11月14日，國家網信辦發布了《網絡數據安全管理條例（征求意見稿）》（以下簡稱《條例》），從多個維度對網絡數據安全的合規性提出了明確要求。
作為中國新一代信息安全技術企業的代表廠商，明朝萬達憑借在數據安全領域豐富的項目實踐和經驗，結合對網絡安全、數據安全相關法律法規的深入解析，針對此次網信部所發布《條例》中的合規性紅線劃定，以及對合規性難點分析，提出了一項有效平衡企業數據資產使用的便利性、安全性、合規性的產品——Chinasec（安元）數據安全合規檢查系統。
該系統支持用戶能夠對標現有基礎的等保、數據安全法以及各行業的數據分類分級實踐標準與數據安全管理行業管理規定，提前對辦公終端電腦、服務器等主機環境中存量數據文件進行合規性、安全性自檢。提前發現數據安全管理的風險并由用戶進行響應的合規性處置，幫助企業用戶平衡敏感數據資產的生產效率與合規風險。除此之外本系統還支持協助監管機構、企業內部審計部門等對目標企業用戶高效的進行數據安全合規性檢查，并輸出數據安全合規性檢查報告。
合規性紅線劃定
1、用管并重 安全優先
《征求意見稿》從一般規定、個人信息保護、重要數據安全、數據跨境安全管理、互聯網平臺運營者義務、監督管理、法律責任等維度，對網絡數據安全管理進行了高細粒度的規范。《征求意見稿》第三條闡明了我國網絡數據安全管理的原則，立足“堅持促進數據開發利用與保障數據安全并重”，并且進一步要求“加強數據安全防護能力建設，保障數據依法有序自由流動，促進數據依法合理有效利用” 。重點突出了數據的安全性，體現出網絡數據安全紅線不可觸碰的使用原則和管理宗旨，進一步把網絡數據的安全放在了第一位，也映射到網絡空間作為國家主權的體現，在確保合規、安全的情況下，促進數據的開發利用。
2、分類分級 重點保護
第五條明確規定：“國家建立數據分類分級保護制度。按照數據對國家安全、公共利益或者個人、組織合法權益的影響和重要程度，將數據分為一般數據、重要數據、核心數據，不同級別的數據采取不同的保護措施”。“國家對個人信息和重要數據進行重點保護，對核心數據實行嚴格保護”。這是對《數據安全法》和《個人信息保護法》關于數據安全的進一步規范和明確。同時要求“各地區、各部門應當按照國家數據分類分級要求，對本地區、本部門以及相關行業、領域的數據進行分類分級管理”，可見對于數據分類分級管理，各地區、各部門不能僅限于《征求意見稿》的三大數據分類，而是要根據不同地區、不同行業制定出針對性和個性化的數據分類分級標準，使分級管理合乎規范。
3、數據交易有序流通
《征求意見稿》對于數據的安全交易奠定了制度基礎：第七條規定“國家推動公共數據開放、共享，促進數據開發利用，并依法對公共數據實施監督管理”。“國家建立健全數據交易管理制度，明確數據交易機構設立、運行標準，規范數據流通交易行為，確保數據依法有序流通”。可見國家將大力建設數據開放共享和開發利用，并且會逐步完善相關的制度，確保數據的交易有法可依、有法必依、違法必究。體現出數據交易的合規性保障和安全性的底線思維，在管理制度和安全技術成熟的情況下，推進數據交易的合規性開展。
4、技術措施紅線要求
對于數據處理者的數據安全管理和數據安全事件的應對，提出了更高的要求，從被動應對的消極保安全到自主自發的積極保安全，提出了基于風險管理的紅線要求：第九條“數據處理者應當采取備份、加密、訪問控制等必要措施，保障數據免遭泄露、竊取、篡改、毀損、丟失、非法使用，應對數據安全事件，防范針對和利用數據的違法犯罪活動，維護數據的完整性、保密性、可用性”。“數據處理者應當按照網絡安全等級保護的要求，加強數據處理系統、數據傳輸網絡、數據存儲環境等安全防護，處理重要數據的系統原則上應當滿足三級以上網絡安全等級保護和關鍵信息基礎設施安全保護要求，處理核心數據的系統依照有關規定從嚴保護”。“數據處理者應當使用密碼對重要數據和核心數據進行保護”。第十一條 數據處理者應當建立數據安全應急處置機制，發生數據安全事件時及時啟動應急響應機制，采取措施防止危害擴大，消除安全隱患。
5、數據跨境安全網關
