如何平衡“数字化发展”与“数据安全保护”?

2022年09月20日 13:45  

本文7995字,约11分钟

导语:

进入数字经济时代,各个行业得益于数据产业的发展而开拓出新的商业空间,数据渗透到各个领域,成为支撑国民经济在新环境下发展的重要生产要素。有了数据,企业得以在生产、管理、营销等各个环节实现更高效的资源配置和技术创新。

“十四五”规划中提出数字中国的愿景。国内数字经济建设进程加速,新应用、新场景需求飞速增长,数据要素的作用和价值愈发凸显。但数据要素得到充分利用的同时,数据安全事件却时有发生,并时刻威胁着个人、企业甚至国家的安全。

在这个过程中,保障数据安全的重要性不言而喻,守护好数据安全合规的底线,才是经济社会长远发展之道。

近日,《财经》杂志助理主编、财经E法主编朱弢邀请中国社会科学院大学副校长林维,新华三集团副总裁、技术战略部总裁刘新民和新华三集团副总裁、新华三信息安全技术有限公司总裁孙松儿,共同探讨市场主体如何平衡“数字化发展”与“数据安全保护”之间的关系。我们撷其要者编辑成文,以飨读者。

保护数据安全,必须由“点”到“面”

朱弢:大家知道我们现在已经进入了数字经济时代,或者叫数字时代。各个行业得益于数据产业的发展而拓展新的商业空间,数据渗透到各个领域,成为支撑国民经济发展的一个重要的生产要素。需要看到,数据在经济和社会发展中扮演着越来越重要的角色。今天节目聚焦于数据安全这个话题,去讨论如何平衡“数字化发展”和“数据安全保护”的关系。

在当今这个数字时代,数据的应用无所不在。正因为如此,中国在去年出台并实施了《数据安全法》,我们首先从宏观的层面,请各位介绍一下,数据安全行业的发展现状以及法律合规建设情况。

林维:其实从古到今我们生产了很多数据,但是数据的重要意义,也是我们进入网络时代以后它才获得了如此重要的意义,就是数据成为生产要素。

因此最近一段时间,我们国家加强了对数据法律的建设。尤其是《数据安全法》,对有关数据的定义,数据的分类,数据从产生到储存,再到全流程当中所涉及到的不同法律主体进行了界定。乃至对产生各种数据安全事故、事件以后,各主体所需承担的有关法律责任,都做了原则上的规定。

朱弢:数据安全产业的整体情况是什么样的呢?

刘新民:传统意义上的信息化系统,更多的是数据产生之后的应用。通过计算产生数据之后拿去存储,然后再应用,这个系统本身是它自己在运作。但在现在的数字化时代,应用发展越来越深的时候便打破了这个界限。不同系统之间数据在流动,不同机构之间数据在流动,不同行业之间数据也在流动。从原来纯粹的数据计算、产生到存储,变成了“算、存、传、用”。那在这个过程中,就涉及了很多问题,有个人隐私问题,个人信息安全问题,数据使用过程中的合法合规。这些在当今社会都是非常严重的问题。因为它会造成财产的损失,甚至还会造成社会性的问题,如危害国家安全。

所以这样的条件下,自然就产生了对数据合规安全使用的要求。技术界其实也是针对这些问题,不断研发新的技术工具去保护数据的使用。这样自然而然地产生新机遇,即数据安全形成一个大的产业。

孙松儿:应该说现阶段数据安全产业处在非常好的时期,需求和问题都非常清晰。(行业内)针对数据安全推出了包括一些针对数据库访问、用户行为审计、终端的和管控的解决方案。但是我们感觉这些方案更多还是局限在点状的环节上。当数据在二次开发、二次使用之后,我们还需要考虑这些应用类数据的访问合规问题。综合来看这些问题,需要一个整体的解决方案来应对。

现阶段整个产业的发展还处在初级阶段。我们能看到整个数据安全在不同的行业落地,例如智慧城市、政府、金融、电力、能源等。但不同行业在不同场景下有不同的数据安全防护需求,所以从这个角度看,如何将通用的数据安全防护技术和场景化的数据安全需求相结合,这是一个后续需要长期要跟踪和考虑的问题。

朱弢:您说“点状”的意思是说根据不同的需求,提供一个针对性的解决办法,还是指的什么?

