在数字化浪潮中，人脸识别技术凭借其高效、便捷的特性，已广泛应用到消费、金融、安防、出行等诸多社会领域。在金融领域，刷脸支付简化了支付流程，让支付更便捷高效；在安防层面，人脸识别可以助力快速识别可疑人员，维护社会安全。然而，随着人脸识别技术的大规模应用，人脸信息这一高度敏感的个人信息数据所面临的安全风险日益凸显，引发了公众对隐私侵犯、信息泄露的广泛担忧。

我国高度重视个人信息保护，已出台《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《网络数据安全管理条例》等一系列法律、行政法规，明确个人信息处理规则。其中，《中华人民共和国个人信息保护法》第六十二条特别指出，国家网信部门需统筹协调有关部门，针对人脸识别等新技术、新应用制定专门的个人信息保护规则。在此背景下，国家互联网信息办公室、公安部联合公布《人脸识别技术应用安全管理办法》，这是落实法律规定的关键举措，旨在为人脸识别技术应用系统中的数据安全保驾护航，平衡技术发展与个人信息保护。

一、人脸信息的安全技术举措

按照《人脸识别技术应用安全管理办法》，实现相同目的或者达到同等业务要求，存在其他非人脸识别技术方式的，不得将人脸识别技术作为唯一验证方式，例如，小区门禁、公司考勤、酒店入住、健身场所验证、停车场运营等场景，可以通过非人脸的其他方式确认身份：小区门禁可通过刷卡、密码输入等方式验证身份，通过手机 APP 生成的二维码或蓝牙信号解锁门禁，避免以人脸识别作为业主进出小区的唯一验证方式；公司考勤可以通过指纹/掌纹识别、工牌/ IC 卡刷卡、密码/工号输入、手机 APP 签到等方式进行签到，避免仅提供刷脸验证方式；酒店入住凭身份证、护照、港澳通行证等有效证件登记，无需刷脸；健身场所可通过手环、感应卡等物理媒介验证会员身份，通过预设密码或手机 APP 扫码解锁储物柜或门禁，避免将人脸识别作为会员入场或使用储物柜的唯一验证方式；停车场运营方可通过车牌自动识别、IC 卡/蓝牙钥匙、扫码支付、人工核验等方式完成车辆进出或缴费，避免仅支持刷脸开闸或支付。

当具有特定目的和充分的必要性，需要应用人脸识别技术验证个人身份、辨识特定个人的，鼓励优先使用国家人口基础信息库、国家网络身份认证公共服务等渠道实施，减少人脸信息收集、存储，保护人脸信息安全。对于确需收集、存储人脸信息的情况，《人脸识别技术应用安全管理办法》第十四条规定，人脸识别技术应用系统应当采取数据加密、安全审计、访问控制、授权管理、入侵检测和防御等措施保护人脸信息安全。此外，人脸信息应当存储于人脸识别设备内，不得通过互联网对外传输。

（一）基于最小权限的授权管理与访问控制

访问控制基于最小权限原则，严格限定哪些访问主体能够访问人脸信息以及可以执行的操作类型。人脸识别技术应用系统需构建起一套严谨的访问控制体系，以确保只有合规且必要的主体能够接触人脸信息。在系统内部，基于精细的角色定义与权限分配机制，对不同功能模块的访问权限进行严格划分。例如，如需响应个人对人脸信息的删除请求，需获得人脸信息的删除权限；如仅需验证身份，可获得人脸信息的读取权限。

（二）数据加密

数据加密是保障人脸信息安全的基石。在人脸识别技术应用系统运行中，人脸信息作为核心的个人信息，极易成为被攻击的目标，所以人脸识别技术应用系统从数据收集的源头开始，对获取的人脸信息进行加密处理。例如，一些服务平台在登录时要求用户通过人脸识别验证身份，才能进入平台办理相关事项。当这些平台首次涉及人脸信息收集时，人脸识别技术应用系统采集到人脸信息后，需及时执行加密处理，将原始的人脸信息转换为密文形式进行存储，只有经过合规授权的主体才能在需要时对数据进行解密，以此全程保障人脸信息的安全性和保密性。

