【原】談?wù)勀男?shù)據(jù)屬于重要數(shù)據(jù)以及典型的數(shù)據(jù)安全法規(guī)和實(shí)踐
|
一、數(shù)據(jù)安全管理挑戰(zhàn)數(shù)字化轉(zhuǎn)型正在深刻改變當(dāng)今企業(yè)運(yùn)營和競爭方式的方方面面。企業(yè)創(chuàng)建、操作和存儲的龐大數(shù)據(jù)量不斷增長，并推動了對數(shù)據(jù)治理的更高需求。此外，計(jì)算環(huán)境比以往更加復(fù)雜，通?？缭焦苍?、企業(yè)數(shù)據(jù)中心以及從物聯(lián)網(wǎng) (IoT) 傳感器到機(jī)器人和遠(yuǎn)程服務(wù)器等眾多邊緣設(shè)備。這種復(fù)雜性導(dǎo)致攻擊面擴(kuò)大，更難以監(jiān)控和保護(hù)。消費(fèi)者對數(shù)據(jù)隱私重要性的認(rèn)識也在不斷提高。在公眾對數(shù)據(jù)保護(hù)舉措的需求不斷增加的推動下，最近頒布了多項(xiàng)新的隱私法規(guī)，包括歐洲的通用數(shù)據(jù)保護(hù)條例 (GDPR) 和加州消費(fèi)者保護(hù)法 (CCPA)。這些規(guī)則加入了長期的數(shù)據(jù)安全條款，如保護(hù)電子健康記錄的健康保險(xiǎn)流通與責(zé)任法案 (HIPAA) 和保護(hù)上市公司股東免受會計(jì)錯誤和財(cái)務(wù)欺詐的薩班斯-奧克斯利法案 (SOX)。由于最高罰款高達(dá)數(shù)百萬美元，每家企業(yè)都有強(qiáng)大的財(cái)務(wù)激勵來確保其保持合規(guī)性。然而，數(shù)據(jù)在組織中的數(shù)量大、類型多、產(chǎn)生的速度快，我們?nèi)绾胃玫墓芾頂?shù)據(jù)安全問題，就需要識別重要數(shù)據(jù)。“重要數(shù)據(jù)”的概念于 2017 年首次由《網(wǎng)絡(luò)安全法》（CSL）引入，最近被《數(shù)據(jù)安全法》（DSL）采用。它是一種特殊的數(shù)據(jù)類別，具有國家安全、國家經(jīng)濟(jì)、社會穩(wěn)定、公共衛(wèi)生和安全或其他公共利益維度，并受到跨境傳輸?shù)念~外控制和其他保護(hù)措施。《識別指南》將“重要數(shù)據(jù)”定義為“以電子形式存在，一旦被篡改、銷毀、泄露或者非法獲取、使用，可能危害國家安全和社會公共利益的數(shù)據(jù)”。該指南還闡明，“重要數(shù)據(jù)”并非旨在包含僅對組織重要或敏感的數(shù)據(jù)（例如與組織內(nèi)部管理相關(guān)的數(shù)據(jù)）。它也不打算包括個人數(shù)據(jù)，只是該指南解釋說，從“非常大量”的個人信息中獲得的統(tǒng)計(jì)數(shù)據(jù)或其他數(shù)據(jù)都不排除構(gòu)成“重要數(shù)據(jù)”。三、關(guān)鍵數(shù)據(jù)的識別和常見關(guān)鍵數(shù)據(jù)下列數(shù)據(jù)是識別關(guān)鍵數(shù)據(jù)的重要原則：●關(guān)注安全影響:從國家安全、經(jīng)濟(jì)運(yùn)行、社會穩(wěn)定和公共衛(wèi)生安全的角度識別關(guān)鍵數(shù)據(jù)。僅對組織本身重要或敏感的數(shù)據(jù)不被視為關(guān)鍵數(shù)據(jù)，例如與企業(yè)內(nèi)部管理相關(guān)的數(shù)據(jù)。