如何保障“網際網路+”時代網路資料安全？

中國資訊通訊研究院網際網路法律研究中心 何波

近幾年以來，“大資料”和“網路資料”一時風光無限，成為各國政府、企業、科研機構等競相追逐的“明星”。而隨著移動網際網路、雲端計算、大資料、物聯網為代表的新一代資訊通訊技術與經濟社會各領域、各行業的深度融合和跨界融合，相應的網路資料安全管理問題也日益凸顯。

什麼是網路資料？

我國“網路資料”的概念第一次出現在全國人大常委會2015年公佈的《中華人民共和國網路安全法（草案）》（以下簡稱《草案》）中。《草案》第六十五條第四款規定：“網路資料，是指通過網路收集、儲存、傳輸、處理和產生的各種電子資料。”

國外法律規定中並無“網路資料”的定義，各國資料保護法都只對資料以及個人資料等相關概念進行了定義。例如英國《資料保護法》，其只對資料下了定義，資料是指根據發出的處理指令自行執行的裝置所處理的資訊，為了由上述裝置加以處理而記錄的資訊以及作為相關存檔系統的組成部分或為了成為相關存檔系統的組成部分而記錄的資訊。

在實踐中，網路資料還經常和大資料混用。維基百科將大資料定義為一個複雜而龐大的資料集。香山科學會議（技術型定義）則認為大資料是來源多樣、型別多樣、大而複雜、具有潛在價值，但難以在期望時間內處理和分析的資料集。從定義理解來看，大資料是由無數的網路資料組成的資料集，通常二者也很難嚴格區分開來。

網路資料安全成為全球熱點

隨著網路資料價值的不斷增加，針對網路資料的安全威脅也與日俱增，給資料安全保障帶來了嚴峻的挑戰，使很多國家對網路資料使用的態度發生了轉變。“稜鏡”事件前，網路資料開放逐年深化，針對跨境流動等的國際合作不斷推進，“注重開放”成為國際網路空間資料使用的主流態度；而“後稜鏡”時代，各國開始明確並不斷強化網路資料安全保護，加強網路資料安全管理。

2015年9月1日，俄羅斯第149-FZ號聯邦法《關於資訊、資訊科技與資訊保護》生效。該項法律規定俄羅斯公民的個人資訊資料只能存於俄境內的伺服器中，以實現資料本地化。2015年10月6日，歐盟最高司法機構歐洲法院作出裁決，認定歐盟委員會2000年通過的關於認可美歐安全港框架的決定（2000/520/EC）無效，使得美歐之間最重要的跨境資料傳輸方式喪失合法性基礎。2015年10月，澳大利亞通過《電信（監控和接入）修正（資料留存）提案》，對資料留存做出強制性法律規定，要求電信運營商對電話、網際網路、電子郵件的使用者資料留存兩年。2015年9月5日，我國發布了《關於印發促進大資料發展行動綱要的通知》，提出要加強大資料環境下的網路安全問題研究和基於大資料的網路安全技術研究，落實資訊保安等級保護、風險評估等網路安全制度，建立健全大資料安全保障體系。

各國“施法”保護網路資料安全

總體來看，為應對日益嚴峻的網路資料安全問題，國際社會正在從法律法規、戰略政策、標準評估、管理體制等方面下手，全面開展資料安全保障實踐。

在法律法規方面，各國通過修訂原有立法和制定新法為網路資料安全管理提供強有力的立法保障。英國對《2000年調查權規則法案》進行修正，改為《2014年資料留存和調查權法案》，要求通訊服務提供商保留使用者通訊資料長達12個月，並且在執法部門提出合法要求時予以披露。美國於2015年6月2日，正式出臺《美國自由法案》，賦予電信運營商承接情報執法機構的電話資料蒐集和留存職責，必要時按照特定程式向政府機構提供。2015年12月15日，歐委會與歐洲議會，歐盟理事會三方機構在立法程式的最後階段就歐盟資料保護改革達成一致，核心改革成果——《歐盟資料保護總規》即將正式頒佈，新規繼續堅守保護公民基本權利理念，全面提升個人資料保護力度，開創性引入資料可攜權、被遺忘權，並特別針對大資料背景下的資料分析、畫像活動，予以嚴格規制。

在戰略政策方面，各國頂層設計與政策落實並重，先後出臺國家級戰略規劃，在促進資料發展的同時兼顧安全保護。英國於 2012年６月釋出《開放資料白皮書》，推進公共服務資料的開放；2013年10月31日又釋出了《把握資料帶來的機遇：英國資料能力戰略》，制定了提升資料分析技術、加強國家基礎設施建設、推動研究與產業合作、確保資料被安全存取和共享等舉措。日本2013年釋出《建立最尖端IT戰略》，明確闡述了開放公共資料和大資料保護的國家戰略；印度2014年國家電信安全政策指導意見草案對移動資料保護作出規定；美國白宮2015年釋出白皮書《抓住機遇，守護價值》，總結大資料中隱私保護政策，提出發展大資料的具體舉措和安全保障，加強資料管理。

在管理體制方面，各國主要分為政府主導和行業自律兩種模式進行網路資料管理。政府主導型監管體制是最主要的管理模式，通常有較成體系的保護機制，如德國專門特設保護機關聯邦資料保護委員會，荷蘭專門特設保護機關為資料保護局以及韓國行政安全部和韓國通訊委員會共同承擔資料安全行政監管職能。行業自律型監管體制的典型代表為美國。美國的監管體制可細分為以下兩種模式：一是建議性的行業指引，由行業組織或商業實體制定行為指引或隱私標準為行業內的隱私保護提供示範；二是網路隱私認證計劃，要求具有隱私認證標誌的網站必須遵守線上隱私資料收集的行為規則。

此外，各國還在標準體系、技術手段、安全評估等方面採取了相關措施。

啟示：安全與發展並重

在我國的“網際網路+”時代，網際網路與傳統產業的深度融合，使得作業系統更加複雜，各種資料海量增長，新情況新問題層出不窮，網路資料安全和使用者資訊保安問題將更加突出。要堅持安全與發展並重的思路，重視網際網路發展帶來的資料安全風險。

一是要建設完善網路資料安全監測評估、監督管理、標準認證和創新能力體系，加強針對資訊系統設施、新型領域的安全監測評估和責任管理，推進安全標準的研究制定和實施。初步建立適應於發展需求的網路資料安全監管制度和標準體系，提升“網際網路+”安全保障能力。

二是充分重視網際網路與政務、醫療、金融等各領域融合帶來的資料安全風險，完善網路資料保護體系，加強安全管理和技術措施，包括建立資料分級分類安全管理制度，加強跨境資料流動評估認證制度，以及明確相關主體資料安全保護責任。

本文轉自d1net（轉載）