資料出境是推進高水準對外開放的關鍵資源，在資料出境過程中堅持“總體國家安全觀”的理念，以“全過程”為核心建構資料出境安全風險防控體系。具體路徑包括：一是推進體系化風險識别監測機制建設；二是設立完備的資料出境風險評估名額；三是明确資料出境的突發應急監管主體；四是确定資料出境突發風險的恢複重建機制。從資料出境的事前、事發、事中、事後 4 個階段全方位、全鍊條對安全風險進行防控，既給予資料主體足夠的保護，又不能妨礙企業對資料的合理使用，以便更好地規避風險，保護國家安全。
資料安全是國家安全的重要組成部分，《國家情報法》第七條明确規定：“任何組織和公民都應當依法支援、協助和配合國家情報工作，保守所知悉的國家情報工作秘密 。”在滴滴公司上市一案中，由于美國股市的合規審查寬松，滴滴公司選擇赴美上市，這一行為觸及中美博弈的核心問題之一，即資料主權與資料安全。滴滴公司涉及國家安全的資料内容不僅僅是道路資料這些直接關系到國防安全的資料，也包括使用者個人資料這類涉及國家安全的資料，對這些資料進行綜合分析後可以得出非常敏感的經濟動向、人事變動乃至軍事部署，給國家安全、資料安全等帶來嚴重的風險隐患，這也是大資料時代的特征之一。不隻滴滴公司，網絡安全審查辦公室在 2021 年 7 月 5 日釋出通告，将 BOSS 直聘、貨車幫、運滿滿等公司也列為安全審查對象。如今，資料的科技屬性、流動隐蔽性等特點，加大了資料出境對國家安全的管理難度，現有監管規則及防範措施無法适應資料出境國家安全管理的要求。
在資料出境流動規範過程中，本文試從我國應急管理體系的“一案三制”出發，圍繞風險識别、風險評估、風險規制 3 個環節對跨境資料的全周期進行考量，聚焦資料出境“怎麼做”的問題。根據突發事件處置工作程式，對資料出境風險評價進行安全審查、應急處置、恢複重建、應急保障等方面的預案編制，實作應急後果規模收益與內建效應，進而規範資料出境安全風險治理。
1
資料出境的概念
數字經濟的迅速發展使跨境資料流動在國際中扮演着重要角色。資料出境是跨境資料流動的方向之一。目前，學界對資料出境的概念存在不同了解。有學者認為，目前網際網路經濟的迅速發展，不能單純以傳統地理邊界來界定資料是否出境，應以資訊通信中的技術參數作為資料流動的依據。有學者認為，跨越國界并非跨境資料流動的必需環節，資料流動不一定是發生實體層面的跨越地理位置轉移，隻要境内資料能夠被境外的機構、組織、個人掌控（包括查閱、通路等），即可認為是資料出境 。
2022 年 9 月大陸釋出的《資料出境安全評估辦法》（Measures for the Security Assessment of Data Exports，MSADE）（以下簡稱《評估辦法》），明确了何為資料出境：一是資料處理者将在境内營運中收集和産生的資料傳輸、存儲至境外；二是資料處理者收集和産生的資料存儲在境内，境外的機構、組織或者個人可以通路或者調用。無論采取什麼樣的标準來判斷資料是否“出境”，其核心都是境外主體是否取得該資料的控制權，是以判斷資料是否屬于“出境”行為，應堅持以“資料被境外主體掌控”的實際效果為判斷标準，即使“資料未出境但事實上被境外主體掌控”，也要将其認定為“資料出境”。
是以，資料出境面臨兩層風險：一是資料出境的内容層面，側重個人資訊、重要資料等能夠反映一國國民隐私、國家重要行業和關鍵領域情況的高價值資料，此類資料在沒有規制下的出境，将會洩露國家重要資源與情報，使他國更易分析和挖掘大陸國家重要戰略資訊；二是基于資料出境中“境外”地點的不同，資料流入地的資料隐私與安全保障水準、資料利用支援水準等方面的差異，也可能導緻資料出境後遭受二次洩露與侵害。
2
資料出境的安全風險剖析
