彭海艷 何 振
數(shù)據(jù)是數(shù)字經(jīng)濟時代的基礎性戰(zhàn)略資源,是中國經(jīng)濟轉(zhuǎn)型和社會發(fā)展的新引擎。運用數(shù)據(jù)進行政府治理已經(jīng)成為社會共識,有利于提升政府決策質(zhì)量、促進政府職能轉(zhuǎn)變、優(yōu)化行政流程以及改善政府績效等。隨著人工智能技術(shù)的蓬勃發(fā)展和在政府領(lǐng)域應用的不斷深入,政府數(shù)據(jù)安全問題日益凸顯,譬如隱私數(shù)據(jù)泄露、數(shù)據(jù)過度采集、數(shù)據(jù)非法使用等,給人民的生命財產(chǎn)安全和經(jīng)濟社會的快速發(fā)展帶來不利影響。近年來,黨和政府對數(shù)據(jù)安全問題高度重視。2016 年,國家“十三五”規(guī)劃明確提出:“要強化信息安全保障,加快數(shù)據(jù)資源安全保護布局?!?017 年,習近平總書記在中共中央政治局第二次集體學習時指出:“要切實保障國家數(shù)據(jù)安全。要加強關(guān)鍵信息基礎設施安全保護,強化國家關(guān)鍵數(shù)據(jù)資源保護能力,增強數(shù)據(jù)安全預警和溯源能力?!雹僦腥A人民共和國中央人民政府網(wǎng):《習近平主持中共中央政治局第二次集體學習并講話》,http://www.gov.cn/xinwen/2017-12/09/content_5245520.htm。2018 年,習近平總書記在中共中央政治局第九次集體學習時強調(diào):“要加強人工智能發(fā)展的潛在風險研判和防范,維護人民利益和國家安全,確保人工智能安全、可靠、可控?!雹僦腥A人民共和國中央人民政府:《習近平主持中共中央政治局第九次集體學習并講話》,http://www.gov.cn/xinwen/2018-10/31/content_5336251.htm。2020 年,黨的十九屆五中全會明確提出:“保障國家數(shù)據(jù)安全,加強個人信息保護。”②光明網(wǎng):《發(fā)展數(shù)字經(jīng)濟的新航向》,https://theory.gmw.cn/2020-12/19/content_34477163.htm??梢?,政府數(shù)據(jù)安全問題已然成為事關(guān)國家安全和經(jīng)濟發(fā)展的重大問題,加強政府數(shù)據(jù)安全治理是當前各級黨政機關(guān)和政府職能部門必須面對的一個時代課題。
人工智能技術(shù)的更新迭代為人工智能賦能政府數(shù)據(jù)安全治理提供了可能,其智能決策、精準感知、數(shù)據(jù)挖掘功能給政府數(shù)據(jù)安全策略制定、數(shù)據(jù)安全風險監(jiān)測、數(shù)據(jù)安全隱患防范等方面提供新的機遇。
一是智能決策為政府數(shù)據(jù)安全策略制定提供有力支持。制定數(shù)據(jù)安全策略(包括數(shù)據(jù)流轉(zhuǎn)管控策略、數(shù)據(jù)分級分類策略、數(shù)據(jù)安全稽查策略等)是開展數(shù)據(jù)安全治理的重要基礎工作,也是保障數(shù)據(jù)安全的指導方針,可有效維護政府數(shù)據(jù)的完整性、保密性和可用性。隨著人工智能技術(shù)的快速發(fā)展,智能決策能力也隨之提升,機器可基于高度數(shù)據(jù)集成,自動化編排方案并進行比選,從而輔助決策者選出最優(yōu)策略。因此,政府可依托智能決策,運用深度學習等相關(guān)數(shù)據(jù)分析技術(shù),幫助掌握數(shù)據(jù)全生命周期各個環(huán)節(jié)中的數(shù)據(jù)加密狀態(tài)、數(shù)據(jù)脫敏狀態(tài)、應用通道、數(shù)據(jù)使用行為等更多細節(jié)信息,盡可能排除相關(guān)因素的干擾,并根據(jù)不同的決策環(huán)境進行模擬計算,幫助解決決策復雜性,制定和尋找最優(yōu)數(shù)據(jù)安全策略,持續(xù)優(yōu)化,確保它們安全可用,從而減少重大決策失誤。③唐新華:《智能決策在國家治理現(xiàn)代化中的應用探析》,《當代世界》2020 年第3 期。
二是精準感知為全面監(jiān)控政府數(shù)據(jù)風險提供條件。當前的政府數(shù)據(jù)安全風險監(jiān)測存在著效率低、風險識別周期長、風險防控滯后性強等不足。據(jù)IBM 發(fā)布的《2020 年數(shù)據(jù)泄露成本報告》數(shù)據(jù)顯示,識別數(shù)據(jù)風險需要一定時間,如金融行業(yè)識別風險所需時間為177 天,醫(yī)療保健行業(yè)識別風險所需時間為236天。④IBM:《2020 年數(shù)據(jù)泄露成本報告》,https://www.ibm.com/downloads/cas/BK0BB0V1,2020 年7 月24 日。而時間越長,數(shù)據(jù)風險所造成的危害就越大。人工智能技術(shù)的超強計算和智能感知可實現(xiàn)對數(shù)據(jù)的全域精準感知、對異常數(shù)據(jù)智能識別與智能警報,打造動態(tài)監(jiān)測、精準防控、提前預警的智慧監(jiān)控模式。在該模式下,可幫助政府有效計量、監(jiān)測和控制各類風險,實時識別、標記并上報政府數(shù)據(jù)異常行為,大大縮減風險識別的時間成本,大幅提升數(shù)據(jù)安全風險感知的真實度、精確度、全面度與及時度。
