❶ 合规创造价值：新经济领域（拟）上市企业的若干合规要点分析
走出去智库观察
近来，滴滴被查引发了人们对上市企业跨境数据合规的的热议。今年上半年，国内互联网企业扎堆奔赴美股，但因跨境数据安全问题引发的系列影响，使这些企业不得不重新审视相关合规问题。
走出去智库（CGGT）特约法律专家、中伦律师事务所顾问贾申认为，从近期监管趋势来看，跨境数据传输是新经济企业上市应特别关注的合规点。根据《网络安全法》和《数据安全法》规定，包括公共通信、信息服务、金融业和其他重要行业、领域的关键信息基础设施的运营者，应将境内运营期间收集和生成的个人信息和重要数据储存在境内，如需向境外传输，则应按相关规定进行安全性评估。
新经济领域（拟）上市企业如何做好跨境数据合规？今天，走出去智库（CGGT）刊发中伦律师事务所蒋蕙匡、贾申、李梦涵、于佳永、罗仪涵的文章，供关注跨境数据合规的读者参考。
要 点
CGGT，CHINA GOING GLOBAL THINKTANK
1、对于赴境外上市的公司而言，VIE架构是一种常见的公司架构，建议企业在搭建VIE架构和实际运营业务过程中，充分考虑业务类型和交易结构，系统、人员、设备设置，以及资金和数据流向，辅以完备的内部规章、协议、信息披露制度和授权安排，以充分遵循数据合规要求。
2、新经济领域的企业还应特别关注数据合规与反垄断合规的交叉领域。《平台经济指南》明确提及了经营者利用数据或算法排除、限制竞争的多种行为模式。
3、行业性监管政策的变化频繁，特别是在关系国计民生的重要领域，相关部门已明确透出强力监管的信号。以教育和交通行业为例，相关领域的平台企业应当密切关注行业性监管政策之下的合规要求。
正 文
CGGT，CHINA GOING GLOBAL THINKTANK
作者简介
蒋蕙匡 律师
北京办公室 合伙人
业务领域： 反垄断和竞争法, 跨境投资并购, 合规和反腐败
特色行业类别： 能源与自然资源, 通讯与技术, 健康 与生命科学
贾申
北京办公室 顾问
业务领域： 反垄断和竞争法, 贸易合规和救济, 诉讼仲裁
李梦涵
北京办公室 合规与政府监管部
于佳永
北京办公室 合规与政府监管部
罗仪涵
北京办公室 合规与政府监管部
2021年7月6日，中共中央办公厅、国务院办公厅发布《关于依法从严打击证券违法活动的意见》（“《意见》”），其中“完善数据安全、跨境数据流动、涉密信息管理等相关法律法规”，“切实采取措施做好中概股公司风险及突发情况应对”等意见，清晰指示了当前资本市场的又一个重要合规方向，充分体现了我国对上市公司监管的决心与力度。近期，中国网络安全审查办公室（“网信办”）接连对数家赴美上市的平台企业开展网络安全审查，并于2021年7月10日发布了《网络安全审查办法（修订草案征求意见稿）》，引发了公众和业界对中国跨境数据安全监管和中概股公司跨境证券监管政策的强烈关注和广泛讨论。（相关解读： 激活网络安全审查制度 筑牢数据安全防火墙——《网络安全审查办法（修订草案征求意见稿）》评析 ）2021年7月30日，美国证券交易委员会（SEC）主席Gary Gensler发表声明称，SEC将修改有关涉及中国企业境外上市的信息披露规则，增加特定的信息披露要求（包括说明VIE公司与发行人之间的财务关系、赴美上市是否获得政府批准等），以更好地保护投资人的利益。
近年，各行业领域涉及境内外上市企业的司法、行政执法案件层出不穷，相关企业上市招股书中针对政府监管的风险提示说明和清单渐长，中概股合规问题同时引起了中美两国监管的高度重视，提高合规水平和完善合规制度对于（拟）上市企业的重要性愈加凸显。在此背景下，本文结合既往经验和观察，将从 网络安全与数据合规、反垄断、反不正当竞争、行业性监管政策 等方面，分析互联网平台等新经济领域（拟）上市企业的合规要点，以期为相关企业的合规建设和合规应对提供参考。
合规点一：网络安全与数据合规
我国已出台的《网络安全法》《数据安全法》及即将出台的《个人信息保护法》构成了网络安全及数据安全合规领域的“三驾马车”。新经济领域的上市公司和拟上市公司通常掌握大量的各维度数据，应特别关注网络安全与数据合规的相关要求。
从近期监管趋势来看，跨境数据传输是企业上市应特别关注的合规点。根据《网络安全法》和《数据安全法》规定，包括公共通信、信息服务、金融业和其他重要行业、领域的关键信息基础设施的运营者，应将境内运营期间收集和生成的个人信息和重要数据储存在境内，如需向境外传输，则应按相关规定进行安全性评估。但是，对于如何进行此类安全评估，目前尚未出台正式的法规或指南。这可能对拥有多个数据中心、可能需要在不同国家地区之间传输某些个人数据的互联网公司造成影响，相关企业应密切关注这一领域的立法与执法动态。此外，《数据安全法》已明确提出要建立数据分级分类保护制度和国家核心数据管理制度：一方面，对于关系国家安全、国民经济命脉、重要民生、重大公共利益的国家核心数据实行更加严格的管理制度；另一方面，相关地区和部门将进一步制定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。未来更详细的数据分级制度出台后，企业应依法依规做好数据分类工作，并严格采取相应的数据管理和保护措施。
在个人信息保护方面，无论相关企业是境外上市或是境内上市，数据合规问题均易引发媒体公众的高度关注，也会受到监管部门的重点问询，包括数据来源合法合规问题、数据使用合法合规问题、数据相关的业务经营问题等。
例如，对于掌握大量用户数据的互联网平台企业而言，应特别关注数据来源的合规性：
获取用户数据信息的来源、获取途径、授权方式及协议，授权是否明确且合法有效，收集用户信息时是否明确告知收集信息的范围及使用用途；
获取个人数据是否对用户有明确提示、收集的数据是否限制在必要范围内、是否仅概括性提示收集用户信息、是否超出用户授权范围使用数据、或存在未经其他平台的授权直接收取数据的行为；
通过APP以《用户协议》、《隐私政策》等协议约定获得用户授权过程中，收集个人用户信息、向个人用户推送广告等有无明确告知用户收集、使用信息的目的、方式和范围。
合规点二：反垄断合规
反垄断合规作为热点领域，对于企业上市前后合规建设的重要性正逐渐凸显。今年以来，关于国内互联网巨头的各类反垄断处罚决定或传闻对于企业股价及市场均造成了一定的影响。例如，2021年4月10日，国家市场监督管理总局（“总局”）对某电商平台滥用市场支配地位“二选一”的垄断行为做出行政处罚决定，对其处以2019年度中国境内销售额4%的罚款，共计182.28亿元，成为迄今中国反垄断执法机关开出的最高额罚单。（相关解读：从史上最高罚单看企业反垄断合规的重要性）同时，总局向该平台发出行政指导书，并于此后要求34家互联网平台企业做出《依法合规经营承诺》。一系列执法和行政指导举措均体现了企业在反垄断领域全面合规的重要性。
我们建议，新经济领域的平台企业（包括采取/拟采取VIE架构在境外上市的企业）应特别关注经营者集中反垄断申报的合规要求。国务院反垄断委员会发布的《关于平台经济领域的反垄断指南》（“《平台经济指南》”）第十八条规定，“涉及协议控制架构的经营者集中，属于经营者集中反垄断审查范围”，明确了VIE架构的企业开展经营者集中时，如营业额标准达标应触发反垄断申报义务。2020年以来，总局已陆续查处公布了超过40起涉及VIE架构的未依法申报经营者集中的行政处罚案件，众多国内知名互联网公司均有相关案例。特别值得关注的是，近期在平台经济领域的经营者集中审查和未依法申报审查方面，已出现了禁止集中交易和要求经营者针对应报未报交易采取必要措施恢复市场竞争状态的决定：
2021年7月10日，总局发布了禁止两 游戏 直播平台合并的反垄断审查决定，并详细说明了认定此项集中具有排除、限制竞争效果的理由。该案是我国平台经济领域禁止经营者集中第一案，也是第一起仅涉国内企业的禁止经营者集中案件。
2021年7月24日，总局对某互联网平台违法实施经营者集中案作出行政处罚决定，要求相关经营者采取必要措施恢复市场竞争状态，包括责令该平台采取解除独家版权等措施，降低市场进入壁垒，重塑相关市场竞争秩序。
此外，我们建议，新经济领域的企业还应特别关注数据合规与反垄断合规的交叉领域。《平台经济指南》明确提及了经营者利用数据或算法排除、限制竞争的多种行为模式。（相关解读：平台经济领域反垄断正当时？——相关指南意见稿亮点解读）如：
垄断协议与算法共谋：如经营者通过数据、算法、平台规则或者其他方式实质上达成协调一致的行为；
滥用市场支配地位限定交易：经营者通过平台规则、数据、算法、技术等方面的实际设置限制或者障碍的方式限定交易；
滥用市场支配地位实施差别待遇：基于大数据和算法，根据交易相对人的支付能力、消费偏好、使用习惯等，实行差异性交易价格或者其他交易条件；
此外，平台经营者掌握的数据情况对于认定经营者市场支配地位具有重要意义，《平台经济指南》明确提及，判断相关平台是否构成其他经营者进入相关市场的“必需设施”时，需要综合考虑该平台占有数据的情况和其他情况。
在当前监管形势下，反垄断合规的重要性已无需赘言，相关企业应持续关注反垄断领域的监管动态，不断提升自身的反垄断合规水平。
合规点三：反不正当竞争合规
反不正当竞争合规是另一合规热点。互联网时代，信息传播的高频性缩短了时间差，竞争对手举报、消费者投诉举报、职业打假人的投诉举报、相关部门的强力监管等都会给企业带来相当大的压力，企业若无妥善的预案与风险管理，不仅可能面临当下的经营困境，也会给未来的上市之路带来巨大阻碍。以某陌生交友APP上市遇阻为例，其原本计划于6月24日上市，却于近日宣布暂停美股IPO流程，市场普遍认为，紧急暂停IPO或与其此前深陷与某竞品APP的不正当竞争案件不无关系。
互联网领域不正当竞争行为主要包括两大类：一类是传统不正当竞争行为在互联网领域的延伸，例如利用互联网实施混淆仿冒、虚假宣传、商业诋毁等不正当竞争行为，另一类属于互联网领域特有的，利用技术手段实施的不正当竞争行为。例如典型的不正当竞争行为“虚假宣传”，对其相关的规定散见于《广告法》、《互联网广告管理暂行办法》、《反不正当竞争法》及相关法规和规范性文件中。在日常运营及筹备上市的过程中，企业往往对如何保证宣传的真实性，规避“虚假宣传”的可能范围缺乏专业的认知，存在一些不完全引用、片面宣传、歧义性语言而遭受处罚的情况。此时企业应当需要借助专业团队，对风险进行预估，同时结合不同地域执法人员执法偏向、发布区域、覆盖人群等诸多因素进行预判。
自2020年起，众多互联网公司均陷入监管部门的反不正当竞争调查。2021年2月8日，总局发布针对某品牌特卖平台的行政处罚决定，认定该平台扰乱公平竞争市场秩序，处以300万元罚款。这一案例充分说明，互联网商业模式的迭代和发展已催生更多不同类型的不正当竞争行为，数据的采集和应用方式的多样化也使得竞争行为更加隐蔽和复杂。随着执法态势的日趋严格，互联网行业经营者更应当采取合理、恰当的合规思路去进行合规体系的构建。
