图解 《数据安全法》 炼石网络 2021年8月 前言 2021年6月10日，《数据安全法》正式颁布，将于2021年9月1日正式施行， 作为我国数据安全领域的首部基础性法律，也是国家安全领域的一部重 要法律，标志着我国以数据安全保障数据开发利用和产业发展全面进入 法治化轨道。 数据安全领域里程碑 2021年11月1日 《数据安全法》 《个人信息保护法》 • 加速个人信息法制化进程 2021年9月1日 • 提升国家数据安全保障能力 《密码法》 • 提出数据保护技术手段 2020年1月1日 2017年6月1日 《网络安全法》 • 规定网络安全治理道路 《数据安全法》总结构 数据安全法 第二章 数据安全与发展 第一章 总则 1.立法目的 2.适用范围 3.关键定义 第三章 数据安全制度 13. 产业发展 14. 大数据战略 15. 智能化公共服务 16. 技术研究 17. 标准体系 18. 检测认证 19. 数据交易 20. 人才培养 4.体系保障 21.分类分级 22.风险评估 第四章 数据安全保护义务 5.领导架构 6.监管职责 7.权益保障 8.刑事追责 9.社会责任 27.数据处理 28.公德伦理 29.监测处置 30.风险评估 31.关基要求 32.合理收集 33.交易中介 34.行政许可 35.批准手续 36.境外要求 第五章 政务数据安全与开放 10.行业自律 11.国际合作 12.投诉举报 24.安全审查 第六章 法律责任 37.政务建设 38.依法收集 39.安全制度 40.委托建设 41.及时准确 42.开放目录 43.公共事务 23.应急处置 44.约谈整改 47.交易中介罚 则 50.国家人员罚 则 45.处罚活动 48.不配合罚则 51.行政处罚 25.出口管制 46.境外罚则 49.国家机关罚 则 52.民事刑事责 任 26.对等反制 第七章 附则 53.他法遵循 54.他法遵循 55.实施时间 适用范围兼顾域外效力 1. 总则 2.发展 3. 制度 在中华人民共和国境内 建设、运营、维护和使 用网络，以及网络安全 的监督管理，适用本法。 在中华人民共和国境内开展 数据处理活动及其安全监管， 适用本法。 在中华人民共和国境外开展 数据处理活动，损害中华人 民共和国国家安全、公共利 益或者公民、组织合法权益 的，依法追究法律责任。 4. 义务 5. 政务 6. 罚则 7. 附则 《网络安全法》 《数据安全法》 数据相关概念给出权威界定 1. 总则 2.发展 3. 制度 4. 义务 数据处理 数据安全 包括数据的收集、存储、使用、 是指通过采取必要措施，确保数据 加工、传输、提供、公开等。 处于有效保护和合法利用的状态， 以及具备保障持续安全状态的能力。 5. 政务 6. 罚则 7. 附则 数据 是指任何以电子或者其他 方式对信息的记录。 坚持总体国家安全观，健全数据安全治理体系 1. 总则 中央国家安全领导机构 2.发展 3. 制度 4. 义务 公 安 机 关 各地区、各部门 对本地区、本部 门工作中收集和 产生的数据及数 据安全负责。 工 业 电 信 交 通 金 融 国家 网信 部门 统筹 协调 自 然 资 源 5. 政务 6. 罚则 7. 附则 有关部门 个人 教 育 科 技 … 国 家 安 全 机 关 行业组织 共同参与数据安全保护工作 国际交流与合作 卫 生 健 康 企业 科研机构 任何个人、组织有权向有关 部门投诉、举报 以数据安全保障数据开发利用和产业发展 1. 总则 数据基础设施 2.发展 国家实施大数据战略，推进数据基础设施 3. 制度 的创新应用 建设，鼓励和支持数据在各行业、各领域 4. 义务 5. 政务 6. 罚则 7. 附则 开发利用 产业发展 数据 安全 数字经济发展 省级以上人民政府应当将数字经济发展 纳入本级国民经济和社会发展规划，并 根据需要制定数字经济发展规划。 安全与发展 1. 总则 服务 提供智能化公共服务，应当充分考虑老年人、残 2.发展 疾人的需求…… 评估 国家促进数据安全检测评估、认证等服务的发展， 支持数据安全检测评估、认证…… 3. 制度 4. 义务 技术 市场 国家支持数据开发利用和数据安全技术研究，鼓 国家建立健全数据交易管理制度，规范数据交易 励数据开发利用和数据安全等领域的技术推广和 5. 政务 6. 罚则 7. 附则 行为，培育数据交易市场…… 商业创新…… 标准 国家推进数据开发利用技术和数据安全标准体系 建设…… 教育 国家建立健全数据交易管理制度，规范数据交易 行为，培育数据交易市场…… 首次从国家层面建立数据安全制度 1. 总则 2.发展 3. 制度 4. 义务 5. 政务 6. 罚则 7. 附则 分类分级 安全审查 各地区、各部门应当按照数据分类分级 国家建立数据安全审查制度，对影响或 保护制度，确定本地区、本部门以及相 者可能影响国家安全的数据处理活动进 关行业、领域的重要数据具体目录，对 行国家安全审查。依法作出的安全审查 列入目录的数据进行重点保护…… 决定为最终决定。 