文章分类

知识产权

因导出数据缺乏安全策略而产生的风险

您刚刚通过电子邮件向合作伙伴发送了一个包含客户列表的Excel文件。几周后，整个数据集出现在网上出售。谁将对此负责？贵公司将如何应对数千万越南盾的行政罚款和严重的声誉危机？这就是为什么导出数据的安全策略不再是可选的，而是每个企业的强制性要求。加入NPLaw，探索如何为所有导出数据构建一个强大的保护框架，确保您的业务的全面信息安全。

I.出口数据安全政策的现状

在技术快速发展和信息持续流动的背景下，数据日益成为每个组织和企业的宝贵资产。然而，安全链中一个经常被忽视的漏洞在于从主管理系统导出数据的阶段。它包括将数据复制到USB驱动器、通过电子邮件发送、打印文档或将信息传输给第三方。

在实践中，许多企业主要关注保护留在内部服务器或系统中的数据，但未能建立明确和全面的安全策略来管理导出的数据。因此，由于员工的疏忽或故意行为，数据泄露事件经常发生。例如，员工可以将客户数据库下载到个人设备上；经理可以打印机密文件，并将其放在公共打印机上无人看管；或者数据可能在没有加密或适当监控的情况下传输给合作伙伴。这些漏洞可能会导致商业机密的丢失、违反个人数据保护规定、经济损失和企业声誉的严重损害。

因此，在当今的数字商业环境中，识别风险并积极制定 导出数据的安全策略 不仅是一项紧迫的要求，也是确保全面信息安全的关键因素。

II、导出数据的安全策略概念

1.导出数据的安全策略是什么？

导出数据的安全策略是指企业发布的一套规则、规定、程序和技术措施，用于在敏感信息和数据在企业官方存储和处理系统之外移动、复制、传输或打印时对其进行控制、保护和管理。目标是在数据离开受控环境的过程中防止未经授权的访问、滥用、披露、更改或销毁数据。

简单地说，导出数据的安全策略是最终的保护屏障，一旦企业的宝贵信息不再存储在官方系统中，就可以保护这些信息。

2.哪些类型的数据被视为需要保护的导出数据？

需要保护的导出数据包括以各种形式从内部系统传输到外部环境的属于企业的任何敏感或重要信息。此类数据可能包括但不限于：

个人数据：客户信息（姓名、地址、电话号码、电子邮件、公民身份证号码）、员工数据和合作伙伴信息。
商业秘密：产品配方、制造工艺、供应商名单、营销策略、商业计划和研发（R&D）数据。
财务数据：财务报表、会计记录、交易信息、利润数据和工资数据。
知识产权资产：软件源代码、产品设计、技术图纸和受版权保护的材料。
合同数据：与客户、合作伙伴和供应商的协议。
其他敏感内部数据：战略会议纪要、重要内部沟通和市场研究数据。

数据导出的形式可能包括将数据复制到USB驱动器或便携式硬盘、通过电子邮件发送、上传到个人云存储服务、打印文档、捕获屏幕截图或通过消息应用程序传输。

属于企业的任何敏感信息一旦离开官方管理系统，就会成为需要特殊保护的导出数据。

3.安全策略必须防止与导出数据相关的常见风险是什么？

导出数据的安全策略应主要解决和减轻以下常见风险：

员工疏忽造成的数据泄露：这是最常见的风险。员工可能会无意中将敏感信息发送给错误的电子邮件收件人，将包含数据的设备留在公共场所，打印机密文件而不检索，或将数据复制到不受保护的个人设备上。
故意数据盗窃：员工可能会故意复制或提取数据以谋取个人利益，将其出售给竞争对手，或在离开组织后利用其损害企业。
恶意软件感染：包含导出数据的便携式存储设备，如USB驱动器或外部硬盘，可能会感染恶意软件，从而危及企业系统或导致数据被盗或损坏。
未经授权访问导出数据：存储在不安全设备上的数据，如没有密码的个人电脑或公共云平台，可能会被未经授权的第三方访问。
违法行为：泄露客户个人数据或商业秘密可能导致违反适用的法律法规，从而导致行政处罚和索赔。

