|
新聞中心
當(dāng)前位置：網(wǎng)站首頁 > 新聞中心
信通院將發(fā)布《云服務(wù)商個人數(shù)據(jù)保護(hù)指南》
當(dāng)前，云計算服務(wù)面臨的風(fēng)險日趨復(fù)雜多樣，數(shù)據(jù)安全問題日益凸顯，云服務(wù)商如何有效保護(hù)個人數(shù)據(jù)安全已成為政府、企業(yè)、個人和社會各界廣泛關(guān)注的熱點(diǎn)問題。
目前在個人隱私保護(hù)問題非常尖銳的情況下，中國、新加坡、日本、歐盟等國均出臺了與個人數(shù)據(jù)保護(hù)相關(guān)的法律法規(guī)。如何滿足各國監(jiān)管要求，是云服務(wù)商出海面臨的共同問題。
基于對云服務(wù)市場的深刻理解，針對云服務(wù)商在個人數(shù)據(jù)保護(hù)上的“痛點(diǎn)”，在8月份即將召開的2018可信云大會上，中國信息通信研究院將發(fā)布《云服務(wù)商個人數(shù)據(jù)保護(hù)指南》，該《指南》梳理了各國在個人數(shù)據(jù)保護(hù)方面的法律法規(guī)以及國內(nèi)外的相關(guān)標(biāo)準(zhǔn)，為云服務(wù)商應(yīng)對各國法律、保證合規(guī)性提出了有效建議。
各國立法有差異? ? ? ? ??云服務(wù)商需遵循九大共性要求
據(jù)了解，《云服務(wù)商個人數(shù)據(jù)保護(hù)指南》梳理了中國、歐盟、新加坡、美國、加拿大、日本、韓國等全球多國在個人數(shù)據(jù)保護(hù)方面的法律監(jiān)管要求和相關(guān)標(biāo)準(zhǔn)，充分分析了各國在個人數(shù)據(jù)保護(hù)方面的特點(diǎn)和差異。
目前，我國在個人數(shù)據(jù)方面的立法仍處于發(fā)展階段，《中華人民共和國網(wǎng)絡(luò)安全法》、《個人信息安全規(guī)范》等法律法規(guī)，主要是從數(shù)據(jù)處理合法、用戶權(quán)利、數(shù)據(jù)安全、事故披露、跨境傳輸?shù)确矫鎸?shù)據(jù)保護(hù)提出了要求。
被外界譽(yù)為史上最嚴(yán)格的歐盟《一般數(shù)據(jù)保護(hù)條例》（GDPR），則明確對數(shù)據(jù)處理者責(zé)任進(jìn)行要求，加強(qiáng)了對歐盟數(shù)據(jù)主體的權(quán)利保護(hù)，在數(shù)據(jù)向第三國傳輸、違規(guī)處罰、監(jiān)管等方面都進(jìn)行了較為嚴(yán)格的規(guī)范。相比之下，美國采取以行業(yè)自律和市場調(diào)節(jié)機(jī)制為主的松散立法，對數(shù)據(jù)保護(hù)采取“長臂管轄”原則，擴(kuò)大了執(zhí)法部門對境外數(shù)據(jù)的權(quán)限，同時對于兒童信息數(shù)據(jù)、電子通訊數(shù)據(jù)等特殊數(shù)據(jù)進(jìn)行了立法保護(hù)。
《云服務(wù)商個人數(shù)據(jù)保護(hù)指南》指出，雖然各國對個人數(shù)據(jù)保護(hù)的態(tài)度不同，監(jiān)管內(nèi)容也有差異，但無論嚴(yán)苛或?qū)捤桑笾驴蓺w納為如下九項(xiàng)要求：
l?個人數(shù)據(jù)的定義范圍不斷擴(kuò)大；
l?設(shè)立數(shù)據(jù)保護(hù)官；
l?數(shù)據(jù)主體的權(quán)利，包括知情權(quán)、刪除權(quán)、糾正權(quán)等；
l?數(shù)據(jù)保護(hù)義務(wù)，包括數(shù)據(jù)完整性、數(shù)據(jù)安全性等；
