前言：寻找写作灵感？中文期刊网用心挑选的数据治理中安全保障措施的思考，希望能为您的阅读和创作带来灵感，欢迎大家阅读并分享。
摘要：数据安全治理目前仍存在管理体系、共享制度、安全意识等方面不足，在数据安全战略的指导下，应通过数据治理来确保数据处于有效、合法的状态；再通过建设数据安全治理等相关组织，制定数据安全相关制度规范，构建数据安全技术体系，建设数据安全人才队伍梯队等措施，以期完善全生命周期的数据安全治理体系，充分保护关键信息数据，保证数据合理合法安全使用。
关键词：数据治理；数据安全；数据全生命周期管理
1研究背景和现状
1.1研究背景
数据是参与分配的生产要素，2020年4月，中共中央、国务院印发《关于构建更加完善的要素市场化配置体制机制的意见》明确加快培育数据要素市场，推进政府数据开放共享、提升社会数据资源价值、加强数据资源整合和安全保护[1]。2021年9月1日起实施的《中华人民共和国数据安全法》多次提及数据安全治理，明确指出“数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。”“维护数据安全，应当坚持总体国家安全观，建立健全数据安全治理体系，提高数据安全保障能力。”数据安全治理是围绕“数据安全使用”的愿景，构建数据安全防护、数据敏感信息管理、数据合法利用三大目标的技术保障体系，从而达到“让数据使用更安全”的目标[2]。
1.2数据安全现状
当今，各行业的信息化水平均处于快速发展中的状态，继信息技术之后，数据已经成了信息化建设过程中的核心资产。为了保障企事业单位信息化的发展成果[3]，数据资产需要通过合理的处理、使用并保证其安全，甚至还可以产生出更具有价值与创新性的成果。以高校为例，“互联网+”环境下的高校信息化，业务交叉使得各领域边界的划分日益模糊。网络接入方式多样化、各类信息数据公开透明化，关键数据容易被递归、溯源、重组。数据归口众多、时间跨度较长，数据面临泄露、勒索攻击等安全问题，主要表现在以下几点：（1）高校个人信息泄露频繁发生高校在业务活动中掌握的大量个人信息，也是地下产业链中认为较有价值的数据。泄露的主要方式一是利用爬虫技术进行外部获取，二是通过嗅探数据库或者系统漏洞进行直接拷贝，三是管理人员安全意识淡薄，直接将数据暴露在互联网。如2020年，河南郑州西亚斯学院近两万名学生信息遭到泄露，包括姓名、身份证号、专业、宿舍门牌号等二十余项信息，学生收到大面积、高频率的骚扰信息。（2）高价值敏感数据篡改高校财务、科研成果、人事档案等高价值敏感的数据，也逐渐成为黑客获取贩卖及篡改的对象。例如，某大学在校学生，利用该校的校园卡充值系统的漏洞，将其破解并在两年内盗刷近两万余元，最终被北京海淀警方抓获并刑拘。四川某高校大四毕业生，通过利用该校教务系统漏洞，获取该系统的管理员权限，并收取报酬来帮助该校学生修改考试成绩，最终被法院判处有期徒刑五年。（3）新技术应用及外部企业滥采滥用新应用在极大促进生产力发展和人民生活便利的同时，也带来了安全方面的不确定性。例如人工智能对分散数据的关联分析和深度发掘，可引发侵犯用户隐私、危害国家数据安全等传统安全风险。由于数据收集使用可创新商业营收模式，进而实现利益最大化，因此数据成了互联网企业发展和盈利的核心引擎，成了各个平台企业追逐的商业目标。高校教师及大学生是新技术应用最容易接受的群体，加之大学生自我保护意识较弱，个人信息容易被滥采滥用，最终导致其权益受到侵犯。
2当前数据安全治理的缺陷分析
2.1缺乏统一的数据分级分类体系
对于企事业单位而言，数据类型繁多，数据规模不断扩大，数据分级分类缺乏统一的体系，数据源的鉴别、数据质量的把控、数据使用传播范围的界定、关键敏感数据的识别存在一定难度。
2.2缺乏完善的全周期数据安全管理体系
数据安全管理需涵盖数据治理的全周期，对数据治理的技术[4]、人员、管理等都有较高的要求。随着《网络安全法》的实施，企事业单位对网络安全更为重视，也制定了相应的内部网络安全管理办法，大部分企事业单位将数据安全作为网络安全的一部分纳入安全管理中，但普遍操作性欠佳，也不够全面。
2.3数据权属不分，数据安全意识较为薄弱
