数据安全建设的准绳和参考标准
数据安全与发展 第十五条
本条旨在说明数据在公共服务的应用：
- 智慧城市的兴起，离不开大数据的公共服务应用。基于利用
第十五条 国家支持开发利用数据提升公共服务的 大数据建立的智能养老、残疾人服务等医疗卫健大数据的应 智能化水平。提供智能化公共服务，应当充分考虑 用将获得更有效的法律支持。 老年人、残疾人的需求，避免对老年人、残疾人的 未来的大数据应用要多关心弱势群体的使用，特别是不善于 日常生活造成障碍。
使用数字货币，数字证书，智能手机的老人家和残疾人士， 公共服务应用应该致力于傻瓜化、智能化、人性化的应用。
数据安全与发展 第十六条
本条旨在指引数据安全生态的发展：
- 本条通过立法支持有关数据安全技术的研究开发和应用，推
第十六条 国家支持数据开发利用和数据安全技术 广安全可信的网络安全产品和服务，保护数据安全技术知识 研究，鼓励数据开发利用和数据安全等领域的技术 产权，支持企业、研究机构和高校等参与与国家数据安全技 推广和商业创新，培育、发展数据开发利用和数据 术的创新项目。
安全产品、产业体系。
- 数据和数据安全要形成共生生态，通过数据的发展引导数据 安全的发展，数据的创新使用引导数据安全的创新，最终成 为新的产业。
数据安全与发展 第十七条
本条旨在促进数据安全的标准建立：
- 专业标准的制定是数据安全体系实施的基础，鼓励制定各行
第十七条 国家推进数据开发利用技术和数据安全 业、各领域的数据安全标准和实施指南，工信部、质量监督 标准体系建设。国务院标准化行政主管部门和国务 部等标准制定单位会根据数据安全技术的发展和数据产业的 院有关部门根据各自的职责，组织制定并适时修订 发展组织相关行业、学术机构、科研团体、高校及专家共同 有关数据开发利用技术、产品和数据安全相关标准。
开发相关数据安全标准。 国家支持企业、社会团体和教育、科研机构等参与标准制定。
数据安全与发展 第十八条
本条旨在指导数据安全的评估和认证：
- 数据是否安全应该有检测、评估的标准。后续应该会有相关 的数据安全成熟度或者数据安全评测标准的出台。与等级保
第十八条 国家促进数据安全检测评估、认证等服进行背书。
护一样，应该会有专门的数据安全评测认证公司对数据安全 务的发展，支持数据安全检测评估、认证等专业机构依法开展服务活动。
- 数据安全的评测应该会在有关部门、行业组织、企业、教育
国家支持有关部门、行业组织、企业、教育和科研
和科研机构、有关专业机构进行执行。同时，也会有大量的 机构、有关专业机构等在数据安全风险评估、防范、
协作以确保评测方法的有效性和落地性。 处置等方面开展协作。
- 未来的应用开发、安全产品应该都会有相关的数据安全评测 机制进行合格评定。具体评定基础根据《中华人民共和国认 证认可条例》 有关规定进行展开。
数据安全与发展 第十九条
本条旨在指导征信市场的规范性：
- 目前国内正规数据市场分为企业征信和个人征信两类。其中 企业征信国家认可的有135家征信机构，个人征信国家认可
第十九条 国家建立健全数据交易管理制度，规范
的为百行和朴道2家征信机构。 数据交易行为，培育数据交易市场。
- 目前征信地下市场较为混乱，数据交易已经形成灰色产业链 条。数据交易活动管理成为数据安全工作的焦点问题，从数 据的来源、 交付、使用、传递等环节的合法性问题必须通过 国家立法形成有效的规制。大数据下的“人物画像”造成的 大量隐私泄露都问题迫使全球针对数据的良性使用和交易活 动立法化，通过立法培育一个良性数据市场。
数据安全与发展第二十条
本条旨在指导数据安全人才的培养：
- 人才是第一位要素，国家创建网络空间安全学院培养网络安 全专业人才，弥补现有的人才缺口，随着数据安全问题的日
第二十条 国家支持教育、科研机构和企业等开展
益突出，网络安全不再是简单的攻防对抗问题，数据安全在 数据开发利用技术和数据安全相关教育和培训，采
业务领域的多元化问题尤为突出，专业的数据安全课程的建 取多种方式培养数据开发利用技术和数据安全专业
