20210623-毕马威-数安法要点小结与应对建议_构建全面的网络安全和数据保护治理体系_10页_2mb

报告摘要

构建全面的网络安全和数据保护治理体系总结

核心内容

《中华人民共和国国家安全法》、《网络安全法》和《数据安全法》构成了中国网络安全和数据保护治理的法律基础。这些法律不仅明确了网络安全和数据安全的重要性，还提出了企业在数据处理和网络运营中的具体责任和义务。此外，即将出台的相关法律法规及配套细则，如《数据安全管理条例》、《个人信息出境安全评估办法》等，将进一步细化和补充现有法律体系。

主要观点

法律体系的建立
- 2015年《国家安全法》将网络安全和数据安全提升至国家安全层面。
- 2017年《网络安全法》明确了网络运营者的安全责任和义务。
- 2021年《数据安全法》对数据处理活动及其安全监管进行了规范，并要求境外数据处理活动若损害国家安全、公共利益或公民合法权益，亦需承担法律责任。
数据分类分级保护制度
- 国家建立数据分类分级保护制度，依据数据的重要程度和潜在危害进行管理。
- 国家核心数据（如国家安全、国民经济命脉、重要民生、重大公共利益相关数据）需实行更严格的管理制度。
- 各地区、各部门应根据行业特点制定具体的重要数据目录，并实施重点保护。
企业的多重身份
- 企业作为网络运营者、数据处理者、个人信息处理者，需同时满足《网络安全法》、《数据安全法》和《个人信息保护法》（草案）的要求。
- 企业应建立涵盖信息安全、数据安全和个人信息管理的综合体系。
安全合规要求的扩展
- 企业需建立健全信息安全管理体系、数据安全管理体系和个人信息管理体系。
- 安全管理需覆盖数据全生命周期，包括数据收集、存储、使用、传输、销毁等环节。
- 企业应关注数据本地化与出境安全管理，确保数据处理活动符合法律要求。
本地化与安全运营中心建设
- 企业应设立本地的网络安全负责人，并按需任命个人信息保护负责人和数据安全负责人。
- 需建立本地化的安全管理体系，包括团队、流程和工具，以支撑全球化运营框架下的数据安全需求。