融信暢談匯

在兩部法律的區別與聯系上，《數據安全法》主要側重于數據本身的安全保障和合 理利用的問題，規范了數據處理的活動主體，如在數據處理活動中所應遵從的數據安全的 發展策略、數據安全的保障義務、政務數據的安全和開放方式等?！秱€人信息保護法》則以“人格權 益“為核心，規范個人信息處理活動中規則、權利及義務的邊界。但在信息綜合量較大情況下，信 息處 理者應當結合其業務特點、行業特點、信息數據規模、信息數據種類等多重因素，綜合適用兩部法律。

在企業數據安全建設困難中，國內大部分網絡安全建設都是從合規建設出發， 比如等保、商密等，均已有健全的參照文獻及規范。數據安全雖已立法，但配套的文獻和規范還需要時間完善， 目前還存在“想做但是不知道怎么做”的局面?！稊祿踩ā返陌l布，讓企業明白數據安全建設的重要性， 并且學會從“數據處理”的維度重新規劃當前的數據安全建設。同時，我們如何在不推翻之前合規建 設的安全部分， 在現有安全建設的基礎上融入數據安全建設，是當前亟待解決的問題。

數據安全不同于網絡安全，不能用傳統網絡安全的思路處理數據安全問題。 如果說網絡安全是保安，那么數據安全就是貼身保鏢，需要結合客戶業務，全場景全流程解決安全問題。 因此，作為集成商也要及時學習新的知識，迎接新的挑戰，才能更好地為客戶服務。 在為客戶做項目時，我們首要遇到的是人才缺乏問題，數據安全專業領域人才少，客戶對數據安全和數據安全治理缺乏概念； 其二是缺乏標準，數據安全治理，最為重要的一步是對資產進行識別之后進行分類分級處理，但數據應該如何分類分級， 并沒有相應的標準。目前只有醫療、金融和證券出臺 了相關的數據分類分級標準，其他行業均為空白， 這是數據安全治理面臨的首要難題。

數據的分類分級無法做到統一標準，其主要原因是數據和業務的關聯性問題， 不同行業、不同企業其業務差異較大，有共性也有差異，具體分類分級的時候相互借鑒難度很大， 因此分類分級方法需要根據實際情況制定。目前比較公認的分級方法是四級分級，分類則可根據業務、 合規等因素進行區分。網絡安全建設需要全面轉變為自上而下的思維，遵循三同步原則，進行同步規劃、 同步建設、同步使用。治理方面包括統一的組織，建立跨部門的協作機制、統一執行資產清冊及清單管理、 統一制定管理制度及策略規則等。另外，在未來，企業需要著重考慮數據安全建設的閉環問題， 常態化治理、 持續性改進，做好數據安全治理與數據安全運營的配合，形成治理和運營的數據交互和改進閉環。

王奇飛先生提到天融信近幾年落地的數據安全治理、數據安全動態風險評估等技術皆是基于利用 優先為目標而持續發展，在天融信持續跟蹤研究的新技術方向上，現有的研究和實驗性數據安全技術， 比如密文計算、同態加密、安全多方計算、基于區塊鏈的數據安全、零知識證明等，在未來5年內有望在特定領域得 到廣泛的應用。 同時天融信也正持續與各地高校展開積極合作，希望這些前沿技術能有效解決大數據時代隱私保護等數據安全問題。