孙松儿:因为数据的安全涉及到它的整个生命周期,包括采集、存储、传输、交互和共享等多个环节。现阶段很多的解决方案相对来说都是基于某一个点,比如在数据的传输和存储过程中需要加密,数据传输过程中还需要防攻击、防劫持等等,还比如在数据的访问过程中,可能我们也需要一些权限的控制。

朱弢:它的难度在哪?

孙松儿:第一个方面,因为整个数据产生的环节比较多,涉及到相应的技术协议也比较多,那么在数据的全生命周期过程当中,怎么把各个环节所采用的技术连通关联起来,这是一个整体的,也相对比较大的解决方案的问题。另外一个方面就是我们刚才说的,数据安全和场景化结合得比较深。

刘新民:对于数据安全使用的顶层设计,这些事情可能会由各行业或者相关牵头部门来做。比方说在智慧城市领域内,数据的规划是有顶层设计的。在企业方面,像我们公司自己也在做这种顶层设计。当然现在还处于起步阶段,刚刚开始,并不是说有多成熟。因为我们做这些东西还要看法律。

林维:可能从法律上来讲,一个点的保护、一个面的保护,它的复杂性可能不太一样。因为数据不是一个死的东西,数据价值的产生,就在于它是流动的,在数据流动的过程当中,它会碰到不同的法律的主体,形成了更复杂的网状的法律关系。

把数据放入“安全屋”

朱弢:“十四五”规划提出了数字中国和数字政府的愿景,在云计算和大数据产业发展过程中,政府的服务能力和治理能力也得到了很大的提高。在这个过程中,如何去保障数据安全,各位有什么建议?

刘新民:在深度数字化过程中,“数据要拿出来用”已经是一个很显著的社会化需求了。但要解决的问题是,你的哪些数据我可以用,可以放心地拿出来用。现在比较热点讨论的技术领域叫隐私计算,当隐私的数据要想拿出来使用的话怎么办?那就要通过技术方案可以保证数据在本地计算,且计算之后的这个结果是经过了加密的,这个结果可以集中到政府平台上再去二次计算,出来的结果是政府需要的,中间的这些过程可能谁都拿不到,这是通过技术来实现的。我们搞隐私计算的研究就是想解决这些东西,就是在数据的使用过程中,如何把数据的安全保护发挥到极致。即我要你的数据,但是实际用的不是那个(原始)数据,而是一个我可以要的结果,这就是现在技术态势正在做的。

孙松儿:其实无论是数字政府还是数字中国,老百姓所看到的更多还是各种应用。一些涉及到惠民的业务系统和应用系统的开发,一定是涉及到政府对相关数据授权使用的问题。所以从这个角度看,政府怎么把一些相对敏感的数据提交给第三方的开发平台,然后由开发平台对这些数据进行统一的数据挖掘,包括应用层级的开发,其中权限的使用控制是一个问题。现在也有“数据安全屋”的概念,政府可以把相关数据放在安全屋里,经过相应的脱敏处理,然后提供给第三方做应用系统的开发,这是一个很好的点子。

林维:数据安全问题首先应该讲还是一个技术问题,因为数据的安全需要技术的手段来加以保障。但它同时也是一个法律问题,因为我们所有的数据的流动,都是在企业、政府等等相应的主体中。需要让企业从数据的流动过程当中能够获得利益,并且这样的利益为法律所能允许,并对它进行保护,那么它自然而然地就会有利益驱动去保护自己的数据。当然我想从政府的这个角度来讲,即数据同时又是一种战略资产。它影响到国家安全,影响到社会稳定。在这种情况之下,政府就要提供一个外在的动力机制,去要求、命令甚至在某种意义上是强迫企业要遵守一些硬性规定,以便保证在这些机构当中,所存储的这些数据的安全性。

用“数盾”为“东数西算”护航

朱弢:今年2月,“东数西算”工程正式启动。所谓“东数西算”,“数”就是数据,“算”就是算力。简单说就是用西部的算力,支撑东部的数据处理,更好地赋能数字经济。“东数西算”是国家层面的一项宏观的战略规划,这一个规划对于数据安全行业有什么意义,对于未来的数据安全体系的建设,会有什么影响?

