近日，工信部為貫徹落實(shí)《數據安全法》《工業(yè)和信息化領(lǐng)域數據安全管理辦法（試行）》，研究起草了《工業(yè)和信息化領(lǐng)域數據安全行政處罰裁量指引（試行）》并向社會(huì )公開(kāi)征求意見(jiàn)，這意味著(zhù)工業(yè)和信息化領(lǐng)域的數據安全將從“需要怎么做，應該怎么做”進(jìn)入到“不這么做，將會(huì )受什么處罰”的監管執法階段，此辦法推動(dòng)著(zhù)工業(yè)和信息化領(lǐng)域數據安全行政處罰工作向制度化、規范化方向開(kāi)展。

來(lái)看看行政處罰裁定的工作方式是怎樣的。

依據網(wǎng)安法、數安法、行政處罰法和工信部行政處罰程序，工業(yè)和信息化領(lǐng)域數據安全行政處罰由違法行為發(fā)生地的行政處罰機關(guān)管轄，兩個(gè)及以上行政處罰機關(guān)對同一違法行為均有管轄權 ，應當由最先立案的行政處罰機關(guān)管轄，工業(yè)和信息化部依職權指導監督工業(yè)和信息化領(lǐng)域數據安全違法行為管轄工作。

已經(jīng)明確了處罰情形，需要著(zhù)重關(guān)注。

裁量指引中定義的數據安全行政處罰情形，按不履行數據安全保護義務(wù)、向境外非法提供數據和不配合監管三個(gè)方面，明確了25個(gè)違規情形，對重要數據和核心數據處理者進(jìn)行了著(zhù)重要求。

25個(gè)明確的違規情形包含了數據安全工作的組織體系、管理體系、技術(shù)體系和運營(yíng)體系，進(jìn)一步銜接、細化、落實(shí)《網(wǎng)絡(luò )安全法》《數據安全法》《工業(yè)和信息化領(lǐng)域數據安全管理辦法（試行）》，推動(dòng)著(zhù)工業(yè)和信息化領(lǐng)域組織的數據安全進(jìn)行體系化建設、實(shí)戰化建設。

昂楷科技的方案是不錯的選擇。

工業(yè)企業(yè)數據安全組織體系，需要構建一個(gè)由企業(yè)數據部門(mén)、業(yè)務(wù)部門(mén)、信息安全部門(mén)共同組成的，既懂安全，又懂數據的，獨立的，為數據安全端到端負責的組織，包括數據安全管理團隊、數據安全建設運營(yíng)團隊、數據安全審計團隊等數據安全治理相關(guān)角色。建立相互促進(jìn)、相互監督的數據安全管理組織機制。

工業(yè)企業(yè)數據安全管理體系的制度流程規劃需要從組織層面整體考慮和設計，并形成體系框架。制度體系需要分層，層與層之間，同一層不同模塊之間需要有關(guān)聯(lián)邏輯，在內容上不能重復或矛盾，一般分為四級。

工業(yè)數據安全防護技術(shù)能力，要以基礎網(wǎng)絡(luò )安全能力為支撐，根據數據安全需求、標準、規范、目標等，在數據全生命周期不同的過(guò)程中執行最佳的數據安全防護實(shí)踐，構建一套有效保障工業(yè)數據安全使用、共享的技術(shù)保障體系。

（1）數據采集安全：結合數據采集、清洗、轉換、匯聚階段的不同特點(diǎn)和要求，利用敏感數據識別、分類(lèi)分級、身份認證、安全審計等技術(shù)，保障數據采集安全、數據真實(shí)可靠。

（2）數據傳輸安全：數據在傳輸過(guò)程中可能會(huì )面臨被竊取風(fēng)險，可利用鏈路加密、數據加密、數據脫敏等技術(shù)，保障數據在傳輸過(guò)程中的安全。

（3）數據存儲安全：結合數據分級分類(lèi)，實(shí)現關(guān)鍵數據加密存儲與分級數據的安全隔離，保障數據的存儲安全，主要包括實(shí)施用戶(hù)訪(fǎng)問(wèn)控制、數據存儲合規審計、存儲介質(zhì)安全、訪(fǎng)問(wèn)行為審計等。

（4）數據處理安全：根據數據分級分類(lèi)，明確數據處理模式和要求，為處理過(guò)程提供安全保障，主要包括數據權限管控、數據脫敏、數據處理異常行為監控和分析、數據處理合規審計等。

（5）數據交換安全：根據數據管理制度規定、數據分類(lèi)分級結果，利用權限管控、數據脫敏、數據水印等技術(shù)保障數據交換過(guò)程中的安全，同時(shí)對交換過(guò)程中數據類(lèi)別、數據量進(jìn)行識別監控，防止數據被過(guò)量交換。

（6）數據銷(xiāo)毀安全：數據銷(xiāo)毀常采用刪除、格式化等常規操作來(lái)“銷(xiāo)毀”數據，事實(shí)上數據并沒(méi)有被真正銷(xiāo)毀，在新數據寫(xiě)入同一存儲空間前，該數據會(huì )一直保留，從而存在被他人刻意恢復的風(fēng)險，所以在數據銷(xiāo)毀時(shí)，需要采用多次復寫(xiě)，或者加密復寫(xiě)等技術(shù)保證數據完全被銷(xiāo)毀。

以應用數據安全管理平臺的“化零為整、機器學(xué)習、威脅分析、感知未然、聯(lián)防聯(lián)控、健康預警”功能作為數據安全運營(yíng)的抓手，對全網(wǎng)數據安全風(fēng)險持續監測、風(fēng)險識別、安全防護、安全響應，提升數據安全運營(yíng)的效率。

同時(shí)，通過(guò)數據安全風(fēng)險評估、應急演練、定期審計等運營(yíng)手段，對數據安全能力度和效果進(jìn)行稽核，對短板指標對應的人員、制度、技術(shù)多維度分析與優(yōu)化，不斷豐富和提升數據安全建設的完整性和成熟度，最終達到對整個(gè)數據安全的全方位管控和動(dòng)態(tài)調優(yōu)。

●全面覆蓋處罰裁定指引中的處罰情形，規避組織的處罰風(fēng)險；

●建立并完善工業(yè)和信息化領(lǐng)域組織的數據安全管理體系，引導組建數據安全管理團隊，完善安全制度及流程體系，提高數據安全管理能力和運營(yíng)能力；

●為工業(yè)和信息化領(lǐng)域組織構建起統一的、聯(lián)動(dòng)聯(lián)防的、合成作戰的數據安全防護控制體系，可應對更加復雜的數據安全威脅及問(wèn)題，提升數據安全防控能力；