合规点四：行业性监管政策变化与合规
今年以来，行业性监管政策的变化频繁，特别是在关系国计民生的重要领域，相关部门已明确透出强力监管的信号。以教育和交通行业为例，相关领域的平台企业应当密切关注行业性监管政策之下的合规要求。
近期，交通领域的企业受到监管部门的密切关注。2021年7月30日，交通运输新业态协同监管部际联席会议召开2021年第二次全体会议，审议《关于加强交通运输新业态从业人员权益保障工作的意见》，并提出要优化监管框架，加快实现事前事中事后全链条监管，特别加强反垄断监管和反不正当竞争，依法查处网约车和货运平台垄断、排除和限制竞争、扰乱市场秩序、侵害司机合法权益等违法行为。此外，前述网信办对某出行服务平台发起的网络安全审查也充分说明，交通运输企业（特别是互联网新经济平台企业）应特别关注行业性监管政策的重点。交通行业的特殊性之一在于，相关互联网平台企业在经营过程中必然会掌握大量货运、城市交通、用户及司机的相关数据，应特别关注数据安全相关的合规要求。例如，交通运输行业的大量数据可能被纳入重要数据目录，而《数据安全法》对于重要数据的处理活动已明确提出若干数据安全保护义务，包括：
重要数据的处理者应当明确数据安全负责人和管理机构；
重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告；
对影响或者可能影响国家安全的数据处理活动进行网络安全审查；
关键信息基础设施的运营者在我国境内运营中收集和产生的重要数据的出境安全管理应遵守相关法律法规的规定。
同样，教育行业也属于民生领域的重点监管行业。今年以来，各大在线教育平台均面临着总局、教育部等多个部门的强力监管：
5月初，总局组织地方市场监管部门组建专案组，对15家校外培训机构进行重点检查后发现其分别存在虚假宣传或价格欺诈违法行为，对其分别予以顶格罚款，合计已超过3600万元。
6月15日，教育部公布《关于成立校外教育培训监管司的通知》，宣布成立校外教育培训监管司，将承担面向中小学生（含幼儿园儿童）的校外教育培训管理、党建指导与政策拟定。
近日，中共中央办公厅、国务院办公厅印发了《关于进一步减轻义务教育阶段学生作业负担和校外培训负担的意见》，对于教育行业的互联网平台公司提出了更高的合规要求。
在行业重压之下，在线教育平台和各校外培训机构更应做好业务许可备案、机构备案审查、合规宣传，在师资合格、信息安全、收费监管等方面充分遵守法律法规的相关要求。
此外，《首次公开发行股票并上市管理办法》（2020修正）第十八条要求申报期内发行人不得存在重大违法行为。原则上，凡被相关行政机关给予一定金额以上行政处罚的行为，都可能被视为重大违法行为（即“最近36个月内违反工商、税收、土地、环保、海关以及其他法律、行政法规，受到行政处罚，且情节严重”），除非处罚实施机关认定该行为不属于重大违法行为并依法做出合理说明。因此，企业和中介机构还应审慎把握“重大违法行为”的审核尺度，例如，对于平台企业而言，网络安全与数据合规、反垄断、反不正当竞争等方面的重大行政处罚，并未被完全排除在“重大违法行为”的范畴之外，这也启示，相关企业在启动上市计划之前应充分重视各方面的合规建设和体系完善。
如前所述，《意见》特别强调对证券违法犯罪案件“坚持零容忍要求”，这呼应了2019年修订的《证券法》及2020年出台的《刑法修正案（十一）》，体现全面推行注册制改革下的强监管趋势。《意见》第二十条还着重强调，加强中概股监管，要求切实采取措施做好中概股公司风险及突发情况应对，推进相关监管制度体系建设。相关企业应重视监管政策的动态变化，无论是境内上市还是境外上市，互联网平台等新经济领域（拟）上市企业都应强化合规建设与违规风险防范，以合规创造价值。
注释：
[1] 参见：中共中央办公厅 国务院办公厅印发《关于依法从严打击证券违法活动的意见》，访问地址：https://www.spp.gov.cn/zdgz/202107/t20210706_523196.shtml。
[2] 参见：《网络安全审查办公室关于对“滴滴出行”启动网络安全审查的公告》，访问地址：http://www.cac.gov.cn/2021-07/02/c_1626811521011934.htm；《网络安全审查办公室关于对“运满满”“货车帮”“BOSS直聘”启动网络安全审查的公告》，访问地址：http://www.cac.gov.cn/2021-07/05/c_1627071328950274.htm
[3] 参见：Statement on Investor Protection Related to Recent Developments in China,访问地址：https://www.sec.gov/news/public-statement/gensler-2021-07-30
[4] 参见《网络安全法》第三十七条及《数据安全法》第三十一条。
[5] 参见《数据安全法》第二十一条。
[6] 参见：《市场监管总局依法对某电商平台在中国境内网络零售平台服务市场实施"二选一"垄断行为作出行政处罚》，访问地址：http://www.samr.gov.cn/xw/zj/202104/t20210410_327702.html。
[7] 参见：《市场监管总局依法禁止A公司与B有限公司合并》，访问地址：http://www.samr.gov.cn/xw/zj/202107/t20210710_332525.html。
[8] 参见：《市场监管总局依法对某控股有限公司作出责令解除网络音乐独家版权等处罚》，访问地址：http://www.samr.gov.cn/xw/zj/202107/t20210724_333016.html。
[9] 根据上海市高级人民法院官网信息，U公司诉S公司其他不正当竞争纠纷在2021年4月21日立案，U公司要求赔偿2693万元，并向法院申请了财产保全。5月11日，S公司向美国证券交易委员会提交招股书，申请在纳斯达克上市，5月21日，法院冻结S公司2693万元，并在月底确定案件开庭时间为6月29日。
[10] 《反不正当竞争法》新增了“互联网专条”（第十二条），要求经营者不得利用技术手段，通过影响用户选择或者其他方式，实施下列妨碍、破坏其他经营者合法提供的网络产品或者服务正常运行的行为：（一）未经其他经营者同意，在其合法提供的网络产品或者服务中，插入链接、强制进行目标跳转；（二）误导、欺骗、强迫用户修改、关闭、卸载其他经营者合法提供的网络产品或者服务；（三）恶意对其他经营者合法提供的网络产品或者服务实施不兼容；（四）其他妨碍、破坏其他经营者合法提供的网络产品或者服务正常运行的行为。
[11] 参见：市场监管总局发布对某品牌特卖公司不正当竞争案行政处罚决定书，访问地址：http://gkml.samr.gov.cn/nsjg/jjjzj/202102/t20210210_326097.html。其不正当竞争行为包括：开发并使用巡检系统以获取同时在本公司和其他公司上架销售的品牌经营者信息，利用供应商平台系统、智能化组网引擎、运营中台等提供的技术手段，通过影响用户选择，及限流、屏蔽、商品下架等方式，减少品牌经营者的消费注意、流量和交易机会，限制品牌经营者的销售渠道，妨碍、破坏了品牌经营者及其他经营者合法提供的网络产品和服务正常运行。
[12] 参见：《交通运输新业态协同监管部际联席会议召开2021年第二次全体会议》，访问地址：https://www.mot.gov.cn/jiaotongyaowen/202107/t20210730_3613683.html。
[13] 参见：《市场监管总局就强化校外培训机构市场监管有关情况举行专题新闻发布会》，访问地址：http://www.samr.gov.cn/xw/xwfbt/202106/t20210601_330032.html。
[14] 参见：《教育部办公厅关于成立校外教育培训监管司的通知》，访问地址：http://www.moe.gov.cn/srcsite/A04/s7051/202106/t20210615_538134.html。
[15] 参见：中共中央办公厅 国务院办公厅印发《关于进一步减轻义务教育阶段学生作业负担和校外培训负担的意见》，访问地址：http://www.moe.gov.cn/jyb_xxgk/moe_1777/moe_1778/202107/t20210724_546576.html。
来源: 中伦视界
❷ 如何保障政务云数据合规管理
2016年7月，中共中央办公厅、国务院办公厅印发《国家信息化发展战略纲要》,明确提出要“深化电子政务，推进国家治理现代化”。随着大量电子公文、档案、报表和图片等数据不断增多，非结构化数据成为政府大数据非常重要的组成部分。面对这些数量大、类型多、存储散的文档、图片、报表等数据，政务云该如何做到海量非结构化数据安全存储的同时，又能合规管理是政府信息化建设的一个重大挑战，也是政务云必须解决的问题。
爱数AnyShare文档云获得国家涉密资质认可，符合国家电子安全信息等级保护的合规性要求，助力政府行业构建一个合规的政务云管理系统，实现海量非结构化数据的统一存储、高效管理。AnyShare文档云基于海量文件存储平台之上，提供了基于文件同步共享的文档管理体系，整个文档管理体系以合规性为核心思想，产品已经通过国家保密局涉密文档管理的测评，符合涉密相关的安全法规。整个文档合规性，分为两端三个维度：
爱数AnyShare文档云在电子文档合规管理的大环境下，事前审核，事中管控，事后审计，支持分层授权管理，细粒度权限管控，全方位保障涉密数据的安全。
实行三员管理的权责分离机制：在一些政府单位，管理员权限太大，管理不规范，可以随意查看涉密部门的资料，无法保障数据的安全。AnyShare文档云基于统一的私有云存储，细分系统、安全、日志审计等管理权限，确保三个管理角色相互制约与平衡，充分保障电子文件的安全。
密级权限管理体系：AnyShare文档云通过对用户、文件和系统设置不同的密级，保障文档数据可以安全的被分享给具有相应密级权限的人，避免高密级的文件资料被随意访问导致的信息泄露。
非法内容管控：AnyShare文档云对于群组共享的数据，如果发现有非法数据或者敏感数据可以对此内容进行举报，在发现或者收到举报时，对非法数据删除、隔离，停止相关人共享的行为，敏感信息搜索与清理。
3.存储系统合规
