“十四五”規劃中提出數字中國的愿景。國內數字經濟建設進程加速，新應用、新場景需求飛速增長，數據要素的作用和價值愈發凸顯。但數據要素得到充分利用的同時，數據安全事件卻時有發生，并時刻威脅著個人、企業甚至國家的安全。
在這個過程中，保障數據安全的重要性不言而喻，守護好數據安全合規的底線，才是經濟社會長遠發展之道。
近日，《財經》雜志助理主編、財經E法主編朱弢邀請中國社會科學院大學副校長林維，新華三集團副總裁、技術戰略部總裁劉新民和新華三集團副總裁、新華三信息安全技術有限公司總裁孫松兒，共同探討市場主體如何平衡“數字化發展”與“數據安全保護”之間的關系。我們擷其要者編輯成文，以饗讀者。
保護數據安全，必須由“點”到“面”
朱弢：大家知道我們現在已經進入了數字經濟時代，或者叫數字時代。各個行業得益于數據產業的發展而拓展新的商業空間，數據滲透到各個領域，成為支撐國民經濟發展的一個重要的生產要素。需要看到，數據在經濟和社會發展中扮演著越來越重要的角色。今天節目聚焦于數據安全這個話題，去討論如何平衡“數字化發展”和“數據安全保護”的關系。
在當今這個數字時代，數據的應用無所不在。正因為如此，中國在去年出臺并實施了《數據安全法》，我們首先從宏觀的層面，請各位介紹一下，數據安全行業的發展現狀以及法律合規建設情況。
林維：其實從古到今我們生產了很多數據，但是數據的重要意義，也是我們進入網絡時代以后它才獲得了如此重要的意義，就是數據成為生產要素。
因此最近一段時間，我們國家加強了對數據法律的建設。尤其是《數據安全法》，對有關數據的定義，數據的分類，數據從產生到儲存，再到全流程當中所涉及到的不同法律主體進行了界定。乃至對產生各種數據安全事故、事件以后，各主體所需承擔的有關法律責任，都做了原則上的規定。
朱弢：數據安全產業的整體情況是什么樣的呢？
劉新民：傳統意義上的信息化系統，更多的是數據產生之后的應用。通過計算產生數據之后拿去存儲，然后再應用，這個系統本身是它自己在運作。但在現在的數字化時代，應用發展越來越深的時候便打破了這個界限。不同系統之間數據在流動，不同機構之間數據在流動，不同行業之間數據也在流動。從原來純粹的數據計算、產生到存儲，變成了“算、存、傳、用”。那在這個過程中，就涉及了很多問題，有個人隱私問題，個人信息安全問題，數據使用過程中的合法合規。這些在當今社會都是非常嚴重的問題。因為它會造成財產的損失，甚至還會造成社會性的問題，如危害國家安全。
所以這樣的條件下，自然就產生了對數據合規安全使用的要求。技術界其實也是針對這些問題，不斷研發新的技術工具去保護數據的使用。這樣自然而然地產生新機遇，即數據安全形成一個大的產業。
孫松兒：應該說現階段數據安全產業處在非常好的時期，需求和問題都非常清晰。（行業內）針對數據安全推出了包括一些針對數據庫訪問、用戶行為審計、終端的和管控的解決方案。但是我們感覺這些方案更多還是局限在點狀的環節上。當數據在二次開發、二次使用之后，我們還需要考慮這些應用類數據的訪問合規問題。綜合來看這些問題，需要一個整體的解決方案來應對。
現階段整個產業的發展還處在初級階段。我們能看到整個數據安全在不同的行業落地，例如智慧城市、政府、金融、電力、能源等。但不同行業在不同場景下有不同的數據安全防護需求，所以從這個角度看，如何將通用的數據安全防護技術和場景化的數據安全需求相結合，這是一個后續需要長期要跟蹤和考慮的問題。
朱弢：您說“點狀”的意思是說根據不同的需求，提供一個針對性的解決辦法，還是指的什么？
