11月14日，國家網信辦發(fā)布了《網絡數據安全管理條例（征求意見稿）》（以下簡稱《條例》），從多個維度對網絡數據安全的合規(guī)性提出了明確要求。
作為中國新一代信息安全技術企業(yè)的代表廠商，明朝萬達憑借在數據安全領域豐富的項目實踐和經驗，結合對網絡安全、數據安全相關法律法規(guī)的深入解析，針對此次網信部所發(fā)布《條例》中的合規(guī)性紅線劃定，以及對合規(guī)性難點分析，提出了一項有效平衡企業(yè)數據資產使用的便利性、安全性、合規(guī)性的產品——Chinasec（安元）數據安全合規(guī)檢查系統(tǒng)。
該系統(tǒng)支持用戶能夠對標現有基礎的等保、數據安全法以及各行業(yè)的數據分類分級實踐標準與數據安全管理行業(yè)管理規(guī)定，提前對辦公終端電腦、服務器等主機環(huán)境中存量數據文件進行合規(guī)性、安全性自檢。提前發(fā)現數據安全管理的風險并由用戶進行響應的合規(guī)性處置，幫助企業(yè)用戶平衡敏感數據資產的生產效率與合規(guī)風險。除此之外本系統(tǒng)還支持協助監(jiān)管機構、企業(yè)內部審計部門等對目標企業(yè)用戶高效的進行數據安全合規(guī)性檢查，并輸出數據安全合規(guī)性檢查報告。
合規(guī)性紅線劃定
1、用管并重 安全優(yōu)先
《征求意見稿》從一般規(guī)定、個人信息保護、重要數據安全、數據跨境安全管理、互聯網平臺運營者義務、監(jiān)督管理、法律責任等維度，對網絡數據安全管理進行了高細粒度的規(guī)范?！墩髑笠庖姼濉返谌龡l闡明了我國網絡數據安全管理的原則，立足“堅持促進數據開發(fā)利用與保障數據安全并重”，并且進一步要求“加強數據安全防護能力建設，保障數據依法有序自由流動，促進數據依法合理有效利用” 。重點突出了數據的安全性，體現出網絡數據安全紅線不可觸碰的使用原則和管理宗旨，進一步把網絡數據的安全放在了第一位，也映射到網絡空間作為國家主權的體現，在確保合規(guī)、安全的情況下，促進數據的開發(fā)利用。
2、分類分級 重點保護
第五條明確規(guī)定：“國家建立數據分類分級保護制度。按照數據對國家安全、公共利益或者個人、組織合法權益的影響和重要程度，將數據分為一般數據、重要數據、核心數據，不同級別的數據采取不同的保護措施”?！皣?b>對個人信息和重要數據進行重點保護，對核心數據實行嚴格保護”。這是對《數據安全法》和《個人信息保護法》關于數據安全的進一步規(guī)范和明確。同時要求“各地區(qū)、各部門應當按照國家數據分類分級要求，對本地區(qū)、本部門以及相關行業(yè)、領域的數據進行分類分級管理”，可見對于數據分類分級管理，各地區(qū)、各部門不能僅限于《征求意見稿》的三大數據分類，而是要根據不同地區(qū)、不同行業(yè)制定出針對性和個性化的數據分類分級標準，使分級管理合乎規(guī)范。
3、數據交易有序流通
《征求意見稿》對于數據的安全交易奠定了制度基礎：第七條規(guī)定“國家推動公共數據開放、共享，促進數據開發(fā)利用，并依法對公共數據實施監(jiān)督管理”。“國家建立健全數據交易管理制度，明確數據交易機構設立、運行標準，規(guī)范數據流通交易行為，確保數據依法有序流通”?？梢妵覍⒋罅ㄔO數據開放共享和開發(fā)利用，并且會逐步完善相關的制度，確保數據的交易有法可依、有法必依、違法必究。體現出數據交易的合規(guī)性保障和安全性的底線思維，在管理制度和安全技術成熟的情況下，推進數據交易的合規(guī)性開展。
4、技術措施紅線要求
對于數據處理者的數據安全管理和數據安全事件的應對，提出了更高的要求，從被動應對的消極保安全到自主自發(fā)的積極保安全，提出了基于風險管理的紅線要求：第九條“數據處理者應當采取備份、加密、訪問控制等必要措施，保障數據免遭泄露、竊取、篡改、毀損、丟失、非法使用，應對數據安全事件，防范針對和利用數據的違法犯罪活動，維護數據的完整性、保密性、可用性”。“數據處理者應當按照網絡安全等級保護的要求，加強數據處理系統(tǒng)、數據傳輸網絡、數據存儲環(huán)境等安全防護，處理重要數據的系統(tǒng)原則上應當滿足三級以上網絡安全等級保護和關鍵信息基礎設施安全保護要求，處理核心數據的系統(tǒng)依照有關規(guī)定從嚴保護”?！皵祿幚碚邞?b>使用密碼對重要數據和核心數據進行保護”。第十一條 數據處理者應當建立數據安全應急處置機制，發(fā)生數據安全事件時及時啟動應急響應機制，采取措施防止危害擴大，消除安全隱患。
5、數據跨境安全網關
近年來，數據跨境成為數據安全熱點和難題，《征求意見稿》對于數據跨境進行了安全網關的設計：第四十一條“國家建立數據跨境安全網關，對來源于中華人民共和國境外、法律和行政法規(guī)禁止發(fā)布或者傳輸的信息予以阻斷傳播”。“任何個人和組織不得提供用于穿透、繞過數據跨境安全網關的程序、工具、線路等，不得為穿透、繞過數據跨境安全網關提供互聯網接入、服務器托管、技術支持、傳播推廣、支付結算、應用下載等服務”。同時，對于從事跨境數據活動的數據處理者，從技術和管理措施兩個維度明確了監(jiān)管要求：第四十二條“數據處理者從事跨境數據活動應當按照國家數據跨境安全監(jiān)管要求，建立健全相關技術和管理措施”。
