基于全生命周期的公共數據安全治理研究

于同同,王鵬皓

(1.黑龍江大學 信息管理學院,哈爾濱 150080;2.伊春森工鐵力林業局有限責任公司,黑龍江 伊春 153000)

一、引言

隨著數字化進程的加速,數據成為驅動經濟社會發展的新引擎。2020年12月國家將數據作為生產要素寫入政府文件,表明其在社會經濟生產活動中發揮著越來越重要的作用,尤其體現在公共數據開放利用方面,為數字經濟的價值提升注入新活力。數據要素在賦能數字經濟蓬勃發展的同時,數字經濟依靠本身具有的新一代數字技術,也能提高公共數據安全防護能力,降低公共數據泄露風險,為公共數據安全治理全生命周期中的各個環節提供先進技術和工具。2022年12月黨中央國務院印發《關于構建數據基礎制度更好發揮數據要素作用的意見》(以下簡稱《數據二十條》),其中明確指出要推進實施公共數據確權授權機制,注重公共數據效能和經濟活力的提升。同時在地方政府層面,2022年1月浙江省出臺關于公共數據的第一部地方性法規文件——《浙江省公共數據條例》,為公共數據共享、公共數據開發與利用分別設置專章,旨在加強公共數據管理;2021年12月江蘇省頒布了《江蘇省公共數據管理辦法》,提出支持推動公共數據資源在諸多領域的開發與利用,提升公共數據資源價值。社會在享有公共數據共享開放利用帶來價值的同時,也面臨一系列安全問題,公共數據泄露與濫用、公共數據壟斷、公共數據權屬不明等公共數據安全問題錯綜復雜,阻礙了經濟發展和社會治理能力提升。同時,公共數據安全事件層出不窮,南昌某高校師生個人信息在境外互聯網上被公開售賣、45億國內快遞信息遭泄露等事件暴露了數據安全面臨巨大挑戰。因此,公共數據安全治理成為亟待解決的問題,在深入貫徹總體國家安全觀的大背景下,構建公共數據安全治理路徑成為解決實踐進程問題的重要一環。

目前,數據安全方面,學界和業界的研究主要集中于“計算機數據安全”“大數據安全”“個人數據安全”“網絡數據安全”“跨境數據安全”等,較少有學者從公共數據的視角對其安全問題進行深入研究;公共數據方面,其研究也較多集中于“公共數據政策”“公共數據授權運營”“公共數據開放”“公共數據開放平臺”等有關公共數據賦能數字化經濟、推進治理能力現代化的熱點,鮮有學者從數據安全治理的角度對公共數據治理進行研究。為避免公共數據安全問題的發生,本文從公共數據全生命周期的視角出發,在公共數據多主體參與的基礎上,構建出公共數據采集、歸集、開放、保護、監管“五位一體”的安全治理框架,并提出相應的治理路徑。

二、公共數據安全治理研究現狀

(一)國內研究現狀

國內對公共數據安全的研究主要涵蓋以下方面:第一,各領域公共數據安全防護和治理研究。丁紅發等人從數據全生命周期的視角出發研究政府數據開發過程中的數據安全與隱私保護,認為需要完善技術與管理相結合的法律體系和加強相應的技術標準規范約束[1];張凱圍繞金融數據安全治理,提出應明確數據安全保護原則并且建立數據標準體系,筑牢數據治理安全底線[2];臧國全等人從通信數據敏感性和隱私安全出發,構建出隱私計量模型,為通信數據分類分級保護提供支持[3]。第二,公共數據安全治理技術路徑研究。馮登國等人從大數據收集、存儲、使用的過程視角出發,總結出面向數據安全與隱私保護的若干關鍵技術[4];楊力提出公共數據流通中“技術法規”應與“技術標準”相結合[5];黃寧玉等人設計出基于可信計算機技術的安全存儲方案,以解決公共數據平臺上公共數據安全存儲問題[6]。第三,公共數據安全治理政策制度研究。張濤以數據政策為樣本,研究數據開放與數據安全協同的關系[7];馬海群基于政策演化思路對美國數據安全政策進行研究,指出了美國數據安全政策演化路徑,為我國數據安全政策的制定提供借鑒[8];劉春年則對中美及歐盟三方數據安全政策進行對比分析,旨在促進我國數據安全政策內容的完善[9]。

