Discussion on the construction of a management framework for enterprise data circulation risk

doi:10.12267/j.issn.2096-5931.2024.04.007

Abstract

Abstract:

As a new production factor, data is the foundation of digitalization and intelligence. The value of data is constantly generated and amplified in the process of data circulation. Based on the analysis of various risks and protection measures in the process of data circulation, this paper first proposes a management framework for enterprise data circulation risk. Then, it studies the practical points of managing enterprise data circulation risk. Finally, this paper provides the evaluation points and recommended solutions for personal information risks, technology and management risks, and technical solutions.

Key words: data circulation, data providers, data demanders, managers, data circulation service platform

CLC Number:

TP391.1

HUANG Chao, JIA Yuhang, LI Kepeng, DAI Wei, MEI Shujia. Discussion on the construction of a management framework for enterprise data circulation risk[J]. Information and Communications Technology and Policy, 2024, 50(4): 47-55.

Add to citation manager EndNote|Ris|BibTeX

URL:

http://ictp.caict.ac.cn/EN/10.12267/j.issn.2096-5931.2024.04.007

http://ictp.caict.ac.cn/EN/Y2024/V50/I4/47

要素/过程	流通前	流通中	流通后
流通主体	主体资质安全风险:签约主体不满足资质要求(如失信、缺失相应牌照) 主体职责分工不明确风险:各相关主体分工职责是否明确(如数据提供方需要保障数据来源的合法性,数据服务方需要保障数据服务的可靠性)	主体身份安全风险:主体身份存在被攻击伪造的风险、密钥管理的风险等	主体未履行合约要求:数据需求方未经允许进行数据的二次转售/超出范围使用主体有/无意识的数据泄露风险
数据资产	数据源合法性风险:数据来源不合规,未遵守相关隐私保护法律法规(如使用敏感个人信息未取得个人用户的单独同意等) 知识产权侵权风险数据权属风险:数据提供方未能得到授权而使用数据(如使用个人信息未得到个人用户的知情同意) 数据质量风险:数据的真实性、完整性、准确性等存在问题数据安全风险:未能对数据进行脱敏、加密等安全处理违规定价风险:未能按照定价相关规定或未能精准定价发生后续业务纠纷的风险	传输和存储风险:数据传输安全(如未加密传输),数据存储环境安全(如第三方存储环境的访问控制、未加密存储等) 模型风险:流通中发生模型攻击(如使用联邦学习方案被攻击导致原始数据泄露) 数据一致性和完整性风险:数据丢失、损坏、篡改	数据存储风险:数据需求方存储环境安全(需求方或第三方存储管理方,未实施访问控制和存储加密) 数据重识别风险:个人信息的重识别风险
流通需求	需求合理性风险:数据流通场景需求不合理(利用个人数据推荐造成的信息茧房),数据需求方对数据的申请不满足最小必要原则合同合法签署风险:合同条款的法律风险	合同履行过程风险:供需主体履约行为与合同条款不一致(履约行为包括流转的数据是否与合同保持一致)	合同验收风险:供需主体履约行为与合同不一致(履约行为包括费用结算、项目验收等),需求方未按合同的要求按时删除数据
支撑环境	系统设计阶段安全风险:系统环境(软硬件故障、物理环境影响)、算法、密码强度等造成的风险系统设计阶段稳定性风险:性能、资源配置未达到数据流通要求管理风险:人员无意识操作失误、有意识越权或滥用,安全事件管理中没有明确的安全应急响应机制	系统运行阶段安全风险:系统环境(软硬件故障、物理环境影响)、算法、密码强度等造成的风险系统运行阶段稳定性风险:系统不稳定而导致数据流通中断、数据丢失等风险	系统运行阶段安全风险:系统环境(软硬件故障、物理环境影响)、算法、密码强度等造成的风险系统运行阶段稳定性风险:系统不稳定而导致数据加工使用中断、数据丢失等风险审计风险:未审计或监控用户的操作记录管理风险:管理制度监督落实不到位

