数据要素五论：信息、权属、价值、安全、交易

从DSV的计算公式中可以看到，数据沙普利值的计算需要在不同数据子集上重复训练模型，计算成本很高，因此大量学者对其进行了近似计算的研究。比如TMC-沙普利算法，利用蒙特卡洛模拟抽取部分排序计算每个数据点的沙普利值；在TMC算法上运用梯度信息进行进一步简化的盖尔-沙普利算法 ；使用非参数模型中的KNN思想简化规避模型重复训练的KNN-SV算法 ；等等。也有一些学者推广了数据沙普利值的思想：将模型训练过程、子集选取视作强化学习的过程，利用强化学习的框架计算数据的价值 ；将针对单一数据集定义的数据沙普利值推广到基于数据分布的Distributional-SV算法 ，使其更具有现实意义。由于DSV计算复杂度较高，一些学者对其复杂度进行了研究，在相对简单的效用函数与学习模型中，可以通过推导降低计算复杂度。 注

第四章

数据安全

一_、数据安全现状

张锋军，杨永刚，李庆华，等. 大数据安全研究综述[J]. 通信技术，2020，53（5）：1063-1076.

以大数据为代表的数据化、数字化是全球信息技术发展趋势之一。大数据技术的发展，引发了全球范围内技术、学术、产业以及安全的变革，是国家和企业间的竞争焦点，直接关系到国家安全、社会稳定、经济发展和民计民生等诸多方面。 注

黄殿中. 发展与安全并进：用新思维应对大数据安全挑战[J]. 中国信息安全，2016，6：77-79；周季礼，李德斌. 国外大数据安全发展的主要经验及启示[J]. 信息安全与通信保密，2015，6：40-45；张锋军. 大数据技术研究综述[J]，通信技术，2014，47（11）：1240-1248.

云计算和物联网技术的快速发展，引发了数据规模的爆炸式增长和数据模式的高度复杂化。大数据技术成为继云计算技术之后，各国竞相争夺的信息化战略高地。党的十八大以来，我国陆续发布了《促进大数据发展行动纲要》《大数据产业发展规划（2016^—2020年）》

《国家网络空间安全战略》等一系列重要文件，提出实施国家大数据战略、建立大数据安全管理制度、支持大数据技术创新和应用的纲领性要求。这些重要文件为相关产业的健康发展、融合发展打开了政策空间。但是在大数据技术催生了大量创新业务应用模式并在党政军等各领域大规模应用的同时，也带来了许多前所未有的安全威胁，如数据泄露、隐私分析、基于大数据技术的新型攻击等，已成为大数据产注业健康发展的障碍。

李树栋，贾焰，吴晓波，等. 从全生命周期管理角度看大数据安全技术研究[J]. 大数据，2017，3（5）：3-19.

传统的信息安全侧重信息资产的管理，信息更多地被视为企业/机构的自有资产进行相对静态的管理，无法适应业务上实时动态的大规模数据流转和大规模数据处理的特点。大数据5V的特性和新的技术架构颠覆了传统的数据管理方式，在数据来源、数据处理和数据思维等方面带来了革命性的变化，也给大数据安全防护带来了新的问题，数据采集汇聚、数据存储处理、数据共享使用等数据生命周期都面临新的安全挑战。 注

加强数据共享安全，需要完善数据安全法律法规、加强数据安全管理制度建设、健全数据安全标准规范、推动数据安全技术的开发和应用。我们应该遵循国家相关的安全政策，制定数据安全保护方面的法律法规和制度，健全数据安全相关标准及指南，完善数据安全保障组织机构和保障角色的规划，推进数据共享，推动安全防护技术的发展。

（一）数据安全治理概况

1. 数据安全测评

数据安全测评是大数据安全、提供正常服务的支撑保障，目标是评估和验证大数据的安全策略、安全产品、安全技术的性能及有效性等。

数据安全测评的基本原则是确保使用的安全防护手段都能满足安全防护的需求，主要内容包括：

（1）构建数据安全测评的组织结构、人员组成、责任分工和安全测评需要达到的目标等。

全国信息安全标准化技术委员会大数据安全标准特别工作组. 大数据安全标准化 白 皮书（2018年版）[R/OL].（2018-04-14）[2022-07-22].http://jl.cesi.cn/images/editor/20180414/20180414224505161.pdf.