因此，导出数据的安全策略必须设计为在数据离开受控系统后全面解决并尽量减少人为和技术风险。

III、与导出数据安全策略有关的法律法规

1.导出数据的安全策略应包括哪些内容和措施？

根据第13/2023/ND-CP号法令第26、27和28条，导出数据的安全政策必须适用于整个数据处理生命周期，并包括以下主要内容：

首先，关于管理措施（第26条第2款a项和第27条第2项），组织必须发布内部规定，明确数据分类方法和访问权限限制。只有授权人员才能通过批准的渠道导出数据，对违规行为必须采取严格的纪律措施。

其次，关于技术措施（第26条第2款b点和第27条第4款），除了加密传输信道和存储设备外，法律还要求在数据处理之前对系统和设备进行强制性网络安全检查。此外，一旦不再需要数据，必须将其永久删除或销毁存储设备，以确保绝对安全。

第三，关于敏感的个人数据（第28条），安全流程必须包括额外的步骤，例如任命负责数据保护的人员或部门（其详细信息必须告知主管当局），并通知数据主体其数据正在被处理。

因此，对导出数据的有效安全策略必须严格遵守法律要求，结合明确的管理规定、强有力的技术保障措施（包括安全测试和不可逆删除）以及敏感数据的专门监督机制。

2.关于为出口数据制定安全政策，现行法律有何规定？

越南法律中没有单独的法律文书专门规范出口数据安全政策的制定。然而，以下法律文件构成了要求企业制定内部数据保护政策的法律依据，包括管理导出数据的政策：

关于个人数据保护的第13/2023/ND-CP号法令：这是要求处理个人数据的组织和个人实施保护措施的最重要的法律文书，包括关于个人数据防护措施的第26条、关于基本个人数据防护的第27条、关于个人数据控制者的责任的第38条和关于个人数据处理者的职责的第39条。
2015年《网络信息安全法》：该法规定了确保信息安全的责任，包括保护个人信息。第7条严格禁止侵犯网络安全的行为，包括非法收集、使用、披露或交易他人的个人信息。
2005年《知识产权法》（2009年、2019年和2022年修订）：该法第84条为商业秘密提供了法律保护，第120条禁止侵犯商业秘密权的行为。此外，2019年《劳动法》（第16条）规定了在雇佣关系中保护商业和技术秘密的义务。

因此，现有的个人数据保护、网络安全和知识产权法规构成了坚实的法律基础，要求企业制定管理导出数据的安全政策。

3.谁负责实施和监督导出数据的安全政策？

对导出数据的安全策略的实施和监督需要组织各级明确界定责任，而不是依赖于单个个人。

首先，企业领导层在批准政策和确保为其实施提供充足的财政和技术资源方面拥有最高权力。这一责任符合第13/2023/ND-CP号法令第26条，该条要求数据控制者实施组织和技术措施，证明符合个人数据保护法，并定期审查和更新这些措施。

在运营层面，专业部门（如IT或CISO部门）负责设计技术解决方案、监控风险和开展意识培训。同时，部门负责人负责监督其团队内员工的合规性。

最后，每位员工负责直接实施安全数据导出程序并报告事件。2019年《劳动法》第21条第2款加强了这种个人责任，该条款规定了员工保护组织商业和技术秘密的义务。

总之，数据安全是整个组织系统的集体责任，而不仅仅是技术部门的责任。

4.对不遵守出口数据安全政策的制裁

如果企业未能实施有效的安全策略或忽视对导出数据的保护，导致信息泄露，其后果可能在行政、民事和刑事方面都很严重。

首先，关于行政责任，《2025年个人数据保护法》第8条规定了严厉的制裁措施。对于个人数据保护领域的普通违规行为，行政罚款可能高达30亿越南盾。特别是，涉及跨境数据传输的违规行为可能会被处以高达企业上一年总收入5%的罚款，而非法数据交易可能会导致高达所获非法利润十倍的罚款。

其次，关于民事责任，根据2015年《民法典》第584条，企业必须赔偿客户或合作伙伴因数据泄露造成的物质或精神损害而遭受的所有实际损失。

第三，关于刑事责任，在涉及犯罪分子的严重案件中，根据2015年《刑法》（2017年修订），责任人可能因非法提供或使用计算机或电信网络上的信息（第288条）、非法侵入计算机网络或电子设备（第289条）或非法披露、挪用、交易或销毁国家秘密（第337条）等罪行而被起诉。

