11月14日，國家網(wǎng)信辦發(fā)布了《網(wǎng)絡數(shù)據(jù)安全管理條例（征求意見稿）》（以下簡稱《條例》），從多個維度對網(wǎng)絡數(shù)據(jù)安全的合規(guī)性提出了明確要求。
作為中國新一代信息安全技術(shù)企業(yè)的代表廠商，明朝萬達憑借在數(shù)據(jù)安全領域豐富的項目實踐和經(jīng)驗，結(jié)合對網(wǎng)絡安全、數(shù)據(jù)安全相關法律法規(guī)的深入解析，針對此次網(wǎng)信部所發(fā)布《條例》中的合規(guī)性紅線劃定，以及對合規(guī)性難點分析，提出了一項有效平衡企業(yè)數(shù)據(jù)資產(chǎn)使用的便利性、安全性、合規(guī)性的產(chǎn)品——Chinasec（安元）數(shù)據(jù)安全合規(guī)檢查系統(tǒng)。
該系統(tǒng)支持用戶能夠?qū)爽F(xiàn)有基礎的等保、數(shù)據(jù)安全法以及各行業(yè)的數(shù)據(jù)分類分級實踐標準與數(shù)據(jù)安全管理行業(yè)管理規(guī)定，提前對辦公終端電腦、服務器等主機環(huán)境中存量數(shù)據(jù)文件進行合規(guī)性、安全性自檢。提前發(fā)現(xiàn)數(shù)據(jù)安全管理的風險并由用戶進行響應的合規(guī)性處置，幫助企業(yè)用戶平衡敏感數(shù)據(jù)資產(chǎn)的生產(chǎn)效率與合規(guī)風險。除此之外本系統(tǒng)還支持協(xié)助監(jiān)管機構(gòu)、企業(yè)內(nèi)部審計部門等對目標企業(yè)用戶高效的進行數(shù)據(jù)安全合規(guī)性檢查，并輸出數(shù)據(jù)安全合規(guī)性檢查報告。
合規(guī)性紅線劃定
1、用管并重 安全優(yōu)先
《征求意見稿》從一般規(guī)定、個人信息保護、重要數(shù)據(jù)安全、數(shù)據(jù)跨境安全管理、互聯(lián)網(wǎng)平臺運營者義務、監(jiān)督管理、法律責任等維度，對網(wǎng)絡數(shù)據(jù)安全管理進行了高細粒度的規(guī)范?！墩髑笠庖姼濉返谌龡l闡明了我國網(wǎng)絡數(shù)據(jù)安全管理的原則，立足“堅持促進數(shù)據(jù)開發(fā)利用與保障數(shù)據(jù)安全并重”，并且進一步要求“加強數(shù)據(jù)安全防護能力建設，保障數(shù)據(jù)依法有序自由流動，促進數(shù)據(jù)依法合理有效利用” 。重點突出了數(shù)據(jù)的安全性，體現(xiàn)出網(wǎng)絡數(shù)據(jù)安全紅線不可觸碰的使用原則和管理宗旨，進一步把網(wǎng)絡數(shù)據(jù)的安全放在了第一位，也映射到網(wǎng)絡空間作為國家主權(quán)的體現(xiàn)，在確保合規(guī)、安全的情況下，促進數(shù)據(jù)的開發(fā)利用。
2、分類分級 重點保護
第五條明確規(guī)定：“國家建立數(shù)據(jù)分類分級保護制度。按照數(shù)據(jù)對國家安全、公共利益或者個人、組織合法權(quán)益的影響和重要程度，將數(shù)據(jù)分為一般數(shù)據(jù)、重要數(shù)據(jù)、核心數(shù)據(jù)，不同級別的數(shù)據(jù)采取不同的保護措施”?！皣?b>對個人信息和重要數(shù)據(jù)進行重點保護，對核心數(shù)據(jù)實行嚴格保護”。這是對《數(shù)據(jù)安全法》和《個人信息保護法》關于數(shù)據(jù)安全的進一步規(guī)范和明確。同時要求“各地區(qū)、各部門應當按照國家數(shù)據(jù)分類分級要求，對本地區(qū)、本部門以及相關行業(yè)、領域的數(shù)據(jù)進行分類分級管理”，可見對于數(shù)據(jù)分類分級管理，各地區(qū)、各部門不能僅限于《征求意見稿》的三大數(shù)據(jù)分類，而是要根據(jù)不同地區(qū)、不同行業(yè)制定出針對性和個性化的數(shù)據(jù)分類分級標準，使分級管理合乎規(guī)范。
3、數(shù)據(jù)交易有序流通
