数据治理⑤上海数据安全技术如何朝产研协同方向发展

随着云计算、量子计算等新兴技术的发展以及计算机处理速度的提升，传统加密算法的效率与强度逐渐难以满足业务需求，被破解失效的风险日益升高。

例如在人工智能领域，数据安全技术的应用环境已经从传统的APP、接口等深入到算法层面，该领域面临的数据安全风险在传统的数据泄露、数据破坏等问题之外，还包括了数据投毒等新型数据安全风险。这种变化促使企业需要紧跟数据安全市场的最新需求，结合区块链、云计算等新兴技术特点及优势，优化数据去标识、数据匿名等传统数据安全手段，加快差分隐私、同态加密、秘密分享、不经意传输等数据安全保护新技术创新、研发和落地的速度，更好地实现数据要素“安全存储”“可信传输”和“协同计算”三大核心需求。

一、制约因素分析

1.研发层面：数据安全技术手段研发动力不足、方向不明。

一是资金投入不足，中长期的战略目标不明确。大型数字科技企业出于降低运用成本考量，在数据安全技术手段研发与创新方面投入较少；而针对数据安全技术相关领域的专门研究机构也由于缺少政策层面顶层设计的引领而缺乏长期专项的课题研究。这就导致不同研究机构之间由于具体研究方向的差异、单位体量大小的差异和资金支持力度的差异等各自为战，无法充分整合利用既有研究资源有针对性地投入到某一具有重大范式突破意义或行业应用价值的数据安全技术领域中。

二是法律法规要求不明确，技术手段研发推动力不足。目前《中华人民共和国网络安全法》和《电信和互联网用户个人信息保护规定》(工业和信息化部令第24号)等法律法规已就数据安全和个人信息保护提出部分原则性要求，但尚未明确技术手段建设的具体要求与处罚规则，与数据安全技术相关的国家标准和行业标准也尚未形成体系化的建制。就数据的分级分类而言，以《信息安全技术网络数据分类分级要求》为代表的国家政策文件已就数据分级的基本框架、确定方法和实施流程做出了系统说明，但在“动态更新情形参考”部分未给出较为详细的参考规则。这就导致数据安全技术创新的突破点与风险点的区隔较为模糊，相关领域技术研发与突破的容错空间具有较大不确定性，最终成为掣肘研究人员展开进一步研究的重要因素。对于联邦学习、密文检索、多方安全计算等尚处于萌芽期，但具有巨大现实意义和市场潜力的新兴技术来说，尚无法律法规对其使用作出详细规制。

三是数据安全技术所涉及的交叉复合型学科研究和相关基础学科的专项研究之间的关系有待进一步理顺。例如隐私计算技术能够帮助数据提供方在不泄露敏感数据的前提下，分析计算数据并验证计算结果，安全地实现数据价值。但它并不是单个传统学科研究的对象，而是依赖于包含人工智能、密码学、数据科学等多学科的综合性技术体系。如何在夯实基础学科的前提下集合不同学科资源平台共同服务于市场需求，目前尚且缺乏系统的学理探讨和实践案例可供借鉴。

2.应用层面：数据安全技术研发起步较晚，技术落地应用条件尚不成熟。

一是部分数据安全技术尚不具备统一和成熟的落地应用条件。数据安全技术作为新兴技术领域，发展时间尚短，部分技术手段与解决方案正处在研究发展阶段，缺乏应用实践，无法有效保障数据安全。以数据脱敏技术为例，目前国内对于数据脱敏的方法、流程以及效果等均未形成统一的标准，各企业对该技术的使用方法和使用效果也都存在着一定偏差。再如数字血缘追踪技术、数据字段打标签技术等目前尚不成熟，对业务运营的影响有待进一步研究，大规模落地应用尚需时日。此外，当前数据安全技术复杂度的增长速度远超安全厂商整合和集成各类新兴技术的速度，数据安全技术应用的技术门槛也越来越高。

二是数据安全管理起步较晚，企业经验不足。部分企业对于既有业务系统数据安全改造的问题感到无所适从，尤其对于如何科学利用数据安全技术欠缺系统了解。一方面，企业内部各业务系统数据的字段名称不统一，类型庞杂，对数据资产进行梳理的难度较大，这就导致数据安全技术手段缺乏前期的基础工作；另一方面，数据加解密和脱敏等技术可能会占用系统资源，从而影响系统性能和用户体验。企业为了降低成本投入，往往不会在数据安全技术方面实施软硬件升级举措。此外，还有部分企业未能意识到创新数据安全技术的重要性和必要性。目前，数据安全托管、数据安全运维、数据安全测评和数据安全防护能力评定等服务开展较少。其中一个重要原因在于数据安全服务应用方对数据安全服务的认识不准确，认为通过传统网络安全的防护系统，即“硬件设备＋专用软件”的模式就可以解决数据安全的问题，对软性的数据安全服务认可度不高。