數字生态系統是資訊社會發展的基石。監管者或政策制定者不僅要利用大資料改進政府的管理，也要促進數字資源的開發與利用，加強對數字資源的安全保護和監管。大資料技術的發展給立法帶來很多新的挑戰，例如現在很多國家在推行資料開放，但是資料開放必然會帶來安全和隐私問題，如何處理好前述問題便成為研究重點。貿易的自由發展要求資料出境流動，但是很多國家出于國家安全的需要以及個人資料保護的要求，對資料出境流動進行了不同程度的限制。特别是涉及國家利益、公共安全、商業秘密、個人隐私和軍工科研的資料被攻擊、洩露、竊取、篡改、非法使用等情況愈演愈烈。資料安全成為數字時代最為緊迫的核心問題。
2.1 威脅國家安全的風險
随着網際網路、大資料、跨國公司進一步融入公衆的日常生活，資料的種類越來越多，資料出境流動越來越頻繁，資料在境外留存的時間也會更長，這些資料包括大量應該由政府掌控的原始資料，如氣象資料、道路交通資料、人口流動資料、城市布局資料等。例如，可通過海量手機位置反向繪制出移動通信基站分布圖；自動駕駛技術的發展使國家基礎設施建設中關于道路、城市布局等的資料被使用、分析；再如，遭受美國國家安全局攻擊的西北工業大學，由于西工大所具有的特殊地位和從事敏感科學研究，美國國家安全局竊取了該校關鍵網絡裝置配置、網管資料、運維資料等核心技術資料，同時調查報告披露美國國家安全局利用網絡攻擊武器，對大陸各龍頭企業、政府、高校、醫療機構、科研院所等進行長期秘密攻擊活動。
2.2 威脅産業安全的風險
在企業資料出境的場景下，資料出境活動可能會給企業帶來服務技術管理、資料營運管理等問題。例如，根據跨國電商的訂單種類、數量、地域分布等相關資料可以推測出該國某一行業的發展狀況、使用者群體的分布情況，甚至宏觀經濟運作情況。在服務技術管理上，資料出境活動會經過境外資料中心或雲平台，在大量資料向中心或者平台集聚的過程中，很容易發生資料洩露的情況。同時，如果企業在資料的傳輸、存儲、使用等過程中存在關鍵崗位人員管理不到位，沒有建立權限分離、多方共管、全面監控的管理機制，機房、裝置管理不夠嚴格，黑客通過惡意入侵進行盜取、篡改資料等問題，極易發生資料出境安全風險。在資料資産管理上，企業作為資料的營運方，通過對資料的分析挖掘，讓海量資料出境，受到資料所在國政策、法律等限制，由于資料權屬不明，資料出境後存在商業資訊被披露的風險，超出了資料出境使用的必要性原則，可能造成侵權。例如，滴滴公司為了在美國上市将國内重要敏感地理資訊、人流車流的大資料記錄、經營資料等變相披露給美國股市，配合美國證監會的監管。
2.3 威脅個人隐私的風險
目前，使用者為了完整使用網際網路公司提供的服務，需要提供的資料種類越來越多。在注冊時，需要提供性别、年齡、教育程度等各種身份資訊；在使用各類服務時，使用者的各種網絡行為資訊都會被大資料收集，比如浏覽過的網絡頁面，搜尋過的關鍵詞，點贊過的視訊，各類軟體的使用時長、使用頻率、每日使用時間段的分布，使用者的支付習慣，網購時的收貨位址，使用服務時的地理位置，甚至包括使用者的常用語。此外，跨境電商平台通過蜂窩基站、熱點、藍牙等裝置未經授權通路或擅自收集網絡消費者的性别、年齡、浏覽蹤迹、購物偏好等資料，并經過各種資料庫的比對，對消費者個人資訊資料進行存儲、收集、分析、處理，進而根據消費者的購物喜好進行相關推送。同時，平台還會擷取消費者的住址、電話、身份證号碼、銀行卡号等資訊。如果遭到不法分子的洩密或者誤用，将對使用者造成經濟損失，甚至人身傷害。是以，資料出境流動可能給使用者帶來資訊的過度收集、擅自披露、擅自提供、非法交易、收集方未盡到資訊安全責任等風險。
3
資料出境安全風險防控存在的法律問題