爱数AnyShare文档云能够对政府单位的文档、图片、报表等非结构化数据，提供海量的文件存储区域，通过标准的CIFS、NFS、Samba协议，无缝的打通政府单位内各个业务系统，实现海量非结构化数据的统一存储、统一管理。同时，当大量业务系统的附件存放于传统存储服务器上时，会带来缺乏有效监督和业务文件存储不合规的问题，爱数AnyShare文档云可以轻松应对这样的难题。并且基于分布式对象存储机制，支持WORM特性，在固化区归档存储的数据，应用层和系统层均无法修改，确保电子档案数据无法被删除、篡改。
同时，爱数AnyShare文档云还能够在提供海量数据存储的基础上，提供多种数据处理服务。如，全文检索服务，通过AnyShare能够按照文件名称、文件内容、访问者权限等多种条件进行全文检索。
4.文档安全合规分析
爱数AnyShare文档云提供海量大数据日志分析选件，用于针对文档管理访问日志、终端防泄密安全日志（第三方防泄密软件）的统一实时日志分析，具有三大特色：
服务于管理和运营：提供文档运营成效分析报表和文档动态报表；
服务于安全合规和审计：提供文档全生命周期痕迹分析审查、合规性分析报表；
服务于普通用户（可选）：提供可视化的文档历史记录报告。
电子政务时代，政务云的兴起是挑战也是机遇。爱数AnyShare文档云既满足政务海量非结构化数据合规管理的需要，又符合亿万级电子文件安全存储的需求，助力政府打造更加合规、安全的政务云平台，帮助公众享受到云计算技术带来的优质服务。
------------------------
以上内容转自公众号：爱数--提供数据管理基础设施的云计算公司
❸ 网络安全合规涉及的监管部门主要哪些
《网络安全法》第八条提出国家网信部门负责统筹协调网络安全工作和相关监督管理工作。电信主管部门、公安部门和其他有关机关依照本法和有关法律、行政法规的规定，在各自职责范围内负责网络安全保护和监督管理工作。
2015年6月，第十二届全国人大常委会第十五次会议初次审议了《中华人民共和国网络安全法（草案）》。 网络安全法草案于2015年7月6日至2015年8月5日在中国人大网上全文公布，并向社会公开征求意见。
《中华人民共和国网络安全法》一共分七章七十九条。2017年6月1日，不仅仅是一年一度的儿童节，还是《中华人民共和国网络安全法》正式生效的日子。
从今日起，我国网络安全工作有了基础性的法律框架，针对网络亦有了更多法律约束，中国信息安全行业进入新的时代。
❹ 数据爬虫行为如何合规
前言
由于网络数据爬取行为具有高效检索、批量复制且成本低廉的特征，现已成为许多企业获取数据资源的方式。也正因如此，一旦爬取的数据设计他人权益时，企业将面临诸多法律风险。本文将从数据爬取行为的相关概述、数据爬取相关立法规定，结合数据爬取行为近期典型案例，探讨数据爬取行为的合规要点。
一、数据爬取行为概述
数据爬取行为是指利用网络爬虫或者类似方式，根据所设定的关键词、取样对象等规则，自动地抓取万维网信息的程序或者脚本，并对抓取结果进行大规模复制的行为。
使用爬虫爬取数据的过程当中，能否把握合法边界是关系企业生死存亡的问题。近些年大数据、人工智能的广泛使用，对各种数据的刚性需求，使数据行业游走在“灰色边缘”。面对网络数据安全的“强监管”态势，做好数据合规、数据风控刻不容缓。当前我国并没有相关法律法规对数据爬取行为进行专门规制，而是根据爬取数据的不同“质量”，主要通过《中华人民共和国着作权法》（以下简称“《着作权法》）、《中华人民共和国反不正当竞争法》（以下简称“《反不正当竞争法》”）、《中华人民共和国刑法》（以下简称“《刑法”》）等现有法律法规进行规制。
二、数据爬取相关法律责任梳理
（一）承担刑事责任
1、非法侵入计算机信息系统罪
《刑法》第285条第1款规定了“非法侵入计算机信息系统罪”，违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。
典型案例：李某等非法侵入计算机信息系统罪(2018)川3424刑初169号
本案中，被告人李某使用“爬虫”软件，大量爬取全国各地及凉山州公安局交警支队车管所公告的车牌放号信息，之后使用软件采用多线程提交、批量刷单、验证码自动识别等方式，突破系统安全保护措施，将爬取的车牌号提交至“交通安全服务管理平台”车辆报废查询系统，进行对比，并根据反馈情况自动记录未注册车牌号，建立全国未注册车牌号数据库。之后编写客户端查询软件，由李某通过QQ、淘宝、微信等方式，以300-3000元每月的价格，分省市贩卖数据库查阅权限。
法院认为，被告人李文某为牟取私利，违法国家规定，侵入国家事务领域的计算机信息系统，被告人的行为均已构成非法侵入计算机信息系统罪。
2、非法获取计算机信息系统数据罪
《刑法》第285条第2款规定如下，违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。同时，《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用刑事案件应用法律若干问题的解释》第1条对“情节严重”作出了具体的规定：“非法获取计算机信息系统数据或者非法控制计算机信息系统，具有下列情形之一的，应当认定为刑法第二百八十五条第二款规定的“情节严重”：（一）获取支付结算、证券交易、期货交易等网络金融服务的身份认证信息十组以上的；（二）获取第（一）项以外的身份认证信息五百组以上的；（三）非法控制计算机信息系统二十台以上的；（四）违法所得五千元以上或者造成经济损失一万元以上的；（五）其他情节严重的情形。”
典型案例：李某、王某等非法获取计算机信息系统数据、非法控制计算机系统案（2021）沪0104刑初148号
本案中，益采公司在未经淘宝（中国）软件有限公司授权许可的情况下，经李某授意，益采公司部门负责人被告人王某、高某等人分工合作，以使用IP代理、“X-sign”签名算法等手段突破、绕过淘宝公司的“反爬虫”防护机制，再通过数据抓取程序大量非法抓取淘宝公司存储的各主播在淘宝直播时的开播地址、销售额、观看PV、UV等数据。至案发，益采公司整合非法获取的数据后对外出售牟利，违法所得共计人民币22万余元。法院认为被告人李某、王某、高某等人构成非法获取计算机信息系统数据罪，分别判处有期徒刑二年六个月、一年三个月不等，并处罚金。
法院认为，被告人李文某为牟取私利，违法国家规定，侵入国家事务领域的计算机信息系统，被告人的行为均已构成非法侵入计算机信息系统罪。
3、提供侵入、非法控制计算机信息系统程序、工具罪
《刑法》第285条第3款对该罪规定如下，提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具，情节严重的，依照前款的规定处罚。《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用刑事案件应用法律若干问题的解释》中还列举了“具有避开或者突破计算机信息系统安全保护措施，未经授权或者超越授权获取计算机信息系统数据的功能的”等类型的程序、工具。
典型案例：陈辉提供侵入、非法控制计算机信息系统程序、工具罪（2021）粤0115刑初5号
本案中，被告人陈辉为牟取非法利益，在本区编写爬虫软件用于在浙江淘宝网络有限公司旗下的大麦网平台上抢票，并以人民币1888元到6888元不等的价格向他人出售该软件，非法获利人民币12万余元。2019年7月11日，被告人陈辉被公安机关抓获。经鉴定，上述爬虫软件具有以非常规的方式构造和发送网络请求，模拟用户在大麦网平台手动下单和购买商品的功能；具有以非常规手段模拟用户识别和输入图形验证码的功能，该功能可绕过大麦网平台的人机识别验证机制，以非常规方式访问大麦网平台的资源。
本院认为，被告人陈辉提供专门用于侵入、非法控制计算机信息系统程序、工具，情节特别严重，依法应予惩处。
4、 侵犯公民个人信息罪
《刑法》第253条中规定了该罪，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。
典型案例：杭州魔蝎数据 科技 有限公司、周江翔、袁冬侵犯公民个人信息罪（2020）浙0106刑初437号
本案中，被告人周江翔系魔蝎公司法定代表人、总经理，负责公司整体运营，被告人袁冬系魔蝎公司技术总监，系技术负责人，负责相关程序设计。魔蝎公司主要与各网络贷款公司、小型银行进行合作，为网络贷款公司、银行提供需要贷款的用户的个人信息及多维度信用数据，方式是魔蝎公司将其开发的前端插件嵌入上述网贷平台A**中，在网贷平台用户使用网贷平台的APP借款时，贷款用户需要在魔蝎公司提供的前端插件上，输入其通讯运营商、社保、公积金、淘宝、京东、学信网、征信中心等网站的账号、密码，经过贷款用户授权后，魔蝎公司的爬虫程序代替贷款用户登录上述网站，进入其个人账户，利用各类爬虫技术，爬取（复制）上述企、事业单位网站上贷款用户本人账户内的通话记录、社保、公积金等各类数据。
法院认为，被告单位杭州魔蝎数据 科技 有限公司以其他方法非法获取公民个人信息，情节特别严重，其行为已构成侵犯公民个人信息罪。被告人周江翔、袁冬分别系对被告单位魔蝎公司侵犯公民个人信息行为直接负责的主管人员和其他直接责任人员，其行为均已构成侵犯公民个人信息罪。
5、侵犯着作权罪
根据《刑法》第217条规定，以营利为目的，有下列侵犯着作权或者与着作权有关的权利的情形之一，违法所得数额较大或者有其他严重情节的，处三年以下有期徒刑，并处或者单处罚金；违法所得数额巨大或者有其他特别严重情节的，处三年以上十年以下有期徒刑，并处罚金：（一）未经着作权人许可，复制发行、通过信息网络向公众传播其文字作品、音乐、美术、视听作品、计算机软件及法律、行政法规规定的其他作品的；（二）出版他人享有专有出版权的图书的；（三）未经录音录像制作者许可，复制发行、通过信息网络向公众传播其制作的录音录像的；（四）未经表演者许可，复制发行录有其表演的录音录像制品，或者通过信息网络向公众传播其表演的；（五）制作、出售假冒他人署名的美术作品的；（六）未经着作权人或者与着作权有关的权利人许可，故意避开或者破坏权利人为其作品、录音录像制品等采取的保护着作权或者与着作权有关的权利的技术措施的。
典型案例：谭某某等侵犯着作权罪（2020）京0108刑初237号
本案中，被告鼎阅公司自2018年开始，在覃某某等12名被告人负责管理或参与运营下，未经掌阅 科技 股份有限公司、北京幻想纵横网络技术有限公司等权利公司许可，利用网络爬虫技术爬取正版电子图书后，在其推广运营的“鸿雁传书”“TXT全本免费小说”等10余个App中展示，供他人访问并下载阅读，并通过广告收入、付费阅读等方式进行牟利。根据经公安机关依法提取收集并经勘验、检查、鉴定的涉案侵权作品信息数据、账户交易明细、鉴定结论、广告推广协议等证据，法院查明，涉案作品侵犯掌阅 科技 股份有限公司、北京幻想纵横网络技术有限公司享有独家信息网络传播权的文字作品共计4603部，侵犯中文在线数字出版集团股份有限公司享有独家信息网络传播权的文字作品共计469部。
