

数据泄露问题频发，企业数据安全风险评估与治理刻不容缓

数智安全行动计划

2023-06-30

导读：作者简介：龚诗然：数据安全工程师，中国信息通信研究院云计算与大数据研究所高级业务主管，目前主要从事数据安全及

作者简介：

龚诗然：数据安全工程师，中国信息通信研究院云计算与大数据研究所高级业务主管，目前主要从事数据安全及风险治理的理论研究工作，曾牵头多项数据安全标准编制，负责多家行业头部企业的数据安全治理咨询工作。

引言：中共中央、国务院发布的《关于构建更加完善的要素市场化配置体制机制的意见》也将数据与土地、资本、劳动力、技术等并列为五大生产要素。数据作为生产要素参与到社会和经济发展中已经是大势所趋。同时，随着技术的不断发展，进入数字安全时代，任何不安全的行为和机制都有可能演变成风险、事件，安全的首要目标也从“不出问题”逐渐演变为“风险可控”。

针对近期部分银行保险机构的外包服务商发生安全风险事件，2023年6月金融监管部门下发《关于加强第三方合作中网络和数据安全管理的通知》再次强调了数据安全风险评估及应急处置相关要求。

思考1

数据安全风险防范与治理刻不容缓

“十四五”规划提出强化数据全生命周期安全保护与立法，数据安全成为我国数字化进程重要一环。然而，数据安全事件频发已严重威胁国家、社会公众安全。最近十年内，全球数据泄露记录达到千亿条，数据泄露事件达到数万余起，企业数据遭到破坏的事件屡屡发生，“大数据杀熟”、“窃听式营销”等侵犯隐私的乱象频发，数据安全风险的防范与治理刻不容缓。

目前数据安全风险的构成、常见类型以及各类风险直接或衍生影响等内容还待业内持续探索、研讨。2021年，工信部在《数据安全风险信息报送与共享工作指引》中曾经列出数据泄露、篡改、违规传输等在内的几类风险。2023年，全国信安标委《网络数据安全风险评估实施指引》在附录里也列出了常见的数据安全风险类型，但同时也在定义中提出，网络数据安全风险是由于开展网络数据处理活动不合理、缺少有效的数据安全措施等，导致数据安全事件的发生及其对国家安全、公共利益或者组织、个人合法权益造成的影响。也就是说，任何一项不安全的行为、机制都有可能衍生出数据安全风险，而风险能够演变成多种形态的安全事件，比如针对数据的泄露、破坏等，这些事件甚至可以同时或者先后作用于同一数据。

思考2

基于关键要素识别，评估数据安全风险

这也是数据安全风险评估为何如此必要：风险自身的未知、动态属性要求组织对风险的识别、评估环节尽可能地前置化、常态化。这一点在国家法律法规也有体现：《数据安全法》针对数据安全风险也提出了数据处理者应通过开展数据安全风险评估对风险进行防范，业内也有多项标准明确了数据安全风险评估的基本实施流程，提供了实施风险评估的具体方法。可以看出，数据安全风险评估被认为是把控数据安全风险的一大重要途径，是科学有效的事前管理手段。

以《网络数据安全风险评估实施指引》为例，数据安全风险评估的主要目标是摸清数据种类、规模、分布、数据处理活动基本情况，从而发现例如共享、交易、委托处理、向境外提供重要数据等处理活动中可能影响国家安全、公共利益或者个人、组织合法权益的数据安全问题和风险，促进完善数据安全保护措施，提升数据安全保护能力。评估的流程体现了“充分识别，科学评估”的思路，将流程分为准备、调研、识别、分析、总结大阶段。评估的内容包括数据安全管理、数据处理活动、数据安全技术、个人信息保护等重点领域，并通过一系列的关键活动，实现了在评估过程中明确组织的风险偏好、准则，从微观层面识别影响数据安全风险的要素，对风险进行定性、定量分析，从而对风险的影响程度、发生的可能性做科学有效的判断，并通过风险的等级来明确后续处置的优先级。

在数据安全风险的评估过程中需要充分识别构成风险的基本要素，比如需要分析数据在不同生命周期环节可能威胁数据保密性、完整性、可用性、可控性、合规性的威胁或者安全问题，以判断风险发生的可能性。或者，需要提前判断组织业务场景中的使数据资产价值受损的一些情形，例如数据质量降低、存在法规限制、时效性稀缺性受损等，以分析风险发生后的损失与影响，从而全面分析出风险发生的可能性以及影响，推动后续的风险处置，实现风险管理闭环。