l?對個人敏感信息進(jìn)行特殊保護(hù)；
l?跨境傳輸要求，何種情況下可以進(jìn)行跨境傳輸；
l?數(shù)據(jù)泄露披露，包括報告監(jiān)管機(jī)構(gòu)，通知數(shù)據(jù)主體；
l?對特殊類型數(shù)據(jù)的處理，如兒童數(shù)據(jù)等；
l?成立獨(dú)立的監(jiān)管機(jī)構(gòu)。
此外，《云服務(wù)商個人數(shù)據(jù)保護(hù)指南》還列舉了國內(nèi)外數(shù)據(jù)保護(hù)方面的相關(guān)標(biāo)準(zhǔn)，如：中國國家標(biāo)準(zhǔn)化管理委員會發(fā)布的《個人信息安全規(guī)范》，公有云個人隱私數(shù)據(jù)保護(hù)方面的首個國際標(biāo)準(zhǔn)ISO/IEC 27018，歐洲云計算服務(wù)供應(yīng)商聯(lián)盟 (CISPE )發(fā)布的《個人數(shù)據(jù)保護(hù)行為準(zhǔn)則》等。
在云計算數(shù)據(jù)安全領(lǐng)域，中國信息通信研究院在“2017可信云大會”上發(fā)布了《云服務(wù)用戶數(shù)據(jù)保護(hù)能力參考框架》。該標(biāo)準(zhǔn)從用戶視角出發(fā)，規(guī)定了云計算數(shù)據(jù)保護(hù)能力的十六大類指標(biāo)，全面覆蓋數(shù)據(jù)安全事前防范、事中保護(hù)和事后追溯三個階段，使企業(yè)在達(dá)到“可信”的基礎(chǔ)之上，實(shí)現(xiàn)對“安全”的全面保障。
在數(shù)據(jù)處理層面，云服務(wù)商作為數(shù)據(jù)處理過程中的關(guān)鍵角色，與云用戶、第三方服務(wù)提供商的合作中均涉及數(shù)據(jù)處理規(guī)范性的問題。中國信息通信研究院已啟動云服務(wù)商數(shù)據(jù)處理協(xié)議相關(guān)標(biāo)準(zhǔn)的制定工作?！对品?wù)商數(shù)據(jù)處理協(xié)議參考框架》將針對云服務(wù)過程中面臨的安全問題，規(guī)范云服務(wù)商與各方簽訂數(shù)據(jù)處理協(xié)議應(yīng)包含的內(nèi)容，幫助云服務(wù)商建立規(guī)范完備的數(shù)據(jù)處理體系。
五大措施助力云服務(wù)商?? ? ? ? ??提升個人數(shù)據(jù)保護(hù)能力
面對各國個人數(shù)據(jù)保護(hù)的法律監(jiān)管要求，《云服務(wù)商個人數(shù)據(jù)保護(hù)指南》建議云服務(wù)商針對不同場景、分別采取五大措施，提升企業(yè)在個人數(shù)據(jù)保護(hù)方面的能力。
《云服務(wù)商個人數(shù)據(jù)保護(hù)指南》提出，應(yīng)明確不同場景下的數(shù)據(jù)主體。當(dāng)數(shù)據(jù)主體為云用戶，數(shù)據(jù)由云服務(wù)商控制時，云服務(wù)商可以采取以下措施規(guī)范自身行為：
建立跨部門合作。個人數(shù)據(jù)保護(hù)合規(guī)至少需要安全、法務(wù)、管理部門、開發(fā)部門、運(yùn)維部門、財稅部門等相關(guān)部門共同組建合規(guī)團(tuán)隊(duì)，在協(xié)作下完成個人數(shù)據(jù)保護(hù)合規(guī)工作。
標(biāo)準(zhǔn)化的隱私協(xié)議。企業(yè)應(yīng)根據(jù)相關(guān)法律法規(guī)，以易于訪問的方式公開隱私協(xié)議，協(xié)議內(nèi)容應(yīng)清晰易懂。