孫松兒：因為數據的安全涉及到它的整個生命周期，包括采集、存儲、傳輸、交互和共享等多個環節。現階段很多的解決方案相對來說都是基于某一個點，比如在數據的傳輸和存儲過程中需要加密，數據傳輸過程中還需要防攻擊、防劫持等等，還比如在數據的訪問過程中，可能我們也需要一些權限的控制。
朱弢：它的難度在哪？
孫松兒：第一個方面，因為整個數據產生的環節比較多，涉及到相應的技術協議也比較多，那么在數據的全生命周期過程當中，怎么把各個環節所采用的技術連通關聯起來，這是一個整體的，也相對比較大的解決方案的問題。另外一個方面就是我們剛才說的，數據安全和場景化結合得比較深。
劉新民：對于數據安全使用的頂層設計，這些事情可能會由各行業或者相關牽頭部門來做。比方說在智慧城市領域內，數據的規劃是有頂層設計的。在企業方面，像我們公司自己也在做這種頂層設計。當然現在還處于起步階段，剛剛開始，并不是說有多成熟。因為我們做這些東西還要看法律。
林維：可能從法律上來講，一個點的保護、一個面的保護，它的復雜性可能不太一樣。因為數據不是一個死的東西，數據價值的產生，就在于它是流動的，在數據流動的過程當中，它會碰到不同的法律的主體，形成了更復雜的網狀的法律關系。
把數據放入“安全屋”
朱弢：“十四五”規劃提出了數字中國和數字政府的愿景，在云計算和大數據產業發展過程中，政府的服務能力和治理能力也得到了很大的提高。在這個過程中，如何去保障數據安全，各位有什么建議？
劉新民：在深度數字化過程中，“數據要拿出來用”已經是一個很顯著的社會化需求了。但要解決的問題是，你的哪些數據我可以用，可以放心地拿出來用。現在比較熱點討論的技術領域叫隱私計算，當隱私的數據要想拿出來使用的話怎么辦？那就要通過技術方案可以保證數據在本地計算，且計算之后的這個結果是經過了加密的，這個結果可以集中到政府平臺上再去二次計算，出來的結果是政府需要的，中間的這些過程可能誰都拿不到，這是通過技術來實現的。我們搞隱私計算的研究就是想解決這些東西，就是在數據的使用過程中，如何把數據的安全保護發揮到極致。即我要你的數據，但是實際用的不是那個（原始）數據，而是一個我可以要的結果，這就是現在技術態勢正在做的。
孫松兒：其實無論是數字政府還是數字中國，老百姓所看到的更多還是各種應用。一些涉及到惠民的業務系統和應用系統的開發，一定是涉及到政府對相關數據授權使用的問題。所以從這個角度看，政府怎么把一些相對敏感的數據提交給第三方的開發平臺，然后由開發平臺對這些數據進行統一的數據挖掘，包括應用層級的開發，其中權限的使用控制是一個問題?，F在也有“數據安全屋”的概念，政府可以把相關數據放在安全屋里，經過相應的脫敏處理，然后提供給第三方做應用系統的開發，這是一個很好的點子。
林維：數據安全問題首先應該講還是一個技術問題，因為數據的安全需要技術的手段來加以保障。但它同時也是一個法律問題，因為我們所有的數據的流動，都是在企業、政府等等相應的主體中。需要讓企業從數據的流動過程當中能夠獲得利益，并且這樣的利益為法律所能允許，并對它進行保護，那么它自然而然地就會有利益驅動去保護自己的數據。當然我想從政府的這個角度來講，即數據同時又是一種戰略資產。它影響到國家安全，影響到社會穩定。在這種情況之下，政府就要提供一個外在的動力機制，去要求、命令甚至在某種意義上是強迫企業要遵守一些硬性規定，以便保證在這些機構當中，所存儲的這些數據的安全性。
用“數盾”為“東數西算”護航
朱弢：今年2月，“東數西算”工程正式啟動。所謂“東數西算”，“數”就是數據，“算”就是算力。簡單說就是用西部的算力，支撐東部的數據處理，更好地賦能數字經濟。“東數西算”是國家層面的一項宏觀的戰略規劃，這一個規劃對于數據安全行業有什么意義，對于未來的數據安全體系的建設，會有什么影響？
