上海政协委员赵柏基建议：制定数据安全审计、评估范围与标准

1月20日，澎湃新闻（www.thepaper.cn）记者了解到，今年上海“两会”，上海市政协委员、普华永道亚太及中国主席赵柏基，带来了《关于建立数据安全审计、评估机制的建议》的提案。

“2021年不仅是我国互联网法治进程中具有里程碑意义的一年，也是上海在城市数字化转型进程中的关键年份。”赵柏基指出。

赵柏基说，一方面，2021年我国在数据安全和个人信息保护领域的立法取得重大进展。9月1日，《数据安全法》正式生效，形成了我国在整体数据安全治理领域的顶层设计。11月1日，《个人信息保护法》正式生效，开启了我国在个人信息保护领域的法制元年。《互联网平台分类分级指南（征求意见稿）》和《互联网平台落实主体责任指南（征求意见稿）》则聚焦互联网平台，对其应承担的数据安全和个人信息保护责任给予了明确界定。

另一方面，2021年上海数据交易所的揭牌成立。同时，《上海市数据条例》的发布，为上海全面推进城市数字化转型提供基础性制度保障。

不过，赵柏基进一步指出，虽然目前《网络安全法》、《数据安全法》和《个人信息保护法》形成了我国网络空间治理的三驾马车，共同构建起一个强大的法律体系。但是，相关安全审计和评估的行业准则和执行规范尚有待探讨和明确。

“例如，第三方安全审计、评估机构的资质和准入要求不明确；安全审计、评估的范围与标准不明确；安全审计、评估报告的内容、使用方式和时效要求不明确。”赵柏基解释说。

对此问题，赵柏基提出了三方面建议：

一是尽快明确第三方安全审计、评估机构的资质和准入要求。

二是制定安全审计、评估的范围与标准。为满足相关安全审计、评估的需求，可由审计准则制定机构牵头，组织审计行业领域的专家，与上海互联网信息办公室等权威机构共同合作，制定相关的工作指引，明确专业机构开展安全审计及评估的范围、内容、重要控制点等，为专业机构开展审计工作提供规范和指导。

三是明确安全审计、评估报告的内容、使用方式和时效。一般而言，安全审计、评估报告依据预期使用者分为公开报告和非公开报告。与公开报告相比，非公开报告包含了具体安全控制相关的描述，以及审计师针对这些控制设计和运行有效性的审计、评估工作内容。基于此，建议有关部门在研究相关审计、评估标准的同时，明确出具报告的内容、使用方式及时效等要求，以满足报告预期使用者的信息需求，同时便于监管。

“数据虽然可以推动数字经济的发展，但安全的缺失将反向制约数字经济的发展，并导致个人信息滥用等社会问题。因此，上海作为数字化转型的排头兵以及首批落地数据交易所的城市之一，有必要在数据安全和数据流通之间率先建立信任机制，尽快制定并出台与安全审计、评估相关的配套措施。”赵柏基强调。