(二) 國外研究現狀

國外圍繞數據安全主題出臺了一系列的政策。美國聯邦政府早在2011年就出臺了《個人數據隱私和安全法》,提出保護個人數據信息安全;2021年出臺《消費者數據隱私和安全法》,要求數據運營者規范處理收集到的敏感數據;2021年出臺《安全數據法》,強調保護消費者隱私權和數據權。2018年歐盟出臺《通用數據保護條例》,旨在保護個人數據的隱私安全。國外學者圍繞公共數據安全也展開了各方面的研究, 如Jones概述了公共人口數據領域的核心概念和主要挑戰,通過國際案例研究向我們展示了如何應對挑戰以及在促進安全、社會可接受的人口數據用于公共利益方面應吸取的經驗教訓[10];Beagrie 聚焦數據安全保護成本與收益方面進行研究[11];Batuhan 通過研究人肉搜索中使用個人數據的重要程度,指出原則上個人數據只能在得到數據主體明確同意的情況下,并且是在特殊條件下才能進行處理[12]。

綜上所述,國內外均較為關注公共數據安全,尤其是公共數據安全相關制度建設方面。然而目前從全生命周期視角展開的研究還比較少,因此本文從全生命周期視角出發探索公共數據安全治理路徑,以期為數字經濟發展提供引擎動力。

三、基于全生命周期的公共數據安全治理

(一)公共數據內涵

“公共數據”一詞最早來自“政務信息”這一概念[13],后經過“政府信息資源”—“政府數據”—“政務數據”的演變,最后以“公共數據”的概念形式呈現。政府信息是指行政機關在履行行政管理職能過程中制作或者獲取的,以一定形式記錄、保存的信息,這在2007年《中華人民共和國政府信息公開條例》中有明確規定。2016年國務院頒布的《政務信息資源共享管理暫行辦法》中提到政務信息資源的概念,它是指政務部門在履行職責過程中制作或獲取的,以一定形式記錄、保存的文件、資料、圖表和數據等各類信息資源,包括政務部門直接或通過第三方依法采集、依法授權管理和因履行職責需要依托政務信息系統形成的信息資源等。關于政府數據,2021年《貴陽市政府數據共享開放實施辦法》中將其定義為行政機關在履行職責過程中制作或者獲取的,以一定形式記錄、保存的文件、資料、圖表等各類數據資源。關于政務數據,在2016年《福建省政務數據管理辦法》中定義為國家機關、事業單位、社會團體或者其他依法經授權、受委托的具有公共管理職能的組織和公共服務企業(以下統稱數據生產應用單位)在履行職責過程中采集和獲取的或者通過特許經營、購買服務等方式開展信息化建設和應用所產生的數據。關于公共數據,2019年《上海市公共數據開放暫行辦法》和2020年《浙江省公共數據開放與安全管理暫行辦法》將其定義為各級行政機關以及履行公共管理和服務職能的事業單位(以下統稱公共管理和服務機構)在依法履職過程中采集和產生的各類數據資源;2021年《北京市公共數據管理辦法》稱公共數據是指具有公共使用價值的,不涉及國家秘密、商業秘密和個人隱私的,依托計算機信息系統記錄和保存的各類數據。此外也有部分學者對公共數據內涵進行研究,袁康指出“公共數據是公權力機關履職過程中收集和保存的個人信息”[14];李揚指出“公共數據”體現的是社會屬性,本質上是公共屬性的產品[15]。綜上所述,目前國家層面還沒有關于公共數據專門的立法,對于公共數據統一的定義也尚未形成,隨著數據中心云計算、區塊鏈等新一代信息通信技術的涌現,公共數據的內涵與外延逐漸擴大,地方政府層面也開始更多關注公共數據,并頒布相應的政策法規,其中公共數據安全就是政策法規闡述的重要方面。

