專家觀點|左曉棟教授:重要數據安全要求解讀
發布時間:2024-10-29
閱讀次數: 1700 次
“浦江護航”上海電信和互聯網數據安全論壇暨AIGC數據安全治理論壇在滬舉辦。政府決策者、學界專家和業界精英匯聚一堂,共謀數據安全治理路徑。 在此次論壇上,左曉棟先生發表了題為《重要數據安全要求解讀》的主題演講。左曉棟教授主要向參與論壇的業內人士闡釋了構建數據分類分級保護制度的初衷,并介紹了對重要數據的具體安全要求。左教授在演講中指出,非國家秘密領域中影響國家安全的數據為“重要數據”或“核心數據”,保護此類數據、彌補現有國家安全制度體系對此類數據保護的不足正是構建數據分類分級保護制度的初衷。此外,左教授還介紹了為推動識別和保護重要數據所推出的一系列任務,并為重要數據的保護工作的進一步發展提供了方向。左教授的主題演講展現了數據分類分級保護制度建立的深刻意義和發展現狀,并為重要數據保護工作的發展提供了可行性建議,引發了業內人士對重要數據安全保護的廣泛關注和深入思考。 數據分類分級保護制度是《數據安全法》提出的一項重要制度,數據分類分級包括對數據的定義、識別和保護。當下對非國家秘密領域中影響國家安全的數據即重要數據的保護存在著制度設計方面的缺失,而構建數據分類分級保護制度的首要初衷正是為了彌補這一不足;此外,構建數據分類分級制度亦旨在精準定義重要數據并保護其安全。由于重要數據與國家安全息息相關,對其進行分類分級保護意義深遠。
二、加強數據分類分級保護制度與其他數據安全制度間的關聯 其他數據安全制度如數據出境制度、數據交易制度、數據安全審查制度等皆與數據分類分級保護制度密切相關,然而,數據分類分級保護制度與其他數據安全制度關聯不夠緊密、重要數據或個人隱私面臨泄漏或受損隱患,是當下數據安全領域存在的問題,因此,加強數據分類分級保護制度與其他數據安全制度間的關聯刻不容緩,而這兩類制度之間的關聯的核心則在于對重要數據的識別和保護。 為推動精準識別與大力保護重要數據,全國信息安全標準化技術委員會陸續推出兩項編制任務:重要數據識別指南和重要數據安全處理要求。
在重要數據識別指南方面,我們需要重點關注重要數據識別工作中存在的識別擴大化問題,即單位在梳理重要數據的過程中所參照的標準用語模糊,從而導致重要數據范圍擴大、數據處理與監管成本提高。為避免出現識別擴大化,各行業在制定重要數據識別指南時需以“能夠明確數據對國家安全的影響”作為識別重要數據的標準,從而幫助單位精準梳理重要數據、高效監管數據安全。 在重要數據安全處理要求方面,首先我們需要明確重要數據處理安全要求與基礎性網絡安全要求的區別,這要求我們理解數據安全的內涵所包含的四個方面,即網絡安全、資產安全、合規問題、生產要素安全。在處理數據安全和網絡安全的關系上,我們需要關注三個方面:第一,明確處理重要數據系統的管理職責;第二,對數據本身進行加密保護;第三,按照國家有關云服務的規定處理云問題,如在重要數據上云之前對其進行自評估等。 其次我們需要厘清重要數據安全與普通數據安全或一般數據安全的區別,即重要數據在安全保護強度上嚴于普通數據、重要數據在管理制度上嚴于普通數據、重要數據在合規要求上受到法律法規的約束及重要數據處理者需承擔配合監管方面的法律義務。
在重要數據的保護工作中,我們要重視技術手段的使用,下一步,我們要圍繞重要數據保護,發展一系列的安全技術以及相關的安全產品。通過使用技術手段,我們可以實現對重要數據特征的自動識別、評估重要數據是否經過非法流轉、判斷重要數據是否非法出境等,從而將重要數據轉化為可計算的對象,使其可識別、可登記、可監測、可上報,為今后重要數據保護工作的開展提供更多便利。