技术干货 | 企业安全体系架构实践之道（七）

经过一年的不懈努力，我和我的团队基本完成了公司信息安全体系的初步建设，虽然这其中还有些许不足，同时也还有很多更高级的东西需要安全团队未来有实力之后才能去做，但作为一个小团队，我认为我们是一支优秀的安全团队！

在公司信息安全体系初步建设完成的背景下，我决定将它分享出来与大家共同探讨学习，欢迎大家提出宝贵建议！

我设计的安全体系架构分为六大块：安全开发体系、安全防御体系、数据安全体系、隐私合规体系、资产管理体系、安全管理体系，六大体系共同构成了完整的信息安全体系。

隐私合规是一个和监管有着强关联的工作，企业要开展隐私合规建设，那首先应该要知道监管的要求是什么，其次公司应当认可隐私合规工作带来的价值，并在隐私合规上有一定的投入。鉴于此，在实践中我将合规基础划分为组织建设与监管需求两部分。

2.1、组织建设

我在隐私合规专栏中有多次提到过，公司一把手（董事长/CEO/总裁等）的明确支持是开展合规工作的必要条件，如果公司一把手不表态不过问，合规工作基本无法开展。例如有一项合规需求需要人力资源部配合，那你作为主导人，首先你要说服人力资源部总监配合，而不是直接找底下的一线人员，因为每个人手头都有各种工作，如果没有领导发派安排，他们没时间也不愿意支持你的需求，而这时候如果没有一把手的表态作为依靠，你就很难说服人力资源部总监接受你的需求，合规项目开展就会受阻。

同时，对于任何一家公司来说，它的第一目标永远是活下去，其次才会考虑去符合各种xx要求，而xx要求很可能会成为公司活下去的阻力，隐私合规就是xx要求之一。这时候要平衡好隐私合规与业务发展创新，既不能让隐私合规阻碍公司业务发展创新，又不能让公司业务毫无约束的野蛮生长，在适当的情况下，隐私合规与业务发展都要做出相应的让步，保证隐私合规和业务发展创新均衡向前。

对于隐私合规实施来说，需要有一个专业的团队来负责执行落地，在实践中，这个执行团队一般由安全部门和法务部门共同构成，同时这其中至少要有一个人非常熟悉隐私合规建设，另外，还需要团结产品设计、业务开发以及运维的力量，共同建设隐私合规体系。

2.2、监管需求

我们前面说到，隐私合规是以法律法规要求为指引来建设的，那么具体的法律法规要求是什么呢？这就需要隐私合规负责人去研究并解读相关的法律法规了，在解读法律法规时如果遇到两部不同的法律法规要求相悖的情况，应当遵循“高阶打败低阶，新法优于旧法”的原则去定夺，除此外，还应当将外部的法律法规要求转化成适配内部的合规要求，之后再参考这些转化后的合规要求进行合规体系建设，从而实现外规转内规，合规需求的问题就解决了。

相信做过隐私合规的同学们都知道，在很多合规层面的法律法规中都有这样一条要求：“和监管部门保持日常联系”。是的，但这里的和监管部门保持日常联系并不是指和监管部门的工作人员处成每天嘘寒问暖的兄弟，实际上也没有必要这样做。这里的和监管部门保持日常联系主要是为了跟踪、评估最新的监管要求，同时在发生合规相关事件时能和监管部门做好对接，举个例子，公司APP被监管机构通报了，要求15个工作日内完成整改，否则进行下架处理，此时你整改完后是不要将整改报告发给监管机构进行重新审计呢。

在实践中，和监管部门保持日常联系的方式有很多，例如关注监管部门公众号，了解最新监管动向；或者加入监管部门创建的微信群，执行监管部门通告的合规要求；再或者保留监管部门的电话或邮箱，在发生合规事件时能和监管部门取得联系；等等之类，这些都是和监管部门保持日常联系的方式。

