马浩淼

中共安徽省直机关工委党校综合教研室,安徽合肥,230091

进入新世纪以来,“互联网+政务服务”作为党和政府向社会和企业提供高效服务、转变社会治理模式的重要举措,最明显的就是应用在推进数字政府建设上。当前安徽省政府站在抢抓长三角一体化发展战略机遇、全面建设新时代美好安徽的关键节点上,力争通过数字化政府建设助力经济社会高质量发展,而随着各种政务应用的建成使用,涵盖各个社会组织和个人的各种敏感信息和重要数据的政务数据数量越来越庞大,一旦泄露将会对公民隐私、商业秘密、政府调控决策乃至国家安全造成巨大威胁,因此“互联网+”下安徽省电子政务数据安全治理至关重要。

1 “互联网+”安徽省电子政务数据安全治理现状

第一,安徽省电子政务数据安全治理规章制度逐年完善。国家层面出台《网络安全法》《个人信息保护法》《数据安全法》《关键信息基础设施安全保护条例》《网络数据安全管理条例(征求意见稿)》《网络安全等级保护条例(征求意见稿)》构成“三法三条例”体系。同时,安徽省2020年制定发布了《安徽省大数据发展条例》《“数字江淮”建设总体规划(2020—2025年)》《安徽省“数字政府”建设规划(2020—2025年)》等多项文件,2021又年出台了《安徽省政务数据资源管理办法》《安徽省电子政务外网管理办法(试行)》《安徽省省级政务云管理办法(试行)》等一系列涉及安徽省电子政务数字资源、外网安全运维和管理的文件[1]。

第二,初步完成电子政务数据安全治理体系的构建。目前安徽省已经建成或者边建边使用的系统包含1个省级政务云,黄山、宿州2个异地备份中心,一个全省一体化数据基础平台,一张全省电子政务外网,一个江淮大数据中心,一个“皖事通办”平台,省政府五大系统,一个协同办公平台、一个辅助决策平台[2]。这些系统设计初期就从物理安全、网络安全、数据安全、系统安全、应用安全等多角度进行同步规划,设置了安全保障体系,并及时根据网络安全等级保护的评测结果进行动态调整。特别是全省一体化数据基础平台,将推动实现数据全面统一,便于数据充分共享、跨部门业务协同和政府流程再造,为下一步数据要素开发利用奠定基础。

第三,省级和各地市成立了专门的电子政务管理机构,与其他部门统筹做好数据安全检查和保障工作。2018年12月,安徽省数据资源局正式组建,各地市也相应设立了数据资源局,至此安徽省电子政务缺乏专门的管理机构的情况得以改变。安徽省数据资源局内设有基础设施与安全处和大数据中心,每年定期联合其他部门对省直各单位进行检查。各地市也相应地建起了联合检查组或者联席会议机制。与此同时,省电子政务外网安全监测平台和网络安全态势感知平台得以部署,初步建立起数据安全监测预警机制[3]。

2 “互联网+”下安徽省电子政务数据安全治理面临的风险以及成因分析

2.1 安徽省电子政务数据安全治理面临的风险

为进一步了解安徽省电子政务数据安全治理中存在的风险,文本采用问卷调查方式,从电子政务从业人员自身情况、所在政务单位的数据安全治理制度制定情况两方面进行设置。电子政务从业人员自身情况,包括工作时间、学历、所学专业、业务培训情况、安全意识。所在政务单位的数据安全治理制度制定情况,包括数据安全监测、数据安全管控、岗位分工、计算机设备、权限划分、异常情况报告、定期检查与监督、安全运维外包等方面。

经单位与省数据资源管理局去函沟通,笔者于2022年6月30日完成安徽省数据资源管理局所在地省政务大厦的调研。参访人员包括“基础建设与安全处”“大数据中心”的5名相关工作专员,目的是了解“基础建设与安全处”“大数据中心”的相关职责、安徽省电子政务信息数据安全治理的相关标准;安徽省政务服务中心窗口工作人员(现场发放200份);安徽省直各政务单位、16个地市负责电子政务的相关处室(通过电子邮件发放170份)。共发放问卷375份,回收372份,有效率99.2% 。获得样本的描述性统计如表1、图1所示。

