编者按：当前，我国数据要素市场正从“规模扩张”迈入“质量深化”的关键转型期。在此背景下，人民网·人民数据对话专家学者、地方政府相关负责人、企业代表，共同探讨数据要素高质量发展新路径。

本期嘉宾：杜跃进 浙江大学求是特聘教授

主持人：刘聪 人民网·人民数据研究院理论研究部主任

“数据安全”超越传统“网络安全”定义

人民数据：“数据安全”与传统意义上的“网络安全”有哪些区别？

杜跃进：网络像构建社会的基础设施，就像房子、桥梁、建筑，是确保运行的基础；而数据则是流动于这些基础设施之中的“内容”。“网络安全”如同人体的器官——心脏、骨骼要正常工作，出了问题就得靠外科手术修复，修复好的标准是功能符合预期、能正常运转；“数据安全”是内科问题，需通过调理血液成分来实现。这两者未被区分时，我们常用保护建筑的方法去保护其中流动的内容，这个方法显然是错位的，这是第一个重要的认知区别。

第二个重要区别有关“确权”。网络安全基本不涉及这个问题——你买的设备就是你的，相关法律中关于信息系统安全的判罚也很明确。但数据安全不同。今天所说的数据，往往并非“你的”数据，而是“别人的数据”交给你处理，数据处理者对所处理的数据并不拥有100%的权利。因此，数据处理者要回答的，不仅是数据有没有被删除、被破坏，而且是要向数据权益相关方证明自己尽到了保护义务，没泄露、没滥用数据。

第三个关键区别是是否具有流动性。“网络”本身是不流动的，信息系统、服务器是固定资产；但“数据”是在流动中创造价值。数字化时代社会的生产方式、生活方式和社会治理模式，全依赖数据的流动来实现。所以无论数据是在处理机构内部流动，还是在数据处理者之间流动，都需要回应权益方的关注。

让企业的合规投入切实转化为市场竞争力

人民数据：在当前数据要素市场化进程中，各方普遍把“隐私计算”视为破解“安全与流通矛盾”的关键之一。如何让隐私计算成为可规模化的市场基础设施？如何打通制度与技术的“最后一公里”？

杜跃进：当前多数项目虽提及隐私计算的重要性，但仅靠技术是远远不够的，真正落地还需兼顾技术本身和技术之外的制度和管理问题。

在技术层面，隐私计算只是众多技术其中之一，其他技术还包括联邦学习、安全多方计算、机密计算等。而技术在实际应用中必须回答两个根本问题：效率降低了多少？成本增加了多少？如果一项技术在应用中导致效率严重下降或成本急剧攀升，企业将难以承受。技术的选择要基于具体场景进行评估，确保其效率和成本在可行范围内。当前技术仍需改进，但已接近实用化阶段。

在非技术层面，隐私问题的本质是对“人”的不信任，而非对设备不信任。即使技术再先进，如果数据处理组织缺乏专业度和可信度，风险依然存在。例如，机密计算理论上可以确保数据处于“黑盒”状态，谁也看不到。但用户仍会质疑：“真的是黑盒子吗？是否真的不可窥探？”这就需要同时考量组织的专业程度：数据处理者有没有专业的数据安全团队、是否有技术手段监测内部风险、内部制度如何处理违规行为等等，这些是单靠技术无法解决的。

关于隐私计算，当前学术层面的探讨还在持续推进。更重要的工作是推动其真正与产业结合，落地到特定的场景中，覆盖不同规模的数据处理者。同时，还需配套制度设计，形成一套切实可行的机制，让数据安全能力建设不仅被企业正式纳入合规成本，更要明确这些成本的投入能提升企业在数据市场中的竞争力。

人民数据：您曾提出，数据安全治理需要从“形式合规”转向“能力充分”，并推动数据安全能力成熟度模型的应用。如何真正构建起“安全能力即竞争力”的市场激励机制，让企业不再将安全成本视为负担，而是转化为参与市场流通的信任凭证和竞争优势？

杜跃进：首先明确机制的目标：企业做好数据安全，就能在市场获得更多机会。要实现这一目标，关键在于把“风险评估”转为“能力评估”。

“风险评估”类似健康体检，是对当前安全状况的静态评价，能指出当前的健康问题，但不能证明体检者的健康管理水平。

“能力评估”关注的是企业如何主动开展健康管理，当然这需要一套科学的方法。能力通常包括三个要素：第一是技术和产品。不仅看是否使用了哪些技术产品，更要看这些技术的水平如何。第二是人员和组织。人员需专业，组织架构要适配业务、规模合理。第三是流程与策略。企业如何管理数据安全，体现在制度、流程、工作方法和企业文化上。把这些能力要素转化成一套可量化、可衡量的标准，就是关于能力成熟度的评估。不同的能力成熟度可以对应不同的信任程度，适配不同重要性的数据处理需求。当评估方法科学、权威，监管部门、行业主管部门、企业就能据此划定标准：能力成熟度顶级的企业可承接最高重要性数据的项目，等级次之的企业，仅能处理对应风险可控的数据。如此，能激励数据处理者努力提升能力成熟度，因为这和其业务机会正相关。

“能力评估”机制的运转，还依靠各方参与——安全监管部门负责风险评估，类似对企业进行“体检”，不合格者不能从事特定行业；行业主管部门要主动介入，明确本行业的数据敏感性等级及对应的数据处理者能力成熟度等级要求；企业在招标合作方时，也可通过能力成熟度评估判断对方是否能安全处理数据，防范连带责任风险。

这就引出了从“形式合规”到“能力充分”的转变。现在很多合规工作侧重于检查企业是否在条文上“承诺”履行义务，这是一种形式上的合规，不代表企业是否真的能做到其承诺；而“能力充分”要求企业真正具备与数据价值及风险相匹配的安全保障水平。国家法律、标准是安全基线，企业需超越基线才有竞争力，达到“能力充分”。

应急响应机制需融入数据全生命周期安全管理

人民数据：今天面对产业以及城市的数字化转型和智能化升级，传统的网络安全应急思路是否仍然适用？“应急响应”和“内生安全”的关系是什么？

杜跃进：安全领域最基本的定律之一，就是“没有绝对的安全”。因此必须建立有效的应急响应机制，将损失控制在可接受的范围内。所以应急响应在各领域都是不可或缺的，从数据、人工智能、传统网络安全到城市管理都是如此。应急响应不仅是兜底的手段，更应成为倒推安全链条构建的核心思路。从逻辑上看，若想减少进入应急响应环节的事件，就需要前置防控。

很多人对“应急响应”的理解还没有到位，未将其与数据全生命周期的安全管理结合。应急响应的具体措施不能简单照搬，只能借鉴核心理念，应用到数据处理者或数字城市等不同场景时，具体的技术手段、流程制度和资源储备等都需要重新设计，要根据不同的场景来调整。

当前，“内生安全”概念也备受关注，其根本理念是在系统设置之初就融入安全考量。但需明确的是，“内生”只是在说实现安全的路径而不是结果，而且不是说用了这种手段就万能了，就像人体有免疫系统仍会感冒，只靠内生能力无法应对所有风险，还需借助工具等“外挂”增强防御能力。

无论是“应急响应”还是“内生安全”，真正重要的是：到底怎么做？是否达到了预期效果？这才是数据安全能力建设的核心目标所在。

分享让更多人看到