1、埃森哲数据出境合规白皮书目录03中国数据出境安全的法律环境和要求03数据出境安全评估办法的要求07埃森哲数据出境安全合规服务05数据出境场景下的企业痛点10数据安全保障能力建设服务15埃森哲的安全服务能力06数据发现与分类难08数据发现和分类分级服务06数据流梳理和风险识别难09数据安全风险评估服务09为客户合规持续提供安全服务06持续合规和技术落地难111214构建数据安全治理体系的能力构建全场景的数据安全技术防护能力构建持续改进数据安全运营管控能力090909个人信息保护影响评估 数据安全保障能力评估数据出境安全评估2 埃森哲数据出境合规白皮书中国据的律环和据评估办的随着数字经济的发展，数

2、据跨境活动日益频繁，数据出境需求也在快速增长。但因不同国家和地区法律制度和保护水平等存在差异，数据出境安全风险也随之激增。数据跨境活动不仅影响个人信息权益，还事关国家安全和社会公共利益。为了规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动，国家网信办依据 中华人民共和国网络安全法（下文简称 网安法）、中华人民共和国数据安全法（下文简称 数安法）、中华人民共和国个保法（下文简称 个保法）有关数据出境规定，制定了 数据出境安全评估办法。上述三部基础法律都有对数据本地化和数据跨境的要求。2017 年生效的 网安法 首次以法律的形式规范了数据跨境传输活动，即关

3、键信息基础设施运营者(“CIIO”)应当将其收集的个人信息和重要数据存储在境内，若确因业务需要向境外传输，需要依法进行安全评估。此后，数安法 和 个保法 分别对重要数据和个人信息的出境安全评估提出要求，同时其他相关规范性文件、国家标准等陆续出台，对个人信息、重要数据等不同数据类型涉及的法律风险和所需的保护提出不同要求，形成宽严不同的数据跨境流动管控政策。国家互联网信息办公室公布并于 2022 年 9月 1 日生效的 数据出境安全评估办法（以下简称“办法”），明确了需要申报数据出境安全评估的情形，并且将个人信息和重要数据均视为规制对象，落实了三部上位法的数据出境管理规定和要求，为数据处理者申报数

4、据出境安全评估提供了确定性的法律依据。图 1：数据出境场景任何主体任何数量个人信息1.关键信息基础设施运营者；2.处理100万人以上个人信息；3.自上年1月1日起累计向境外提供10万人个人信息敏感个人信息自上年1月1日起累计向境外提供1万人敏感个人信息的数据处理者向境外提供个人信息涉及个人信息处理数据出境场景场景一：场景二：向境外提供数据处理者收集和产生的数据在境内，境外的机构、组织或者个人可以访问或者调用数据处理者将在境内运营者收集和产生的数据传输、存储至境外涉及重要数据处理网信办认为的其他情形3 埃森哲数据出境合规白皮书办法涉及了两类主体和两类数据。两类主体：关键信息基础设施运营者：关键信

5、息基础设施是指面向公众提供网络信息服务，或支撑能源、通信、金融、交通、公用事业等重要行业运行的信息系统或工业控制系统，且这些系统一旦发生网络安全事故，会影响重要行业正常运行，对国家政治、经济、科技、社会、文化、国防、环境以及人民生命财产造成严重损失。一般网络运营者：其他非关键信息基础设施运营者的企业和组织被作为一般网络运营者。两类数据：个人信息：根据中国个保法和国家标准 个人信息安全规范（GB/T-35273-2020）中对个人信息的定义，“识别性和关联性”是判断个人信息的根本依据。可识别性的例子如姓名，关联性的例子如个人浏览记录。法律还区分了普通个人信息和敏感个人信息，对于敏感个人信息需加强

6、保护。敏感个人信息如指纹、声纹、虹膜、面部识别特征等生物识别数据。重要数据：2017 年中国网络安全法第三十七条首次提出了“重要数据”的概念。数据出境安全评估办法中明确定义了重要数据：一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据。办法明确了数据出境活动的两种场景：一是数据处理者将在境内运营中收集和产生的数据传输、存储至境外。二是数据处理者收集和产生的数据存储在境内，境外的机构、组织或者个人可以查询、调取、下载、导出。办法规定了两种评估形式：出境风险自评估和申报数据出境安全评估。且出境风险自评估是申报数据出境安全评估的前置程序。为了

