数据安全保护应在网络安全等级保护制度基础上开展

公安部信息安全等级保护评估中心研究员 任卫红

中国银行保险报网讯【记者 苏洁】

6月24日，在由《中国银行保险报》主办，华为、新华三集团、容联云、深信服、水滴公司协办的第十四届中国保险业信息化峰会上，公安部信息安全等级保护评估中心研究员任卫红谈到，保险业数字化转型过程中，如果能够做好数据安全，对行业的转型和提速能够起到良好的保障作用。

数据安全的风险不仅仅涉及到自身，还涉及社会甚至国家安全。数据安全包括数据自身安全，可能面临如黑客攻击、数据的篡改、数据泄露、数据损害直接的威胁。数据应用安全比如公民个人信息的安全、数据过度采集、越权访问、滥用等过程中的问题。

公安机关在数据安全保护工作当中，也发挥了重要的作用，因为数据安全涉及到全局安全，已经超出行业和企业自身保护的范围，充分体现了国家对于数据安全监管的重要性。具体工作包括等级保护工作，等级保护定级工作中重要的一个方面就是业务信息定级，对系统中所存储的数据重要性确定业务信息保护等级。

9月1日正式实施的《中华人民共和国数据安全法》(以下简称《数据安全法》)，明确提出国家要建立数据分类分级保护制度，国家建立相关的制度和开展相关的数据安全审查等活动，这也是要求每一个数据处理者都需要履行和执行的工作。此外，《数据安全法》提到数据安全保护义务，把数据安全相关的要求进一步明确和细化，进一步体现数据安全的特点。

数据安全是离不开系统安全和网络安全。数据安全的保护应当在网络安全等级保护制度的基础上提出来进行开展。

金融业在2020年颁布了《金融数据安全分级指南》，在附录当中对金融业的数据做了详细分类，但分类之后对分类的数据给出一个等级，而一类数据给单独一个级别其实是不科学的，应该把要分类的这些数据落实在某一个系统当中，根据它在一个系统存有了数据相应类别的规模和内容进行分析，同类数据重要性就不一样。因此，建议某一类数据分级的时候给出一个分级的范围。

因此，基于网络安全等级保护的数据安全要求研究是对等级保护制度与数据分类保护制度衔接的探索;依托等级保护落实《数据安全法》中规定的保护义务，可以达到更好的数据安全保护效果。