1.1.3 数据安全需求
在设计和实现系统、产品、服务时，如果涉及用户个人数据、敏感数据或商业秘密，则需要考虑数据安全的需求。
数据安全的典型需求如下。
（1）法律法规遵从的需求。
（2）国际国内标准的需求。
（3）行业标准、惯例、最佳实践的需求。
（4）所服务的客户的需求。
（5）竞争的需求。
（6）产品内部质量改进的需求。
（7）问题反馈驱动的需求。
上述数据安全的典型需求来源，可以汇总为合规需求、外部洞察需求和内部洞察需求三类，如图1-7所示。
合规需求具体指相应国家或地区的法律、所属地区的行政法规、国际标准与国家标准、行业标准和最佳实践，其效力由高至低如图1-8所示。
图1-7 数据安全典型需求来源
图1-8 合规需求效力
例如，在中国大陆，一家零售商想要开办一个用于提供在线零售服务的网站时，首先应满足法律要求，特别是《中华人民共和国网络安全法》[4]的要求。其次，要考虑所属地区的行政法规，如《电信和互联网用户个人信息保护规定》[5]《儿童个人信息网络保护规定》[6]等的要求。再次，应分析相关的国际标准、国家标准、行业标准的需求，如GB/T 35273—2017《信息安全技术个人信息安全规范》[7]。
值得注意的是，合规需求的“规”，也就是指法律法规和各类标准，并非是一成不变的。例如，2021年，《中华人民共和国数据安全法》和《中华人民共和国个人信息保护法》[8]均已实施。从业者应该关注适用的法律法规和各类标准的动态，并分析其影响，据以制定或改善安全控制措施，从而做到合规。
在实施层面，数据安全聚焦于数据生命周期的各个阶段，提供端到端的安全防护。不同的数据生命周期阶段，面临的威胁不同，防护的机制和关键措施也有区别。例如，对于数据的存储阶段，防护的关键在于文件或数据库的访问控制、敏感数据的加密密钥管理等机制。而对于数据的使用阶段，防护的关键在于数据在使用时的访问控制、系统安全机制等。