大数据安全治理：现状、挑战与前景 - 数据科学与管理2（2021）41

数据科学与管理2（2021）41讨论大数据时代的数据安全治理：现状、挑战与前景孙丽媛a，张红云b，方超b，*a国家计算机网络应急技术小组/协调中心，北京，100029bXi交通大学管理学院，A R T I C L E I N F O关键词数据安全网络安全数据共享数据隐私大数据A B S T R A C T当前，全球大数据产业蓬勃发展，技术演进与应用创新同步加速。数据存储、计算和分析的新技术，如非关系数据库、分布式并行计算、机器学习和深度数据挖掘已经出现并迅速发展。大数据已逐渐成为国家基础性战略资源和基础性生产要素然而，越来越多的大数据安全问题暴露出来，全球范围内发生的大数据安全事件数量呈上升趋势。在此背景下，本文总结了全球数据安全治理的现状，指出了面临的挑战，并提出了进一步实现数据安全治理体系现代化的解决方案1. 全球数据安全治理全球各国和经济共同体都制定了应对措施，以应对新出现的大数据安全问题，并通过加强数据安全治理为即将出现的问题做好准备。1.1. 加强立法保障个人资料对于涉及隐私的敏感个人数据，各国都加强了立法保护。世界上许多国家都有某种合法的拦截计划（Brown，2008年）。总体上形成了两种立法模式，即美国的立法模式和美国的立法模式. 以隐私权为基础的欧盟模式和以人格权为基础的欧盟模式。具体而言，美国该模式的特点是分散立法和部门规章，强调对信息使用和工业利益的管制。另一方面，欧盟模式的特点是统一立法，加强个人对自己信息的控制，严格的惩罚机制。1.2. 建立数据监管机制对于影响公众社会的工业数据、政务数据、科研数据等公共数据，世界各地都充分认识到数据共享的战略意义，并已启动开放数据计划。但必须在确保国家安全、公共安全和社会稳定的前提下。例如，中国的《数据安全法》将于2021年9月1日生效，并明确将建立国家级的评估、报告、信息共享、监测和预警系统机制，并辅以数据安全事件应急响应机制，以消除安全风险，减轻损害。1.3. 强调国家数据主权随着各国对数据资源的争夺日益激烈，数据主权面临严峻挑战。美国它对跨境数据流采取自由政策，这使Facebook，Twitter和YouTube等互联网平台公司在跨境数据流方面具有先发优势相反，欧盟制定了非常严格的监管措施，如白名单和标准合同。法国是西方国家中第一个对关键基础设施运营商实施新网络安全规则的国家2020年9月，中国外交部发布《全球数据安全倡议》，提出全球数字治理应坚持多边主义、安全&发展、公平&正义三项原则。其他一些国家和地区，如日本和新加坡，同行评议由Xi交通大学负责* 通讯作者。E-mail：fangchao@X jtu.edu.cn（C. Fang）。https://doi.org/10.1016/j.dsm.2021.06.001接收于2021年6月10日;接受于2021年6月18日2021年6月23日在线提供2666-7649/©2021 Xi'an Jiaotong University.出版社：Elsevier B.V.代表科爱通信有限公司公司这是一篇基于CC BY-NC-ND许可证的开放获取文章（http://creativecommons.org/licenses/by-nc-nd/4.0/）。可在ScienceDirect上获得目录列表数据科学与管理杂志主页：www.keaipublishing.com/en/journals/data-science-and-managementL. Sun等人数据科学与管理2（2021）4142制定个人数据保护法与此同时，相关学科也出现了一批学术研究. 例如，针对跨境数据流的风险管理，Li et al. 风险路径识别和风险等级分类方法，为预警管理提供决策支持。D'elia，D（2018）建议，为了建立网络安全机制，产业政策需要考虑市场驱动的目标，以及与数据保护和技术独立性问题相关的同等重要的目标。1.4. 培育和建设开放的公共数据国际社会已经达成共识，公共数据有巨大的价值需要挖掘，各国迫切需要构建公共数据的适当开放生态，为公众服务。自2009年以来，开放政府数据倡议开始出现，例如，2009年奥巴马行政命令和2010年欧盟委员会的数字议程，欧洲的开放数据倡议最初是由潜在的透明度和经济效益驱动的（Donker和Van Loenen，2017）。 以英国为例，建立了跨部门信息共享的政府知识网络体系，以中央-地方垂直管理模式为基础，协调、管理、收集和发布国家层面的数据。另一种模式是新加坡推出了国家信息技术计划，旨在为政府信息交换和共享提供一站式信息服务2. 数据安全治理信息技术安全的可靠性与技术设计同等重要（Anderson和Moore，2006）。