隐私合规要实现落地，除了需要技术来做支持外，也有很多内容是非技术层面的，在实践中，我将这些非技术层面的部分划分为合规支持和合规审计。

3.1、合规支持

首先是隐私合规意识培训，隐私合规意识培训的主要目的是为了增强员工对隐私合规的认知和提高员工的隐私保护观念，从而在开展工作的时候能优先将隐私合规考虑在内。它所面向的对象主要是产品、开发、市场和销售等。

面向产品做隐私合规培训主要是为了让产品设计人员在设计产品时就考虑到隐私合规约束，避免在设计时无所顾忌的收集和使用数据；面向开发人员的隐私合规培训主要是为了让开发人员在开发时不要随意申请相关权限，同时对采集的数据要做好安全保护措施；对市场人员进行隐私合规培训则是为了让市场人员在进行市场宣传时多宣传公司向好的部分，避免宣传与国家倡导的政策相违背的内容；对销售进行隐私合规培训则是为了让销售知晓公司在隐私合规方面所做的努力，从而在招投标时有更大的优势。

在实践中，隐私合规意识培训可以以公开课的方式进行，在开展培训时，积极做好前期宣传，从而让更多的人参与到培训中来。

当然，培训只是为了提高意识，它并不能解决所有问题，先不说有很多人可能不会来听培训课，即便是来听培训课的，也不一定能记住培训的所有内容，再加上实际中的业务复杂多样，培训真正能解决的问题其实少之又少。

那如何能解决好这些问题呢？主要是依靠业务合规咨询与技术支持，当受众员工有了隐私合规意识之后，他们在遇到业务问题时就可能会来咨询解决方案，此时才是解决隐私合规问题的开始，同时对于需要协助的问题做好技术支持，就能在业务开展前解决好这些隐私合规问题了。就如同SDL一样，在设计初期解决掉这些问题，耗费的成本才是最小的。

除了业务合规需要提供咨询与技术支持外，市场宣传同样需要合规来保驾护航，例如在国家大力倡导节约粮食的背景下，公司官网仍挂着拥有几百万粉丝的大胃王主播宣传海报，这用脚想都是不合理的。类似的，合规不仅仅是法律，还有道德以及政治正确，如果市场部门没有合规意识，认为只要不犯法都可以做宣传，那可能会宣传出很多政治错误的内容，这是极其危险的。

另外，在市场宣传涉及到专业内容时，应当做好话术支持，例如公司官网要宣传一些安全认证证书，那么证书的介绍就需要专业话术；或者公司要宣传自己做了哪些业务安全保障，此时也需要专业话术支持。这种情况下安全部门是理应要提供这些专业话术的。

合规支持的最后一部分是各种公开协议的合规，常见的需要重点关注的公开协议有《隐私政策》和《用户服务协议》等。在实践中，协议内容的合规与否一般需要和法务人员共同确认，同时，除了内容描述的合规性外，还有例如是否易于阅读、是否易于寻找、是否默认已读……等等之类的合规要求。这些协议的所有合规要求均满足后，该协议才能算是真正合规。

3.2、合规审计

合规审计主要分为两块，一块是面向自身业务的，用以确保自身业务符合合规要求；另一块是面向上下游生态合作伙伴的，用以确保合作方符合合规要求。

面向自身业务的合规审计主要分为三步，第一步是编写合规审计规范，第二步是依据合规审计规范对所有的业务需求做合规审计，第三步是对审计发现的合规问题做修复整改。实际上，合规审计规范编写在安全管理体系下的安全制度中有表述，业务需求合规审计与业务合规问题整改也已经融入进了安全开发体系和数据安全体系中，具体在这里就不再多说了。

这里单独说说对上下游生态合作伙伴的合规审计，既然是上下游生态合作伙伴，那必然存在数据的流转，对于上游合作伙伴，我们扮演的角色可能是数据处理者，对于下游合作伙伴，我们扮演的角色可能是数据控制者。由于各个厂商的隐私合规水平参差不齐，而这时候大家又都是同一根绳上的蚂蚱，如果发生数据泄露事件，难免会被牵连。因此，为了避免与猪队友合作，对上下游生态合作伙伴的合规审计就显得尤为必要。

