深入剖析企业合作方数据安全风险及管理

吴安琪 吴潇 朱奕森 谭志明 谢绍志 郑文奇

【摘要】    随着智能信息时代的到来，数据中蕴藏的巨大商业价值被逐步挖掘出来，企业开展数据合作能使双方利益最大化被利用，但是同时也带来了巨大的数据安全挑战。企业应加强自身的防御能力，关注合作方管理，从源头提升合作方泄露的难度，减少合作方可以滥用的公共资源。

【关键词】    合作方    数据安全    风险

一、背景

2020年某知名酒店发生数据泄露事件，这是该集团在近两年内发生的第2次重大数据安全事件。这一泄露原因可能是第三方利用员工的登录凭证访问了集团的共涉及520万宾客数据。这一消息无疑给企业及用户带来深深焦虑。如今大数据时代中，数据价值愈发凸显，合作方员工也有意或者无意地给各种企业带来一定的威胁。企业在数据合作中更需重视并做好数据安全合规合作的工作，保障好企业的切身利益及声誉。

二、企业对外合作风险现状

企业可能与合作方在业务合作、数据服务、市场代理销售、代维代建等方面均有合作，一旦发生诸如数据大批量泄露等的数据安全事件，将对企业的合作开展、企业在业界的声誉、企业的利益、用户信任度等方面产生较大影响。目前，企业对外合作风险主要包括以下几个方面：

2.1合作方企业信誉安全风险

在合作方引入前未对其资质背景充分评估，引入的合作方存在信誉低风险，或曾被企业拉入不良信用黑名单，或有外资企业背景，可能增加敏感数据泄露的风险。

2.2系统代维代建安全风险

在业务研发及系统运维过程中，引入的合作方是代维代建类型，如果未遵循“账号专人专用、权限最小化”原则，代维人员及代研发人员拥有超出工作职责的高权限账号，在权限管理控制手段不足的情况下，存在违规访问和操作行为，导致敏感数据泄露的风险。另外合作方开发人员误引用内置软件后门的开源代码或APP中插入获取个人信息敏感权限的第三方sdk，均存在非法窃取敏感数据的风险。

2.3数据服务安全风险

在进行数据模型合作时，合作方利用企业平台数据或融合自带数据，开发部署和训练模型，获取模型结果。如对提供给合作方用于分析挖掘的数据审核不严，超范围使用;或在进行数据分析和挖掘的过程中，对个人敏感信息判定不准确、未进行数据脱敏或数据脱敏不彻底，或合作方代分析挖掘后形成的成果夹带敏感信息，均可能导致用户个人权益受损或用户隐私泄露或敏感信息泄露风险。

企业通过SaaS平台的方式向合作方提供服务，利用自有数据，形成合作方需求数据维度。若大数据平台未遵循“账号专人专用、权限最小化”原则，存在职责分离问题，导致合作方可以对敏感数据进行违规访问和操作，存在敏感数据泄露的风险。

2.4数据输出安全风险

涉及数据输出的合作场景，企业对合作数据范围，目的以及必要性审批不严，未遵循数据服务最小化原则和遵循用户知情同意原则;或缺乏接口安全检测，导致敏感数据超范围输出给合作方;或涉及敏感信息传输的未采用健壮的传输加密机制;或合作方可以非法访问能力开放平台获取敏感数据，存在敏感数据泄露的风险。

2.5市场代理销售留存安全风险

合作方通过代理的形式如服务渠道商，代理商，在推广合作产品，使用企业渠道系统过程中未按约定违规收集、私自下载或者留存纸质敏感数据，未遵循合法、正当、必要的原则，将收集的敏感数据从事违法犯罪活动或损害社会公共利益的活动。

三、对外合作基本原则

在意识到企业数据合作方面可能会产生的各类安全风险后，日后企业开展数据合作应当基于以下原则管理企业本身及合作方：

3.1合法合规原则

企业应在法律法规规定的范围内，开展数据对外合作。

3.2权责一致原则

企业在共享合作数据前，应事先开展共享合作数据安全影响评估，依评估结果采取有效的保护共享合作数据的措施，并监督合作方对合作数据的保护措施应不低于本企业。

3.3数据服务最小化原则

企业应具有合法、正当、必要的数据开放共享目的，仅提供合作开展需要的群体属性、标签属性等数据，数据范围应最小化，降低多余数据外泄风险。

3.4用户知情同意原则

在共享个人信息前，企业应向个人信息主体告知收集使用个人信息的目的、方式、范围、数据接收方的信息以及可能产生的后果，并事先征得个人信息主体的授权同意。

四、安全管理要求

企业在遵循对外合作基本原则的基础上，更应加强数据合规合作管理体系建设。从数据安全事前安全防范、事中持續监测和事后稽核审计三个方面加强企业数据合作安全管控。

4.1事前安全防范

数据合作安全管理“事前防范”包括组织职责管理、数据分类分级管理和合作方调研审查及数据安全协议。

4.1.1组织职责管理

企业应明确数据合作安全监督管理部门，职责包括但不限于：建立数据合作安全管理制度和实施细则;建立数据合作方安全审核制度及审批流程;建立数据对外合作企业的不良信用名单管理制度，明确不良信用名单设置标准;建立数据对外合作清单更新维护机制;建立数据对外合作安全教育培训制度，建立健全应急响应机制和应急预案。

明确数据合作执行配合部门，配合落实数据合作相关工作，对合作方进行评估审核，审核合作数据内容及合规必要性;定期核查更新数据对外合作清单;开展数据对外合作安全管理培训;开展数据泄露等场景的应急演练等。

