数据安全每周观察 | 2024年两会中的数据安全

2024年两会中的“数据安全”

3月5日上午，十四届全国人大二次会议开幕。李强总理在2024年政府工作任务报告中5次提到“数据”，为新一年我国数据要素发展提供指引。其中在加强重点领域安全能力建设任务中指出，提高网络、数据等安全保障能力，有效维护产业链供应链安全稳定，支撑国民经济循环畅通。

全国政协委员、360 集团创始人兼董事长周鸿祎提案：

一是鼓励兼具“安全和 AI”能力的企业解决通用大模型安全问题。

1、建议国家更加重视通用大模型安全问题，给予兼具“安全和 AI”能力的企业专项扶持政策，更好发挥其解决通用大模型安全问题的重要作用。

通用大模型深刻影响经济社会的方方面面，安全问题至关重要，而目前国内的大模型安全问题不容乐观。

一方面，国内大模型企业不熟悉内容安全、数据安全、科技伦理、网络安全等人工智能带来的安全挑战；另一方面，大部分安全公司又很少真正有能力深入大模型研究，上述两方面原因导致国内大模型安全领域成为整个产业链的薄弱环节。

为此建议国家有关部门采用揭榜挂帅等方式，鼓励并扶持兼具“安全和 AI”能力的企业，给予专项扶持政策，支持企业担起大模型安全重担，聚焦攻坚，为解决通用大模型安全问题提供坚实保障。

2、建议国家研究制定保障通用大模型安全的标准体系， 推动通用大模型开展安全评测、接入安全服务，降低通用大模型安全风险。

现阶段，将安全模块作为大模型外挂的做法已不可行，安全需要贯穿通用大模型的整个构建过程，确保安全措施在系统的整个生命周期中得到充分考虑和实施。

建议国家在内容安全、数据安全、科技伦理、网络安全等细分领域，牵头研究制定安全检测标准，在规范的安全标准体系下，推动通用大模型的安全评测工作，通过接入安全服务来保障大模型的安全。

3、鼓励政府、央国企与兼具“安全和 AI”能力的企业在大模型安全领域展开深入合作。

政府、央国企对通用大模型的应用，具有更高的安全标准，不仅关涉商业安全，更关涉国家安全。

建议政府和央国企加强与兼具“安全和 AI”能力企业的合作，尤其针对被美制裁的企业，放宽与此类企业的市场准入条件，在政策和招投标条件上，给予更多合作机会，发挥此类企业在人工智能安全领域的优势作用，为国家安全贡献力量。

二是全面建设安全云、推广数字安全云化服务。

1、统筹建设数字安全公共服务基础设施，集中数字安全能力。

建议国家发改委等相关部委牵头指导，建设数据安全、防国家级攻击、人工智能安全、数字城市安全等一系列以提供云化安全服务为目标的“安全云”基础设施。

2、改变重建设轻效果的思路，鼓励各单位购买数字安全云化服务，作为传统网络安全建设的升级路径。

建议财政部等相关部门明确指导“数字安全云服务”的可列支科目。建议相关部委研究出台配套标准和指导意见。

3、鼓励网络安全企业积极转型，以安全即服务的方式来为国家整体数字安全水平提升做出贡献，尤其是鼓励具备核心技术的被美制裁的龙头企业发挥更大作用。

建议财政部、国资委在招标采购相关的法律法规及相关政策流程中给予一定力度支持。

全国人大代表、江苏省电子信息产品质量监督检验研究院（江苏省信息安全测评中心）党委书记、院长吴兰提案：强化我国数据灾备安全与韧性。

数据已成为现代经济社会的重要生产要素，数字经济正成为全球各国经济增长的新动力，数据安全事关国家安全，建议提升重点行业灾备系统覆盖率、建设统一灾备中心，发展自主可控灾备技术、提升我国数据灾备产业链供应链的韧性和安全性。

党的二十大报告明确提出以新安全格局保障新发展格局的要求，并将强化网络安全、数据安全保障体系建设作为健全国家安全体系的重要内容。数据灾备作为保障数据安全的“最后一道防线”，对于防范自然灾害、人为破坏等数据安全风险至关重要。

中国民主党派之一--致公党中央提案：提升数据安全治理能力，有效平衡数据跨境交易效率与国家安全。

建议提升政策操作性，建立多元主体联动协调的全周期监管机制。

建立数据安全分类分级评估体系，对待出境数据实施分级管理，在北京、天津、海南、福建、广东推广“负面清单”管理模式，明确自贸区数据跨境流通专有通道细则，完善数据出境事前监管制度，并加强与国外政府与组织的跨境监管合作。

