生产要素视角下的数据安全分析

生产要素视角下的数据安全分析

编者按

数据作为生产要素，其在国民生产中的价值越来越重要。

在以往的普遍定义中，主要的生产要素包括劳动力、土地、资本等。但在

2020年4月中共中央、国务院发布的《关于构建更加完善的要素市场化配置体

制机制的意见》中，明确要进行市场化配置的要素主要有五种：土地、劳动力、

资本、技术、数据。可见，数据作为生产要素，其在国民生产中的价值越来越重

要。

目录

编者按.................................................................1

目录...................................................................1

1.I口..............♦2

2.数据流转中的安全要点.............................................3

2.1.数据收集安全..................................................4

2.2.数据存储安全..................................................4

2.3.数据生产和使用安全...........................................5

2.4.数据出境安全..................................................6

2.5.组织安全建设..................................................6

3.国家数据安全治理体系.............................................7

3.1.监管趋势......................................................7

3.2.监管体系......................................................7

3.3.主体法律责任..................................................8

4.数据作为生产要素的新风险.........................................8

5.新形势下数据安全的核心场景......................................10

6.企业数据安全发展解决之道.........................................11

第1页共14页

6.1.厘清数据安全现状，加强数据安全体系建设......................11

6.2.加强数据开发业务和数据安全并重发展..........................12

6.3.动态平衡数据安全价值和成本控制..............................12

7.新形势下数据安全新的技术方向.....................................12

7.1.数据自动化识别和分类分级技术................................12

7.2.数据主体归集和授权映射技术..................................12

7.3.基于数据可用的数据匿名化技术................................13

7.4.融合和计算衍生数据血缘关系图谱..............................13

7.5.数据使用流转关系映射.........................................13

7.6.数据关联资产识别与数据风险模型..............................14

1.引言

2（）2（）年7月2日，第十三届全国人大常委会第二十次会议审议了《数据安