刘新民:它本身是一个非常大的“新基建”工程,其中涉及到数据的流动、利用,我觉得这可能是东数西算工作中最本质的需求了。怎么把这些数据能够拿来利用?《数据安全法》等一系列的数据安全规定就是要针对这个问题做一个顶层设计,这相当于市场已经启动了。那如何在这个市场里把数据的安全使用做好,不要在这个发展过程中走岔道,在整个东数西算在这种应用的时候,关于数据安全的顶层设计实际上是需要先行启动的。我们可以看到在各行业,针对数据的安全计算、安全传输、安全交互都在做相应的工作。像我们新华三,跟我们的生态一起,形成了像隐私计算体系、隐私计算的一体机、隐私计算的解决方案,还有和我们安全产品线形成的数据安全整体防护解决方案。

数据安全现在整体也在初期启动阶段,企业其实已经初步准备好了,现在需要政府的牵头建设单位来拉动大家一起做好这个顶层规划、顶层设计。我相信在这样的工程牵引下,中国可能会在信息安全、数据安全、数据安全法律法规体系的应用会更加完善,包括场景的丰富度。相信未来的3到5年,中国在这个(数据安全)领域内可能会走到前列去。

孙松儿:整个“东数西算”过程当中我们要分成三个部分(来看):第一部分,数据怎么样从东部安全地、不被劫持地传输到西部,这个传输过程当中的各种的安全的问题,安全的风险,都是需要考虑的。

第二是数据到了西部之后,在整个计算的过程当中,怎么样做到数据的合理使用,包括数据的加密存储,高效存储,这也是我们需要考虑的问题。第三,当所有的数据的算力计算完成之后,算出来的数据是需要供第三方使用,如何使数据在流转过程当中实现合理、合规、有序的访问控制,即谁能够有合法的权限来访问这些数据,也是需要考虑的一个问题。

业界认为,“东数西算”中的数据安全,我们需要建设一个“数盾”工程,新华三对于“数盾”工程也有自己的一套理解和相关的解决方案。

朱弢:我理解“东数西算”,它主要还是涉及到比如说数据的处理,然后数据的传输,以及数据的再使用,所有的数据其实都涉及到这个过程,“东数西算”会有特别的挑战吗?

刘新民:它的挑战是大规模集中,是在政府大的“新基建”工程的牵引下,第一次这么大规模的集中。第二,超远距离的集中,而且是各大行业真正集中,只要你的市场的需求引领合适,你的场景定义确切,它就会引申出来数据的跨领域的使用,从而对数据安全提出非常苛刻的要求。我觉得挑战是空前的。

孙松儿:在东数西算的整个“数盾”过程当中,数据安全的建设与常规项目相比还是有很大的区别。区别在几个方面:

第一,超高速性能的传输,超高速、超大容量数据的传输,包括加密存储。这种加密存储,它的量级跟我们常规的企业数据或者一些政府数据,完全不在一个数量级。第二,怎么样在这种不同的数量级上,把数据安全做好,这是第二个问题。第三个问题,我们说“东数西算”里面更多的是各行各业的数据。带了标签的数据进来大集中之后,那么一定会涉及到这么多数据的跨部门、跨领域融合共享的问题。所以从这个角度来看,不同领域,不同业务部门的不同类别数据,如何做到对它合理合规的使用,这也是一个我们所面临比较大的挑战。