全国政协委员、中国互联网协会副理事长、奇安信集团董事长齐向东建议大力探索“AI+安全”创新应用，抢占国家安全的人工智能战略制高点，提高我国应对网络空间安全风险与不确定性的能力，护航中国式现代化行稳致远。

人工智能(AI)是新一轮科技革命和产业变革的核心技术，将为推进中国式现代化注入强大动力。随着AI技术不断发展，数据泄露、“深伪”诈骗等安全威胁加剧，针对和利用AI的网络攻击、AI武器化等安全问题日益凸显，安全防护难度激增，但AI同时赋能网络安全行业，在促进攻防技术升级上有大作用，越来越多国家和机构加速布局网络安全与AI技术的融合。

AI加剧安全威胁，如数据泄露、欺诈攻击、社会治理安全等。齐向东指出，以ChatGPT为代表的生成式AI能快速生成钓鱼邮件、编写恶意软件与代码等，导致攻击数量增加，AI欺诈事件频发。数据显示，ChatGPT等生成式AI导致网络钓鱼邮件攻击增长135%。生成式AI还带来了数据非法获取、数据泄露及恶意滥用等数据安全问题，如ChatGPT在对话交互过程中能获取用户数据，加剧数据泄露风险。不法分子还能利用“深度伪造”换脸变声、伪造视频，“眼见未必为实”将成为常态，网络诈骗大增，甚至引发社会认知混乱。

GB/T 35274-2023《信息安全技术 大数据服务安全能力要求》于2024年3月1日正式实施

根据2023年8月6日国家市场监督管理总局、国家标准化管理委员会发布的中华人民共和国国家标准公告（2023年第7号），全国信息技术安全标准化委员会（简称信安标委或TC260）归口的GB/T 35274-2023《信息安全技术 大数据服务安全能力要求》修订版本于2024年3月1日正式实施。本次标准修订目标一方面是保证修订后标准内容的法规遵从性及与其他相关数据安全相关标准的协调性，其实本标准修订最重要的目标还是要以数据安全促进我国大数据产业发展，特别是数据驱动的大数据服务技术（例如生成式人工智能技术应用）产业化发展，因此修订后的GB/T 35274-2023主要还是引导和促进组织的数据安全管理能力提升。

本标准修订依据的法律法规主要包括三个层次：

一是GB/T 35274-2017制定时依据的网络安全审查办法已多次修订，例如自2017年GB/T 35274颁布以来，《网络安全审查办法》已先后形成三个版本，包括2017年5月日颁布的《网络产品和服务安全审查办法（试行）》，2020年4月13日颁布的《网络安全审查办法》和2020年4月13日颁布的《网络安全审查办法》，因此本标准有关内容需要与时俱进；

二是2021年6月10日全国人大常务委员会第二十九次会议通过了2021年6月10日全国人大常务委员会第二十九次会议通过，2021年8月20日全国人大常务委员会第三十次会议通过了《个人信息保护法》，2021年4月27日国务院常务会议通过了《关键信息基础设施安全保护条例》等。因此本标准已经有了明确的上位法规，标准内容必须符合这些法律法规要求；

最后一点是在GB/T 35274-2017颁布后，互联网办公室在2020年和2021年分别颁布了《数据安全管理条例》（征求意见稿）和《网络数据安全管理条例》（征求意见稿），包括2021年12月31日发布的《互联网信息服务算法推荐管理规定》及最新7部委发布的《生成式人工智能服务管理暂行办法》，因此标准中必须针对这些大数据应用中的数据管理、内容生成服务等规范大数据服务提供者的安全能力要求。

近日，全国网络安全标准化技术委员会发布了技术文件TC260-003《生成式人工智能服务安全基本要求》，提出了服务提供者需遵循的安全基本要求，包括语料安全、模型安全、安全措施等，并给出了安全评估要求。技术文件用于支撑《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者在按照有关要求履行备案手续时，需按照文件第9章要求进行安全评估，并提交评估报告。

文件在“术语和定义”中明确了“生成式人工智能服务”和“服务提供者”两个概念：

所谓生成式人工智能服务，就是利用生成式人工智能技术向中华人民共和国境内公众提供生成文本、图片、音频、视频等内容的服务。所谓“服务提供者”，是指以交互界面、可编程接口等形式提供生成式人工智能服务的组织或个人。

