電力大數據業務快速發展 電網企業如何做好數據安全治理

　　核心提示 當前，隨著大數據技術、數字經濟的快速發展，數據安全治理面臨諸多挑戰。電力大數據數量多、涉及客戶規模大、覆蓋面廣，數據安全關系電網生產、經營管理、客戶服務，甚至國家安全及社會穩定，因此做好數據安全治理至關重要。電網企業應從安全管理機制、合規機制、安全技術服務能力等方面入手，做好數據安全治理和防控。

　　企業數據安全治理面臨新的形勢和挑戰

　　隨著我國數據安全法律法規的不斷完善，以及數據流通、應用與共享的快速推進，企業數據安全治理面臨安全合規風險增加的新形勢和安全管理機制仍待健全等一系列挑戰。

　　● 數據安全合規工作需持續完善

　　近年來，我國數據安全法律法規不斷完善，對企業在數據和個人信息安全保護方面的監管要求日趨嚴格，執法力度不斷加大。2016年以來，我國頒布《中華人民共和國網絡安全法》，實施《信息安全技術—網絡安全等級保護基本要求》國家標準，強化企業在數據安全方面的主體責任。目前，《中華人民共和國數據安全法(草案)》《中華人民共和國個人信息保護法(草案)》全文已公布，數據安全和個人信息保護立法工作已提上日程。企業的數據安全合規工作需根據國家法律法規和相關政策要求持續完善，避免給數據業務發展帶來法律風險。

　　● 數據安全管理機制仍待健全

　　數據安全管理風險是大數據應用面臨的突出風險。企業將海量數據集中存儲，方便數據分析和處理。但數據鏈條長、暴露面廣，加大了防控數據外泄的難度，也對數據安全管理提出更高要求。許多企業在發展數據業務的過程中，存在“重業務、輕安全”的思想，人員數據安全保護意識薄弱，數據安全防護不到位，容易導致大規模數據泄露事件發生。

　　● 數據泄露風險不斷增加

　　隨著數據挖掘、機器學習、人工智能等技術的應用，大數據分析能力進一步提升。敏感信息已能從碎片化、非敏感的數據中提取，涉及企業核心利益及國家安全的信息甚至可以從海量數據中被分析出來。此外，針對數據的網絡黑產活動專業化程度不斷提升，使得由系統漏洞、網絡攻擊等造成的數據泄露問題日趨嚴重。

　　電力數據安全治理和風險防控任重道遠

　　在“數字新基建”加快發展的背景下，電力大數據業務快速發展，電網企業數據開放程度進一步加大。大數據已成為電網企業的核心資產和生產要素。電力大數據包括營銷、財務、物資、電網生產等海量數據，數量多、客戶規模大、覆蓋面廣，一旦數據被篡改、泄露或攻擊，將會對電網生產、經營管理、客戶服務，甚至國家安全及社會穩定造成極大的影響。電網企業數據安全治理和風險防控任重道遠。

　　目前，國家電網有限公司數據安全治理和防控工作已初見成效：初步建立數據安全保護機制，印發《國家電網有限公司關于進一步規范數據安全工作的通知》等數據安全應用相關規定，完成商業秘密、工作秘密和個人隱私數據、敏感事項等數據的梳理，明確數據全生命周期的安全防護要求，并建立內部數據管控制度;不斷提升數據安全保障能力，編制數據中臺安全防護方案，配置數據分級、敏感數據識別、脫敏等安全規則;對重要數據加密傳輸、加密存儲，在數據使用環節遵循最小授權原則，結合業務場景采用脫敏、水印等手段實現差異性保護。

　　在客戶個人信息的保護方面，國家電網公司明確個人數據接入使用合規要求、個人信息數據收集原則，對個人信息等敏感數據進行脫敏處理，健全個人信息化保護機制。

　　數據安全治理需技術、管理、人才多管齊下

　　電網企業數據安全治理與風險防控工作仍處于起步階段。建議電網企業從健全安全管理機制、推進合規機制建設、提升安全技術服務能力及培養數據安全專家人才4個方面入手，開展數據安全治理和風險防控。

　　● 健全安全管理機制，擔起關鍵信息基礎設施和數據安全保護責任

　　應堅持“安全分區、分類分級、依法合規”的防護原則，以法規監管、業務需求、標準指引為出發點，統籌規劃，構建覆蓋組織、策略、流程和工具的安全管理體系，既防內又防外，對關鍵信息基礎設施實施重點保護。

　　建議電網企業建立權責明晰、分工合理、協同高效的數據安全管理組織體系，落實數據采集、傳輸、存儲、處理、交換、銷毀等全生命周期保護措施，規范數據分類分級，確定安全職責和權利，推進安全管理制度建設;建立數據外發備案和數據安全應急響應機制，加強數據處理、使用、外發等安全評估，強化評估及責任追究，實現安全管理體系化、規范化和標準化。

　　● 樹立法律紅線意識，推進安全合規機制建設

　　電網企業應緊跟國家法律法規要求，深入貫徹《中華人民共和國網絡安全法》《中華人民共和國數據安全法(草案)》《中華人民共和國個人信息保護法(草案)》等相關法律法規和政策要求，加強數據安全法律意識宣貫，在數據業務發展中樹立法律法規紅線意識;深入分析數據安全案例，推進數據安全態勢預警與案例分析通報建設;依法依規落實個人信息安全保護要求，合法合規獲取、使用個人信息，規范數據采集、處理、交互等環節數據確權機制，實現數據來源合法、處理可控、去向溯源，避免侵犯客戶個人隱私或違規獲取客戶個人信息。

　　● 提升數據安全技術服務能力，開展標準化統一管理

　　建議電網企業做好數據安全技術的頂層設計，夯實數據安全基礎設施建設，提升數據中臺安全防護水平，堅守“明細數據不出中臺”的原則，嚴防敏感數據泄露;加快應用數據脫敏、水印溯源、大數據態勢感知等技術，探索研究匿名化、數據標簽、多方安全計算等應用場景，逐步實現數據安全能力模塊化、標準化，并基于共享服務化的數據安全合規管控機制，打通各級數據中心，貫通數據保護環節，形成一體化運作的數據安全防護體系，實現安全服務能力的開放調用、策略統一管理、風險統一研判;提升數據安全監測、攻防驗證能力，與業務場景結合，持續完善數據安全技術和工具，實現對數據安全技術和工具的能力驗證。

　　● 培養數據安全人才隊伍，筑牢安全防線

　　電網企業應加強數據安全人才的引進和培養，以數據安全專家為骨干，結合律所合規、產業攻防方面人才，建設數據安全專家隊伍，強化數據安全人員履職能力和職業素養。同時應促進數據安全管理部門與業務部門融合，協同推進數據安全相關工作，強化數據安全責任落實，培養既懂業務又懂安全的專業人才;加強公司各單位數據安全人才隊伍交流合作，建立常態溝通協助機制，形成數據安全專業人才培養、技術創新、產業發展的良好生態。

　　(作者單位：國家電網有限公司大數據中心)