合規之資料安全治理

導讀	如何做好資料全生命週期管理，一直是一個頭疼的課題。本文將對“數安法(草案)二次審議稿”中涉及企業資料全生命週期管理的合規要求進行簡要分析。

日前，《個人資訊保安保護法》和《資料安全法》已完成第二次審議。對於企業來說，未來法規的正式頒佈實施將會是把雙刃劍，一方面是可提高民眾的意識，利於推動資料安全各項工作的落地;另一方面則是利用法律的威懾力，對企業開展資料安全工作進行有效約束。

“數安法(草案)二次審議稿”一共七章五十一條，其中“總則”、“法律責任”及“附則”三章屬於常規章節，另外四個章節則圍繞“資料安全與發展、資料安全制度、資料安全保護義務、政務資料安全與開放”四個方面提出工作要求。

(1) 制度建立

建立健全全流程資料安全管理制度，落實資料安全保護責任，組織開展資料安全教育培訓，採取相應的技術措施和其他必要措施保障資料安全。

(2) 風險監測

對資料處理活動中出現的缺陷、漏洞等風險，要釆取補救措施;發生資料安全事件要按規定上報。

(3) 風險評估

對資料處理活動定期開展風險評估並上報風評報告。

(4) 收集使用

任何組織、個人收集資料必須釆取合法、正當的方式，不得竊取或者以其他非法方式獲取資料。

法律、行政法規對收集、使用資料的目的、範圍有規定的，應當在法律、行政法規規定的目的和範圍內收集、使用資料。

(5) 資料交易

資料服務商或交易機構，要提供並說明資料來源證據，要稽核相關人員身份並留存記錄。

(6) 儲存加工

委託他人儲存、加工或提供政務資料，要先審批，並做好監督。

(7) 配合調查

要求依法配合公安、安全等部門進行犯罪調查。境外執法機構要調取儲存在中國的資料，須先稽核。

(8) 審批與監督

委託他人建設、維護系統，或涉及儲存、加工資料，應當經過嚴格的批准程式，並監督受託方、資料接收方履行相應的資料安全保護義務。

以上八個方向作為數安法對企業落實資料安全生命週期管控的基本要求。

資料全生命週期涵蓋收集、傳輸、儲存、處理、共享、銷燬共六個階段，針對資料全生命週期的安全管理也是企業開展資料安全管理的核心和難點工作。

(1) 資料採集：

資料採集規範中要明確資料採集的目的、用途、方式、範圍、採集源、採集渠道等內容，並對資料來源進行源鑑別和記錄。制定明確的採集策略，只採集經過授權的資料並進行日誌記錄。對資料採集過程中的風險項進行定義，形成資料採集風險評估規範。資料採集全過程需要符合相關法律法規和監管要求，做到合規合法的採集。

(2) 資料傳輸：

做好傳輸介面管控和監測。建議對涉敏資料進行加密傳輸，主要用到的是對稱加密演算法和非對稱加密演算法，推薦的對稱加密演算法如：DES、IDEA、AES、SM1(國密演算法)，非對稱加密演算法如：RSA、ECC、SM2(國密演算法)。

(3) 資料儲存：

重要資料境記憶體儲，做好儲存介質管理，建立資料儲存備份機制，並定期開展備份恢復演練。

(4) 資料處理：

嚴格遵循資料處理最小化、必要原則，明確資料的處理和使用規範，確保員工只能訪問職責所需的最少夠用的敏感資料。對資料進行操作時，應做好去標識化處理，明確資料脫敏的業務場景和統一使用適合的脫敏技術。

(5) 資料共享：

一是建立資料共享規範，共享前應進行嚴格的審批並存檔，同時開展個人資訊保安影響評估;二是共享前開展風險評估(記錄留存3年)，與共享的介面呼叫方簽訂合作協議;三是開展共享監測和審計，資料匯入匯出應進行嚴格的審批和監控，建立資料交換和共享稽核流程和監管平臺，以確保資料對於資料共享的所有操作和行為進行日誌記錄，並對高危行為進行風險識別和管控。

(6) 資料銷燬：

應建立資料銷燬機制，明確儲存介質刪除方法，資料銷燬需由領導審批，同時採用可靠的技術手段，確保被刪除和銷燬的使用者個人電子資訊不能被再次還原。針對不同的儲存介質和裝置有其不可逆的銷燬技術及流程，建立銷燬監察機制，嚴防資料銷燬階段可能出現的資料洩露問題。

資料銷燬包含物理層面和邏輯層面的銷燬，按照處理成本、複雜性和安全性由低到高的順序，將資料銷燬方式分為三個級別：

1. 一級銷燬方式：在軟體系統層刪除資料;

1. 二級銷燬方式：在儲存介質層清除資料;

1. 三級銷燬方式：物理破壞資料及其儲存介質。

在對資料全生命週期監管的同時，為了對資料實現監控和審計，資料分級分類必不可少。在資料分級分類之前，需要透過資料測繪來發現敏感資料，以及資料主要儲存的位置。對資料進行結構化分級分類分級，實現對資料資產安全進行敏感分級管理，並依據各級別部署相對應的資料安全策略，以保障資料資產全生命週期過程中，資料的保密性、完整性、真實性和可用性。

原文來自： https://www.linuxprobe.com/data-security-governance.html