法院认为，鼎阅公司、直接负责的主管人员覃某某等12名被告人以营利为目的，未经着作权人许可，复制发行他人享有着作权的文字作品，情节特别严重，其行为均已构成侵犯着作权罪，应予惩处。
（2） 构成不正当竞争
我国《反不正当竞争法》第12条规定：“经营者利用网络从事生产经营活动，应当遵守本法的各项规定。经营者不得利用技术手段，通过影响用户选择或者其他方式，实施下列妨碍、破坏其他经营者合法提供的网络产品或者服务正常运行的行为：（一）未经其他经营者同意，在其合法提供的网络产品或者服务中，插入链接、强制进行目标跳转；（二）误导、欺骗、强迫用户修改、关闭、卸载其他经营者合法提供的网络产品或者服务；（三）恶意对其他经营者合法提供的网络产品或者服务实施不兼容；（四）其他妨碍、破坏其他经营者合法提供的网络产品或者服务正常运行的行为。
典型案例：深圳市腾讯计算机系统有限公司、腾讯 科技 （深圳）有限公司与被告某新媒体公司不正当竞争纠纷案
本案中，两原告系微信公众平台的经营者和管理者，被告某新媒体公司系某网站经营者，利用爬虫技术抓取微信公众平台文章等信息内容数据，并通过网站对外提供公众号信息搜索、导航及排行等数据服务。原告诉称，被告利用被控侵权产品，突破微信公众平台的技术措施进行数据抓取，并进行商业化利用，妨碍平台正常运行，构成不正当竞争。被告辩称，爬取并提供公众号数据服务的行为不构成不正当竞争，其爬取的文章并非腾讯公司的数据，而是微信公众号的用户数据，且其网站获利较少。
法院认为，被告违背诚实信用原则，擅自使用原告征得用户同意、依法汇集且具有商业价值的数据，并足以实质性替代其他经营者提供的部分产品或服务，损害公平竞争的市场秩序，属于《反不正当竞争法》第十二条第二款第四项所规定的妨碍、破坏其他经营者合法提供的网络产品或者服务正常运行的行为，构成不正当竞争。
（3） 行政责任
我国当前关于爬虫行为所应承担的行政责任主要规定在《网络安全法》中，其中涉嫌违反第27条规定的：“任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具；明知他人从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。”，需要承担一定的行政责任。该法第63条对违反第27条还规定了具体的行政处罚措施，包括“没收违法所得”“拘留”“罚款”等处罚。同时，对违反27条规定受到处罚的相关人员也作出了任职限制规定。
此外，《数据安全管理办法（征求意见稿）》第16条对爬虫适用作出了限流规定：“网络运营者采取自动化手段访问收集网站数据，不得妨碍网站正常运行；此类行为严重影响网站运行，如自动化访问收集流量超过网站日均流量三分之一，网站要求停止自动化访问收集时，应当停止。”同时，第37条也规定了相应的行政责任：网络运营者违反相关规定的，由有关部门给予公开曝光、没收违法所得、暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或吊销营业执照等处罚。
三、数据爬取行为的合规指引
（一）严格规范数据爬取行为
1、如果目标网站有反爬取协议，应严格遵守网站设置的 Robots协议。Robots协议(也称为爬虫协议、机器人协议等)的全称是“网络爬虫排除标准”，网站通过Robots协议告诉搜索引擎哪些页面可以抓取，哪些页面不能抓取。该协议尊重信息提供者的意愿，并维护其隐私权;保护其使用者的个人信息和隐私不被侵犯。Robots协议代表一种契约精神，互联网企业只有遵守这一规则，才能保证网站及用户的隐私数据不被侵犯。可以说，无论从保护网民隐私还是尊重版权内容的角度，遵守robots协议都应该是正规互联网公司的默之举，任何违反robots协议的行为都应该为此付出代价。
2、合理限制抓取的内容。在设置抓取策略时，应注意编码禁止抓取视频、音乐等可能构成作品的、明确的着作权作品数据，或者针对某些特定网站批量抓取其中的用户生成内容；在使用、传播抓取到的信息时，应审查所抓取的内容，如发现属于用户的个人信息、隐私或者他人的商业秘密的，应及时停止并删除。对于内部系统数据，严格禁止侵入。
3、爬取行为不应妨碍网站的正常运行。企业应当合理控制爬取的频率，尽可能避免过于频繁地抓取数据，特别是如果超过了《数据安全管理办法（征求意见稿）》明确规定的“自动化访问收集流量超过网站日均流量三分之一”的要求，就应当严格遵守网站的要求，及时停止数据抓取。
（二）爬取个人信息时恪守合法、正当、必要原则
在我国，合法、正当、必要原则散见于《消费者权益保护法》、《网络安全法》、《全国人大常委会关于加强网络信息保护的决定》、《个人信息安全规范》等法律与规范之中。网络经营者拟爬取用户个人信息的，应当严格遵守上述法律法规的规定，以取得个人用户的事前同意为原则，避免超出用户的授权范围爬取信息。同样地，数据接受方也应当对以爬虫方式获取的他人信息进行合法性审查，了解个人信息主体是否同意共享个人信息数据。
（三）爬取商业数据时谨防构成不正当竞争
在数字内容领域，数据是内容产业的核心竞争资源，内容平台经过汇总分析处理后的数据往往具有极高的经济价值，因此非法爬取行为在某些具体应用场景下会被认定为构成不正当竞争。尤其是对于双方商业模式相同或近似、获取对方的信息会对对方造成直接损害的，企业应重点予以防范。如果存在此种情形，则应当谨慎使用爬取获取被爬取网站的数据。
四、结语
随着大数据时代的来临以及数字技术的蓬勃发展，数据的价值日益凸显，部分企业通过数据爬取技术更加高效地获取和深度地利用相关数据，从而弥补企业自身数据不足的现状，支撑企业的商业化发展。对于这些企业而言，“网络爬虫如何爬取信息数据才是合法的？”“爬取数据时如何做到合规？”是亟待解决的一大难题。作为法律工作者，应当从法律的专业角度给企业提供强有力的合规指引，为促进高新技术企业的发展，进而全面提升国家 科技 创新能力做出应有的贡献。
❺ 专家：车企网络和数据安全将照“章”操作
中新经纬4月2日电 (孙庆阳)近期，工信部印发《车联网网络安全和数据安全标准体系建设指南》(下称《指南》)，明确了中国车联网网络安全和数据安全标准体系的发展时间表，以及阶段性任务。
当下，联网数据被过度采集和滥用、数据被窃取和篡改造成安全事件频发。大数据安全即掌握核心技术又关系国计民生，车联网网络安全如何从中突围，最终实现高质量发展？
消费者对车联网信息安全仍存顾虑
自2021年9月中国第一部《数据安全法》正式出台以来，车联网数据安全领域已逐渐出现业务落地场景，整个车联网数据安全行业处于快速起步时期。但随着智能网联技术发展， 汽车 智能化正成为“移动智能终端”。当下，越来越多的 汽车 企业在后台收集并使用这些海量用户数据，这也对个人隐私带来了潜在的风险。
对此，全国乘用车市场信息联席会秘书长崔东树也给出了“整体信心一般”的类似观点，他表示，隐私信息“安全感”的缺失主要是有些功能需要权限，进而被滥用，用户却无法专业判断。
补足标准才能推动新技术发展
《指南》将车联网网络安全和数据安全标准体系划分为六大部分共20类标准，几乎涵盖网安领域所有细分小项，其中重点涉及到的安全领域包括为数字证书、密码应用、物联网安全、通信安全、身份认证、数据安全等。
崔东树对中新经纬研究院表示，标准应对了智能化、网联化发展新趋势，加速测试应用的环境保障和法规支持，有利于智能网联 汽车 的发展。
《指南》提出到2023年底，初步构建起车联网网络安全和数据安全标准体系，完成50项以上急需标准的研制；到2025年，形成较为完善的车联网网络安全和数据安全标准体系，完成100项以上标准的研制。
“以建立安全标准的方式，来维护车联网网络安全和数据安全”，盘和林总结出《指南》的三方面亮点：一是坚持需求导向，产学研用融合，共同来推动网络安全和数据安全标准的建立；二是坚持市场主体企事业单位的参与，让车联网企业参与到标准制定上来，而非一刀切的推进；三是重点、急用先行，在标准制定上区分轻重缓急，而非所有标准一起推进，有侧重的推出一部分标准以推动车联网快速发展。
盘和林进一步强调，车联网、自动驾驶系统研发企业将获益，当前中国自动驾驶企业蓬勃发展，但距离自动驾驶技术应用场景落地尚有距离，其主要原因是当前缺乏自动驾驶普及的软环境，而网络安全和数据安全标准是自动驾驶、车联网落地的重要一环，只有补足了标准，才能推动新技术的发展。
前瞻产业研究院指出，中国车联网市场规模有望在2026年达到8千亿元人民币，2021-2026年平均复合增长率将达到30.36%。另据中汽协预测，2025年中国 汽车 销量或将达到3000万，新增智能网联 汽车 的销量约为900万。
车企数据安全管理需合法合规
值得注意的是，与2021年6月发布的《车联网(智能网联 汽车 )网络安全标准体系建设指南》(征求意见稿)相比，“数据安全”在《指南》中被提升到了与网络安全同等重要的地位。但近年来有关智能 汽车 数据安全纠纷屡现。2021年上海车展期间特斯拉女车主维权事件，特斯拉的数据保存与使用安全风险曾引起激烈讨论。
企业意图利用数据“金矿”，来改善产品性能，进而提升用户体验。但用户在让渡隐私与获得便利性的同时，企业却屡现数据处理问题。针对此类情况，盘和林给出建议：首先要透明。“采用哪些数据，哪些敏感，存放在哪，平台有哪些信息保护规则？”都需要告知消费者，未经同意则不得随意收集相关数据；其次要监管。数据使用规则需要递交监管备案，而监管也要验证企业的数据安全措施是否到位；再次要标准。数据使用、储存、处理等，都要建立安全标准，不符合标准的企业不得使用用户信息数据；最后要技术。比如通过隐名化和匿名化来打包数据，比如完善数据安全技术，比如利用分布式数据存储。
那么， 汽车 厂商该如何完善数据安全管理？盘和林表示，可以通过组建数据信息安全管理部门来应对数据安全和网络安全，亦可考虑通过合格第三方，将数据存放和管理的责任进行外包，“专业的人做专业的事”。同时也要增加相关方面的人才储备，建设安全团队。
南开大学竞争法研究中心主任、法学院教授陈兵则表示， 汽车 厂商需要积极跟进国内外车联网数据安全、数据出境方面的标准、法律及监管规范的最新要求，在坚决维护国家安全和用户安全的基础上合法合规经营。同样，算法治理作为整个数字经济整体治理与系统治理的关键环节，不仅涉及到市场治理，还涉及到 社会 治理与国家总体安全。
中国随着《数据安全法》《网络安全法》《关键信息基础设施安全保护条例》等法律法规的出台，从持续开展违法违规收集使用个人信息专项治理，到国家安全机关等协同配合做好网络安全防范工作，各地各部门不断加大对相关违法犯罪活动的整治打击力度。如今的网络安全，不仅关乎个人和企业安全，也关乎国家安全。“筑牢数字安全屏障”已成为国家发展的重要议题。(中新经纬APP)