(二)公共數據安全治理政策分析

根據公共數據內涵的發展歷程可知,公共數據安全是數據安全的下位概念,公共數據安全治理的獨特之處在于公共數據具有社會屬性。凡是為解決公共事務問題所制定的政策均為公共政策,政策主體可以被界定為直接或間接地參與政策制定過程的個人、團體或組織,本文探討的公共數據安全治理政策包含法律、部門規章、地方性法規、地方政府規章、標準等(如表1所示)。

表1 我國公共數據安全治理政策(部分)

我國公共數據安全治理政策的制定總體上可以分成三個階段:萌芽期、發展期、完善期。萌芽期是2016年之前,我國關于公共數據安全治理的政策文件具有分散性和非計劃性,例如:2004年的《傳染病防治法》中規定“疾病預防控制機構、醫療機構不得泄露涉及個人隱私的有關信息、資料”;2011年《刑法》修正案中明確規定“非法獲取公民個人信息罪”。2017年《中華人民共和國網絡安全法》的實施是發展期開始的標志,針對網絡數據及信息安全從基礎設施運行、監測預警、應急處理等方面做出了詳細規定,并積極鼓勵制定相關國家標準和行業標準,隨后相關的強制性國家標準、推薦性國家標準、指導性技術文件、金融行業數據標準等應運而生。2020年公共數據安全治理政策體系進入完善期。首先是2020年我國發布了《關于構建更加完善的要素市場化配置體制機制的意見》,將數據列為繼土地、勞動力、資本、技術之后的“第五大生產要素”,開始探索建立數據管理制度,并將培育數據要素市場寫入《第十四個五年規劃和2035年遠景目標綱要》《關于印發〈要素市場化配置綜合改革試點總體方案〉的通知》等多個文件。隨后各地政府開始出臺公共數據管理辦法條例,對公共數據安全問題都設立了專章。2021年頒布的《數據安全法》是我國第一部關于數據安全的法律,2022年浙江省出臺我國第一部關于公共數據的地方性法規。

綜上所述,我國數據安全治理政策體系還未完善,但公共數據安全治理已經進入完善期?，F階段,人大、政府、行業團體等圍繞公共數據安全治理和各領域公共數據安全制定了一系列政策,為公共數據基礎制度建設和釋放公共數據要素價值提供框架支撐。在數據安全政策逐步完善的同時,政策系統建設也要加強。政策系統是政策開展的基礎保障,包含政策機構、政策環境、政策制度等方面。

(三) 基于全生命周期的公共數據安全治理內容框架

除了從公共數據參與主體的視角研究,公共數據安全治理還應考慮數據本身的屬性特征,即全生命周期視角。本文在數據全生命周期模型的基礎上,綜合公共數據的內涵及特點,以公共數據安全治理為任務,探索一條符合時代要求特征的公共數據安全治理路徑,為公共數據安全治理提供全方位多主體參與的實踐參考。

1．數據生命周期模型

生命周期模型這一概念來源于生物學領域,為了應對數據存儲量大造成管理成本加重問題,早在2002年已經有企業開始關注數據生命周期理論。此后數據生命周期模型在產品生產管理、電子文件存儲、系統優化設計等領域發揮著重要的應用和理論指導意義,本文梳理了部分國內外典型的數據生命周期模型(如表2所示)。

表2 國內外典型數據周期模型

2.公共數據安全治理的全生命周期模型

由表2可知,常見的數據生命周期模型包含數據收集、處理、分析、開放、保存等階段。本文探討基于全生命周期模型的公共數據安全治理,具有公共數據和數據安全雙重屬性,既要考慮到公共數據的社會屬性,又要顧及數據安全需要。因此,本文充分考慮數據安全問題,在公共數據生命周期模型基礎上構建了包含數據采集、數據歸集、數據開放、數據保護、數據監管5個階段的模型,其中每個階段又細分為若干子階段(如下圖所示)。