三是數(shù)據(jù)挖掘為消除政府數(shù)據(jù)安全隱患提供可能。隨著人工智能技術(shù)的發(fā)展,數(shù)據(jù)挖掘能力得到顯著提升。數(shù)據(jù)挖掘具備基于大量數(shù)據(jù)、隱含性、價值性等多重特性,可對龐大的、不完整的、有干擾的數(shù)據(jù)集開展智能分析,通過關(guān)聯(lián)分析、分類、聚類或偏差檢測等方法,自動搜索隱藏于其中有著特殊關(guān)系性的數(shù)據(jù)和信息,快速、準確地檢測異常數(shù)據(jù)、預測安全風險,進而幫助應體快速采取應對措施?;诖?,將智能挖掘技術(shù)應用于政府數(shù)據(jù)安全治理領(lǐng)域,可建立起具備快速運算能力、精準風險識別的數(shù)據(jù)安全預測模型,通過對海量數(shù)據(jù)進行多維度、長周期的深度挖掘分析和計算,精準考察政府數(shù)據(jù)利用行為是否合理、數(shù)據(jù)是否真實可信、是否存在隱私數(shù)據(jù)濫用行為等,快速識別并提前預警政府數(shù)據(jù)安全治理中的漏洞和不足,為政府工作人員提供重點監(jiān)管方向,推動政府數(shù)據(jù)安全風險“主動防御”,為消除政府數(shù)據(jù)安全隱患提供可能。
技術(shù)是一把雙刃劍。人工智能在政府數(shù)據(jù)安全治理領(lǐng)域,同樣存在著“安全賦能”和“安全伴生”效應⑤參見方濱興主編:《人工智能安全》,北京:電子工業(yè)出版社,2020 年。,既加劇了傳統(tǒng)的數(shù)據(jù)安全風險,如數(shù)據(jù)過度采集、數(shù)據(jù)竊?。灰泊呱鲂碌臄?shù)據(jù)安全問題,如數(shù)據(jù)投毒、樣本偏差問題,給政府數(shù)據(jù)安全保障、數(shù)據(jù)安全風險防范、個人隱私數(shù)據(jù)防護等方面提出新的挑戰(zhàn)。
一是技術(shù)自身發(fā)展給政府數(shù)據(jù)安全保障提出更高要求。首先,要求完善數(shù)據(jù)安全標準體系。人工智能技術(shù)自身面臨的數(shù)據(jù)安全、算法安全、隱私泄露風險,極易引發(fā)政府數(shù)據(jù)安全問題,亟待加強人工智能數(shù)據(jù)安全標準建設,保障人工智能背景下的數(shù)據(jù)安全與開發(fā)利用。其次,要求加強數(shù)據(jù)安全風險監(jiān)控。人工智能背景下政府數(shù)據(jù)安全風險更加多發(fā)頻發(fā)、更加隱蔽,傳統(tǒng)的數(shù)據(jù)安全風險監(jiān)控技術(shù)已經(jīng)難以滿足政府數(shù)據(jù)安全治理的需要。因此,有必要對政府數(shù)據(jù)安全風險進行全方位的監(jiān)控。再次,要求構(gòu)建多元化的數(shù)據(jù)安全治理人才隊伍。從安全產(chǎn)品的簡單堆砌到數(shù)據(jù)安全的全流程治理,從提供產(chǎn)品到提供服務,不僅需要技術(shù)手段創(chuàng)新,更離不開專業(yè)化技術(shù)人才隊伍。因此,構(gòu)建多元化的政府數(shù)據(jù)安全治理人才隊伍勢在必行。
二是技術(shù)惡意或不當應用導致政府數(shù)據(jù)安全風險增多。人工智能的濫用或不當應用,加劇了個人隱私數(shù)據(jù)泄露、數(shù)據(jù)投毒、逆向攻擊、模型竊取等風險,嚴重者可導致政府數(shù)據(jù)分級分類、數(shù)據(jù)安全決策發(fā)生錯誤。2018 年,世界上最大的國營生物識別數(shù)據(jù)庫Aadhaar 數(shù)據(jù)泄露,根據(jù)印度《論壇報》(Tribune)的調(diào)查顯示,超過10 億印度公民的個人資料(包括用戶的姓名、家庭住址、Aadhaar 號碼、指紋和虹膜等生物識別信息)被在線出售。此外,人工智能可增強數(shù)據(jù)挖掘能力、快速發(fā)現(xiàn)系統(tǒng)漏洞,當其被不法分子惡意應用時,可以讓行動者執(zhí)行原本不可行的攻擊,如深度造假、破解驗證碼、蜂擁式攻擊等,進而竊取機密數(shù)據(jù),造成政府數(shù)據(jù)泄露。
三是技術(shù)偏見或算法黑箱導致個人隱私數(shù)據(jù)泄露嚴重。政府掌握大量隱私數(shù)據(jù),這些數(shù)據(jù)在存儲、復制、傳播的過程中,容易產(chǎn)生隱私泄露等倫理風險,尤其是人工智能存在的技術(shù)偏見和算法黑箱更容易導致個人隱私數(shù)據(jù)泄露嚴重。當前,私人技術(shù)公司因負責算法設計與運行而掌控算法,政府公共部門僅僅明確算法輸出端的信息即算法目標或算法結(jié)果,而社會公眾則幾乎完全被排除在算法“黑箱”之外①譚九生、范曉韻:《算法“黑箱”的成因、風險及其治理》,《湖南科技大學學報(社會科學版)》2020 年第6 期。。這意味著,在數(shù)據(jù)產(chǎn)業(yè)鏈中的安全能力薄弱主體可能會使整個數(shù)據(jù)鏈面臨風險,產(chǎn)生數(shù)據(jù)泄露或數(shù)據(jù)盜取的危害。2015 年,重慶、上海、山西、沈陽、貴州、河南等超過30 個省市衛(wèi)生和社保系統(tǒng)出現(xiàn)大量高危漏洞,數(shù)千萬用戶的社保信息可能因此被泄露,其中包括社保參保信息、財務、薪酬、房屋等敏感信息。②騰訊網(wǎng):《數(shù)千萬人社保信息或遭泄露》,https://tech.qq.com/a/20150422/002390.htm,2015 年4 月10 日。同時,“算法黑箱”或算法不透明性可能成為“隱形”惡意武器,操控決策致使算法權(quán)力誘導個人行為,竊取或販賣隱私數(shù)據(jù)。
當前,中國政府數(shù)據(jù)安全治理尚處于初步探索階段,人工智能背景下的政府數(shù)據(jù)安全治理在權(quán)責關(guān)系、法律法規(guī)、安全審查、智能監(jiān)控、技術(shù)應用等方面還存在一些亟待解決的問題,政府數(shù)據(jù)安全治理任重道遠。