尽管各国已采取行动应对已经出现或可能出现的数据安全治理问题大数据安全威胁在大数据产业链的各个环节，如数据的产生、收集、处理和共享等，都无处不在其原因是复杂而多方面的，从外部攻击到内部泄密，从技术漏洞到人为破坏，从新技术到新模式产生的新风险以及传统安全问题的反复出现（Leeet al.， 2020年）。2.1. 数据安全的技术能力不足大数据推动数据生命周期从传统的单链形态演变为复杂的多链形态，增加了共享和交易环节，数据应用场景和角色更加多样化在复杂的应用环境下，数据安全的首要要求是保证国家关键数据、企业机密数据、用户隐私数据等敏感数据不被泄露（Kim and Kwon，2019）。然而，隐私保护方法大多基于传统的匿名化、模糊化和密码学技术，而在大数据环境中收效甚微（Yinet al.， 2018年）。2.1.1. 数据收集阶段由于大数据量大、种类繁多且来源复杂，数据收集过程面临验证数据真实性和完整性的困难到目前为止，还没有可靠的解决方案来判断和监控数据的真实性和可信度这使得识别和删除虚假甚至恶意数据变得困难2.1.2. 数据流通共享阶段在数据流通和共享阶段，多源海量数据的汇聚增加了访问控制策略制定和授权管理的复杂性，过度授权和授权不足的情况非常普遍。复杂大数据的数据存储和海量场景使得数据加密的交付成为一个非常棘手的问题，海量数据的密钥管理也是一个亟待解决的问题。2.1.3. 数据存储阶段大数据因其巨大的价值和集中的存储管理模式，成为网络攻击的重要目标，数据存储阶段也面临重大数据安全事件新颖而复杂的网络攻击技术揭示了传统检测和防御技术的严重不足，以及它们在有效防御外部黑客和攻击方面的无能最重要的是，大数据价值的低密度性质使得安全分析工具难以专注于真正的价值点。2.2. 网络空间威胁和潜在风险增加网络空间以各种方式融入人类社会，对全球政治、经济、科技、文化、社会和国防军事的影响越来越深刻。& 网络安全已成为一个深刻影响公民生活、个人隐私、公众经济繁荣以及国家安全的根本问题（Xu etal.，2021年）。网络安全事件可以是任何类型的计算机网络攻击、计算机相关犯罪以及网络资源的误用或滥用，其可以被定义为导致网络安全威胁或损害的不良意图的行为/事件/情况/数据收集（Sun等人， 2019年）。如何防范和化解网络安全风险，已成为新时期亟待解决的重大课题例如，公共互联网已成为数字经济蓬勃发展的重要载体和创新源泉，成为社会交往和广大民众文化精神生活的新空间因此，应有效防范和最大限度地减少公共互联网的社会安全风险。勒索软件和其他恶意代码的广泛传播对网络环境安全和公共安全构成了巨大威胁。另一方面，针对电信、金融、电力、交通、能源等关键信息基础设施的网络攻击，一旦发生严重破坏，可能造成2.3. 数据安全系统2.3.1. 数据隐私保护不足很明显，科技的进步并不能满足保障私隐的迫切需要大数据应用场景下的个人数据保护，需要构建一个融合法律、技术、经济等多领域方法的保护体系。目前，广泛使用的数据脱敏技术受到来自多个来源的数据聚合的严重挑战，并且很可能失败。此外，对于匿名化算法等尖端技术，实际应用很少，通常受到计算效率低和开销高的困扰。2.3.2. 数据安全法律体系不完善虽然近年来世界上许多国家或经济共同体都出台了各种数据安全法律法规，但总体上这些法律法规还不完善，存在立法不全面、解释不深入、保护与发展不协调由于各大洲的法律不同，立法受到地方的限制（Kirkha等人， 2013年）。此外，在数据流通国际化的背景下，一旦数据被汇总，个人数据的所有权就变得不明确，迫切需要一个具有国际标准的法律框架来解决国家之间与数据有关的问题和争端L. Sun等人数据科学与管理2（2021）41432.3.3. 数据安全人才库不足大数据时代对安全提出的新要求，要求安全分工更加精细，安全人才资源得到更大的支撑 对网络安全人才的需求达到了前所未有的高度（Weng等， 2016年）。同时，大数据安全领域技术知识更新迭代&快与专业人才供给周期慢的矛盾也较为突出，高端数据安全人才缺乏。由于数据安全对人才的技术和实践门槛很高，除了掌握技术技能外，他们还需要横向和纵向了解行业的运营、流程和设备3. 推进大数据安全治理现代化的建议3.1. 构建数据安全综合防御技术体系3.1.1. 建立全生命周期数据保护体系建议建立涵盖数据收集、传输、存储、处理、共享和销毁全生命周期的安全保护体系。建议综合运用数据源验证、大规模传输加密、非关系型数据库加密存储、数据交易安全、数据防泄露、数据销毁等技术，结合系统现有网络数据安全技术和设施，进一步构建纵深防御体系3.1.2. 升级大数据平台安全防御能力引入用户和组件身份认证、细粒度访问控制、数据操作安全审计、数据脱敏等隐私保护机制，从机制层面防止非授权访问和数据泄露同时，应更加关注大数据平台组件配置和运营中的安全问题，加强对突发安全事件的应对能力是平台的必要选择3.1.3. 