浅谈企业数据流通风险管理框架的构建

doi:10.12267/j.issn.2096-5931.2024.04.007

摘要/Abstract

摘要：

数据作为新型生产要素,是数字化、智能化的基础,数据的价值在数据流通过程中不断产生和放大。基于对数据流通过程中的各项风险和保护措施的分析,首先提出了一种企业数据流通风险管理框架;其次研究了企业数据流通风险管理的实践要点;最后针对个人信息风险、技术和管理风险、技术方案等给出了评估要点和推荐方案。

关键词: 数据流通, 数据提供方, 数据需求方, 管理方, 数据流通服务平台方

Abstract:

As a new production factor, data is the foundation of digitalization and intelligence. The value of data is constantly generated and amplified in the process of data circulation. Based on the analysis of various risks and protection measures in the process of data circulation, this paper first proposes a management framework for enterprise data circulation risk. Then, it studies the practical points of managing enterprise data circulation risk. Finally, this paper provides the evaluation points and recommended solutions for personal information risks, technology and management risks, and technical solutions.

Key words: data circulation, data providers, data demanders, managers, data circulation service platform

中图分类号:

TP391.1

黄超, 贾宇航, 李克鹏, 代威, 梅述家. 浅谈企业数据流通风险管理框架的构建[J]. 信息通信技术与政策, 2024, 50(4): 47-55.

HUANG Chao, JIA Yuhang, LI Kepeng, DAI Wei, MEI Shujia. Discussion on the construction of a management framework for enterprise data circulation risk[J]. Information and Communications Technology and Policy, 2024, 50(4): 47-55.

导出引用管理器 EndNote|Ris|BibTeX

链接本文:

http://ictp.caict.ac.cn/CN/10.12267/j.issn.2096-5931.2024.04.007

http://ictp.caict.ac.cn/CN/Y2024/V50/I4/47

要素/过程	流通前	流通中	流通后
流通主体	主体资质安全风险:签约主体不满足资质要求(如失信、缺失相应牌照) 主体职责分工不明确风险:各相关主体分工职责是否明确(如数据提供方需要保障数据来源的合法性,数据服务方需要保障数据服务的可靠性)	主体身份安全风险:主体身份存在被攻击伪造的风险、密钥管理的风险等	主体未履行合约要求:数据需求方未经允许进行数据的二次转售/超出范围使用主体有/无意识的数据泄露风险
数据资产	数据源合法性风险:数据来源不合规,未遵守相关隐私保护法律法规(如使用敏感个人信息未取得个人用户的单独同意等) 知识产权侵权风险数据权属风险:数据提供方未能得到授权而使用数据(如使用个人信息未得到个人用户的知情同意) 数据质量风险:数据的真实性、完整性、准确性等存在问题数据安全风险:未能对数据进行脱敏、加密等安全处理违规定价风险:未能按照定价相关规定或未能精准定价发生后续业务纠纷的风险	传输和存储风险:数据传输安全(如未加密传输),数据存储环境安全(如第三方存储环境的访问控制、未加密存储等) 模型风险:流通中发生模型攻击(如使用联邦学习方案被攻击导致原始数据泄露) 数据一致性和完整性风险:数据丢失、损坏、篡改	数据存储风险:数据需求方存储环境安全(需求方或第三方存储管理方,未实施访问控制和存储加密) 数据重识别风险:个人信息的重识别风险
流通需求	需求合理性风险:数据流通场景需求不合理(利用个人数据推荐造成的信息茧房),数据需求方对数据的申请不满足最小必要原则合同合法签署风险:合同条款的法律风险	合同履行过程风险:供需主体履约行为与合同条款不一致(履约行为包括流转的数据是否与合同保持一致)	合同验收风险:供需主体履约行为与合同不一致(履约行为包括费用结算、项目验收等),需求方未按合同的要求按时删除数据
支撑环境	系统设计阶段安全风险:系统环境(软硬件故障、物理环境影响)、算法、密码强度等造成的风险系统设计阶段稳定性风险:性能、资源配置未达到数据流通要求管理风险:人员无意识操作失误、有意识越权或滥用,安全事件管理中没有明确的安全应急响应机制	系统运行阶段安全风险:系统环境(软硬件故障、物理环境影响)、算法、密码强度等造成的风险系统运行阶段稳定性风险:系统不稳定而导致数据流通中断、数据丢失等风险	系统运行阶段安全风险:系统环境(软硬件故障、物理环境影响)、算法、密码强度等造成的风险系统运行阶段稳定性风险:系统不稳定而导致数据加工使用中断、数据丢失等风险审计风险:未审计或监控用户的操作记录管理风险:管理制度监督落实不到位

