类信息资源,包括政务部门直接或通过第三方依法采集、依法授权管理和因履行职责需要依托政务信息系统形成的信息资源等。关于政府数据,2021年《贵阳市政府数据共享开放实施办法》中将其定义为行政机关在履行职责过程中制作或者获取的,以一定形式记录、保存的文件、资料、图表等各类数据资源。关于政务数据,在2016年《福建省政务数据管理办法》中定义为国家机关、事业单位、社会团体或者其他依法经授权、受委托的具有公共管理职能的组织和公共服务企业(以下统称数据生产应用单位)在履行职责过程中采集和获取的或者通过特许经营、购买服务等方式开展信息化建设和应用所产生的数据。关于公共数据,2019年《上海市公共数据开放暂行办法》和2020年《浙江省公共数据开放与安全管理暂行办法》将其定义为各级行政机关以及履行公共管理和服务职能的事业单位(以下统称公共管理和服务机构)在依法履职过程中采集和产生的各类数据资源;2021年《北京市公共数据管理办法》称公共数据是指具有公共使用价值的,不涉及国家秘密、商业秘密和个人隐私的,依托计算机信息系统记录和保存的各类数据。此外也有部分学者对公共数据内涵进行研究,袁康指出“公共数据是公权力机关履职过程中收集和保存的个人信息”[14];李扬指出“公共数据”体现的是社会属性,本质上是公共属性的产品[15]。综上所述,目前国家层面还没有关于公共数据专门的立法,对于公共数据统一的定义也尚未形成,随着数据中心云计算、区块链等新一代信息通信技术的涌现,公共数据的内涵与外延逐渐扩大,地方政府层面也开始更多关注公共数据,并颁布相应的政策法规,其中公共数据安全就是政策法规阐述的重要方面。

(二)公共数据安全治理政策分析

根据公共数据内涵的发展历程可知,公共数据安全是数据安全的下位概念,公共数据安全治理的独特之处在于公共数据具有社会属性。凡是为解决公共事务问题所制定的政策均为公共政策,政策主体可以被界定为直接或间接地参与政策制定过程的个人、团体或组织,本文探讨的公共数据安全治理政策包含法律、部门规章、地方性法规、地方政府规章、标准等(如表1所示)。

表1 我国公共数据安全治理政策(部分)

我国公共数据安全治理政策的制定总体上可以分成三个阶段:萌芽期、发展期、完善期。萌芽期是2016年之前,我国关于公共数据安全治理的政策文件具有分散性和非计划性,例如:2004年的《传染病防治法》中规定“疾病预防控制机构、医疗机构不得泄露涉及个人隐私的有关信息、资料”;2011年《刑法》修正案中明确规定“非法获取公民个人信息罪”。2017年《中华人民共和国网络安全法》的实施是发展期开始的标志,针对网络数据及信息安全从基础设施运行、监测预警、应急处理等方面做出了详细规定,并积极鼓励制定相关国家标准和行业标准,随后相关的强制性国家标准、推荐性国家标准、指导性技术文件、金融行业数据标准等应运而生。2020年公共数据安全治理政策体系进入完善期。首先是2020年我国发布了《关于构建更加完善的要素市场化配置体制机制的意见》,将数据列为继土地、劳动力、资本、技术之后的“第五大生产要素”,开始探索建立数据管理制度,并将培育数据要素市场写入《第十四个五年规划和2035年远景目标纲要》《关于印发〈要素市场化配置综合改革试点总体方案〉的通知》等多个文件。随后各地政府开始出台公共数据管理办法条例,对公共数据安全问题都设立了专章。2021年颁布的《数据安全法》是我国第一部关于数据安全的法律,2022年浙江省出台我国第一部关于公共数据的地方性法规。

综上所述,我国数据安全治理政策体系还未完善,但公共数据安全治理已经进入完善期。现阶段,人大、政府、行业团体等围绕公共数据安全治理和各领域公共数据安全制定了一系列政策,为公共数据基础制度建设和释放公共数据要素价值提供框架支撑。在数据安全政策逐步完善的同时,政策系统建设也要加强。政策系统是政策开展的基础保障,包含政策机构、政策环境、政策制度等方面。

(三) 基于全生命周期的公共数据安全治理内容框架

除了从公共数据参与主体的视角研究,公共数据安全治理还应考虑数据本身的属性特征,即全生命周期视角。本文在数据全生命周期模型的基础上,综合公共数据的内涵及特点,以公共数据安全治理为任务,探索一条符合时代要求特征的公共数据安全治理路径,为公共数据安全治理提供全方位多主体参与的实践参考。