❻ 为什么要发展数字经济
发展数字经济是新一轮科技革命和产业变革的大势所趋。 当前，数字技术创新和迭代速度明显加快，成为集聚创新要素最多、应用前景最广、辐射带动作用最强的技术创新领域。 以人工智能、大数据、物联网、云计算、区块链、虚拟现实、移动互联网等为代表的新一代信息技术迅猛发展，不断催生新产品新模式新业态新产业。
相关说明
数字经济的特征表明，在知识的创新阶段，知识应用的范围越广泛，涉及到的客户越多，就能创造越多的价值。在知识的普及阶段和模仿阶段，由于时效性问题，知识在发达国家的边际报酬下降。在发展中国家却能维持很高的边际报酬。
因为对于发展中国家来说，这些知识仍然是最新的、最具时间价值的。信息技术进入21世纪以来正处于普及和模仿阶段，向发展中国家扩散符合发达国家的最高利益，这可以大大提高发展中国家的信息化速度。
❼ 数据安全法合规指引
2021年6月10日，经第十三届全国人民代表大会常务委员会第二十九次会议审议，通过了《中华人民共和国数据安全法》（简称“《数据安全法》“），该法将于2021年9月1日起施行。
法律依据：
《中华人民共和国数据安全法》
第六条各地区、各部门对本地区、本部门工作中收集和产生的数据及数据安全负责。
工业、电信、交通、金融、自然资源、卫生健康、教育、科技等主管部门承担本行业、本领域数据安全监管职责。
公安机关、国家安全机关等依照本法和有关法律、行政法规的规定，在各自职责范围内承担数据安全监管职责。
国家网信部门依照本法和有关法律、行政法规的规定，负责统筹协调网络数据安全和相关监管工作。
第七条国家保护个人、组织与数据有关的权益，鼓励数据依法合理有效利用，保障数据依法有序自由流动，促进以数据为关键要素的数字经济发展。
❽ 五大赛道、八位专家，银行局中人眼里的AI江湖
谁说大象不能跳舞？
2020于全体银行而言，是一场无预告的终极考验，一轮最直观的金融 科技 对决。疫情让网点流量骤降到接近于0，全方位挑战银行线上服务水平，检验那些连年增加的 科技 投入，有多少真正变作数字化、智能化的一点一滴。
踏进2021，银行们迎来周密复盘、整装待发的最好时间节点。
在过去这一年，银行更努力地摆脱大象转身的刻板印象，告别以往被各路创新推着走的窘况，试图在金融 科技 和数字新基建的浪潮里承担更主动、开放的角色，以轻快敏捷的步伐持续向前。
没有一家银行不想拥抱AI，没有人愿意错过数智化转型的未来。在梳理数十家银行AI全布局，以及 “银行业AI生态云峰会” 多位嘉宾的分享过程中，我们逐渐发现银行业AI的那些挑战和困境，那些艰险之处同样是机遇所在。
数据安全与隐私保护
银行业AI，首先被AI本身正面临的数据困境，和日渐收紧的数据监管尺度拦住。
在技术维度不断向前奋进的同时，银行必然要思考的一个议题是：业务创新与隐私保护如何兼顾？
雷锋网AI金融评论主办的 《联邦学习系列公开课》 曾对这一问题展开过系统深入的探讨。第一节课上， 微众银行首席人工智能官杨强 就直接点明：“人工智能的力量来自于大数据，但在实际运用过程中碰到更多的都是小数据。”
平安 科技 副总工程师王健宗 也在课上指出，“传统的AI技术必须从海量的数据中学习或者挖掘一些相关的特征，利用数学理论，去拟合一个数学模型，找到输入和输出的对应关系，比如深度学习中训练网络的权重和偏置，模型效果与数据量级、质量、以及数据的真实性等有着密切的关系。”
一个典型例子就是银行信贷风控：现在大部分AI应用都由数据驱动，信贷风控更需要大量数据训练，但大额贷款风控的案例又非常少。“要是来做深度学习模型，只用少量这种大额贷款的样本远远不够。”杨强解释。
小数据需要“聚沙成塔”，同时又面临侵犯隐私的可能。为此，网络安全与数据合规领域的立法进入了快车道，滥用数据和爬虫也受到过严厉整治。
虽然目前《数据安全法》还只是处于草案的状态，但是草案明确提出要关注数据本身的使用，需要在保护公民组织、相关权益的前提下，促进数据为关键要素的经济发展。
数据被称作是新时代的油田，但银行该怎样通过AI摸索出更高效、更合规的开采工具？
在“银行业AI生态云峰会”第一场演讲中， 微众银行区块链安全科学家严强博士 就对银行必备的数据安全与隐私保护思维，进行了深入讨论。他指出：
在数字经济时代下，银行业AI发展 必须要尊重“数据孤岛”作为数据产业的原生态，隐私保护技术则是打破数据价值融合“零和博弈”的关键，需要打通隐私数据协同生产的“双循环”。
而 区块链 是承载数据信任和价值的最佳技术，对于隐私计算和AI应用中常见的数据品质等难题，都可以通过区块链进行互补或提升效果。
联邦学习、TEE可信计算、安全多方计算等多个AI技术路线也正尝试落地于银行的核心业务场景。
AI金融评论了解到，除了微众银行， 江苏银行 2020年也已开展联邦学习方向的 探索 ，他们与腾讯安全团队合作，基于联邦学习技术对智能化信用卡经营进行联合开发和方案部署，在联邦学习技术支持下进行金融风控模型训练。
银行数据库
以“数据”为线，银行前中后台的升级轨迹清晰可见。
如果说前些年的银行 科技 ，讨论度更集中在前台智能化应用，那么如今中后台建设开始更多地来到聚光灯下，讨论它们为银行数字化转型呈现的价值和意义。
这当中的一个重要模块，就是 银行数据库 的改造升级。
我们曾经报道，Oracle自进入中国市场以来，在银行数据库市场，一直具有压倒性优势，也是许多银行的采购首选。
由于长期使用Oracle，不少银行形成较严重的路径依赖。平安银行分布式数据库技术负责人李中原也曾向AI金融评论表示，系统迁移和重新建设需要大量成本，从单机变为多机群体，故障发生的故障发生的概率和维护成本都会加大，对整体系统运维将是巨大挑战。（详见 《银行业“求变”之日，国产数据库“破局”之时》 ）
但随着银行业务创新需求愈发复杂，传统数据库在技术边界、成本、可控性方面越来越不相匹配；采购数据库的来源单一也让银行陷入非常被动的处境。
而云计算的出现，让Oracle在数据库市场接近垄断的地位有所动摇，各大互联网云厂商杀入战场。
腾讯云副总裁李纲就表示，云化数据库胜在成本低、易扩容两大特点，任意一台X86的PC服务器就可以运行，理论上也有着无限的横向扩展能力，这都是Oracle等传统数据库难以企及的优点。
中国数千家银行由此获得更多选择余地，开始从集中式数据库迁移到分布式数据库，一场事关“大机下移”的漫长征途就此展开。
这场变革已有先行者，例如 张家港行 在2019年就将其核心业务系统放在了腾讯云TDSQL数据库上，传统银行首次为核心系统选用国产分布式数据库；2020年，平安银行信用卡的核心系统也完成切换投产，新核心系统同样采用了国产数据库。
在“银行业AI生态云峰会”上， 腾讯云数据库TDSQL首席架构师张文 就深入分享了张家港行和平安银行这两个典型的数据库迁移转型案例。
以 平安银行 为例，其体量之大，意味着应用改造更具挑战性。张文解释道，为了配合此次改造，应用引入了微服务架构对应用进行了拆分和解耦。对账号的分布进行了单元化划分，以DSU为一个逻辑单元，单个DSU包含200万个客户信息，单个DSU同时处理联机和账务两种业务。
但国产分布式数据库也同样还在成长当中，张文也指出了目前金融级分布式数据库面临一系列挑战点，除了有可伸缩、可扩展的能力，更要解决高可用性、数据强一致性，同时 探索 更具性价比的性能成本，以及为金融机构打造更易上手的、更产品化的成熟解决方案。
中台建设
“中台建设”这个热门关键词，不再是互联网公司的专属。银行也不例外，甚至更需要中台。
银行这样的大型机构，架构极其复杂，还有跨部门多团队的协作，海量数据日积月累之下如同年久失修的危楼，更需要及时、持续的治理。
在看来，银行拥有大量的数据、技术和人才，资源却往往“各行其是”，部门之间没有配合意识、独立造烟囱；技术流于表面，无法链接、深入，这造成了银行资源的大量浪费。
中台 的体系化建设和顺利运转，才能将这庞大体系中的“死结”一一梳开。
建设银行 监事长王永庆就曾指出：中台建设是商业银行数字化经营转型的关键环节，认为商业银行数字化转型的必然归宿是生态化、场景化。
尽管商业银行在多年经营过程中沉淀了一定的竞争优势，形成了各具特色的内部生态系统，但目前仍是封闭的、高冷的，还无法满足数字经济对开放式生态化经营可交互、高黏性、有体感、无边界的要求。
因此，建行也已在数据中台先行一步，其落地上概括为5U（U是统一的意思），包括统一的模型管理、统一的数据服务、统一的数据视图，统一的数据规范以及统一的数据管理。
为求轻松支撑亿级用户，实现高时效、高并发场景化经营， 招商银行 近两年也在中台和技术生态体系的建设上持续发力。去年年底发布的招商银行App 9.0，迭代需求点超过1800项，“10+N”数字化中台建设就占据了相当的比重。
如何构建金融机构需要的数据中台？
在“银行业AI生态云峰会”上， 360数科首席科学家张家兴 就用“三通三快”概括了数据中台的标准：
金融机构面对着海量用户、复杂业务，一个优秀的数据中台，必须是达到多业务打通，内外数据互通和用户关系连通，同时还要做到数据的实时处理快、使用快、需求响应快。
他进一步强调，数据与AI融合得非常紧密，如果数据中台和AI中台各自建设，两者之间将不可避免地存在割裂的现象。
基于此，360数科也推出了自己的数据AI融合中台，将最上层数据平台，到中间数据服务支撑的平台服务，再到整个数据资产的管理，到最下面整个数据技术架构的设计都进行调整，并且将自身沉淀的AI能力嵌入其中。
张家兴也在云峰会的演讲上透露，360数科研发了一项联邦学习技术——分割式神经网络，通过神经网络在高维空间，Embedding不可逆的特性，使得不同参与的数据合作方只需要传递Embedding向量，见不到原始数据，但最终可以使模型产生目标效果。
银行信贷智能风控
而在过去一年里，银行信贷风险管理，仍然是最引人关注的方向之一。
关注度一方面来自于，受疫情影响而剧增的贷款逾期和坏账风险，如何借助技术手段“端稳这碗水”，把握好信贷支持尺度，成为银行、消金公司和风控技术服务商们的开年大考。（详见 《信贷战“疫”：一场给风控的开年大考》 ）
而另一方面，2020年下半年起，针对金融 科技 或是互联网金融的监管“红线”逐渐清晰。例如《商业银行互联网贷款管理暂行办法》，其中就明确提出了对商业银行的风险管控要求，和对合作机构的管理规范。
尽管结合AI、大数据的智能风控在银行 科技 应用中不再新鲜，但这并不意味着智能风控已经足够成熟—— 数据资源壁垒、自有数据累积、数据特征提炼、算法模型提升 ，被认为是大数据风控目前所面临四大困境。
某商业银行负责人就曾表示，在模型建设和模型应用过程中普遍存在数据质量问题，包括外部数据的造假（黑产欺诈）和内部数据的滥用等，在模型迭代方面，很多银行只追求迭代的速度和频次，而忽略了最终效果。
