2022 数据安全产业洞察报告 北京炼石网络技术有限公司 V1.0.1 1 声明 北京炼石网络技术有限公司对数据安全产业洞察报告（以下简称 报告或本报告）的内容及相关产品信息拥有受法律保护的著作权，未 经授权许可，任何人不得将报告的全部或部分内容以转让、出售等方 式用于商业目的使用。转载、摘编使用本报告文字或者观点的应注明 来源。报告中所载的材料和信息，包括但不限于文本、图片、数据、 观点、建议等各种形式，不能替代律师出具的法律意见。违反上述声 明者，本公司将追究其相关法律责任。报告撰写过程中，为便于技术 说明和涵义解释，引用了一系列的参考文献，内容如有侵权，请联系 本公司修改或删除。 北京炼石网络技术有限公司 联系电话： 4008190181 邮箱： [email protected] 2 序言 以安全保发展、以发展促安全。数字经济是继农业经济、工业经济之后的主 要经济形态，在重组全球要素资源、重塑全球经济结构、改变全球竞争格局中起 1 着关键性作用。科技部数据显示，我国数字经济规模居世界第二 。对我国来说， 发展数字经济是把握新一轮科技革命和产业变革新机遇的战略选择，并将带动数 字化向更大范围、更高层次、更深程度拓展，发挥数据的基础资源作用和创新引 擎作用。数据要素作为数字经济深化发展的核心引擎，数据安全也成为事关国家 安全和经济社会发展的重大议题。 数据安全产业升级伴随着认知更新。2021 年 6 月 10 日，《中华人民共和国 数据安全法》正式颁布，数据安全步入法治化轨道。在合规监管和实战防护双重 驱动下，数据安全产业发展迅猛。同时，我们要看到，数据安全作为新兴技术驱 动产业，新理念、新技术、新产品、新业态大量涌现，过去成熟的信息和网络安 全认知难以覆盖新生的数据安全。值此《数据安全法》颁布一周年之际，炼石《2022 数据安全产业洞察报告》（简称《报告》）正式推出，是继《2021 数据安全与 个人信息保护白皮书》《2021 密码产业洞察报告》《2021 密码应用技术白皮书》 等报告之后的新成果。 从业务视角洞察数据安全产业。信息化技术是“与天斗、与地斗”，而安全 技术是“与人斗”，人的不确定因素大大增加了安全产品和服务体系的复杂程度； 同时安全产品在为丰富信息化场景提供保障的同时，反过来安全产品自身也属于 1 我国数字经济规模居世界第二 先进储能等产业规模居世界前列， https://m.gmw.cn/baijia/2022-06/06/35790613.html 3 信息化产品，因此信息化技术的变化会数倍触发安全技术的变化。这些原因使得 数据安全产业边界广泛、应用场景丰富、技术体系庞大，解构数据安全产业可以 从多个不同角度出发。然而，数据安全作为一种“特殊”的业务需求，来源于数 据处理中的风险映射，数据保护技术本质上是对数据流动重建安全规则。故，从 业务视角看安全，更接近数据安全的本质问题。 业务伴生风险，风险驱动安全，安全融入业务。《报告》旨在厘清产业演进 脉络，分析产业发展现状，探索产业趋势走向。从数字经济发展呼唤数据安全、 数据处理风险驱动数据保护、数据保护技术集聚创新原力、数据安全能力融入业 务流程、数据安全体系重构防御边界、数据安全产业开启伟大征程等六个章节， 勾勒数据安全产业的整体态势，梳理数据安全法规体系架构，通过对产业环境、 产品创新与技术服务的系统研究，分析产业机遇、挑战、应对措施，为数据安全 建设与发展工作提供参考。 数据安全产业快速演进为独立赛道。《报告》梳理了网络安全、数据安全、 数字安全等概念演进过程，以关键事件为节点，沿着发展脉络溯源，探索数据安 全从信息安全共生发展，到脱胎网络安全成为比肩产业，立足经济发展、技术创 新两线推进，并在此基础上尝试勾画出数据安全“生长树”，划定数据安全产业 广义和狭义的概念与范畴。 数据安全关乎国家安全、社会安全、个人与组织安全。掌握世界各国数据 安全建设进程，以他山之石拓新发展思路，助力我国采取行之有效的应对措施， 对捍卫我国数据主权安全意义重大。《报告》立足国际经贸摩擦、新冠疫情爆发、 俄乌军事冲突等错综复杂的形势下，探索各国对于数据安全法治建设路径的持续 布局。在全球数据安全加速发展的大潮中，我国数据安全产业进入高速发展期。 4 数据开发利用伴生安全风险。《报告》梳理了数据收集、存储、使用、加工、 传输、提供、公开等全生命周期中的各个环节中面临的安全威胁和挑战。通过丰 富案例能够深入了解全生命周期各环节的薄弱点和暴露面，从而针对性的设计和 实施数据保护体系，以消减风险，保障业务高效运行。 持续攻防对抗特性让数据安全行业成为技术演进常青树。《报告》从技术、 产品、治理和服务等领域展开。技术发展上，从典型技术理念、典型技术架构、 典型治理平台三个层次逐步展开，其中，技术架构上重点介绍了 GARTNER 架构、 信通院架构、DTTACK 等模式，并论述了其设计思路和理念；安全产品上，从标 准安全产品延伸、创新安全场景驱动分别切入，详细介绍了 20 多种数据安全产 品，并着重分析了创新安全场景中使用的关键技术；数据治理上，从数据价值、 安全策略、管理运营等方面，持续探索自适用、易落地的数据安全治理模型和体 系；服务咨询上，立足产业链中下游，重点介绍了治理、评测、运营、能力提升、 专项、实战应用、法律咨询七种类型，并基于各服务种类及流程步骤从多维度解 析。 