●保護(hù)重點(diǎn):對數(shù)據(jù)進(jìn)行分類，區(qū)分不同層級的數(shù)據(jù)保護(hù)重點(diǎn)，在滿足安全保護(hù)要求的前提下，讓一般數(shù)據(jù)和關(guān)鍵數(shù)據(jù)流動充分有序，讓數(shù)據(jù)產(chǎn)生更多價(jià)值。●與現(xiàn)有法規(guī)對接，充分考慮當(dāng)?shù)噩F(xiàn)有管理要求和行業(yè)特點(diǎn)，與地方和部門已制定實(shí)施的數(shù)據(jù)管理政策和標(biāo)準(zhǔn)緊密對接。●綜合考慮風(fēng)險(xiǎn):基于數(shù)據(jù)的使用和對數(shù)據(jù)的威脅等因素，考慮數(shù)據(jù)被算改、破壞、泄露或非法訪問或非法使用的風(fēng)險(xiǎn)，從機(jī)密性、完整性、可用性等多個角度識別數(shù)據(jù)的重要性，真實(shí)性和準(zhǔn)確性。●定量和定性相結(jié)合:通過定量和定性相結(jié)合的方式識別關(guān)鍵數(shù)據(jù)，并根據(jù)具體的數(shù)據(jù)類型和特征采用定量或定性方法。●動態(tài)識別和重新評估:考慮到數(shù)據(jù)的使用、共享和重要性的變化，動態(tài)識別關(guān)鍵數(shù)據(jù)并定期審杳結(jié)果。
常見的重要數(shù)據(jù)一般包括如下相關(guān)數(shù)據(jù)：●反映國家的戰(zhàn)略儲備和應(yīng)急動員能力;●支持重點(diǎn)領(lǐng)域關(guān)鍵基礎(chǔ)設(shè)施或工業(yè)生產(chǎn)運(yùn)行;●體現(xiàn)關(guān)鍵信息基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全保護(hù)，可用于對關(guān)鍵信息基礎(chǔ)設(shè)施實(shí)施網(wǎng)絡(luò)攻擊;●可能被其他國家或組織用來對中國發(fā)動軍事打擊的;●反映對可能被恐怖分子或犯罪分子實(shí)施破壞的關(guān)鍵目標(biāo)、重要地點(diǎn)或未公開地理目標(biāo)位置的物理安全保護(hù);●可用于破壞關(guān)鍵設(shè)備、系統(tǒng)組件的供應(yīng)鏈，以發(fā)動網(wǎng)絡(luò)攻擊;反映群體的健康和生理狀況、種族特征和遺傳信息;涉及國家自然資源和環(huán)境;●涉及敏感物品的生產(chǎn)和交易以及可能被外國政府用來對中國實(shí)施制裁的重要設(shè)備的配備和使用;●為政府機(jī)關(guān)、軍工企業(yè)等敏感重要機(jī)構(gòu)提供服務(wù)過程中產(chǎn)生的，不宜公開的;●涉及未公開的政府?dāng)?shù)據(jù)、工作秘密、情報(bào)數(shù)據(jù)以及執(zhí)法和司法數(shù)據(jù);●可能影響中國政治、領(lǐng)土、軍事、經(jīng)濟(jì)、文化、社會、科技、生態(tài)、資源、核設(shè)施、海外利益、生物、太空、極地、深海等安全。國家戰(zhàn)略儲備和應(yīng)急動員能力，如戰(zhàn)略物資生產(chǎn)能力和儲備。可能用于對中國發(fā)動軍事攻擊的信息，例如一定規(guī)模以上的地理信息。國防承包商和其他政府供應(yīng)商的機(jī)密信息。關(guān)鍵基礎(chǔ)設(shè)施和資產(chǎn)的物理安全，如建筑設(shè)計(jì)、內(nèi)部結(jié)構(gòu)信息、重要生產(chǎn)企業(yè)或國家資產(chǎn)（如鐵路、輸油管道等）的安全。關(guān)鍵領(lǐng)域關(guān)鍵基礎(chǔ)設(shè)施或工業(yè)生產(chǎn)的運(yùn)行。