劉新民：它本身是一個非常大的“新基建”工程，其中涉及到數據的流動、利用，我覺得這可能是東數西算工作中最本質的需求了。怎么把這些數據能夠拿來利用？《數據安全法》等一系列的數據安全規定就是要針對這個問題做一個頂層設計，這相當于市場已經啟動了。那如何在這個市場里把數據的安全使用做好，不要在這個發展過程中走岔道，在整個東數西算在這種應用的時候，關于數據安全的頂層設計實際上是需要先行啟動的。我們可以看到在各行業，針對數據的安全計算、安全傳輸、安全交互都在做相應的工作。像我們新華三，跟我們的生態一起，形成了像隱私計算體系、隱私計算的一體機、隱私計算的解決方案，還有和我們安全產品線形成的數據安全整體防護解決方案。
數據安全現在整體也在初期啟動階段，企業其實已經初步準備好了，現在需要政府的牽頭建設單位來拉動大家一起做好這個頂層規劃、頂層設計。我相信在這樣的工程牽引下，中國可能會在信息安全、數據安全、數據安全法律法規體系的應用會更加完善，包括場景的豐富度。相信未來的3到5年，中國在這個（數據安全）領域內可能會走到前列去。
孫松兒：整個“東數西算”過程當中我們要分成三個部分（來看）：第一部分，數據怎么樣從東部安全地、不被劫持地傳輸到西部，這個傳輸過程當中的各種的安全的問題，安全的風險，都是需要考慮的。
第二是數據到了西部之后，在整個計算的過程當中，怎么樣做到數據的合理使用，包括數據的加密存儲，高效存儲，這也是我們需要考慮的問題。第三，當所有的數據的算力計算完成之后，算出來的數據是需要供第三方使用，如何使數據在流轉過程當中實現合理、合規、有序的訪問控制，即誰能夠有合法的權限來訪問這些數據，也是需要考慮的一個問題。
業界認為，“東數西算”中的數據安全，我們需要建設一個“數盾”工程，新華三對于“數盾”工程也有自己的一套理解和相關的解決方案。
朱弢：我理解“東數西算”，它主要還是涉及到比如說數據的處理，然后數據的傳輸，以及數據的再使用，所有的數據其實都涉及到這個過程，“東數西算”會有特別的挑戰嗎？
劉新民：它的挑戰是大規模集中，是在政府大的“新基建”工程的牽引下，第一次這么大規模的集中。第二，超遠距離的集中，而且是各大行業真正集中，只要你的市場的需求引領合適，你的場景定義確切，它就會引申出來數據的跨領域的使用，從而對數據安全提出非?？量痰囊蟆Ｎ矣X得挑戰是空前的。
孫松兒：在東數西算的整個“數盾”過程當中，數據安全的建設與常規項目相比還是有很大的區別。區別在幾個方面：
第一，超高速性能的傳輸，超高速、超大容量數據的傳輸，包括加密存儲。這種加密存儲，它的量級跟我們常規的企業數據或者一些政府數據，完全不在一個數量級。第二，怎么樣在這種不同的數量級上，把數據安全做好，這是第二個問題。第三個問題，我們說“東數西算”里面更多的是各行各業的數據。帶了標簽的數據進來大集中之后，那么一定會涉及到這么多數據的跨部門、跨領域融合共享的問題。所以從這個角度來看，不同領域，不同業務部門的不同類別數據，如何做到對它合理合規的使用，這也是一個我們所面臨比較大的挑戰。
林維：我覺得主要是因為規模太大，特別龐大的國家的戰略。但它同時會涉及到超大規模的數據遷徙流動。這個過程當中，數據安全如何得到保護，這是第一個問題。第二個，跟過去的分散型的數據安全不同的地方在于，它是一個大規模的集中。那么數據集中之后所帶來的數據安全問題跟分散的數據相比，它的難度是一個指數級的增長。第三個，因為不同的數據都堆放在一起了，基于數據而產生的經濟效益也是指數級增長的。那么對如此規模的經濟效益及其產生的利益，我們如何去進行分配、進行共享、進行切割？這也是我覺得未來數據的法律制度所需要提前考慮的。那么在這個過程中，不僅僅是利益分配和共享的問題，還涉及到安全責任的分配問題。哪個環節，哪個流程，不同的主體都應該承擔各自不同的法律責任，對于數據安全應該提供什么樣的保障，這個要進行清晰的明確。
