根據權威數據顯示，2022年世界范圍的數據泄露事件比2021年增長了14%，這反映出當前個人信息安全所面臨的嚴峻形勢，亟待解決。針對數據泄露，中國電科數據安全高級專家就當前形勢進行了分析解讀，并給出了具體的“五步解決方案”。
【資料圖】
當前形勢
2021年，我國數據安全相關法規政策密集出臺，包括《數據安全法》《個人信息保護法》等，逐步搭建起國家數據安全治理體系框架，并提出了對企業數據安全活動進行一系列的規范要求。與法律法規相伴隨的是一系列堅決果斷的數據安全合規執法，以確保相關的法律法規得到落實。
然而，與嚴峻的數據安全攻擊形勢和日益嚴格的數據安全監管形勢不相匹配的是企業不成熟、不完備、不與業務發展相適應的安全管理防護體系和能力。由于多種原因，企業在開展安全合規工作時常采取點狀建設、突擊建設等方式，這種缺乏體系性合規建設的應對模式，很容易使得個人信息保護環節出現漏洞，這也是目前個人信息泄露事件頻發的原因。
解決之道
電科網安針對目前企業個人信息保護的難點和痛點，為企業提出了一套個人信息合規體系性建議思路。面對節奏不一、維度不同的企業合規義務，統一維度，通過構建一套統一的合規基礎來應對企業個人信息合規問題。總體上看，數據安全合規工作應以風險可控為目標，在扎實的合規對象識別基礎上，通過開展詳盡的風險識別，確立風險項清單，并對照清單，選定改進與增強措施，實現持續監控與提升。
第一步：通過建立詳盡的數據清單和數據處理活動清單，厘清保護對象
數據安全法律法規管理和保護的對象是數據，是通過對不同的數據處理活動提出對應的要求來實現的。因此，電科網安在梳理企業數據安全合規體系時，不僅僅需要梳理出數據清單，同時也要梳理出數據處理活動清單，這樣才能對標到法律法規的要求，開展相應的合規工作。
第二步：基于清單識別數據處理活動中的兩類風險
可將企業存在的風險分為兩類：一類是數據本身的機密性、完整性、可用性遭到破壞的安全風險；另一類是數據處理活動與法律法規要求不相符而造成的合規風險。
通過數據處理活動清單定位到數據處理的系統，從而識別安全風險。數據處理活動清單可直接定位到合規關注的活動，從而識別合規風險。
第三步：比對風險和已采取的措施，評價對風險的管控是否已經充分
風險識別是通過系統與活動存在的潛在風險源分析與已采取的安全增強措施相對比來實現的。可通過建立安全風險識別庫、合規風險識別庫作為分析的標靶，并結合已采取的安全增強或補救措施進行綜合評估，識別現有風險。
第四步：依據場景和數據的特點為識別的風險選取恰當的改進措施
相同的技術手段，有不同的實現方式，其能夠發揮的保護作用也不盡相同。企業應根據不同數據的不同特點，在成本允許的條件下盡可能地采取與該類數據及其處理活動的場景相適應的安全措施，最大限度地防范風險的發生。
應將評價標準從 “保障安全”轉化為“風險充分可知可控”。在具體的評價場景中，時常遇到數據安全性和數據有用性相互沖突矛盾的場景。這時往往需要以風險或危害可控為基本原則進行權衡。在控制風險或危害的前提下，結合業務目標和數據特性，選擇合適的措施來盡可能實現預期目的。這時，企業合規的路徑已經轉化：由原來保障數據的安全性不受破壞，轉化成企業已在成本允許的條件下盡可能地采取了安全措施，將風險發生的可能或造成的危害限制在可控范圍，也即風險充分可知可控。
第五步：為數據活動及其風險的識別與管控建立持續機制
合規體系的運行離不開良好的運營機制。在數據合規體系運營中，應以構建持續的合規對象識別、持續合規風險評估機制為重點。
在數字經濟時代，電科網安致力于成為“以密碼為核心的數據智能安全服務商”。基于密碼思維，將數據安全業務覆蓋互聯網個人信息保護合規、政務及行業數據安全治理、數據流通等領域，切實肩負起電科網安“護航數字中國，守衛智慧社會”的使命。