免改造数据安全实现数据流动中的有效保护与合规。随着数据要素价值升 级，“以数据为中心的安全”占据产业靶向点，应用层作为数据共享流转的主要 载体，数据价值点多、风险敞口广，具有丰富业务上下文含义，成为实现数据安 全的主要抓手。补足数据安全功能需求缺失面临“老应用改造难、新应用成本高” 等问题，免改造数据安全应运而生，通过数据控制点实现“横向覆盖应用、纵向 叠加安全”。 数据安全体系化打造数据纵深防御。当下，攻击者已经分工合作以提升效率， 特点，传统的安全边界或网络隔离策略难以应对。数据安全建设要放弃一招制敌 5 的幻想，在信息系统上根据不同的安全威胁，结合匹配的安全防护技术与措施， 实施协同联动的安全策略纵深。《报告》阐述了基于 DTTACK 的防御纵深，凭借 先发优势、面向失效的设计、环环相扣的递进式设防，形成有效防护。 党中央高度重视数据安全，新图景将建于硬核实力之上。《报告》涵盖增 强数据安全技术与产业的意识形态建设、做好数据安全技术与产业发展的顶层设 计、营造数据安全技术与产业良好的环境氛围、建立新技术与应用实践落地的“民 族自信”、国家和监管共同构造产业格局“中国之治”、重要数据和个人信息治 理推动“中国规则”、国际数据安全技术与产业彰显“中国智慧”等方向，并从 产业和技术等方面展望了发展趋势和应用热点。 由于编者水平有限，报告中不妥和错漏之处在所难免，敬请各位读者批评指 正和提出宝贵意见，业界专家和同仁拨冗参与本报告改进，后续我们也将持续更 新完善《报告》内容，为数据安全产业发展贡献力量！ 本白皮书编写过程中获得了腾讯云鼎实验室等众多专家和机构的指导与帮 助，在此特别致谢。 6 目录 第一章 数字经济发展呼唤数据安全........................................................................22 第一节 数据安全产业聚力蓄势而发.................................................................23 一． 数据安全概念紧随时代持续演进......................................................23 二． 数据安全脱胎网络安全与之比肩......................................................32 三． 数据安全产业内涵外延前景广阔......................................................44 四． 数据安全爆发千亿市场未来可期......................................................46 第二节 数据安全立法折射大国博弈.................................................................56 一． 国际数据安全形势错综复杂..............................................................56 二． 我国数据安全产业厚积薄发..............................................................95 三． 全球数据安全理念多元呈现............................................................152 第二章 数据处理风险驱动数据保护......................................................................168 第一节 数据收集：合法、正当、必要.......................................................168 第二节 数据存储：加密、控制、审计.......................................................170 第三节 数据使用：告知、监督、检测.......................................................175 第四节 数据加工：内控、风险、响应.......................................................177 第五节 数据传输：加密、脱敏、约定.......................................................178 第六节 数据提供：评估、保护、监督.......................................................180 第七节 数据公开：危害、分析、影响.......................................................182 第三章 数据保护技术集聚创新原力................................................................