9月30日，工業和信息化部發布《工業和信息化領域數據安全管理辦法(試行)》(下稱《管理辦法》)并面向社會公開征求意見。該規定是數安法施行后，首個由行業、領域主管部門制定發布的數據安全相關法規。《管理辦法》對一般數據、重要數據、核心數據的判定條件予以明確，有專家指出，這也是在國內數據安全層面的法律法規中首次提出數據銷毀有關問題。
不同于2019年5月發布的《數據安全管理辦法》以個人信息和重要數據為主要管理對象，并針對在中國境內利用網絡開展數據收集、存儲、傳輸、處理、使用等數據活動做出監管規定。此次的《管理辦法》將目光聚焦在了工信領域，擬將監管對象限定為工業領域的原材料、裝備、消費品、電子信息制造業、軟件和信息技術服務業、民爆等。也就是說，與此前更多聚焦于C端不同，此次更多關注B端的信息安全問題。
無論是哪個領域的數據安全，明確不同數據類型的定義都是基礎工作。此次《管理辦法》共八章四十四條，是工信領域數據安全管理頂層設計，其中的一大亮點，正在于明確了對不同數據的定義。對于一般數據、重要數據、核心數據，《管理辦法》給出了詳細的判斷條件，主要是以對公共利益或者個人、組織合法權益造成的影響和社會負面影響的大小來區分。
只有對不同類別數據進行這樣的細化定義，給出具體的判定條件，才能真正在實際操作中辨別出不同數據及其重要性、安全等級，從而更好地保障數據安全。
在有了明確定義的基礎上，如何更好地保護數據？對此，《管理辦法》明確了數據全生命周期安全保護要求——針對不同級別數據，從數據收集、存儲、加工、傳輸、提供、公開、銷毀、跨境、承接、委托處理等環節落實分級保護要求。
更重要的是常規數據恢復的步驟，《管理辦法》對數據全生命周期安全保護的最后一環，即數據銷毀，首次提出了相關要求。《管理辦法》確立數據銷毀策略和管理制度，明確銷毀對象、流程和技術等要求，要求對銷毀活動進行記錄和留存。銷毀重要數據和核心數據的，不得以任何理由、任何方式對銷毀數據進行恢復。
之所以會將數據銷毀作為合規的必要要求，是因為這對于降低數據泄露風險有著重要意義。企業對于信息的使用、訪問授權都有一定的范圍，但如果數據超出使用范圍地被存儲則加大了泄露風險，甚至可能被挪作他用。目前，對于數據銷毀的規定與監管都尚屬空白，很多企業對此并不在意，而有一小部分企業甚至利用這一漏洞間接妨害數據安全。中國互聯網協會研究中心副主任、北京師范大學網絡法治國際中心執行主任吳沈括指出，在具體落實過程中，銷毀不徹底、虛假銷毀等現象是監管機關的關注重點，需要有效、及時的公證、審計等第三方服務跟進。當然常規數據恢復的步驟，亦有專家擔心此舉會為再次使用信息增加難度，建議更靈活化地使用這一條款。至于效果如何，需要更為嚴格還是更為靈活地執行，則需要在實踐中探索找出答案。
同時，對于用戶非常擔心的用戶畫像被濫用導致的“大數據殺熟”等問題，即數據使用加工方面，《管理辦法》擬規定工信數據處理者未經個人、單位等同意，不得使用數據挖掘、關聯分析等技術手段針對特定主體進行精準畫像、數據復原等加工處理活動。
對重要性不同的數據進行明確的定義與劃分，就數據銷毀作出確切的合規要求及在實際操作中進行調整，都是關乎數據安全保障的必要之舉。期待《管理辦法》吸收有益的公眾意見，進一步提升對數據安全的全生命周期保障。