要素/过程	流通前	流通中	流通后
流通主体	主体资质安全风险:签约主体不满足资质要求(如失信、缺失相应牌照) 主体职责分工不明确风险:各相关主体分工职责是否明确(如数据提供方需要保障数据来源的合法性,数据服务方需要保障数据服务的可靠性)	主体身份安全风险:主体身份存在被攻击伪造的风险、密钥管理的风险等	主体未履行合约要求:数据需求方未经允许进行数据的二次转售/超出范围使用主体有/无意识的数据泄露风险
数据资产	数据源合法性风险:数据来源不合规,未遵守相关隐私保护法律法规(如使用敏感个人信息未取得个人用户的单独同意等) 知识产权侵权风险数据权属风险:数据提供方未能得到授权而使用数据(如使用个人信息未得到个人用户的知情同意) 数据质量风险:数据的真实性、完整性、准确性等存在问题数据安全风险:未能对数据进行脱敏、加密等安全处理违规定价风险:未能按照定价相关规定或未能精准定价发生后续业务纠纷的风险	传输和存储风险:数据传输安全(如未加密传输),数据存储环境安全(如第三方存储环境的访问控制、未加密存储等) 模型风险:流通中发生模型攻击(如使用联邦学习方案被攻击导致原始数据泄露) 数据一致性和完整性风险:数据丢失、损坏、篡改	数据存储风险:数据需求方存储环境安全(需求方或第三方存储管理方,未实施访问控制和存储加密) 数据重识别风险:个人信息的重识别风险
流通需求	需求合理性风险:数据流通场景需求不合理(利用个人数据推荐造成的信息茧房),数据需求方对数据的申请不满足最小必要原则合同合法签署风险:合同条款的法律风险	合同履行过程风险:供需主体履约行为与合同条款不一致(履约行为包括流转的数据是否与合同保持一致)	合同验收风险:供需主体履约行为与合同不一致(履约行为包括费用结算、项目验收等),需求方未按合同的要求按时删除数据
支撑环境	系统设计阶段安全风险:系统环境(软硬件故障、物理环境影响)、算法、密码强度等造成的风险系统设计阶段稳定性风险:性能、资源配置未达到数据流通要求管理风险:人员无意识操作失误、有意识越权或滥用,安全事件管理中没有明确的安全应急响应机制	系统运行阶段安全风险:系统环境(软硬件故障、物理环境影响)、算法、密码强度等造成的风险系统运行阶段稳定性风险:系统不稳定而导致数据流通中断、数据丢失等风险	系统运行阶段安全风险:系统环境(软硬件故障、物理环境影响)、算法、密码强度等造成的风险系统运行阶段稳定性风险:系统不稳定而导致数据加工使用中断、数据丢失等风险审计风险:未审计或监控用户的操作记录管理风险:管理制度监督落实不到位

要素/过程	流通前	流通中	流通后
流通主体	主体资质安全风险:主体资质审核主体职责分工风险:明确主体分工职责	主体身份安全风险:主体身份认证,合约校验	主体未履行合约要求:主体履约监督机制
数据资产	数据源合法性风险:数据来源合法性审查,知识产权保护(如协商、诉讼) 数据权属风险:数据授权(如获取用户知情同意) 数据质量风险:数据真实性、完整性准确性校验,元数据管理,数据分类分级数据安全风险:数据脱敏,数据去标识化/匿名化违规定价风险:制定数据定价机制	传输和存储风险:数据传输加密,数据沙箱(封闭域),访问控制等模型风险:隐私计算(如联邦学习、安全多方计算等安全评估),隐私计算安全增强(如同态加密、差分隐私等) 数据一致性和完整性风险:数据一致性和完整性校验	数据存储风险:访问控制和存储加密保障数据重识别风险:去标识化,匿名化,合同约束操作审计
流通需求	需求合理性风险:需求审核合同合法签署风险:合同审核	合同履行过程风险:合同履行监督(如通过合同履行过程信息追溯和审计的方式进行监督)	合同验收风险:合同验收监督和审计
支撑环境	系统设计阶段安全风险:系统安全设计,系统设计阶段安全测试,系统设计阶段安全评估系统设计阶段稳定性风险:系统设计阶段稳定性测试(MTBF、MTTR、MTTF) 管理风险:制定管理制度和惩罚机制,制定安全应急响应机制,安全培训	系统运行阶段安全风险:系统运行阶段安全测试,系统运行阶段安全评估系统运行阶段稳定性风险:系统运行阶段稳定性测试(MTBF、MTTR、MTTF)	系统运行阶段安全风险:系统运行阶段安全测试,系统运行阶段安全评估系统运行阶段稳定性风险:系统运行阶段稳定性测试(MTBF、MTTR、MTTF) 审计风险:安全审计管理风险:落实管理制度和惩罚机制