7、更好地指导和帮助数据处理者规范、有序申报数据出境安全评估，国家网信办制定了 数据出境安全评估申报指南（第一版）。指南 对数据出境安全评估申报方式、申报流程、申报材料等具体要求做出了明确说明，数据处理者因业务需要确需向境外提供数据、符合数据出境安全评估适用情形的，应当根据 办法 规定，按照 指南 申报数据出境安全评估。根据 指南 中明确的申报材料及自评估报告模板，企业应当在完成自评估后的3个月内进行数据出境安全评估申报，且至申报之日未发生重大变化。4 埃森哲数据出境合规白皮书据场下的 业点5 埃森哲数据出境合规白皮书5 埃森哲数据出境合规白皮书数据发现与分类难在云计算、移动互联、大数据、物联网等

8、技术的普及应用下，企业在业务发展过程中产生了海量的数据，类型复杂，且存储分布于云上、云下，甚至移动端等不同位置及信息系统中。如何对这些数据进行统一的发现是一大难点。同时，对于数据属性识别和分类，即个人信息和重要数据的识别及分类，在数据梳理时尤为重要，不同法域对个人信息、重要数据等概念的定义存在差异甚至冲突，也给企业出境数据的属性识别和应用管控带来了极大挑战。数据流梳理和风险识别难随着企业数字化的推进，各业务的信息系统变得十分丰富，不同业务系统之间存在大量的数据流转，企业内部系统与外部甚至全球业务系统间的交互也更加频繁，导致数据流转路径的发现和识别也成为企业应对数据跨境合规的难点之一。此外，企业

9、对于潜在的数据跨境流转没有统一的风险识别方法和风险量化标准，很难评估数据跨境风险，以及对企业的影响。不同国家和地区对于数据跨境治理和风险识别的要求和侧重点也不尽相同，所以企业需要考虑不同国家地区的数据跨境规则，充分理解全球数据跨境合规要求和监控法规的发展也是一个挑战。持续合规和技术落地难数据跨境合规是一个长期且持续监控、定期评估、不断优化的过程，企业需要投入大量的专业人员与财力、物力来不断完善数据跨境合规治理的相关能力和技术建设。这对企业的数据跨境合规应对和治理能力提出了考验。安全保障技术措施也是数据跨境合规工作中的重点，例如跨境数据的发现识别与分类分级，数据收集、存储、使用、加工、传输、提供

10、、公开、删除等全流程的安全技术措施，数据安全合规审计，响应数据跨境主体的权利请求和应急响应以及持续运维。如何选择适当的安全技术工具并制定合理的响应规则与运营流程，也是企业在建设数据跨境安全技术保障措施时需要考虑的重点因素。6 埃森哲数据出境合规白皮书据 规服务7 埃森哲数据出境合规白皮书7 埃森哲数据出境合规白皮书埃森哲基于自有、成熟的数据保护框架，并结合市场领先的平台与工具，针对客户实际的业务场景，通过理解来自系统、数据库、对象存储、跨IT基础设施的应用程序等不同类型的数据源，自动化进行数据发现、数据目录的建立、数据分类与映射等多维度的成果输出，提供从数据跨境涉及的数据对象的梳理、评估数据跨

11、境传输的场景及潜在的风险、结合隐私数据保护规划健全的数据保护平台，到平台工具的落地实施与持续合规运营服务，帮助客户实现长期可持续的数据跨境合规。图 2：数据出境安全合规服务整体框架要开展数据出境安全评估工作，不管是评估数据出境的有效安全性，还是部署相关数据保护工具及后续运维，数据分类分级都是不可跳过的一个重要步骤。埃森哲采用自有、成熟的方法，并结合先进的第三方数据发现与分类平台，集成了自动数据源扫描、模型匹配、数据统计、机器学习与智能分析等技术，完成数据发现、数据意义识别、业务类型确认、数据分类、数据目录建立与数据主体映射等工作，为客户的数据跨境合规及数据安全保护提供可持续经营的支撑。数据发现