劉新民：我覺得在整個中國社會深度數字化過程中，針對這些出現的問題，不管是信息安全問題、數字安全問題，還是更遠一點的元宇宙，以及數字身份問題等等。我覺得法律在數據安全相應方面的體系會愈發完善，實際上也會對“東數西算”這樣一個體系提供比較好的保護。
孫松兒：“東數西算”是一個比較大的工程，它也不是一蹴而就的。在這個建設過程中我覺得從國家的標準到一些行業的標準，我覺得相關標準落地的工作肯定會做的，不一定能夠升級成法律法規，但比如說數據安全的建設標準、建設規劃、建設指南，這些東西我覺得會在實踐過程中慢慢地形成，發布后對行業也是有指導意義的。
數據安全無邊界
朱弢：哪些行業對于數據安全的需求是最強烈的？對于這些行業來說，在解決方案上，能提供一些建議嗎？
林維：我個人以為，比如說金融和政務這兩類數據，一方面是因為我們上報的金融數據里面類型特別多，而且直接跟公民的財產安全和其他法律權益聯系得非常緊密。另外一方面，我為什么講有關政府的數據，是因為除了某個行業、某個領域的數據以外，其實在我們政府機構里面保留了我們公民的大量數據，并且不光是公民的，也包括企業主體的，各行各業。
那么如何保證這些數據的安全，避免數據泄露、滅失以及被非法利用。我想特別強調的是：在我們疫情防控三年的時間里，由此產生了大量的個人信息數據，尤其是在這個過程當中信息收集和儲存的主體五花八門。所說的建議我想無非也就是說要嚴格地按照我們《網絡安全法》《數據安全法》，甚至有的數據還可能會構成國家秘密，那么也要用有關《國家安全法》《中華人民共和國保守國家秘密法》等等法律法規加以規制。更重要的是我們的政府、各級機構的工作人員，一定要有有關數據安全保障的法律意識，對自己所擔負的數據安全保障的法律義務，以及由此產生的嚴重后果要有清晰深刻的認識。
劉新民：講一個我覺得跟個人相關的，像民生領域的購物。不管你是網上購物還是社區購物、超市購物等等，會產生很多個人信息的獲取問題。那么這些信息使用不當或者說采集數據的渠道出現問題時，就會產生個人的信息泄露。
所以說在這種民生領域廣泛存在個人信息的問題、個人賬號的問題。這種情況下，就會有可能你的信息被別人使用，可能導致財產損失，近幾年這種案件是非常多的。所以這樣一個領域，針對終端信息的各種保護可能還真是需要加強監控，加強監管，加強追溯。
朱弢：那作為這個終端來說，它有什么動力去保護，比如說它更規范地去采集？
劉新民：所以我覺得需要的是威懾。是有法律在那里頭威懾你的。你可以不做，但如果出現溯源溯責到你的時候，你承擔重大的刑事責任、法律責任，這樣它就有動力去做了。
林維：剛才劉總主要講的個人信息問題，那《個人信息保護法》其實對此有明確的規定。另外《刑法》也增加了有關侵害公民個人信息的一些犯罪，所以它也按照不同的這個類型做了規定，有些是屬于重要數據，有些敏感數據的，多少條以上它就要構成犯罪。通過這樣的外部機制，去倒逼它和強化它履行數據安全保障的法律義務。
孫松兒：我們可以看到，數據安全的風險歷來就有，但為什么在現階段突然變得這么熱，或者大家關注度這么高，我覺得主要還是有兩個方面的原因。