林维:我觉得主要是因为规模太大,特别庞大的国家的战略。但它同时会涉及到超大规模的数据迁徙流动。这个过程当中,数据安全如何得到保护,这是第一个问题。第二个,跟过去的分散型的数据安全不同的地方在于,它是一个大规模的集中。那么数据集中之后所带来的数据安全问题跟分散的数据相比,它的难度是一个指数级的增长。第三个,因为不同的数据都堆放在一起了,基于数据而产生的经济效益也是指数级增长的。那么对如此规模的经济效益及其产生的利益,我们如何去进行分配、进行共享、进行切割?这也是我觉得未来数据的法律制度所需要提前考虑的。那么在这个过程中,不仅仅是利益分配和共享的问题,还涉及到安全责任的分配问题。哪个环节,哪个流程,不同的主体都应该承担各自不同的法律责任,对于数据安全应该提供什么样的保障,这个要进行清晰的明确。

刘新民:我觉得在整个中国社会深度数字化过程中,针对这些出现的问题,不管是信息安全问题、数字安全问题,还是更远一点的元宇宙,以及数字身份问题等等。我觉得法律在数据安全相应方面的体系会愈发完善,实际上也会对“东数西算”这样一个体系提供比较好的保护。

孙松儿:“东数西算”是一个比较大的工程,它也不是一蹴而就的。在这个建设过程中我觉得从国家的标准到一些行业的标准,我觉得相关标准落地的工作肯定会做的,不一定能够升级成法律法规,但比如说数据安全的建设标准、建设规划、建设指南,这些东西我觉得会在实践过程中慢慢地形成,发布后对行业也是有指导意义的。

数据安全无边界

朱弢:哪些行业对于数据安全的需求是最强烈的?对于这些行业来说,在解决方案上,能提供一些建议吗?

林维:我个人以为,比如说金融和政务这两类数据,一方面是因为我们上报的金融数据里面类型特别多,而且直接跟公民的财产安全和其他法律权益联系得非常紧密。另外一方面,我为什么讲有关政府的数据,是因为除了某个行业、某个领域的数据以外,其实在我们政府机构里面保留了我们公民的大量数据,并且不光是公民的,也包括企业主体的,各行各业。

那么如何保证这些数据的安全,避免数据泄露、灭失以及被非法利用。我想特别强调的是:在我们疫情防控三年的时间里,由此产生了大量的个人信息数据,尤其是在这个过程当中信息收集和储存的主体五花八门。所说的建议我想无非也就是说要严格地按照我们《网络安全法》《数据安全法》,甚至有的数据还可能会构成国家秘密,那么也要用有关《国家安全法》《中华人民共和国保守国家秘密法》等等法律法规加以规制。更重要的是我们的政府、各级机构的工作人员,一定要有有关数据安全保障的法律意识,对自己所担负的数据安全保障的法律义务,以及由此产生的严重后果要有清晰深刻的认识。

刘新民:讲一个我觉得跟个人相关的,像民生领域的购物。不管你是网上购物还是社区购物、超市购物等等,会产生很多个人信息的获取问题。那么这些信息使用不当或者说采集数据的渠道出现问题时,就会产生个人的信息泄露。

所以说在这种民生领域广泛存在个人信息的问题、个人账号的问题。这种情况下,就会有可能你的信息被别人使用,可能导致财产损失,近几年这种案件是非常多的。所以这样一个领域,针对终端信息的各种保护可能还真是需要加强监控,加强监管,加强追溯。

朱弢:那作为这个终端来说,它有什么动力去保护,比如说它更规范地去采集?

刘新民:所以我觉得需要的是威慑。是有法律在那里头威慑你的。你可以不做,但如果出现溯源溯责到你的时候,你承担重大的刑事责任、法律责任,这样它就有动力去做了。

林维:刚才刘总主要讲的个人信息问题,那《个人信息保护法》其实对此有明确的规定。另外《刑法》也增加了有关侵害公民个人信息的一些犯罪,所以它也按照不同的这个类型做了规定,有些是属于重要数据,有些敏感数据的,多少条以上它就要构成犯罪。通过这样的外部机制,去倒逼它和强化它履行数据安全保障的法律义务。

孙松儿:我们可以看到,数据安全的风险历来就有,但为什么在现阶段突然变得这么热,或者大家关注度这么高,我觉得主要还是有两个方面的原因。

第一个,现阶段的数据流动,相比过去有了长足进步,无论是在政府还是在金融行业,以及像智慧城市等等行业。现在数据流动起来之后,对数据的跨境、跨域的综合处理,这方面业务的应用已成为一种趋势。在这种情况下,只要数据流动起来,就会出现流动数据的安全风险。

