“腾讯安全CSO俱乐部沙龙”

本篇文章4425字，读完约11分钟

资料来源:中华网

年来，个人隐私数据保护各方共同开展工作，各项法律法规和地方规范性文件密集出台。 在监管越来越严格的情况下，公司如何适应新的环境？

最近，腾讯安全主办的cso俱乐部沙龙在上海举办了隐私数据安全防护专场，聚集了来自金融、物流、汽车、通信、能源、航空空等领域的安全代表，围绕隐私数据安全防护话题展开了讨论。 此次沙龙设置了主题共享和集团化探讨的环节，形成了政策解读、诉求配对、实践共享、成果沉淀为一体的沙龙模式，为各行业加强隐私数据的安全防护能力和合规性提供了理论指导和实践参考。

主题共享

何延哲|个人新闻保护和数据安全合规政策解读

全世界每天生成约2eb的数据，人类最近两年生成的数据总量超过了迄今为止所有数据的总和。 数据产生的价值不断被挖掘，数据成为这个时代最宝贵的资源。

由于数据本身的经济价值、数据安全涉及个人隐私保护等问题，数据安全受到社会的广泛关注。 今年5月在全国人大表决的民法典中，确定了个人新闻受法律保护，备受市场长期期待的《中华人民共和国数据安全法(草案)》、《个人新闻保护法》草案)也于7月、10月进入征求意见阶段。

根据受影响的主体，监管层面将数据分为几大类。

一个是公司拥有的数据，第一个涉及知识产权的保护，现在这部分需要做比较少的工作。

第二个是个人新闻。 个人新闻的范围非常广，如果结合个人身份，影响其的数据，都是个人新闻。 公司除保障个人新闻的机密性、完整性、可用性外，还确保客户的选择权、知情权以及注销和删除的权利。 个人新闻是当前新闻安全防护的重点。

三是影响国家安全和公共利益的数据，这样的数据被称为重要的数据。 对于关键数据的安全防护，目前的领域还处于探索阶段。

蒋琼|后冠状病毒时代的券商数据安全体系实践

与银行相比，证券公司自我钻研能力弱，需要引进外包来支持开发。 如何管理外包人员，防止数据资产泄露，已成为证券公司面临的一大难题。 零信任安全架构成功地帮助了证券公司处理了这个问题。

零信任安全框架制定了可落地的安全信任对策方案，提供了在全生命周期管理安全信任的构想。

本着零信任绝对不信任、持续验证的理念，公司访问统一认证系统( iam )，以身份为核心，将默认不信任的访问请求进行多因素认证加密，结合动态访问控制和持续信任判断等核心能力 另外，也不会发生员工越权操作等权限录用错误引起的安全隐患、权限分散、网站/业务之间的资源访问困难等问题。

刘海洋|大数据时代的隐私数据安全防护实践

个人隐私数据的安全保护从注重法规遵从性和安全问题的1.0时代过渡到了注重数据价值的2.0时代。

2.0时代，数据安全防护将向整体防护、动态风力控制、协同参与三个方向迅速发展，而理财智能化、安全能力组件化和安全分解中心化是实现三个方向的重要途径。

目前，公司实际工作中遇到的个人隐私数据安全问题主要发生在数据提取、大数据平台、app数据流等方面。 风险拷贝包括数据暴露面大、鉴定手段不足、数据行为识别能力不足、资产情况不明等。

