日前，《個人信息安全保護法》和《數(shù)據(jù)安全法》已完成第二次審議。對于企業(yè)來說，未來法規(guī)的正式頒布實施將會是把雙刃劍，一方面是可提高民眾的意識，利于推動數(shù)據(jù)安全各項工作的落地;另一方面則是利用法律的威懾力，對企業(yè)開展數(shù)據(jù)安全工作進行有效約束。

如何做好數(shù)據(jù)全生命周期管理，一直是一個頭疼的課題。本文將對“數(shù)安法(草案)二次審議稿”中涉及企業(yè)數(shù)據(jù)全生命周期管理的合規(guī)要求進行簡要分析。

法規(guī)背景

“數(shù)安法(草案)二次審議稿”一共七章五十一條，其中“總則”、“法律責任”及“附則”三章屬于常規(guī)章節(jié)，另外四個章節(jié)則圍繞“數(shù)據(jù)安全與發(fā)展、數(shù)據(jù)安全制度、數(shù)據(jù)安全保護義務、政務數(shù)據(jù)安全與開放”四個方面提出工作要求。

數(shù)據(jù)全生命周期安全合規(guī)要求

(1) 制度建立

建立健全全流程數(shù)據(jù)安全管理制度，落實數(shù)據(jù)安全保護責任，組織開展數(shù)據(jù)安全教育培訓，采取相應的技術措施和其他必要措施保障數(shù)據(jù)安全。

(2) 風險監(jiān)測

對數(shù)據(jù)處理活動中出現(xiàn)的缺陷、漏洞等風險，要釆取補救措施;發(fā)生數(shù)據(jù)安全事件要按規(guī)定上報。

(3) 風險評估

對數(shù)據(jù)處理活動定期開展風險評估并上報風評報告。

(4) 收集使用

任何組織、個人收集數(shù)據(jù)必須釆取合法、正當?shù)姆绞?，不得竊取或者以其他非法方式獲取數(shù)據(jù)。

法律、行政法規(guī)對收集、使用數(shù)據(jù)的目的、范圍有規(guī)定的，應當在法律、行政法規(guī)規(guī)定的目的和范圍內(nèi)收集、使用數(shù)據(jù)。

(5) 數(shù)據(jù)交易

數(shù)據(jù)服務商或交易機構，要提供并說明數(shù)據(jù)來源證據(jù)，要審核相關人員身份并留存記錄。

(6) 存儲加工

委托他人存儲、加工或提供政務數(shù)據(jù)，要先審批，并做好監(jiān)督。

(7) 配合調(diào)查

要求依法配合公安、安全等部門進行犯罪調(diào)查。境外執(zhí)法機構要調(diào)取存儲在中國的數(shù)據(jù)，須先審核。

(8) 審批與監(jiān)督

委托他人建設、維護系統(tǒng)，或涉及存儲、加工數(shù)據(jù)，應當經(jīng)過嚴格的批準程序，并監(jiān)督受托方、數(shù)據(jù)接收方履行相應的數(shù)據(jù)安全保護義務。

以上八個方向作為數(shù)安法對企業(yè)落實數(shù)據(jù)安全生命周期管控的基本要求。

數(shù)據(jù)全生命周期安全實施建議

數(shù)據(jù)全生命周期涵蓋收集、傳輸、存儲、處理、共享、銷毀共六個階段，針對數(shù)據(jù)全生命周期的安全管理也是企業(yè)開展數(shù)據(jù)安全管理的核心和難點工作。

(1) 數(shù)據(jù)采集：

數(shù)據(jù)采集規(guī)范中要明確數(shù)據(jù)采集的目的、用途、方式、范圍、采集源、采集渠道等內(nèi)容，并對數(shù)據(jù)來源進行源鑒別和記錄。制定明確的采集策略，只采集經(jīng)過授權的數(shù)據(jù)并進行日志記錄。對數(shù)據(jù)采集過程中的風險項進行定義，形成數(shù)據(jù)采集風險評估規(guī)范。數(shù)據(jù)采集全過程需要符合相關法律法規(guī)和監(jiān)管要求，做到合規(guī)合法的采集。

(2) 數(shù)據(jù)傳輸：

做好傳輸接口管控和監(jiān)測。建議對涉敏數(shù)據(jù)進行加密傳輸，主要用到的是對稱加密算法和非對稱加密算法，推薦的對稱加密算法如：DES、IDEA、AES、SM1(國密算法)，非對稱加密算法如：RSA、ECC、SM2(國密算法)。

(3) 數(shù)據(jù)存儲：

重要數(shù)據(jù)境內(nèi)存儲，做好存儲介質(zhì)管理，建立數(shù)據(jù)存儲備份機制，并定期開展備份恢復演練。

(4) 數(shù)據(jù)處理：

嚴格遵循數(shù)據(jù)處理最小化、必要原則，明確數(shù)據(jù)的處理和使用規(guī)范，確保員工只能訪問職責所需的最少夠用的敏感數(shù)據(jù)。對數(shù)據(jù)進行操作時，應做好去標識化處理，明確數(shù)據(jù)脫敏的業(yè)務場景和統(tǒng)一使用適合的脫敏技術。

(5) 數(shù)據(jù)共享：

一是建立數(shù)據(jù)共享規(guī)范，共享前應進行嚴格的審批并存檔，同時開展個人信息安全影響評估;二是共享前開展風險評估(記錄留存3年)，與共享的接口調(diào)用方簽訂合作協(xié)議;三是開展共享監(jiān)測和審計，數(shù)據(jù)導入導出應進行嚴格的審批和監(jiān)控，建立數(shù)據(jù)交換和共享審核流程和監(jiān)管平臺，以確保數(shù)據(jù)對于數(shù)據(jù)共享的所有操作和行為進行日志記錄，并對高危行為進行風險識別和管控。

(6) 數(shù)據(jù)銷毀：

應建立數(shù)據(jù)銷毀機制，明確存儲介質(zhì)刪除方法，數(shù)據(jù)銷毀需由領導審批，同時采用可靠的技術手段，確保被刪除和銷毀的用戶個人電子信息不能被再次還原。針對不同的存儲介質(zhì)和設備有其不可逆的銷毀技術及流程，建立銷毀監(jiān)察機制，嚴防數(shù)據(jù)銷毀階段可能出現(xiàn)的數(shù)據(jù)泄露問題。

數(shù)據(jù)銷毀包含物理層面和邏輯層面的銷毀，按照處理成本、復雜性和安全性由低到高的順序，將數(shù)據(jù)銷毀方式分為三個級別：

• 一級銷毀方式：在軟件系統(tǒng)層刪除數(shù)據(jù);
• 二級銷毀方式：在存儲介質(zhì)層清除數(shù)據(jù);
• 三級銷毀方式：物理破壞數(shù)據(jù)及其存儲介質(zhì)。

在對數(shù)據(jù)全生命周期監(jiān)管的同時，為了對數(shù)據(jù)實現(xiàn)監(jiān)控和審計，數(shù)據(jù)分級分類必不可少。在數(shù)據(jù)分級分類之前，需要通過數(shù)據(jù)測繪來發(fā)現(xiàn)敏感數(shù)據(jù)，以及數(shù)據(jù)主要存儲的位置。對數(shù)據(jù)進行結構化分級分類分級，實現(xiàn)對數(shù)據(jù)資產(chǎn)安全進行敏感分級管理，并依據(jù)各級別部署相對應的數(shù)據(jù)安全策略，以保障數(shù)據(jù)資產(chǎn)全生命周期過程中，數(shù)據(jù)的保密性、完整性、真實性和可用性。

【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】

戳這里，看該作者更多好文