同时，当前组织数字化转型迅速，数据形式多样、种类繁杂，业务场景多，流转环节复杂，数据分布位置广泛、所涉人员众多等，这使数据安全风险的评估以及管理难度翻倍，对数据安全风险的评估离不开具体的场景。基于这一现状，组织在开展评估工作前，更需要首先全面识别风险的关键要素，加强信息调研，并通过提炼数据在全生命周期的常见安全风险要素，将全生命周期面临的威胁、脆弱性嵌入风险评估的实施框架，从而提升评估过程中的风险检出能力以及后续风险管理的落地实操性。

虽然各界还在持续开展数据安全风险评估相关的理论与实践探索，无论应用何种评估方法，组织的数据安全风险评估仍基于“以法律的遵从性为准则，围绕数据全生命周期的安全，关注过程中的用户个人信息权益保护，兼顾业务侧的合规安全风险”的整体原则，全面关联已识别的风险要素，实施科学、适宜的定性或定量分析，充分应用风险评估结果，串联数据安全风险“识别-判断-整改”三大步骤，前置、闭环管理数据安全风险，履行数据处理者安全义务。

思考3

数据安全风险治理需要一条主线

组织数字化转型加剧安全危机：数据作为新型生产要素，是实现业务价值的主要载体，它在流动中体现价值、创造价值，而流动必然伴随风险。结合云计算技术的发展，数据规模迅速增加、复杂的业务情境以及技术条件下的海量数据流转、数据存取方式演变导致数据访问管理暗藏风险、攻击手段日益多样化的现状，可以说数据的边界在哪里，业务的边界就在哪里，也决定了风险的边界在哪里。

在数据安全与业务场景的融合过程中，面向业务的数据安全风险治理虽然存在诸多挑战，以业务的视角去治理数据安全风险本身也是一种来自业务的需求，因此亟需完善面向业务的数据安全风险治理体系。

业内研究也充分佐证了这一点：诸多风险评估方法不同程度地提出了风险评估需要紧密结合组织的业务场景，数据安全风险的治理同样需要持续面向关键业务、数据处理活动，实现风险可控的安全目标。

数据安全风险治理的优越性体现在协同管控，面对组织日益复杂的数据生态具有优势。这一点在国际理论、业内实践中均有体现：业内相关研究多次提到数据安全风险的治理与组织风险战略保持一致，不应是点对点的扑救与应对。国内方面，近年受监管合规驱动，企业在数据安全风险治理上普遍存在痛点，治理需求激增。因此，数据安全风险的治理势在必行，亟需一套完善的建立数据安全风险治理的框架以及落地指引。

目前大多数组织的数据安全风险治理集中在对已知风险的评估与分析阶段，主要是对已知的安全缺陷进行挖掘，整体上缺乏全局视角与调优参考，对风险评估的结果应用也不甚充分，尚未形成一条可联动、可协同的治理链条。

数据安全风险的治理作为数据安全体系建设的“另一面”，在以风险为核心，充分体现风险识别、评估、处置以及监控改进的治理思路的同时，应与现有理论相互支撑、补充，建立一条覆盖识别、评估、处置、监控的风险治理主线，考虑组织内部多方多维协同，兼顾技术与管理措施。

思考4

数据安全风险治理的能力需要评价

更进一步地，由于数据安全风险治理的能力不仅是组织数据安全体系建设的重要组成，治理过程中发现的问题也是组织开展数据安全建设的输入。

如何评价组织的数据安全风险治理能力，并对其进行优化和调整，需要科学的评价模型支撑。组织可以通过课题研究、外部咨询或评估等多种方式，系统化地梳理自身关键业务系统、数据及数据处理活动，充分调研数据安全风险管理或技术保障措施等情况信息，并结合业内的数据安全风险评估与治理思路，从风险的识别、评估、处置、监控以及持续改进等环节入手，建立组织的数据安全风险治理体系，并参考业内风险治理相关的成熟度评价模型，持续规划自身的风险治理能力提升路径，从而实现事前明确数据安全风险关键要素，事中建立全面的数据安全风险治理流程，事后完善数据安全风险治理的监控与管理改进机制。