对比以上现状，提出了腾讯安全六步走的个人隐私数据安全防护实践策略。

一、确定职责。 明确个人隐私数据的安全防护是否应该由数据部门、APP部门还是安全部门主导。

二、从资产、访问、风险、权限四个维度进行数据资产盘点。 资产不清晰，安全管理就不好。

三、整理数据活动。 数据活动组织有助于企业了解业务数据的状态，了解可能存在的风险和需要注意的安全功能。

四、明确防护体系的技术路线，目前主要有五种方法。 是基于标准单件建设、体系化建设、场景化建设、平台级建设和数据生命周期的建设。

五、建立具体制度。 制度是否切合实际，能否全面落实，是公司必须考虑要点的问题。

六、通过鉴定和鉴定验证安全防护措施的执行情况。

将圆桌分组讨论

主题分享结束后，沙龙活动进入圆桌会议的一环。 圆桌采用小组讨论形式，由与会嘉宾组成a、b、c、d四个小组，围绕个人数据保护管理层和运营层诸多热门议题展开思考冲突，选出小组代表输出讨论结果，通过集体投票选出优胜者。

以下四组围绕热点议题输出的精彩观点。

1.如何处理个人数据保护的作用不明确、作用不明确、权利不足的问题？

a组代表: 首先要让管理层形成统一的认知，认识到个人新闻保护的重要性。 这个目的可以通过两种方法实现。 一是事件触发，利用安全事件作为数据安全保护的重要推动力；二是监管发力，对比最新监管政策向管理层注入理念。

其次，由专家专门任职，成立专门的数据安全小组进行该事件。

b集团代表:“”职责不明确、隐私保护工作困难的情况各行其是。 处理这个问题首先要得到大老板的支持，没有这个前提，工作一定无法进行。

另外，为了保护个人新闻，需要业务部门、安全部门、法务部门等多种参与，如果缺少其中一个作用，业务就无法进行。

( ) c组代表) )个体数据保护需要自上而下的设计，决定主要责任部门，赋予最大的权利牵引协调安全管理工作。

d集团代表: 制造类、通信类公司和金融、证券公司面临的情况有很大不同。 金融、证券公司的个人新闻保护可以直接由政策和文件驱动，但在制造类、通信类公司并不容易。 虽然领导很重视，但没有钱和资源，工作往往无法执行。

2.pia工艺技术团队是否参加？ 趋势技术控制为主还是管理控制为主？

a组代表: pia流程判断，银行的方法是分别对业务和技术两条线进行故障诊断。 技术团队和业务团队有不同的兴趣点，技术团队可能对加密、传输相关内容感兴趣，业务解决流程上的风险点越来越多。 所以，这种双线故障诊断的机制很重要。 技术团队在判断自己的技术的基础上，还必须参加业务判断。

b组代表: 技术团队必须参加，以技术控制为中心。 以前说三点技术、七点管理，但在今天的形势下，没有技术控制，管理不可能产生什么好的效果。

c组代表: pia过程需要技术团队参与，但以管理为中心。 管理层的要求，由技术小组无条件执行，所以技术配合管理实施。

( ) d组代表) ) )技术控制优先，管理上一定有要求，但还是需要技术落地。

3.更新和解决隐私数据的目的是什么？ 如何及时更新、通知和获取客户的同意？

( ) a集团代表) )一是通过大家找碴儿的方法，成立专门的团队，通过奖励措施激励大家的集团，确保合规。 二是邀请第三方或组织内部的评价者进行定期判断。 另外，新产品和新业务上线时，第三方需要设置所有门或数据管理部门进行判断，并将相关标准纳入安全开发周期( csdn )。

b集团代表: 现实情况是，许多公司在发布APP时，内部流程发生了变化，但内部功能没有得到更新，结果遭到了顾客的投诉。 理想化的状态是在企业内部建立成熟完整的发布流程，囊括从业务立项到最终发布之间的所有审批流程。 但是，现实中，这种理想化状态不容易实现。

c集团代表:“”可以通过app、邮件、电话和呼叫中心及时通知客户或合作公司。

d组代表: 个人隐私数据的更新和登录通知将按照法律要求执行。

4.派生数据应该如何管理？

a组代表: 派生数据是一个比较新的概念，是指顾客图像等数据在大数据上被观察到的结果。

首先，公司必须明确自己有那些派生数据。 这些数据的重要性如何？泄露后会产生这些风险，而且比较和改善监管现状弱点的整个过程类似于pdca。

b组代表: 首先评价是否为机密数据，否则纳入机密数据管理系统。 不包括其他情况。 虽然现在也有点灰色地带，但是否是敏感数据，大家都没有定论。 根据现行法律的理解，如果不能明确，就不是默认。

