4. 数据共享与交换安全需求分析
数据共享与交换的安全需求分析，不是简单罗列“要加密、要审计、要脱敏”，而是要把外部约束、业务目标和安全控制三者对齐。合规要求回答“法律和监管允许做什么”，业务连续性回答“中断时如何继续运转”，最小必要回答“只给多少数据”，目的限制回答“数据能用于什么”，角色与责任矩阵回答“谁对哪一步负责”。这五项需求相互制约：合规划定底线，业务连续性设定可用性目标，最小必要和目的限制约束数据范围与用途，角色与责任矩阵把约束落到具体岗位和流程节点上。
一、合规要求：把外部约束转成可检查项
合规要求来自法律法规、行业监管、合同约定和内部制度四个层面。以《数据安全法》《个人信息保护法》为例，共享个人信息需具备合法性基础，重要数据出境需评估，委托处理需签订协议并监督受托方。实际分析时，不能停留在“符合法律”这种口号，而要把每条要求拆成可验证的控制点。例如“共享个人信息应取得单独同意”可拆为：共享前是否单独告知接收方名称、联系方式、处理目的、方式、数据类型；是否留存同意记录；接收方变更时是否重新取得同意。
建议用“合规条款—适用场景—控制措施—证据形式—责任角色”五列做映射。例如某银行与外部征信机构交换客户信贷数据，适用条款为“向外部提供个人信息需单独同意”，控制措施为“共享前弹窗单独授权并记录时间戳”，证据为“同意日志与授权页面截图”，责任角色为“业务运营岗发起、合规岗复核”。这样合规要求就从抽象条文变成了可审计、可追责的检查项。
二、业务连续性：共享中断时的降级与恢复
业务连续性关注的是：当共享通道不可用、接收方系统故障或数据质量异常时，业务能否继续。需求分析要明确关键共享链路、可容忍中断时间（RTO）、可容忍数据丢失量（RPO）以及降级策略。例如某政务数据共享平台向社保、税务、公安提供人口基础信息，若实时接口中断，可降级为每日批量文件交换，RTO 设为 4 小时，RPO 设为 24 小时；若批量通道也中断，则启用本地缓存副本并标记“数据可能滞后”，待恢复后补传差异。
业务连续性需求还要考虑单点故障。若所有共享都经过同一网关，网关故障即全局中断，此时应设计双通道或主备路由。分析时可用“共享链路—依赖组件—故障影响—降级方案—恢复判据”来梳理。恢复判据不能只说“系统恢复”，而应明确：接口成功率连续 5 分钟高于 99%，积压消息清零，对账差异为零，方可解除降级。
三、最小必要与目的限制：从“能给”到“该给”
最小必要要求共享的数据字段、记录范围、时间跨度、访问频率都限于实现目的所必需。目的限制要求数据只能用于共享时声明的目的，不得二次用于其他用途。两者常被混为一谈：最小必要管“量”，目的限制管“用途”。例如某电商平台向物流服务商共享订单数据，最小必要要求只给收件人姓名、电话、地址和订单号，不给用户浏览记录、支付方式；目的限制要求物流方只能用于配送，不得用于营销画像。
实际操作中，可用“字段级授权”和“用途标签”落地。字段级授权为每个共享字段标注“必需/可选/禁止”，例如身份证号在配送场景为禁止，在实名核验场景为必需。用途标签随数据一起传递，接收方系统在调用前校验标签与当前业务场景是否匹配，不匹配则拒绝。若接收方确需新用途，应重新发起共享申请并更新授权，而不是默认沿用原授权。
四、角色与责任矩阵：把需求落到人
角色与责任矩阵解决“谁在什么节点做什么决定”。常见角色包括业务发起方、数据安全岗、合规法务岗、数据提供方、接收方和审计岗。用 RACI 模型可清晰区分：R（负责执行）、A（最终批准）、C（被咨询）、I（被通知）。例如“字段与用途审核”环节，数据安全岗是 R，合规法务岗是 A，业务发起方是 C，接收方是 I。这样既避免多头负责，也避免无人拍板。
矩阵必须与流程节点绑定，不能只列岗位名称。建议在共享申请单中嵌入矩阵：申请单提交后自动路由到数据安全岗做字段必要性审查，再路由到合规岗做合法性审查，最后由数据提供方负责人批准。每个节点设置时限，超时自动升级。审计岗不参与审批，但定期抽查授权记录、传输日志和接收方使用情况，发现用途偏离时触发复核。
五、五项需求的协同与冲突处理
五项需求并非总是和谐。合规要求可能禁止某字段共享，但业务连续性需要该字段才能完成对账；最小必要要求减少字段，但目的限制要求保留用途标签，可能增加传输开销。处理冲突的原则是：合规优先，业务连续性在合规框架内设计降级，最小必要和目的限制通过技术手段（如字段级加密、用途标签）兼顾，角色矩阵明确冲突裁决人。例如合规与业务冲突时，由合规法务岗行使一票否决，但需给出替代方案建议，如以哈希值代替明文进行对账。
综上，合规要求、业务连续性、最小必要、目的限制、角色与责任矩阵共同构成数据共享安全需求分析的完整框架。合规定底线，连续性保可用，最小必要控范围，目的限制管用途，角色矩阵明责任。五者协同，才能让数据共享既安全又可持续。