全法（草案）》（以下简称“草案”），并公开征求意见。草案共51条，分七章，依

次为总则、数据安全与发展、数据安全制度、数据安全保护义务、政务数据安全

与开放、法律责任和附则，将对在中华人民共和国境内开展数据活动的组织、个

人进行行为约束和指导。

自从2020年4月国务院发布的《关于构建更加完善的要素市场化配置体制

机制的意见》（以下简称《意见》）正式将数据作为继“土地、劳动力、资本、技

术”后的第五种生产要素，数据作为新型生产要素被写进了《意见》中，明确表

示了数据是一种新型的生产要素，己参与到社会生产活动的各个环节中，带来价

值增值，且与其他要素合作可以起到倍增作用，对于市场经济价值创造发挥着重

要作用。

早在2016年11月7日，第十二届全国人民代表大会常务委员会第二十四次

会议即已经通过《网络安全法》，自2017年6月1日起施行。该法首次以法律

形式对数据安全提出了要求。

在此后的几年，各类数据安全相关法律法规相继发布：2017年，发布了首

个针对个人信息数据安全的标准GB/T35273-2017《信息技术安全个人信息安全

第2页共14页

规范》；2019年，接连发布《数据安全管理办法（征求意见稿）》（5月28日）、《个

人信息出境安全评估办法（征求意见稿）》（6月13日）和《儿童个人信息网络保护

规定》（8月24日）；202（）年，四部委联合发布了关于印发《App违法违规收集

使用个人信息行为认定方法》的通知；2020年发布的《民法典》首次将数据和

网络虚拟财产纳入保护范围，赋予数据一定的财产属性。

为了更好地阐述草案可能会对数据活动参与者产生的深刻影响，本文将从数

据全生命周期流转各环节深度剖析草案内容，并对草案建立的国家数据安全治理

体系以及企业数据安全治理提出笔者的一些看法。

2.数据流转中的安全要点

首先，草案首次在法律上对数据、数据活动和数据安全给出了明确定义，明

确了企业数据安全治埋对象，确立了国家数据安全监管和执法范围，为我国数据

安全长久发展提供了度量依据和标准。

其次，草案强调数据经济的重要性，以及其与数据安全之间的动态平衡。草

案承认了数据流动的重要特性，肯定数据有序自由流动的价值，通过对国家总体

大数据战略的实施、数据基础设施的建设、数据在各行各业的创新应用发展、数

据开发利用新技术的大力支持，以及数据经济发展规划的政策支持等方式，树立

了数据经济在国民经济中的核心地位，促进数据作为重要生产要素在生产活动中

的不可替代性，是数据安全需要进行保护的对象。

在大数据时代，任何企业或者开展业务经营都需要借助数据这个媒介来传递

信息，满足业务需求，实现业务功能。

而数据作为生产要素，需要具备三个特质：

（1）数据参与生产过程，并创造价值。数据会参与到价值增值的过程中，且

无法被取消

（可以被替代，但相对替代方案有经济成本优势）；而为了参与生产过程，该

事物可能需要提前被采集和初步加工（消耗一定的成本）使其能更好地参与生产

和使用，必要时需要建立储备体系。

（2）数据具有权属属性。即数据具有一定的获取成本。同土地、劳动力、技

术和资本这些生产要素一样，数据越稀缺，其获取成本越高。

第3页共14页

（3）数据具备流转特性。数据本身不具有价值，只有通过数据流转，参与到

社会生产过程中，才能产生价值。

作为企业来说,数据同样是维持企业生产运营的最重要生产要素之一。因此,

草案对企业需要满足提出了一些基本要求，只有在满足这些要求的前提下，数据

才能发挥最大作用。为了更好地阐述草案对企业的要求，本文将按照数据流转全

生命周期进行解读。

2.1.数据收集安全

数据采集是企业获得数据资源的基础，即企业在权属清晰的情况下，在权属

授权同意的情况下进行采集并保证采集的手段和方式合规，不得窃取或者以其他

非法方式获取数据。并且，企业应从自身出发，根据最小必要原则收集和使用数

据，不得超过法律和行政法规规定的目的和范围外收集和使用数据（草案第二十

九条），尤其是数据交易中介服务机构，需要求数据提供方说明数据来源，审核

交易双方的身份，并留存审核、交易记录（草案第三十条）。

上述要求意味着企业应对数据收集全面情况有着清晰的认知，尤其是企业目