1．数据生命周期模型

生命周期模型这一概念来源于生物学领域,为了应对数据存储量大造成管理成本加重问题,早在2002年已经有企业开始关注数据生命周期理论。此后数据生命周期模型在产品生产管理、电子文件存储、系统优化设计等领域发挥着重要的应用和理论指导意义,本文梳理了部分国内外典型的数据生命周期模型(如表2所示)。

表2 国内外典型数据周期模型

2.公共数据安全治理的全生命周期模型

由表2可知,常见的数据生命周期模型包含数据收集、处理、分析、开放、保存等阶段。本文探讨基于全生命周期模型的公共数据安全治理,具有公共数据和数据安全双重属性,既要考虑到公共数据的社会属性,又要顾及数据安全需要。因此,本文充分考虑数据安全问题,在公共数据生命周期模型基础上构建了包含数据采集、数据归集、数据开放、数据保护、数据监管5个阶段的模型,其中每个阶段又细分为若干子阶段(如下图所示)。

图 基于全生命周期的公共数据安全治理内容框架

第一,数据采集。公共数据采集是指政府部门、公共机构和社会团体产生或提供的数据,通过有效的数据采集为后续的数据分析和利用提供基础,为各种活动和决策提供科学依据和支持。数据采集包括合规采集和数据识别两部分。合规采集:公共数据采集过程中要遵守相关法规和政策的要求,确保数据采集的合法性、合规性和隐私保护。在采集数据之前,需要明确采集目的、合法依据和合规程序,并取得相关授权或同意,不可违规强迫性采集不属于公共数据范畴的数据。数据识别:数据识别是指对数据进行分析和解读以了解其特征、属性和含义的过程,这是数据采集环节的重要步骤,其核心环节是建立数据保护目录,明确重要数据、行业数据、各领域数据等划分标准。数据识别是数据分类分级的基础前提,也是公共数据安全治理的基础条件,只有建立公共数据识别体系,才能更加有效、有针对性地对公共数据安全进行治理。

第二,数据归集。将采集到的无序公共数据进行收集、整理、归纳汇总,从而形成有序化、结构化数据集的过程就是公共数据归集。数据分类分级:各级政府和相关机构部门组织制定的公共数据分类分级相关行业标准,可以参考数量级、敏感程度、业务影响、重要程度等维度,制定符合本行业领域的公共数据分类分级体系标准。此外,公共数据安全分级是公共数据分类分级重点关注的内容,实现有效的公共数据安全分级是确保公共数据安全的基石。公共数据分类分级是公共数据安全治理实践过程中的关键场景,是公共数据安全工作的桥头堡和必选题。数据脱敏:数据脱敏是指对部分敏感数据进行变形处理、消除数据敏感性的手段,以防数据泄露和滥用的风险。公共数据脱敏需要考虑公共数据安全、公共数据可用性和法律合规性等因素,以确保公共数据的保护和合理使用。数据加工:公共数据加工是对公共数据进行清洗、集成、分析的综合性操作以提取有用信息的步骤。数据加工是数据的创造性增值过程,为公共数据开放释放价值提供源泉。

第三,数据开放。公共数据开放包含内部主体和外部主体,内部主体包含公共数据的采集者、生产者,外部主体指社会群体。数据存储:公共数据存储是公共数据开放的先决条件,数据存储的条件直接决定数据开放的质量。公共数据开放还要考虑存储设备、容量、安全性、运营成本、性能、维护等条件因素,并根据数据分类分级和数据特性将不同生命周期和用途的数据存放在合适的设备,最后通过储存技术的升级更新迭代来守护公共数据安全的最后一道防线。监测预警:数据管理者应当建立数据处理活动中的安全风险监测预警系统,加强违规数据处理活动中的阻断技术建设,并及时做好风险隐患的溯源排查工作。将公共数据监测预警作为公共数据安全防线的第一道防火墙,在公共数据开放过程中显得尤为重要。风险识别:公共数据开放过程中数据运营者和数据使用者应当对提供的数据产品和服务可能具有的风险进行画像识别,从而有助于保护自身的权益不受侵犯。明确可能的风险源,掌握风险识别的方法和工具,才能对风险进行排查与治理。