就生成式人工智能服务而言，无论该服务的提供者位于我国境内还是境外均在所不问，只要相关服务面向中华人民共和国境内的公众，那么就适用于该文件。就“服务提供者”概念而言，应当注意的是服务提供者不一定仅指企业，基本要求明确提出了只要是以交互界面、可编程接口等形式提供服务，无论是组织还是个人，都符合“服务提供者”的定义。

本文件适用于服务提供者开展安全评估、提高安全水平，也可为相关主管部门评判生成式人工智能服务安全水平提供参考。

省工业和信息化厅等九部门关于印发《江苏省关于促进数据安全产业发展的实施意见》的通知

为贯彻工业和信息化部等十六部门印发的《关于促进数据安全产业发展的指导意见》，推动数据安全产业高质量发展，提高各行业各领域数据安全保障能力，按照《推进“1650”产业体系建设工作方案》总体要求，研究制定了《江苏省关于促进数据安全产业发展的实施意见》，主要目标是：到 2025 年，全省数据安全产业发展水平保持全国前列，基础能力和综合实力进一步增强，产品质量和服务水平显著提升，重点行业领域应用持续深化。力争数据安全产业规模达 100 亿元，年复合增长率超 25%。培育 1—2 个省级数据安全产业园，若干具有国内竞争力的龙头骨干企业、专精特新企业。打造一批重点行业领域典型应用示范场景和优秀实践案例，争创国家数据安全创新应用先进示范区。到 2035 年，数据安全产业进入繁荣成熟期，技术产品创新日趋活跃、企业竞争力持续增强、融合应用不断深化、服务体系更加健全的数据安全产业发展新格局基本形成。

近日，九派财经在某社交平台上发现，有用户声称持有十几万名广州网约车司机的个人信息，并公开向网友询问变现方法。记者与该用户李某某联系得知，上述信息售价3毛/条，且李某某向记者提供了部分信息表单，信息显示，被贩卖的个人信息包含司机的姓名、手机号、车型和所属平台等。

记者随机拨通了几名被泄露信息的司机手机号，对方均证实自己正在或曾经从事网约车业务。

贩卖信息的李某某称，行业内有证司机2元/条，无证司机1元/条，自己0.3元/条已非常便宜。后见记者迟迟未回复，又主动降价至0.25元/条。李某某还表示，信息来源于网约车平台，真实性不用担心。如按照3毛/条的售价计算，李某某每售出一份司机信息包，将获得5万至6万元的收益。对于李某售卖网约车司机个人信息的行为，北京市炜衡（广州）律师事务所律师郑政昊告诉九派财经，非法向他人出售或者提供公民个人信息，买卖公民个人信息的买卖双方均可能面临刑事处罚。

国家安全部发表文章：数据互联 安全为基。

数据是新的生产要素，是基础性资源和战略资源，也是重要的生产力。随着全球新一轮科技革命和产业变革深入推进，数据安全的重要性日益突显，对维护国家安全、促进数据要素流通、支撑数字经济发展等具有重要意义。

当前，数据安全与国家安全和经济社会发展息息相关，数据作为一个新的生产要素，已成为驱动经济社会发展的重要力量。如果数据安全受到威胁，在一定程度上会影响社会的发展、安全和稳定。守卫好“数据战场”是我们每个人的责任与使命。

《中华人民共和国数据安全法》规定，国家保护个人、组织与数据有关的权益，鼓励数据依法合理有效利用，保障数据依法有序自由流动，促进以数据为关键要素的数字发展。

北京数安行科技有限公司以数据运营安全为理念，以AI人工智能技术为核心驱动，聚焦数据运营安全，助力数字化转型，致力于让用户的数据安全地创造价值。公司以承载和保护每一个用户的数据运营安全为愿景，持续创新，合作共赢，成就用户。公司核心团队拥有十余年网络安全与数据安全经验，服务于政府、军工、金融、运营商、互联网、教育、高端制造等各行业客户。

数据运营安全（DataSecOps）核心是在数据运营中内嵌数据安全属性，解决数据运营过程中的数据安全问题，以一个产品或平台的方式运行。其目标是在不影响数据业务流程正常运行的情况下更有效的保护组织内的敏感数据资产，对敏感数据的扩散及滥用风险进行快速响应，将数据安全防护策略传递至参与数据运营的所有人员。