圖 基于全生命周期的公共數據安全治理內容框架

第一,數據采集。公共數據采集是指政府部門、公共機構和社會團體產生或提供的數據,通過有效的數據采集為后續的數據分析和利用提供基礎,為各種活動和決策提供科學依據和支持。數據采集包括合規采集和數據識別兩部分。合規采集:公共數據采集過程中要遵守相關法規和政策的要求,確保數據采集的合法性、合規性和隱私保護。在采集數據之前,需要明確采集目的、合法依據和合規程序,并取得相關授權或同意,不可違規強迫性采集不屬于公共數據范疇的數據。數據識別:數據識別是指對數據進行分析和解讀以了解其特征、屬性和含義的過程,這是數據采集環節的重要步驟,其核心環節是建立數據保護目錄,明確重要數據、行業數據、各領域數據等劃分標準。數據識別是數據分類分級的基礎前提,也是公共數據安全治理的基礎條件,只有建立公共數據識別體系,才能更加有效、有針對性地對公共數據安全進行治理。

第二,數據歸集。將采集到的無序公共數據進行收集、整理、歸納匯總,從而形成有序化、結構化數據集的過程就是公共數據歸集。數據分類分級:各級政府和相關機構部門組織制定的公共數據分類分級相關行業標準,可以參考數量級、敏感程度、業務影響、重要程度等維度,制定符合本行業領域的公共數據分類分級體系標準。此外,公共數據安全分級是公共數據分類分級重點關注的內容,實現有效的公共數據安全分級是確保公共數據安全的基石。公共數據分類分級是公共數據安全治理實踐過程中的關鍵場景,是公共數據安全工作的橋頭堡和必選題。數據脫敏:數據脫敏是指對部分敏感數據進行變形處理、消除數據敏感性的手段,以防數據泄露和濫用的風險。公共數據脫敏需要考慮公共數據安全、公共數據可用性和法律合規性等因素,以確保公共數據的保護和合理使用。數據加工:公共數據加工是對公共數據進行清洗、集成、分析的綜合性操作以提取有用信息的步驟。數據加工是數據的創造性增值過程,為公共數據開放釋放價值提供源泉。

第三,數據開放。公共數據開放包含內部主體和外部主體,內部主體包含公共數據的采集者、生產者,外部主體指社會群體。數據存儲:公共數據存儲是公共數據開放的先決條件,數據存儲的條件直接決定數據開放的質量。公共數據開放還要考慮存儲設備、容量、安全性、運營成本、性能、維護等條件因素,并根據數據分類分級和數據特性將不同生命周期和用途的數據存放在合適的設備,最后通過儲存技術的升級更新迭代來守護公共數據安全的最后一道防線。監測預警:數據管理者應當建立數據處理活動中的安全風險監測預警系統,加強違規數據處理活動中的阻斷技術建設,并及時做好風險隱患的溯源排查工作。將公共數據監測預警作為公共數據安全防線的第一道防火墻,在公共數據開放過程中顯得尤為重要。風險識別:公共數據開放過程中數據運營者和數據使用者應當對提供的數據產品和服務可能具有的風險進行畫像識別,從而有助于保護自身的權益不受侵犯。明確可能的風險源,掌握風險識別的方法和工具,才能對風險進行排查與治理。

第四,數據保護。公共數據保護主要涉及三種形態的數據:存儲時的數據、傳輸時的數據、使用時的數據。目前公共數據保護的重要對象是使用時的數據,數據泄露、數據破壞、數據篡改、數據失控等數據安全的主要威脅均來源于此。隱私保護:公共數據隱私保護的對象不只是個人數據隱私,還包括企業數據隱私。隱私保護涉及一般場景和特殊場景,在一般場景中個人和企業隱私數據的采集過程要遵從數據最小化原則,作為數據的提供者應該盡可能少地提供關于自身的隱私數據;在特殊場景中數據提供者出于特定目的,不得不相信數據采集運營者的契約精神,授予其隱私數據。技術保障:要使技術保障貫穿于公共數據安全治理全流程之中,傳輸加密、接口驗證、訪問控制、加密存儲、交互權限等環節均離不開技術保障;技術保障不僅要滿足公共數據全生命周期安全需要,還需要考慮環境安全、場景安全、系統安全等多維度的安全要求。應急處理:公共數據安全應急處理指應對由外部黑客攻擊、內部人為行為、軟件缺陷、硬件故障、網絡安全風險等原因造成的公共數據安全突發事件的工作。

