中國數(shù)據(jù)安全監(jiān)管趨勢2025：從通用規(guī)則普適到特定行業(yè)聚焦（三）
作者：王良 全開明 謝美山 2025-01-02《網(wǎng)絡安全法》《數(shù)據(jù)安全法》《個人信息保護法》《網(wǎng)絡數(shù)據(jù)安全管理條例》“三法一條例”等法律、法規(guī)形成了中國數(shù)據(jù)治理的頂層設計和網(wǎng)絡安全、數(shù)據(jù)安全、個人信息保護的基礎框架和通用規(guī)則。近年來，在特定領域內(nèi)出現(xiàn)了行業(yè)性數(shù)據(jù)安全管理辦法。例如，適用于汽車行業(yè)的《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》已施行三年有余；適用于工業(yè)和信息化領域的《工業(yè)和信息化領域數(shù)據(jù)安全管理辦法（試行）》已施行了兩年；適用于自然資源領域的《自然資源領域數(shù)據(jù)安全管理辦法》已于2024年3月22日施行；適用于會計師事務所審計業(yè)務相關數(shù)據(jù)處理活動的《會計師事務所數(shù)據(jù)安全管理辦法》已于2024年10月1日施行；適用于《銀行保險機構(gòu)的銀行保險機構(gòu)數(shù)據(jù)安全管理辦法》已于2024年12月27日施行；適用于央行業(yè)務領域的《中國人民銀行業(yè)務領域數(shù)據(jù)安全管理辦法》正在征求意見，等等。
中國的數(shù)據(jù)安全立法和監(jiān)管已經(jīng)開始向特定行業(yè)聚焦，針對特定行業(yè)和領域更具可執(zhí)行性、可操作性的“精準”數(shù)據(jù)安全管理規(guī)定相繼落地。一方面，日益健全的數(shù)據(jù)法規(guī)體系可以為企業(yè)數(shù)據(jù)處理行為提供更好的合規(guī)指引；但另一方面，逐步完善的監(jiān)管執(zhí)法體系也對特定行業(yè)和領域（汽車行業(yè)、自然資源領域、工業(yè)和信息化領域、銀行保險機構(gòu)、會計師事務所等）的企業(yè)數(shù)據(jù)處理行為的合規(guī)性提出了更加嚴格的要求。開展更加“精細”的合規(guī)管理工作，成為企業(yè)數(shù)據(jù)合規(guī)管理2.0階段的基本特征。企業(yè)合規(guī)管理“精細化”表現(xiàn)在：
（1）企業(yè)網(wǎng)絡數(shù)據(jù)承擔主體責任。除了在管理層面需要建立健全網(wǎng)絡數(shù)據(jù)安全管理制度，在技術層面也要采取加密、備份、訪問控制、安全認證等技術措施，甚至規(guī)定了技術措施的種類，諸如：加密、鑒權、認證、脫敏、校驗、審計等技術手段。
（2）企業(yè)需要對數(shù)據(jù)進行分類分級管理，并負有識別、申報重要數(shù)據(jù)與核心數(shù)據(jù)的義務。對重要數(shù)據(jù)處理活動需要進行風險評估或年度風險評估，并定期進行數(shù)據(jù)合規(guī)審計，一些行業(yè)的重要數(shù)據(jù)、核心數(shù)據(jù)還需要向行業(yè)主管部門進行備案、上報或報送。
（3）企業(yè)對所處理的數(shù)據(jù)需要進行全生命周期安全管理，并落實網(wǎng)絡安全等級保護。除了在收集、存儲、使用、加工、傳輸、提供、公開和刪除各環(huán)節(jié)進行安全管理外，在特定場景履行更高的數(shù)據(jù)安全保護要求，確保數(shù)據(jù)持續(xù)處于有效保護和合法利用的狀態(tài)。
（4）企業(yè)數(shù)據(jù)處理的本地化存儲要求高。特定行業(yè)收集和產(chǎn)生的重要數(shù)據(jù)，應當在境內(nèi)存儲。特別規(guī)定了會計師事務所對于審計工作底稿出境，還需要按照國家有關規(guī)定辦理審批手續(xù)等要求。
