俞能海 张丽 邹宏：风险管理视角下的数据安全与隐私保护

随着人工智能、大数据等新技术蓬勃发展，数字化、智能化在解放生产力、释放技术红利的同时，也带来数据安全、信息安全等新风险，特别是生成式人工智能技术的不断突破，给人类主体性带来新挑战，这也让人们更加关注新技术环境下的隐私保护问题。数据安全、隐私保护与风险管理相伴而生。从个体层面看，数据泄露不仅是无形损失，而且会引发财产损失，甚至会危害人身安全；从群体层面看，大规模的隐私泄露可能导致国家层面的社会风险和经济风险，甚至是国家安全风险。因此，我们需要从风险管理的视角进一步审视数据安全与隐私保护问题，促进数字技术和产业健康可持续发展。

在风险认知上，科学看待数据安全、隐私保护和数据要素流动的关系

发展和壮大数字经济，一方面需要推动数据要素流动，另一方面需要高度重视数据安全和隐私保护。统筹风险和流通之间的关系，关键是要科学地认知数据安全、隐私保护和数据要素流动之间的关系。

一是数字化转型和数据安全的关系。这两者之间的关系如同“信息化和网络安全”，应该是“一体之两翼、驱动之双轮”的关系，数字化和数据安全需要一体设计、一体建设、一体推进，不能把“安全”作为“发展”的限定词，而是要把“安全”看作“发展”的内在禀赋和促进因素。

二是信息生产者和处理者的关系。随着《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等系列法律法规相继颁布，对数据安全、隐私保护作出明确要求，基于“个人与个人信息处理者之间的关系不对等”的认知，规定信息处理者的义务，为个人信息安全穿上了“铠甲”，为破解数据安全风险中的一系列难点问题提供了法律保障。

三是技术和管理之间的关系。传统的网络安全概念中，有一个重要原则——“三分技术、七分管理”，即30%的安全问题依靠安全设备和技术保障，70%的安全问题则依靠用户安全管理意识的提高以及管理模式的更新。但在数据空间风险日趋多样化的态势下，我们不能完全固守“技术管理三七开”的传统概念，而是要强化“用技术管技术”“用技术控风险”的理念，推动技术和管理协调发展、“两手都要硬”，特别是要发展维护数据安全、保护个人隐私的“真”技术、硬技术，把管用好用的技术发展起来。

在风险承载上，稳健平衡数字产品制造者、应用者、消费者之间的责任

自2022年以来，欧美国家快速迭代出台多项战略、法案和法规，推动网络安全、数据安全责任“左移”（将网络安全问题前置处理），其核心理念是“数字产品的制造者、数字应用的开发者应当承担更大的安全责任”，对于数字产品的消费者而言，“安全不应该是一种奢侈的选择，而应该是用户无需协商或支付更多费用就可获得的权利”。2023年3月，美国白宫发布近五年来首份更新的《国家网络安全战略》，提出要重新平衡网络安全责任和风险，让规模最大、能力最强、地位最有优势的实体承担更多安全责任。2023年12月，欧盟就《网络弹性法案》在技术和政治层面达成一致，该法案一旦生效，届时进入欧盟市场的数字产品须确认满足欧盟网络安全标准。近期，美国高德纳咨询公司（Gartner）发布2024年及未来网络安全技术趋势，指出将安全要求“融入”开发实践的机会，而不是后来“附加”。安全责任“左移”体现了保护“个人”在应对风险上处于弱势地位的基本认知，将“个人”过多的数据安全责任转移到数字产品开发者、制造者、处理者之上，让各方都担负起各自责任。

面对安全风险“左移”的新形势，我国也需要稳健平衡制造侧、应用侧的网络安全、数据安全责任，在“谁运营谁负责，谁主管谁负责”的基础上，推行数字产品“谁设计谁负责，谁制造谁负责”的风险承载模式，对数字产品设计商、制造商“选择性忽视”安全问题、不负责任地将产品安全问题转嫁到使用侧的现象采取“零容忍”态度。根据新的市场和游戏规则，促使设计、制造和服务提供等环节切实履行对消费者、关键信息基础设施运营商等产品使用方的法律责任和安全义务，让人人都能用得上更安全的数字产品。

在风险管控上，大力发展具有“可管理”属性的数据安全和隐私保护技术

一般而言，“有制度”可以看作“有管理”，“制度+技术”才可以看作“可管理”。就风险管理而言，仅有制度是不够的，还须有能够保障制度落实的管控技术。在数据安全、隐私保护领域，若没有相应的技术进行监管和控制，相关规定和制度就只能停留在“号召”层面，甚至是“一纸空文”。当前，面向数据安全、隐私保护应该重点发展四类技术。

一是架构类技术。通过“构造效应”、系统工程方法，切断安全风险演变成安全事件的生发路径，在缺乏先验知识的情况下仍能有效抑制“未知的未知”安全风险，在“可信性不能保证或存在缺陷”条件下构建保证功能安全、数据安全的可信服务系统。

二是密码类技术。从隐私保护的角度出发，深入研究现有区块链、零知识证明、同态加密、隐私计算、可证安全隐写等技术的缺陷和有可能受到的攻击，从网络层、钱包和轻量用户等角度建立更加有效的隐私保护机制，更好实现个人数据和隐私保护。

