《數(shù)據(jù)安全管理認(rèn)證實(shí)施規(guī)則》出臺(tái)

◆鐘 鶴 / 文

6月9日，國(guó)家市場(chǎng)監(jiān)督管理總局、國(guó)家互聯(lián)網(wǎng)信息辦公室發(fā)布公告（文號(hào)為2022年第18號(hào)），決定按照《數(shù)據(jù)安全管理認(rèn)證實(shí)施規(guī)則》（以下簡(jiǎn)稱《規(guī)則》）開展數(shù)據(jù)安全管理認(rèn)證工作，鼓勵(lì)網(wǎng)絡(luò)運(yùn)營(yíng)者通過(guò)認(rèn)證方式規(guī)范網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)，加強(qiáng)網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)。

主要內(nèi)容

根據(jù)《中華人民共和國(guó)認(rèn)證認(rèn)可條例》，認(rèn)證是指由認(rèn)證機(jī)構(gòu)證明產(chǎn)品、服務(wù)、管理體系符合相關(guān)技術(shù)規(guī)范、相關(guān)技術(shù)規(guī)范的強(qiáng)制性要求或者標(biāo)準(zhǔn)的合格評(píng)定活動(dòng)。這一定義說(shuō)明，認(rèn)證的對(duì)象分為三種：產(chǎn)品、服務(wù)、管理體系。

（一）法律依據(jù)

《規(guī)則》制定的主要依據(jù)有：《數(shù)據(jù)安全法》第十八條——國(guó)家促進(jìn)數(shù)據(jù)安全檢測(cè)評(píng)估、認(rèn)證等服務(wù)的發(fā)展，支持?jǐn)?shù)據(jù)安全檢測(cè)評(píng)估、認(rèn)證等專業(yè)機(jī)構(gòu)依法開展服務(wù)活動(dòng)；《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例（征求意見稿）》第三十五條第二款——數(shù)據(jù)處理者和數(shù)據(jù)接收方均通過(guò)國(guó)家網(wǎng)信部門認(rèn)定的專業(yè)機(jī)構(gòu)進(jìn)行個(gè)人信息保護(hù)認(rèn)證；《中華人民共和國(guó)認(rèn)證認(rèn)可條例》第二條——本條例所稱認(rèn)證，是指由認(rèn)證機(jī)構(gòu)證明產(chǎn)品、服務(wù)、管理體系符合相關(guān)技術(shù)規(guī)范、相關(guān)技術(shù)規(guī)范的強(qiáng)制性要求或者標(biāo)準(zhǔn)的合格評(píng)定活動(dòng)。本次公告開展的是管理體系認(rèn)證。

（二）認(rèn)證要求

《規(guī)則》中明確了認(rèn)證依據(jù)是已于2022年4月15日發(fā)布、將于2022年11月1日實(shí)施的GB/T 41479《網(wǎng)絡(luò)數(shù)據(jù)處理安全要求》；認(rèn)證適用的范圍是對(duì)網(wǎng)絡(luò)運(yùn)營(yíng)者開展網(wǎng)絡(luò)數(shù)據(jù)收集、存儲(chǔ)、使用、加工、傳輸、提供、公開等處理活動(dòng)進(jìn)行認(rèn)證；認(rèn)證模式是“技術(shù)驗(yàn)證+現(xiàn)場(chǎng)審核+獲證后監(jiān)督”；認(rèn)證過(guò)程是認(rèn)證委托+技術(shù)驗(yàn)證+現(xiàn)場(chǎng)審核+認(rèn)證結(jié)果評(píng)價(jià)和批準(zhǔn)+獲證后監(jiān)督。

《規(guī)則》提出對(duì)認(rèn)證時(shí)限以及認(rèn)證證書和認(rèn)證標(biāo)志使用的相關(guān)要求：數(shù)據(jù)安全管理認(rèn)證證書的有效期為3年，在認(rèn)證證書有效期內(nèi)，獲得認(rèn)證的網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)按照有關(guān)規(guī)定在廣告等宣傳中正確使用認(rèn)證證書和認(rèn)證標(biāo)志（圖1），不得對(duì)公眾產(chǎn)生誤導(dǎo)。

圖1 認(rèn)證標(biāo)志

（三）認(rèn)證責(zé)任

認(rèn)證機(jī)構(gòu)應(yīng)依據(jù)《規(guī)則》的要求細(xì)化認(rèn)證實(shí)施程序，制定科學(xué)、合理、可操作的認(rèn)證實(shí)施細(xì)則并對(duì)外公布實(shí)施，認(rèn)證實(shí)施時(shí)其責(zé)任是對(duì)現(xiàn)場(chǎng)審核結(jié)論、認(rèn)證結(jié)論負(fù)責(zé)；技術(shù)驗(yàn)證機(jī)構(gòu)應(yīng)當(dāng)按照認(rèn)證方案實(shí)施技術(shù)驗(yàn)證，并向認(rèn)證機(jī)構(gòu)和認(rèn)證委托人出具技術(shù)驗(yàn)證報(bào)告，認(rèn)證實(shí)施時(shí)其責(zé)任是對(duì)技術(shù)驗(yàn)證結(jié)論負(fù)責(zé)；認(rèn)證委托人應(yīng)當(dāng)按認(rèn)證機(jī)構(gòu)要求提交認(rèn)證委托資料，并配合認(rèn)證機(jī)構(gòu)和技術(shù)驗(yàn)證機(jī)構(gòu)的現(xiàn)場(chǎng)審核與驗(yàn)證工作，其責(zé)任是對(duì)認(rèn)證委托資料的真實(shí)性、合法性負(fù)責(zé)。