完善数据安全标准体系和评价体系统筹规划数据安全相关标准体系建设，积极开展&通用和专用数据安全标准的研发工作。加强数据安全检测和评估，推动实施跨境数据流安全评估。建立大数据平台和大数据服务安全评估体系，制定大数据安全技术标准和评估标准，推进第三方评估机构、人员资格认证等配套管理制度。3.2. 提升防范化解网络安全风险能力防范和化解网络安全风险是一个系统的、复杂的、长期的过程，必须立足长远和全局。从社会主体和客体系统两个方面采取行动，全面化解网络安全风险，维护国家安全和社会稳定，保障和促进数字经济发展，保护公民合法权益3.2.1. 充分履行网络安全主体的责任和义务发挥治理主体作用，严厉打击危害网络安全的违法犯罪行为，严惩失职违法行为，以强大的法律威慑力防范化解网络3.2.2. 完善网络安全防控体系。充分发挥现有安全评估、风险评估、等级保护等体系的整体效能，提高信息技术产品和系统隐患排查能力3.2.3. 提前风险预警和应急机制。基于区块链、安全多方计算等的探索加快建立数据实体间的数据安全集成和连接机制，构建多层次协同的数据大脑，为网络安全风险应急处置提供数据驱动的决策依据3.3. 完善数据安全治理支撑体系3.3.1. 加强数据安全顶层设计制定国家数据安全保护战略我们要从国家安全和国家战略资源的高度来定位数据安全，加强数据战略继续完善通信、金融等重点行业关键数据和用户信息跨境流动监管政策。应加强对跨境数据流的评估，并制定相关国际标准和规则。3.3.2. 建立数据安全人才体系建议建立适应数据安全特点的人才管理体系，打破制度边界，实现人才有序高效流动聚焦信息技术前沿方向和关键领域，加快培养数据安全领军人才3.3.3. 促进数据安全和隐私对于已经出台的法律法规，应进一步制定实施细则。扩大现有法律的调整范围，加快制定数据权属法，明确大数据权属边界3.3.4. 完善数据分类分级监管体系分类分级管理和保护数据，在保护数据安全和个人隐私的同时，最大限度地释放数据价值。 数据分类制度应从提高监管效率的角度出发，对不同类型和等级的数据采取不同的监管措施和法律要求。 同时，企业将根据行业惯例制定数据安全保护、数据流、数据合规的分类分级体系。竞合利益作者声明不存在利益冲突致谢本研究得到了国家自然科学基金项目71901169、中央高校基础研究基金和陕西省自然科学基础研究计划2021 JM-026的部分资助引用安德森河，Moore，T.，2006.信息安全经济学。Science 314（5799），610- 613.Brown，P.，2008年太字节和恐怖时代的隐私Sci. Am. 299（3），46- 47。L. Sun等人数据科学与管理2（2021）4144D'elia，D.，2018.产业政策：法国网络安全战略的圣杯？ Journalof Cyber Policy 3（3），392- 413.Donker，F.W.，Van Loenen，B.，2017.如何评估开放数据生态系统的成功？InternationalJournal of Digital Earth 10（3），284- 306.金，S. H.，权，J.，2019. EHR和有意义的使用计划如何影响患者信息的泄露？INF. 系统Res.30（4），1184- 1202。Kirkham，T.，温菲尔德，S.，Ravet，S.，Kellomaki，S.，2013年。个人数据安全的个人数据存储方法。 IEEE Security &Privacy 11（5），12- 19.李，J. K.，Chang，Y.，Kwon，H.Y.，金，B.，2020.隐私与预防性网络安全的协调：明亮的互联网方法。INF. 系统 前面22，45- 47。李杰，Shen，S.，太阳，X.，Xing，X.，2021.识别及分类跨境重要数据流背景下的风险路径。中国管理科学杂志29（3），90- 99。Sun，N.，张杰，Rimba，P.，Gao，S.，张永良，字友良，字军，-人Xiang，Y.，2019.数据驱动的网络安全事件预测：调查。IEEE Communications Survey&Tuesday 21（2），1744- 1772.翁，J.，Ma，C.，Gu，L.，2016年。网络安全人才培养探讨中国网络与信息安全杂志2（2），2徐，S.，Yung，M.，王杰，2021.寻求网络安全科学的基础。Inf. Syst. Front 23，263Yin，C.，中国植物研究所，Xi，J.，孙河，巴西-地王杰，2018.工业物联网大数据中基于差异隐私策略的位置隐私保护。IEEE Transactions onIndustrial Informatics 14（8），3628-3636.