安永:IPO資訊系統專項核查--資料隱私保護怎麼做?

安永:IPO資訊系統專項核查--資料隱私保護怎麼做?

在這個資訊爆炸的大資料時代,資料竊取、資訊洩露、“大資料殺熟”等資料隱私安全問題層出不窮。

企業生產經營以及個人日常活動過程中產生的海量資料,既存在無法估量的商業價值,也可能存在潛在的資料隱私安全風險。隨著監管部門對於個人資訊保護與資料隱私安全的監管要求日趨嚴格,針對相關IPO企業的資料隱私保護能力的核查也顯得尤為重要。如何確保企業在上市前已進行了充分的資料隱私保護,成為當下的熱點議題之一。

我們多年以來為眾多企業提供IT審計諮詢服務,尤其針對網際網路公司提供資料式盡調(資訊系統專項核查)服務,致力於為提升行業資訊系統內控水平、提升管理效率和效益提供持續的洞察和見解。更多往期資訊請參考:

【科創板】科創型企業上市該如何做資料式盡職調查?

【安永觀察】洞悉企業經營業績風險:資料式盡調進階篇

【安永觀察】數字化時代的IT審計如何服務IPO及投資併購專案?

1. 什麼是資料隱私保護

每個企業都擁有敏感資料,例如商業機密、智慧財產權、關鍵業務資料、客戶個人資訊等。廣義來說,企業的資料隱私保護即為企業的資訊保安管理,依據ISO27001資訊保安管理體系等行業標準的指導,涉及安全方針、訪問控制、密碼學、物理與環境安全、資訊系統開發維護與業務連續性等多個方面。狹義上,大多數法律法規中提到的資料隱私保護,主要指的是針對個人資訊的保護。

近年來,影響力較大的個人資訊保護法規當屬歐盟的《通用資料保護條例》(General Data Protection Regulation,簡稱GDPR)。作為1995年歐盟《資料保護指令》(Data Protective Directive)的升級,GDPR於2018年5月25日正式生效,面向所有處理和持有歐盟居民個人資料的公司(從而包含了涉及處理歐盟居民個人資料的跨境企業),針對其個人資訊處理程式提出了更高的責任要求。數月前,美國在2020年1月生效的《加州消費者隱私法案》(California Consumer Privacy Act)的基礎上修訂了《加州隱私權法案》(California Privacy Rights Act),將對違反相關資料隱私規定的公司處以更嚴厲的罰款。我國也有近40部法律、30部法規涉及個人資訊保護,如《電子商務法》《消費者權益保護法》《網路安全法》《刑法修正案(九)》等。

2021年1月1日起施行的《中華人民共和國民法典》中對“個人資訊”有著明確的定義——“個人資訊是以電子或者其他方式記錄的能夠單獨或者與其他資訊結合識別特定自然人的各種資訊,包括自然人的姓名、出生日期、身份證件號碼、生物識別資訊、住址、電話號碼、電子郵箱、健康資訊、行蹤資訊等”。在個人資訊的收集、儲存、使用、加工、傳輸、提供、公開等過程中,資訊處理者應當遵循合法、正當、必要的原則,並徵得該自然人或者其監護人同意,公開處理資訊的規則,明示處理資訊的目的、方式和範圍,同時不違反法律、行政法規的規定和雙方的約定。

2. 相關IPO企業關注資料隱私保護的必要性

2019年,某網際網路搜尋引擎公司因個人資料的處理違反GDPR條例,被處以5000萬歐元的罰款。該條例生效至今,還有服裝零售商、通訊運營商、航空公司、連鎖酒店品牌等多個行業巨頭,因違反GDPR條例,而被處以高額罰款以及其他相應處罰。

不論是電商物流、旅遊酒店、影片遊戲、線上教育或是社群生活服務平臺,“使用者”都是企業發展的核心驅動力之一。從事C端業務,甚至部分B端、G端業務的企業,大多參與到了個人資訊的處理流程中。由此,該批企業的資料隱私保護工作也無可避免地受到了上述法律法規的監管與約束。在IPO階段及時開展資料隱私保護與個人資訊保安治理,可以提前規避因個人資訊處理不合規導致的問題,甚至是法律風險和相應處罰。