加強組織制度建設,是政府數(shù)據(jù)安全治理的根本保障。但是,當前中國政府數(shù)據(jù)安全治理在組織建設方面仍面臨一些困境。主要表現(xiàn)在:
一是責任邊界模糊。省級行政單位設有大數(shù)據(jù)管理機構(gòu)承擔數(shù)據(jù)安全治理責任,但市、縣政府卻無此類機構(gòu)銜接,數(shù)據(jù)安全責任散落于網(wǎng)信、通信管理等部門,導致數(shù)據(jù)安全治理責任邊界模糊。一旦發(fā)生政府數(shù)據(jù)安全事件,則難以溯源,各級政府、部門之間容易出現(xiàn)互相扯皮、推諉的現(xiàn)象。尤其是在人工智能場域中,人與機器的界限越來越不明顯,與技術(shù)本身相關(guān)各方的行為失當、責任界定不清③全國信息安全標準化技術(shù)委員會:《網(wǎng)絡安全標準實踐指南——人工智能倫理安全風險防范指引》,https://www.tc260.org.cn/upload/2021-01-05/1609818449720076535.pdf。等問題,使得政府數(shù)據(jù)安全責任更難認定、責任邊界更加模糊。
二是權(quán)力歸屬不明晰。受傳統(tǒng)科層制和“權(quán)力本位”觀念影響,中國治理相關(guān)權(quán)力在多層級政府體系中呈現(xiàn)出層層上收的特點。④田玉麒:《職責優(yōu)化與組織調(diào)適:政府治理體系現(xiàn)代化的雙重進路》,《社會科學戰(zhàn)線》2020 年第4 期。上級政府對下級政府沒有進行明確的授權(quán),或雖進行明確授權(quán)卻又掌握著任意干預權(quán),這就使得下級政府的治理權(quán)變得非制度化、殘缺或薄弱①向靜林、艾云:《政府治理創(chuàng)新的層級差異及其組織根源——以互聯(lián)網(wǎng)金融治理為例》,《學?!?021 年第3 期。,這種不明確、有“卸責”意味的數(shù)據(jù)安全治理權(quán)力配置使得層級政府間的數(shù)據(jù)安全治理難以協(xié)同,降低了數(shù)據(jù)安全治理效能。此外,中國行政體系中的條塊分割,也容易導致同級政府部門間數(shù)據(jù)安全治理權(quán)力歸屬的混亂,例如,數(shù)據(jù)安全監(jiān)管政出多門,既有數(shù)據(jù)管理部門也有網(wǎng)信部門行使監(jiān)管權(quán)力,在信息不對稱的情況下,容易形成數(shù)據(jù)安全監(jiān)管真空,難以全面防護政府數(shù)據(jù)安全風險。
三是職能劃分不合理。當前,中國尚未構(gòu)建全國統(tǒng)一的政府數(shù)據(jù)安全治理行政機構(gòu),各級政府內(nèi)部也沒有設立專門的政府數(shù)據(jù)安全管理部門,雖然部分地區(qū)設置了數(shù)據(jù)管理機構(gòu),但其對數(shù)據(jù)安全方面的職能要求尚不完善②孟慶國、林彤等:《中國地方政府大數(shù)據(jù)管理機構(gòu)建設與演變——基于第八次機構(gòu)改革的對比分析》,《電子政務》2020 年第10 期。,數(shù)據(jù)安全治理的決策、組織、協(xié)調(diào)、控制、監(jiān)督等職能缺乏有效的頂層設計和統(tǒng)籌規(guī)劃,對網(wǎng)信、公安、數(shù)據(jù)管理部門等安全責任主體的職能劃分不太合理。對于數(shù)據(jù)安全治理由誰來牽頭、誰來負責、誰來落實、誰來監(jiān)督以及誰來考核等問題均缺乏詳細的規(guī)定。
政府數(shù)據(jù)安全治理需要法律法規(guī)和標準規(guī)范的指導與約束,這是政府數(shù)據(jù)安全治理有效實施的前提和基礎。但是,當前中國政府數(shù)據(jù)安全治理在法治建設方面相對滯后,已經(jīng)不能滿足人工智能發(fā)展的需求。
一是有關(guān)法律法規(guī)的系統(tǒng)性有所欠缺。目前,現(xiàn)有的數(shù)據(jù)安全治理法律法規(guī)仍未形成完整的體系,首先,數(shù)據(jù)安全治理相關(guān)法律法規(guī)之間缺乏銜接性與一致性。譬如,《個人信息保護法》規(guī)定了個人信息收集使用的“明確同意”規(guī)則;《民法總則》則對其采取更為寬松的立法理念,收集、轉(zhuǎn)讓或者使用個人信息,既可以通過書面等其他明示形式做出,也可以以默示的方式做出③楊蕾:《數(shù)據(jù)安全治理研究》,北京:知識產(chǎn)權(quán)出版社,2020 年。;《民法典》對隱私權(quán)和個人信息處理進行了界定,承認隱私權(quán)是一種人格權(quán),但沒有規(guī)定自然人對個人信息享有人格權(quán),僅規(guī)定自然人的個人信息受法律保護。此外,《民法典》所定義的隱私和個人信息的范圍存在重疊④中國法制出版社編:《中華人民共和國民法典:實用版》,北京:中國法制出版社,2020 年。,相關(guān)法律條文仍不夠細化,可操作性和可執(zhí)行性略顯不足。如有關(guān)數(shù)產(chǎn)權(quán)的規(guī)定目前仍為原則性規(guī)定,數(shù)據(jù)產(chǎn)權(quán)規(guī)則不清晰,可能會導致多方數(shù)據(jù)主體之間的利益沖突。⑤利刃出鞘:《〈數(shù)據(jù)安全法〉下中國數(shù)據(jù)保護路徑解讀》,https://www.pkulaw.com/lawfirmarticles/8d31eb44ffda0aeda1f c5702b38eaf3fbdfb.html,2021 年8 月3 日。