《征求意見稿》對于數(shù)據(jù)的安全交易奠定了制度基礎：第七條規(guī)定“國家推動公共數(shù)據(jù)開放、共享，促進數(shù)據(jù)開發(fā)利用，并依法對公共數(shù)據(jù)實施監(jiān)督管理”。“國家建立健全數(shù)據(jù)交易管理制度，明確數(shù)據(jù)交易機構(gòu)設立、運行標準，規(guī)范數(shù)據(jù)流通交易行為，確保數(shù)據(jù)依法有序流通”?？梢妵覍⒋罅ㄔO數(shù)據(jù)開放共享和開發(fā)利用，并且會逐步完善相關的制度，確保數(shù)據(jù)的交易有法可依、有法必依、違法必究。體現(xiàn)出數(shù)據(jù)交易的合規(guī)性保障和安全性的底線思維，在管理制度和安全技術(shù)成熟的情況下，推進數(shù)據(jù)交易的合規(guī)性開展。
4、技術(shù)措施紅線要求
對于數(shù)據(jù)處理者的數(shù)據(jù)安全管理和數(shù)據(jù)安全事件的應對，提出了更高的要求，從被動應對的消極保安全到自主自發(fā)的積極保安全，提出了基于風險管理的紅線要求：第九條“數(shù)據(jù)處理者應當采取備份、加密、訪問控制等必要措施，保障數(shù)據(jù)免遭泄露、竊取、篡改、毀損、丟失、非法使用，應對數(shù)據(jù)安全事件，防范針對和利用數(shù)據(jù)的違法犯罪活動，維護數(shù)據(jù)的完整性、保密性、可用性”?！皵?shù)據(jù)處理者應當按照網(wǎng)絡安全等級保護的要求，加強數(shù)據(jù)處理系統(tǒng)、數(shù)據(jù)傳輸網(wǎng)絡、數(shù)據(jù)存儲環(huán)境等安全防護，處理重要數(shù)據(jù)的系統(tǒng)原則上應當滿足三級以上網(wǎng)絡安全等級保護和關鍵信息基礎設施安全保護要求，處理核心數(shù)據(jù)的系統(tǒng)依照有關規(guī)定從嚴保護”?！皵?shù)據(jù)處理者應當使用密碼對重要數(shù)據(jù)和核心數(shù)據(jù)進行保護”。第十一條 數(shù)據(jù)處理者應當建立數(shù)據(jù)安全應急處置機制，發(fā)生數(shù)據(jù)安全事件時及時啟動應急響應機制，采取措施防止危害擴大，消除安全隱患。
5、數(shù)據(jù)跨境安全網(wǎng)關
近年來，數(shù)據(jù)跨境成為數(shù)據(jù)安全熱點和難題，《征求意見稿》對于數(shù)據(jù)跨境進行了安全網(wǎng)關的設計：第四十一條“國家建立數(shù)據(jù)跨境安全網(wǎng)關，對來源于中華人民共和國境外、法律和行政法規(guī)禁止發(fā)布或者傳輸?shù)男畔⒂枰宰钄鄠鞑?/span>”。“任何個人和組織不得提供用于穿透、繞過數(shù)據(jù)跨境安全網(wǎng)關的程序、工具、線路等，不得為穿透、繞過數(shù)據(jù)跨境安全網(wǎng)關提供互聯(lián)網(wǎng)接入、服務器托管、技術(shù)支持、傳播推廣、支付結(jié)算、應用下載等服務”。同時，對于從事跨境數(shù)據(jù)活動的數(shù)據(jù)處理者，從技術(shù)和管理措施兩個維度明確了監(jiān)管要求：第四十二條“數(shù)據(jù)處理者從事跨境數(shù)據(jù)活動應當按照國家數(shù)據(jù)跨境安全監(jiān)管要求，建立健全相關技術(shù)和管理措施”。
6、違法必究 執(zhí)法必嚴
《征求意見稿》首先明確了監(jiān)管部門和其對應的職能，第五十五條“國家網(wǎng)信部門負責統(tǒng)籌協(xié)調(diào)數(shù)據(jù)安全和相關監(jiān)督管理工作”。“公安機關、國家安全機關等在各自職責范圍內(nèi)承擔數(shù)據(jù)安全監(jiān)管職責”?！肮I(yè)、電信、交通、金融、自然資源、衛(wèi)生健康、教育、科技等主管部門承擔本行業(yè)、本領域數(shù)據(jù)安全監(jiān)管職責”。對于違法追究方面，除了常規(guī)的警告、罰款、責令暫停相關業(yè)務、停業(yè)整頓、吊銷相關業(yè)務許可證或者吊銷營業(yè)執(zhí)照、沒收違法所得，特別值得注意的是已經(jīng)上升至刑法高度：第七十條“數(shù)據(jù)處理者違反本條例規(guī)定，給他人造成損害的，依法承擔民事責任；構(gòu)成違反治安管理行為的，依法給予治安管理處罰；構(gòu)成犯罪的，依法追究刑事責任”。
合規(guī)性難點分析
隨著全球數(shù)字經(jīng)濟的蓬勃發(fā)展，數(shù)據(jù)已成為核心生產(chǎn)要素，是國家重要資產(chǎn)和基礎戰(zhàn)略資源。此次發(fā)布的《征求意見稿》為網(wǎng)絡數(shù)據(jù)安全管理提供了強有力的支撐，對各行業(yè)在處理使用數(shù)據(jù)資產(chǎn)起到重要指導作用。而《征求意見稿》想要真正執(zhí)行落地，僅依靠明確管理要求是遠遠不夠的，尤其是當下數(shù)據(jù)體量呈可持續(xù)性爆炸式增長，還必須依靠技術(shù)革新和技術(shù)措施來達到合規(guī)性要求的輔助管理。