在实践中，对合作伙伴进行合规审计的方式一般是合规问卷，在对合作伙伴进行合规审计时，将准备好的合规问卷提交给合作方填写，在对方填写完成后对问卷进行审计即可。实际上，在对合作方的合规审计中，数据控制者往往占据着主导权，大多数情况也是数据控制者来审计数据处理者。当然，任何合规审计都双向的，如果有必要的话，数据处理者也可以审计数据控制者。

隐私合规工作主要是围绕数据来展开的，这就使得隐私合规的很多内容在落地时需要技术来做支持，因而技术和合规在实质上其实是不分家的，在实践中，这里将技术合规大类划分为数据合规和技术支持两个小类。

4.1、数据合规

数据合规对于隐私合规体系来讲至关重要，是隐私合规体系的核心部分，同时数据合规和数据安全体系虽然有着莫大的关联但又不完全等同，数据安全体系是保障数据生命周期中各个环节的安全，而数据合规则是保障对数据的各种操作符合法律法规要求，其操作包括数据的采集、存储、访问、使用、出境、委托处理、共享、转让、公开披露、主体权利、儿童信息等等。

对于企业而言，需要做的第一件事就是识别有哪些业务场景可以涉及到个人信息处理，并了解业务场景中数据处理的目的是什么，是来自于业务运营、监管要求、还是与客户签署的合同。在了解业务场景和数据处理的目的后，第二个重要的工作是了解公司在这个场景中扮演数据处理中的哪一个角色，是控制者、联合控制者还是处理者和分包商，明确角色后，还需要了解在相关标准和法律中应当承担什么责任。最后，结合数据安全体系，分析每一个阶段数据处理的控制要求以及需要建立的控制点。

数据的采集是数据生命周期的第一步，从法律法规要求的角度讲，采集数据需要满足合法性和必要性，同时需要征求被收集者的明示同意，另外，还要考虑到被收集者同意的例外情形，即无需征求被收集者同意即可采集数据的情形，除了以上的直接收集数据外，还应考虑到间接采集数据的合规情况，最后，隐私政策中的术语描述也是这一步需要去重点研究的内容。

对于数据的存储，从法律法规要求的角度讲，需要对数据进行分类分级，这个在前面有多次提到过了。除此外，还应当满足数据存储期限最小化、存储方式安全化等要求，即数据不能保存超出使用目的的期限，若要永久性保存则应当对数据做匿名化处理，同时，对于存储的数据应当有足够的安全措施保障其完整性、保密性和可用性。最后，在特定情况下，应当对数据做去标识化处理。

数据到手后，对数据的访问和使用是必不可少的，从法律法规要求的角度讲，对数据的访问需要做到最小授权、重要操作审批、岗位角色分离、离岗员工权限回收、外部人员访问限制等访问控制措施。对于数据的使用则需要做到限制数据的使用目的、限制数据的展示、限制用户画像的使用等安全限制措施。

对于跨国公司来说，数据出境应该是一块硬伤了。从国内法律法规要求的角度来看，数据出境首先要告知个人信息主体，征求个人信息主体的明示同意，其次应当评估数据出境的合法性，并与数据接收方签订合同以明确数据接收方承担的责任和义务，同时应当对数据出境记录做妥善保存。数据出入境是一个很复杂的事情，因此也建议参考安世加公众号内 学海无涯 | 安全合规系列教学文档下载！

在正常业务开展的过程中，数据对外提供的情况会经常发生，常见的数据对外提供的情形有委托处理、共享、转让和公开披露等，从法律法规要求的角度讲，要进行数据的对外提供，首先要告知个人信息主体，征求个人信息主体的同意，其次要对数据接收方进行有限尽调，即评估数据接收方的安全保障能力，同时与数据接收方签订合同以明确数据接收方承担的责任和义务，然后在对外提供数据时要做好安全措施以及保留对外提供数据的记录，最后，要对数据接收方做好长期的持续监督。而对于数据的公开披露，则应当在披露前评估该操作的合法性，在合法的基础上再进行公开披露。