同时笔者实地走访,从领导机构、机构职责、日常运维情况、风险评估、上级检查情况、问题通报方式等多方面了解相关政务在线办公单位数据安全治理情况。

根据问卷调查和实地走访可知,当前安徽省电子政务数据安全治理存在以下3种风险来源:

2.1.1 电子政务从业人员数据安全素养有待提升,数据安全治理人才相对匮乏

表1显示,90%以上的电子政务管理人员拥有1年以上的工作经验,学历基本在大学本科以上。在省直单位中管理人员里只有30%所学专业和数据安全有关,而地市相关单位此类人才的比例更低。在接受培训方面,所有参访者都接受过“基本操作培训”,省直单位有一半以上的管理人员接受了数据安全相关法律法规制度、安全知识的培训,而在地市单位只有20%左右;无论省直还是地市单位,都有超过90%的电子政务管理人员认为会按照自身工作要求,进行数据的收集、存储、使用、加工、传输、提供、公开等处理活动,至于数据最终流向哪里并且在流动中是否安全、如何在流动中确权是大数据资源局、建设单位或者外包公司需要考虑的事,而且大多数认为资金投入越高越安全。可以看出,电子政务管理人员大部分并非数据安全专业人员,日常培训更侧重电子政务平台更注重能用会用,导致对于数据安全带来的风险认识不足,安全风险意识比较薄弱。

2.1.2 电子政务数据安全的风险评估体系不完整,预警机制有待完善

在问卷发放过程中,对使用电子政务平台的政务单位数据安全治理情况进行实地访谈,发现目前政务单位内部均设有网络安全和信息化领导小组,部分单位还设有专门的数据安全机构,如省保密局保密技术中心,省公安厅网安总队和数据资源管理大数据中心,但在进行数据安全监管中存在重复检查或至多头管理的状况,使得不同部门的数据安全监管工作功能指向性不强,靶向也不够准确。99%的电子政务平台前期建设、后期运维和系统安全评估工作尚停留在招标外包的方式。外包公司安全评估主要采用调研、访谈、旁站、代码核查等常规手段,而数据是流动和即时更变的,这极易导致数据安全评估的全面、客观、时效无法有效保障。同时,目前各单位主要依靠采购的数据安全产品主要提供数据的分类分级和认证以及访问的控制、加密、审计、脱敏等技术防护服务。90%的省市政务单位在上级单位的数据安全过检中主要关注的是储存数据的设备是否安全,操作数据是否合规,并会根据一定的标准来设置评估项,在此基础上展开相对静态、固化的风险评估,风险评估体系不够完整。93%的政务单位在开展数据安全督查或自查时,查出的安全问题只通知被查单位或者自家内部机构整改相关问题,不会及时反馈给省市数据资源管理局,尚未没有形成数据安全监管全局观,预警机制有待完善。

2.1.3 相关数据安全治理标准和制度的制定不能与时俱进

根据数据资源局的访谈结果,目前安徽省制定的有关电子政务数据管理的标准有:《电子政务外网IPv4地址规范》《基层政务用户接入电子政务外网技术规范》《“互联网+政务服务”数据交换信息技术规范》《电子政务外网政务部门接入规范》《电子政务外网市县网络总体构架设计规范》《政务公开网络平台建设规范》《政务公开数据元规范》《电子政务外网数据交换级联接口规范》《智慧城市政务信息资源安全管理规范》《政务数据目录核心元数据》《政务数据目录编码规则》等。虽然省内出台了《安徽省政务数据资源管理办法》,但当有政府部门自行或委托第三方开展政务数据处理活动时,因为办法中并没有对政务数据处理的安全管理和各类数据处理者的安全监督给予相应的规范要求和操作指标,导致各家政府部门执行起来的效果不同,无法达到制度订立者的初衷[3]。另外,对于公共数据开放、开源软件管理、电子数据采集、安全运维等工作程序,大多数政府还缺少较为完整的安全操作规范和流程,在敏感重要数据的保护上还需进一步加强。