第五,數據監管。公共數據安全監管需要建立數據要素治理制度,包含數據要素合規交易、收益分配、安全可控等維度,并明確各方主體的責任,優化行業規范標準,形成市場和政府相結合的公共數據要素多維監管格局。數據安全審計:公共數據安全審計是指對數據資產信息的完整性、可用性、保密性進行審查,包含安全方針、數據安全政策和流程審查、系統和網絡安全審查、安全事件響應審查、物理安全審查等內容。公共數據安全審計可以由內部審計團隊或第三方審計機構進行,審計結果和建議可以幫助公共數據管理者改進其數據安全措施,減少安全風險,并確保數據的安全性和合規性。數據安全評估:數據安全風險評估是借鑒信息安全風險評估的基本原理和步驟,基于組織的數據戰略,從數據全生命周期安全出發,對組織目標環境中數據和數據處理活動的安全風險和違法違規問題進行檢測評估的過程。評估應堅持預防為主、主動發現、積極防范,對數據安全保護和數據處理活動進行風險評估,旨在掌握數據安全總體狀況,發現數據安全隱患,提出數據安全管理和技術建議,提升數據安全防攻擊、防破壞、防竊取、防泄漏、防濫用能力。通過安全評估,組織可以制定相應的風險管理策略和控制措施,以減輕風險并保護數據安全。

綜上所述,本文構建的公共數據安全治理的全生命周期模型,包含公共數據采集、歸集、開放、保護、監管“五位一體”的數據安全治理階段。既考慮到傳統數據安全面對的困境,又照應了在人工智能時代背景下面臨的新型安全問題;既考慮到政府單位主體責任與義務,又顧及了市場主體參與發揮的作用。

四、公共數據安全治理路徑研究

基于所構建的公共數據安全治理的全生命周期模型,本文從完善頂層政策法律設計、完善首席數據官制度建設、提升公民數字安全素養、加快公共數據安全領域人才培養四個方面提出公共數據安全治理路徑,旨在防范公共數據無序流動引發的社會性公共數據安全風險,助力完善公共數據治理體系。

(一)完善頂層政策法律設計

政策法律方面,我國目前數據安全保障的法律體系相對健全,《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》《中華人民共和國網絡安全法》構筑了數據安全的法律體系,但關于公共數據安全尚無專門性的立法保障。2021年起地方省級政府逐步開始出臺公共數據及公共數據安全相關條例及管理辦法,這為頂層專項政策法律的出臺提供了一定的借鑒。第一,國家層面應該頒布與“公共數據安全”相關的專門性法律法規,用于統一公共數據安全的行為規范,明確公共數據采集者、運營者、使用者等多方主體的責任與義務,加大監督者的審計力度,并為省市政府制定適合本區域具體、詳細的法律規章提供指導性意見;第二,各部委應該從具體的場景需求出發,如2023年7月中國人民銀行起草的《中國人民銀行業務領域數據安全管理辦法(征求意見稿)》明確了中國人民銀行業務領域數據安全合規底線要求,填補了本領域數據安全管理制度保障空白,可以指導數據處理者優質高效合規開展中國人民銀行業務領域數據處理活動,履行數據安全保護義務,分門別類地制定符合本行業屬性的公共數據安全管理部門規章,為各行業的發展給出指導性的規范意見;第三,國家標準化管理委員會和地方國家標準化管理委員會可以根據企業發展、行業需求制定有關公共數據安全的國家標準、地方標準、行業標準,例如2023年3月實施的《農業大數據安全管理指南》為農業活動數據安全管理的采集、傳輸、存儲、處理、交換環節制定了措施。