二是配套政策缺乏系統(tǒng)性。雖然中國人工智能和數(shù)據(jù)治理政策體系已初見雛形,但是專門針對人工智能背景下的政府數(shù)據(jù)安全治理的規(guī)定非常少見,散見于人工智能和數(shù)據(jù)治理的頂層設計和戰(zhàn)略規(guī)劃等相關(guān)文件中,缺乏統(tǒng)一和協(xié)調(diào)。另外,雖然現(xiàn)有數(shù)據(jù)安全頂層設計和宏觀政策比較多,但是其顆粒度大,針對性和系統(tǒng)性不強,實施效果大打折扣。以地方政府為例,當前地方政府數(shù)據(jù)安全政策文件內(nèi)容主要集中于安全體系、安全技術(shù)、安全審查機制、安全監(jiān)測等方面的宏觀論述,有的政策文件論述過于精簡,有關(guān)數(shù)據(jù)安全內(nèi)容甚至不足100 字符。⑥冉連、張曦:《地方政府數(shù)據(jù)開放全生命周期安全管理政策研究——基于全國17 個省級政府的政策文本分析》,《情報雜志》2021 年第8 期。
三是標準規(guī)范仍需完善。人工智能數(shù)據(jù)安全通用標準缺乏,術(shù)語定義、參考架構(gòu)、分級分類等基礎類指標不太明確,導致不同組織制定出來的數(shù)據(jù)標準各不相同,難成體系;人工智能數(shù)據(jù)安全采集、流通、使用和共享等關(guān)鍵技術(shù)標準還未建立,覆蓋政府數(shù)據(jù)全生命周期安全的技術(shù)標準亟待制定,包括分類分級、去標識化、數(shù)據(jù)跨境、風險評估等內(nèi)容;人工智能數(shù)據(jù)安全的部分重點領(lǐng)域相關(guān)標準仍存在空白,政府數(shù)據(jù)安全評估、重要數(shù)據(jù)保護以及人工智能背景下的跨境數(shù)據(jù)流動、政府數(shù)據(jù)合規(guī)使用等相關(guān)的標準規(guī)范尚需建立。
從當前的情況來看,中國政府數(shù)據(jù)安全審查乏力的情況時常發(fā)生,數(shù)據(jù)安全風險仍然頻發(fā)。其主要表現(xiàn)在:
一是數(shù)據(jù)安全審查不規(guī)范。根據(jù)已有的法規(guī)政策文本,雖然明確要求建立數(shù)據(jù)安全審查制度,但相關(guān)內(nèi)容尚不具體、未細化。例如,對數(shù)據(jù)安全審查制度的實施主體、實施機制、審查內(nèi)容和覆蓋范圍等方面還不明確,可執(zhí)行性不強,易導致政府具體實踐中的無所適從。此外,絕大多數(shù)政府數(shù)據(jù)安全審查集中在數(shù)據(jù)開放階段,以保密審查、脫敏審查為主,而隨著人工智能技術(shù)在政府領(lǐng)域的嵌入,數(shù)據(jù)采集、數(shù)據(jù)流轉(zhuǎn)、數(shù)據(jù)銷毀等階段都有可能存在著數(shù)據(jù)泄露、隱私侵權(quán)等安全風險,政府應當對數(shù)據(jù)全生命周期開展安全審查。
二是數(shù)據(jù)安全審查方式較陳舊?,F(xiàn)階段,政府數(shù)據(jù)安全審查以傳統(tǒng)的方式為主,而傳統(tǒng)的數(shù)據(jù)安全審查方式,對工作人員的專業(yè)知識和經(jīng)驗具有很強的依賴性,且在非自動化審查和大量人工干預下,審查周期長、成本高。網(wǎng)絡安全審查通常在45 個工作日內(nèi)完成,情況復雜的會延長15 個工作日;對于進入特別程序的審查,審查周期為90 個工作日或者更長。此外,傳統(tǒng)的數(shù)據(jù)安全審查方式容易受主觀因素的影響從而忽略某些審查內(nèi)容,導致一些數(shù)據(jù)安全問題產(chǎn)生。比如,2015 年,由于政府數(shù)據(jù)開放安全審查不到位,北方某省一住房和城鄉(xiāng)建設局在公示人員名單時,公布了公民完整的身份證號碼等個人信息,侵犯了公民個人隱私。
三是數(shù)據(jù)安全審查非常態(tài)化。中國數(shù)據(jù)安全審查一般在開展數(shù)據(jù)活動(如數(shù)據(jù)共享、數(shù)據(jù)開放)前進行,暫未形成常態(tài)化、規(guī)律性的制度化工作。但在日常工作中,也需要定期開展數(shù)據(jù)安全審查。這是因為,在人工智能背景之下,數(shù)據(jù)安全風險變得更為隱蔽,政府數(shù)據(jù)采集環(huán)節(jié)中可能存在隱私侵犯問題、數(shù)據(jù)質(zhì)量問題,在數(shù)據(jù)存儲、使用等階段都有可能存在數(shù)據(jù)泄露、數(shù)據(jù)遭篡改等安全問題。例如,2018 年某公務員利用職務之便非法獲取出售、提供82 萬條包含居民身份證號碼、手機號碼、固定電話等在內(nèi)的個人信息。
當前,圍繞數(shù)據(jù)安全治理平臺建設的議題,政府面向市場上多家企業(yè)尋求解決思路,并取得一定進展。然而,在人工智能背景下,政府數(shù)據(jù)安全治理平臺支撐體系仍未建立,尚存在著平臺兼容性差、風險智能監(jiān)控不足的問題。具體而言:
一是人工智能系統(tǒng)平臺兼容性差。將人工智能系統(tǒng)嵌入數(shù)據(jù)安全治理平臺可以大大提升政府數(shù)據(jù)安全風險監(jiān)控的自動化與智能水平。但從實踐情況來看,由于系統(tǒng)設備智能化的關(guān)鍵處理器和操作系統(tǒng)絕大部分并非由中國研發(fā)與生產(chǎn),這就意味著人工智能從算法到芯片、從軟件到硬件都有可能存在差異和信息安全風險。