( [] ) c组代表)/s2/)一是解除标识化，二是防止派生数据追踪到原始数据。 首先确保派生数据不会泄露原始数据，然后根据法律法规确定派生数据是否为敏感数据。

d组代表: 派生数据的管制问题在网络公司中可能很突出。 衍生数据管制的最大问题是没有数据。 在以前流传的领域，财务数据归财务，开发产品的数据归研发，责任很明确。 派生数据一方面没有owner，另一方面采用方非常多。

5.个人有权删除被遗忘的隐私数据，这方面是如何实现的？ 如何实现自我解释？

a组代表: 大数据只有流动才有价值。 银行领域有非常多的系统，数据一旦收集，经过汇聚融合和流动，保留在各个系统中，很难一下子完全擦除。 在这种情况下，容易落地的方法是，首先整理内部系统，分解顾客感受到了多少系统，首先从这些系统中删除数据。

b集团代表: 建议开发可以通过系统删除客户的系统，并看到这些客户被删除。 这只起到简单的自我解释的作用，不能深入。 其次，在数据库的设计层面，将个人隐私与个人行为数据相关联，便于客户自删除和自遗忘时前台操作和后台的实现。 如果数据分散在多个系统中，则无法一键清除。

c组的代表: 建议通过第三方认证和内部文档保存来验证数据访问的自身证明。 很多时候，我不太确定自己要解释自己。 这建议使用三方合作的方法。

( ) d集团代表) ) )如果有贷款记录，可以出售，但是会被忘记吗？ 答案是否定的。 我可以卖，但贷款记录还在。

6.个人隐私数据统一发送给第三方，第三方除了合同以外还有其他有效的监管手段，是否保障安全？

集团a代表: 除了签订数据合作协议和分组协议外，银行还从两个方面进行外包管理。 一个是甲乙的管理，另一个是年度检验。

甲乙双方的控制，首先是甲方作为外包的管理部门或业务的实施部门，确定该业务应该承担什么样的责任，然后按照这个思路进行扩展，了解管理层和内部相关部门应该遵守那些规定并在多大程度上执行。 其次，从机房、应用、数据、人员、业务连续性等多个维度为乙方制定安全标准，准入时现场调查或远程调取资料进行安全印象判断。

b组代表: 除合同外，还有隐私条款、保密协议等。 此外，还可以安全地判断第三者。 在发送数据时，审查那些数据会造成脱敏。 其中可能包括多种计算、匿名沙箱等相关技术。 另外，也可以要求第三方支付押金，在发生安全问题时处以罚款。

c集团代表: 首先，告知客户，经客户同意，在遵守法律法规的情况下，将进行第三方的披露。

d集团的代表: [/s2/]作为公司的安全人员，首先必须考虑为什么隐私数据要批量发送给第三方。 业务方面为了自己的目的，很少考虑这些问题，但是安全人员需要经常踩刹车。 首先，判断业务场景的真实性，判断其是否必要，是否对企业有价值，然后考虑场景中可能的风险和应该采取什么样的控制手段。

民法典、数据安全法(草案)、个人新闻保护法)草案)等法律相继出台，个人隐私数据安全合规管理成为公司的必备能力，促进公司从产品形态、数据应用机制、技术安全措施等多维度落实法律法规要求

腾讯安全持续提升隐私数据安全保护的技术积累和科学研究能力，发挥云数据安全中端到端云数据全生命周期安全体系的特点，实现企业数据安全

免责声明:市场存在风险，选择时需要注意！ 此文仅供参考，不能作为买卖的依据。