设与开发势在必行。
人才，促进人才交流。
- 企业结合自己的资金、技术和环境优势，与专业科研机构、 培训教育行业开发与企业相关的数据安全培训，在本行业和 本组织建立良好的人才培养计划，以便更好的支持数据安全 工作。
数据安全制度 第二十一条
**第二十一条 国家建立数据分类分级保护制度，根 **
据数据在经济社会发展中的重要程度，以及一旦遭 本条旨在指导数据的分级分类保护： 到篡改、破坏、泄露或者非法获取、非法利用，对 ◆ 目前已经有很多地方、行业制定了数据的分级分类地方标准
国家安全、公共利益或者个人、组织合法权益造成 和行业标准。例如《金融数据安全 数据安全分级指南》。未
来国家也要出台统一的数据安全分级分类标准。各行业、各 的危害程度，对数据实行分类分级保护。国家数据
企业也可以基于国家的标准进行扩展和完善。 安全工作协调机制统筹协调有关部门制定重要数据 ◆ 对于关键基础设施、重要民生等国家核心数据，会有更加严
目录，加强对重要数据的保护。 格的保护措施和标准进行管理。金融、能源、卫生等行业将
会是重中之重。 关系国家安全、国民经济命脉、重要民生、重大公
- 国家机关、敏感行业要确定自己的那些数据是敏感数据，各
共利益等数据属于国家核心数据，实行更加严格的 行业应在本法的规制下分析本行业业务数据特征，制定数据 管理制度。 分类分级标准和准则，并依据数据重要性程度建立数据资产
各地区、各部门应当按照数据分类分级保护制度， 清单，针对重要数据实施重点保护工作奠定基础。对于这些
敏感数据会有更加具体的保护措施，例如脱敏，加密，不允 确定本地区、本部门以及相关行业、领域的重要数
许上传至外网等。 据具体目录，对列入目录的数据进行重点保护。
数据安全制度 第二十二条
本条旨在指导数据的国家层面的风险管理工作：
- 国家已经出台《GBT 31722-2015 - ISO 27005-2008 信息
第二十二条 国家建立集中统一、高效权威的数据
技术 安全技术 信息安全风险管理》和《GBT 20984-2007 安全风险评估、报告、信息共享、监测预警机制。 信息安全技术 信息安全风险评估规范》等标准，对安全风险
国家数据安全工作协调机制统筹协调有关部门加强 的管理进行了指导。 数据安全风险信息的获取、分析、研判、预警工作。 ◆ 对于数据的安全风险管理指导尚未有相关标准，后续应该会
以上文的风险管理要求进行扩展。
- 有关部门应该是指网信办，其负有对安全情报的统筹协调职 能。当然，公安作为特殊部门，也有相关职能。
- 国家应该会加强风险情报的共享机制，安全风险有统一的出 口。行业也应该形成情报生态，通过各类情报共享机制加强 国家的安全风险的管理水平。
数据安全制度 第二十三条
本条旨在指导数据安全事件的应急处置工作：
- 《网络安全法》在第五十三、五十四、五十五条款中分别描述网络安全 事件的预案制定及演练、事件确认和事件处置与通报等活动。数据安全 事件发生后，组织应根据国家建立的数据安全应急处置机制对结合应急
第二十三条 国家建立数据安全应急处置机制。发
响应工作六大流程准备-确认-遏制-根除-恢复-跟踪总结，做好事件响 生数据安全事件，有关主管部门应当依法启动应急 应工作，同时建立事件通报、上报和披露机制。
- 《网络安全法》在第 4 章中明确规定监测预警与应急处置相关工作要求。
预案，采取相应的应急处置措施，防止危害扩大， 国家在《中华人民共和国突发事件应对法》、《中华人民共和国网络安 消除安全隐患，并及时向社会发布与公众有关的警 全法》、《国家突发公共事件总体应急预案》、《突发事件应急预案管
理办法》和《信息安全技术信息安全事件分类分级指南》（GB/Z 示信息。
20986-2007） 基础之上于 2017 年 4 月编制了《国家网络安全事件应 急响应预案》 ， 2017 年 11 月再次发布《公共互联网网络安全突发事 件应急预案》 。国家制定有关数据安全事件应急预案的工作将势在必 行。
