因此，在数据作为生产要素的背景下，可以把新形势下的数据安全划分为五个核心场景：

1. 数据的采集安全。这是近年来国家 App 治理的重点。主要通过规范 App 厂商隐私政策，通过信息明示和主体授权，约束 App 厂商的滥采和承诺对个人数据的保护义务，保障数据主体的权益。

2. 数据在存储载体上的安全。即数据在非使用流转状态中的安全，其数据安全的风险重点是对数据的非授权访问。除了传统数据安全体系的数据加密、脱敏、对数据的访问控制，对数据载体的非法外发的控制外，还需要实施数据本体资产的分类分级，以数据分类分级实施访问控制策略，同时围绕合规要求和隐私政策进行增强性数据保护：如对数据的跨境存储、个人数据的保存时限、生物识别数据的保护上进行管理和技术上的加强。

3. 数据在业务过程中使用和流转的安全。一方面，数据被各种业务应用以及相关的业务参与方基于各类业务需求进行访问，很难通过严格的访问措施实施数据层面细粒度的保护策略，另一方面，由于业务变动较快，需要通过自动化的数据风险监测和测评手段，来实现对动态数据流转中的数据风险控制。首先，需要将数据本体的分类分级进一步映射到业务应用涉及的涉敏业务和系统、涉敏暴露面上，才能更好地发现保护缺失的地方和映射相应的数据安全保护策略。然后，结合具体业务活动使用的数据类型、敏感级别、量级、脆弱性风险、合规要求、网络环境、数据流向和数据访问行为，通过风险分析模型，自动化发现、评估和持续监测数据风险并做出进一步的响应。

4. 企业将来自自身各个业务系统甚至合作伙伴的大量数据打通汇集之后，可以依据这些数据本身作为业务，在大数据平台以及相关的终端上，展开数据分析、挖掘和建模活动。这一类数据活动的数据安全，除了传统的数据操作行为审计外，会产生几个新的数据安全场景：一是数据汇集与融合时，需要遵循各类合规性要求，如按照主体的授权进行数据相关处理的管控。二是对数据模型进行深度的审计，数据模型接触和使用的数据，是否符合模型相关的安全等级策略和主体授权要求。而在数据融合、衍生、分析建模中，共享导出和出境，如确需未授权的数据参与运算，应做到数据的匿名化。

5. 对个人主体数据进行归一化的处理。按照个人信息保护法草案，个人数据主体被法定了包括知情权、决定权、查询权、更正权、删除权等权益。采集了个人数据的机构，需要依法保障个人数据主体对自身数据的权益主张，机构需要设立相应的组织响应个人用户的权益要求，并按相关要求对其个人数据进行相应的处理。这要求相关组织能对个人主体数据进行归一化的处理，并明确了解这些数据的采集和授权情况、数据实际用途、数据共享给第三方的情况，才能满足机构个人信息保护的义务。