数据全周期治理过程中，数据权属较难界定，在发生数据泄露时，难以溯源定责。数据管理人员及用户的数据安全意识仍较为薄弱，随着数据采集、共享的深入，关联分析用户数据容易造成关键敏感信息的泄露。
3改进措施探讨
3.1安全保障措施的目标
安全保障措施的目标是通过政府、行业组织、科研机构、企业、个人等多元组织共治构建一个数据安全治理体系[3]，体系包括数据治理安全架构、综合治理模型、数据安全保障能力、关键信息保护等核心要素。[4]
3.2数据治理安全架构设计
数据治理过程中，可以将安全措施分为三个层面，包括过程管理、通用能力、保障体系、三个层面[5]。在过程管理层面，如图1所示，可以采用“数据采集、数据传输、数据存储、数据处理、数据交换、数据销毁”[6]6大阶段的全生命周期管理，并提出相应的核心管控内容和系统化的安全防护要求。在通用能力层面，可以通过多个技术角度来发展好数据安全的通用能力，包括数据安全合规管理、数据血缘管理、认证加密管理等等，从而能够更好地支撑上层的数据安全治理体系。在保障体系层面，也可以从以下多个方面来建立数据安全组织保障与数据安全运营模式，包括组织架构、制度体系、人员管理、数据安全运营等等。在架构最顶层，各行业需要结合各自的实际情况，以及各层级的监管、主管部门的要求，制定数据安全原则，促使产生数据安全所需求的核心驱动力。在数据采集环节，从数据的源头确保数据采集合理、合规、合法。在数据的内部流转环节，从数据的传输、存储、使用、销毁等环节确保数据的安全性、可用性、机密性[7]。在数据的外部共享环节，确保数据的安全合规共享，避免数据泄露等系统性数据安全风险。
3.3数据安全管理制度的建立
在保护数据安全与信息化建设的工作中，相关的主要管理部门需要发挥数据管理、监测的职责，保护好本行业的数据安全，加强相关保护措施。因此，各行业单位需要建立相关的数据安全管理机构，设立相关机构部门的数据安全负责人，从而能够确保数据安全责任的落实。再者，需要通过了解数据资产的总体情况，分析重点数据的相关架构深度，建立重点数据的索引目录，从而做到对重点数据进行分门别类。最后通过建立相关的数据安全应急处置机制与应急处理预案，并按需进行定期演练。数据合规管理制度应在法律法规合规的基础上，从业务数据安全需求、数据安全风险控制需要出发，围绕数据的安全性、可用性、机密性进行制定。如表1所示，管理制度文件可以分为四个层面，一、二级文件作为上层管理要求，应具备科学性、合理性、完备性及普适性。三、四级文件则是对上层管理要求的细化解读[8]，用于指导具体业务场景的具体工作。
3.4关键信息数据保护
要定义单位关键信息数据，需先摸清相关数据信息的业务使用场景，充分了解并标识出关信息数据的范围，并对相关关键数据信息进行风险评估，从而落实关键信息数据的保护方案并跟踪其效果。各行业单位可以根据自身情况，设计确立建设各时期保护关键信息数据的短中长期目标[9]，并在满足国内外规章制度的前提条件下，确保信息数据的生命周期安全。关键信息保护会涉及单位的多个方面，既要实施管理和技术的双重战略，又需要各部门及不同角色之间的紧密配合。以个人隐私数据为例，根据当前国内的各行业情况，个人隐私数据的监察管理重点主要包括以下这几个方面：在未经用户同意违规收集个人隐私数据、强制用户提供权限来正常使用软件、用户隐私数据保护不足、违法建立用户画像并用其进行广告退款、未成年人信息保护失效以及擅自使用用户个人隐私信息等等。而在我国的《个人信息保护法》中，规定了用户个人对自身的个人信息具有决定权、知情权、更正补充权、查阅复制权、删除权等权利；并且，对在用户个人同意以外的场合，也规定了需要合法处理用户个人信息的情形[10]。可以根据优先级进行排序，根据短中长期设定保护的目标。
4结束语
数据作为企事业单位的信息化核心战略资产，深刻影响企事业单位决策、组织和业务流程，以抵御攻击为中心，以区域隔离、安全域划分为目标，以边界防护为主要安全策略的传统的安全保障措施已经满足不了数据治理安全的需求。只有建立和完善一套“合规+安全”的数据治理安全体系，才能确保数据在采集、存储、使用、流转及销毁的全生命周期过程中能够符合国家的法律法规要求，同时确保数据的完整性、保密性及可用性，让数据在安全的流通中创造价值。
作者：胡贞华 陈雪花 单位：韶关学院信息工程学院 韶关学院智能工程学院