前梳理收集的敏感信息类型、数量，以及收集和传输敏感数据的API接口和应

用程序，即明确数据源头和数据接收方。

只有在明确数据源头和数据接收方的基础上，企业才能针对性地对数据源头

进行评估，进而进行管控，在法律法规允许的范围内进行数据采集工作。例如，

对第三方数据源进行背景调查、抽查第三方获得的个人信息主体授权同意记录或

者与第三方数据源厂商签订数据来源合法正当性承诺函等。

2.2.数据存储安全

数据采集后经过清洗即会存入数据库中（以结构化数据为例），而不同数据根

据敏感程度不同应受到不同程度的安全保护。若未对存储中的数据进行适当治安

全防护，则可能造成数据安全事件。例如，将敏感数据以明文形式存储，一旦数

据库被拖库，则所有敏感数据将直接暴露。又或者，企业是否按照监管要求将个

人生理识别信息与其他个人信息分开存储，等等。

根据草案第十九条规定，国家、地区、部门和行业都将根据本企业数据重要

程度和一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共

利益或者公民、组织合法权益造成的危害程度，对数据实行分级分类保护（草案

第4页共14页

第十九条)。并且，若企业业务涉及政务数据的委托存储，则应加强数据安全保

护，提升数据存储安全要求，保障政务数据的存储安全(第三十七条)。

因此，企业应对数据资产进行全面扫描和梳理，建立数据资产保护清单，梳

理企业数据，尤其是敏感数据，并进行数据分类分级，不同级别的数据映射不同

的安全管理措施和技术手段。

23数据生产和使用安全

数据生产和使用包括但不限于数据的使用、委托处理、共享、转让、公开披

露等环节。

数据生产和使用环节，是数据安全治理最重要的环节之一，在这个环节极易

因为如下问题造成数据泄漏：

(1)身份认证漏洞。如未对传输敏感数据的API接口和应用系统设置身份认

证机制，或者身份认证机制薄弱，未使用双因素认证等。

(2)敏感数据暴露面过大。如数据可以被内部人员或外部第三方访问获取到

的应用层界面。

(3)敏感数据暴露面脆弱性未管理。如未脱敏、伪脱敏或脱敏规范不合规、

API接口缺乏身份认证、敏感数据非必要透出或透出过多等问题。

(4)数据权限管理有缺陷。如对数据访问权限进行最小化的权限分配，实施

细粒度(字段级)的访问控制策略。

(5)数据账号管理不完善。如暴露了密码或已被破解的账号、账号共用、未

回收的特权账号等。

(6)未建立审计和监控机制。如对数据的异常访问行为和异常数据流动未进

行识别和监控、预警。

因此，企业应定期对数据风险展开全面评估工作，风险评估报告应当包括本

组织掌握的重要数据的种类、数量、收集、存储、加工、使用数据的情况，面临

的数据安全风险及其应对措施等。尤其是对于重要数据处理服务提供商，草案将

强制性要求定期开展风险评估工作，并向主管部门进行报送(草案第二十八条)。

对于数据的使用目的，企业应按照业务开展所需目的和范围进行数据的生产

和使用，若需要将数据用于其他用途，则应建立在获得合法授权，且这些目的和

范围需在法律和行政法规规定的范围内进行的前提下(草案第二十九条)。

第5页共14页

若企业承担政务数据的加工处理、共享和转让等工作，则应严格履行数据安

全保护义务，因为企业承受需要通过国家机关的审核，并承受来自国家机关的监

督（草案三十七条）。

2.4.数据出境安全

草案将此法适用范围限制于我国境内数据活动（草案第二条），但是数据作为

生产要素，也将积极参与社会各方面的生产活动，因此草案也积极鼓励数据跨境

流动。但是，草案对数据跨境流动提出了严格要求，即数据跨境安全、自由流动

（草案第十条），并且对属于管制物项的数据依法实施出口管制（草案第二十三条）。

在此基础上，草案第三十三条还对数据境内决法和域外执法权进行了限定，

对境外执法机构要求调取存储于我国境内的数据，需采取先报告，后审批，批准

后方可提供（国际条约规定除外）。

所以，对于企业来说，数据是否在流转过程中出境，数据出境是否合规，出

境数据是否加密，是否存在重要数据出境等数据出境风险，是企业的关注重点。