保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施的安全，如網(wǎng)絡(luò)安全計(jì)劃、系統(tǒng)配置、核心軟硬件設(shè)計(jì)、系統(tǒng)拓?fù)?、?yīng)急預(yù)案等。可用于發(fā)動網(wǎng)絡(luò)攻擊的關(guān)鍵設(shè)備和系統(tǒng)組件的供應(yīng)鏈，例如重要的客戶名單、未披露的漏洞等；出口管制項(xiàng)目，例如設(shè)計(jì)原則、工藝流程和生產(chǎn)方法。可能受到外國政府制裁的設(shè)備的生產(chǎn)和使用，如重點(diǎn)企業(yè)的金融交易數(shù)據(jù)、重要設(shè)備的生產(chǎn)制造信息或用于國家重大項(xiàng)目建設(shè)等活動的設(shè)備。政府和政府機(jī)構(gòu)的運(yùn)作，包括情報(bào)機(jī)構(gòu)、執(zhí)法部門和法院，包括未公布的統(tǒng)計(jì)數(shù)據(jù)。涉及國家安全（或國防利益）的知識產(chǎn)權(quán)等影響中國國際競爭力的科技信息。戰(zhàn)略經(jīng)濟(jì)利益，即與以下相關(guān)的信息：特定人群的健康生理狀況和遺傳信息等，如人口普查數(shù)據(jù)、人類遺傳資源信息、原始基因測序數(shù)據(jù)等。國家自然資源和環(huán)境數(shù)據(jù)，如未公開的水文觀測數(shù)據(jù)、氣象觀測數(shù)據(jù)和環(huán)境監(jiān)測數(shù)據(jù)。四、數(shù)據(jù)安全的相關(guān)法規(guī)和實(shí)踐(1)《征信業(yè)務(wù)管理辦法》于9月30日發(fā)布，自2022年1月1日起施行中國人民銀行發(fā)布《征信業(yè)務(wù)管理辦法》（以下簡稱《辦法》），自 2022 年 1 月 1 日起施行。征信行業(yè)，《辦法》以個人信息保護(hù)為重點(diǎn)，明確了征信信息收集、整理、存儲、處理、提供和使用的指導(dǎo)。值得注意的要求是：為金融機(jī)構(gòu)提供的大數(shù)據(jù)分析和風(fēng)控服務(wù)也將被認(rèn)定為信貸業(yè)務(wù)。對《辦法》施行前不具備授信業(yè)務(wù)資格但從事信貸業(yè)務(wù)的機(jī)構(gòu)，人民銀行給予過渡期至2023年6月末，(2)發(fā)布關(guān)鍵數(shù)據(jù)識別指南（征求意見稿）《信息安全技術(shù)——關(guān)鍵數(shù)據(jù)識別指南》（以下簡稱《指南》）草案發(fā)布。《指南》提出了關(guān)鍵數(shù)據(jù)的特征，明確了關(guān)鍵數(shù)據(jù)識別的基本原則和程序?！吨改稀穼⒅苯又笇?dǎo)各地區(qū)、各行業(yè)制定本領(lǐng)域及相關(guān)領(lǐng)域的關(guān)鍵數(shù)據(jù)目錄，并為實(shí)施《數(shù)據(jù)安全》第21條規(guī)定的多層次分類和重要數(shù)據(jù)保護(hù)制度提供指導(dǎo)。法律（“DSL”）。(3)網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)務(wù)指南——數(shù)據(jù)分類指南互聯(lián)網(wǎng)安全委員會秘書處發(fā)布《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)務(wù)指南——數(shù)據(jù)分類指南》公開征求意見，提出了個人信息、法人數(shù)據(jù)和公共數(shù)據(jù)三類數(shù)據(jù)的識別規(guī)則，以及分類規(guī)則。