二是數(shù)據(jù)安全治理平臺兼容性差。政府數(shù)據(jù)安全風險監(jiān)控需要基于數(shù)據(jù)全生命周期構(gòu)建一條完整堅實的數(shù)據(jù)安全監(jiān)控鏈。然而,現(xiàn)階段政府數(shù)據(jù)安全平臺體系大多缺乏自上而下的頂層規(guī)劃,數(shù)據(jù)接口標準、技術(shù)標準等缺乏統(tǒng)一規(guī)范,致使各平臺多為封閉生態(tài),平臺與平臺之間兼容性差,智能水平也各不相同。在此情況下,“各自為戰(zhàn)”的數(shù)據(jù)安全平臺容易阻滯風險分析數(shù)據(jù)的匯集,導致全域風險分析和研判難以開展,數(shù)據(jù)安全風險難以溯源。廈門市建立的大數(shù)據(jù)安全開放平臺,通過采用“數(shù)據(jù)安全屋”技術(shù)開展政務大數(shù)據(jù)安全開放,重點監(jiān)控政務數(shù)據(jù)開放共享中的數(shù)據(jù)安全風險,難以形成覆蓋全流程的數(shù)據(jù)安全智能監(jiān)控平臺體系。
三是跨部門政務數(shù)據(jù)平臺兼容性差。當前政府各部門之間的政務平臺兼容性差,數(shù)據(jù)壁壘問題突出。江蘇無錫市公共數(shù)據(jù)中的人口數(shù)據(jù)、歷年排污企業(yè)目錄、排污量等數(shù)據(jù)分別保存在無錫統(tǒng)計官方網(wǎng)站、無錫市生態(tài)管理局官網(wǎng)中,政府各部門數(shù)據(jù)平臺間數(shù)據(jù)流通不暢、整合困難①周林興、崔云萍:《智慧城市視域下政府數(shù)據(jù)開放共享機制研究》,《現(xiàn)代情報》2021 年第8 期。。然而,實現(xiàn)政府數(shù)據(jù)安全風險智能監(jiān)控離不開數(shù)據(jù)支持,政府部門數(shù)據(jù)壟斷問題阻滯了政府全量數(shù)據(jù)資產(chǎn)的數(shù)據(jù)狀況梳理、敏感數(shù)據(jù)流轉(zhuǎn)路徑和動態(tài)流向感知,無法實現(xiàn)對政府數(shù)據(jù)安全風險發(fā)展與變化情況全程監(jiān)督,以及多維度、全方位智能風險核驗、實時預警與攔截操作,智能監(jiān)控稍顯不足。
近年來,中國在人工智能數(shù)據(jù)安全技術(shù)攻堅方面雖然取得了一些成績,清華大學創(chuàng)業(yè)公司的瑞萊智慧團隊開發(fā)了“珠算”概率編程庫,對數(shù)據(jù)標準和數(shù)據(jù)模型安全提供了可靠技術(shù)。但是,從總體上看,仍存在一些亟待解決的問題。主要體現(xiàn)在:
一是智能技術(shù)應用保守、網(wǎng)絡攻擊防范不力。部分政府部門在應用智能技術(shù)時仍然比較保守,“不想用”“不敢用”“不會用”等現(xiàn)象普遍存在。與此同時,網(wǎng)絡攻擊防范也不力,當人工智能技術(shù)被不法分子利用時,其超強算力與自適應能力,也能夠幫助網(wǎng)絡黑客實現(xiàn)政府平臺自動化漏洞檢測與攻擊。根據(jù)英國網(wǎng)絡安全公司Darktrace 分析顯示,集成人工智能技術(shù)的勒索軟件可自動瞄準更具吸引力的目標,如政府數(shù)據(jù)庫文件等。
二是智能技術(shù)過度應用、隱私泄露風險加劇。人工智能技術(shù)在大幅度提升數(shù)據(jù)安全管理效率的同時,也讓人產(chǎn)生了對技術(shù)的依賴,從而容易引發(fā)技術(shù)過度應用問題(過度采集、過度挖掘、過度利用等)。隨著各類智能設備和智能系統(tǒng)的應用普及,公民活動的任何痕跡以及人臉、指紋等具有強個人屬性的生物特征信息都可能會被智能終端自動采集,一旦這些數(shù)據(jù)被泄露或者濫用,將會對公民權(quán)益造成嚴重危害。在數(shù)據(jù)采集中,2019 年中國人民大學WAMDM 實驗室發(fā)布的《中國隱私風險指數(shù)分析報告》顯示,約10%的數(shù)據(jù)收集者獲取了99%的權(quán)限數(shù)據(jù),公民個人隱私信息被嚴重侵犯。
三是智能技術(shù)缺乏監(jiān)管、數(shù)據(jù)安全存在不可控。2021 年4 月,歐盟委員會提出了一項旨在加強人工智能(AI)技術(shù)監(jiān)管的法規(guī)草案,該法案致力于解決人工智能技術(shù)在實際應用中給人類及社會發(fā)展帶來的風險。相比之下,中國人工智能技術(shù)缺乏有效監(jiān)管,安全漏洞日益凸顯。360、騰訊等企業(yè)安全團隊就曾多次發(fā)現(xiàn)TensorFlow、Caffe、Torch 等深度學習框架及其依賴庫的安全漏洞,攻擊者可利用相關(guān)漏洞篡改或竊取人工智能系統(tǒng)數(shù)據(jù)①魏薇、景慧昀、牛金行:《人工智能數(shù)據(jù)安全風險及治理》,《中國信息安全》2020 年第3 期。,如果將未經(jīng)監(jiān)管的人工智能技術(shù)應用于數(shù)據(jù)安全治理,很大程度會導致數(shù)據(jù)安全不可控。
當前,為了應對人工智能發(fā)展給政府數(shù)據(jù)安全治理帶來的沖擊以及解決人工智能背景下政府數(shù)據(jù)安全治理面臨的一些困境,須重點從深化數(shù)據(jù)安全頂層設計、共筑數(shù)據(jù)安全標準規(guī)范、完善數(shù)據(jù)管理保障機制、搭建數(shù)據(jù)綜合治理平臺、強化核心技術(shù)自主創(chuàng)新等方面進行。
人工智能背景下的政府數(shù)據(jù)安全治理是一個系統(tǒng)工程,為此,應重點加強頂層設計、完善政府數(shù)據(jù)安全組織建設,形成權(quán)責明晰的組織結(jié)構(gòu)。
