·“在《數據安全法》中提出了一個重要的制度，引入了一個重要的概念，即數據分類分級保護制度和重要數據。”“分類分級制度首先是彌補國家安全制度的不足。也就是說，在非國家秘密領域，把影響國家安全的數據找出來，這類數據叫做‘重要數據’或‘核心數據’，其他的叫‘一般數據’。”

·“下一步的工作方向是圍繞重要數據發展一系列安全技術及相關的安全產品。”

中國科學技術大學公共事務學院、網絡空間安全學院教授左曉棟。

2021年9月1日，我國數據安全領域的基礎性法律《中華人民共和國數據安全法》(以下簡稱《數據安全法》)正式施行。正值《數據安全法》施行兩周年之際，2023年9月1日，中國科學技術大學公共事務學院、網絡空間安全學院教授左曉棟在2023數據安全上海論壇上作了《重要數據安全要求解讀》報告，分析在落實《數據安全法》這項重要制度中，如何理解該制度提出的初衷，接下來的數據安全工作方向是什么？

左曉棟曾長期在我國網絡安全統籌協調部門工作，是一系列網絡安全重大戰略政策的核心起草專家，現兼任第八屆國務院學位委員會“網絡空間安全”學科評議組成員、國家數字貿易專家工作組成員等學術職務。左曉棟認為，“在《數據安全法》中提出了一個重要的制度，引入了一個重要的概念，即數據分類分級保護制度和重要數據。”

《數據安全法》第二十一條規定國家建立數據分類分級保護制度，根據數據在經濟社會發展中的重要程度，以及一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，對國家安全、公共利益或者個人、組織合法權益造成的危害程度，對數據實行分類分級保護。國家數據安全工作協調機制統籌協調有關部門制定重要數據目錄，加強對重要數據的保護。

實際上，“重要數據”最早見諸法律是在《中華人民共和國網絡安全法》（以下簡稱《網絡安全法》，2017年6月1日開始施行）第三十七條中。《網絡安全法》提出了數據出境評估制度，關鍵信息基礎設施的運營者在中華人民共和國境內運營中收集和產生的個人信息和重要數據應當在境內存儲。因業務需要，確需向境外提供的，應當按照國家網信部門會同國務院有關部門制定的辦法進行安全評估；法律、行政法規另有規定的，依照其規定。

為何此后出臺的《數據安全法》引入了“重要數據”的關鍵概念？左曉棟解釋道，“當時（《網絡安全法》出臺時）法律法規層面的解釋還沒有制定，所以真正在實質意義上提出‘重要數據’的概念還是要看《數據安全法》。”

如何理解“重要數據”？需要回到分類分級制度的本質內涵。左曉棟分析道，“人們很容易認為數據分級分類制度是社會的普遍歸類，來源于不同級別的數據安全保護要求不一樣。但其實不是，我們對分類分級的理解首先是彌補國家安全制度的不足。也就是說，在非國家秘密領域，把影響國家安全的數據找出來，這類數據叫做‘重要數據’或‘核心數據’，其他的叫‘一般數據’。”

“這意味著分類分級工作推進也好，重要數據識別也好，一切都應該圍繞國家安全的根本訴求，它揭示了數據安全工作的出發點、數據安全監管制度的監管對象，也指向了這項工作的核心內容。”左曉棟說。

接下來的數據安全工作方向是什么？

左曉棟表示，“下一步，無論哪一項數據安全的重要制度，可能都要和數據分類分級制度產生強關聯。其中，關聯的核心是重要數據的識別和保護。因此，為了推動這項工作，全國信息安全標準化技術委員會陸續推出了兩個編制任務，一個是重要數據識別指南，一個是重要數據處理安全要求。”

這兩項編制工作都由左曉棟牽頭，在大會現場，左曉棟分享了這兩個標準的編制思路以及下一步工作的考慮。在重要數據處理安全要求中，主要有兩個考慮：其一，重要數據處理安全要求與基礎性網絡安全要求區別在哪里，怎么處理這個標準的著力點？其二，重要數據安全和普通數據安全或一般數據安全的區別在哪里？

在第一點中，左曉棟著重強調了數據安全的內涵，首先是數據系統的網絡安全，也可以說環境安全、設施安全。第二是資產安全，包括可用性等，針對數據自身典型的數據加解密和數據脫敏。第三是合規問題，數據處理行為的安全。第四是生產要素安全，涉及確權問題、定價問題，更主要的是安全問題，數據交易雙方身份的驗證，開發、利用主體機構的安全等。

對于第二點考慮所說的區別，左曉棟表示，“在安全保護的強度上，重要數據嚴格于普通數據；在管理制度上，重要數據嚴格于普通數據；在合規要求上，相關重要數據的法律法規有明確的要求；在配合監管上，重要數據處理者有特定的法律義務。”

左曉棟透露，下一步的工作方向是圍繞重要數據發展一系列安全技術及相關的安全產品。

“我們講了那么多標準規范，但重要數據在哪里，怎么識別？不能靠文本一個個讀，肯定要有技術。技術涉及重要數據的特征是什么，核心是把由自然語言描述的重要數據轉變成可被計算的對象，從而使其可識別、可登記、可監測、可上報，這是下一步工作努力的方向。”左曉棟說。