《数据安全法》解读｜数据安全合规，稳了！

Time：2021-06-21

著名的《经济学人》杂志断言：“数据是新时代的石油。”

2020年4月，国务院发布的《关于构建更加完善的要素市场化配置体制机制的意见》中，数据被正式列为“新型生产要素”。作为一种新型的关键生产要素，数据已成为推动经济高质量发展的新动能。

一方面是数据的指数级增长，根据国际权威机构Statista数据的统计和预测，2020年全球数据产生量预计达到47ZB，到2035年这一数字将达到2142ZB，年复合增速近30%。

另一方面，数据又面临着日益加剧的泄露、篡改及访问控制等安全风险。根据Radware公司发布的《2018-2019年全球应用及网络安全报告》数据显示，35%的受访企业所遭遇的网络攻击的主要目标是数据窃取。据统计，2020年全球公开范围内报告了3932起安全泄露事件，泄露的数据达到370亿条。而2019年这一数字是151亿条。

数据泄露或丢失给企业造成了巨大的经济损失。IBM发布的《2020年数据泄露成本报告》显示，2020年数据泄露事件给企业造成的平均损失达386万美元。据不完全统计，全球每年有近百万的企业因数据丢失而倒闭。

数据安全问题给全球各国敲响了警钟，截止目前有100多个国家对此进行立法。以大家耳熟能详的欧盟GDPR《通用数据保护条例》——被誉为欧盟史上最严的数据保护法——为例。根据这项法规，企业在数据方面的违规，可能会面临高达2000万欧元（约合人民币1.53亿元）或占企业全球年收入4%的罚款。在GDPR推出之后，Google和Facebook就分别收到了39亿欧元和37亿欧元罚款的诉讼。

另外，美国CCPA《加州消费者隐私保护法》、英国DPA2018《数据保护法》、瑞士DPA《联邦资料保护法》、巴西《通用数据保护法》、印度《2018年个人数据保护法案（草案）》等，均提出了数据安全合规方面的强制要求，从数据全生命周期、数据应用场景、数据技术等各个方面规划了完整的数据安全保护体系。

数据安全基本要素视图

来源：《全球数字经济浪潮下数据安全保护体系》，信息安全与通信保密杂志社

日前，我国也正式发布了数据领域的基础法律《数据安全法》，开始从国家立法层面，为数据的全生命周期安全保护提供法律依据，推动数据在安全合规的前提下实现价值利用。

第一，数据是企业的核心资产，但数据究竟包含哪些范畴？早前的《网络安全法》第十八条规定，国家鼓励开发网络数据安全保护和利用技术，促进公共数据资源开放，推动技术创新和经济社会发展。可以看到，在《网络安全法》范畴内，强调的是“网络数据”的概念。

《数据安全法》第三条规定，数据是指任何以电子或者其他方式对信息的记录，即包括了电子数据和非电子形式的数据，而《网络安全法》不包含非电子形式的数据。也就是说，这次纳入数据保护的范围扩大了。

第二，数据只有在流动、共享以及使用中才能发挥其最大价值，但前提在于保证数据安全可控。以企业为例，为了满足开发、测试等工作负载的需求，一份生产数据往往会带来7-8份数据副本，而任意一份副本都存在数据泄露的风险。因此，必须有相应的数据使用和数据安全技术作为支撑。

《数据安全法》第十六条指出，国家支持数据开发利用和数据安全技术研究，鼓励数据开发利用和数据安全等领域的技术推广和商业创新，培育、发展数据开发利用和数据安全产品、产业体系。这条规定对于我国发展自主可控的数据使用和数据安全管控技术，如数据副本管理CDM技术等，具有重要的指导意义。

金融和运营商作为对数据安全合规性要求极高的行业，实际上已经开始在测试环境、准生产环境乃至核心生产环境部署CDM技术，满足数据敏捷使用和数据安全管控的需求。而在这些行业实践和《数据安全法》的引领下，相信国内CDM技术即将迎来更大的发展空间，Gartner也预测CDM技术将在未来5-10年内进入“实质生产的高峰期”（Plateau of Productivity）。

第三，《数据安全法》第三条规定，数据处理，包括数据的收集、存储、使用、加工、传输、提供、公开等。这意味着数据安全保护责任覆盖了数据活动的全流程。

对于现代企业组织来说，复杂的数据保护远不是“一招鲜吃遍天下”那么简单，需要从数据获取、数据存储、数据构建、数据使用、数据归档到数据销毁的数据全生命周期全面部署，这当中涉及多种数据保护技术组合拳的灵活运用。

上讯信息ADM敏捷数据管理平台以CDM技术为核心，在保证数据敏捷使用的前提下，融合了数据备份、快速备份校验、数据脱敏、数据快速交付与管理、数据访问权限管理、数据库审计等多种数据保护策略。一方面当遭遇灾难时候能够帮助企业及时恢复数据，保证企业业务的连续性运行；另一方面利用涵盖数据全生命周期的统一集中管控，消除数据使用过程中的敏感数据泄露和高危操作的风险，极大提升了企业数据资产的安全强度。

总之，对于CIO来说，数据是企业的命脉，必须谨慎地保护企业数据。《数据安全法》的颁布，让CIO们更加迫切地意识到，必须完善数据管理体系，通过诸如CDM等可靠的数据管理技术手段，实现数据安全与合规的落地，继而在此基础上达成“业务数据化、数据资产化”的目标。