前网络金融CRO、融慧金科CEO王劲 进一步指出，数据规范和治理体系不健全，数据质量差且缺失率高，技术能力不足，复合型 科技 人才匮乏等因素都是银行等金融机构无法做好模型的重要原因。
王劲曾在有着“风控黄埔军校”之称的美国运通工作17年，负责过全球各国各类产品相关的700余个模型提供政策制度和独立监控。在云峰会上，他也结合自身二十余年风控经验，剖析了金融风险管理中的那些理念误区。
“很多人并不是特别理解，风险管理永远是一个寻找平衡点的科学。”王劲认为，风险管理平衡有着这样的核心三问：
他也解析了银行等持牌金融机构做好风险管理平衡的核心要素，谈到风险管理最重要的就是对数据的把控，“金融公司成立之初就要思考数据的生命周期。首先要从对业务产品和客户的选择当中，决定需要什么样的数据。”
数据战略是一个相对长期的落地过程，机构首先要立下数据选择的原则和条件：要考虑的不只是数据的合规性、稳定性和覆盖率，更要考虑数据的新鲜度、时效性和时间跨度。
从模型建设的角度出发，王劲指出，一个卓越的风控模型应当具备辨别力、精准度、稳定性、复杂度和可解释性五大要素，“原材料”数据、模型架构和算法的选择，衍生变量的出现，对模型的监控和迭代，以及对y的定义和样本的筛选，无一不影响模型的“锻造”。
在他看来，银行等金融机构如果能在身份识别和控制、数据安全管理、风险模型管理，和自动化监控体系方面，做到高效完善，将会是非常理想的一种状态。
RPA与内部流程优化
还有一个关键词，在各家银行年报中出现频率越来越高，那就是RPA（机器人流程自动化）。此前AI金融评论也曾举办 《RPA+AI系列公开课》 ，邀请到五位头部RPA厂商高管分享RPA与金融碰撞出的火花。
RPA的定义，很容易联想到2012年左右的“流程银行”转型潮。当时的流程银行，意为通过重新构造银行的业务流程、组织流程、管理流程以及文化理念，改造传统的银行模式，形成以流程为核心的全新银行经营管理体系。
如今银行的转型之战，全方位升级为“数字化转型”，内部流程的优化改造在AI和机器人技术的加持下持续推进，RPA也迅速成为银行数字化转型不可缺席的一把“武器”。
达观数据联合创始人纪传俊 在“银行业AI生态云峰会”上指出，RPA+AI为银行带来的价值，最明显的就是减少人工作业、降低人工失误，提升业务流程效率，同时也提高风险的预警和监控能力。
AI金融评论注意到，已有多家国有大行将RPA投产到实际业务中。
以 工商银行 为例，RPA在工行的应用覆盖了前台操作、中台流转和后台支撑等多个业务场景，在同业率先投产企业级机器人流程自动化（RPA）平台并推广应用，全行累计46家总分行机构运用RPA落地实施120个场景。
建设银行 同样也引入了RPA，建立国内首个企业级RPA管理运营平台，敏捷研发业务应用场景 100 个，实现人工环节自动化、风险环节机控化。
农业银行 方面则透露，农行目前还处于技术平台建设阶段，之后将以信用卡业务、财务业务等为试点落地RPA需求。其实施策略，是建设全行统一的RPA技术平台，面向总分行各部门输出RPA服务。
中国银行 在2017年底，旗下公司中银国际就已有RPA的概念验证，团队成功投产20个机器人，分别在不同岗位执行超过30个涉及不同业务流程的自动化处理工作，也与RPA厂商达观数据展开了合作。
纪传俊也在云峰会上分享了目前AI+RPA在银行各大典型场景的落地：
例如智慧信贷，面向的是整个银行最核心的流程——信贷流程，分为贷前、贷中、贷后三大阶段。其中涉及数据查询、数据处理、财务报表、银行流水等专业环节，需要完成基础信息的录入、尽调报告的审核，而这些环节中的大量重复劳动，可以基于AI、OCR、NLP等技术自动化完成。
❾ 《数据安全管理办法（征求意见稿）》发布 为个人数据安全加把锁
随便注册一个应用就要身份证号，推送来的广告好像会“读心”，大数据“杀熟”防不胜防，注销账号“难于上青天”……这些在个人数据保护中频频出现的难题有望迎刃而解。
国家互联网信息办公室日前发布《数据安全管理办法（征求意见稿）》（以下简称《办法》），对网络运营者在数据收集、处理使用、安全监督管理等方面提出了要求，为个人数据安全加上了一把锁。
为啥出台《办法》？这与当前日趋严峻的个人信息滥用和泄露的状况显然息息相关。根据官方对百款常用手机应用统计数据显示，其中相当一部分手机应用存在强制超范围索要权限情况，平均每个应用申请收集个人信息相关权限数有10项，但实际上用户不同意开启则APP无法安装或运行的权限数平均仅为3项。
来自“电子商务消费纠纷调解平台”的大数据同样显示，近年来包括天猫、淘宝、京东、苏宁易购、唯品会等电商平台，以及大众点评、网络糯米、携程等生活服务平台，均曾出现过用户信息泄露事件。仅在2018年，就多次出现用户个人信息泄露事件，比如圆通、顺丰十几亿条个人信息在暗网被出售，12306数百万条旅客信息在网上被出售等。
数据保护“有章可循”
在《办法》中，数据活动被界定为“利用网络开展数据收集、存储、传输、处理、使用等活动”。“与已经发布的《信息安全技术个人信息安全规范》和《互联网个人信息安全保护指南》相比，未来有可能作为部门规章发布的《办法》效力层级更高，既是大数据时代数据安全的刚需体现，也在为5G市场铺平国内数据处理合规化道路。”上海汉盛律师事务所高级合伙人李旻说。
北京观韬中茂（上海）律师事务所合伙人王渝伟也认为，与《网络安全法》相比，此次征求意见稿更为详尽，也有望为未来个人信息保护方面的法律提供参考。
此次《办法》中的“亮点”提法，也让个人数据保护有章可循。一方面，《办法》强调了用户的选择权，如其中明确要求“制定并公开个人信息收集使用规则”，且强调“如果收集使用规则包含在隐私政策中，应相对集中，明显提示，以方便阅读”，突出信息使用规则的重要性，以便个人信息主体享有充分选择权。此外还特别规定，对“网络产品核心业务功能运行的个人信息”以外的信息，网络运营者不得因个人信息主体未同意收集而拒绝提供核心业务功能服务。也就是说，网络运营者不能在数据索取上“漫天要价”。
“这实际上就是为了避免网络服务提供者为了收集数据采取胁迫或者误导行为。”中国 社会 科学院信息化研究中心秘书长姜奇平表示，信息采集的主导权和选择权必须交给消费者，这是信息服务的原则性问题。
另一方面，《办法》也进一步强调了对用户隐私的保护，《办法》要求“网络运营者以经营为目的收集重要数据或个人敏感信息的，应向所在地网信部门备案”。根据《信息安全技术个人信息安全规范》，包括身份证信息、电话号码、邮箱地址、浏览记录、定位信息乃至个人指纹、声纹，这些都属于个人敏感信息。“通过国家强制力对隐私信息的收集使用予以限制，在隐私信息泄漏时亦有迹可循，以实现个人隐私信息的数据安全。”李旻说。
中国信息安全研究院副院长左晓栋表示，只有能对隐私信息的收集者追根溯源，才能从源头保护个人数据安全。
解决方法直面“痛点”
“《办法》对于近年来层出不穷的网络数据安全问题予以细化，针对新型数据安全管理的规定能及时填补因 社会 发展导致的法律漏洞，具有前瞻性。”李旻说。
从《办法》的具体规定来看，不少一直困扰用户的“痛点”被明确点名，比如刚订了一张机票，马上各个应用就开始推荐目的地相关信息，这种利用用户浏览 历史 ，通过定向推送获得广告收入的“精准广告”，让不少用户觉得毫无隐私。对此，《办法》明确规定，要求利用用户数据和算法推送新闻信息、商业广告需显着标明“定推”字样, 并为用户拒绝接受定向推送信息提供选择权，“用户选择停止接收定向推送信息时，应当停止推送，并删除已经收集的设备识别码等用户数据和个人信息”。
“广告主采集用户的信息难度会增加，但这也是全球范围内的大趋势，各个主要国家的相关法规，也都在强调保护消费者的个人数据隐私。”网络广告平台Marteker创始人冯祺表示。
再比如，针对账号注销难，账号注销后个人信息消除难，《办法》也特别提出，要保护用户的“被遗忘权”。《办法》强调，“收集使用规则应突出个人信息主体撤销同意，以及查询、更正、删除个人信息的途径和方法”。“网络运营者收到有关个人信息查询、更正、删除以及用户注销账号请求时，应当在合理时间和代价范围内予以查询、更正、删除或注销账号。”
“突出‘被遗忘权’保护也是办法的一个亮点。‘被遗忘’是消费者的合理诉求。”左晓栋说。
在北京亿达（上海）律师事务所律师董毅智看来，“被遗忘权”仍需进一步细化，“比如，在用户注销账户后，网络经营者对于已经散发出去的信息如何处理？用户是否有权要求网络经营者对已经散发出去的信息予以删除或者负责？”
此外，包括“网络爬虫”访问收集流量不得超过网站日均流量的三分之一，限制“大数据杀熟”等歧视性推送行为，明确数据安全责任人的任职要求，要求提供数据安全责任人的姓名及联系方式等，《办法》中的相关规定，为个人数据保护中的一系列热点问题提供了解决方案。
“互联网行业头部企业的天然主导性，导致行业内部缺乏竞争，基于用户对平台服务的信任而建立起的黏性，不能成为某些平台实行差别定价、数据反复买卖的底气。从这个角度来讲，《办法》对同行业、跨行业之间企业联手利用用户信息的合规性提出了新要求。”董毅智表示。
❿ 如何解决企业远程办公网络安全问题
企业远程办公的网络安全常见问题及建议
发表时间：2020-03-06 11:46:28
作者：宁宣凤、吴涵等
来源：金杜研究院
分享到：微信新浪微博QQ空间
当前是新型冠状病毒防控的关键期，举国上下万众一心抗击疫情。为增强防控，自二月初以来，北京、上海、广州、杭州等各大城市政府公开表态或发布通告，企业通过信息技术开展远程协作办公、居家办公［1］。2月19日，工信部发布《关于运用新一代信息技术支撑服务疫情防控和复工复产工作的通知》，面对疫情对中小企业复工复产的严重影响，支持运用云计算大力推动企业上云，重点推行远程办公、居家办公、视频会议、网上培训、协同研发和电子商务等在线工作方式［2］。
面对国家和各地政府的呼吁，全国企业积极响应号召。南方都市报在2月中旬发起的网络调查显示，有47．55％的受访者在家办公或在线上课［3］。面对特殊时期庞大的远程办公需求，远程协作平台也积极承担社会担当，早在1月底，即有17家企业的21款产品宣布对全社会用户或特定机构免费开放其远程写作平台软件［4］。
通过信息技术实现远程办公，无论是网络层、系统层，还是业务数据，都将面临更加复杂的网络安全环境，为平稳有效地实现安全复工复产，降低疫情对企业经营和发展的影响，企业应当结合实际情况，建立或者适当调整相适应的网络与信息安全策略。
一、远程办公系统的类型
随着互联网、云计算和物联网等技术的深入发展，各类企业，尤其是互联网公司、律所等专业服务公司，一直在推动实现企业内部的远程协作办公，尤其是远程会议、文档管理等基础功能应用。从功能类型来看，远程办公系统可分为以下几类：［5］