最后,省市政务单位内有关数据安全治理制度的制定,如图1所示,目前还是停留在岗位分工、计算机设备等政务数据管理设施和部门起步阶段的制定指标,而数据安全监测、数据安全管控、有关权限的划分、异常情况的警示与报告、定期或不定期的检查与监督、安全运维的外包管理等方面都还没有相关制度制定工作的推进,造成在电子政务实际管理过程中可能会出现很大的漏洞。

2.2 安徽省电子政务数据安全治理风险成因分析

数据安全是近些年的新兴学科。数据安全治理活动涉及法律合规解读、业务知识理解、安全技术及管理等多维度,需要多年的工作积累,但从事电子政务管理的工作人员从省到地市分布在众多不同的单位,从业人员专业背景各有不同,且相关电子政务工作落实时间较短,因此对在岗员工充分培训、设施专业人才岗位和顺应新时代数据安全特征发展要求就显得十分关键。为此,各部门、单位都开展了相应的治理办法,但实施过程中,电子政务数据安全治理的措施实施存在以下3点问题:

2.2.1 管理人员的安全风险意识建设需要提高

目前在岗员工的培训更多地侧重电子政务平台的岗位操作业务知识,对于电子政务数据全生命周期的流动中保证数据资产不流失不泄漏缺乏针对性地讲解,使得受培训者感觉不到数据安全治理对单位和个人的重要性。同时,电子政务管理人员很多也缺少或者没有接触过具体数据安全治理的经验,对数据安全治理的发展水平和管理进度是缺乏认知的,在培训单位日常不注重进行数据安全方面的宣传的情况下,各部门或单位往往仅按照上级的相关要求,通过贴标语、放视频、写报告的形式完成工作指标,实现切实提高职工数据安全意识的效果有限。再有,受到部分单位业务绩效考核方式的影响,数据安全治理目前也没有作为硬性指标计入业务实绩中,部门对定期开展数据安全治理规章制度集中学习的积极性有限,数据安全纳的日常考核实施效果也受到影响,对于违反保密规定和明显的错误行为,保持“无知者无过”的态度,也使得相关单位部分人员忽视了安全风险、降低了自我警觉,这从侧面反映出相关管理条例的缺失使得责任人缺乏责任意识。对于众多单位采用的平台外包服务,管理人员缺乏相关技术知识,没有对外包公司形成有效的安全监督的能力和监管指标,容易导致雇佣双方盲目信任,这也侧面反映出了平台外包服务缺失相关的立法措施、量化指标和任务指标。

2.2.2 电子政务数据安全治理的相应措施亟须与时俱进

数据资产具有流动性。在数据的全生命周期中会在不同的载体和场景环境下流动,且其资产价值也依据量级、周期性等因素动态发生变化,因此使用传统方法开展相对静态、固化的风险评估无法顺应数据流动过程中不同环境、不同目标下的安全评估要求。而目前各单位采购的数据安全产品还只能提供单点的安全防护手段,缺乏协调联动能力,使得安全策略一致性差、管控效率低、全局防范与治理能力弱等问题,出现“头痛医头, 脚痛医脚”的现象,无法发挥围绕数据全生命周期的整体防护合力。由于数据的流动性,电子政务的数据安全治理不会仅涉及一家政务单位的数据流动,它一定会涉及省市多家政务部门、单位的流动和使用。因此当前的数据安全治理就是必然面临3种风险情境:①仅将数据安全治理的实施范围界定于各单位和个人工作职责的垂直管理体系,不考虑单位和部门间的数据流动、交叉相互对电子政务数据安全的影响;②出于部门内部利益或缺乏日常安全交流机制,不主动向数据资源局通报安全风险点;③电子政务数据安全治理的各单位出现碎片化管理并产生进一步的管理漏洞,无法在发生问题的第一时间调动相关资源加以解决,难从整体上形成安全管理的全局覆盖。以上这3种风险情境是电子政务数据采集和使用部门已经不适应当前日益增长的数据安全治理的表现。