三是安全风险度量技术。重点解决数字产品“网络安全、信息安全、数据安全”质量难以度量的问题，为数字产品安全提供标准化“量纲”，让数字产品的安全能力“看得到”“看得清”，能够给数字产品打上“安全”标签，为我国数字产业结构性升级和数字经济发展提供具有国际公信力的质量保证。

四是数字水印技术。以大语言模型为代表的人工智能技术迅速发展，使得数据易于被未经授权的用户窃取、篡改和贩卖，为此需要发展数字水印技术来维护数据权益、验证数据完整性、追踪风险来源以及进行数字内容认证等，不断增强数据的可管理、可流通、可追溯水平。目前，在发展传统数字水印技术的同时，一方面需要发展跨媒介的新型数字水印技术，提高水印在屏摄拍照“光电”、声音录制“声电”等实际泄密场景下的溯源能力；另一方面要发展基于人工智能模型的新型数字水印技术，借助深度神经网络的失真拟合能力和数据记忆能力，提高数字水印的保真度、嵌入量、鲁棒性、隐蔽性和普适性，并且能够针对“白盒”模型、“黑盒”模型、“无盒”模型验证数字水印在隐私保护和事件溯源中的有效性。

在风险分散上，推动建立面向数据空间、数字生态系统的金融保险机制

近年来，网络安全保险作为一种新业态呈现出蓬勃发展的态势。正因为有风险的存在，才会有保险的存在。面对数据安全、隐私保护的新需求，亟待发展数据安全保险、数字安全保险等新型业态。金融保险机构在安全指标可度量的基础上，为数字产品提供保险服务，为可能发生的数据安全问题提供经济兜底和风险分散。当前，保险业对数据安全行业的主要担忧表现为“看不清”“算不准”“担不起”，核心顾虑是数据安全风险的不确定性过大、涉及关系太复杂、人为因素影响太强、技术可控性太低、产品安全性无法度量、溯源难度高等。因此，需要从三个方面加速推进。

一是推进数据安全技术创新。数字产品的网络安全功能可度量、网络风险概率可测以及损失可估是可保的首要条件，发展数据安全保险首先要从技术上探索解决“可保性”和“自证清白”难题，对数据安全技术范式进行创新，实现安全能力可定制、可度量、可验证。

二是建立数据安全保险技术生态。借鉴传统车险的概念，打造“数据安全4S店”，集成数据体系建设、核心器件配给、数据安全服务、质量信息反馈“四位一体”的服务链，以新一代数据安全技术为依托，构建“保险+风险管理+服务”一体化的新生态。

三是推进数字安全保险产业创新。未来，基于人工智能的新兴技术将快速迭代，网络藏品、生物人虚拟化身、人形机器人、数字遗产等形态将日趋成型。可前瞻设计针对数字平台和系统产品的安全险、针对数字空间数据包括个人生物数据的安全险、数字资产类财产险、数字空间“孪生人”的人身安全险、数据安全服务险等。

在风险防范上，鼓励和支持全民数字素养和网络安全意识提升

防范数据安全风险、加强个人隐私保护，需要推进全民数字素养和网络安全意识的整体提升，特别是要提高公众数字安全能力，能够在数字化环境下识别电信网络诈骗、保护个人隐私和信息安全，遵循法律法规和伦理道德规范，形成正确的数字价值观、道德观、法治观。

近年来，我国通过举办“国家网络安全宣传周”“全民数字素养与技能提升月”等活动，建设“全民数字素养与技能培训基地”等方式，显著提高了公众的网络安全意识以及对个人信息和隐私保护的认知。未来，还要进一步强化科学普及，不断提升全民数字素养的整体水平。

一是要把数据安全作为全民数字素养提升的重中之重。数字素养是数字社会公民在生产生活中应当具备的数字知识、能力、素质、伦理道德等一系列要素的集合，其中，数据安全、隐私保护应当成为数字素养的基础课和必修课。电信网络诈骗、“大数据杀熟”、“信息茧房”等新社会问题相继出现，究其原因是公众的网络安全风险意识不够强，以及对数据处理者、数字产品制造者的安全责任和义务认识不够到位。

二是加大重点人群的风险教育和意识普及。重点关注“银发网民”、青少年网民、大学生网民等特殊群体，针对每类特殊人群的特点，设计科学普及内容和场景，把最需要的知识和技能传递给最需要的人群。比如，推动校园建立网络安全、数据安全专修室，开设数据安全科普课堂、实践课程，让数字安全能力培养走进校园、走进青少年之中。

三是发挥国家级网络安全科技场馆的作用。2020年国家网络安全宣传周期间，我国首个国家级网络安全科技馆建成，目前已构建了面向百所校园的创新教育服务体系、打造了面向百家企事业单位的数字技能培养平台、形成了面向百座城市的数据安全意识教育网络、达成了覆盖百万人群的网络和数据安全科普教育成效。

未来，我们应进一步发挥国家网络安全科技馆等各类平台的联动效应，建设数据安全、隐私保护的科普矩阵，通过专业化、基地化、场景化科学普及带动全民数字素养普遍提升。