章明珠：我国企业的数据安全防护能力正在快速提升。但是，仍然有一些企业组织还是对数据安全不够重视，认为对数据安全的投入不能直接为企业创造价值。然而在数字化技术普及应用的时代，若失去数据安全的保障能力，企业的正常经营活动随时可能会出现问题，并且产生无法估量的后果，甚至可能导致企业丧失生存能力。因此，企业应该定期开展数据安全风险检查和评估，全面了解组织当前的基本数据安全状态，从而更好地进行综合管理和决策，进而保障企业业务的健康运营。

我们也看到，一些企业会错误地将数据安全与网络安全视为同一概念。网络安全侧重于保护计算机网络的整体安全和稳定运行，而数据安全则主要关注数据资产的安全和合规性。在实际应用中，二者相互补充，共同构建了一个全面而复杂的信息安全保障体系。数据安全是一个纵深防御的概念，需要深入到企业的各个部门，并根据企业的业务和数据处理场景进行具体管理。每个企业的业务形态和应用场景都是独特的，行业之间也存在差异。

章明珠：随着《数据安全法》的出台以及国家对数据安全政策的持续推动，开展数据安全检查已经成为了各地区和行业数据安全管理的一项重要工作，在我们看来，企业开展数据安全检查和风险评估的必要性有以下原因：

第一，合规性要求。根据中国的《网络安全法》、《数据安全法》等法律法规的明确要求，企业需要开展风险评估，可以确保其操作符合法律法规，并避免潜在的法律责任。

第二，保护企业数据安全。通过数据安全检查和风险评估等工作，有助于企业及时发现自身存在的安全风险，并及时进行整改，以更好地保护企业的敏感数据和个人数据等。

第三，防止数据泄露。数据泄露是一个很严重的威胁，导致信息泄露、财务损失和客户流失等问题。通过定期检查和评估，企业可以识别和纠正潜在的漏洞，从而减少数据泄露的风险。

第四，保障业务的连续性。数据丢失或破坏可能导致业务中断。通过数据安全检查和风险评估，能够及时发现数据存储和备份策略的不足，并进行整改，以确保在面临意外情况时能够迅速恢复业务运营，降低业务中断的可能性。

第五，降低企业损失。数据泄露和安全漏洞可能导致巨大的经济损失和法律损失，如法律诉讼、数据恢复、业务终端成本等费用，以及客户流失等现象。通过及时的检查和评估，企业可以降低这些潜在的损失。

章明珠：开展数据安全检查可以有效帮助企业实现数据安全，避免有意或无意的数据泄露。但是由于可借鉴的检查规范少、技术标准少、工具少，因此在实际开展数据安全检查工作时也会存在工作周期长，检查结果难以汇总等情况。

我们认为，企业在进行数据安全检查和评估时，需要关注以下四个要点：

首先，数据要素及分级分类的识别，包括确定哪些数据是关键数据，这些数据存储在哪里，以及对应的数据类型和级别。

其次，数据处理的活动要素识别，包括业务场景、数据处理主体、处理方式、处理环境等方面的识别。其中涉及数据的类型、数据分析分类、数据量级、处理行为、处理目的、处理结果、处理活动等要素的管理。

再者，数据合规性的识别，根据国家法律法规的要求，分析数据处理活动的合法性和必要性，并从组织保障、数据分级分类、权限管理、日志管理、风险监测预警、应急处置、教育培训以及数据全生命周期安全等方面进行基础安全合规性分析，以确保数据处理活动符合合规要求。

章明珠：是的，数据安全检查只有持续开展，才能取得预期的防护效果。在实际工作中，我们也看到很多企业错误地认为只要进行一次数据安全检查和风险评估就足够了，认为一次评估就完全掌握了企业数据安全状态，就可以制定相应的策略和措施，从而保障企业的安全。然而，企业的组织、业务和经营都是动态变化的，攻击技术也在不断发展，数据安全风险不可预测。因此企业需要建立常态化的数据安全检查和风险评估机制，及时调整安全策略和措施确保企业的正常经营顺利进行。

章明珠：数据安全检查和评估的第一个难点是配合的问题。由于检查和评估工作势必会增加被检查单位的一些工作量，有时被检查单位可能会认为是在“找茬”，为了应付检查，可能会编造或篡改数据，这给准确辨别问题的真伪带来了挑战。

第二个难点是缺乏自动化的评估工具。数据安全检查和评估主要依赖人工完成，而数据安全涉及的组织机构、制度流程和技术能力等诸多方面是一个综合性的问题。业务系统的多样性和数据处理场景的复杂性，从而对执行的人员要求比较综合比较高，不同能力和经验的人员，千人千面，可能会导致执行效果存在较大差异。