要素/过程	流通前	流通中	流通后
流通主体	主体资质安全风险:签约主体不满足资质要求(如失信、缺失相应牌照) 主体职责分工不明确风险:各相关主体分工职责是否明确(如数据提供方需要保障数据来源的合法性,数据服务方需要保障数据服务的可靠性)	主体身份安全风险:主体身份存在被攻击伪造的风险、密钥管理的风险等	主体未履行合约要求:数据需求方未经允许进行数据的二次转售/超出范围使用主体有/无意识的数据泄露风险
数据资产	数据源合法性风险:数据来源不合规,未遵守相关隐私保护法律法规(如使用敏感个人信息未取得个人用户的单独同意等) 知识产权侵权风险数据权属风险:数据提供方未能得到授权而使用数据(如使用个人信息未得到个人用户的知情同意) 数据质量风险:数据的真实性、完整性、准确性等存在问题数据安全风险:未能对数据进行脱敏、加密等安全处理违规定价风险:未能按照定价相关规定或未能精准定价发生后续业务纠纷的风险	传输和存储风险:数据传输安全(如未加密传输),数据存储环境安全(如第三方存储环境的访问控制、未加密存储等) 模型风险:流通中发生模型攻击(如使用联邦学习方案被攻击导致原始数据泄露) 数据一致性和完整性风险:数据丢失、损坏、篡改	数据存储风险:数据需求方存储环境安全(需求方或第三方存储管理方,未实施访问控制和存储加密) 数据重识别风险:个人信息的重识别风险
流通需求	需求合理性风险:数据流通场景需求不合理(利用个人数据推荐造成的信息茧房),数据需求方对数据的申请不满足最小必要原则合同合法签署风险:合同条款的法律风险	合同履行过程风险:供需主体履约行为与合同条款不一致(履约行为包括流转的数据是否与合同保持一致)	合同验收风险:供需主体履约行为与合同不一致(履约行为包括费用结算、项目验收等),需求方未按合同的要求按时删除数据
支撑环境	系统设计阶段安全风险:系统环境(软硬件故障、物理环境影响)、算法、密码强度等造成的风险系统设计阶段稳定性风险:性能、资源配置未达到数据流通要求管理风险:人员无意识操作失误、有意识越权或滥用,安全事件管理中没有明确的安全应急响应机制	系统运行阶段安全风险:系统环境(软硬件故障、物理环境影响)、算法、密码强度等造成的风险系统运行阶段稳定性风险:系统不稳定而导致数据流通中断、数据丢失等风险	系统运行阶段安全风险:系统环境(软硬件故障、物理环境影响)、算法、密码强度等造成的风险系统运行阶段稳定性风险:系统不稳定而导致数据加工使用中断、数据丢失等风险审计风险:未审计或监控用户的操作记录管理风险:管理制度监督落实不到位

要素/过程	流通前	流通中	流通后
流通主体	主体资质安全风险:主体资质审核主体职责分工风险:明确主体分工职责	主体身份安全风险:主体身份认证,合约校验	主体未履行合约要求:主体履约监督机制
数据资产	数据源合法性风险:数据来源合法性审查,知识产权保护(如协商、诉讼) 数据权属风险:数据授权(如获取用户知情同意) 数据质量风险:数据真实性、完整性准确性校验,元数据管理,数据分类分级数据安全风险:数据脱敏,数据去标识化/匿名化违规定价风险:制定数据定价机制	传输和存储风险:数据传输加密,数据沙箱(封闭域),访问控制等模型风险:隐私计算(如联邦学习、安全多方计算等安全评估),隐私计算安全增强(如同态加密、差分隐私等) 数据一致性和完整性风险:数据一致性和完整性校验	数据存储风险:访问控制和存储加密保障数据重识别风险:去标识化,匿名化,合同约束操作审计
流通需求	需求合理性风险:需求审核合同合法签署风险:合同审核	合同履行过程风险:合同履行监督(如通过合同履行过程信息追溯和审计的方式进行监督)	合同验收风险:合同验收监督和审计
支撑环境	系统设计阶段安全风险:系统安全设计,系统设计阶段安全测试,系统设计阶段安全评估系统设计阶段稳定性风险:系统设计阶段稳定性测试(MTBF、MTTR、MTTF) 管理风险:制定管理制度和惩罚机制,制定安全应急响应机制,安全培训	系统运行阶段安全风险:系统运行阶段安全测试,系统运行阶段安全评估系统运行阶段稳定性风险:系统运行阶段稳定性测试(MTBF、MTTR、MTTF)	系统运行阶段安全风险:系统运行阶段安全测试,系统运行阶段安全评估系统运行阶段稳定性风险:系统运行阶段稳定性测试(MTBF、MTTR、MTTF) 审计风险:安全审计管理风险:落实管理制度和惩罚机制