一、工業(yè)和信息化領域數(shù)據(jù)安全
2022年12月8日，工業(yè)和信息化部發(fā)布《工業(yè)和信息化領域數(shù)據(jù)安全管理辦法（試行）》，并自2023年1月1日起施行。之后，工信部接連發(fā)布了《工業(yè)和信息化領域數(shù)據(jù)安全風險評估實施細則（試行）》《工業(yè)領域數(shù)據(jù)安全能力提升實施方案（2024-2026年）》《工業(yè)和信息化領域數(shù)據(jù)安全事件應急預案（試行）》《工業(yè)領域重要數(shù)據(jù)識別指南（二次報批公示）》等文件。此外，十七家行業(yè)組織共同編制并發(fā)布了《工業(yè)和信息化領域數(shù)據(jù)安全合規(guī)指引》。
（一）主管部門：工業(yè)和信息化部、通信管理局和無線電管理機構(gòu)地方行業(yè)監(jiān)管部門
（二）工業(yè)和信息化領域數(shù)據(jù)分類分級
工業(yè)和信息化領域數(shù)據(jù)包括工業(yè)數(shù)據(jù)、電信數(shù)據(jù)和無線電數(shù)據(jù)等。工業(yè)數(shù)據(jù)是指工業(yè)各行業(yè)各領域在研發(fā)設計、生產(chǎn)制造、經(jīng)營管理、運行維護、平臺運營等過程中產(chǎn)生和收集的數(shù)據(jù)。電信數(shù)據(jù)是指在電信業(yè)務經(jīng)營活動中產(chǎn)生和收集的數(shù)據(jù)。無線電數(shù)據(jù)是指在開展無線電業(yè)務活動中產(chǎn)生和收集的無線電頻率、臺（站）等電波參數(shù)數(shù)據(jù)。
1. 分類：研發(fā)數(shù)據(jù)、生產(chǎn)運行數(shù)據(jù)、管理數(shù)據(jù)、運維數(shù)據(jù)、業(yè)務服務數(shù)據(jù)等。
2. 分級：一般數(shù)據(jù)、重要數(shù)據(jù)、核心數(shù)據(jù)。
3.數(shù)據(jù)全生命周期保護（參考《工業(yè)和信息化領域數(shù)據(jù)安全合規(guī)指引》），見下表所示。
（三）本地化存儲要求：收集和產(chǎn)生的重要數(shù)據(jù)和核心數(shù)據(jù)，法律、行政法規(guī)有境內(nèi)存儲要求的，應當在境內(nèi)存儲，確需向境外提供的，應當依法依規(guī)進行數(shù)據(jù)出境安全評估。
二、自然資源領域數(shù)據(jù)安全
2024年3月22日，自然資源部發(fā)布并施行了《自然資源領域數(shù)據(jù)安全管理辦法》，明確了自然資源領域數(shù)據(jù)范圍，分類分級基本原則，重要數(shù)據(jù)及核心數(shù)據(jù)識別要素及自然資源領域數(shù)據(jù)全生命周期的管理制度，旨在加強自然資源領域數(shù)據(jù)的安全管理，促進數(shù)據(jù)的合法、安全和有效利用。
（一）主管部門：自然資源部、國家林業(yè)和草原局及地方行業(yè)監(jiān)管部門
（二）自然資源數(shù)據(jù)分類分級
自然資源領域數(shù)據(jù)，是指在開展自然資源活動中收集和產(chǎn)生的數(shù)據(jù)，主要包括基礎地理信息、遙感影像等地理信息數(shù)據(jù)，土地、礦產(chǎn)、森林、草原、水、濕地、海域海島等自然資源調(diào)查監(jiān)測數(shù)據(jù)，總體規(guī)劃、詳細規(guī)劃、專項規(guī)劃等國土空間規(guī)劃數(shù)據(jù)，用途管制、資產(chǎn)管理、耕地保護、生態(tài)修復、開發(fā)利用、不動產(chǎn)登記等自然資源管理數(shù)據(jù)。