一般情况下，企业所处理的数据都是用户个人数据，而用户相较于企业来讲通常属于弱势群体，因此，无论是国外法律法规还是国内法律法规，都赋予了用户一定的权利以保障用户个人数据不遭企业侵害。这些权利包括个人数据的查询权、更正权、删除权、撤回同意权、注销账户权、获取数据副本权、投诉举报权等。从法律法规要求的角度讲，企业应当保证用户真实有效的获得了这些权利，并能够正常无阻的施行这些权利。

儿童是国家发展的未来和希望，其认知能力、危险识别能力和自我保护能力都相对薄弱，因此，不同于一般的个人数据保护，儿童的个人数据保护属于比较特殊的一块。从法律法规要求的角度讲，对于处理儿童个人数据，首先要在隐私政策中单独明确如何处理儿童个人数据，其次在对儿童个人数据进行操作时，应当告知儿童监护人，征求监护人的同意，对于委托第三方处理儿童个人数据的，应当对第三方进行安全评估，同时与第三方签订委托协议以明确第三方承担的责任和义务。

最后，应当绘制一份所有数据的流转图，以清晰的呈现所有经过公司之手的数据的动向，流转图可以以数据类型为维度进行绘制，也可以以部门为维度进行绘制，具体根据实际方便程度来确定即可。其内容一般包括收集了哪些数据主体的哪些数据，这些数据先经过哪，被怎样处理过，又经过哪，又被怎样处理过，最后到了哪……等等之类。绘制数据流转图不仅可以清晰呈现数据的流转途径及沿途的处理方式，也非常便于进行合规审计。

4.2、技术支持

除了数据合规外，还有很多需要技术来支撑的合规内容，例如敏感权限合规、加解密算法合规、数据爬虫合规、数据安全应急等等，这些技术支持作为技术合规的补充部分，有力的完善了技术合规的边界版图。

首先是敏感权限合规，这里的敏感权限有多重含义，它既可以是操作敏感数据时赋予操作人员的敏感权限，也可以是在收集数据时从用户手中获取的敏感权限。对于前者，需要使用技术手段做好各链路的权限控制，主要包括最小化权限赋予和最短必要时间赋予。对于后者，则需要在开发产品时做好最小必要权限获取，避免贪图懒惰一揽子超额获取权限，同时应当在隐私政策中声明这些敏感权限的使用场景以及对应采集的数据信息。

其次，在数据安全与数据合规的很多场景下，都会对数据进行各种加解密操作，那么在选用加解密算法时也应当注意加解密算法的安全性。通常情况下，应当采用国际上通用的安全的加解密算法，不应使用过时和不安全的加解密算法以及自研的加解密算法。同时对于不同敏感级别的数据，可以采用不同的密钥长度，并充分保障密钥的安全性，防止窃取者伪造密钥持有人的签名。

数据爬虫是当下互联网时代高效采集数据的一个主要方式，但爬虫使用不当会带来极大的法律风险。一般情况下，合规使用爬虫的方式是在使用爬虫爬取个人信息时要征求用户同意，在用户同意后方可进行爬取；在爬取商业数据时，不应存在搭便车等行为，也不可分流被爬网站的用户、降低被爬网站的竞争优势，否则会被认定构成不正当竞争，染上法律风险。

最后，在发生数据安全事件时，需要做好事件的应急处置，这里的数据安全事件主要是数据泄露，但数据泄露有很多场景，除了常见的自身数据库被拖库外，还有内部人员泄露数据、合作方泄露数据、供应链某一环节泄露数据等等之类，溯源数据泄露源头是一个很蛋疼的事情，如果全链路的安全机制不够完善，隐藏较深的数据泄露源基本溯源不到，而做好全链路的安全机制，则需要非常大的人力物力财力投入。在实践中，发生数据泄露事件后，安全部门能把自己公司排查清楚就很不错了。

未完待续