第四,数据保护。公共数据保护主要涉及三种形态的数据:存储时的数据、传输时的数据、使用时的数据。目前公共数据保护的重要对象是使用时的数据,数据泄露、数据破坏、数据篡改、数据失控等数据安全的主要威胁均来源于此。隐私保护:公共数据隐私保护的对象不只是个人数据隐私,还包括企业数据隐私。隐私保护涉及一般场景和特殊场景,在一般场景中个人和企业隐私数据的采集过程要遵从数据最小化原则,作为数据的提供者应该尽可能少地提供关于自身的隐私数据;在特殊场景中数据提供者出于特定目的,不得不相信数据采集运营者的契约精神,授予其隐私数据。技术保障:要使技术保障贯穿于公共数据安全治理全流程之中,传输加密、接口验证、访问控制、加密存储、交互权限等环节均离不开技术保障;技术保障不仅要满足公共数据全生命周期安全需要,还需要考虑环境安全、场景安全、系统安全等多维度的安全要求。应急处理:公共数据安全应急处理指应对由外部黑客攻击、内部人为行为、软件缺陷、硬件故障、网络安全风险等原因造成的公共数据安全突发事件的工作。

第五,数据监管。公共数据安全监管需要建立数据要素治理制度,包含数据要素合规交易、收益分配、安全可控等维度,并明确各方主体的责任,优化行业规范标准,形成市场和政府相结合的公共数据要素多维监管格局。数据安全审计:公共数据安全审计是指对数据资产信息的完整性、可用性、保密性进行审查,包含安全方针、数据安全政策和流程审查、系统和网络安全审查、安全事件响应审查、物理安全审查等内容。公共数据安全审计可以由内部审计团队或第三方审计机构进行,审计结果和建议可以帮助公共数据管理者改进其数据安全措施,减少安全风险,并确保数据的安全性和合规性。数据安全评估:数据安全风险评估是借鉴信息安全风险评估的基本原理和步骤,基于组织的数据战略,从数据全生命周期安全出发,对组织目标环境中数据和数据处理活动的安全风险和违法违规问题进行检测评估的过程。评估应坚持预防为主、主动发现、积极防范,对数据安全保护和数据处理活动进行风险评估,旨在掌握数据安全总体状况,发现数据安全隐患,提出数据安全管理和技术建议,提升数据安全防攻击、防破坏、防窃取、防泄漏、防滥用能力。通过安全评估,组织可以制定相应的风险管理策略和控制措施,以减轻风险并保护数据安全。

综上所述,本文构建的公共数据安全治理的全生命周期模型,包含公共数据采集、归集、开放、保护、监管“五位一体”的数据安全治理阶段。既考虑到传统数据安全面对的困境,又照应了在人工智能时代背景下面临的新型安全问题;既考虑到政府单位主体责任与义务,又顾及了市场主体参与发挥的作用。

四、公共数据安全治理路径研究

基于所构建的公共数据安全治理的全生命周期模型,本文从完善顶层政策法律设计、完善首席数据官制度建设、提升公民数字安全素养、加快公共数据安全领域人才培养四个方面提出公共数据安全治理路径,旨在防范公共数据无序流动引发的社会性公共数据安全风险,助力完善公共数据治理体系。

(一)完善顶层政策法律设计

政策法律方面,我国目前数据安全保障的法律体系相对健全,《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》构筑了数据安全的法律体系,但关于公共数据安全尚无专门性的立法保障。2021年起地方省级政府逐步开始出台公共数据及公共数据安全相关条例及管理办法,这为顶层专项政策法律的出台提供了一定的借鉴。第一,国家层面应该颁布与“公共数据安全”相关的专门性法律法规,用于统一公共数据安全的行为规范,明确公共数据采集者、运营者、使用者等多方主体的责任与义务,加大监督者的审计力度,并为省市政府制定适合本区域具体、详细的法律规章提供指导性意见;第二,各部委应该从具体的场景需求出发,如2023年7月中国人民银行起草的《中国人民银行业务领域数据安全管理办法(征求意见稿)》明确了中国人民银行业务领域数据安全合规底线要求,填补了本领域数据安全管理制度保障空白,可以指导数据处理者优质高效合规开展中国人民银行业务领域数据处理活动,履行数据安全保护义务,分门别类地制定符合本行业属性的公共数据安全管理部门规章,为各行业的发展给出指导性的规范意见;第三,国家标准化管理委员会和地方国家标准化管理委员会可以根据企业发展、行业需求制定有关公共数据安全的国家标准、地方标准、行业标准,例如2023年3月实施的《农业大数据安全管理指南》为农业活动数据安全管理的采集、传输、存储、处理、交换环节制定了措施。