分析與解讀

2021年是我國(guó)數(shù)據(jù)安全立法元年，數(shù)據(jù)安全政策體系建設(shè)取得重大戰(zhàn)略進(jìn)展，數(shù)據(jù)安全工作邁入了新階段。這一年，我國(guó)正式頒布了《中華人民共和國(guó)數(shù)據(jù)安全法》《中華人民共和國(guó)個(gè)人信息保護(hù)法》等兩部法律，填補(bǔ)了我國(guó)數(shù)據(jù)安全的法律空白，同時(shí)推出了《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例（征求意見稿）》，并對(duì)車聯(lián)網(wǎng)等重點(diǎn)行業(yè)、數(shù)據(jù)出境等重點(diǎn)領(lǐng)域進(jìn)行了落實(shí)細(xì)化。這些法律法規(guī)的密集出臺(tái)（表1），與2017年6月1日施行的《網(wǎng)絡(luò)安全法》一起，從國(guó)家到社會(huì)與個(gè)人逐步形成了加強(qiáng)數(shù)據(jù)安全保護(hù)的態(tài)勢(shì)。

表1 2021年密集出臺(tái)的數(shù)據(jù)安全相關(guān)法律法規(guī)

在大數(shù)據(jù)時(shí)代，一方面隨著數(shù)字經(jīng)濟(jì)的快速發(fā)展，數(shù)據(jù)已經(jīng)成為基礎(chǔ)性資源和戰(zhàn)略性資源，是決定數(shù)字經(jīng)濟(jì)發(fā)展水平和競(jìng)爭(zhēng)力的核心資源，另一方面數(shù)據(jù)安全形勢(shì)日益嚴(yán)峻，高價(jià)值數(shù)據(jù)泄露、個(gè)人信息濫用情況突出，針對(duì)數(shù)據(jù)的攻擊、竊取、劫持、濫用等層出不窮，滴滴事件、阿里云事件暴露了數(shù)據(jù)安全面臨的巨大潛在風(fēng)險(xiǎn)。數(shù)據(jù)安全領(lǐng)域呈現(xiàn)出一系列新特點(diǎn)、新趨勢(shì)，需要正確認(rèn)識(shí)和把握方向、抓好重點(diǎn)，加快提升數(shù)據(jù)安全保護(hù)能力。

目前，有相當(dāng)多的企業(yè)由于業(yè)務(wù)因素掌握著大量用戶數(shù)據(jù)，但由于對(duì)數(shù)據(jù)安全的投入產(chǎn)出成果往往無(wú)法直接反映在業(yè)績(jī)上，不少企業(yè)對(duì)投入高成本用于數(shù)據(jù)安全管理缺乏動(dòng)力，此前就有專家呼吁應(yīng)設(shè)立相關(guān)認(rèn)證制度，讓投入成本到數(shù)據(jù)安全上的企業(yè)能夠得到正向反饋，從而加強(qiáng)網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)。

此次開展數(shù)據(jù)安全管理認(rèn)證工作，將督促?gòu)V大企業(yè)在相關(guān)標(biāo)準(zhǔn)規(guī)范之下，開展網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)的合規(guī)建設(shè)，加強(qiáng)數(shù)據(jù)安全的防護(hù)力度。對(duì)于暫不符合認(rèn)證要求的，機(jī)構(gòu)可要求認(rèn)證委托人限期整改，具有一定的監(jiān)督和震懾作用。而在認(rèn)證有效期內(nèi)，企業(yè)須持續(xù)接受機(jī)構(gòu)監(jiān)督，確保數(shù)據(jù)安全工作持續(xù)落到實(shí)處，而非單純認(rèn)證時(shí)的走過(guò)場(chǎng)。

在獲證后監(jiān)督方面，《規(guī)則》提出，“認(rèn)證機(jī)構(gòu)對(duì)獲證后監(jiān)督結(jié)論和其他相關(guān)資料信息進(jìn)行綜合評(píng)價(jià)，評(píng)價(jià)通過(guò)的，可繼續(xù)保持認(rèn)證證書；不通過(guò)的，認(rèn)證機(jī)構(gòu)應(yīng)當(dāng)根據(jù)相應(yīng)情形作出暫停直至撤銷認(rèn)證證書的處理”。

認(rèn)證工作開展后，是否獲得數(shù)據(jù)安全管理認(rèn)證，對(duì)網(wǎng)絡(luò)運(yùn)營(yíng)者也將產(chǎn)生不同的影響。通過(guò)認(rèn)證后，可以證明網(wǎng)絡(luò)運(yùn)營(yíng)者在網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)、網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)等方面，符合相關(guān)標(biāo)準(zhǔn)規(guī)范，可以說(shuō)是對(duì)自身數(shù)據(jù)安全的全方位驗(yàn)證和保障。

其次，通過(guò)認(rèn)證后獲得的“認(rèn)證標(biāo)志”，可以按照有關(guān)規(guī)定在廣告等宣傳中使用，從而增加外界公眾對(duì)網(wǎng)絡(luò)運(yùn)營(yíng)者的信任度，有助于數(shù)據(jù)處理相關(guān)業(yè)務(wù)的順利開展。

從行業(yè)影響來(lái)看，認(rèn)證工作將數(shù)據(jù)安全從法律法規(guī)、標(biāo)準(zhǔn)層面推向了監(jiān)管落地方向。認(rèn)證工作的推出，勢(shì)必會(huì)增強(qiáng)企業(yè)或組織對(duì)數(shù)據(jù)安全落地的積極性，為數(shù)據(jù)安全行業(yè)提供新的助推引擎。