目前，大陸關于資料出境的立法監管較為分散，尚未形成體系，法律關于資料流動風險的規制多為原則性規定，監管方式和資料保護分類形式也較為單一。這種分散化、抽象的立法模式難以對資料出境可能帶來的潛在風險進行有效規制，各種違規采集、資料被違法濫用的情況依然普遍。資料出境安全評估作為一種新形式的資料安全監管手段，其産生與發展有着深刻的理論背景，同時也面臨着巨大挑戰。有學者認為，對于資料安全立法而言，要從國家安全高度進行資料安全法治體系化設計，以風險管控為中心建構資料安全保護制度體系，以重要資料安全為核心管控國家資料安全風險 。也有學者認為，目前大陸資料安全治理模式正處于轉型之際，需要在綜合考慮資料安全治理的體系現狀、行為邏輯和發展動向的基礎上進行選擇及展開。大陸應當确立以靈活為核心的治理模式，并在治理結構、治理關系、治理工具層面進行優化，以更具積極性和主動性的姿态推動大陸資料的安全與有序流動 。在規範資料出境的過程中，政府部門綜合準許，盡管推動了政府對資料安全的有效治理，確定跨境傳輸過程中資料的安全性，卻又不同程度地削弱了企業監管職責，增加了政府的治理成本，進而遏制市場運作效率的提高。為了更好地促進資料共享與利用，需要建構一套科學可行的資料出境機制。此外，在資料出境時，不可避免地涉及不同權利主體，在傳輸資訊時，針對不同的監管主體、不同法律管轄之間在權利屬性上沒有形成一緻共識。是以，需要建立一套科學、系統且操作性強的資料出境評估制度，以實作國家對資料資源和資訊安全保護的目标。
但是從目前來看，大陸《評估辦法》的有關規定過于廣泛，操作流程上還有待進一步細化。此外，現有跨境資料流動法律法規體系尚不能有效支撐資料境外流通的風險防控工作。資料出境應急處置的法律制度分散在各個行業、各個領域的法律規範中，尚未形成體系化。雖然《網絡安全法》《資料安全法》等法律規定個人資訊、重要資料出境需要進行安全評估，但對于資料出境安全評價規則并沒有做出明确的規定。當資料出境出現風險時，可能造成監管的缺失、應急不夠及時等情況，進而損害個人資料權益，乃至危害國家、社會安全利益。與此同時，《評估辦法》提到資料出境安全評估應遵循事前評估與持續監督的原則，将風險自評估和安全評估結合起來，預防資料出境的安全風險，確定資料合法、有序、自由地流動，并對資料出境評估工作的開始條件和有關流程作了規定。但是，對資料出境評估開始時的流程和相應應急處置的規定比較籠統。至此，從資料出境全周期運作實踐來看，其風險可産生于資料出境事前、事發、事中、事後全過程，已有的資料出境安全風險防控制度面臨适用困境。
3.1 事前：資料出境安全風險識别預警機制尚不健全
風險判斷是一種可能性判斷，存在較多不确定性，給風險監測帶來了一定的挑戰。風險與事件往往不是一一對應的，在大多數情況下，當某類風險成為現實時，通常表現為若幹個互相關聯事件的發生，給事件處置、止損帶來了難題。在開展風險監測時，有些問題常常沒有現成的答案，比如存在哪些風險、風險變為現實時會有哪些事件發生、哪些因素會影響事件的發展、控制哪些因素能有效阻止風險變為現實等。是以，對風險進行監測和防控需要相應的知識庫支撐，并根據實踐對知識庫進行修正。
《網絡安全法》規定，關鍵資訊基礎設施營運者于中華人民共和國領土内經營時采集、生成的個人資訊、重要資料等，應儲存于國内 [11]。該條款為大陸資訊安全管理工作提供了法律支撐，同時也帶來一些挑戰，比如如何通過合理的方式确定哪些資料可以在境外被使用以實作其價值。對于政治、外交或者其他與國家安全相關的資料，應當由共同的上級部門協調各個風險識别組織對風險進行識别，然而由于風險識别組織不在網信部門統一管理之下，缺乏深入認識就很難評價和證明每個組織的活動是否安全，風險識别内容也很難得到證明。目前允許從事風險識别工作的機構需要經過《網絡安全法》所規定的識别程式進行認證，但這一過程也比較複雜煩瑣。而且近年來所産生的問題主要是因為未知伺服器以非法的方式進行了安全認證，進而未被成功識别。這就要求政府部門必須加大對第三方機構的管理力度。與此同時，盡管目前有些部門和企業開展了開放性的合作，各部門在統一資料開放平台上對本部門資料進行整理和總結，加強了部門間的交流合作，但是随之帶來的是巨額的行政交易成本。此外，随着網際網路技術應用越來越廣泛，部分網際網路廠商出于節約成本的考量，可能采取購買外包服務等措施。然而，外包過程中可能會将網際網路廠商掌握的某些敏感資料交由不具有資質和能力的公司處理，由此可能滋生一定風險，使得網絡資訊洩露等安全事件頻發，這些都導緻對資訊安全保障工作提出更高的要求。