12、和分类分级服务数据出境安全合规服务技术控制战略和程序开发数据发现分类分级数据发现分类分级数据映射.分类分级加密/脱敏去标识化匿名化访问控制监控审计.数据安全风险评估PIA/DPIA数据安全保障能力评估数据出境评估.数据安全保障能力数据安全治理体系数据安全技术防护数据安全运营管控持续改进.8 埃森哲数据出境合规白皮书数据安全风险评估服务埃森哲可以提供端到端的数据安全风险评估服务，包括个人信息保护影响评估、数据安全保障能力评估和数据出境安全评估。个人信息保护影响评估个人信息保护影响评估是各组织和企业在我国 个保法 下的一项关键义务，也是个人信息保护的必经之路。埃森哲的个人信息保护影响评估依据 个保

13、法 和国家标准，综合考 虑业务和合规性，分析业务场景，梳理个人信息的全生命周期以及梳理数据流向图，帮助客户实现从咨询到落地的端到端的风险评估服务。数据安全保障能力评估埃森哲数据安全保障能力评估，依据数据出境安全评估办法及相关国家标准，对企业的数据安全管理能力和数据安全技术能力进行评估，包括管理组织体系和制度建设情况，全流程管理、分类分级、应急处置、风险评估、个人信息权益保护等制度及落实情况；以及在数据收集、存储、使用、加工、传输、提供、公开、删除等全流程所采取的安全技术措施等；对数据自身及其处理过程中的技术保障能力以及其固有风险进行评估，基于数据全生命周期的技术保障成熟度进行分析，包括数据保护

14、现状分析，数据保护风险识别，数据保护控制措施等端到端的数据安全保障能力评估服务。数据出境安全评估埃森哲依据 个保法、数据出境安全评估办法 和国标等要求为客户在申报数据出境前提供数据出境技术相关的服务。根据 数据出境安全评估申报指南（第一版）埃森哲提供的技术服务内容如下：数据出境涉及业务和信息系统情况梳理 拟出境数据情况评估 数据处理者数据安全保障能力情况评估同时，对于数据出境安全自评估中发现的风险，埃森哲凭借丰富的实践经验，能够帮助客户完成相应的风险整改与技术落地，如数据安全制度与流程的建立、应用迁移、数据本地化等相关方案的设计与落地实施及持续运营。通过数据出境安全评估的结果有效期为 2年。有

15、效期满或者向境外提供数据的目的、方式、范围、种类和境外接收方处理数据的用途、方式发生变化影响出境数据安全的，需要重新申报。埃森哲可以帮助客户在有效期届满 60 个工作日前重新申报评估。为客户合规持续提供安全服务安全合规是一个需要结合法律法规和外部环境的不断变化而持续动态调整的过程，埃森哲结合自身在数据安全咨询、技术能力整合和安全落地运营的端到端交付能力的经验和优势，依据Plan-Do-Check-Action 的持续改进理念，由持续评估作为起点，通过差距分析来发现各个阶段数据安全防护的弱点，通过补充技术能力、调整防护策略、优化监测规则、提升响应效率以及加强综合分析预测能力，推动数据安全持续合规

16、，保障数据跨境合法、合规地进行，持续地为客户合规提供全面的端到端的安全服务，为企业的跨境业务保驾护航。9 埃森哲数据出境合规白皮书据保力设服务10 埃森哲数据出境合规白皮书数据安全法 明确指出，开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，采取相应的技术措施和其他必要措施，保障数据安全，应当在网络安全等级保护制度的基础上，履行数据安全保护义务。数据出境安全评估申报指南 也明确了等保测评认证作为数据处理者数据安全保障措施有效性的证明。等级保护（MLPS）标准由公安部(MPS)牵头制定，并推动各省地市区县公安局监督执行。该标准几乎适用于中国的所有组织，是在中国运营的国内