核心數(shù)據(jù)、重要數(shù)據(jù)、敏感數(shù)據(jù)、內(nèi)部數(shù)據(jù)和公共數(shù)據(jù)五個級別的規(guī)則，根據(jù)機(jī)密性進(jìn)行降級。(4)《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》工信部發(fā)布《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》公開征求意見，提出了工業(yè)數(shù)據(jù)安全的具體監(jiān)管框架，包括工業(yè)數(shù)據(jù)、電信數(shù)據(jù)和各自的處理者，3個部門監(jiān)管機(jī)構(gòu)，監(jiān)管手段涵蓋數(shù)據(jù)安全審查、主動執(zhí)法和投訴處理機(jī)制、相關(guān)行政和刑事責(zé)任和信用懲戒機(jī)制。值得注意的是，《數(shù)據(jù)安全法》（“DSL”）對核心數(shù)據(jù)的識別標(biāo)準(zhǔn)也在《辦法》中有所規(guī)定。(5)工信部印發(fā)關(guān)于開展汽車數(shù)據(jù)安全和網(wǎng)絡(luò)安全自查工作的通知工信部裝備產(chǎn)業(yè)發(fā)展中心發(fā)布《關(guān)于開展汽車數(shù)據(jù)安全與網(wǎng)絡(luò)安全自查工作的通知》，并發(fā)布了《汽車數(shù)據(jù)安全與網(wǎng)絡(luò)安全自查表》。《通知》要求具備道路機(jī)動車輛生產(chǎn)企業(yè)資質(zhì)的汽車整車生產(chǎn)企業(yè)依法進(jìn)行汽車數(shù)據(jù)安全、網(wǎng)絡(luò)安全、在線軟件升級和輔助駕駛功能自查，并報(bào)送裝備產(chǎn)業(yè)發(fā)展中心報(bào)備。(6)工信部印發(fā)關(guān)于加強(qiáng)車聯(lián)網(wǎng)網(wǎng)絡(luò)安全和數(shù)據(jù)安全的通知工信部發(fā)布關(guān)于加強(qiáng)車聯(lián)網(wǎng)網(wǎng)絡(luò)安全和數(shù)據(jù)安全的通知。通知提出，智能網(wǎng)聯(lián)汽車生產(chǎn)企業(yè)應(yīng)當(dāng)采取有效的技術(shù)保護(hù)措施，防范數(shù)據(jù)泄露、破壞、丟失、篡改、誤用、濫用等風(fēng)險(xiǎn)，配合監(jiān)督檢查，必要時提供必要的技術(shù)支持。進(jìn)一步強(qiáng)化了智能網(wǎng)聯(lián)汽車企業(yè)的安全責(zé)任。(7)工信部印發(fā)《網(wǎng)絡(luò)產(chǎn)品安全漏洞收集平臺備案管理辦法》工信部發(fā)布《網(wǎng)絡(luò)產(chǎn)品安全漏洞采集平臺備案管理辦法》。作為《網(wǎng)絡(luò)產(chǎn)品安全漏洞管理規(guī)定》的配套規(guī)定，本征求意見稿對網(wǎng)絡(luò)和擬網(wǎng)絡(luò)安全漏洞收集平臺的注冊、備案、信息變更、注銷等程序提出了系統(tǒng)要求。(8)九部委發(fā)布關(guān)于加強(qiáng)互聯(lián)網(wǎng)信息服務(wù)算法綜合治理的指導(dǎo)意見網(wǎng)信辦、工信部、公安部等九部委聯(lián)合發(fā)布《關(guān)于加強(qiáng)互聯(lián)網(wǎng)信息服務(wù)算法綜合治理的指導(dǎo)意見》，旨在建立覆蓋風(fēng)險(xiǎn)監(jiān)測、安全評估、倫理道德等監(jiān)管體系。