目前資料管理部門對風險識别的基本要求、運作規律、可能造成的重大影響缺乏足夠了解，識别周期内各個部分的功能不能協調一緻，沒有對各個環節的資料管理目标進行有效地均衡，達到優化資訊流的目的、效用與資訊責任之間的權衡，部門之間開放資料不協調、标準不統一的情況也比較普遍。這些缺陷導緻現有的資料出境風險識别機制很難适應複雜多樣的資料特征。如果發生新的安全問題，或者資料出境有了新的應用和要求，原有的風險識别機制将無法在新的形勢下适時駕馭。
3.2 事發：資料出境安全風險應急評估機制尚未完善
風險評估是風險管理的基礎。風險評估的結果不僅有助于确定應急工作的重點，提供劃分預案編制優先級别的依據，也為經濟準備和應急響應提供必要的資訊和資料 [12]。然而風險防控需要大量社會資源的投入，是以考慮到資源的有限性，就需要對風險成為現實時可能帶來的損失進行評估，進而确定風險的等級以及防控的代價。
《評估辦法》以資料出境為評估對象，以事發時資料處理活動中發生的風險為評估内容，但并未提供一套可落地、可指導的實施方案。《評估辦法》也隻是簡單說明了資料出境過程中資料處理者應當在與境外接收方訂立的法律檔案中明确約定資料安全保護責任義務，但由于相應補救措施、違約責任與争議解決方式不明确，很難確定事發時的資料安全。
3.3 事中：資料出境的應急處置監管主體尚未統一
《資料安全法》新增了由中央國家安全上司機構“統籌協調國家資料安全的重大事項和重要工作，建立國家資料安全工作協調機制”的表述，明确由中央國家安全上司機構負責資料安全工作的決策和協調、國家網信部門統籌網絡資料安全監管工作，由工業、電信、交通、金融、自然資源、衛生健康、教育、科技等主管部門承擔本行業、本領域的資料安全監管職責，由公安機關、國家安全機關等在各自職責範圍内承擔資料安全監管職責 [13]。目前，大陸資料出境領域的監管工作由中央網絡安全和資訊化委員會與國家網際網路資訊辦公室進行全面統籌協調，中央和地方市場監管部門、工信部門和公安部門，以及相應的行業主管部門分管不同領域的資料安全。例如，市場監管部門從市場綜合監督管理視角進行執法，對個人資訊保護和網絡産品與服務等領域進行監管；工信部門從工業和通信業行業管理視角進行執法，對資訊的應急響應制度、個人資訊保護、網絡産品與服務等領域進行監管；公安部門從公共安全的視角，對個人資訊保護、網絡産品與服務、網絡安全等級保護等領域進行監管；各行業主管部門則從行業視角，對資料全領域進行監管，包括資料跨境、關鍵資訊基礎設施、密碼産品等。特别是在需要跨部門、跨區域配合的情況下，上下級政府之間存在資訊層級過多，傳遞效率不高，部門之間協調交叉、配合不夠等情況，導緻在資料出境發生風險的過程中應急處置速度不夠，錯過了控制風險的最初時機。
目前，資料出境安全評估辦法多為概括性規定，國務院部委在制定部門規章時，提及資料出境應當滿足相關法律法規的具體要求，但是并未對資料出境安全評估的啟動條件、程式等問題進行詳盡的闡釋，進而可能造成行業部門對資料出境進行安全審查時存在嚴格或寬松的情況，給資料出境審查工作帶來困惑，對國際貿易發展帶來不利影響，甚至給國家安全帶來隐患。是以，必須對大陸的資料監管體制進行改革和創新，健全資料安全監管工作統籌和協調機制。
3.4 事後：資料出境風險後的恢複重建機制尚未明确