除了法律制裁外，企业还可能面临严重的声誉损害和客户信任的丧失，这可能对业务运营产生长期影响。

IV、关于导出数据的安全策略的问题

1.该政策是否要求保留数据导出活动的记录？

安全策略必须包括要求记录和保留所有数据导出活动日志的规定。它是确保透明度和在事件发生时实现可追溯性的关键机制。

从技术上讲，系统应自动记录详细信息，如执行导出的用户的身份（帐户名）、导出时间、数据内容（文件名和数据类型）、目的地（存储设备、电子邮件或打印机）和使用目的。这些日志应集中管理，通常通过SIEM系统，并在规定的保留期内（例如12或24个月）严格保护，防止未经授权的删除或修改。

该要求基于第13/2023/ND-CP号法令第38条第2款，该条款规定个人数据控制者有义务记录和存储与数据处理活动有关的信息，以方便主管当局进行检查。

同时，日志记录也是本法令第26条第2款b点规定的强制性技术措施之一，也是2015年《网络信息安全法》规定的信息系统安全标准。

2.通常使用哪些技术措施来保护导出的数据？

在实践中，通常会采取以下技术措施：

数据丢失防护（DLP）系统，用于检测和控制敏感信息的传输。
笔记本电脑、USB驱动器和外部硬盘等存储设备的数据加密。
在传输过程中使用SSL/TLS等协议进行加密，用于电子邮件和VPN进行网络通信。
端点管理系统，用于控制员工设备并限制未经授权的USB使用。
基于角色的访问控制（RBAC），以确保只有授权人员才能访问和导出敏感数据。
与SIEM解决方案集成的日志记录和监控系统。
提供版本控制和访问跟踪的安全文档管理平台。

结合多种技术措施对于确保导出数据的安全策略的有效性至关重要。

3.导出数据的保留期是如何确定的？

法律没有规定适用于所有类型导出数据的具体保留期。相反，保留期取决于几个因素，包括以下因素：

数据处理目的：数据应仅在实现最初指定的处理目的所需的时间内保留。第13/2023/ND-CP号法令第3条第7款规定了这一原则。
数据敏感度：数据越敏感，外部设备或导出渠道上的保留期应越短，以尽量减少潜在风险。
企业内部政策：企业应制定自己的内部规定，规定各种导出渠道不同类别数据的最长保留期（例如，导出到USB设备的数据最多只能存储24小时，而通过电子邮件发送的数据只能在发送邮箱中保留一段时间）。

因此，企业必须制定明确的保留期政策，并在保留期到期后实施安全的数据销毁程序，从而防止导出数据的无限期存储。

4.导出数据的安全策略中是否要求数据加密？

数据加密通常被认为是一项强制性技术要求，特别是在将数据导出到外部存储设备或通过网络传输数据时。

尽管第13/2023/ND-CP号法令第26条广泛提及“技术措施”，但加密被广泛认为是防止未经授权访问的最基本技术保障。

因此，在便携式设备上存储导出数据以及通过电子邮件或公共网络传输信息时，政策应要求加密。

5.该政策是否涵盖访问、修改和删除导出数据的权利？

管理导出数据（即离开内部系统的数据副本）的安全政策必须包括关于访问、修改和删除权限的明确规定，以确保符合第13/2023/ND-CP号法令第9条规定的数据主体的权利。具体而言：

首先，关于访问权限，该政策必须根据最小特权原则明确确定谁有权访问导出的数据。这一要求旨在遵守关于数据保护措施的第13/2023/ND-CP号法令第26条，确保导出数据的行为不会造成允许未经授权的个人访问敏感信息的漏洞。

其次，关于修改权，根据关于更正个人数据的第13/2023/ND-CP号法令第15条，该政策通常限制或禁止直接修改导出数据。目的是保持信息的一致性和完整性。必须对原始系统（主数据）进行任何修改，之后如有必要，可以导出新版本，从而防止同一数据的多个更改副本造成的不一致。

第三，关于数据删除权，这是关于个人数据存储、删除和销毁的第13/2023/ND-CP号法令第16条规定的最关键方面。该政策必须明确规定，当数据主体撤回同意或数据处理目的已实现时，企业必须实施程序，审查并安全删除（以防止恢复的方式）存储在临时存储设备、USB驱动器或个人计算机上的所有导出副本，而不仅仅是从中央服务器系统中删除数据。

总之，导出数据的安全策略不仅是一种防止数据泄露的机制，也是一种治理工具，使企业能够有效地管理数据生命周期，并确保用户始终保持对其个人信息的控制。