（2）明确数据场景下安全测评的标准、范围、计划、流程、策略和方式等。大数据环境下的安全分析按评估方法划分，包括基于场景的数据流安全评估、基于利益攸关者的需求安全评估等。 注

（3）制定评估标准，明确各个安全防护手段需要达到的安全防护效能，包括功能、性能、可靠性、可用性、保密性、完整性等。

李克鹏，梅婧婷，郑斌，等. 大数据安全能力成熟度模型标准研究[J].
信息技术与标准化，2016，7：59-61.

（4）按照《信息安全技术 数据安全能力成熟度模型》

（GB/T 37988^—2019），评估安全态势并形成相关的大数据安全评估报告等内容，作为大数据安全建设能够投入应用的依据。 注

1. 数据安全运维

数据的安全运维主要是为了确保大数据系统或平台能够安全、持续稳定、可靠地运行，在大数据系统运行过程中行使资源调配、系统升级、服务启停、容灾备份、性能优化、应急处置、应用部署和安全管控等职能。具体的职责包括：

（1）构建大数据安全运维体系的组织形式、运维架构、安全运维策略、权限划分等。

（2）制定不同安全运维流程和运维的重点方向等，包括基础设施安全管控、病毒防护、平台调优、资源分配和系统部署、应用和数据的容灾备份等业务流程。

（3）明确安全运维的标准规范和规章制度，由于运维人员具有较大的操作权限，为防范内部人员风险，要对大数据环境的关键部分、人员危险行为等做到事前、事中和事后有记录、可跟踪和能审计。

1. 数据安全治理

大数据安全治理的目标是确保大数据合法合规地安全流转，保障大数据安全的情况下让其价值最大化，以此支撑企业业务目标的实现。大数据的安全治理行使数据的安全管理、运行监管和效能评估的职能。主要内容包括：

（1）架构大数据安全治理的治理流程、组织结构、治理策略，以及确保数据在流转过程中的访问控制、安全保密和安全监管等安全保障机制。

（2）确定数据治理过程中的安全管理架构，包括人员组成、角色分配、流程管理和大数据的安全管理策略等。

（3）明确大数据安全治理中的元数据、数据质量、数据血缘、主数据管理和数据全生命周期的安全治理方式，包括安全治理标准、治理方式、异常和应急处置措施等。

（4）对大数据环境下数据主要参与者，如数据提供者（数据源）、大数据平台、数据管理者和数据使用者，制定明确的安全治理目标，规划安全治理策略。

本部分内容参考：张锋军，杨永刚，李庆华，等. 大数据安全研究综述[J]. 通信技术，2020，53（5）：1063-1076.

（二）国内外数据安全规制

1. 国内数据安全规制

鉴于大数据的战略意义，我国高度重视大数据安全问题，近十年发布了一系列大数据安全相关的法律法规和政策。2013年6月，工业和信息化部公布了《电信和互联网用户个人信息保护规定》，明确了电信业务经营者、互联网信息服务提供者收集、使用用户个人信息的规则和信息安全保障措施要求。2015年8月，国务院印发《促进大数据发展行动纲要》，提出要健全大数据安全保障体系，完善法律法规制度和标准体系。2016年3月，第十二届全国人民代表大会第四次会议表决通过了《中华人民共和国国民经济和社会发展第十三个五年规划纲要》，提出把大数据作为基础性战略资源，明确指出要建立大数据安全管理制度，实行数据资源分类分级管理，保障安全、高效、可信。2021年3月，《中华人民共和国国民经济和社会发展第十四个五年规划和2035年远景目标纲要》发布，提出加强涉及国家利益、商业秘密、个人隐私的数据保护，加快推进数据安全、个人信息保护等领域基础性立法，强化数据资源全生命周期安全保护。完善适用于大数据环境下的数据分类分级保护制度。加强数据安全评估，推动数据跨境安全有序流动。

在产业界和学术界，对大数据安全的研究已经成为热点。国际标准化组织、产业联盟、企业和研究机构等都已开展相关研究以解决大数据安全问题。2012年，云安全联盟（CSA）成立了大数据工作组，旨在寻找大数据安全和隐私问题的解决方案。2016年，全国信息安全标准化技术委员会正式成立大数据安全标准特别工作组，负责大数据和云计算相关的安全标准化研制工作。 在标准化方面，国家层面制定了《信息安全技术 大数据服务安全能力要求》《信息安全技术 大数据安全管理指南》《信息安全技术 数据安全能力成熟度模型》等数据安全标准。 由于数据与业务关系紧密，各行业也纷纷出台了各自的数据安全分级分类标准，典型的如《银行数据资产安全分级标准与安全管理体系建设方法》《信息安全技术 电信和互联网大数据安全管控分类分级实施指南》《证券期货业数据分类分级指引》等，对各自业务领域的敏感数据按业务线条进行分类，按敏感等级（数据泄露后造成的影响）进行数据分级。安全防护系统可以根据相应级别的数据采用不同严格程度的安全措施和防护策略。 注