工業和資訊化部自2018年以來通報並監督整改了多批涉及違規收集個人資訊、違規使用個人資訊、超範圍收集個人資訊等存在侵害使用者權益問題的App。2019年7月,APP專項治理工作組指出了共40款App存在個人資訊收集使用不當等問題,個別網際網路公司也在IPO過程中因此類問題而被駁回了首發申請。

隨著App侵害使用者隱私權益的問題越來越受到工信部、發審委等監管部門的重視,企業的資料隱私保護的議題也被不斷提及。2020年12月16日,新京報貝殼財經舉辦的“新發展新格局——資本市場再出發高峰論壇”上,中國證監會科技監管局局長姚前提出,“資料資源共享是生態平臺的核心。資料標準、資料模型、介面協議等資料治理因此成為平臺治理的關鍵內容。同時,平臺上的資料安全、資料隱私保護、資料跨境流動等亦成為監管部門的監管重點”。IPO企業及時關注有效的資料隱私保護,從而能夠在確保資料機密性、完整性與可用性的前提下,更合規、更安全、更高效地將生產資料發揮出更高的商業價值。

3. IT核查過程中資料隱私保護的核查與應用

在IT核查過程中,安永也與券商、律師等共同關注IPO企業的資料隱私保護以及個人資訊收集使用情況。

安永:IPO資訊系統專項核查--資料隱私保護怎麼做?

在資訊系統公司控制評估過程中,將對資訊保安管理制度、資訊系統戰略規劃、組織架構、人力資源等方面進行評估,從而判斷公司的資訊保安管理與資訊系統建設的戰略方向。在資訊系統一般控制核查過程中,將透過資訊系統開發或升級時的變更管理,使用者密碼、賬號與許可權的訪問管理,系統災備及日常運維管理這三方面的核查,展現出企業關鍵業務與財務資訊系統的全貌,衡量出企業的資訊保安管理水平。

此外,安永還協助發行人律師,針對個人資訊的全生命週期處理過程進行核查驗證。

安永:IPO資訊系統專項核查--資料隱私保護怎麼做?

進一步核查,將從個人資訊的收集、儲存、使用、加工、傳輸、提供、公開至銷燬全流程著手,確定公司向用戶收集其個人資訊的範圍,識別資料庫中包含個人資訊的表單,梳理包含個人資訊的系統資料流向,判斷公司對個人資訊的分析處理邏輯,鑑定個人資訊的系統間傳輸手段,觀察敏感資訊的脫敏完成情況,以及已登出使用者的個人資訊銷燬處理情況。

在此基礎上,針對公司不同App的產品屬性,擬定適合的抽樣原則,並利用安永抽樣工具,選擇出相應數量的樣本逐個進行核查,為發行人律師出具的專業意見提供技術與資料支撐,從而實現對IPO企業資訊保安管理水平的宏觀分析,以及對企業的個人資訊保護能力的精準驗證。

4. 從公司管理層角度審視資料隱私保護

企業的敏感資料洩露途徑可能包括但不限於(1)不法分子利用網站漏洞入侵儲存敏感資訊的資料庫;(2)系統平臺或資料庫使用者賬號密碼簡單,認證管理不嚴,不法分子“暴力破解”或“越權”訪問;(3)系統前臺展示的資料或資料倉庫中儲存的資料未進行脫敏,過多人員接觸到高敏感級資訊;(4)人為因素,即掌握了資訊的員工主動倒賣資訊。

在設計層面,企業應及時搭建資料隱私保護體系框架,完善資料隱私安全及客戶敏感資訊保安管理制度。從執行層面,可按照公司實際情況,對不同敏感級的資料分別實行資料隱私保護手段,比如,要求資訊系統與資料安全管理部門定期對涉及客戶敏感資訊的資料庫表單進行梳理,並依照外法內規要求,對於使用者姓名、身份證號、電話號碼、住址等資訊,需按規則進行前後臺的資料脫敏。

與此同時,管理層可透過開展內部審計,利用審計手段,對公司自身的資料隱私保護能力與敏感資訊管理情況進行自查。例如,透過分析大資料平臺的介面呼叫日誌,識別高頻訪問敏感資料的使用者賬號,並透過客戶端IP地址溯源技術,定位到違規獲取企業隱私資料的組織或個人。

本文是為提供一般資訊的用途所撰寫,並非旨在成為可依賴的會計、稅務、法律或其他專業意見。請向您的顧問獲取具體意見。

頂部