并且，企业应具备发现如上出境风险的能力，例如，对流转中的敏感数据、传输

和接受数据的接口和应用系统等的数据流量进行分析和监控，设立出境臼名单机

制，一旦发现数据违规出境即可预警。

2.5.组织安全建设

草案的发布，不仅给予了企业很多技术层面的指导，也给企业数据安全管理

提出了很多要求。

首先，企业应设立数据安全负责人和管理机构，落实数据安全保护责任，尤

其是重要数据所在企事业单位（草案第二十五条）。

其次，企业应建立健全全流程数据安全管理制度（草案第四条、第二十五条）,

包括国家机关（第三十六条），将数据安全保护责任落实到企业生产经营各个环

节。这些制度包括了数据安全总体治理纲要、数据分类分级规范、数据安全审计

制度、数据脱敏展示规范等。

然后，企业应开展数据安全教育培训活动（草案第二十五条），将数据安全与

企业的培训考核制度有机结合，通过提高数据安全意识来提升企业总体数据安全

治理水平。

最后，企业应建立健全数据安全应急处置和数据泄漏溯源机制。在草案第二

第6页共14页

十条规定，国家会建立数据安全应急处置机制，在数据安全事件发生时启动数据

安全应急预案（草案第二十一条）。

因此，企业也应建立数据安全应急响应机制，更重要的是，建立数据泄漏溯

源机制，一旦发生数据安全事件，即可启动应急预案，尤其是可以通过对应用层

数据的异常流向、用户异常访问行为、数据访问频次异常、数据获取量异常等数

据流转异常现象，进行应用层数据自动化分析溯源，快速定位数据泄漏源头和数

据泄漏影响面，将安全事件给组织带来的负面影响降低到最小。

3.国家数据安全治理体系

3.1.监管趋势

除了上述的草案布于企业的数据安全要求外，草案还创新性地提出了很多国

家层面的新管理制度、安全机制和政策指向“

在数据开发层面，国家将建立健全数据交易管理制度，培育数据交易市场（草

案第十七条），将大力推进数据开发和数据安全相关标准体系的建设（草案第十五

条），标准体系可能参考国外制度及标准，以大力促进数据经济的开发、应用和

发展。

在数据安全层面，国家将建立集中统一、高效权威的数据安全风险评估、报

告、信息共享、监测预警机制，加强数据安全风险监测和预警（草案第二十条）。

此外，国家还将建立数据安全应急处置机制（草案第二十一条）、数据安全审查制

度（草案第二十二条）。

值得注意的是，国家还将大力推进数据安全检测评估、认证等服务的发展（草

案第十六条）。意味着数据安全认证和测评将进入我国的认证体系中，同现在的

ISO体系认证和信息安全测评资质一样，成为企业核心竞争力的一个重要组成部

分。因此，在企业进行数据安全认证之前，应先对本企业的数据安全技术保护现

状、管理现状和合规现状，进行严格自评和独立第三方评估，并根据差距分析进

行完善。

3.2.监管体系

在草案中，数据安全参与方从上到下可以分为：国家安全领导机构（最高决

策机构）；部门（数据安全监管部门）；以及数据活动参与者。例如，企事业单位、

第7页共14页

国家机关、各参与方的关系如图1所示:

国家安全领导机构

最岛决策机构

数据安全监管部门

数据活动参与希国家机关［在线数据处理叫中标/Ji

拽测号@原海函安宜堤科iff公这

图1企事业单位、国家机关、各参与方的关系图

3.3.主体法律责任

在草案中，对不同数据活动参与者若未履行数据安全保护义务可能承担为法

律责任进行了明确，见表lo

表1《数据安全法（草案）》中不同场景下不同主题对应的法律责任

主体责任

处罚原因责任主体主管人员责任对应法未

直接负责

未履行数抠安全保护义费令改正,给予号3：可以

开展数据活动的组五千元以上五万元以卜

务或后入采取必要的安并处万元以上十万斤以第四十二二

织、个人罚款

全措施卜司款

拒不改正或者造成人员开展数据活动的组十万斤以上百万元以F•万元以上十万元以卜

第四十

数据泄漏等严重后果的织、个人罚款破

责令改正，没收违法庙得.

处违法所得倍以上十倍

一万元以上十万元以5

II法来朦数据交易数据交切中介机构以卜制款；无违法所得.第四十三条

处十万元以上白,万方以罚款

卜罚款.并吊销自业执照

货令改正或名予以取缔.