恢複重建就是要杜絕突發事件帶來的短、中、長期影響。主要有兩種類型的活動：第一種是恢複，讓社會生産活動回歸正常；第二種是重構，即對因風險影響無法修複的設施等實施再建。然而，因資料出境發生風險而帶來的影響，不僅包括資料出境處理活動的直接主體，還包括更多與資料相關的間接主體的切身利益，如資料的原始來源方。而大陸相關法律中并未明确對間接主體的告知或補償責任，對資料出境風險後的各個主體的恢複重建機制也尚未明确，沒有從全社會的角度整體提升、防禦風險。
4
完善資料出境安全風險防控的法律對策
風險防控的根本目的是最大限度地預防和減少突發事件的損失，以最小的成本取得最大的成果，從突發事件的不确定性中尋求相對确定性，以便迅速恢複正常秩序。涉及突發事件發生的事前、事發、事中、事後全過程，包含風險的預防與準備、監測與預警、處置與救援、恢複與重建等多個環節，是識别、确認、評估和處理突發事件的過程。目前，大陸對于資料出境安全風險防控的法律機制在立法、司法以及行政執法等方面尚存在不完善之處，亟待制度化、體系化機制建設。是以，确立以“全過程”為核心的總體思路可為大陸資料出境安全風險防控法律機制設定提供風險識别—風險評估—風險規制的分析架構。
4.1 确立以“全過程”為核心的資料出境安全風險防控的總體思路
面對資料出境發生突發事件風險時，在法律規制過程中，一方面，要明确監管主體、應急響應措施迅速，對風險規制模式具有完整的認識，工作重心放在風險規制、風險識别、風險評估、風險處置等環節，建立有效的應對規則；另一方面，政府系統要具有開放性，與社會力量加強互動，動員各行業、各領域的企業等多方力量參與其中，有效進行風險規制，科學識别、評估風險，要結合風險資訊、環境需求、專家意見、公衆偏好、規制資源等因素進行綜合考慮，避免産生衍生災難，或影響措施實施效果。
4.1.1 堅持事前防控，研判風險
預警監測就是利用大資料、區塊鍊等技術，将區域風險監測實時資料與曆史資料多層次、全方位、全視角進行比較，對公共安全現狀勢态及未來演變趨勢進行科學評判，并提前對社會及有關部門提出警告。啟動預警程式必須建立在對突發事件進行科學分析與判斷的基礎上，得出突發事件可能發生或者即将到來的結論；而要得出這種判斷，就需要事前實時監測，及時發現危險征兆，對風險進行科學評估，為預警提供相應的決策依據，将突發事件的威脅及時告知，使其提前做出應急反應，并采取有效的應對措施。加強監測與預警工作，可以最大限度地阻止突發事件演變成災難，監測與預警作為一個完整的階段，有利于促進政府從重救援轉變為重預防，實作應急管理“關口前移，預防為主”。通過釋出預警，提前采取有針對性的補救措施，可以消除潛在的突發事件，減緩突發事件的負面影響，同時還可以加快事後恢複重建的速度。
4.1.2 堅持事發響應，處置風險
風險控制通過對風險的識别、查明來選擇、确定相應的處理方案，進而降低乃至消除風險發生的機率。在應急處置能力方面，提高應急響應和關聯處置水準、資料恢複和資料災備各子系統應急預案體系最為關鍵。首先，管理活動必須建立在對風險管理目标與原則有正确認識的基礎上；其次，風險管理過程要遵循經濟規律；最後，應當采取必要的控制措施以減少或防止事故發生。風險管理作為一項系統工程，不僅涉及企業内部各個層次和部門之間的協調配合，還包括外部有關方面的支援與合作。是以，隻有将資料出境安全風險管理納入一個完整且全面的系統中來進行研究，才能為提高資料出境安全性提供可靠依據，發揮資料價值，降低資料出境風險。
4.1.3 堅持事中管理，控制風險
在應急處置的過程中，必須科學有序地進行管理、控制風險。一是必須充分利用和借鑒各種資訊網絡技術，由于資料出境的特殊性與技術性，特别要發揮先進的資訊技術和有效的應急裝備在資料出境發生風險時應急處置中的作用；二是要充分發揮各類應急專家的外腦作用，形成科學合理的應急處置方案，進而更快更高效地化解風險；三是要充分發揮應急處置的專業作用，具備豐富的處置經驗和熟練使用各種救援裝備的能力；四是要發揮各主體之間的協調處置作用，提高全社會對資料出境的風險應對能力。
4.1.4 堅持事後恢複，規避風險