4.1.2数据分类分级管理

建议企业参考行业数据分类分级指南，建立企业自身数据的分类分级制度，根据数据类型、数据类别、数据敏感程度进行分类分级。实现重要数据重点保护，且需要明确基于不同数据敏感级别对数据进行差异化安全管控的手段，明确数据开放的原则规范。

4.1.3合作方调研审查及数据安全协议

1.合作方调研审查。企业在开展合作前应对合作方进行背景调查，重点做好合作方的境内外合作关系、既往合作情况、是否有不良信用记录等的调查。应开展合作方安全资质审查，包括但不限于审核合作方保密及运营资质、人员能力、经营范围、数据源合规性、个人信息保护能力资质、个人信息授权等方面。综合评估合作方的数据安全保障能力，包括对合作方的数据安全管理制度、数据安全防护技术手段等的评估。确保合作方满足数据合作安全保障能力要求，能切实保障敏感数据。

2.数据安全协议签署。企业应加强对合作方的约束管理，与合作方签署数据安全协议，细化安全责任。签约前，合作双方应就保密协议中甲乙双方安全责任进行界定，包括合作方及項目参与员工可接触到的数据处理相关平台系统范围、合作模式、数据内容、甲乙双方权限义务、保密责任、保密有效期及违约处罚等条款。

4.2事中持续监测

4.2.1合作方账号管理

对于合作方人员需使用企业自有系统账号的情况，应与合作方签订相关的安全协议，以明确相关安全责任及保密职责。企业应建立合作方的账号申请、授权、转岗、注销、回收、有效期等账号生命周期管理流程制度。需审核后方可开通账号，审核内容包括权限的必要性、与合作范围的一致性等，原则上应禁止合作方人员掌握系统管理员权限，禁止为合作方人员开通原始个人信息的访问权限，并定期开展账号权限审查工作，确保及时删除沉默账号，合作方人员发生离职或岗位变动时能及时清理其账号。

4.2.2数据操作行为监测及审计

企业应对数据合作方数据操作行为进行日志留存，留存字段至少包括人员、操作数据类型、操作行为、操作时间，留存时间应不少于法律法规规定，确保满足审计和溯源要求。

实现数据访问和使用行为的自动化实时监测与异常预警，并建立预警处置机制。

建立合作方数据使用行为定期审计机制，对认证记录、访问记录、操作记录进行日志审计，用以发现异常操作、敏感数据操作等，并留存审计记录。

4.2.3数据安全保障能力监测及评估

企业应定期对数据合作方的数据安全保障能力进行监测及评估，包括但不限于对合作方的数据安全管理制度、数据安全防护技术手段，确保合作方在合作过程中同样满足企业的数据合作安全保障能力要求。

4.3事后稽核审计

4.3.1安全风险监督管理

企业应定期对合作方进行事后监督检查，对检查过程中发现的问题，应责成合作方在规定时限内整改，未及时完成的应依据相关条款进行处罚。定期组织开展客户信息泄露风险隐患排查工作，严肃处理并通报发现的违规问题，适当考虑添加至不良信用名单中。对涉嫌违法犯罪的，及时向公安机关报案。

4.3.2合作数据删除管理

在数据合作结束后，企业应督促合作方依照数据安全协议等约定及时关闭数据接收接口，对数据进行销毁，不得超期留存，敏感数据销毁需由企业内部工作人员现场进行有效监督。应对数据合作权限进行回收，对合作方数据接口关闭、数据销毁等落实情况进行检查核实，留存相关日志记录。

五、通用安全技术

在企业数据合规合作管理体系完善并落实的基础上，企业自身也应当加强数据安全防护技术能力，常见的安全技术有数据流向监测技术、数据防泄漏技术、数据脱敏技术。

5.1数据流向监测技术

存在数据对外开放场景的，要建立对输出数据的监测溯源能力。对数据进行签名并添加数字水印，对合作数据及时跟踪，记录数据流向等，防止数据被滥用。至少可识别该数据发送者、数据接受者，确保发现可疑泄露数据时，可追踪到数据泄露者。

5.2数据防泄漏技术

企业应配置数据防泄露能力，具备数据导入导出渠道的实时监控能力，目前常见从数据使用、数据存储、数据传输三个维度进行防泄漏策略定制[1]。扫描存储的敏感信息并发现不当存储，监控对敏感信息的敏感操作，以及防范敏感数据从网络数据流量泄漏的风险。

5.3数据脱敏技术

在合作方人员对敏感数据进行查询、展示、统计等操作时，应按照最少够用原则，根据业务需求对敏感数据实施脱敏处理。当前数据脱敏技术主要分为静态数据脱敏和动态数据脱敏两类[2]，企业在处理敏感信息时，应选择合适的脱敏方法，保证脱敏后的数据仍能真实体现需要的数据的特征，且应尽可能多的保留原始数据中的有意义信息，以减小对使用该数据的业务的影响。

六、结束语

总之，在理解了对外合作常见的安全风险基础上，企业应当高度重视并加强数据安全防护体系建设。从事前安全防范、事中持续监测和事后稽核审计三个方面加强数据安全管控，同时也应提升企业的安全技术防范能力。

参  考  文  献

[1]徐云峰. 几种常用的数据安全防泄漏技术[N]. 中华读书报，2019-07-10（017）.

[2]王卓，刘国伟，王岩，李媛.数据脱敏技术发展现状及趋势研究[J].信息通信技术与政策，2020（04）：18-22.