综合协作工具，即提供一套综合性办公解决方案，功能包括即时通信和多方通信会议、文档协作、任务管理、设计管理等，代表软件企包括企业微信、钉钉、飞书等。
即时通信（即InstantMessaging或IM）和多方通信会议，允许两人或以上通过网络实时传递文字、文件并进行语音、视频通信的工具，代表软件包括Webex、Zoom、Slack、Skype等。
文档协作，可为多人提供文档的云存储和在线共享、修改或审阅功能，代表软件包括腾讯文档、金山文档、印象笔记等。
任务管理，可实现任务流程、考勤管理、人事管理、项目管理、合同管理等企业办公自动化（即OfficeAutomation或OA）功能，代表软件包括Trello、Tower、泛微等。
设计管理，可根据使用者要求，系统地进行设计方面的研究与开发管理活动，如素材、工具、图库的管理，代表软件包括创客贴、Canvas等。
二、远程办公不同模式下的网络安全责任主体
《网络安全法》（“《网安法》”）的主要规制对象是网络运营者，即网络的所有者、管理者和网络服务提供者。网络运营者应当承担《网安法》及其配套法规下的网络运行安全和网络信息安全的责任。
对于远程办公系统而言，不同的系统运营方式下，网络安全责任主体（即网络运营者）存在较大的差异。按照远程办公系统的运营方式划分，企业远程办公系统大致可以分为自有系统、云办公系统和综合型系统三大类。企业应明确区分其与平台运营方的责任界限，以明确判断自身应采取的网络安全措施。
（1）自有系统
此类模式下，企业的远程办公系统部署在自有服务器上，系统由企业自主研发、外包研发或使用第三方企业级软件架构。此类系统开发成本相对较高，但因不存在数据流向第三方服务器，安全风险则较低，常见的企业类型包括国企、银行业等重要行业企业与机构，以及经济能力较强且对安全与隐私有较高要求的大型企业。
无论是否为企业自研系统，由于系统架构完毕后由企业单独所有并自主管理，因此企业构成相关办公系统的网络运营者，承担相应的网络安全责任。
（2）云办公系统
此类办公系统通常为SaaS系统或APP，由平台运营方直接在其控制的服务器上向企业提供注册即用的系统远程协作软件平台或APP服务，供企业用户与个人（员工）用户使用。此类系统构建成本相对经济，但往往只能解决企业的特定类型需求，企业通常没有权限对系统进行开发或修改，而且企业数据存储在第三方服务器。该模式的常见企业类型为相对灵活的中小企业。
由于云办公系统（SaaS或APP）的网络、数据库、应用服务器都由平台运营方运营和管理，因此，云办公系统的运营方构成网络运营者，通常对SaaS和APP的网络运行安全和信息安全负有责任。
实践中，平台运营方会通过用户协议等法律文本，将部分网络安全监管义务以合同约定方式转移给企业用户，如要求企业用户严格遵守账号使用规则，要求企业用户对其及其员工上传到平台的信息内容负责。
（3）综合型系统
此类系统部署在企业自有服务器和第三方服务器上，综合了自有系统和云办公，系统的运营不完全由企业控制，多用于有多地架设本地服务器需求的跨国企业。
云办公系统的供应商和企业本身都可能构成网络运营者，应当以各自运营、管理的网络系统为边界，对各自运营的网络承担相应的网络安全责任。
对于企业而言，为明确其与平台运营方的责任边界，企业应当首先确认哪些“网络”是企业单独所有或管理的。在远程办公场景下，企业应当考虑多类因素综合认定，分析包括但不限于以下：
办公系统的服务器、终端、网络设备是否都由企业及企业员工所有或管理；
企业对企业使用的办公系统是否具有最高管理员权限；
办公系统运行过程中产生的数据是否存储于企业所有或管理的服务器；
企业与平台运营方是否就办公系统或相关数据的权益、管理权有明确的协议约定等。
当然，考虑到系统构建的复杂性与多样性，平台运营方和企业在远程协作办公的综合系统中，可能不免共同管理同一网络系统，双方均就该网络承担作为网络运营者的安全责任。但企业仍应通过合同约定，尽可能固定网络系统中双方各自的管理职责以及网络系统的归属。因此，对于共同管理、运营远程协作办公服务平台的情况下，企业和平台运营方应在用户协议中明确双方就该系统各自管理运营的系统模块、各自对其管理的系统模块的网络安全责任以及该平台的所有权归属。
三、远程办公涉及的网络安全问题及应对建议
下文中，我们将回顾近期远程办公相关的一些网络安全热点事件，就涉及的网络安全问题进行简要的风险评估，并为企业提出初步的应对建议。
1．用户流量激增导致远程办公平台“短时间奔溃”，平台运营方是否需要承担网络运行安全责任？
事件回顾：
2020年2月3日，作为春节假期之后的首个工作日，大部分的企业都要求员工在家办公。尽管各远程办公系统的平台运营方均已经提前做好了应对预案，但是巨量的并发响应需求还是超出了各平台运营商的预期，多类在线办公软件均出现了短时间的“信息发送延迟”、“视频卡顿”、“系统奔溃退出”等故障［6］。在出现故障后，平台运营方迅速采取了网络限流、服务器扩容等措施，提高了平台的运载支撑能力和稳定性，同时故障的出现也产生一定程度的分流。最终，尽管各远程办公平台都在较短的时间内恢复了平台的正常运营，但还是遭到了不少用户的吐槽。
风险评估：
依据《网络安全法》（以下简称《网安法》）第22条的规定，网络产品、服务应当符合相关国家标准的强制性要求。网络产品、服务的提供者不得设置恶意程序；发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。网络产品、服务的提供者应当为其产品、服务持续提供安全维护；在规定或者当事人约定的期限内，不得终止提供安全维护。
远程办公平台的运营方，作为平台及相关网络的运营者，应当对网络的运行安全负责。对于短时间的系统故障，平台运营方是否需要承担相应的法律责任或违约责任，需要结合故障产生的原因、故障产生的危害结果、用户协议中的责任约定等因素来综合判断。
对于上述事件而言，基于我们从公开渠道了解的信息，尽管多个云办公平台出现了响应故障问题，给用户远程办公带来了不便，但平台本身并未暴露出明显的安全缺陷、漏洞等风险，也没有出现网络数据泄露等实质的危害结果，因此，各平台很可能并不会因此而承担网络安全的法律责任。
应对建议：
在疫情的特殊期间，主流的远程办公平台产品均免费开放，因此，各平台都会有大量的新增客户。对于平台运营方而言，良好的应急预案和更好的用户体验，肯定更有利于平台在疫情结束之后留住这些新增的用户群体。
为进一步降低平台运营方的风险，提高用户体验，我们建议平台运营方可以：
将用户流量激增作为平台应急事件处理，制定相应的应急预案，例如，在应急预案中明确流量激增事件的触发条件、服务器扩容的条件、部署临时备用服务器等；
对用户流量实现实时的监测，及时调配平台资源；
建立用户通知机制和话术模板，及时告知用户系统响应延迟的原因及预计恢复的时间等；
在用户协议或与客户签署的其他法律文本中，尝试明确该等系统延迟或奔溃事件的责任安排。
2．在远程办公环境下，以疫情为主题的钓鱼攻击频发，企业如何降低外部网络攻击风险？
事件回顾：
疫情期间，某网络安全公司发现部分境外的黑客组织使用冠状病毒为主题的电子邮件进行恶意软件发送，网络钓鱼和欺诈活动。比如，黑客组织伪装身份（如国家卫健委），以“疫情防控”相关信息为诱饵，发起钓鱼攻击。这些钓鱼邮件攻击冒充可信来源，邮件内容与广大人民群众关注的热点事件密切相关，极具欺骗性。一旦用户点击，可能导致主机被控，重要信息、系统被窃取和破坏［7］。
风险评估：
依据《网安法》第21、25条的规定，网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：（1）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；（2）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；（3）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；（4）采取数据分类、重要数据备份和加密等措施；（5）法律、行政法规规定的其他义务。同时，网络运营者还应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。
远程办公的实现，意味着企业内网需要响应员工移动终端的外网接入请求。员工所处的网络安全环境不一，无论是接入网络还是移动终端本身，都更容易成为网络攻击的对象。一方面，公用WiFi、网络热点等不可信的网络都可能作为员工的网络接入点，这些网络可能毫无安全防护，存在很多常见的容易被攻击的网络漏洞，容易成为网络犯罪组织侵入企业内网的中转站；另一方面，部分员工的移动终端设备可能会安装设置恶意程序的APP或网络插件，员工在疏忽的情况下也可能点击伪装的钓鱼攻击邮件或勒索邮件，严重威胁企业内部网络的安全。
在计算机病毒或外部网络攻击等网络安全事件下，被攻击的企业尽管也是受害者，但如果企业没有按照《网安法》及相关法律规定的要求提前采取必要的技术防范措施和应急响应预案，导致网络数据泄露或者被窃取、篡改，给企业的用户造成损失的，很可能依旧需要承担相应的法律责任。
应对建议：
对于企业而言，为遵守《网安法》及相关法律规定的网络安全义务，我们建议，企业可以从网络安全事件管理机制、移动终端设备安全、数据传输安全等层面审查和提升办公网络的安全：
（1）企业应当根据其运营网络或平台的实际情况、员工整体的网络安全意识，制定相适应的网络安全事件管理机制，包括但不限于：
制定包括数据泄露在内的网络安全事件的应急预案；
建立应对网络安全事件的组织机构和技术措施；
实时监测最新的钓鱼网站、勒索邮件事件；
建立有效的与全体员工的通知机制，包括但不限于邮件、企业微信等通告方式；
制定与员工情况相适应的信息安全培训计划；
设置适当的奖惩措施，要求员工严格遵守公司的信息安全策略。
（2）企业应当根据现有的信息资产情况，采取以下措施，进一步保障移动终端设备安全：
根据员工的权限等级，制定不同的移动终端设备安全管理方案，例如，高级管理人员或具有较高数据库权限的人员仅能使用公司配置的办公专用移动终端设备；
制定针对移动终端设备办公的管理制度，对员工使用自带设备进行办公提出明确的管理要求；
定期对办公专用的移动终端设备的系统进行更新、漏洞扫描；
在终端设备上，对终端进行身份准入认证和安全防护；
重点监测远程接入入口，采用更积极的安全分析策略，发现疑似的网络安全攻击或病毒时，应当及时采取防范措施，并及时联系企业的信息安全团队；
就移动办公的信息安全风险，对员工进行专项培训。
（3）保障数据传输安全，企业可以采取的安全措施包括但不限于：