三是企业在进行数据安全技术改造的过程中风险较大。数据安全防护技术的改造往往伴随着核心系统的改造，具有较高的风险系数。同时，数据安全技术改造属于新兴技术领域，目前企业可参考的成熟技术方案及实践案例较少，在具体应用场景中的不确定性较高。

二、政策建议

1.加快出台试点地方性数据安全法律法规，明确提出数据安全技术手段研发和应用的相关要求，并予以适当的政策倾斜。

一是在数据分级分类、数据加密、个人信息去标识化等重点领域加快起草制定相关标准规范，细化明确分级分类规则、加密算法强度、去标识化算法及应用场景等，为技术产品研发提供支撑。数据安全体系建设需要顶层设计思路，要在组织建设、制度流程、技术工具和人员能力四个领域同时开展建设工作。

二是加大政策支持力度，通过简化审批流程、增大资金支持、健全行政管理等方式汇聚高水平科研中心和数据安全技术供给侧的龙头企业中的研究团体。以高水平科研人才体系促进数据安全技术体系的发展，完善数据安全人才的管理和培养机制。在实际研发的过程中支持自主探索型和市场应用型技术并重，既要保障两者之间相对独立的发展空间，又要搭建和保留其相互沟通与反馈的常态机制。

三是进一步细化数据安全保护规则，推动数据安全产品向专业化、体系化方向迈进。应基于企业数据安全建设的具体应用场景，鼓励数据安全技术研发企业增加以“需求定制”为驱动的专业性产品供给。例如在用户隐私数据安全合规方面重点关注差分隐私技术；在企业内部数据安全治理方面重点关注智能敏感数据识别和数据脱敏风险评估；在企业间数据共享与计算方面重点关注数据匿名、同态加密和联邦学习等。对于大部分中小企业来说，应引导数据安全技术的供给侧在采购、租赁云化部署的数据安全一站式建设方面提供更多优质的产品和服务。

2.联合高校、政府、社会上的相关研究机构，形成数据安全技术发展的统一战线。目前上海市已经建立起首个数据安全专业组织，即上海市信息安全行业协会数据安全与隐私计算专业委员会。建议进一步明确和优化其职能职责和分工架构，并与数据交易所等相关机构协调联动，为数据安全技术“产学研”结合搭建常态化的交流平台和沟通机制。应充分利用上海市数字科技产业发达、数字安全技术研发资源丰沛的优势，通过举行周期性的综合论坛和座谈会议，聚集来自学界和业界相关领域的专业人士，不断就学术研究成果、产业应用需求和未来发展前景等问题进行交流和讨论。关于其中在数字科技产业发展中具有直接现实意义的知识成果，应在整合之后通过宣传教育和人员培训等方式向更多相关从业人员进行普及，提高其安全意识、技术能力和业务水平。

3.加快形成凝聚各方共识的数据安全技术产品体系总体视图，推动宏观政策文件的解读进一步精细化和通俗化。一方面，应在宏观层面明确数据安全技术进行数据防护的方式、类型、性能以及应用场景和边界等，指引需求侧企业开展数据安全技术能力建设，增强数据安全综合保障能力。同时，发布权威数据安全技术产品市场报告，就我国数据安全技术产品供需关系情况、成熟度情况、技术薄弱环节等问题作出更为清晰和系统的说明，支持供给侧企业开展数据安全技术手段研发投入。此外，建议逐步建立和完善数据安全委员会，积极与中国网络安全产业联盟(CCIA)进行对接与沟通，进一步明确地方如何落实中央的有关要求部署。

另一方面，应在微观层面聚焦重要行业和关键领域，有针对性地推动数据安全技术发展。以金融行业为例，确保金融数据的安全是上海建设全球金融中心的前提和保障。人工智能一方面在营销、风控、产品创新等业务领域带来了新机遇，但也带来了数据投毒、模型逆向攻击等攻击方式的新威胁。对此，应通过系列激励政策和配套措施积极引导企业和金融机构将隐私计算平台作为与外部交互的可信安全计算平台，从数据边界上守护好数据安全端口。

（本文系复旦大学发展研究院《数据跨境流动、个人信息保护与数字韧性建设》课题系列成果。报告主编：江天骄系复旦大学发展研究院副教授、金砖国家研究中心副主任，姚旭系复旦大学发展研究院青年副研究员、上海数据研究院特聘研究员，报告行业导师：陈文昊系植德律师事务所数据合规业务合伙人、合规部负责人，报告组成员：金子韫、吴致远、邢嘉耀、姚媛、马怡宁、陈梓培、郎瑾怡、张桐语均来自复旦大学）

来源：陈梓培