2.2.3 电子政务数据安全治理标准化建设不够完善

从全国数据安全标准化技术委员会的网站查询得知,目前已发布的网络安全的国家标准共有339项,其中与电子政务有关的标准只有20项[4]。相关标准的数量太少,还无法在保障电子政务安全管理的实际操作当中起到指导参考作用。很多新技术,如智能传感器、区块链、物联网、AI,都是先例行使用而忽视了制定数据安全治理规范;各种新型数据海量多源异构;或政务数据在全生命周期流动过程中会不断转换载体等。如何保持政务数据分类分级的一致性以及防护策略的有效性,是目前当前数据安全治理工作治理的重点和难点,也是标准化下一步需要完善的地方。虽然进入“互联网+”已经有些年头,但从国家各部委再到各省市、各乡镇有关数据安全治理的法规和规章制度都不够完善,数据安全治理应对措施也各不相同,须要及时跟进业务和合规的变化,避免数据安全监测和数据安全管控滞后。以便在当前数字政府建设推全国一张网的新形势下,保障相关部门、单位有效发挥协同作战能力。

3 “互联网+”下安徽省电子政务数据安全治理的优化路径

3.1 构建电子政务数据安全整体治理框架,助力数字政府落地生根

为了增强电子政务数据安全治理的深度、广度、针对性,必须从管理体系、技术体系、运营体系、监督评价体系来构建数据安全整体治理框架[5],如图2所示。

图2 电子政务数据安全整体治理体系

3.1.1 电子政务数据安全管理体系

由制度体系和人员组织管理两部分组成。制度体系中从上到下分为三层,下一层作为上一层的支撑,第一层管理制度是为了落实国家“三法三条例”制定的管理规范、标准,重点制定并落实数据资产管理标准、数据全生命周期管理规范、应急响应和处置规范、数据安全评估规范、第三方机构管理规范等,第二层流程规范一般由具体操作流程、手册组成,包含针对管理制度要求制定的数据分类分级操作指南、技术防护操作规范、数据安全事件预案、数据安全治理能力评估、数据安全审计规范等指导性文件。第三层执行文档包含申请表单、安全记录、安全报告、合同协议等,前面所有的环节在这一步都要有迹可循,要形成数据分类分级清单、数据资产清单、调查记录和事件清单等文档,以备审查和存档。

人员组织管理是电子政务数据安全管理的重要一环。一是从决策、管理、执行、监督四方面不断完善各级政府部门的数据安全治理组织,打通不同部门之间的沟通障碍,统一内部数据安全共识,发挥协同治理优势[6];二是加强内外部人员登记审核,对负责人、关键环节和接触重要数据人员进行资格审查,全程留存数据操作记录并定期审查追责来约束其行为;三是专业化分工并明确职责,每个岗位仅被授予完成职责所需的最小权限,除了被定岗的人员外,任何人都不能越权访问、使用敏感数据。各政务单位要切实发挥网络安全和信息化领导小组的作用,不定期从安全制度落实情况、人员配备情况、运维情况、软硬件合规等方面展开明察暗访,将检查结果纳入年度考核结果,实施一票否决制,同时进一步创新日常沟通协调机制,实施扁平化层级管理[7],制定数据共享清单,畅通数据交换渠道,本单位或系统内产生或检查出的电子政务数据安全问题要及时从问题末端生成记录报告反馈给省市数据资源管理局,属于重大安全问题的同时要自动推送给其他相关单位,重塑安全管理业务环节。

3.1.2 电子政务数据安全技术体系

为了解决单点防护能力不足,必须建立集中化、联动化的数据安全防护平台,借助可视化的信息呈现与工作引导,实现全链路流转监测[8]、风险分析研判与预警、安全事件处置与上报等数据安全日常运营,借助敏感数据自动识别、数据自动分级分类管控、数据操作留痕审计、输出结果申报审核等功能实现跨部门的数据协同共享,借助平台化的设备管理、数据流转关联分析能力,打破应用和数据库安全监测的壁垒,实现数据安全合规监测。

