构建数据安全检测认证体系

魏 昊

数据作为一种新生产要素，已成为国家基础性战略资源，与国家主权、社会秩序和公共利益息息相关.没有数据安全就没有国家安全.《中华人民共和国数据安全法》(以下简称《数据安全法》)和《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)的陆续发布有助于提升国家数据安全保障能力，有效应对数据这一非传统领域的国家安全风险与挑战，切实维护国家主权、安全和发展利益.这2部法律均提出支持专业机构开展数据安全检测、认证服务，当前急需加强数据安全检测认证体系建设，支撑国家数据安全管理.

认证作为国际通行的市场监督管理手段，在全球数据安全治理中被普遍采用.随着《数据安全法》和《个人信息保护法》的颁布实施，为贯彻落实有关认证工作要求，有力支撑数据安全监管，高效服务数字经济发展，如何科学构建数据安全认证体系、扎实推进数据安全认证制度实施、加强数据安全认证能力建设，成为当前迫切的工作.

1 数据安全治理引起高度关注，数据安全检测认证工作陆续开展

为加强数据安全保护，检测认证工作从法规制度建设、突出问题集中整治、检测认证项目规划等方面积极推进：一是相关法律法规对检测认证工作作出了制度性安排.《数据安全法》和《个人信息保护法》提出，促进数据安全检测评估、认证等服务的发展，支持数据安全检测评估、认证等专业机构依法开展服务活动，并将认证作为个人信息处理者向境外提供个人信息的一种方式；二是相关部门针对当前影响范围广、危害程度深、群众反映强烈的数据安全和个人信息保护问题，制定发布相关规定，开展专项治理，产生广泛影响并取得了显著成效；三是国家层面的数据安全认证制度逐步推出，根据中央网信办等四部委关于APP违法违规收集使用个人信息专项治理工作部署，市场监管总局、中央网信办联合发布APP安全认证制度，作为APP个人信息保护治理的长效机制和举措，有效传导了政策法规标准要求，规范了APP处理个人信息活动，满足了市场希望权威第三方机构通过客观评估、传递信任的迫切需求，同时，为规范网络运营者数据处理活动，数据安全管理认证制度建设也在积极推进；四是为满足市场数据安全检测认证需求，部分第三方机构依据国际标准、国家标准、行业标准，推出相应的检测认证项目，如依据国际标准ISO/IEC 27701隐私信息安全管理体系和ISO/IEC 27018公有云个人可识别信息保护体系、国家标准GB/T 37988 数据安全能力成熟度模型、金融行业标准等推出的检测认证项目.

2 数据安全检测认证工作急需顶层设计，标准制订、验证能力提升等关键点有待突破

在积极推进数据安全检测认证工作的同时，尚需加强制度体系设计、认证依据标准制定、评价方法和工具开发、检测认证机构管理等工作：一是数据安全认证制度体系顶层设计不足，缺乏数据安全认证工作顶层指导性文件，就统筹建设数据安全认证制度体系、加强数据安全认证制度和其他数据安全管理制度有效衔接、建立数据安全认证结果采信机制等作出安排；二是数据安全检测认证依据标准缺乏，尚未形成覆盖数据安全管理、服务、产品、人员等领域的标准体系，缺少个人信息保护认证等急需推出认证项目的依据标准，现有标准大多侧重于规范要求，而检测指标和方法偏少；三是数据安全检测认证专用工具缺乏，自动化水平不高，数据安全检测活动当前存在客观性测量指标项占比不高、数据处理活动个性化特点明显、数据流动同业务紧密联系等特点，检测认证过程较为依赖文件审核、现场查验、沟通访谈等方式；四是部分机构推出的检测认证项目以迎合客户商业推广、避免合规风险等市场需求作为初衷，未能很好地实现贯彻落实法规标准要求、支撑主管部门监管、引导企业规范数据处理活动的目的.

3 构建统一的数据安全检测认证体系，支撑数据安全监管，服务数字经济发展

为发挥数据安全检测认证制度作用，支撑数据安全治理，促进数据经济发展，急需加强数据安全检测认证体系建设，完善数据安全检测标准体系，推进数据安全认证技术能力建设，积极探索数据安全认证国际互认机制：一是制定颁布数据安全认证工作管理政策文件，规范数据安全检测认证活动，统筹建设数据安全检测认证工作体系，科学有序开展认证项目规划实施，强化认证机构和检测实验室管理，建立认证制度同其他数据安全制度的衔接及认证结果采信机制；二是加快推进数据安全检测认证依据标准制定，优先考虑认证体系规划的重点领域，快速推进急需的个人信息出境认证依据标准，加强检测认证评价指标和方法类标准的研制工作，逐步健全数据安全检测认证标准体系；三是强化数据安全检测认证技术能力建设，依托有关国家科研专项，构建数据安全评价基础理论和模型，研发数据安全评价关键技术，建设数据安全检测认证管理平台和专用工具，充分发挥能力比对验证机制作用，增强检测认证工作的一致性，加强数据安全检测认证人员队伍建设和管理；四是积极探索构建数据安全认证国际互认机制，积极参与并推进数据安全认证国际互认制度规则建设，加强国际数据跨境流动安全标准制定，适时推动成熟项目开展互认合作，充分发挥认证制度支撑数据跨境流动监管作用的同时，实现便利国际经贸合作、降低交易成本的目标.