（三）全链路的安全审计

安全审计对于确保人脸信息的安全性、完整性以及合规性使用发挥着关键作用。如一些为公民提供服务的平台，在登录时要求用户通过人脸识别验证身份，才能进入平台办理相关事项。为了保障用户人脸信息安全，人脸识别技术应用系统可全链路监控和记录人脸信息相关操作。例如，在公民发起验证请求时，系统自动记录验证的过程，确保验证过程可追溯。个人提出删除人脸信息诉求时，系统全程跟进响应过程，记录诉求提交、受理、检索信息及执行删除的时间与结果，并留存日志，确保删除合规无残留。全链路持续的安全审计，能及时发现并纠正违规操作，降低人脸信息被非法访问、滥用或泄露等风险，保障用户人脸信息安全。

二、构建全方位人脸信息安全防护网

目前，人脸识别技术已获得广泛的应用，但人脸信息安全与否直接关系到个人权益、社会秩序乃至行业的稳健发展。《人脸识别技术应用安全管理办法》中提到的以上安全举措是紧密配合、协同发力的，能从多维度、深层次发挥关键效用，切实为人脸信息安全保驾护航。

（一）符合合规性要求

随着个人信息保护法律法规的不断完善，个人信息处理者必须遵守相关规定，采取必要的数据安全措施。《人脸识别技术应用安全管理办法》所提出的数据加密、安全审计、访问控制、授权管理、入侵检测和防御等数据安全技术要求，为人脸识别技术应用系统的合规运营指明了方向。对于应用人脸识别技术应用系统的行业来说，严格遵守法规，切实落实各项数据安全技术措施，是保障人脸信息安全、实现合法合规运营的基石，可有效规避因违法违规而面临的法律诉讼、高额罚款以及声誉受损等风险，为各行各业的长远发展营造良好的法律环境。

（二）保护个人隐私

实施《人脸识别技术应用安全管理办法》中提出的安全举措，可以从多维度筑牢个人隐私保护防线。授权管理与访问控制可以从系统层面出发，对不同功能模块及外部访问主体进行严格的权限划分与管理，通过严格的权限管控方式有效防止因权限滥用导致的个人隐私泄露，让用户对自身人脸信息拥有切实的控制权与知情权，极大程度降低隐私泄露风险。数据加密可以确保人脸信息在存储过程中的保密性，防范人脸信息被非法访问、滥用或泄露。通过全链路的安全审计对人脸识别技术应用系统运行过程中的数据使用进行全流程追溯，让人脸信息数据处理的整个过程更加透明、规范，为人脸识别技术应用中的个人隐私保护提供有力的保障，让用户的隐私安全在每一个环节都能得到切实维护。

（三）维护业务的可用性

采取授权管理与访问控制、数据加密及全链路的安全审计等措施，对于维护业务的持续可用性意义重大。在正常的业务运行中，一旦人脸信息的完整性受损，可能导致人脸识别验证失败，进而影响用户正常业务的办理。授权管理与访问控制可以阻挡非法操作，系统检测到未授权访问即刻阻断并报警。安全审计可以全程监控人脸信息收集、使用等操作，记录关键数据，及时察觉异常，保障业务合规。通过这些安全举措，维持系统稳定，确保用户顺畅使用人脸识别业务，提升体验与效率，支撑业务顺利推进。

三、小 结

《人脸识别技术应用安全管理办法》从多个维度提出了人脸信息的安全保护要求。本文深入分析授权管理与访问控制、数据加密及全链路的安全审计等数据安全技术，帮助个人信息处理者构建起一个全方位、多层次的人脸信息安全防护体系，从而保护个人隐私，保障业务的持续可用性，为人脸识别技术应用系统在推动社会智能化发展、维护社会和谐稳定以及促进生态系统良性循环等方面奠定了坚实基础。未来，随着人脸识别技术应用场景的不断拓展和深化，持续强化和完善这些数据安全技术措施，将是保障人脸信息安全、促进技术与安全协调发展的关键所在。个人信息处理者紧跟技术发展步伐的同时，遵循《人脸识别技术应用安全管理办法》等法律法规，实现技术应用与安全合规的双赢。

（本文作者：北京数安行科技有限公司 郭灵）

声明：本文来自CCIA数据安全工作委员会，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。