由于数据的流动性,必须建立覆盖全生命周期环节的安全防护。在采集环节,可以使用来源鉴别和标记技术保障来源可追溯[9],使用完整性校验防止被篡改破坏,使用隐私政策保护和过度采集监测避免过度采集个人信息,只限于最小必要采集[10];在传输环节,必须要对传输内容加密,为保障传输双方可信任要进行双向的传输鉴别,采用校验技术确保数据不被丢失篡改,用备份技术确保传输网络可用。在存储环节,一般采用数据加密和访问控制等措施,同时应根据数据分级分类要求,采用介质净化工具避免数据泄露[11],还应建立数据备份恢复操作规程来保障数据可用性和完整性。在使用环节,在开展数据清洗转换、汇聚融合、分析挖掘等数据加工活动时,应当采用数据展示屏蔽、匿名化等措施保护数据主体隐私[12],当数据汇聚融合衍生敏感数据时应及时按照脱敏规则和算法展开数据脱敏[13]。在加工环节,首先要通过算法进行数据的脱敏和清洗工作,为了避免出现算法偏见、算法漏洞等问题[14],必须采用多种技术手段如重要数据自动识别、数据安全分析算法设计等进行优化,同时全程监控加工过程,避免出现加工风险和违法违规现象。在提供公开环节,可以通过密码学、联邦学习等隐私计算技术[15]、基于硬件的机密计算来实现数据可用不可见[16],敏感数据必须经过数据脱敏来满足不同级别的数据公开,同时数据公开要建立审批机制并记录审批和发布情况,在跨域数据交换时需使用区块链、数字水印等数据溯源标记技术监测高风险数据的交换和敏感数据的调用[17]。在删除销毁环节,一般是采用数据擦除等方式实现数据删除,涉及敏感重要数据以及个人信息的存储介质要进行物理销毁,最后还要经过数据销毁效果评估避免别有用心的人可能利用残存数据来恢复盗取数据[18]。

3.1.3 电子政务数据安全运营体系

电子政务数据管理制度和技术体系是否有效都离不开运营体系的良好运行。一是定期或者由于数据跨境等需要开展的风险评估,从而发现可能存在的数据安全风险和违法违规现象。评估重点对数据处理、安全管理、安全技术应用、敏感和重要信息保护进行考量,共有五个步骤,其中准备工作包含制定目标、确定评估对象、开展调研,调研方式要多种方式结合,既要有常规的现场人员、文档、系统的了解,更需要通过相关工具对安全措施进行有效性测试,风险分析包含风险归类、风险定级,评估总结主要是形成数据安全风险评估报告并给出整改建议。

二是常态化运营,重点做好四方面的工作。在识别方面,要根据国内外监管要求和业界成熟的方法制定数据分级分类、风险监测和数据保护策略,运用自动化工具梳理数据资产情况形成资产清单并进行资产安全评估,借助敏感数据发现技术对相关数据进行标记,分析数据流量提取访问行为特征从而建立应用信息备案清单[19];在防护方面,借助数据安全防护平台的安全策略管理工具,在数据全生命周期各关键节点设置防护策略,自动关联业务和数据资产;在监测方面,构建面向用户、终端、应用、数据的全链路数据安全风险监测体系,进行统一的访问行为检测和流转监测与审计,发现问题时及时溯源取证;在响应处置和优化方面,及时解决安全问题,并针对出现的安全问题完善相应数据保护策略,如出现误报情况要重新审核风险监测策略、应用信息备案清单并加以完善,从而形成一个完整的运营管理闭环。

3.1.4 电子政务数据安全监督评价体系

各家政务单位要积极配合省市数据资源局的安全监管,主要由以下五个环节构成:

在评估认证环节,各政务单位部门要严格落实国家制定的相关认证制度,进行手机应用安全认证、数据安全管理认证等,每年定期向所在地市数据资源局报送本单位年度数据安全风险评估报告;在监测预警环节,各地市数据资源局通过分析评估报告、监测预警、通报处置机制,向全市各单位及时发布风险提示,规划制定应急预案,进行应急演练,与省内其他兄弟地市、省级数据资源局、网信办建立联防联控管理机制,建立信息共享平台;在事件调查处置环节,出现重大或者特大数据安全事件时,省市各单位要加强合作,由省市数据资源管理局统一调配各单位人财物资源,切实构筑应急互助保障机制,同时省市审计部门应每年对各政务单位至少开展一次数据安全审计;在监督检查环节,省市数据资源局通过数据安全审查、监督检查与违规处罚等相关制度落实监管,重点就网络等保、关键基础设施保护、密码评估管理等系列测评开展监督检查;在纠正问责环节,省市数据资源局要责令违法违规单位限时整改并给予警告,对相关负责人、直接责任人采取调离岗位或者禁止从事数据安全保护工作的处罚,对出现问题的系统及应用要立即停用,对服务期间出现违规处理或产生重大安全事故的第三方维保、评估机构要责令终止合作,情节严重的话要报送公安机关。