1.分類：（1）基礎地理信息、遙感影像等地理信息數(shù)據(jù)；（2）土地、礦產(chǎn)、森林、草原、水、濕地、海域海島等自然資源調(diào)查監(jiān)測數(shù)據(jù)；（3）總體規(guī)劃、詳細規(guī)劃、專項規(guī)劃等國土空間規(guī)劃數(shù)據(jù)；（4）用途管制、資產(chǎn)管理、耕地保護、生態(tài)修復、開發(fā)利用、不動產(chǎn)登記等自然資源管理數(shù)據(jù)。
2. 分級：一般數(shù)據(jù)、重要數(shù)據(jù)、核心數(shù)據(jù)。
3. 自然資源重要數(shù)據(jù)、核心數(shù)據(jù)識別參考指標，見下表所示：
（三）全生命周期管理
1. 數(shù)據(jù)安全保護義務：實行分級防護，不同級別數(shù)據(jù)同時被處理且難以分別采取保護措施的，應當按照其中級別最高的要求實施保護，確保數(shù)據(jù)持續(xù)處于有效保護和合法利用的狀態(tài)。
2. 數(shù)據(jù)提供：應告知接收方采取相關安全保護措施。涉及重要數(shù)據(jù)的，與數(shù)據(jù)接收方簽訂數(shù)據(jù)安全協(xié)議，在共享、調(diào)用過程中應當加強安全管控，采取技術措施定期監(jiān)測數(shù)據(jù)共享、調(diào)用的情況。
3. 委托處理：應簽訂合同協(xié)議等法律文件明確雙方數(shù)據(jù)安全責任和義務，“數(shù)據(jù)安全責任不因委托而改變”。涉及重要數(shù)據(jù)的，應當對受托方的數(shù)據(jù)安全保護能力、資質(zhì)進行評估或核實，并監(jiān)督受托方履行數(shù)據(jù)安全保護義務。
4. 本地化存儲：對于自然資源領域重要數(shù)據(jù)的存儲要求為“應當在境內(nèi)存儲”，確需向境外提供的，應當落實國家網(wǎng)信部門數(shù)據(jù)出境安全評估有關規(guī)定。
三、會計師事務所數(shù)據(jù)安全
2024年4月15日，財政部、國家互聯(lián)網(wǎng)信息辦公室發(fā)布《會計師事務所數(shù)據(jù)安全管理暫行辦法》。該辦法主要規(guī)定了數(shù)據(jù)管理，包括總體責任、責任人員、數(shù)據(jù)分類分級、日志管理、數(shù)據(jù)傳輸管理、數(shù)據(jù)加密管理、數(shù)據(jù)備份、業(yè)務約定書、技術保護手段、日常安全監(jiān)測、數(shù)據(jù)出境等內(nèi)容；網(wǎng)絡管理，包括網(wǎng)絡管理制度、資源投入、訪問控制、系統(tǒng)賬戶管理等內(nèi)容；監(jiān)督檢查，包括信息共享、日常檢查、重點檢查對象、安全審查、行政監(jiān)管措施、行政處罰等內(nèi)容。該辦法自2024年10月1日起施行。
（一）主管部門：財政部、省級（含深圳市、新疆生產(chǎn)建設兵團）財政部門
（二）適用對象：適用于開展四類審計業(yè)務相關數(shù)據(jù)處理活動。
其中，前三類主要以會計師事務所服務客戶的類型為標準劃分，具體而言，第一類為上市公司以及非上市的國有金融機構(gòu)、中央企業(yè)等提供審計服務的；第二類為關鍵信息基礎設施運營者或者超過100萬用戶的網(wǎng)絡平臺運營者提供審計服務的；第三類為境內(nèi)企業(yè)境外上市提供審計服務的。第四類以數(shù)據(jù)類型為標準劃分，即使會計師事務所從事的審計業(yè)務不屬于前三類規(guī)定的范圍，但涉及重要數(shù)據(jù)或者核心數(shù)據(jù)的，亦適用。
（三）會計事務所數(shù)據(jù)分類分級
會計事務所“數(shù)據(jù)”是指會計師事務所執(zhí)行審計業(yè)務過程中，從外部獲取和內(nèi)部生成的任何以電子或者其他方式對信息的記錄。