一是加強政府數(shù)據(jù)安全頂層設計。政府數(shù)據(jù)安全治理離不開國家戰(zhàn)略規(guī)劃的指引,如英國發(fā)布的《數(shù)據(jù)安全戰(zhàn)略》中提供了國家層面的數(shù)據(jù)安全治理方案。中國應根據(jù)人工智能數(shù)據(jù)安全特點、業(yè)務模式、組織架構(gòu)等因素進行戰(zhàn)略規(guī)劃,力爭將其上升為國家戰(zhàn)略,以實現(xiàn)國家層面的統(tǒng)籌協(xié)調(diào)。明確人工智能背景下的政府數(shù)據(jù)安全治理目標,旨在降低數(shù)據(jù)安全風險、保障數(shù)據(jù)合法合規(guī),從而使數(shù)據(jù)使用更加安全;確定政府數(shù)據(jù)安全治理的重點領(lǐng)域,主要包括數(shù)據(jù)分級分類管理、數(shù)據(jù)安全風險防范與監(jiān)測預警、數(shù)據(jù)安全事件應急處置與動態(tài)跟蹤等;制定政府數(shù)據(jù)安全治理總體策略和行動綱領(lǐng),明確政府數(shù)據(jù)安全治理的主體、內(nèi)容、工具、方式、方法、流程等,為政府數(shù)據(jù)安全治理提供實踐指南。
二是建立政府數(shù)據(jù)安全治理機構(gòu)。建議由中共中央網(wǎng)絡安全和信息化委員會辦公室和國家互聯(lián)網(wǎng)信息辦公室牽頭,聯(lián)合各級政府部門的大數(shù)據(jù)管理機構(gòu)和數(shù)據(jù)治理機構(gòu)共同組建統(tǒng)一的政府數(shù)據(jù)安全行政管理機構(gòu)。各級政府部門設立相應的數(shù)據(jù)安全保護部門,專門負責政府數(shù)據(jù)安全治理工作。此外,成立由各級黨委、政府主要領(lǐng)導牽頭的數(shù)據(jù)安全治理工作領(lǐng)導小組,加強集中統(tǒng)一領(lǐng)導。設立政府數(shù)據(jù)安全治理委員會、政府首席數(shù)據(jù)保護官、數(shù)據(jù)安全管理專員等,負責相關(guān)政府數(shù)據(jù)安全保護措施的監(jiān)督和落實。
三是明確政府數(shù)據(jù)安全治理相關(guān)方的權(quán)責關(guān)系。一方面,政府部門應基于人工智能背景制定權(quán)力清單。從宏觀上對各級政府數(shù)據(jù)治理機構(gòu)所擁有的權(quán)力邊界和活動范圍進行統(tǒng)一規(guī)定,明確各級政府數(shù)據(jù)安全治理機構(gòu)的職責權(quán)限,從而防止各級政府數(shù)據(jù)安全治理機構(gòu)“權(quán)責交叉”“多頭執(zhí)法”“相互推諉”等問題出現(xiàn)。另一方面,劃定責任界限。按照“誰生產(chǎn)、誰擁有、誰負責”和“權(quán)責統(tǒng)一”的原則,明確責任主體,劃清每個部門的職責邊界,要明確相關(guān)方的法律責任,也要規(guī)定相關(guān)方人員的倫理責任。
四是構(gòu)建政府數(shù)據(jù)安全多元協(xié)同治理機制。人工智能時代的政府數(shù)據(jù)安全問題日益突出,構(gòu)建以政府為主導多元主體共同參與的協(xié)同治理機制,是人工智能背景下政府數(shù)據(jù)安全治理的內(nèi)在需求。政府部門要加強“縱向大聯(lián)動,橫向大合作”工作,吸納企業(yè)、行業(yè)組織以及社會公眾等不同主體廣泛參與到政府數(shù)據(jù)安全治理工作中來,發(fā)揮不同主體在政府數(shù)據(jù)安全治理中的作用,為人工智能背景下的政府數(shù)據(jù)安全治理營造良好的生態(tài)環(huán)境。
加強政府數(shù)據(jù)安全治理,提升數(shù)據(jù)安全防護水平,推進國家治理體系和治理能力現(xiàn)代化,必須加強法治建設。
一是完善政府數(shù)據(jù)安全法律法規(guī)。一方面,繼續(xù)推動數(shù)據(jù)安全治理法律法規(guī)體系建設,加強政府數(shù)據(jù)安全治理和人工智能領(lǐng)域的立法,明確政府數(shù)據(jù)安全治理不同參與主體所享有的數(shù)據(jù)權(quán)利與承擔的安全責任,并對人工智能技術(shù)監(jiān)管以及數(shù)據(jù)過度采集、偏見歧視、資源濫用、深度偽造等突出問題進行規(guī)制。另一方面,基于數(shù)據(jù)生命周期管理理論,圍繞政府數(shù)據(jù)采集、存儲、傳輸、開放、共享、交易、使用等方面,建立政府數(shù)據(jù)全生命周期安全管理專項法規(guī),增強數(shù)據(jù)安全法律條文的可操作性以及數(shù)據(jù)安全重點領(lǐng)域的約束規(guī)范。
二是制定政府數(shù)據(jù)安全標準。2020 年的“人工智能與數(shù)據(jù)安全”分論壇已提出“人工智能和數(shù)據(jù)安全的治理需要世界各國和組織聯(lián)合起來,構(gòu)建統(tǒng)一的人工智能模型與系統(tǒng)的安全評估準則和標準?!币虼?,中國可通過與IEEE、ISO/IEC/ITU 等國際化標準組織聯(lián)合發(fā)聲等方式,實質(zhì)性參與人工智能數(shù)據(jù)安全相關(guān)國際標準制定工作,提出更多的人工智能政府數(shù)據(jù)安全相關(guān)提案,以開放協(xié)同的方式進行科學研究和技術(shù)交流,推動人工智能數(shù)據(jù)安全標準快速落地。同時,以中國人工智能安全標準框架為指引,重點加強對人工智能政府數(shù)據(jù)安全技術(shù)標準、安全管理標準、運行平臺標準、安全評估標準、數(shù)據(jù)質(zhì)量標準等方面的制定,完善中國人工智能背景下的政府數(shù)據(jù)安全標準體系。