- 应急响应工作是建立在风险评估基础之上，在应急响应准备阶段应切实 做好风险评估，以便客观有效的制定响应预案。根据《网络安全法》 第五十一条规定“国家建立网络安全监测预警和信息通报制度。国家网 信部门应当统筹协调有关部门加强网络安全信息收集、分析和通报工作， 按照规定统一发布网络安全监测预警信息。
数据安全制度 第二十四条
本条旨在指导数据安全事件的国家级别的安全审查工作：
第二十四条 国家建立数据安全审查制度，对影响 ◆ 只要从事和国家安全相关的工作都有可能导致数据安全的审 或者可能影响国家安全的数据处理活动进行国家安 查活动。相关数据处理活动在第三条中所描述有关“收集、
全审查。 存储、使用、加工、传输、提供、公开”全生命周期下任何
一个环节都会受到严格审查及监督。 依法作出的安全审查决定为最终决定。 ◆ 如果发现真的有相关数据安全事件，并且影响到国家安全，
网信办做出的结论就是最终结论。
数据安全制度 第二十五条
本条旨在说明国际合作的数据方面的出口要求：
第二十五条 国家对与维护国家安全和利益、履行 ◆ 根据《中华人民共和国出口管制法》 的要求，源代码、算法 国际义务相关的属于管制物项的数据依法实施出口 等技术资料列入管制范围，这些数据的出口企业需按照出口
管制。 管制法的要求执行。
- 本条款衔接《网络安全审查办法》 ,通过制定数据安全审查制 度进一步针对涉及国家安全数据的入境与离境活动实施审查 机制。
数据安全制度 第二十六条
本条旨在说明国际合作的数据方面的贸易摩擦的处理方式：
第二十六条 任何国家或者地区在与数据和数据开 ◆ 《中华人民共和国反外国制裁法（草案）》立法背景指出： 发利用技术等有关的投资、贸易等方面对中华人民 近些年来，某些西方国家为了遏制我国发展，利用涉台涉港
共和国采取歧视性的禁止、限制或者其他类似措施 涉藏涉疆涉海涉疫等问题对我进行遏制打压，粗暴干涉我国
内政，严重违反国际法和国际关系基本准则。为了维护我国 的，中华人民共和国可以根据实际情况对该国家或 的国家主权、安全、发展利益，有必要制定专门法律应对某
者地区对等采取措施。 些西方国家对我实施的所谓“单边制裁”，为对外斗争提供
法律支撑。
- 本法强调在数据开发利用技术中，对于他国歧视性措施我国 依据相关立法采取对等措施。例如国外用GDPR之类的法律 卡我们，不和我们好好做生意，我们就会采用对等措施怼回 去。
数据安全保护义务 第二十七条
第二十七条 开展数据处理活动应当依照法律、法 规的规定，建立健全全流程数据安全管理制度，组 织开展数据安全教育培训，采取相应的技术措施和 其他必要措施，保障数据安全。利用互联网等信息 网络开展数据处理活动，应当在网络安全等级保护 制度的基础上，履行上述数据安全保护义务。 重要数据的处理者应当明确数据安全负责人和管理 机构，落实数据安全保护责任。
本条旨在说明数据处理活动首先要通过管理制度进行安全保障：
- 首先要在组织中健全数据安全管理体系，包括数据处理流程 的安全管理流程、建立相关的数据安全管理机构及专职人员 负责数据安全具体工作，并监督、指导数据安全治理活动。 必要时可以引入零信任体系进行访问控制的防护。
- 全组织员工要有足够的数据安全管理意识，应该了解组织数 据的分级分类，了解自己在数据安全工作中应尽的义务与责 任，并理解数据安全对自身的影响和损害，使其成为
- 工作中忠实的执行者，并能够有足够的意识判断数据是否敏 感。组织高层的意识教育尤为重要，安全是一个自上而下的 活动，针对高层进行有关数据安全工作重要性及合规性要求 教育。
- 数据流出互联网的时候进行严格管控，确保敏感数据无法泄 露，参考等级保护要求，设置相关的防泄露系统。
- 组织对数据有直接责任，应该明确哪些数据类型为重要数据， 并依据“谁生产、谁负责”的原则进行主责，同时，对于数 据管理组织，也依据“谁主管、谁负责”的原则进行担责。
参考资料
红蓝攻防构建实战化网络安全防御体系
青藤云安全 2022攻防演练蓝队防守指南