1. 国外数据安全规制

邵培基，方佳明，陈瑶. 美国的信息自由法案及启示[C]//南京大学. 第十七届海峡两岸信息管理发展与策略学术研讨会论文集，2013：1-7；洪延青. 美国快速通过CLOUD法案明确数据主权战略[J]. 中国信息安全，2018，4：33-35；罗洁，孔令杰. 美国信息隐私法的发展历程[J].湖北社会科学，2008，12：154-157；刘熠炯.2015年日本个人信息保护法修正案解读[EB/OL].（2016-12-14）[2022-07-12].http://www.zhengxinbao.com/4031.html.

随着大数据的安全问题越来越受到人们的重视，包括美国、欧盟在内的很多国家、地区和组织都制定了大数据安全相关的法律法规和政策注
以推动大数据应用和数据保护。2012年2月23日，美国发布了《网络环境下消费者数据的隐私保护^——在全球数字经济背景下保护隐私和促进创新的政策框架》，规范大数据时代隐私保护措施。2018年6月28日，《加州消费者隐私法案》（CCPA）正式颁布，在随后的两年内又陆续做了多次修订，2020年7月1日开始正式执行。CCPA的出台弥补了美国在数据隐私专门立法方面的空白，它旨在加强加州消费者隐私权和数据安全保护，被认为是美国当前最严格的消费者数据隐私保护立法。

欧盟早在1995年就发布了《保护个人享有的与个人数据处理有关的权利以及个人数据自由流动的指令》（简称《数据保护指令》），为欧盟成员国保护个人数据设立了最低标准。2015年，欧盟通过《通用数据保护条例》（GDPR），该条例对欧盟居民的个人信息提出更严格的保护标准和更高的保护水平。在《2014^—2017年数字议程》中，德国提出最晚于2015年出台《信息保护基本条例》，加强大数据时代的信息安全。2015年2月25日，德国公司力争设置强硬的欧盟数据保护法规。

澳大利亚于2012年7月发布了《信息安全管理指导方针：整合性信息的管理》，为大数据整合所涉及的安全风险提供了最佳管理实践指导。2012年通过的《1988年隐私法（修正案）》，将信息隐私原则和国民隐私原则统一修改为澳大利亚隐私原则，并于2014年3月正式生效。该法规范了私人信息数据从采集、存储、安全、使用、发布到销毁的全周期管理方法。在数据安全的标准化方面，美国走在前列。在大数据安全方面，国际电信联盟网络安全标准研究组（ITU-T SG17）制定了《移动互联网服务中的大数据分析安全要求和框架》《大数据即服务安全指南》《电子商务业务数据生命周期管理安全参考框架》等；美国国家标准与技术研究院（NIST）发布了《大数据互操作框架：第四册安全与隐私保护》等标准；国际标准化组织（ISO）及国际电工委员会（IEC）也发布了关于隐私保护框架、隐私保护能力评估模型、云中个人信息保护等的标准，对大数据的安全框架和原则进行了标准化定义。

在数据安全的产品解决方案和技术方面，国外知名机构和安全公司纷纷推出先进的产品和解决方案。咨询公司Forrester提出了^“零信任模型^”（Zero Trust Model）；谷歌基于该理念设计和实践了BeyondCorp体系，企业可不借助VPN而在不受信任的网络环境中安全地开展业务；IBM InfoSphereGuardium能够管理集中和分布式数据库的安全与合规周期；老牌杀毒软件厂商赛门铁克（Symantac）将病毒防护、内容过滤、数据防泄露、云访问安全代理（CASB）等进行整合，提供了包含数据和网络安全软件及硬件的解决方案；操作系统霸主微软聚焦代码级数据安全，推出了Open Enclave SDK开源框架，协助开发者创建以保护应用数据为目的的可信应用程序；

CipherCloud联合Juniper网络公司推出了云环境下数据安全的产品解决方案，提供云端企业应用的安全访问和可视化监控。