第一個，現階段的數據流動，相比過去有了長足進步，無論是在政府還是在金融行業，以及像智慧城市等等行業?，F在數據流動起來之后，對數據的跨境、跨域的綜合處理，這方面業務的應用已成為一種趨勢。在這種情況下，只要數據流動起來，就會出現流動數據的安全風險。
另外一個原因，我覺得主要還是因為云計算的發展。云計算的發展導致現在數據沒有邊界了，或者我們說網絡沒有邊界了，安全也沒有邊界了。既然安全沒有邊界，在這種情況下，對數據安全的使用和應用就會存在相關的問題。
以隱私計算平衡數據的價值和安全
朱弢：剛才幾位都提到了金融，如何從不同的層面去加強金融領域的數據安全保障，以便能夠提供更好更安全的服務？另外就是隱私計算越來越被充分的應用，能不能分享一下隱私計算的現狀和未來的趨勢？
劉新民：在對個人信息的管理上我覺得金融是尤其要強調的。誰去查閱你的客戶信息你都得知道，都得要有記錄，要有日志。所以在客戶信息管理上，我是建議首先無紙化。
第二個，所有的查閱必須得有記錄，所有的操作也得可循。最重要的就是客戶信息，有了客戶信息，你其他的事都容易操作的。
說到隱私計算，金融行業它是需要交叉計算的。轉帳、跨行業的金融征信查詢、各種跨境交易，所有的支付其實最終還是走金融的。它還涉及更多的其他混業計算等等，所以金融行業自身中，跨機構的計算要求是越來越多的，所以如何去保證它？至少目前來看，普遍認為隱私計算是一種解決方案。我覺得現在對于隱私計算來說是一個快速發展期，技術本身是一個快速發展期，但是針對場景的落地還是在一個初期。
林維：個人隱私、個人信息和數據利用之間需要實現一個大體的平衡。因為如果我們單純地為了保護個人的信息，最后導致數據不可用，那我們的數字經濟產業它也就不存在了。但反過來我們又不可能說完全地犧牲個人隱私、個人信息，只是為了促進數字經濟。
那怎么樣能夠實現這種平衡，既保護了個人信息或者個人隱私，同時數據有能作為生產要素實現它的價值。使數據能夠“可用不可見”，使我們一些敏感的數據能夠脫敏，使我們一些人身數據能夠去身份化，在匿名化之后仍然能妥當地發揮數據的價值，實現整個數據產業的增長，發揮數據在我們整個管理當中的作用。
我覺得隱私計算就是一個特別好的手段。當然，怎么樣能夠實現這樣的平衡，可能取決于未來隱私計算的技術發展到什么樣的程度，總之就是要實現個人隱私的保護，同時又能夠實現數據的可用。另外一個我想著重提及的就是未來會造成特別大困擾，以及我們應當提前進行法律上規定的，就是數據的跨域跨境尤其跨境流動的問題。在這種全球化的過程當中，我們的數據無時不刻地進行流動，企業的行為，跨國投資等等，都有可能會產生數據。如何實現比如說本地的存儲，本地的使用包括隱私計算、脫敏等等這些問題，這些國家也正在討論制訂有關數據跨境流動的文件，但是我想應該加快這方面的速度，因為這個問題已經迫在眉睫了。
孫松兒：針對金融行業的數據安全風險，我們現在主要由幾個方面切入。現階段大家的共識，金融行業的數據安全風險，主要涉及到三個方面：數據的質量、數據的交換以及數據的共享。
在數據質量這部分，我們更多說的是需要做一些數據的分級分類處理。在數據交換方面，剛才提到的隱私計算，里面涉及到聯邦學習、同態加密、區塊鏈，也是目前比較好的一個方案。另外數據共享部分，剛才林校長也提到了，在現階段金融數據共享的時候，一方面是內部的業務系統，惠民部分App的共享；另一方面還是數據等跨境跨域的流轉。數據跨境跨域流轉的解決方案也是比較大的一個課題，換句話說其中對金融整體性風險的控制方案，現在也是目前解決數據安全風險比較有效的途徑。另外，談到金融的數據安全風險還有一點是需要提及的，就是要想方設法提升用戶側的數據安全風險防范意識。