3.2 树牢安全风险意识,加强专业人才培养

政府人员负责完成电子政务日常操作和管理工作,因此无论处在何种岗位牢固树立安全风险意识。每个人都要端正态度,不能心存侥幸,对于自身岗位数据安全风险点和应对措施要熟记于心。各级政府、各单位要针对不同岗位的职责要求,建立电子政务工作人员职业认证制度,要求持证为民办事,同时将电子政务人员岗位安全培训纳入年度工作计划,制定系统培训方案,结合实际和技术趋势,多从身边案例和典型案例出发,加大对具体应用场景、数据环境等具体案例出现的风险原因分析、数据安全法律法规、数据安全标准、保密知识、相关安全工具、 应急响应和演练的学习,让受训人员对可能造成的不良后果充分认识。同时注重在单位内选拔经验丰富并且基础较好的数据安全人才开展传帮带进行人才梯队建设[20]。各政务部门要严格落实日常考评和安全事故责任追究制度,人员上岗需签订保密承诺书,办理重要业务时通过系统安全提醒、风险告知、领导授权的方式加强监督,同时实行谁办事谁负责,公务行为终生责任制。电子政务工作人员站在数字政府服务的最前沿,掌握着经济、科技、文化、社会重要和基础数据,必须时刻以总体国家安全观为指导方针,坚持国家利益至上,以人民安全为宗旨,坚持底线思维,在岗位一天就要切守好电子政务安全关,为企为民提供优质放心的服务。同时为了给电子政务提供充足的数据安全人才供给,必须建立多层次、标准统一的培养体系,高校和科研院所要开展基于创新型人才培养要素的宽口径基础教育,培养既有数据安全理论知识又有相关法律经验的高水平人才,企业要注重结合市场和未来发展需要培养数据安全专业化人才,提升产才融合,提升人才驱动力,鼓励人才积极申报专利,并将发明研究成果及时转换为到应用推广上来,提升我国数据安全治理水平。

3.3 加快构建电子政务数据安全治理标准化体系,强化法制保障

数据分级分类是数据安全治理的基础,各级组织要严格执行国家和安徽省制定的相关标准,通过培训数据操作人员、应用自动化分级分类软件、定期对分级分类结果进行审查和修正来保障数据分级分类在整个数据生命周期的一致性。通过研判国际最新电子政务数据安全治理标准发展动态并根据国内实际需求,加紧对关键信息基础设施安全检测预警、ICT供应链安全风险评估[21]、网络安全审计、网络安全应急标准体系、电子政务数据安全治理专业素养、数据安全事故问责订立相关标准,鼓励数据安全领军企业积极参与标准的制定和推广。推广过程中应建立标准评估机制,对标准落地、实施和运行情况进行监督来保证有效执行,对于不适应数据安全治理实际情况的措施及时进行更改完善,同时,注意及时将不同应用场景下好的实践案例收集为相关部门提供参考与借鉴。由于“互联网+”时代各种新技术运用的比较频繁,各级政府要加大对车联网、物联网、工业互联网、人工智能等应用场景数据操作流程以及故障处理进行统一规范,还得按照国家数据分级分类保护、网络安全等保、涉密分级保护等制度定期开展评测,对工作人员职责和权限、异常情况报告、监督检查、外包运维等方面不合规的要加以整改,并形成相关制度今后严格要求。同时国家要从当前和长远角度出发尽快制定《电子政务法》、《政务数据安全法》等核心法律法规,加强电子政务数据全流程监管、标识、融合计算安全,并根据数字政府的建设进度要求及时修订相关运行性法律法规,就新出现的元宇宙、边缘计算、量子信息等技术涉及的电子政务数据安全概念、构成要素、监管程序和条件、法律责任和处罚办法进行补充完善,剔除过时条款,对于中央层面未立法但亟须规范的关键环节或技术可由安徽省优先采取地方立法,从上到下构建一套完整统一的“互联网+”电子政务数据安全治理法律框架,推动各级政府电子政务数据安全治理更加规范。