未取得小可或不令没收违法所得.处违兴所

需经"业务il可或者•万元以上十万元以卜

指冉从率数据6外得一倍以上十倍以卜罚款；第四十囤条

备案的数据服务机构

等数抠联务T作没TT违法所得的.处一万m款

元以上百万元以卜罚款

不履行数据女全保护义

国家机关依法给于处分第四十五扑

务的无

玩忽职守、法用职权、

徇私舞琼（尚未构成犯国家T作人员依法给予处分无第四十六条

事的）

授如号◎以丹莉安瑞点料詈公选

4.数据作为生产要素的新风险

在这一时代背景下，如何认知作为生产要素的数据安全体系？和传统的信息

作为数据载体的数据安全又有什么区别？

第8页共14页

传统的数据安全是把信息当作一种具备所有权的资产。因此，传统的数据安

全，基本延伸了信息安全的几个核心原则：信息的保密性、真实性、完整性（CIA

三要素）。但是，数据作为生产要素，还会产生新的、传统的数据安全体系难以

覆盖的情形：

市场化机制下，会发生数据的所有权和使用开发权分离的情形，带来数据安

全的严峻性。例如用户为了使用厂商的服务，只能授权厂商采集自己的数据。厂

商使用这些数据还可以用于其他的各项可以获得利益的数据活动，甚至可以售卖

用户的数据给其他组织与机构而获得收益，但作为数据的所有者用户，并不能分

享这些收益，甚至可能因为这些数据活动导致个人的隐私权被侵犯。但由于这些

损失并非采集了数据的数据控制方的利益损失，对这些数据实施保护，会成为数

据控制方的成本，甚至影响数据控制方的利益，因此数据控制方自身并无积极动

力去实施数据安全保护。所以，一方面需要法律做出明确的，对数据控制者需要

负担的从其他数据主体采集和获取的数据的安全保护义务，同时又需要鼓励数据

通过市场化进行资源配置发挥其价值，这需要法律界定好各类数据的权属与利益

分配机制。

垄断了大量数据生产要素的企业或组织，可能会利用其数据带来的市场优势

地位，对个体或小作坊为主的用户、员工、其他资源提供方进行不公平的市场活

动，特别是平台型企业的大数据杀熟，强制要求商家进行二选一等垄断行为。新

形势下，如何限制平台型巨头企业滥用数据，已成为国家治理的重要部分。

数据作为生产要素会广泛流通，但如果不加以控制，有可能导致数据被敌对

势力获取。这些数据可能被敌对势力用于多种可能损坏我们国家安全利益的用

途：如根据数据研发竞争的互联网产品、通过数据进行特定领域的情报挖掘、基

因数据用于生物战研究、通过分析大量群体的个人偏好选择进行特定的内容投递

来影响这些群体的政治偏好等，例如剑桥分析事件。必须考虑如何在促进牛产力

发展的同时，控制好数据出境的风险。

因此，政府相关部门一直在推动各种数据安全相关的立法活动。2021年4

月26日，全国人大第二次审议的个人信息保护法草案，站在数据主体的权利保

护和隐私安全的角度，对数据控制者提出了相应的要求，而数据安全法草案则站

在国家安全和社会安全角度，对数据的出境、数据活动的一系列安全保障措施如

数据风险评估、数据风险监测.数据风险事件的应急响应，对数据控制者提出了

第9页共14页

相应的要求。

虽然法律上逐步在明确数据控制者的责任和义务，保护数据所有者的各项权

益。但是数据在流转迁移过程中衍生出来的各种数据的复杂权属关系，目前在法

律上还是很难界定。另外，即使是明确了权属的数据安全保护，在现实中需要保

护和控制的环境或场景，都是发生在数据被开发利用、业务流通和共享交换的环

节上。传统的数据安全体系，因为受限于以往数据安全是敏感信息在数据载体上

的安全视角，大多是在数据载体这一层（数据存储层），围绕着数据库或终端提供

数据安全解决方案。但随着数据应用的发展，很多的数据处理活动会在业务应用

系统以及大数据平台上展开。因此，传统的数据安全方案，难以满足在这些数据

活动中，实施相应的数据安全的动态保护；具体而言，就是按照数据安全法草案

里提到的，除了对数据实施分类分级保护外，还需要建立起围绕着数据活动场景

的数据风险的评估、监测体系。

5.新形势下数据安全的核心场景

因此，在数据作为生产要素的背景下，可以把新形势下的数据安全划分为五

个核心场景：

1.数据的采集安全。这是近年来国家App治理的重点。主要通过规范App

厂商隐私政策，通过信息明示和主体授权，约束App厂商的滥采和承诺对个人

数据的保护义务，保障数据主体的权益。

2.数据在存储载体上的安全。即数据在非使用流转状态中的安全，其数据安

全的风险重点是对数据的非授权访问。除了传统数据安全体系的数据加密、脱敏、

