工信部对互联网企业及主流APP进行数据安全检查

　　工信部对互联网企业及主流APP进行数据安全检查

　　今后，数据过度采集滥用行不通了

　　本报记者 过国忠 通 讯 员 梅国英 孙文荊

　　近日，工业和信息化部正式印发《电信和互联网行业提升网络数据安全保护能力专项行动方案》(以下简称《行动方案》)，将在行业内部署开展为期一年的提升网络数据安全保护能力专项行动，并明确提出在今年10月底前，完成全部基础电信企业、50家重点互联网企业以及200款主流APP的数据安全检查。  

　　那么，此次政策出台的背景是什么？本次行动又主要涉及哪些方面？对于相关行业将产生哪些影响？近日，科技日报记者走访了业内专家。

　　数据安全不是孤立的问题

　　“数据和数据安全一直伴随着人类的生活。从古至今，个人、家庭、团体、政府对于自己感兴趣的数据都有收集和记录，对于数据安全也有自己的分级认定。”常州信息职业技术学院院长周勇说，各国政府都有相关的数据安全和网络安全保护法，我国也早就出台了《网络安全法》《互联网信息服务管理办法》《电信和互联网用户个人信息保护规定》等法律法规。

　　无锡永中软件有限公司总经理谈辉认为，“在大数据时代，数据已经成为了资产和金矿，企业通过大量收集数据，建立模型，进行分析和预测。数据过度采集和滥用的情况普遍存在，个人信息泄露现象严重，特别是随着4G的使用和手机应用的极大普及，个人变成透明人的趋势越来越明显，从姓名电话到食衣住行等生活和消费轨迹在网络中均有迹可循”。

　　“我们国家历来高度重视数据安全问题，在《网络安全法》立法中就有相关的内容，今年新推出的等级保护2.0标准中也明确了个人信息保护的内容；中央网信办出台了《数据安全管理办法(征求意见稿)》，各地方政府也陆续出台了一些相应的管理规范，例如天津市互联网信息办公室发布了《天津市数据安全管理办法(暂行)》。”谈辉说。

　　在周勇看来，数据安全不是孤立的问题，数据安全也涉及到网络安全、软件安全、数据库安全、电脑操作系统安全，以及容灾备份等。这次工信部颁布的《行动方案》，是对以往网络数据安全保护法律法规的升级、执行力度的加强、以及数据安全保护技术创新的推进。具体讲，就是从法律法规、技术手段、流程制度、政府监管、社会意识等方面加强和提升数据安全的保护。

　　数据安全要有明确的标准和定义

　　记者了解到，此次《行动方案》中指出，2019年10月底前完成全部基础电信企业、50家重点互联网企业以及200款主流APP数据安全检查。从这一举措来看，目前主要覆盖基础电信通话和网络接入数据、互联网用户行为数据、移动应用数据等，核心目标是保护消费者的网络数据安全权益。

　　“这次《行动方案》可以解读归纳为以下几个方面：进一步完善网路数据安全制度标准，开展数据安全评估，强化数据安全保护管理制度和流程，创新推动数据安全技防能力的建设、监督和宣传。”周勇说。

　　什么才算数据安全？周勇认为，数据安全要有明确的标准和定义。当然数据安全不是绝对的，而是相对的。同样的数据对于提供者和使用者可能具有截然不同的安全理解。数据安全应该有级别的定义，这项工作需要政府专业部门来做。所以本次《行动方案》明确将推动出台行业《网络数据安全标准体系建设指南》，加快完善行业网络数据安全标准体系；制定出台行业重要数据识别指南、网络数据安全防护等重点标准，遴选企业开展贯标试点；指导中国通信标准化协会成立网络数据安全标准专项工作组，加快推动网络数据安全相关标准制定工作。

　　周勇说，数据保护是否合理合规等，需要企业自我评估，更需要专业的第三方机构评估、政府专管部门评估，甚至跨部门的联合评估。这样做的目的就是在法律法规的层面上对企业数据安全事故提前进行预判和防范，防止数据安全事故的发生。

　　周勇表示，数据安全管理必须要有“清单式”管理机制。要有专部门、专人、专职负责数据安全。数据访问权限、数据访问记录、数据容灾备份等安全技术需要全部落实到位。

　　除了标准建设，周勇提出，技术手段也是保护数据安全的关键，尤其是不断推陈出新的技术手段。只有采用先进的技术手段，才能对数据安全漏洞进行定期的自动化监测，并及时发现问题。技术手段防护也体现在数据防攻击、防窃取、防泄漏、数据备份和恢复等方面。当然，要做好这方面的工作，一要大力加强数据安全保护技术的研究工作，二要培养这方面的专业技术人才。同时，数据安全保护需要政府监管，也需要社会监督。广泛宣传数据安全的重要性，唤起全社会对数据安全的认知，才能更好的堵塞数据安全漏洞，避免出现数据安全事故发生。

　　工业互联网企业应足够重视