17、外公司所必须遵守的一个重要网络安全合规标准。埃森哲可以帮助客户构建基于等保合规的全面的安全能力，更多详细信息请参考埃森哲等级保护白皮书。埃森哲基于丰富的行业战略咨询经验与解决方案落地及运营能力，为客户提供从数据安全治理体系规划咨询、数据安全技术能力落地实施、数据安全能力评估及数据安全运营服务（包括跨境场景下典型应用的整改方案及落地实施，如云安全设计、云迁移、Salesforce 本地化、Workday 敏感信息拆分、SAP 迁移等，更多详细信息请参考 SAP 解决方案助力跨国企业根植中国），不仅帮助客户满足数据安全合规要求，同时提升客户整体数据安全保障能力，促进企业业务健康可持续地发展。埃森哲

18、还可以帮助客户从以下三个方面构建更全面的数据安全保障能力：构建数据安全治理体系的能力数据安全治理是基于数据安全相关法律法规、标准规范等国家和行业合规要求，结合用户的业务发展需要和风险承受能力等多重因素，以“数据安全管理和技术能力”为依托，实现业务与安全融合发展的安全建设机制。埃森哲数据安全治理体系建设以“数据”为中心，从组织、流程、技术和人员四个维度，通过构建全流程、可闭环的完整链条，确保数据资产可视、数据威胁可管、数据风险可控。规避因数据合规问题导致业务受阻的风险。埃森哲数据安全治理服务从企业数据安全合规建设的痛点出发，协助企业高效、敏捷、低成本地实现全生命周期数据安全治理服务。图 3：数据

19、安全治理服务1324数据安全治理服务数据&隐私保护DPIA 管理合规仪表盘人员组织管理整个生命周期的数据和隐私保护。使用DPIA来识别数据和隐私风险，制定缓解措施并将其转换为产品要求，并在整个过程中跟踪风险的闭环。显示数据和隐私风险统计的一个透明和清晰的仪表盘。内部：安全意识的提高外部：合作伙伴/第三方管理。法规&标准数据分类数据生命周期管理数据影响评估第三方风险管理数据出境应用程序设计数据隐私风险统计按系统/部门划分的合规报告系统修复建议隐私设计员工认知度统计组织政策&程序技术11 埃森哲数据出境合规白皮书当今数据安全合规趋势和风险环境都在动态变化，埃森哲建议企业在“以边界为核心”的安全框架

20、基础上，建立“以数字身份和数据资产”为核心的新型防护体系，从静态的数据存储和访问安全保障，转向跨系统、跨平台甚至跨行业、跨地域的全场景数据流通保护，形成数据全生命周期防护、监测以及相应的运营活动，并持续评估改进防护能力，保护数据免受外部和内部威胁，以应对当今不断变化的安全态势。埃森哲与多家市场领先供应商保持着强大的合作伙伴关系，并在多个行业积累了丰富的最佳实践经验，凭借全球化的生态合作伙伴体系，为用户提供全方位、多层次的安全能力以及解决方案。埃森哲可以帮助客户在以下方面构建全面的数据安全技术防护能力：图 4：自适应的数据安全治理框架 采用自适应的安全框架作为企业建设数据保护能力的指引，帮助企业

21、构建自适应的数据安全运营防护能力和应急响应体系流程，实现多维度、细粒度、持续化地数据安全风险检测与防护，保护核心数据资产的安全流动。构建全场景的数据安全技术防护能力自适应的安全弹性转型管理策略检测运营保护应对&预防知道要保护的对象，了解威胁。定义安全架构和路线图。计划速赢和长期的改进。实现独立/自主弹性，同时减少来自未知的影响。利用预测性分析，不断提高数据安全性。了解、确定优先次序，并解决以确定的安全漏洞。对来自攻击和其他安全事件的可见性操作做出反应。推动跨职能部门的综合和协作式安全风险管理。业务驱动适应性回应以数据为中心预测性反应整体性保护持续性管理启用零信任自动化协调12 埃森哲数据出境合