近年來，數據跨境成為數據安全熱點和難題，《征求意見稿》對于數據跨境進行了安全網關的設計：第四十一條“國家建立數據跨境安全網關，對來源于中華人民共和國境外、法律和行政法規禁止發布或者傳輸的信息予以阻斷傳播”。“任何個人和組織不得提供用于穿透、繞過數據跨境安全網關的程序、工具、線路等，不得為穿透、繞過數據跨境安全網關提供互聯網接入、服務器托管、技術支持、傳播推廣、支付結算、應用下載等服務”。同時，對于從事跨境數據活動的數據處理者，從技術和管理措施兩個維度明確了監管要求：第四十二條“數據處理者從事跨境數據活動應當按照國家數據跨境安全監管要求，建立健全相關技術和管理措施”。
6、違法必究 執法必嚴
《征求意見稿》首先明確了監管部門和其對應的職能，第五十五條“國家網信部門負責統籌協調數據安全和相關監督管理工作”。“公安機關、國家安全機關等在各自職責范圍內承擔數據安全監管職責”。“工業、電信、交通、金融、自然資源、衛生健康、教育、科技等主管部門承擔本行業、本領域數據安全監管職責”。對于違法追究方面，除了常規的警告、罰款、責令暫停相關業務、停業整頓、吊銷相關業務許可證或者吊銷營業執照、沒收違法所得，特別值得注意的是已經上升至刑法高度：第七十條“數據處理者違反本條例規定，給他人造成損害的，依法承擔民事責任；構成違反治安管理行為的，依法給予治安管理處罰；構成犯罪的，依法追究刑事責任”。
合規性難點分析
隨著全球數字經濟的蓬勃發展，數據已成為核心生產要素，是國家重要資產和基礎戰略資源。此次發布的《征求意見稿》為網絡數據安全管理提供了強有力的支撐，對各行業在處理使用數據資產起到重要指導作用。而《征求意見稿》想要真正執行落地，僅依靠明確管理要求是遠遠不夠的，尤其是當下數據體量呈可持續性爆炸式增長，還必須依靠技術革新和技術措施來達到合規性要求的輔助管理。
合規性難點在于：從技術維度考量，企業既要保護敏感數據資產的安全，保持符合監管合規性；又要在不改變現有業務流程的前提下快速部署實施，降低自身員工生產過程中使用數據資產的操作復雜度，提升生產效率。
Chinasec（安元）數據安全合規檢查系統
Chinasec（安元）數據安全合規檢查系統采用內容分析引擎，利用關鍵字、正則表達式、文件指紋、自然語言處理等規則，對主機環境下的結構化數據/非結構化數據文件進行解析與內容掃描，對照各行業數據分類分級規章制度和數據安全管理法律法規進行合規性檢查。本系統支持對主機的數據安全合規性和可信計算環境進行一鍵檢查，支持自動/手工調整輸出的數據安全合規檢查報告。
系統架構
核心優勢
· 支持主流環境，滿足國產化需求
明朝萬達數據安全合規檢查系統除了支持標準的Win7、Win10、Win Server環境外，還與龍芯、鯤鵬等CPU架構服務器、統信V20、銀河麒麟V10等操作系統完成兼容性測試并取得互認證證書，正在與更多的終端、服務器和操作系統廠商建立廣泛的生態互認。
· 支持主流數據格式內容掃描
明朝萬達數據安全合規檢查系統支持對終端、服務器本地存儲的數據內容進行識別，支持識別結構化數據和非結構化數據的各種格式，主要包括：
結構化數據：支持對關系型數據庫如Oracle、MySQL等數據庫類型，非關系型數據庫如Redis，NoSQL等。
非結構化數據：支持對Microsoft Word/Excel/PowerPoint、Openoffice、WPS等辦公文檔，ZIP、ISO、RAR、EML等壓縮文件，JPG、JPEG、PNG、BMP、TIFF圖片文件，PDF等電子出版格式以及其它以文本形式存儲的格式進行內容掃描。
· 基于行業的數據安全合規性檢查
根據公司多年來在各行業眾多企業數據安全管理項目的實踐經驗，結合國家各行業針對其行業自身數據資產特性而梳理制定的數據分類分級、數據安全合規性自檢標準規范，本系統梳理了各個行業對應的數據安全合規檢查落地的內容掃描規則數據集并根據授權進行了預置。
本系統重點支持針對政府（公、檢、法、稅務等）、軍工、金融（銀行、證券、保險）、通信、互聯網、工業制造（汽車、化工、電力）等行業的數據安全合規檢查。
· 支持主機可信計算環境檢測
本系統根據最新等保2.0標準的要求，支持對主機環境進行一鍵安全檢測，快速采集系統的硬件和操作系統信息、漏洞補丁版本信息、網絡控制準入信息、用戶口令配置信息、安裝軟件列表、本地安全策略、殺毒與防火墻配置信息等確保主機環境的安全性，并支持掃描終端本地緩存的歷史網絡訪問記錄、USB外設操作記錄、文件操作記錄、郵箱緩存數據記錄等，查看是否存在違規信息。