事後恢複要集中精力、财力和物力，堅持“因地制宜、科學規劃、合理布局、精心設計、分步實施”的原則，按照“政府指揮、部門關聯、社會參與、層層落實”的要求進行，各項工作要責任到位、指揮到位、任務到位、措施到位 。資料出境發生風險後的恢複與重建應以風險社會共融共通為基礎，充分運用大資料、區塊鍊及其他技術，對應急管理恢複重建過程中各類重要資訊進行實時回報與追蹤，在資料出境出現風險後，進行跨部門協同共治，確定資料主體安全性，對危機過後的相關善後工作進行個性化的精準服務。
4.2 推進體系化風險識别監測機制建設
對資料出境的流動風險進行識别，應通過對其風險來源、影響範圍、事件成因及可能産生的結果進行綜合判斷。其中最重要的就是資料出境的風險管理，通過按級别的出境活動或本地儲存，在對資料實施風險識别後，應将确定的安全因素和抽取的價值要素回饋給風險識别組織，并按條件登記存放，這樣就形成了一套完整的資料出境風險識别機制。資料出境風險識别機制是整體機制中的主體部分，每當一個資料出境的行為發生時，将單獨生成區塊内的風險識别過程。為了能夠確定資料安全地傳輸出去，必須對其進行加密處理。當密鑰運作時，資料輸入環節将自動認證識别使用者身份；資料輸出環節則由智能合約完成，将加密存儲于區塊内，進而確定資料安全傳輸。以輔助子產品為支援，記錄資料出境過程中每個細節，将資料出境活動的風險因素、風險來源、風險事項全部記錄在案，并做出判斷，識别結果将在塊内自動備份。是以，建立資料出境風險識别方法是保障資料安全的重要舉措。
此外，在資料出境過程中要加強資訊共享，通過多方協作實作資料共享，将各環節記錄與評判标準內建，甄别資料出境過程風險類别，以增強風險識别的專業性與嚴謹性。
4.3 設立完備的資料出境風險評估名額
在風險被準确識别後，可以從定性和定量兩個方面進行風險評估。在定性分析方面，由于并不是所有風險因素都會導緻突發事件發生，是以，需要對每個風險的發生機率、損害程度進行測算并做出判斷，以此作為風險規制的前提。在定量分析方面，需要根據風險定量分析結果确認突發事件登記，确定已經采取的、将采取的、優先采取的措施，以此作為風險規制的基礎。通過定性分析得出風險的嚴重程度，以定量的方式計算輸出風險分值，将風險發生的嚴重程度與發生的可能性進行分類指派，并結合資料生命周期的全過程進行分段指派，通過風險分值确定資料出境風險評估名額，綜合得出資料出境安全風險的評估結果，如圖 1 所示。
圖 1 資料出境風險評估名額
目前資料出境的管理主要通過《評估辦法》進行審查，《評估辦法》分别對《網絡安全法》《資料安全法》《個人資訊保護法》中與資料出境相關的規定進行積極響應，完成了規則閉環。通過細化《評估辦法》的規定，建立對現有應急措施的完備性、合理性、及時性等的評價過程，有效控制或緩解風險，進而優化應急措施 [15]。是以，不僅要提高資料出境安全鑒定水準，還要增加資料出境安全系數。通過及時釋出資料出境風險評估标準，完善資料出境評估辦法以及相關條例，得到企業、大衆認真驗證與認可；還要同直接利益享有者及其他利益相關者進行座談，建立統一的可信風險評估機制 。
4.4 明确資料出境的突發應急監管主體
在風險社會治理邏輯下，資料出境的突發應急監管主體的設定應當引入協商性原則。行政機關應當通過行政立法的方式成立專門的委員會進行風險監督，規定社會主體、私人企業參與的具體權利與義務。社會主體、私人主體也要參與政府議題設定，以監督相關政府部門進行資料出境處理活動的行為。企業、社會團體、新聞媒體、公民要逐漸成為防範化解資料出境風險的主推力量，通過授權形式賦予行政機關權力，成立專門的資料出境風險議題設定委員會，由其負責相關議題設定。明确資料安全建設職責，明确資料提供者、資料平台提供者、資料使用者、資料安全管理者等多角色責任，充分調用資料出境中各個環節參與者共同參與到資料出境安全的建設工作中。探索完善資料出境安全風險監測技術手段，創新監管理念，優化監管方式，面向國家資料安全重大需求，加快核心技術攻關，探索建立完善的資料出境安全風險監測技術手段，将事前評估與持續監督相結合，圍繞資料出境中和出境後遭到洩露、篡改、丢失、破壞、轉移或者非法擷取、非法利用等多個方面進行風險監測，確定在評估有效期内開展動态過程跟蹤，加強資料出境的識别定位及其傳輸途徑、安全風險分析，最終實作資料出境分布可視、流轉可控、通路可管、風險可預警、關聯處置等能力，不斷提升大陸資料出境監管科學化、規範化、智能化水準。