22、规白皮书图 5：数据安全生命周期保护图 6：零信任的数据安全治理框架 以数据资产为中心，利用隐私计算技术，实现数据“拥有权”和“使用权”的分离，确保“数据可用不可见”，实现数据在开放共享过程中的安全使用和流通需求；通过驱动级智能加密、数据防泄漏、数据脱敏、数字水印、安全网关、数据库审计等技术和产品的融合，实现数据在生产、开发、测试、应用、运维等多场景下的数据全生命周期的安全保障。以数字身份为中心，搭建零信任访问控制系统，通过统一身份、动态鉴权、持续评估，实现跨网融合场景下访问行为的动态、细粒度管控，预防可能出现的内部数据泄露和外部攻击风险。数据安全生命周期保护IAM,Log&Monitorin

23、g,UEBA,IR,.收集 应用程序安全 端点安全 数据发现 数据分类.传输 VPN TLS/SSL.存储 存储安全 备份和恢复 硬件安全模块.使用 数据加密/数据屏蔽 水印 DLP SWG 应用程序/API安全 隐私计算.删除 媒体销毁 保留政策.使用分析自动化设备网络应用数据治理建立适用于所有人员的明确访问政策和标准，利用自动化流程，以接近实时的方式授予和批准对服务、数据、协作的访问。治理为取代传统VPN，实施一个现代化的、有弹性的、安全的远程访问解决方案。对网络进行分割，以实现最小权限并隔离传统的应用程序。网络通过多要素认证加强用户访问控制，利用风险评分对访问请求进行更深入的评估。用户通

24、过执行设备识别和安全态势来保护端点，并以自动检测和响应异常情况作为补充。设备持续评估零信任态势。分析行为属性，如用户、设备、网络流，以衡量与零信任基线的偏差。分析更新应用程序以支持现代化认证和强加密。用云中的容器保证安全。用认证代理解决遗留问题。应用为定义访问策略，对数据进行分类，确保静态数据和动态数据的安全。数据根据访问请求的风险，自动适应和应用不同的政策。对威胁进行实时检测和响应。自动化13 埃森哲数据出境合规白皮书安全运营是企业安全建设中重要的一环，埃森哲全球化的安全托管服务，结合了专业人员、技术、相关流程，可以帮助客户解决专业人员、事件响应能力的不足，帮助客户实现从架构设计、方案落地到

25、安全运营的端到端交付。数据安全建设不是一蹴而就、一成不变的，需要根据法律法规和外部环境的变化而动态调整、持续改进，无法做到一劳永逸。埃森哲按照PDCA 循环帮助客户在组织、流程、人员、技术四个维度进行数据安全建设，依据四个维度在规划阶段建立数据安全治理体系，在实施阶段落地运行数据安全技术和能力，在检查阶段监视评审数据安全能力，在处置阶段持续改进数据安全能力，更好地帮客户实现持续合规和保障数据安全。构建持续改进数据安全运营管控能力图 7：数据安全运营能力图 8：持续合规规划 Plan检查 Check 安全事件处理流程 应急响应流程 持续监测流程 配置变更流程 安全运维流程 数据泄露处置流程 跨部

26、门协作流程 全天候 7x24 小时服务 安全培训教育服务 数据安全能力建设规划 数据安全能力评估 数据合规检测 数据安全测试服务 个人数据流动分析 重要数据流动分析 端、网、管以及云的全方位 数据安全技术落地 数据安全领域的 ML 和 AI 多源威胁情报的使用 数据使用行为的分析 专业安全技术人员 多领域安全专家 驻场远程灵活安排 全球资源协同支持流程服务技术人员相关方实施Do数据安全要求和期望相关方处置Act受控的数据安全建立数据安全治理体系监视评审数据安全能力实施运行数据安全能力持续改进数据安全能力14 埃森哲数据出境合规白皮书的 服务力15 埃森哲数据出境合规白皮书在数据安全治理和服务方