審查、算法備案和違規(guī)處理?！吨笇?dǎo)意見》還提出了政府、企業(yè)、用戶等多方參與的治理機(jī)制，督促企業(yè)正確、公平、公開地使用算法，及時有效地解釋結(jié)果，保護(hù)用戶的合法權(quán)益。上海市數(shù)據(jù)條例共10章91條，重點(diǎn)關(guān)注三個部分：數(shù)據(jù)產(chǎn)權(quán)和交易權(quán)，公共數(shù)據(jù)的共享、開放和授權(quán)運(yùn)營，數(shù)字經(jīng)濟(jì)發(fā)展和城市數(shù)字化。(10)網(wǎng)信辦印發(fā)《關(guān)于進(jìn)一步強(qiáng)化網(wǎng)站平臺信息內(nèi)容主體責(zé)任的意見》網(wǎng)信辦發(fā)布《關(guān)于進(jìn)一步強(qiáng)化網(wǎng)站平臺信息內(nèi)容主體責(zé)任的意見》，從社區(qū)規(guī)則、賬號、內(nèi)容審核、內(nèi)容質(zhì)量管理、主要功能、平臺運(yùn)營、未成年人上網(wǎng)保護(hù)、人員管理等，并對責(zé)任平臺提出具體要求。(11)銀保監(jiān)會將“數(shù)據(jù)治理”納入商業(yè)銀行監(jiān)管評級標(biāo)準(zhǔn)銀保監(jiān)會發(fā)布《商業(yè)銀行監(jiān)管評級辦法》，增加“數(shù)據(jù)治理”元素，確保數(shù)據(jù)真實(shí)、準(zhǔn)確、完整。評價(jià)商業(yè)銀行風(fēng)險(xiǎn)管理狀況的基本因素。數(shù)據(jù)治理占比 5%，與“盈利能力”和“制度差異化”標(biāo)準(zhǔn)同等權(quán)重。(12)國務(wù)院印發(fā)《中國兒童發(fā)展綱要（2021-2030年）》，加強(qiáng)未成年人上網(wǎng)保護(hù)國務(wù)院印發(fā)《中國兒童發(fā)展綱要（2021-2030年）》，提出加強(qiáng)未成年人個人信息和隱私保護(hù)，嚴(yán)厲打擊違反合法權(quán)益的網(wǎng)絡(luò)犯罪活動。兒童的權(quán)利和利益?！毒V要》要求游戲、直播、音視頻、社交網(wǎng)絡(luò)等網(wǎng)絡(luò)服務(wù)提供者加強(qiáng)未成年人身份驗(yàn)證，依法管理未成年人使用時間、訪問權(quán)限和消費(fèi)額度，禁止注冊。16 歲以下兒童的實(shí)時流媒體注冊帳戶。(12)新一代人工智能道德準(zhǔn)則發(fā)布《新一代人工智能倫理準(zhǔn)則》公開發(fā)布，旨在將倫理道德融入人工智能管理、研發(fā)、供應(yīng)和應(yīng)用的全生命周期?！妒貏t》規(guī)定了6項(xiàng)基本道德要求，包括促進(jìn)人類福祉、促進(jìn)公平正義、保護(hù)隱私和安全、確?？煽睾涂尚?、強(qiáng)化責(zé)任和提高道德素養(yǎng)。(1)天津市河?xùn)|區(qū)人民法院宣判中國首例通過App過度收集個人信息案件天津市公安局河?xùn)|分局查處一家互聯(lián)網(wǎng)公司涉嫌利用手機(jī)APP進(jìn)行借貸，收集通話通訊錄、通話記錄、短信等個人信息246萬余條。被告人葛某、朱某以侵犯公民個人信息罪（《中華人民共和國刑法》第253條第1款），分別被判處有期徒刑3年，并處罰金10萬元。(2)重慶首例消費(fèi)者個人信息保護(hù)民事公益訴訟開庭審理重慶市消費(fèi)者權(quán)益保護(hù)委員會與重慶洋旗公司就消費(fèi)者權(quán)益維權(quán)的民事公益訴訟案在重慶市第一中級人民法院開庭審理。