三是推進政府數(shù)據(jù)安全執(zhí)法。執(zhí)法部門應嚴格按照人工智能政府數(shù)據(jù)安全相關(guān)法律法規(guī)的規(guī)定,依法開展政府數(shù)據(jù)安全治理工作,特別是要加強對政府數(shù)據(jù)收集、使用、共享等高風險環(huán)節(jié)的安全執(zhí)法,加大對政府數(shù)據(jù)過度采集、數(shù)據(jù)濫用與違規(guī)使用、個人隱私侵犯、數(shù)據(jù)泄露等行為的處罰力度,創(chuàng)新和規(guī)范人工智能政府數(shù)據(jù)安全事件處置程序和方法,促進人工智能政府數(shù)據(jù)安全法律法規(guī)的有效實施。同時,還要進一步優(yōu)化人工智能背景下政府數(shù)據(jù)安全執(zhí)法體制,提升執(zhí)法能力,規(guī)范執(zhí)法行為,敢于追究違法行為,并能有針對性地提出整改建議,以提高人工智能背景下政府數(shù)據(jù)安全執(zhí)法實效。
良好的安全制度是政府數(shù)據(jù)安全治理的前提和基礎,人工智能背景下政府數(shù)據(jù)安全治理應建立專門針對人工智能發(fā)展需要的政府數(shù)據(jù)安全綜合管理制度,從制度層面保障政府數(shù)據(jù)安全。
一是健全政府數(shù)據(jù)安全審查制度?,F(xiàn)階段,中國《數(shù)據(jù)安全法》明確規(guī)定要建立數(shù)據(jù)安全審查制度,《網(wǎng)絡安全審查辦法(修訂草案征求意見稿)》將“數(shù)據(jù)安全”納入審查范圍。鑒于此,應進一步完善政府數(shù)據(jù)安全審查制度,明確數(shù)據(jù)安全審查主體,規(guī)范審查內(nèi)容。建議由網(wǎng)絡安全審查辦公室統(tǒng)一負責數(shù)據(jù)安全審查工作,審查內(nèi)容應當圍繞政府數(shù)據(jù)采集、存儲、加工、使用、交易、開放、共享等活動進行操作稽核、合規(guī)性檢查、日志審計、例行安全檢查以及風險評估等。此外,針對審查所發(fā)現(xiàn)的安全問題,網(wǎng)絡安全審查辦公室應當牽頭協(xié)調(diào)各部門提出改進方案,要求相關(guān)部門落實解決且對其持續(xù)跟蹤檢查,防范化解重大政府數(shù)據(jù)安全風險。
二是實施政府數(shù)據(jù)分級分類制度。政府數(shù)據(jù)分類分級是政府數(shù)據(jù)安全治理的前提,如美國頒布的《國家安全信息分類》《受控未分類信息》等就對聯(lián)邦數(shù)據(jù)分級分類進行了統(tǒng)一規(guī)范。為此,中國應依據(jù)數(shù)據(jù)的來源、內(nèi)容和用途對數(shù)據(jù)進行分類,根據(jù)政府數(shù)據(jù)的價值、敏感程度和影響程度等進行數(shù)據(jù)分級,并出臺相應的政策文件對政府數(shù)據(jù)的分類、標記、評估、保護等諸多方面進行規(guī)制。同時,在數(shù)據(jù)分級分類過程中,針對海量的政府數(shù)據(jù),可運用機器學習、模式聚類等技術(shù),打造數(shù)據(jù)分級分類引擎,實現(xiàn)對數(shù)據(jù)進行基于內(nèi)容的實時、自動、精準分類分級。
三是完善政府數(shù)據(jù)安全管理保障機制。主要指健全政府數(shù)據(jù)安全保密制度。在數(shù)據(jù)安全審查過程中,相關(guān)部門要嚴格承擔保密責任,尤其是做好重要數(shù)據(jù)和重要儲存介質(zhì)的安全保密工作,未經(jīng)批準和授權(quán),任何人不得隨意使用數(shù)據(jù)和泄露數(shù)據(jù);推進政府數(shù)據(jù)容災備份管理制度。政府部門應利用人工智能等新興技術(shù)構(gòu)建政府數(shù)據(jù)容災系統(tǒng),堅持數(shù)據(jù)級備份與應用級備份相結(jié)合,通過異地備災、實時備份和在線備份等多種途徑,防范各類政府數(shù)據(jù)安全風險;建立政府數(shù)據(jù)安全應急處置機制。在數(shù)據(jù)分級分類管理和安全審查過程中,應按照“誰主管誰負責、誰運行誰負責”的原則落實應急處置責任,及時做好數(shù)據(jù)安全應急處置工作。
人工智能背景下,搭建運行有效的政府數(shù)據(jù)綜合治理平臺,實現(xiàn)數(shù)據(jù)安全監(jiān)管、數(shù)據(jù)安全加固、數(shù)據(jù)安全應急,是確保政府數(shù)據(jù)保密性、完整性、可用性的重要保障。
一是組建圍繞業(yè)務流程的數(shù)據(jù)安全監(jiān)管平臺。政府數(shù)據(jù)安全是一個動態(tài)變化的過程,政府部門需要關(guān)注數(shù)據(jù)的流動性特征,組建圍繞業(yè)務流程的數(shù)據(jù)安全監(jiān)管平臺。利用物聯(lián)網(wǎng)、人工智能、云計算等技術(shù),針對各類設施設備、數(shù)據(jù)資產(chǎn)以及資源(如空間、帶寬、端口、容量、IP 等),進行浸入式、全景式的數(shù)據(jù)資產(chǎn)、數(shù)據(jù)流動等自動化、可視化跟蹤管理。并通過頂層設計與數(shù)據(jù)加密、數(shù)據(jù)授權(quán)、數(shù)據(jù)脫敏、安全審計等產(chǎn)品進行深度聯(lián)動,突破傳統(tǒng)的單點防護方案,實現(xiàn)政府業(yè)務平臺數(shù)據(jù)在存儲、使用、傳輸、共享等流轉(zhuǎn)環(huán)節(jié)中的數(shù)據(jù)安全風險聯(lián)防聯(lián)控、實時動態(tài)監(jiān)測、智能分析、態(tài)勢評估和快速響應。
