工信部：重要数据、核心数据出境应进行安全评估

　　据工业和信息化部官网消息，为规范工业和信息化领域数据处理活动，加强数据安全管理，保障数据安全，促进数据开发利用，保护个人、组织的合法权益，维护国家安全和发展利益，工业和信息化部近期印发《工业和信息化领域数据安全管理办法(试行)》(以下简称《管理办法》)，其中提出，工业和信息化领域数据处理者在中华人民共和国境内收集和产生的重要数据和核心数据，确需向境外提供的，应当依法依规进行数据出境安全评估。

　　按照《管理办法》，工业和信息化领域数据包括工业数据、电信数据和无线电数据等。其中，工业数据是指工业各行业各领域在研发设计、生产制造、经营管理、运行维护、平台运营等过程中产生和收集的数据。电信数据是指在电信业务经营活动中产生和收集的数据。无线电数据是指在开展无线电业务活动中产生和收集的无线电频率、台(站)等电波参数数据。

　　明确数据分类分级、“就高”保护原则

　　《管理办法》规定，工业和信息化部组织制定工业和信息化领域数据分类分级、重要数据和核心数据识别认定、数据分级防护等标准规范，指导开展数据分类分级管理工作，制定行业重要数据和核心数据具体目录并实施动态管理。地方行业监管部门分别组织开展本地区工业和信息化领域数据分类分级管理及重要数据和核心数据识别工作，确定本地区重要数据和核心数据具体目录并上报工业和信息化部，目录发生变化的，应当及时上报更新。

　　根据数据遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益等造成的危害程度，工业和信息化领域数据分为一般数据、重要数据和核心数据三级。

　　工业和信息化部网络安全管理局相关负责人介绍，《管理办法》以数据分级保护为总体原则，要求一般数据加强全生命周期安全管理，重要数据在一般数据保护的基础上进行重点保护，核心数据在重要数据保护的基础上实施更加严格保护。对于不同级别数据同时被处理且难以分别采取保护措施的，采取“就高”原则，按照其中级别最高的要求实施保护。

　　明确数据处理者保护义务

　　《管理办法》明确，工业和信息化领域数据处理者收集数据应当遵循合法、正当的原则，不得窃取或者以其他非法方式收集数据。数据收集过程中，应当根据数据安全级别采取相应的安全措施，加强重要数据和核心数据收集人员、设备的管理，并对收集来源、时间、类型、数量、频度、流向等进行记录。

　　按照规定，工业和信息化领域数据处理者应当按照法律、行政法规规定和用户约定的方式、期限进行数据存储。存储重要数据和核心数据的，应当采用校验技术、密码技术等措施进行安全存储，并实施数据容灾备份和存储介质安全管理，定期开展数据恢复测试。

　　工业和信息化部网络安全管理局相关负责人具体介绍，《管理办法》依据国家数据分类分级保护制度要求，规定重要数据处理者在履行一般数据处理者数据安全保护义务的基础上，还应承担以下四项保护义务。

　　一是开展数据识别备案，按照相关标准规范识别重要数据，形成本单位具体目录并进行备案;

　　二是加强内部管理，建立数据安全工作体系，明确数据安全负责人，加强数据处理关键岗位管理，构建重要数据处理登记审批机制，强化数据全生命周期安全保护措施;

　　三是组织常态化监测预警与应急处置，涉及重要数据和核心数据安全事件的应第一时间进行上报;

　　四是定期实施风险评估，及时发现整改风险问题，并按照要求上报风险评估报告。

　　明确数据出境等安全风险评估

　　据介绍，《管理办法》明确重要数据和核心数据处理者每年至少完成一次数据安全风险评估，可以自行或委托第三方评估机构开展，及时整改风险问题，并向本地区行业监管部门报告。评估内容包括合规评估和风险研判：合规评估是指对标对表法律法规和政策文件，评估是否满足相关要求，风险研判是指通过分析数据处理者的安全保障能力、面临的威胁情况和发生安全事件后的影响程度等，评估数据处理活动的安全风险等级。

　　值得注意的是，按照《管理办法》，工业和信息化领域数据处理者在中华人民共和国境内收集和产生的重要数据和核心数据，法律、行政法规有境内存储要求的，应当在境内存储，确需向境外提供的，应当依法依规进行数据出境安全评估。

　　工业和信息化部根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国工业、电信、无线电执法机构关于提供工业和信息化领域数据的请求。非经工业和信息化部批准，工业和信息化领域数据处理者不得向外国工业、电信、无线电执法机构提供存储于中华人民共和国境内的工业和信息化领域数据。

　　此外，工业和信息化部网络安全管理局相关负责人介绍，监测预警是有效发现和防范数据安全突出风险的重要工作。《管理办法》明确了“部-省-企业”三级联动协同的数据安全风险监测预警工作机制。

　　一是工业和信息化部统筹指导行业数据安全监测预警工作，建设行业数据安全风险监测预警技术手段，统一汇集、研判、通报数据安全风险信息。

　　二是地方行业监管部门负责建立本地区本领域数据安全监测预警机制，组织管辖范围内的数据处理者开展数据安全风险监测和信息报送。

　　三是数据处理者做好本单位数据安全风险监测，按照行业监管部门要求开展风险监测排查，及时防范化解风险隐患。