4.5 确定資料出境突發風險的恢複重建機制
在恢複和善後階段，将相關技術更新用于有效預測資料出境的次生風險，平衡各個主體、各個領域之間恢複重建方案。建立部門共同參與協同的應急績效評價機制，針對區域資料出境治理中決策協同、資源協同、資訊協同和執行協同的重要步驟，對多元資料進行總體分析，挖掘關鍵績效名額，評價應急系統所獲得的總體治理程度。對資料出境，應靈活利用其特性及“大資料 + 區塊鍊”技術，對參與應急的部門和企業進行一一評估，重點是評估部門及企業的應急預案合理程度、應急隊伍專業程度和應急演練熟練程度，對協同應急治理中各個部門的工作表現進行科學客觀地評估。同時，基于資料出境風險的應急過程中對全量資料進行分析的結果，制定一套完善的應急處理法律機制，然後通過歸納科學有效的應急處理方法和過程，進而提升應急處理的整體能力。
除此之外，要積極引入“應急關口提前，管理重心下沉”的治理理念，借助大資料挖掘技術和區塊鍊的可溯源、防篡改等技術特點，建立一個多途徑、更加準确的公衆心理安撫機制，降低因資料出境給社會帶來的危害、給大衆帶來的風險。有關主體應在風險事發時按職責權限行事，重大資料出境安全風險應對工作完成之後，各個部門和企業必須進行調查評估，将總結調查報告報送資料出境運作中心，對于事件發生的原因、性質、影響、職責等進行具體分析和評價，提出處理建議及改進措施。同時根據有關法律規定，對應急處置工作采取責任追究制。
５
結 語
盡管大陸在資料風險管理等方面取得了一定的成就，但是從研究内容來看，仍然側重于靜态體制機制建設，關于社會風險管理、公共危機治理的政策比較零散，缺少明确系統的制度建設。目前，對突發風險事件的處理往往需要政府、企業等多方力量統一協調部署，但仍存在部門分散、資訊不同步、處理過程步驟雜糅、效率低下等問題。應急處置方案可能存在條塊分割、重複建設、技術不足，或者體系覆寫面不夠等深層次問題。同時，在落實具體應急措施時，由于相關應急機制不健全，缺乏協調統一的實施方案，以及缺少應急狀态下容錯糾錯機制，在資料出境流動過程中，可能會僵化地執行安全評估辦法，造成資料流動風險，不利于資料流動的發展。
大陸資料出境安全風險防控機制要遵循“全過程治理”理念，發揮風險社會中各社會主體的作用，始終把全局觀作為風險識别、處置等問題的出發點和落腳點，以維護國家安全觀作為價值追求。要統籌規範資料相關各方，完善資料出境安全的頂層設計，兼顧資料出境各方責任與義務，健全資料出境應急保護制度體系，動态評估與防範化解外部風險。
免責聲明：本文轉自資訊安全與通信保密雜志社，原作者趙麗莉 , 祝曉璐。文章内容系原作者個人觀點，本公衆号編譯/轉載僅為分享、傳達不同觀點，如有任何異議，歡迎聯系我們！
轉自丨資訊安全與通信保密雜志社
作者丨趙麗莉 , 祝曉璐
研究所簡介
國際技術經濟研究所（IITE）成立于1985年11月，是隸屬于國務院發展研究中心的非營利性研究機構，主要職能是研究大陸經濟、科技社會發展中的重大政策性、戰略性、前瞻性問題，跟蹤和分析世界科技、經濟發展态勢，為中央和有關部委提供決策咨詢服務。“全球技術地圖”為國際技術經濟研究所官方微信賬号，緻力于向公衆傳遞前沿技術資訊和科技創新洞見。
位址：北京市海澱區小南莊20号樓A座
電話：010-82635522
微信：iite_er