要素/过程	流通前	流通中	流通后
流通主体	主体资质安全风险:主体资质审核主体职责分工风险:明确主体分工职责	主体身份安全风险:主体身份认证,合约校验	主体未履行合约要求:主体履约监督机制
数据资产	数据源合法性风险:数据来源合法性审查,知识产权保护(如协商、诉讼) 数据权属风险:数据授权(如获取用户知情同意) 数据质量风险:数据真实性、完整性准确性校验,元数据管理,数据分类分级数据安全风险:数据脱敏,数据去标识化/匿名化违规定价风险:制定数据定价机制	传输和存储风险:数据传输加密,数据沙箱(封闭域),访问控制等模型风险:隐私计算(如联邦学习、安全多方计算等安全评估),隐私计算安全增强(如同态加密、差分隐私等) 数据一致性和完整性风险:数据一致性和完整性校验	数据存储风险:访问控制和存储加密保障数据重识别风险:去标识化,匿名化,合同约束操作审计
流通需求	需求合理性风险:需求审核合同合法签署风险:合同审核	合同履行过程风险:合同履行监督(如通过合同履行过程信息追溯和审计的方式进行监督)	合同验收风险:合同验收监督和审计
支撑环境	系统设计阶段安全风险:系统安全设计,系统设计阶段安全测试,系统设计阶段安全评估系统设计阶段稳定性风险:系统设计阶段稳定性测试(MTBF、MTTR、MTTF) 管理风险:制定管理制度和惩罚机制,制定安全应急响应机制,安全培训	系统运行阶段安全风险:系统运行阶段安全测试,系统运行阶段安全评估系统运行阶段稳定性风险:系统运行阶段稳定性测试(MTBF、MTTR、MTTF)	系统运行阶段安全风险:系统运行阶段安全测试,系统运行阶段安全评估系统运行阶段稳定性风险:系统运行阶段稳定性测试(MTBF、MTTR、MTTF) 审计风险:安全审计管理风险:落实管理制度和惩罚机制

[1]	国家数据局, 中央网络安全和信息化委员会办公室, 科学技术部, 等. “数据要素×”三年行动计划(2024—2026年)[Z], 2024.
[2]	全国信息安全标准化技术委员会. 网络安全标准实践指南网络数据安全风险评估实施指引:TC260-PG-20231A[S], 2023.
[3]	国家市场监督管理总局, 国家标准化管理委员会. 信息安全技术信息安全风险评估方法:GB/T 20984—2022[S]. 北京: 中国标准出版社, 2022.
[4]	国家市场监督管理总局, 国家标准化管理委员会. 信息安全技术个人信息安全规范:GB/T 35273—2020[S]. 北京: 中国标准出版社, 2020.
[5]	国家市场监督管理总局, 国家标准化管理委员会. 信息安全技术大数据安全管理指南:GB/T 37973—2019[S]. 北京: 中国标准出版社, 2019.
[6]	国家市场监督管理总局, 国家标准化管理委员会. 信息安全技术个人信息去标识化效果评估指南:GB/T 42460—2023[S]. 北京: 中国标准出版社, 2023.

Discussion on the construction of a management framework for enterprise data circulation risk

RichHTML

PDF

Knowledge

Abstract

Cite this article

share this article

Figures/Tables 5

References 6

Related Articles 8

Recommended Articles

Metrics

Comments

[1]	HONG Qi’an, YU Rundong, YU Shengbo, LONG Xiangyu. A review of data element circulation for intelligent connected vehicles [J]. Information and Communications Technology and Policy, 2024, 50(3): 27-34.
[2]	ZHU Yue. Practical difficulties and solutions of differential privacy for personal information protection [J]. Information and Communications Technology and Policy, 2024, 50(1): 37-44.
[3]	ZHAO Jiang, JIANG Zhongjun. Study on how to build data circulation base [J]. Information and Communications Technology and Policy, 2024, 50(1): 90-96.
[4]	LYU Ailin, WANG Zeyu. Progress and development trend of data factor market [J]. Information and Communications Technology and Policy, 2023, 49(4): 2-8.
[5]	ZHANG Sirui, YAN Shu. Key breakthrough of building data factor market: authorized operation of public data [J]. Information and Communications Technology and Policy, 2023, 49(4): 22-26.
[6]	ZHENG Yi, LIU Jiajia, SHI Congcong, WANG Qian. Promoting marketization of data elements with data trust [J]. Information and Communications Technology and Policy, 2023, 49(10): 62-65.
[7]	LYU Ailin, YAN Shu. Some thoughts on cross-platform interconnection of privacy preserving computing [J]. Information and Communications Technology and Policy, 2022, 48(5): 2-6.
[8]	Zelin LU, Yan CHEN. The theoretical connotation, realistic challenges, and practical path on marketization for data [J]. Information and Communications Technology and Policy, 2022, 48(1): 11-18.