详见数据合规指引（三）《网络安全法》企业合规相关条款解读、数据合规指引（四）《网络安全法》企业合规相关条款解读

三、《数据安全法》解读及合规指引 

四、《个人信息保护法》解读及合规指引

五、企业数据合规实践指引

5.1 企业数据合规实践痛点

前几个章节主要对数据安全相关法律法规进行了分析、解读。而在在实践层面，企业在数据收集、存储、使用、加工、传输、提供、公开等处理活动场景中，面临严峻的数据安全风险防护和合规监管要求，在风险防范与监管合规双重要求下，为促进数据开发利用与数据安全的平衡，如何开发数据价值的同时保障数据安全，企业在实践过程中面临着诸多痛点和难题，我们从数据管理规范、技术措施等层面对亟待解决的主要痛点进行了梳理和归纳。

痛点1：多法并行下，如何实现一致性的合规要求

数据安全领域以《网络安全法》、《个人信息保护法》、《数据安全法》形成“三驾马车”，又结合《关键信息基础设施安全保护条例》、《网络数据安全管理条例（征求意见稿）》、《网络安全等级保护条例（征求意见稿）》构成“三法三条例”，形成数据合规基本框架。企业需要积极响应相关法律法规及相应的标准规范，落实不同维度、不同侧重的各类监管合规要求。如何应对众多且仍持续颁布的法律法规，实现一致性的合规要求，成为摆在企业面前的难题。

痛点2：具体细则规范尚不完善

随着有关数据安全和个人信息保护相关法律和法规要求发布，各单位纷纷开展相关的安全自查和整改工作，逐步推进数据合规工作的落地。但是，面对数据的收集、存储、使用、加工、传输、提供、公开等处理活动及数据跨境流动，存在各种复杂场景，由于相关细化的实施细则尚不完善、不健全，导致存在一些数据流动控制与数据确权困难等情况。并且，频繁的数据流动是数字经济时代的显著特征，如果管理不善可能会出现侵犯个人隐私、泄露商业秘密等情况。

面对复杂的数据处理实际场景，在国家的有关具体实施细则并不完备的情况下，企业如何遵循法律法规要求，制定完备的数据安全管理制度、实施细则与技术标准规范，并建立相应的数据安全管理组织、定岗定责、贯彻落实管理规定，成为企业数据合规工作的难点之一。

痛点3：数据全生命流程的管理和保护经验积累尚不成熟

企业在网络安全管理上，许多已按照“等保2.0”要求，在安全物理环境、安全区域边界、安全网络通信、安全计算环境、安全管理中心等方面建立了较为完备的网络安全防护体系，包括网络安全管理组织与制度流程、技术体系及运维保障体系，形成了是面向终端、主机、网络、应用等数据载体的安全防护能力，在数据安全防护层面，也开展了针对数据本身的数据分类分级、访问控制、数据加密、数据审计、数据脱敏等单点数据安全防护能力建设。

但是，面向数据本身的数据安全防护，与面向数据载体的网络安全防护存在较大差别，单点安全防护能力难以有效应对数据流动过程中的风险，行业整体仍然缺乏围绕数据生命周期流转过程的整体化防护管理经验积累。

痛点4：对海量数据的分类分级实施难度大

随着技术的发展，企业的信息化和智能化水平不断提高，数据积累也日渐庞大。要对数据进行分类分级和精细化的管理，各个行业存在不同的具体情况，目前国家和行业配套的标准体系仍在制定或征求意见的过程中，尚不足以指导各行业企业的数据分类分级工作落地，在此情况下，企业应如何做好对数据进行分类分级并实现精细化管理和保护。

痛点5：数据所有权与控制权（使用权）分离导致的数据合规困境

数据资源只有流转起来，才能提高数据利用效率，最大化挖掘数据价值。数据作为特殊资产，其所有权和控制权（使用权）存在分离的情况，导致在数据共享交换层面面临着无法满足其安全共享和开发的困境。在数据通过共享、交换等过程离开原控制者之后，数据的跟踪与溯源问题变得愈加困难。在这样的情况下，作为数据所有者通过交换、共享、委托等处理活动对外提供的数据流出了自己可控的安全域，对于此类数据的防范属于自身技术防护的“盲区”，而作为数据使用者又应如何向数据所有者落实数据管理义务，这些都成为需要解决的难题。

痛点6：业务动态变化下企业如何实现效率与安全的平衡

企业的业务在持续发生的变化或调整，承载业务的数据也伴随的业务的变化也在动态的发生着改变，同时，外部的数据安全监管合规要求也在不断完善、调整，依靠管理和技术构建相对静态的防护体系，难以及时跟进业务和合规的变化，存在安全策略设置滞后风险，导致出现数据资产新增或调整识别不及时、安全风险监测不准确、安全防护不到位的防护难题。业务动态变化下企业如何实现效率与安全的平衡，也是企业需要在实践中面对的问题。

点击获取企业数据合规白皮书.pdf