风险管理 出口管制 国家建立集中统一、高效权威的数据安全 国家对与维护国家安全和利益、履行国际 风险评估、报告、信息共享、监测预警机 义务相关的属于管制物项的数据依法实施 制。国家数据安全工作协调机制统筹协调 出口管制。 有关部门加强数据安全风险信息的获取、 分析、研判、预警工作。 应急响应 贸易措施 国家建立数据安全应急处置机制。发生数 任何国家或者地区在与数据和数据开发利用 据安全事件，有关主管部门应当依法启动 技术等有关的投资、贸易等方面对中华人民 应急预案，采取相应的应急处置措施，防 共和国采取歧视性的禁止、限制或者其他类 止危害扩大，消除安全隐患，并及时向社 似措施的，中华人民共和国可以根据实际情 会发布与公众有关的警示信息。 况对该国家或者地区对等采取措施。 不同的数据保护义务主体 1. 总则 2.发展 国家机关 3. 制度 4. 义务 5. 政务 重要数据处理者 关键信息基础设施 运营者 6. 罚则 7. 附则 数据处理者 从事数据交易中 介服务的机构 数据处理者：建立健全全流程数据安全管理制度 总纲层 如数据安全管理办法 1. 总则 2.发展 编目层 3. 制度 4. 义务 5. 政务 管理编目 业务编目 专项编目 • 定级备案 • 规划 • 重大保障 • 安全测评 • 建设 • 监管配合 • 风险评估 • 运营 • 数据出境 • 投诉处置 6. 罚则 7. 附则 建立健全完整的数据安全管理制度是企事业单位开展数据安全工作的基石。针对数据安全工作基础薄弱的企业，可以参考《数据安全法》进行 解读 数据安全管理制度体系设计，比如建立总纲层，编制宏观安全要求框架；梳理编目层，从管理、业务、专项等方面确定实施细则、作业规范等。 数据处理者：组织开展数据安全教育培训 1. 总则 2.发展 培训类 3. 制度 • 新员工入职 4. 义务 • 在职培训 • 日常作业培训 5. 政务 6. 罚则 培训工作 • 计划 • 实施 • 记录 • 总结 培训形式 • 融于日常 安全知识屏保、视频 • 特色： 知识竞争、趣味问答 培训周期 • 月度 • 季度 • 不定期 • 技术提升： 数据安全知识 历史种种数据安全事件表明，组织的决策层、管理层、执行层都可能造成数据泄露；内部IT建设中业务逻辑混乱、网络策略错误和设备配置故障 7. 附则 解读 也可能会造成数据泄露。因此，提升企业各层级知识储备和技能水平，变得尤为重要。企事业单位的数据安全教育培训应当覆盖员工入职、在职、 离职；应采用渗透式的培训教育，通过定期或不定期培训方式，保证数据安全教育融入企业文化。 数据处理者：采取相应技术措施和其他必要措施，保障数据安全 以数据为中心的安全 1. 总则 数据态势 2.发展 3. 制度 4. 义务 5. 政务 6. 罚则 7. 附则 解密细控 沙箱检测 泄露检测 解读 零信任网络 数据审计 终端管控 SIEM 数据鉴权 移动安全 端点安全 存储加密 反病毒 VPN 通信加密 身份鉴别 密级标识 数据分类 IDS 防火墙 数据安全技术专家基于网络与数据 并重的建设理念，结合业务应用场 景，聚焦“以数据为中心”的安全建 设思路。企事业单位应结合自身组 织使命和业务价值，进行与组织特 色匹配的数据安全体系设计，构建 安全 心的 中 络为 以网 网络与数据并重的新安全建设理念 有效数据安全防线。 数据处理者：强化风险监测、应急补救 加强风险监测 1. 总则 2.发展 发现数据安全缺陷、漏洞等风险时，应当 立即采取补救措施 发生数据安全事件时，应当立即采取处置 措施 • 上报与通报 • 风险评估影响分析 业务风险监测 产品配置管理 3. 制度 网络入侵检测 4. 义务 5. 政务 数据边界管理 事件响应机制 公关 管理 事件 处置 机制 网络暴露面管理 互联网安全监测 • 新闻发布 • 影响消除 6. 罚则 7. 附则 • 抑制措施 • 恢复措施 企事业单位应当建立主动的内/外部联动的数据安全风险监测机制，及时发现安全漏洞、安全威胁，处置安全问题，把数据安全风险降到最小， 解读 并加强安全事件影响分析，强化与监管单位上报机制，重视安全事件公共通报。 数据处理者：执法调取数据执行严格批准手续 1. 总则 2.发展 境内执法配合 境外执法配合 3. 制度 4. 义务 5. 政务 6. 罚则 7. 附则 公安机关、国家安全机关因依法维护国家安 全或者侦查犯罪的需要调取数据，应当按照 国家有关规定，经过严格的批准手续，依法 进行，有关组织、个人应当予以配合。 中华人民共和国主管机关根据有关法律和中华 人民共和国缔结或者参加的国际条约、协定， 或者按照平等互惠原则，处理外国司法或者执 法机构关于提供数据的请求。非经中华人民共 和国主管机关批准，境内的组织、个人不得向 外国司法或者执法机构提供存储于中华人民共 和国境内的数据。 重要数据处理者：明确数据安全负责人和管理机构，落实数据安全保护责任 1. 总则 内部组织安全责任 2.发展 • 安全领导小组 • 安全协调小组 • 安全管理