日前，《個人信息安全保護(hù)法》和《數(shù)據(jù)安全法》已完成第二次審議。對于企業(yè)來說，未來法規(guī)的正式頒布實(shí)施將會是把雙刃劍，一方面是可提高民眾的意識，利于推動數(shù)據(jù)安全各項(xiàng)工作的落地;另一方面則是利用法律的威懾力，對企業(yè)開展數(shù)據(jù)安全工作進(jìn)行有效約束。

如何做好數(shù)據(jù)全生命周期管理，一直是一個頭疼的課題。本文將對“數(shù)安法(草案)二次審議稿”中涉及企業(yè)數(shù)據(jù)全生命周期管理的合規(guī)要求進(jìn)行簡要分析。

法規(guī)背景

“數(shù)安法(草案)二次審議稿”一共七章五十一條，其中“總則”、“法律責(zé)任”及“附則”三章屬于常規(guī)章節(jié)，另外四個章節(jié)則圍繞“數(shù)據(jù)安全與發(fā)展、數(shù)據(jù)安全制度、數(shù)據(jù)安全保護(hù)義務(wù)、政務(wù)數(shù)據(jù)安全與開放”四個方面提出工作要求。

數(shù)據(jù)全生命周期安全合規(guī)要求

(1) 制度建立

建立健全全流程數(shù)據(jù)安全管理制度，落實(shí)數(shù)據(jù)安全保護(hù)責(zé)任，組織開展數(shù)據(jù)安全教育培訓(xùn)，采取相應(yīng)的技術(shù)措施和其他必要措施保障數(shù)據(jù)安全。

(2) 風(fēng)險監(jiān)測

對數(shù)據(jù)處理活動中出現(xiàn)的缺陷、漏洞等風(fēng)險，要釆取補(bǔ)救措施;發(fā)生數(shù)據(jù)安全事件要按規(guī)定上報。

(3) 風(fēng)險評估

對數(shù)據(jù)處理活動定期開展風(fēng)險評估并上報風(fēng)評報告。

(4) 收集使用

任何組織、個人收集數(shù)據(jù)必須釆取合法、正當(dāng)?shù)姆绞?，不得竊取或者以其他非法方式獲取數(shù)據(jù)。

法律、行政法規(guī)對收集、使用數(shù)據(jù)的目的、范圍有規(guī)定的，應(yīng)當(dāng)在法律、行政法規(guī)規(guī)定的目的和范圍內(nèi)收集、使用數(shù)據(jù)。

(5) 數(shù)據(jù)交易

數(shù)據(jù)服務(wù)商或交易機(jī)構(gòu)，要提供并說明數(shù)據(jù)來源證據(jù)，要審核相關(guān)人員身份并留存記錄。

(6) 存儲加工

委托他人存儲、加工或提供政務(wù)數(shù)據(jù)，要先審批，并做好監(jiān)督。

(7) 配合調(diào)查

要求依法配合公安、安全等部門進(jìn)行犯罪調(diào)查。境外執(zhí)法機(jī)構(gòu)要調(diào)取存儲在中國的數(shù)據(jù)，須先審核。

(8) 審批與監(jiān)督

委托他人建設(shè)、維護(hù)系統(tǒng)，或涉及存儲、加工數(shù)據(jù)，應(yīng)當(dāng)經(jīng)過嚴(yán)格的批準(zhǔn)程序，并監(jiān)督受托方、數(shù)據(jù)接收方履行相應(yīng)的數(shù)據(jù)安全保護(hù)義務(wù)。

以上八個方向作為數(shù)安法對企業(yè)落實(shí)數(shù)據(jù)安全生命周期管控的基本要求。

數(shù)據(jù)全生命周期安全實(shí)施建議

數(shù)據(jù)全生命周期涵蓋收集、傳輸、存儲、處理、共享、銷毀共六個階段，針對數(shù)據(jù)全生命周期的安全管理也是企業(yè)開展數(shù)據(jù)安全管理的核心和難點(diǎn)工作。

(1) 數(shù)據(jù)采集：

數(shù)據(jù)采集規(guī)范中要明確數(shù)據(jù)采集的目的、用途、方式、范圍、采集源、采集渠道等內(nèi)容，并對數(shù)據(jù)來源進(jìn)行源鑒別和記錄。制定明確的采集策略，只采集經(jīng)過授權(quán)的數(shù)據(jù)并進(jìn)行日志記錄。對數(shù)據(jù)采集過程中的風(fēng)險項(xiàng)進(jìn)行定義，形成數(shù)據(jù)采集風(fēng)險評估規(guī)范。數(shù)據(jù)采集全過程需要符合相關(guān)法律法規(guī)和監(jiān)管要求，做到合規(guī)合法的采集。