使用HTTPS等加密传输方式，保障数据传输安全。无论是移动终端与内网之间的数据交互，还是移动终端之间的数据交互，都宜对数据通信链路采取HTTPS等加密方式，防止数据在传输中出现泄漏。
部署虚拟专用网络（VPN），员工通过VPN实现内网连接。值得注意的是，在中国，VPN服务（尤其是跨境的VPN）是受到电信监管的，仅有具有VPN服务资质的企业才可以提供VPN服务。外贸企业、跨国企业因办公自用等原因，需要通过专线等方式跨境联网时，应当向持有相应电信业务许可证的基础运营商租用。
3．内部员工通过VPN进入公司内网，破坏数据库。企业应当如何预防“内鬼”，保障数据安全？
事件回顾：
2月23日晚间，微信头部服务提供商微盟集团旗下SaaS业务服务突发故障，系统崩溃，生产环境和数据遭受严重破坏，导致上百万的商户的业务无法顺利开展，遭受重大损失。根据微盟25日中午发出的声明，此次事故系人为造成，微盟研发中心运维部核心运维人员贺某，于2月23日晚18点56分通过个人VPN登入公司内网跳板机，因个人精神、生活等原因对微盟线上生产环境进行恶意破坏。目前，贺某被上海市宝山区公安局刑事拘留，并承认了犯罪事实［8］。由于数据库遭到严重破坏，微盟长时间无法向合作商家提供电商支持服务，此处事故必然给合作商户带来直接的经济损失。作为港股上市的企业，微盟的股价也在事故发生之后大幅下跌。
从微盟的公告可以看出，微盟员工删库事件的一个促成条件是“该员工作为运维部核心运维人员，通过个人VPN登录到了公司内网跳板机，并具有删库的权限”。该事件无论是对SaaS服务商而言，还是对普通的企业用户而言，都值得反思和自省。
风险评估：
依据《网安法》第21、25条的规定，网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：（1）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；（2）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；（3）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；（4）采取数据分类、重要数据备份和加密等措施；（5）法律、行政法规规定的其他义务。同时，网络运营者还应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。
内部员工泄密一直是企业数据泄露事故的主要原因之一，也是当前“侵犯公民个人信息犯罪”的典型行为模式。远程办公环境下，企业需要为大部分的员工提供连接内网及相关数据库的访问权限，进一步增大数据泄露甚至被破坏的风险。
与用户流量激增导致的系统“短时间崩溃”不同，“微盟删库”事件的发生可能与企业内部信息安全管理有直接的关系。如果平台内合作商户产生直接经济损失，不排除平台运营者可能需要承担网络安全相关的法律责任。
应对建议：
为有效预防员工恶意破坏、泄露公司数据，保障企业的数据安全，我们建议企业可以采取以下预防措施：
制定远程办公或移动办公的管理制度，区分办公专用移动设备和员工自有移动设备，进行分类管理，包括但不限于严格管理办公专用移动设备的读写权限、员工自有移动设备的系统权限，尤其是企业数据库的管理权限；
建立数据分级管理制度，例如，应当根据数据敏感程度，制定相适应的访问、改写权限，对于核心数据库的数据，应当禁止员工通过远程登录方式进行操作或处理；
根据员工工作需求，依据必要性原则，评估、审核与限制员工的数据访问和处理权限，例如，禁止员工下载数据到任何用户自有的移动终端设备；
建立数据泄露的应急管理方案，包括安全事件的监测和上报机制，安全事件的响应预案；
制定远程办公的操作规范，使用文件和材料的管理规范、应用软件安装的审批流程等；
组建具备远程安全服务能力的团队，负责实时监控员工对核心数据库或敏感数据的操作行为、数据库的安全情况；
加强对员工远程办公安全意识教育。
4．疫情期间，为了公共利益，企业通过系统在线收集员工疫情相关的信息，是否需要取得员工授权？疫情结束之后，应当如何处理收集的员工健康信息？
场景示例：
在远程办公期间，为加强用工管理，确保企业办公场所的健康安全和制定相关疫情防控措施，企业会持续地向员工收集各类疫情相关的信息，包括个人及家庭成员的健康状况、近期所在地区、当前住址、所乘航班或火车班次等信息。收集方式包括邮件、OA系统上报、问卷调查等方式。企业会对收集的信息进行统计和监测，在必要时，向监管部门报告企业员工的整体情况。如发现疑似病例，企业也会及时向相关的疾病预防控制机构或者医疗机构报告。
风险评估：
2020年1月20日，新型冠状病毒感染肺炎被国家卫健委纳入《中华人民共和国传染病防治法》规定的乙类传染病，并采取甲类传染病的预防、控制措施。《中华人民共和国传染病防治法》第三十一条规定，任何单位和个人发现传染病病人或者疑似传染病病人时，应当及时向附近的疾病预防控制机构或者医疗机构报告。
2月9日，中央网信办发布了《关于做好个人信息保护利用大数据支撑联防联控工作的通知》（以下简称《通知》），各地方各部门要高度重视个人信息保护工作，除国务院卫生健康部门依据《中华人民共和国网络安全法》、《中华人民共和国传染病防治法》、《突发公共卫生事件应急条例》授权的机构外，其他任何单位和个人不得以疫情防控、疾病防治为由，未经被收集者同意收集使用个人信息。法律、行政法规另有规定的，按其规定执行。
各地也陆续出台了针对防疫的规范性文件，以北京为例，根据《北京市人民代表大会常务委员会关于依法防控新型冠状病毒感染肺炎疫情坚决打赢疫情防控阻击战的决定》，本市行政区域内的机关、企业事业单位、社会团体和其他组织应当依法做好本单位的疫情防控工作，建立健全防控工作责任制和管理制度，配备必要的防护物品、设施，加强对本单位人员的健康监测，督促从疫情严重地区回京人员按照政府有关规定进行医学观察或者居家观察，发现异常情况按照要求及时报告并采取相应的防控措施。按照属地人民政府的要求，积极组织人员参加疫情防控工作。
依据《通知》及上述法律法规和规范性文件的规定，我们理解，在疫情期间，如果企业依据《中华人民共和国传染病防治法》、《突发公共卫生事件应急条例》获得了国务院卫生健康部门的授权，企业在授权范围内，应当可以收集本单位人员疫情相关的健康信息，而无需取得员工的授权同意。如果不能满足上述例外情形，企业还是应当依照《网安法》的规定，在收集前获得用户的授权同意。
《通知》明确规定，为疫情防控、疾病防治收集的个人信息，不得用于其他用途。任何单位和个人未经被收集者同意，不得公开姓名、年龄、身份证号码、电话号码、家庭住址等个人信息，但因联防联控工作需要，且经过脱敏处理的除外。收集或掌握个人信息的机构要对个人信息的安全保护负责，采取严格的管理和技术防护措施，防止被窃取、被泄露。具体可参考我们近期的文章《解读网信办＜关于做好个人信息保护利用大数据支撑防疫联控工作的通知＞》
应对建议：
在远程期间，如果企业希望通过远程办公系统收集员工疫情相关的个人信息，我们建议各企业应当：
制定隐私声明或用户授权告知文本，在员工初次提交相关信息前，获得员工的授权同意；
遵循最小必要原则，制定信息收集的策略，包括收集的信息类型、频率和颗粒度；
遵循目的限制原则，对收集的疫情防控相关的个人信息进行区分管理，避免与企业此前收集的员工信息进行融合；
在对外展示企业整体的健康情况时或者披露疑似病例时，对员工的相关信息进行脱敏处理；
制定信息删除管理机制，在满足防控目的之后，及时删除相关的员工信息；
制定针对性的信息管理和保护机制，将收集的员工疫情相关的个人信息，作为个人敏感信息进行保护，严格控制员工的访问权限，防止数据泄露。
5．远程办公期间，为有效监督和管理员工，企业希望对员工进行适当的监测，如何才能做到合法合规？
场景示例：
远程办公期间，为了有效监督和管理员工，企业根据自身情况制定了定时汇报、签到打卡、视频监控工作状态等措施，要求员工主动配合达到远程办公的监测目的。员工通过系统完成汇报、签到打卡时，很可能会反复提交自己的姓名、电话号码、邮箱、所在城市等个人基本信息用于验证员工的身份。
同时，在使用远程OA系统或App时，办公系统也会自动记录员工的登录日志，记录如IP地址、登录地理位置、用户基本信息、日常沟通信息等数据。此外，如果员工使用企业分配的办公终端设备或远程终端虚拟机软件开展工作，终端设备和虚拟机软件中可能预装了监测插件或软件，在满足特定条件的情况下，会记录员工在终端设备的操作行为记录、上网记录等。
风险评估：
上述场景示例中，企业会通过1）员工主动提供和2）办公软件自动或触发式收集两种方式收集员工的个人信息，构成《网安法》下的个人信息收集行为。企业应当根据《网安法》及相关法律法规的要求，遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并获取员工的同意。
对于视频监控以及系统监测软件或插件的使用，如果操作不当，并且没有事先取得员工的授权同意，很可能还会侵犯到员工的隐私，企业应当尤其注意。
应对建议：
远程办公期间，尤其在当前员工还在适应该等工作模式的情形下，企业根据自身情况采取适当的监督和管理措施，具有正当性。我们建议企业可以采取以下措施，以确保管理和监测行为的合法合规：
评估公司原有的员工合同或员工个人信息收集授权书，是否能够满足远程办公的监测要求，如果授权存在瑕疵，应当根据企业的实际情况，设计获取补充授权的方式，包括授权告知文本的弹窗、邮件通告等；
根据收集场景，逐项评估收集员工个人信息的必要性。例如，是否存在重复收集信息的情况，是否有必要通过视频监控工作状态，监控的频率是否恰当；
针对系统监测软件和插件，设计单独的信息收集策略，做好员工隐私保护与公司数据安全的平衡；
遵守目的限制原则，未经员工授权，不得将收集的员工数据用于工作监测以外的其他目的。
四、总结
此次疫情，以大数据、人工智能、云计算、移动互联网为代表的数字科技在疫情防控中发挥了重要作用，也进一步推动了远程办公、线上运营等业务模式的发展。这既是疫情倒逼加快数字化智能化转型的结果，也代表了未来新的生产力和新的发展方向［9］。此次“突发性的全民远程办公热潮”之后，远程办公、线上运营将愈发普及，线下办公和线上办公也将形成更好的统一，真正达到提升工作效率的目的。
加快数字化智能化升级也是推进国家治理体系和治理能力现代化的迫切需要。党的十九届四中全会对推进国家治理体系和治理能力现代化作出重大部署，强调要推进数字政府建设，加强数据共享，建立健全运用互联网、大数据、人工智能等技术手段进行行政管理的制度规则［10］。
为平稳加速推进数字化智能化发展，契合政府现代化治理的理念，企业务必需要全面梳理并完善现有的网络安全与数据合规策略，为迎接新的智能化管理时代做好准备。