6、違法必究 執(zhí)法必嚴
《征求意見稿》首先明確了監(jiān)管部門和其對應的職能，第五十五條“國家網信部門負責統(tǒng)籌協調數據安全和相關監(jiān)督管理工作”?！肮矙C關、國家安全機關等在各自職責范圍內承擔數據安全監(jiān)管職責”?！肮I(yè)、電信、交通、金融、自然資源、衛(wèi)生健康、教育、科技等主管部門承擔本行業(yè)、本領域數據安全監(jiān)管職責”。對于違法追究方面，除了常規(guī)的警告、罰款、責令暫停相關業(yè)務、停業(yè)整頓、吊銷相關業(yè)務許可證或者吊銷營業(yè)執(zhí)照、沒收違法所得，特別值得注意的是已經上升至刑法高度：第七十條“數據處理者違反本條例規(guī)定，給他人造成損害的，依法承擔民事責任；構成違反治安管理行為的，依法給予治安管理處罰；構成犯罪的，依法追究刑事責任”。
合規(guī)性難點分析
隨著全球數字經濟的蓬勃發(fā)展，數據已成為核心生產要素，是國家重要資產和基礎戰(zhàn)略資源。此次發(fā)布的《征求意見稿》為網絡數據安全管理提供了強有力的支撐，對各行業(yè)在處理使用數據資產起到重要指導作用。而《征求意見稿》想要真正執(zhí)行落地，僅依靠明確管理要求是遠遠不夠的，尤其是當下數據體量呈可持續(xù)性爆炸式增長，還必須依靠技術革新和技術措施來達到合規(guī)性要求的輔助管理。
合規(guī)性難點在于：從技術維度考量，企業(yè)既要保護敏感數據資產的安全，保持符合監(jiān)管合規(guī)性；又要在不改變現有業(yè)務流程的前提下快速部署實施，降低自身員工生產過程中使用數據資產的操作復雜度，提升生產效率。
Chinasec（安元）數據安全合規(guī)檢查系統(tǒng)
Chinasec（安元）數據安全合規(guī)檢查系統(tǒng)采用內容分析引擎，利用關鍵字、正則表達式、文件指紋、自然語言處理等規(guī)則，對主機環(huán)境下的結構化數據/非結構化數據文件進行解析與內容掃描，對照各行業(yè)數據分類分級規(guī)章制度和數據安全管理法律法規(guī)進行合規(guī)性檢查。本系統(tǒng)支持對主機的數據安全合規(guī)性和可信計算環(huán)境進行一鍵檢查，支持自動/手工調整輸出的數據安全合規(guī)檢查報告。
系統(tǒng)架構
核心優(yōu)勢
· 支持主流環(huán)境，滿足國產化需求
明朝萬達數據安全合規(guī)檢查系統(tǒng)除了支持標準的Win7、Win10、Win Server環(huán)境外，還與龍芯、鯤鵬等CPU架構服務器、統(tǒng)信V20、銀河麒麟V10等操作系統(tǒng)完成兼容性測試并取得互認證證書，正在與更多的終端、服務器和操作系統(tǒng)廠商建立廣泛的生態(tài)互認。
· 支持主流數據格式內容掃描
明朝萬達數據安全合規(guī)檢查系統(tǒng)支持對終端、服務器本地存儲的數據內容進行識別，支持識別結構化數據和非結構化數據的各種格式，主要包括：
結構化數據：支持對關系型數據庫如Oracle、MySQL等數據庫類型，非關系型數據庫如Redis，NoSQL等。
非結構化數據：支持對Microsoft Word/Excel/PowerPoint、Openoffice、WPS等辦公文檔，ZIP、ISO、RAR、EML等壓縮文件，JPG、JPEG、PNG、BMP、TIFF圖片文件，PDF等電子出版格式以及其它以文本形式存儲的格式進行內容掃描。
· 基于行業(yè)的數據安全合規(guī)性檢查
根據公司多年來在各行業(yè)眾多企業(yè)數據安全管理項目的實踐經驗，結合國家各行業(yè)針對其行業(yè)自身數據資產特性而梳理制定的數據分類分級、數據安全合規(guī)性自檢標準規(guī)范，本系統(tǒng)梳理了各個行業(yè)對應的數據安全合規(guī)檢查落地的內容掃描規(guī)則數據集并根據授權進行了預置。
本系統(tǒng)重點支持針對政府（公、檢、法、稅務等）、軍工、金融（銀行、證券、保險）、通信、互聯網、工業(yè)制造（汽車、化工、電力）等行業(yè)的數據安全合規(guī)檢查。
· 支持主機可信計算環(huán)境檢測
本系統(tǒng)根據最新等保2.0標準的要求，支持對主機環(huán)境進行一鍵安全檢測，快速采集系統(tǒng)的硬件和操作系統(tǒng)信息、漏洞補丁版本信息、網絡控制準入信息、用戶口令配置信息、安裝軟件列表、本地安全策略、殺毒與防火墻配置信息等確保主機環(huán)境的安全性，并支持掃描終端本地緩存的歷史網絡訪問記錄、USB外設操作記錄、文件操作記錄、郵箱緩存數據記錄等，查看是否存在違規(guī)信息。