(2) 數(shù)據(jù)傳輸：

做好傳輸接口管控和監(jiān)測。建議對涉敏數(shù)據(jù)進(jìn)行加密傳輸，主要用到的是對稱加密算法和非對稱加密算法，推薦的對稱加密算法如：DES、IDEA、AES、SM1(國密算法)，非對稱加密算法如：RSA、ECC、SM2(國密算法)。

(3) 數(shù)據(jù)存儲：

重要數(shù)據(jù)境內(nèi)存儲，做好存儲介質(zhì)管理，建立數(shù)據(jù)存儲備份機(jī)制，并定期開展備份恢復(fù)演練。

(4) 數(shù)據(jù)處理：

嚴(yán)格遵循數(shù)據(jù)處理最小化、必要原則，明確數(shù)據(jù)的處理和使用規(guī)范，確保員工只能訪問職責(zé)所需的最少夠用的敏感數(shù)據(jù)。對數(shù)據(jù)進(jìn)行操作時，應(yīng)做好去標(biāo)識化處理，明確數(shù)據(jù)脫敏的業(yè)務(wù)場景和統(tǒng)一使用適合的脫敏技術(shù)。

(5) 數(shù)據(jù)共享：

一是建立數(shù)據(jù)共享規(guī)范，共享前應(yīng)進(jìn)行嚴(yán)格的審批并存檔，同時開展個人信息安全影響評估;二是共享前開展風(fēng)險評估(記錄留存3年)，與共享的接口調(diào)用方簽訂合作協(xié)議;三是開展共享監(jiān)測和審計，數(shù)據(jù)導(dǎo)入導(dǎo)出應(yīng)進(jìn)行嚴(yán)格的審批和監(jiān)控，建立數(shù)據(jù)交換和共享審核流程和監(jiān)管平臺，以確保數(shù)據(jù)對于數(shù)據(jù)共享的所有操作和行為進(jìn)行日志記錄，并對高危行為進(jìn)行風(fēng)險識別和管控。

(6) 數(shù)據(jù)銷毀：

應(yīng)建立數(shù)據(jù)銷毀機(jī)制，明確存儲介質(zhì)刪除方法，數(shù)據(jù)銷毀需由領(lǐng)導(dǎo)審批，同時采用可靠的技術(shù)手段，確保被刪除和銷毀的用戶個人電子信息不能被再次還原。針對不同的存儲介質(zhì)和設(shè)備有其不可逆的銷毀技術(shù)及流程，建立銷毀監(jiān)察機(jī)制，嚴(yán)防數(shù)據(jù)銷毀階段可能出現(xiàn)的數(shù)據(jù)泄露問題。

數(shù)據(jù)銷毀包含物理層面和邏輯層面的銷毀，按照處理成本、復(fù)雜性和安全性由低到高的順序，將數(shù)據(jù)銷毀方式分為三個級別：

• 一級銷毀方式：在軟件系統(tǒng)層刪除數(shù)據(jù);
• 二級銷毀方式：在存儲介質(zhì)層清除數(shù)據(jù);
• 三級銷毀方式：物理破壞數(shù)據(jù)及其存儲介質(zhì)。

在對數(shù)據(jù)全生命周期監(jiān)管的同時，為了對數(shù)據(jù)實(shí)現(xiàn)監(jiān)控和審計，數(shù)據(jù)分級分類必不可少。在數(shù)據(jù)分級分類之前，需要通過數(shù)據(jù)測繪來發(fā)現(xiàn)敏感數(shù)據(jù)，以及數(shù)據(jù)主要存儲的位置。對數(shù)據(jù)進(jìn)行結(jié)構(gòu)化分級分類分級，實(shí)現(xiàn)對數(shù)據(jù)資產(chǎn)安全進(jìn)行敏感分級管理，并依據(jù)各級別部署相對應(yīng)的數(shù)據(jù)安全策略，以保障數(shù)據(jù)資產(chǎn)全生命周期過程中，數(shù)據(jù)的保密性、完整性、真實(shí)性和可用性。

【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】

戳這里，看該作者更多好文