(二)完善首席數據官制度建設

在制度建設方面,首席數據官是統籌公共數據發展與安全的重要管理者。2021年5月《廣東省首席數據官制度試點工作方案》正式印發,標志著國內開啟政府CDO試點;2023年9月長沙市在全省率先設立“首席數據官”,集數據統籌管理、數據價值發掘、數據安全守護職責于一身,其中確保數據安全是其工作任務之一;2023年9月北京經濟技術開發區正式出臺《北京經濟技術開發區首席數據官制度工作方案》,經開區采用“首席數據官+數據專員+部門聯系人”的“三級工作制”建立起上下貫通的數據治理組織體系,首席數據官將作為數據安全第一責任人。我國“首席數據官”制度發展兩年已初具規模,但主要運用于政府部門,企業首席數據官設置才剛剛起步,工作主要集中于相關政策的頒布方面,還沒有具體實施的成果。例如,2020年江蘇省頒布《江蘇省工業大數據發展實施意見》,率先推動了地方企業設立首席數據官。企業作為公共數據的提供者、運營者、使用者,是公共數據安全治理的重要參與主體。在企業中首席數據官起到中樞大腦的作用,對上對接CEO,對企業數據安全管理負責,對下制定本企業數據安全管理的制度,對公共數據全生命周期的安全負責。因此,盡快實施企業首席數據官制度是公共數據安全治理的必由之路。

(三)提升公民數字安全素養

秉承發展與安全并重的原則,公共數據安全已經成為關系國家與社會發展的重大問題,除了政府部門要加強公共數據安全監管外,公民公共數據安全的數字素養也亟待提升[17]。公民需要具備識別虛假數據的意識,提升數據防泄漏的能力。公民公共數據安全的數字素養提升策略應包含以下方面:第一,數字加密。公共數據安全由三個維度組成:保密性、完整性、可用性。在提高數據保密性的同時,加密技術維護了數據完整性,確保了數據可用性,尤其是使用運營有條件開放和不予開放公共數據的情況下更要做好數字加密工作。第二,甄別素養。公民在獲取相關公共數據信息時,要注重從官方網站等渠道獲取,增強對虛假數據、虛假網站的甄別能力,避免個人信息泄露和數據欺詐的現象。第三,合理合法利用。公共數據主管部門應對公眾需求開放公共數據的同時,公民應合理使用、按需使用,避免因過度使用造成網絡系統故障,公民在使用公共數據時不可損害國家利益、妨礙他人權益。

(四)加快公共數據安全領域人才培養

加快公共數據安全領域人才培養是確保公共數據安全的重要舉措,這是保障公共數據安全可持續的基礎。公共數據安全不是單一學科可以解決的問題,需要跨學科合作、多學科知識融合。首先,制定科學合理的教育培養計劃。要建立健全公共數據安全知識體系,明確公共數據安全能力范疇,加快具備綜合性知識與技能的復合型技術性人才培養[18]。例如清華大學打造的“數據安全管理人才培養計劃”,即旨在提高相關人員的數據安全管理能力。其次,完善公共數據安全技能培訓與認證工作。要全方位滿足數據安全崗位設置的需求,例如設置公共數據安全評估師、公共數據安全工程師、公共數據安全合規師等崗位,從而提升從業人員的公共數據安全能力,在公共數據安全領域的相關工作中更加具備競爭力。最后,建立合作交流機制。通過組織研討會、建立合作項目[19]、搭建共享資源和信息的平臺、跨界人才培養[20]等多種方式為公共數據安全人才培養合作交流提供思路。

五、結語

數字經濟高速發展背景下帶來的新技術和新治理理念,可以賦能公共數據安全治理的全過程。公共數據安全的內涵不僅限于數據安全層面,更應考量公共數據全生命周期,因此本文提出了數字經濟賦能時代下的公共數據安全治理的全生命周期框架,該框架覆蓋了數據采集、歸集、開放、保護、監管五個環節。圍繞全生命周期公共數據安全的脆弱性問題、面臨的各種風險,制定解決方案,同時又考慮到數據生產者、采集者、運營者、使用者、監管者等多方主體。最后,從完善頂層政策法律設計、完善首席數據官制度建設、提升公民數字安全素養、加快公共數據安全領域人才培養四個方面出發,為公共數據安全治理提供可實施性建議。