对数据的访问控制，对数据载体的非法外发的控制外，还需要实施数据本体资产

的分类分级，以数据分类分级实施访问控制策略，同时围绕合规要求和隐私或策

进行增强性数据保护：如对数据的跨境存储、个人数据的保存时限、生物识别数

据的保护上进行管理和技术上的加强。

3.数据在业务过程中使用和流转的安全。一方面，数据被各种业务应用以及

相关的业务参与方基于各类业务需求进行访问，很难通过严格的访问措施实施数

据层面细粒度的保护策略，另一方面，由于业务变动较快，需要通过自动化的数

据风险监测和测评手段，来实现对动态数据流转中的数据风险控制。首先，需要

第10页共14页

将数据本体的分类分级进一步映射到业务应用涉及的涉敏业务和系统、涉敏暴露

面上，才能更好地发现保护缺失的地方和映射相应的数据安全保护策略。然后，

结合具体业务活动使用的数据类型、敏感级别、量级、脆弱性风险、合规要求、

网络环境、数据流向和数据访问行为，通过风险分析模型，自动化发现、评估和

持续监测数据风险并做出进一步的响应。

4.企业将来自自身各个业务系统甚至合作伙伴的大量数据打通汇集之后，可

以依据这些数据本身作为业务，在大数据平台以及相关的终端上，展开数据分析、

挖掘和建模活动。这一类数据活动的数据安全，除了传统的数据操作行为审计外,

会产生几个新的数据安全场景：一是数据汇集与融合时，需要遵循各类合规性要

求，如按照主体的授权进行数据相关处理的管控。二是对数据模型进行深度的审

计，数据模型接触和使用的数据、是否符合模型相关的安全等级策略和主体授权

要求。而在数据融合、衍生、分析建模中，共享导出和出境，如确需未授权的数

据参与运算，应做到数据的匿名化。

5.对个人主体数据进行归一化的处理。按照个人信息保护法草案，个人数据

主体被法定了包括知情权、决定权、查询权、更正权、删除权等权益。采集了个

人数据的机构，需要依法保障个人数据主体对自身数据的权益主张，机构需要设

立相应的组织响应个人用户的权益要求，并按相关要求对其个人数据进行相应的

处理。这要求相关组织能对个人主体数据进行归一化的处理，并明确了解这些数

据的采集和授权情况、数据实际用途、数据共享给第三方的情况，才能满足机构

个人信息保护的义务。

6.企业数据安全发展解决之道

6.1.厘清数据安全现状，加强数据安全体系建设

草案的发布，对企业的数据安全建设提出了很多数据安全方面的基本要求，

例如建立健全数据安全管理制度、数据分类分级等级、数据安全应急及溯源响应

机制，因此，企业应提前按照草案的基本要求对自身数据安全现状进行自查评估,

包括数据安全资产，数据资产的脆弱性、威胁和风险，以及企业目前已经采取的

数据安全措施，对本企业数据安全现状进行全面自查，在自查能力范围外的，还

可借助第三方评估机构进行数据安全他评，全面掌握企业数据资产及相关风险，

第11页共14页

满足法律法规要求，减少因监管处罚而给业务发展带来的负面影响。

6.2.加强数据开发业务和数据安全并重发展

草案中反复提及数据生产要素的合理开发、有效利用，促进以数据为关健要

素的数字经济发展，建立健全数据安全协同治理体系，大力培养数据开发和数据

安全专业人才，大力支持数据开发和利用，维护数据安全和促进数据开发利用并

重，两者之间相辅相成，互为助益。数据经济的发展是数据安全的重要目标之一,

并且将通过法律形式落实到各省市的经济规划中，企业应抓住数据时代的发展机

遇，在积极开发数据经济潜能的基础上，有效利月数据安全技术和人才，业务为

安全助力，安全为业务赋能，实现业务和安全的生态平衡。

63动态平衡数据安全价值和成本控制

数据作为生产要素的数据安全，既关注当前的风险，也关注因为安全措施导

致的对数据生产过程的影响，因此需要权衡风险和价值之间的关系。不会为了完

全消灭风险而导致业务的较大影响，而是采用分层风险化解手段，用一些对生产

价值影响较轻的手段把风险降低到可接受的程度，再用一些风险对冲的手段去对

抗残余风险，最后整体达到风险可控，业务顺畅的理想状态。

7.新形势下数据安全新的技术方向

围绕着以上的场景，数据安全新的技术方向有以下几种。

7.1.数据自动化识别和分类分级技术

行业越来越认识到数据分类分级工作的迫切性，但是由于不同行业的业务差

异性带来数据的差异性，目前数据识别主要还依赖于人工，基于AI的自动化学

习面临较大的挑战。特别是数据库的结构化数据，由于业务逻辑和存储逻辑的分

离，在数据库中缺乏背景信息数据，导致目前还没有通用的自动化数据识别技术。

同时，每个行业对数据类别的安全