数据保护与数据安全

理解差异，正确行动

术语 数据保护 和 数据安全 常被混为一谈，但对企业而言，了解二者的区别至关重要。二者虽然密切相关，但侧重点和目标各不相同。错误的归类可能会导致法律问题。本文将阐释 数据保护与数据安全的区别，介绍二者各自的原则，并说明为什么综合性的方法对于合规和业务成功不可或缺。 

主要区别与共同点一览

以人及其权利为中心

在 数据保护 中，核心是保护 个人数据。这包括所有能够直接或间接识别自然人的信息——从姓名、电子邮件地址到位置数据或在线标识符。数据保护旨在维护个人的 隐私 ，确保个人能够掌控自己的数据。它规定了在何种条件下可以合法地收集、处理、存储和传递这些数据。  

保护所有信息免受威胁

数据安全 旨在保护 所有企业数据 ，无论这些数据是否涉及个人。其目的是保护这些数据免受各种威胁，包括因网络攻击、人为失误或技术故障导致的未经授权访问、窃取、丢失、篡改或破坏。数据安全方案的实施依靠 技术措施 （如防火墙、加密方法、防病毒软件）与 组织措施 （如企业规章、员工培训、分级访问权限方案）的相互配合。 

这些 数据安全的首要保护目标 （常被称为“CIA 三要素”）包括： 

核心区别一目了然

根本 区别 在于 保护对象和侧重点: 数据保护 侧重于 个人数据 以及数据主体的 个人的权利。数据保护要问的是：我们 是否可以 处理这些数据？又该如何保护数据主体的权利？ 数据安全 则保护 各类数据 免受威胁，侧重于 防护措施 。它要问的是：我们 如何 从技术和组织上保护自己的数据？ 

从数据保护的角度可以说：数据安全是一个工具箱，也用于从技术上落实数据保护的法律要求（如保密性）。 良好的数据安全方案也是有效数据保护的基本前提。 

法律框架：GDPR、ISO 等

根据法律规定， 数据保护 在欧盟主要由 《通用数据保护条例》（GDPR） 以及BDSG等国家法律加以规范。这些法律规定了详细的义务。而在 数据安全 方面，并没有一部统一的综合性法律，但有各行业的专门规定（例如针对关键基础设施（KRITIS）的IT-SiG），以及成熟的标准，例如 ISO/IEC 27001 （适用于信息安全管理体系，即ISMS）或 BSI IT基线保护（IT-Grundschutz） ，都提供了公认的框架。 

为什么数据保护与数据安全是密不可分的

数据保护与数据安全密切相关、相互依存。如果没有适当的数据安全措施，数据保护的保护目标（尤其是完整性和保密性）也无法实现。因此，全面的信息安全管理始终会兼顾数据保护法的要求。反过来，数据保护通过界定需要以技术手段落实的法律要求，为数据安全提供了重要推动。  

一个 综合性方法 能够带来协同效应，例如： 

将数据保护与数据安全视为战略需要并加以利用

数据保护与数据安全的区别很清楚：前者保护个人数据和相关权利，后者通过相应措施保护所有数据。然而，对企业而言，关键在于 将两个领域统筹考虑、整体落实。这不仅是 避免罚款 （GDPR！）乃至整体上 遵守法律 所必需的。坚实的数据保护与数据安全基础 能够最大限度降低业务风险, 增强 来自客户和合作伙伴，因此也是一种 战略性投资 ，有助于提升企业的韧性和面向未来的能力。