(二)完善首席数据官制度建设

在制度建设方面,首席数据官是统筹公共数据发展与安全的重要管理者。2021年5月《广东省首席数据官制度试点工作方案》正式印发,标志着国内开启政府CDO试点;2023年9月长沙市在全省率先设立“首席数据官”,集数据统筹管理、数据价值发掘、数据安全守护职责于一身,其中确保数据安全是其工作任务之一;2023年9月北京经济技术开发区正式出台《北京经济技术开发区首席数据官制度工作方案》,经开区采用“首席数据官+数据专员+部门联系人”的“三级工作制”建立起上下贯通的数据治理组织体系,首席数据官将作为数据安全第一责任人。我国“首席数据官”制度发展两年已初具规模,但主要运用于政府部门,企业首席数据官设置才刚刚起步,工作主要集中于相关政策的颁布方面,还没有具体实施的成果。例如,2020年江苏省颁布《江苏省工业大数据发展实施意见》,率先推动了地方企业设立首席数据官。企业作为公共数据的提供者、运营者、使用者,是公共数据安全治理的重要参与主体。在企业中首席数据官起到中枢大脑的作用,对上对接CEO,对企业数据安全管理负责,对下制定本企业数据安全管理的制度,对公共数据全生命周期的安全负责。因此,尽快实施企业首席数据官制度是公共数据安全治理的必由之路。

(三)提升公民数字安全素养

秉承发展与安全并重的原则,公共数据安全已经成为关系国家与社会发展的重大问题,除了政府部门要加强公共数据安全监管外,公民公共数据安全的数字素养也亟待提升[17]。公民需要具备识别虚假数据的意识,提升数据防泄漏的能力。公民公共数据安全的数字素养提升策略应包含以下方面:第一,数字加密。公共数据安全由三个维度组成:保密性、完整性、可用性。在提高数据保密性的同时,加密技术维护了数据完整性,确保了数据可用性,尤其是使用运营有条件开放和不予开放公共数据的情况下更要做好数字加密工作。第二,甄别素养。公民在获取相关公共数据信息时,要注重从官方网站等渠道获取,增强对虚假数据、虚假网站的甄别能力,避免个人信息泄露和数据欺诈的现象。第三,合理合法利用。公共数据主管部门应对公众需求开放公共数据的同时,公民应合理使用、按需使用,避免因过度使用造成网络系统故障,公民在使用公共数据时不可损害国家利益、妨碍他人权益。

(四)加快公共数据安全领域人才培养

加快公共数据安全领域人才培养是确保公共数据安全的重要举措,这是保障公共数据安全可持续的基础。公共数据安全不是单一学科可以解决的问题,需要跨学科合作、多学科知识融合。首先,制定科学合理的教育培养计划。要建立健全公共数据安全知识体系,明确公共数据安全能力范畴,加快具备综合性知识与技能的复合型技术性人才培养[18]。例如清华大学打造的“数据安全管理人才培养计划”,即旨在提高相关人员的数据安全管理能力。其次,完善公共数据安全技能培训与认证工作。要全方位满足数据安全岗位设置的需求,例如设置公共数据安全评估师、公共数据安全工程师、公共数据安全合规师等岗位,从而提升从业人员的公共数据安全能力,在公共数据安全领域的相关工作中更加具备竞争力。最后,建立合作交流机制。通过组织研讨会、建立合作项目[19]、搭建共享资源和信息的平台、跨界人才培养[20]等多种方式为公共数据安全人才培养合作交流提供思路。

五、结语

数字经济高速发展背景下带来的新技术和新治理理念,可以赋能公共数据安全治理的全过程。公共数据安全的内涵不仅限于数据安全层面,更应考量公共数据全生命周期,因此本文提出了数字经济赋能时代下的公共数据安全治理的全生命周期框架,该框架覆盖了数据采集、归集、开放、保护、监管五个环节。围绕全生命周期公共数据安全的脆弱性问题、面临的各种风险,制定解决方案,同时又考虑到数据生产者、采集者、运营者、使用者、监管者等多方主体。最后,从完善顶层政策法律设计、完善首席数据官制度建设、提升公民数字安全素养、加快公共数据安全领域人才培养四个方面出发,为公共数据安全治理提供可实施性建议。