被告揚(yáng)旗公司于2020年7月16日在微信文章中公開披露了多達(dá)10979名消費(fèi)者的個人信息，包括其住址、電話號碼、姓名和身份證號碼，該文章被大量轉(zhuǎn)載。原告和檢察院要求涉案公司通過媒體公開道歉、組織消費(fèi)者領(lǐng)域的宣傳活動等方式賠償損害的公共利益，得到法院的支持。(3)工信部發(fā)布關(guān)于334款應(yīng)用侵犯用戶權(quán)益的通知工信部發(fā)布關(guān)于344款A(yù)pp侵犯用戶權(quán)益的通知。其中，地方通信部門備案282件，報(bào)告的問題主要包括“非法收集個人信息”、“欺騙、誤導(dǎo)和強(qiáng)迫用戶”、“應(yīng)用商店應(yīng)用信息披露不充分”、“頻繁自啟動和關(guān)聯(lián)的應(yīng)用啟動”和“賬戶注銷困難”。此外，涉案App不僅來自App Store、影用寶等分布式平臺，還有快手等一些互聯(lián)網(wǎng)公司的官方網(wǎng)站。被舉報(bào)的App需在9月29日前完成整改。(4)CVERC監(jiān)測發(fā)現(xiàn)15個非法App根據(jù)國家計(jì)算機(jī)病毒應(yīng)急響應(yīng)中心（CVERC）的監(jiān)測結(jié)果，14款A(yù)pp被發(fā)現(xiàn)不符合《網(wǎng)絡(luò)安全法》（“CSL”）隱私規(guī)定，涉嫌收集超出網(wǎng)絡(luò)安全范圍的個人信息。法規(guī)。其中，1個APP缺乏隱私政策；2 應(yīng)用沒有通過彈屏提示用戶閱讀隱私政策；14 個應(yīng)用程序沒有顯示他們獲得的所有隱私權(quán)限；6 在征得用戶同意前開始收集個人信息；9家未提供有效的PII更正、刪除、取消功能，1家未建立信息安全投訴舉報(bào)渠道。(5)網(wǎng)約車、工信部、公安部、市場監(jiān)管總局、MT與11家網(wǎng)約車平臺進(jìn)行監(jiān)管對話交通運(yùn)輸部（“MT”）會同國家互聯(lián)網(wǎng)信息辦公室（“CAC”）、工業(yè)和信息化部（“MIIT”）、公安部（“MPS”）、國家市場監(jiān)督管理總局等成員與天三出行、滴滴出行等11家網(wǎng)約車平臺進(jìn)行了監(jiān)管會談，強(qiáng)調(diào)了不得在未經(jīng)同意的情況下向第三方提供個人信息，建立數(shù)據(jù)安全管理體系的重要性。(6)中國首個數(shù)據(jù)糾紛專業(yè)合議庭在廣州成立全國首個數(shù)據(jù)糾紛專業(yè)合議庭在廣州互聯(lián)網(wǎng)法院成立，數(shù)據(jù)與虛擬財(cái)產(chǎn)糾紛十大典型案例同時發(fā)布。數(shù)據(jù)糾紛合議庭將審理集中審理的涉及個人數(shù)據(jù)、企業(yè)數(shù)據(jù)和公共數(shù)據(jù)的收集、存儲、使用、處理、傳輸、提供、披露、刪除等數(shù)據(jù)處理和數(shù)據(jù)安全的一審案件。法院的管轄權(quán)。數(shù)據(jù)被形容為“21世紀(jì)的石油和鉆石礦”。這類新型生產(chǎn)要素交織著個體權(quán)利、商業(yè)價(jià)值、產(chǎn)業(yè)發(fā)展、公共利益、國家安全等諸多因素，是國家基礎(chǔ)性戰(zhàn)略資源。因此數(shù)據(jù)安全不僅是國家安全的重要維度，還是維護(hù)人民群眾合法權(quán)益的客觀需要，是促進(jìn)數(shù)字經(jīng)濟(jì)健康發(fā)展的重要舉措。
|
轉(zhuǎn)藏
分享
獻(xiàn)花（0）
+1