二是完善面向數(shù)據(jù)開放的數(shù)據(jù)安全加固平臺。根據(jù)《2020 年中國互聯(lián)網(wǎng)網(wǎng)絡安全報告》的統(tǒng)計數(shù)據(jù),中國境內(nèi)被篡改的政府網(wǎng)站有494 個;被植入后門的政府網(wǎng)站有256 個。政務網(wǎng)站被“黑客”植入暗鏈或黑頁等諸如此類的問題,很容易造成隱私數(shù)據(jù)泄露。為此,政府部門應著重面向數(shù)據(jù)開放開展數(shù)據(jù)安全加固,針對數(shù)據(jù)存儲、數(shù)據(jù)流通、數(shù)據(jù)訪問等環(huán)節(jié)中的敏感數(shù)據(jù)泄露、接口設計風險、數(shù)據(jù)流動風險等,利用數(shù)據(jù)識別算法、敏感接口識別策略以及智能識別引擎,對數(shù)據(jù)開放共享進行風險智能識別,并同時出具實時數(shù)據(jù)安全加固方案,對諸如賬號安全、敏感信息、網(wǎng)絡架構(gòu)、安全產(chǎn)品配置以及安全漏洞方面進行針對性的加固,從而打造政府部門安全用數(shù)開放平臺。
三是構(gòu)建針對數(shù)據(jù)安全突發(fā)事件的應急平臺。一方面可依托具備智能感知的風險監(jiān)管平臺和數(shù)據(jù)安全智能監(jiān)測系統(tǒng)對政府數(shù)據(jù)采集風險、數(shù)據(jù)組織存儲風險、數(shù)據(jù)流動傳輸風險、數(shù)據(jù)開發(fā)利用風險等進行精準識別,為精準防范數(shù)據(jù)風險提供基礎。另一方面,應積極打造數(shù)據(jù)安全應急預案庫、數(shù)據(jù)安全智能應急決策引擎,針對匯聚的數(shù)據(jù)安全風險數(shù)據(jù)開展高效研判,并及時對政府數(shù)據(jù)安全風險進行快速預警。與此同時,應急平臺應依據(jù)預警信息分級響應,實時啟動應急預案,協(xié)調(diào)政府各部門采取不同的處置措施,以最短時間,快速從事件中恢復、使影響降至最低,并避免再次發(fā)生。
人工智能背景下的政府數(shù)據(jù)安全治理需要嚴密有效的技術(shù)予以保障。因此,應著力研發(fā)人工智能和政府數(shù)據(jù)安全相關(guān)技術(shù),為實現(xiàn)人工智能背景下的數(shù)據(jù)安全治理提供支撐。
一是完善政府數(shù)據(jù)安全技術(shù)。政府可聯(lián)合社會組織和企業(yè),通過成立聯(lián)合實驗室、共同投資等方式,開展人工智能背景下政府數(shù)據(jù)安全技術(shù)研究。首先,圍繞政府數(shù)據(jù)全生命周期,加強對加密技術(shù)、入侵檢測技術(shù)、訪問控制技術(shù)、隱私保護技術(shù)、個人信息去標識、數(shù)據(jù)標簽技術(shù)、數(shù)據(jù)交換技術(shù)、數(shù)據(jù)安全風險監(jiān)測技術(shù)等相關(guān)政府數(shù)據(jù)安全技術(shù)研發(fā)。其次,加強對人工智能技術(shù)攻堅,增強對人工智能技術(shù)與物聯(lián)網(wǎng)、區(qū)塊鏈等其他信息技術(shù)融合研究,進一步解決人工智能技術(shù)的強數(shù)據(jù)依賴性、算法黑箱性等問題。
二是建立中國人工智能開源開放平臺。目前,較為流行的開源框架仍然由國外公司或機構(gòu)開發(fā)。為了從根本上解決過度依賴國外開源代碼的問題,中國應在核心技術(shù)上實現(xiàn)自主可控,可依托新一代人工智能產(chǎn)業(yè)技術(shù)創(chuàng)新戰(zhàn)略聯(lián)盟,建立自有的人工智能開源開放平臺。同時,通過中國市場優(yōu)勢,加快培育自有人工智能開源平臺共享應用生態(tài)圈和產(chǎn)業(yè)鏈,為人工智能行業(yè)的發(fā)展提供新動力,為人工智能背景下的政府數(shù)據(jù)安全技術(shù)研發(fā)提供基礎平臺。
三是研發(fā)人工智能相關(guān)技術(shù)。利用國家資金和社會資源引導社會各界聯(lián)合研發(fā)以政府數(shù)據(jù)保護為前提的人工智能技術(shù),突破小樣本學習、遷移學習、聯(lián)邦學習、差分隱私等人工智能數(shù)據(jù)安全保護核心關(guān)鍵技術(shù)。通過研發(fā)基于隱私的機器學習技術(shù)如同態(tài)加密、安全多方計算、差分隱私等,可以有效保護用戶的數(shù)據(jù)安全。通過研發(fā)減少數(shù)據(jù)需求的技術(shù)如遷移學習、數(shù)據(jù)增強技術(shù)等,可以從根本上解決人工智能對海量數(shù)據(jù)需求帶來的數(shù)據(jù)安全問題。通過完善數(shù)據(jù)偏見監(jiān)測技術(shù)、數(shù)據(jù)攻擊防御技術(shù)、對抗樣本監(jiān)測技術(shù)等,可以有效防止政府數(shù)據(jù)被惡意破壞和篡改。
綜上所述,人工智能背景下保障政府數(shù)據(jù)安全是當前的重要議題。中國政府數(shù)據(jù)安全治理困境主要體現(xiàn)在治理主體權(quán)責不明、法規(guī)標準滯后、安全審查乏力、平臺兼容性差、技術(shù)應用不力五個方面,亟須從組織架構(gòu)、法規(guī)標準、保障機制、治理平臺、技術(shù)手段多個維度采取措施解決問題,從而促進人工智能在數(shù)據(jù)安全領(lǐng)域中的高效賦能,力求實現(xiàn)人工智能與數(shù)據(jù)安全的良性互動發(fā)展。不過,本文提供的只是理論層面的觀點,人工智能背景下政府數(shù)據(jù)安全治理本身是一個異常復雜的系統(tǒng)問題,不僅需要實踐來驗證和完善,還需要學術(shù)界更進一步的關(guān)注和探索。