1.分類分級：按照法律、行政法規(guī)的規(guī)定和被審計單位所處行業(yè)數(shù)據(jù)分類分級標準確定核心數(shù)據(jù)、重要數(shù)據(jù)和一般數(shù)據(jù)。
2.書面約定義務：會計師事務所和被審計單位應當通過業(yè)務約定書、確認函等方式明確審計資料中核心數(shù)據(jù)和重要數(shù)據(jù)的性質(zhì)、內(nèi)容和范圍等
（四）數(shù)據(jù)本地化存儲
會計師事務所存儲核心數(shù)據(jù)的信息系統(tǒng)要落實四級網(wǎng)絡安全等級保護要求，存儲重要數(shù)據(jù)的信息系統(tǒng)要落實三級及以上網(wǎng)絡安全等級保護要求。考慮到數(shù)據(jù)匯聚和關聯(lián)的影響，如數(shù)據(jù)匯聚、關聯(lián)后屬于國家秘密事項的，還應當依照有關保守國家秘密的法律、行政法規(guī)規(guī)定處理。
此外，審計工作底稿應當按照法律、行政法規(guī)和國家有關規(guī)定存儲在境內(nèi)。相關加密設備應當設置在境內(nèi)并由境內(nèi)團隊負責運行維護，密鑰應當存儲在境內(nèi)。
（五）數(shù)據(jù)出境限制
會計師事務所不得在業(yè)務約定書或者類似合同中包含會計師事務所向境外監(jiān)管機構(gòu)提供境內(nèi)項目資料數(shù)據(jù)等類似條款。會計師事務所向境外提供其在境內(nèi)運營中收集和產(chǎn)生的個人信息和重要數(shù)據(jù)的，應當遵守國家數(shù)據(jù)出境管理有關規(guī)定。會計師事務所對于審計工作底稿出境事項應當建立逐級復核機制，采取必要措施嚴格落實數(shù)據(jù)安全管控責任。對于需要出境的審計工作底稿，按照國家有關規(guī)定辦理審批手續(xù)。
四、銀行保險機構(gòu)數(shù)據(jù)安全
2024年12月27日，國家金融監(jiān)督管理總局正式實施《銀行保險機構(gòu)數(shù)據(jù)安全管理辦法》。作為金融監(jiān)管總局成立后的第一部數(shù)據(jù)安全立法，該辦法強化了數(shù)據(jù)治理頂層設計，按照“誰管業(yè)務、誰管業(yè)務數(shù)據(jù)、誰管數(shù)據(jù)安全”的原則開展數(shù)據(jù)安全保護工作。在內(nèi)容上，該辦法對數(shù)據(jù)安全治理、數(shù)據(jù)分類分級、數(shù)據(jù)安全管理、數(shù)據(jù)安全技術保護、個人信息保護、數(shù)據(jù)安全風險監(jiān)測與處置、監(jiān)督管理及附則，分別從治理體系、管理制度、技術機制以及風險評估、監(jiān)測與處置機制等方面進行了系統(tǒng)規(guī)范。
（一）主管部門：國家金融監(jiān)督管理總局及其派出機構(gòu)
（二）適用對象：銀行保險機構(gòu)，是指在中華人民共和國境內(nèi)設立的政策性銀行、商業(yè)銀行、農(nóng)村合作銀行、農(nóng)村信用合作社、金融資產(chǎn)管理公司、企業(yè)集團財務公司、金融租賃公司、汽車金融公司、消費金融公司、貨幣經(jīng)紀公司、信托公司、理財公司、保險公司、保險資產(chǎn)管理公司、保險集團（控股）公司。
（三）銀行保險機構(gòu)數(shù)據(jù)分類分級
1.分類：客戶數(shù)據(jù)、業(yè)務數(shù)據(jù)、經(jīng)營管理數(shù)據(jù)、系統(tǒng)運行和安全管理數(shù)據(jù)等。
2.分級：核心數(shù)據(jù)、重要數(shù)據(jù)、一般數(shù)據(jù)。其中，一般數(shù)據(jù)細分為敏感數(shù)據(jù)和其他一般數(shù)據(jù)。