個人數(shù)據(jù)保護(hù)措施。企業(yè)可以從幾個方面著手，如：設(shè)置專職的數(shù)據(jù)保護(hù)人員、升級數(shù)據(jù)安全管理制度、提高工作人員數(shù)據(jù)保護(hù)意識、提高數(shù)據(jù)全生命周期的安全保護(hù)能力等。規(guī)范第三方合作。企業(yè)在委托第三方處理個人信息時，不得超出個人信息主體授權(quán)同意的范圍，并依據(jù)相關(guān)法律法規(guī)要求第三方實(shí)施適當(dāng)?shù)募夹g(shù)和組織機(jī)制，并對第三方進(jìn)行約束和監(jiān)督。
第三方評估。云服務(wù)商可定期參加第三方關(guān)于個人信息或隱私保護(hù)的認(rèn)證評估，如 ISO/IEC 27018：公有云個人隱私保護(hù)認(rèn)證、CISPE個人數(shù)據(jù)保護(hù)行為準(zhǔn)則認(rèn)證等，通過第三方視角挖掘企業(yè)在個人數(shù)據(jù)保護(hù)領(lǐng)域的盲點(diǎn)，以規(guī)范企業(yè)行為，提高企業(yè)個人信息保護(hù)能力。
當(dāng)數(shù)據(jù)由云用戶控制，云服務(wù)商僅負(fù)責(zé)處理數(shù)據(jù)時（如：電商企業(yè)將自己的網(wǎng)站部署于云上，用戶在網(wǎng)站上的登陸信息、購買信息等數(shù)據(jù)存在云上），云服務(wù)商可以采取以下措施規(guī)范自身行為：
標(biāo)準(zhǔn)化的數(shù)據(jù)處理協(xié)議。云服務(wù)商應(yīng)與云用戶簽訂數(shù)據(jù)處理協(xié)議，規(guī)范云上數(shù)據(jù)的存儲和管理，保障云用戶的數(shù)據(jù)安全。
數(shù)據(jù)處理安全措施。例如：規(guī)定企業(yè)、第三方及相關(guān)人員的保密義務(wù)；安全漏洞的處置和通知；保證數(shù)據(jù)的網(wǎng)絡(luò)安全和物理安全；定期測試、評估等。
規(guī)范第三方合作。對于云服務(wù)商來說，企業(yè)在數(shù)據(jù)保護(hù)問題中涉及與云用戶、其他分包商等的協(xié)同合作。企業(yè)可以通過簽訂數(shù)據(jù)處理協(xié)議明確權(quán)責(zé)劃分，避免合作中因一方行為不當(dāng)導(dǎo)致的連帶責(zé)任。
為用戶提供數(shù)據(jù)安全服務(wù)。云服務(wù)商與云用戶在數(shù)據(jù)保護(hù)中責(zé)任共擔(dān)，云服務(wù)商可以為云用戶提供數(shù)據(jù)安全產(chǎn)品或服務(wù)，為云用戶在數(shù)據(jù)生命周期內(nèi)的合規(guī)提供保障。
第三方評估。企業(yè)可定期參與第三方關(guān)于數(shù)據(jù)處理安全及數(shù)據(jù)處理協(xié)議的認(rèn)證評估，如：中國信息通信研究院《云服務(wù)用戶數(shù)據(jù)保護(hù)能力評估》等。行業(yè)第三方權(quán)威認(rèn)證為云服務(wù)商保障用戶數(shù)據(jù)安全提供指導(dǎo)，幫助其規(guī)避相關(guān)風(fēng)險。
達(dá)到個人數(shù)據(jù)保護(hù)的合規(guī)標(biāo)準(zhǔn)，涉及的內(nèi)部流程和技術(shù)手段很多，對于很多云服務(wù)商來說，都不是短期之內(nèi)能夠完成的事情?？尚旁啤对品?wù)商個人數(shù)據(jù)保護(hù)指南》對云服務(wù)商應(yīng)具備的個人數(shù)據(jù)保護(hù)能力做出了全面的論述，也將推動云服務(wù)商將保護(hù)個人數(shù)據(jù)的行動切實(shí)納入日程。
|
