三、数据安全的总体策略及治理思路
数据安全已经上升到国家主权的高度，是国家竞争力的直接体现，是数字经济健康发展的基础。数据安全不是单方面强调数据的绝对安全，关键在于维护数据安全性和促进数据开发利用并重，以数据开发利用和产业发展促进数据安全，以数据安全保障数据开发利用和产业发展。同时，我国高度重视数据安全的技术开发和管理管控，不断增强国际社会对中国信息技术的信任程度。数据安全核心价值可以简单概括为“以安全促可信，以可信促发展”。
3.1 数据安全的总体策略
3.1.1 合法合规
各国加强数据安全立法，保护涉及本国国家安全、公共安全、经济安全和社会稳定的重要数据及个人信息安全。为了维护开放、公正、非歧视性的营商环境，推动实现互利共赢、共同发展，无论企业还是个人，都应该严格遵守所在国法律法规，尊重他国主权、司法管辖权和对数据的安全管理权，并在此基础上，发展数据安全保护技术。
3.1.2 安全与发展并重
数据流通与交易有利于促进数据的融合挖掘，从而释放数据资源的价值。据估计，2014年，国际数据流动给全球经济增加了2.8万亿美元，预计到2025年将增至11万亿美元（麦肯锡全球研究所，2016年） 。然而，数据使用又必须明确数据保护的责任与义务,尤其是对个人隐私数据的保护。因此，需要辩证看待隐私保护、数据安全与数据共享利用效率之间的矛盾，以“数据安全与发展同步”为核心目标对数据进行开发和利用。
这势必要求从技术上打通数据孤岛，构筑开放、公正、安全、合作的数据价值流转环境，解决数据开放共享链条上多方的安全顾虑，促进数字经济健康发展，为社会的进步作出贡献。
3.1.3 以数据为中心构建安全体系架构
当前数据产业面临的威胁和风险不仅针对数据本身，也包括承载数据的关键信息基础设施，因此，我们需要以数据为中心，构建全方位的数据安全治理体系，保护数据资源，在风险可控的基础上实现数据的增值和自由流转。
3.2 数据安全治理核心思想
数据安全治理的理念正在被业界接纳，并且成为一种应对新产业生态数据安全挑战的重要指导思想。从本质上来说，数据安全治理理念与ISO 27001的基于风险的安全管理思路一致 ，即数据安全方案和其他所有关键资产的安全方案设计一样，从资产面临的安全风险着手，对资产进行分类分级，实现精细化管理，以合理利用有限的投资实现资产风险可控。
数据安全治理能力建设并非单一产品或平台的构建，而是建设一个覆盖数据全部生命周期和使用场景的数据安全体系，需要从决策到技术，从制度到工具，从组织架构到安全技术通盘考虑。因此，在设计和部署具体安全方案之前，必须有详细的规划。在对国家法律法规、行业规范、企业现况进行详细分析的基础上，结合业务目标来构建数据安全治理的架构。在很多情况下，数据安全治理能力构建需要有一个长远目标和计划，需要分多骤、分阶段的逐步完成。
图 3-1 ISO 27001 风险治理流程
数据安全治理的第一步就是根据法律法规、商业战略、数据安全治理需求对数据进行分类。在分类之后，企业需要结合自身的实际情况对数据风险进行分级。
针对数据分级的评估维度，很多国际和国内的标准给出了参考意见。比如，美国国家标准与技术研究院（NIST）的《FIPS PUB 199》和《NIST SP800-122》建议使用可识别性、个人数据数量、字段敏感度、使用上下文、保密义务、访问要求存储位置六个关键因素来确定个人数据的价值并进行数据分级。
在数据分类和分级过程中，需要平衡精细化管理与落地实施。适合企业自身需求的数据分类分级方案应考虑以下因素：
数据分类分级应满足业务涉及有关国家法律法规及行业主管部门规定；
分类分级规则应避免过于复杂，以保证其在数据分级过程中的可行性；按照业界标准和实践，一般定级在3-5级为宜。进行数据分级之后，就可以根据数据的类别和级别来制定配套安全策略以及安全技术方案，来保护数据全生命周期安全。
3.3 数据安全治理的三个层面
基于数据安全治理核心思想，结合我国数据产业的实际情况，应对数据安全挑战，需要从数据安全的产业基础、数据安全防护的关键技术以及数据安全的法律法规建设三个方面来实现。
数据安全治理的三个层面
相关系列文章