（四）安全管理：建立數(shù)據(jù)資產(chǎn)地圖，開展數(shù)據(jù)安全評估，建立分區(qū)域數(shù)據(jù)安全保護基線
該辦法建立了以“全域數(shù)據(jù)資產(chǎn)登記”和“開展數(shù)據(jù)安全評估”為核心抓手的合規(guī)思路。銀行保險機構(gòu)在處理敏感級及以上數(shù)據(jù)的業(yè)務活動時，或者開展數(shù)據(jù)委托處理、共同處理、轉(zhuǎn)移、公開、共享等對數(shù)據(jù)主體有較大影響的活動時，應當事先開展數(shù)據(jù)安全評估，并針對內(nèi)部收集、外部采購、加工、使用、對外提供、跨境提供、備份、刪除與銷毀的數(shù)據(jù)處理全生命周期設置了合規(guī)要求。
銀行保險機構(gòu)應當據(jù)此制定數(shù)據(jù)安全保護制度，并應當涵蓋全生命周期管控機制、數(shù)據(jù)安全保護措施、數(shù)據(jù)對外提供和跨境提供等監(jiān)管重點關注內(nèi)容。銀行保險機構(gòu)還應建立數(shù)據(jù)安全技術保護體系和數(shù)據(jù)安全保護基線，將數(shù)據(jù)安全保護納入信息系統(tǒng)開發(fā)生命周期框架，以及將數(shù)據(jù)納入網(wǎng)絡安全等級保護。
五、中國人民銀行業(yè)務領域數(shù)據(jù)安全
2023年7月24日，央行就《中國人民銀行業(yè)務領域數(shù)據(jù)安全管理辦法（征求意見稿）》公開征求意見，本次征求意見稿就適用范圍、原則、數(shù)據(jù)分類分級、總體要求、管理要求、技術要求、風險監(jiān)測等內(nèi)容做出了相關規(guī)定。預計本辦法將于2025年上半年正式發(fā)布。
（一）主管部門：中國人民銀行及其分支機構(gòu)
（二）適用范圍：根據(jù)“誰管業(yè)務，誰管業(yè)務數(shù)據(jù)，誰管數(shù)據(jù)安全”基本原則，明確適用范圍為中華人民共和國境內(nèi)開展的，中國人民銀行承擔監(jiān)督管理職責各類業(yè)務相關的數(shù)據(jù)處理活動。
此《辦法》約束的數(shù)據(jù)處理活動主要包括：貨幣政策業(yè)務、跨境人民幣業(yè)務、銀行間各類市場交易業(yè)務、金融業(yè)綜合統(tǒng)計業(yè)務、支付清算業(yè)務、貨幣管理和數(shù)字人民幣業(yè)務、經(jīng)理國庫業(yè)務、征信業(yè)務、反洗錢業(yè)務等領域的數(shù)據(jù)處理活動。
（三）銀行保險機構(gòu)數(shù)據(jù)分類分級
1.分類：根據(jù)業(yè)務開展情況建立業(yè)務分類，梳理細化數(shù)據(jù)資源目錄，標識各數(shù)據(jù)項是否為個人信息、數(shù)據(jù)來源（生產(chǎn)經(jīng)營加工產(chǎn)生、外部收集產(chǎn)生等）、存儲該數(shù)據(jù)項的信息系統(tǒng)清單和應用的業(yè)務類別。
2.分級：一般、重要、核心三級。其中，數(shù)據(jù)項敏感性從低至高進一步分為一至五共五個層級。結(jié)構(gòu)化數(shù)據(jù)項應當逐一標識層級；非結(jié)構(gòu)化數(shù)據(jù)項應當優(yōu)先按照可拆分的各結(jié)構(gòu)化數(shù)據(jù)項所對應最高層級，標識其層級。
（四）數(shù)據(jù)全生命周期管理與特定場景的數(shù)據(jù)安全保護要求
該辦法針對收集、存儲、使用、加工、傳輸、提供、公開和刪除各環(huán)節(jié)，向數(shù)據(jù)處理者提出應采取的管理和技術措施，以及可視為總體滿足盡職盡責的合規(guī)底線。該辦法還對數(shù)據(jù)處理活動中特殊場景的安全保護措施等重點事項進行了說明，具體如下表所示。