要素/过程	流通前	流通中	流通后
流通主体	主体资质安全风险:主体资质审核主体职责分工风险:明确主体分工职责	主体身份安全风险:主体身份认证,合约校验	主体未履行合约要求:主体履约监督机制
数据资产	数据源合法性风险:数据来源合法性审查,知识产权保护(如协商、诉讼) 数据权属风险:数据授权(如获取用户知情同意) 数据质量风险:数据真实性、完整性准确性校验,元数据管理,数据分类分级数据安全风险:数据脱敏,数据去标识化/匿名化违规定价风险:制定数据定价机制	传输和存储风险:数据传输加密,数据沙箱(封闭域),访问控制等模型风险:隐私计算(如联邦学习、安全多方计算等安全评估),隐私计算安全增强(如同态加密、差分隐私等) 数据一致性和完整性风险:数据一致性和完整性校验	数据存储风险:访问控制和存储加密保障数据重识别风险:去标识化,匿名化,合同约束操作审计
流通需求	需求合理性风险:需求审核合同合法签署风险:合同审核	合同履行过程风险:合同履行监督(如通过合同履行过程信息追溯和审计的方式进行监督)	合同验收风险:合同验收监督和审计
支撑环境	系统设计阶段安全风险:系统安全设计,系统设计阶段安全测试,系统设计阶段安全评估系统设计阶段稳定性风险:系统设计阶段稳定性测试(MTBF、MTTR、MTTF) 管理风险:制定管理制度和惩罚机制,制定安全应急响应机制,安全培训	系统运行阶段安全风险:系统运行阶段安全测试,系统运行阶段安全评估系统运行阶段稳定性风险:系统运行阶段稳定性测试(MTBF、MTTR、MTTF)	系统运行阶段安全风险:系统运行阶段安全测试,系统运行阶段安全评估系统运行阶段稳定性风险:系统运行阶段稳定性测试(MTBF、MTTR、MTTF) 审计风险:安全审计管理风险:落实管理制度和惩罚机制

[1]	国家数据局, 中央网络安全和信息化委员会办公室, 科学技术部, 等. “数据要素×”三年行动计划(2024—2026年)[Z], 2024.
[2]	全国信息安全标准化技术委员会. 网络安全标准实践指南网络数据安全风险评估实施指引:TC260-PG-20231A[S], 2023.
[3]	国家市场监督管理总局, 国家标准化管理委员会. 信息安全技术信息安全风险评估方法:GB/T 20984—2022[S]. 北京: 中国标准出版社, 2022.
[4]	国家市场监督管理总局, 国家标准化管理委员会. 信息安全技术个人信息安全规范:GB/T 35273—2020[S]. 北京: 中国标准出版社, 2020.
[5]	国家市场监督管理总局, 国家标准化管理委员会. 信息安全技术大数据安全管理指南:GB/T 37973—2019[S]. 北京: 中国标准出版社, 2019.
[6]	国家市场监督管理总局, 国家标准化管理委员会. 信息安全技术个人信息去标识化效果评估指南:GB/T 42460—2023[S]. 北京: 中国标准出版社, 2023.

浅谈企业数据流通风险管理框架的构建

Discussion on the construction of a management framework for enterprise data circulation risk

RichHTML

PDF

可视化

摘要/Abstract

引用本文

使用本文

图/表 5

参考文献 6

相关文章 6

编辑推荐

Metrics

本文评价

[1]	洪启安, 于润东, 于胜波, 龙翔宇. 智能网联汽车数据要素流通综述[J]. 信息通信技术与政策, 2024, 50(3): 27-34.
[2]	赵将, 蒋忠均. 浅谈如何构建数据流通底座[J]. 信息通信技术与政策, 2024, 50(1): 90-96.
[3]	吕艾临, 王泽宇. 我国数据要素市场培育进展与趋势[J]. 信息通信技术与政策, 2023, 49(4): 2-8.
[4]	张斯睿, 闫树. 数据要素市场建设的关键突破口:公共数据授权运营[J]. 信息通信技术与政策, 2023, 49(4): 22-26.
[5]	吕艾临, 闫树. 隐私计算跨平台互联互通的若干思考[J]. 信息通信技术与政策, 2022, 48(5): 2-6.
[6]	鲁泽霖, 陈岩. 数据要素市场化的理论内涵、现实挑战和实践路径[J]. 信息通信技术与政策, 2022, 48(1): 11-18.