读数据安全架构设计与实践26隐私保护治理

1. 隐私保护的管理体系

1.1. 建立隐私保护政策总纲，并在管理层达成共识

1.2. 建立隐私保护的组织和团队、职责分工，包括按照法律法规要求设立区域性的DPO（数据保护官）​，负责隐私保护监督、审计以及与监管机构沟通（可以兼任）​

1.3. 建立隐私保护的政策与框架（建立文件体系，及运用于实践）​

1.4. 确定适用的法律法规清单，并将其转化为内部文件

1.5. 建立隐私影响评估（PIA, Privacy Imapact Assessment）或数据保护影响评估（DPIA,Data Protection Imapact Assessment）的方法论与操作流程

1.6. 隐私生命周期的管理与落地

1.7. 建立数据目录

1.8. 建立数据主体请求的相关流程和系统

1.9. 隐私数据泄露事件的响应与报告机制

2. 隐私保护治理GRC实践

2.1. 计划

• 2.1.1. 在计划阶段，切入具体工作之前，最重要的一件事情就是确定所有跟企业自身业务有关的法律合规要求及管辖区域，形成相关法律文件的清单

• 2.1.2. 为了识别出企业面临的合规风险，各业务逐一对照每部法律是不现实的

• 2.1.3. 将外部法律法规及实践框架转化为内部文件，首先转化为内部的合规基准，这是一切内部合规工作的基石和出发点

• 2.1.4. 主要任务

• 2.1.4.1. G：设定目标、组织职责与问责政策、制定总体政策

• 2.1.4.2. R：风险识别

• 2.1.4.3. C：确定合规要求，分解重组，确定内部合规基准

2.2. 执行

• 2.2.1. 顶层文件“政策总纲”通常已在计划阶段完成，在执行这一阶段，隐私保护团队需要完善第二层到第四层的文件

• 2.2.2. 一个管理规定：​“隐私声明/通知管理规定”​（提要求）​

• 2.2.3. 一个流程控制点

• 2.2.4. 一份隐私声明的模板，或Checklist

• 2.2.5. 一个独立或内置于业务的“同意管理”IT子系统，记录每个用户对隐私声明的每个版本的同意情况

• 2.2.6. 控制矩阵中的检查点，落地到业务流程中才能发挥作用

• 2.2.7. 主要任务

• 2.2.7.1. G：细化政策、监督

• 2.2.7.2. R：风险评估、风险控制矩阵、融入流程、风险处置

• 2.2.7.3. C：内部合规基准转化为合规控制矩阵、建立/融入流程、合规改进、建立合规记录

2.3. 检查

• 2.3.1. 检查就是检验政策文件体系中规定的各种动作（即控制措施）是否真正落地，员工在执行流程的过程中是否执行到位以保障过程合规

• 2.3.2. 主要任务

• 2.3.2.1. G：对团队努力的成果、过程、态度进行绩效考核

• 2.3.2.2. R：对风险的度量，就是用数据来量化风险，可用于各业务团队间对比，表彰先进

• 2.3.2.3. C：对合规有效性的检查、合规记录的检查

2.3.2.3.1. 有效性，包括但不限于隐私声明是否经过自检、是否具备数据流转审批记录、是否具备对供应商的尽职调查记录、数据主体请求是否得到处理等

2.4. 处理

• 2.4.1. 处理阶段的任务是对本轮PDCA循环进行复盘总结

• 2.4.2. G：依据合规检查的结果、风险度量的结果、绩效度量的结果，执行决策和问责

• 2.4.3. R：风险总结，残余风险继续转入下一轮PDCA循环

• 2.4.4. C：合规总结，遗留的不合规问题继续转入下一轮PDCA循环

3. 10项隐私原则

3.1. 管理（Management）​：建立并文档化隐私政策、控制流程、沟通机制、问责机制

3.2. 告知（Notice）​：向数据主体提供隐私政策、控制措施，标明个人信息被收集、使用、留存、披露的目的

3.3. 选择同意（Choice and consent）​：向数据主体提供选择机制，并获得数据主体对其个人信息收集、使用、留存、披露等用途的明示同意

3.4. 收集（Collection）​：收集的个人数据仅用于明确告知的用途

3.5. 使用/留存/披露（Use, retention, and disposal）​：个人数据限定使用于明确告知的用途并需要得到个人的明示同意，留存时间不超过法规要求或实现该用途所需的时间，并在到期时清理

3.6. 访问（Access）​：提供个人访问其个人数据的渠道，用于查询、更新

3.7. 披露给第三方（Disclosure to third parties）​：向第三方提供个人信息时，仅限已向个人告知的用途并获得个人的同意

3.8. 隐私安全（Security for privacy）​：保护个人数据防止未授权的访问，包括物理访问以及逻辑上访问

3.9. 质量（quality）​：保证个人信息准确、完整，仅用于已告知的用途

3.10. 监督和实施（Monitoring and enforcement）​：应监督隐私政策和控制措施确保合规，并具备针对用户投诉、争议的处理流程

4. 以数据为中心的统一治理

4.1. 网络世界的隐私以数据为载体，即个人数据。对个人数据的保护，也在数据安全的范围内

4.2. 具体的隐私保护工作可以单独进行，也可以融入数据安全的相关政策、流程、系统中，统一治理

4.3. 个人数据安全相对于传统的安全治理实践，更加关注以数据为中心，强调合规性证明的问题（即向监管机构证明自身的合规性）​

4.4. 统一的数据安全治理

• 4.4.1. 以数据为中心，可以把数据安全与隐私保护治理统一起来，包括战略、组织、政策的统一设置

• 4.4.2. 战略上，将“从源头开始保障个人数据全生命周期的安全”​、​“防止个人数据泄露”明确写入企业的安全战略

• 4.4.3. 组织上，数据安全的相关组织，同时将隐私保护的相关职责承接起来

• 4.4.3.1. 负责数据安全治理的组织，通常由第二道防线中的合规与风险管理团队以及相应的指导委员会承担，治理层面的交付（战略、组织、政策等）​，在高级别的风险管理委员会决策后作为治理的依据

• 4.4.4. 在合规与风险管理方面，可对各种类型的数据统一分级分类

• 4.4.5. 将外部的法律法规转化为内部政策之后，对业务来说只需要满足内部合规就可以了

• 4.4.6. 定政策，除了原有的数据安全政策之外，也包括将外部法律法规转化为内部政策

• 4.4.7. 融流程，将安全要求在流程中设置控制点并进行落地

• 4.4.8. 降风险，通过各种方式（扫描、检测、威胁情报等）识别风险，跟进改进，并开展例行的风险度量活动

4.5. 统一数据目录与数据流图

• 4.5.1. 数据目录（Data Inventory, DI）​，即数据集的清单，是将各数据集的元数据（Meta Data）统一管理起来，可用于数据流转决策、合规性证明等用途

• 4.5.1.1. 元数据，就是描述数据的数据

• 4.5.2. 数据流图，即数据流转关系图，表示数据的消费流向，可用于追踪数据的扩散范围

4.6. 统一数据服务

• 4.6.1. 使用API网关，将数据IO统一管理起来，统一执行身份认证、访问控制措施，统一管理数据消费

• 4.6.2. 当数据都以这种方式统一管理起来后，API网关及数据存储服务，就构成了以数据为中心的数据中台。所有数据都从API网关流出，统一管控