27、面，埃森哲可以帮助客户：建立数据清单和数据安全评估申报材料，避免合规风险 对向第三方传输数据的数据处理活动进行第三方风险评估 对所有数据存储库中的数据类型进行自动数据发现和分类分级特别关注存储在第三国或有可能访问这些数据的个人数据 通过审查控制措施与适用的行业标准(如MLPS/NIST/ISO27001)和法规、国家和业务特定要求的对应关系，评估现有数据安全控制措施的成熟度 对等级保护定级、整改、测评、备案和持续改进提供全流程的技术咨询服务 基于国家法律法规和等级保护的要求，采用自适应的安全框架，设计和实施满足国家合规要求的企业安全能力 构建基于事件的应急响应机制以满足监管部门的合规要求 部署

28、 IAM/PAM，搭建以数字身份为中心的访问控制系统，实现统一身份管理、动态鉴权和持续评估 构建零信任的安全框架以适应面对未来的主动的安全防护方案 评估和部署适当的加密机制和密钥管理解决方案 建立数据防泄漏机制，防止数据处理过程中的敏感数据流出 采用脱敏、数字水印、安全网关、数据库审计等技术和产品的融合，保障多场景下的数据全生命周期的安全保障 设计、实施微隔离技术应对传统环境、虚拟化环境、混合云环境、容器环境下对于东西向流量隔离的需求 设置、部署和管理 SIEM(安全信息和事件管理)和 SOC(安全运营中心)开发、部署和完善流程，以应对数据主体访问请求、授权请求和违规通知 构建和部署数据删除程

29、序，在特定环境下清除数据处理活动中传输的数据16 埃森哲数据出境合规白皮书同时，埃森哲的端到端安全服务能力可以针对企业自身的需求，从安全合规、网络防御、应用和网络安全到安全托管服务，从准备并应对安全风险和威胁到转换企业全面安全能力，再到大规模运行企业安全能力等方面提供涵盖企业信息安全全生命周期的安全解决方案，为企业客户提供定制化的专业服务，帮助企业持续提升整体的合规能力，解决在数据跨境过程遇到的痛点，降低合规风险，提升整体安全竞争力，满足安全战略和技术的双重需求。图 9：埃森哲全面的安全能力法律法规、信息安全体系、最佳实践1.安全合规咨询 2.安全能力建设3.安全运营托管埃森哲信息安全服务能力

30、概述安全监控代码安全安全法规安全能力安全治理网络应用数据访问控制虚拟化基础架构/云中国网络安全相关法律、法规和标准，如网络安全法、数据安全法、个人隐私保护法和数据跨境安全评估办法等。安全运营整体安全运营能力建设安全运营中心-SOC建设解决方案安全监控代码审计17 埃森哲数据出境合规白皮书于埃森哲公司注册于爱尔兰，是一家全球领先的专业服务公司，在数字化、云计算与网络安全领域拥有全球领先的能力。凭借独特的业内经验与专业技能，以及翘楚全球的卓越技术中心和智能运营中心，我们为客户提供战略&咨询、互动体验、技术和智能运营和 Accenture Song 等全方位服务，业务涵盖 40 多个行业，以及企业日

31、常运营部门的各个职能。埃森哲是 财富 全球 500 强企业之一，目前拥有约 73.8 万名员工，服务于 120 多个国家的客户。我们秉承“科技融灵智，匠心承未来”的企业使命，致力于通过引领变革创造价值，为我们的客户、员工、股东、合作伙伴与整个社会创造美好未来。埃森哲在中国市场开展业务 36 年，拥有一支约 2 万人的员工队伍，分布于多个城市，包括北京、上海、大连、成都、广州、深圳、杭州、香港和台北等。作为可信赖的数字化转型卓越伙伴，我们正在更创新地参与商业和技术生态圈的建设，帮助中国企业和政府把握数字化力量，通过制定战略、优化流程、集成系统、部署云计算等实现转型，提升全球竞争力，从而立足中国、赢在全球。业务联系人：江澎 埃森哲大中华区企业技术创新事业部高级总监 安全业务负责人责声研报告由撰和制作。报告作为研内绍用。未得的书面许可，中内不得采任何形式进行制。尽我们 据的和资料保持谨，但其中的性和性做绝保证，请勿绝地用。报告受托作。中 观点有可在未经知的情下进行调。报告内据任何司处独环而提供的体询议，也不作为任何资议。2023 有。