合規(guī)性難點在于：從技術(shù)維度考量，企業(yè)既要保護敏感數(shù)據(jù)資產(chǎn)的安全，保持符合監(jiān)管合規(guī)性；又要在不改變現(xiàn)有業(yè)務流程的前提下快速部署實施，降低自身員工生產(chǎn)過程中使用數(shù)據(jù)資產(chǎn)的操作復雜度，提升生產(chǎn)效率。
Chinasec（安元）數(shù)據(jù)安全合規(guī)檢查系統(tǒng)
Chinasec（安元）數(shù)據(jù)安全合規(guī)檢查系統(tǒng)采用內(nèi)容分析引擎，利用關鍵字、正則表達式、文件指紋、自然語言處理等規(guī)則，對主機環(huán)境下的結(jié)構(gòu)化數(shù)據(jù)/非結(jié)構(gòu)化數(shù)據(jù)文件進行解析與內(nèi)容掃描，對照各行業(yè)數(shù)據(jù)分類分級規(guī)章制度和數(shù)據(jù)安全管理法律法規(guī)進行合規(guī)性檢查。本系統(tǒng)支持對主機的數(shù)據(jù)安全合規(guī)性和可信計算環(huán)境進行一鍵檢查，支持自動/手工調(diào)整輸出的數(shù)據(jù)安全合規(guī)檢查報告。
系統(tǒng)架構(gòu)
核心優(yōu)勢
· 支持主流環(huán)境，滿足國產(chǎn)化需求
明朝萬達數(shù)據(jù)安全合規(guī)檢查系統(tǒng)除了支持標準的Win7、Win10、Win Server環(huán)境外，還與龍芯、鯤鵬等CPU架構(gòu)服務器、統(tǒng)信V20、銀河麒麟V10等操作系統(tǒng)完成兼容性測試并取得互認證證書，正在與更多的終端、服務器和操作系統(tǒng)廠商建立廣泛的生態(tài)互認。
· 支持主流數(shù)據(jù)格式內(nèi)容掃描
明朝萬達數(shù)據(jù)安全合規(guī)檢查系統(tǒng)支持對終端、服務器本地存儲的數(shù)據(jù)內(nèi)容進行識別，支持識別結(jié)構(gòu)化數(shù)據(jù)和非結(jié)構(gòu)化數(shù)據(jù)的各種格式，主要包括：
結(jié)構(gòu)化數(shù)據(jù)：支持對關系型數(shù)據(jù)庫如Oracle、MySQL等數(shù)據(jù)庫類型，非關系型數(shù)據(jù)庫如Redis，NoSQL等。
非結(jié)構(gòu)化數(shù)據(jù)：支持對Microsoft Word/Excel/PowerPoint、Openoffice、WPS等辦公文檔，ZIP、ISO、RAR、EML等壓縮文件，JPG、JPEG、PNG、BMP、TIFF圖片文件，PDF等電子出版格式以及其它以文本形式存儲的格式進行內(nèi)容掃描。
· 基于行業(yè)的數(shù)據(jù)安全合規(guī)性檢查
根據(jù)公司多年來在各行業(yè)眾多企業(yè)數(shù)據(jù)安全管理項目的實踐經(jīng)驗，結(jié)合國家各行業(yè)針對其行業(yè)自身數(shù)據(jù)資產(chǎn)特性而梳理制定的數(shù)據(jù)分類分級、數(shù)據(jù)安全合規(guī)性自檢標準規(guī)范，本系統(tǒng)梳理了各個行業(yè)對應的數(shù)據(jù)安全合規(guī)檢查落地的內(nèi)容掃描規(guī)則數(shù)據(jù)集并根據(jù)授權(quán)進行了預置。
本系統(tǒng)重點支持針對政府（公、檢、法、稅務等）、軍工、金融（銀行、證券、保險）、通信、互聯(lián)網(wǎng)、工業(yè)制造（汽車、化工、電力）等行業(yè)的數(shù)據(jù)安全合規(guī)檢查。
· 支持主機可信計算環(huán)境檢測
本系統(tǒng)根據(jù)最新等保2.0標準的要求，支持對主機環(huán)境進行一鍵安全檢測，快速采集系統(tǒng)的硬件和操作系統(tǒng)信息、漏洞補丁版本信息、網(wǎng)絡控制準入信息、用戶口令配置信息、安裝軟件列表、本地安全策略、殺毒與防火墻配置信息等確保主機環(huán)境的安全性，并支持掃描終端本地緩存的歷史網(wǎng)絡訪問記錄、USB外設操作記錄、文件操作記錄、郵箱緩存數(shù)據(jù)記錄等，查看是否存在違規(guī)信息。
