政策解读 | 杜绝“大数据杀熟” 《个人信息保护法》来了

Posted 2021-09-07 山石网科

昨日，十三届全国人大常委会第三十次会议表决通过了《中华人民共和国个人信息保护法》。这部专门法律充分回应了社会关切，为破解个人信息保护中的热点难点问题提供了强有力的法律保障。

（此图来源于新华社）

自去年10月《个人信息保护法（草案）》征求意见稿出台后，各方已就相关条例展开过讨论。在正式稿没发布前，今年4月提交的草案三次审议稿做出过一些修改，值得我们注意。比如，对个人信息处理规则，特别是应用程序个人信息过度收集、“大数据杀熟”等均有作出针对性规范；进一步完善个人信息跨境提供的规则；对完善个人信息保护投诉、举报工作机制及违法处理个人信息涉嫌犯罪案件的移送提出明确要求。

数据利用与个人信息保护并非二元对立，但整体来看，《个人信息保护法》实施在即，将对企业数据安全防护提出更严格、更规范的挑战和要求。个人数据作为大数据的重要资源，其创新应用和安全保护，很长一段时间将会是企业平衡发展与安全的重要议题。

如何应对？

我们需要意识到，法律制度的建立和实施，对企业发展是一种保障，这有助于数字产业建立消费者信任。重建消费者的信心与安全信任，是数字时代的核心问题之一，而法律无疑是重要组成部分。

那在新的法野视角下，企业的数据安全以及个人信息保护合规制度体系应该如何展开？在互联网、大数据、5G互联时代，个人信息被快速收集和汇聚，又因数据挖掘所带来的商业价值下，扩大了信息的使用和共享。个人信息流动频率急速上升。对个人信息分类分级，从收集、传输、存储、使用、共享、销毁全生命周期保护，是个人信息保护的关键。

而这落在企业责任上，则需要建立一套弹性可扩展、业务自适应的数据生命周期安全治理框架。复杂的业务场景让我们看到，数据安全治理不仅仅是部署产品和技术，是一个系统工程，需要自顶向下进行设计：

1、法律法规的梳理，对业务数据风险分析，明确数据安全治理的实际需求；

2、数据安全治理的组织管理体系支撑；

3、数据的分类分级和梳理，辨别哪些数据需要保护，这些需要保护的数据在哪些位置，哪些人正在使用这些数据，在使用过程中是否合理；

4、制定适合的相关安全策略；

5、对数据安全治理进行有效监测和审计，及时发现存在的问题与隐患，才能对数据安全治理工作进行持续改进。

有何妙招？

在《个人信息保护法》中提到对于提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，本法特别规定了其需要履行的义务，如建立健全个人信息保护合规制度体系，定期发布个人信息保护社会责任报告，接受社会监督等。

为此，山石网科推出了一套独具特色的数据安全治理“壹++”解决方案，基于数据生命周期各阶段场景，以数据安全综合治理平台为核心，数据资产综合治理、组件运营纳管系统、数据安全态势分析三大系统为抓手，搭配若干数据安全工具与服务，解决了数据资产梳理、高权限账号管控、敏感数据泄露防护、跨区域数据流转、数据态势感知等难题，实现资产可管、风险可视、策略联动，充分提升整体数据安全治理能力，全方位、立体化建立健全个人信息保护合规制度体系。

数据安全综合治理平台：数据安全治理工作标准化、规范化、常态化、集中化支撑平台，全面梳理和盘点数据资产，对数据全生命周期实施安全保障，集中化数据安全管控策略管理，有效监测数据使用、流转及共享过程中的安全态势及风险。

数据资产综合治理：借助自动发现和分类分级策略开展全面的数据梳理工作，了解数据的所有者、用途、敏感级别、存储位置等基本属性，对数据分布、敏感数据的违规存储进行可视化展现，实现数据资产化。 

组件运营纳管系统：把全域数据安全组件统一纳管起来，为数据安全运营治理工作提供流程标准化、策略标准化、数据标准化、分析标准化等能力。

数据安全态势分析：通过对数据资产使用、流转及共享等场景的大数据建模分析， 提供资产风险等级、潜在泄露隐患及违规操作风险等多维度量化视图，助力管理者制定行之有效的应对策略，实现安全与发展双轮驱动。

作为中国网络安全行业的技术创新领导厂商，山石网科以“成为数字世界发展的一流守护者”为愿景，全方位助力企业建立健全个人信息保护合规制度体系，同客户携手推动数字经济健康发展。