另外一个原因,我觉得主要还是因为云计算的发展。云计算的发展导致现在数据没有边界了,或者我们说网络没有边界了,安全也没有边界了。既然安全没有边界,在这种情况下,对数据安全的使用和应用就会存在相关的问题。

以隐私计算平衡数据的价值和安全

朱弢:刚才几位都提到了金融,如何从不同的层面去加强金融领域的数据安全保障,以便能够提供更好更安全的服务?另外就是隐私计算越来越被充分的应用,能不能分享一下隐私计算的现状和未来的趋势?

刘新民:在对个人信息的管理上我觉得金融是尤其要强调的。谁去查阅你的客户信息你都得知道,都得要有记录,要有日志。所以在客户信息管理上,我是建议首先无纸化。

第二个,所有的查阅必须得有记录,所有的操作也得可循。最重要的就是客户信息,有了客户信息,你其他的事都容易操作的。

说到隐私计算,金融行业它是需要交叉计算的。转帐、跨行业的金融征信查询、各种跨境交易,所有的支付其实最终还是走金融的。它还涉及更多的其他混业计算等等,所以金融行业自身中,跨机构的计算要求是越来越多的,所以如何去保证它?至少目前来看,普遍认为隐私计算是一种解决方案。我觉得现在对于隐私计算来说是一个快速发展期,技术本身是一个快速发展期,但是针对场景的落地还是在一个初期。

林维:个人隐私、个人信息和数据利用之间需要实现一个大体的平衡。因为如果我们单纯地为了保护个人的信息,最后导致数据不可用,那我们的数字经济产业它也就不存在了。但反过来我们又不可能说完全地牺牲个人隐私、个人信息,只是为了促进数字经济。

那怎么样能够实现这种平衡,既保护了个人信息或者个人隐私,同时数据有能作为生产要素实现它的价值。使数据能够“可用不可见”,使我们一些敏感的数据能够脱敏,使我们一些人身数据能够去身份化,在匿名化之后仍然能妥当地发挥数据的价值,实现整个数据产业的增长,发挥数据在我们整个管理当中的作用。

我觉得隐私计算就是一个特别好的手段。当然,怎么样能够实现这样的平衡,可能取决于未来隐私计算的技术发展到什么样的程度,总之就是要实现个人隐私的保护,同时又能够实现数据的可用。另外一个我想着重提及的就是未来会造成特别大困扰,以及我们应当提前进行法律上规定的,就是数据的跨域跨境尤其跨境流动的问题。在这种全球化的过程当中,我们的数据无时不刻地进行流动,企业的行为,跨国投资等等,都有可能会产生数据。如何实现比如说本地的存储,本地的使用包括隐私计算、脱敏等等这些问题,这些国家也正在讨论制订有关数据跨境流动的文件,但是我想应该加快这方面的速度,因为这个问题已经迫在眉睫了。

孙松儿:针对金融行业的数据安全风险,我们现在主要由几个方面切入。现阶段大家的共识,金融行业的数据安全风险,主要涉及到三个方面:数据的质量、数据的交换以及数据的共享。

在数据质量这部分,我们更多说的是需要做一些数据的分级分类处理。在数据交换方面,刚才提到的隐私计算,里面涉及到联邦学习、同态加密、区块链,也是目前比较好的一个方案。另外数据共享部分,刚才林校长也提到了,在现阶段金融数据共享的时候,一方面是内部的业务系统,惠民部分App的共享;另一方面还是数据等跨境跨域的流转。数据跨境跨域流转的解决方案也是比较大的一个课题,换句话说其中对金融整体性风险的控制方案,现在也是目前解决数据安全风险比较有效的途径。另外,谈到金融的数据安全风险还有一点是需要提及的,就是要想方设法提升用户侧的数据安全风险防范意识。

打开财经APP, 查看更多精彩内容
更多相关评论 
打开财经APP, 查看更多精彩内容
热门推荐
打开财经APP, 查看更多精彩内容