2021-06-23-KPMG_China-构建全面的网络安全和数据保护治理体系_10页_2mb

构建全面的网络安全和数据保护治理体系总结

核心内容概述

《中华人民共和国网络安全法》（网安法）、《中华人民共和国数据安全法》（数安法）和《中华人民共和国个人信息保护法》（个保法）共同构成了中国网络安全和数据保护的法律框架。这些法律明确了企业在数据处理、网络安全和个人信息保护方面的责任与义务，推动企业从单纯的技术防护转向全生命周期的数据安全管理。

主要观点

• 法律背景：2015年《国家安全法》将网络安全和数据安全提升至国家安全层面；2017年《网络安全法》确立了网络运营者的责任；2021年《数据安全法》进一步细化数据安全监管要求。
• 法律适用范围：数安法适用于境内数据处理活动，也涵盖境外活动对国家安全、公共利益或个人权益造成损害的情形。
• 制度体系：数安法建立了数据分类分级保护、重要数据保护、国家核心数据保护等制度，并强调风险管理和监测预警、应急处置、数据审查、出口管制等机制。
• 监管职责：中央国家安全领导机构与各行业主管部门共同承担数据安全监管职责，国家网信部门负责个人信息保护相关事务。
• 企业责任：企业需建立健全信息安全管理体系、数据安全管理体系和个人信息管理体系，以应对日益严格的合规要求。

关键信息

数据分级分类保护

• 定义：根据数据对国家安全、公共利益或个人权益的影响程度进行分类分级保护。
• 重要数据目录：由国家数据安全工作协调机制统筹制定，企业需按行业要求确定具体目录。
• 国家核心数据：涉及国家安全、国民经济命脉、重要民生和重大公共利益的数据，需实行更严格的管理。
• 行业主管部门：
  • 工业、电信：工业和信息化部
  • 金融：中国人民银行
  • 交通：交通运输部
  • 自然资源：自然资源部
  • 卫生健康：国家卫生健康委员会
  • 教育：教育部
  • 科技：科学技术部

企业多重身份

• 网络运营者：需遵守《网络安全法》的相关要求。
• 数据处理者：需遵守《数据安全法》的数据分类分级保护、数据出境评估等要求。
• 个人信息处理者：需遵守《个人信息保护法》草案中关于个人信息处理的规定。

安全合规举措

• 评估与认证：包括网络安全等级保护评估、数据安全检测评估、个人信息保护评估。
• 报告义务：需向监管部门报告网络安全、数据安全及个人信息安全事件。
• 本地化管理：企业需指定本地网络安全负责人，按需任命个人信息保护负责人和数据安全负责人。
• 本地化团队：需建立本地化的安全运维团队，支持数据和系统的本地化管理。

安全治理影响

• 全生命周期管理：企业需将数据安全纳入业务流程，实现从数据采集、存储、处理到传输的全生命周期管理。
• 技术与管理结合：需将数据安全管理与企业数字化转型、数据治理和运营管理相结合。
• 多方协作：需从上至下、多方协作，确保安全治理措施切实有效并可落地。

未来法律关注点

• 数据安全管理条例：包括重要数据目录、重要数据出境安全评估办法等。
• 关键信息基础设施保护条例：针对涉及国家安全和公共利益的基础设施进行保护。
• 个人信息出境安全评估办法：对个人信息跨境传输进行严格监管。

毕马威网络安全服务

• 全球化团队：毕马威拥有全球化的网络安全和法律服务专业团队。
• 生态圈协作：强调与网络安全生态圈的互动与协作关系。
• 落地经验：具备丰富的网络安全和数据保护规划实施经验。
• 技术解决方案：提供可定制化、可持续管理的技术解决方案。

联系方式

• 石浩然
  电话：+852 2143 8799
  邮箱：henry.shek@kpmg.com

• 张令琪
  电话：+86 (21) 2212 3637
  邮箱：richard.zhang@kpmg.com

• 张倪海
  电话：+852 2847 5062
  邮箱：brian.cheung@kpmg.com

• 黄芃芃
  电话：+86 (21) 2212 2355
  邮箱：quin.huang@kpmg.com

• 郝长伟
  电话：+86 (10) 8508 5498
  邮箱：danny.hao@kpmg.com