[[409384]]

本文轉載自微信公眾號「數倉寶貝庫」，作者吳湘泰等 。轉載本文請聯系數倉寶貝庫公眾號。

7月4日，“滴滴出行”因App存在嚴重違法違規收集使用個人信息問題，被國家互聯網信息辦公室依據《中華人民共和國網絡安全法》相關規定下架。

公告里顯示：為防范國家數據安全風險，維護國家安全，保障公共利益，依據《中華人民共和國國家安全法》《中華人民共和國網絡安全法》，網絡安全審查辦公室按照《網絡安全審查辦法》，對“滴滴出行”實施網絡安全審查。為配合網絡安全審查工作，防范風險擴大，審查期間“滴滴出行”停止新用戶注冊。

網址：http://www.cac.gov.cn/2021-07/02/c_1626811521011934.htm

據報道，這是國內首次動用《中華人民共和國國家安全法》的案件。

7月5日，網絡安全審查辦公室再次發布公告，宣布將對“運滿滿”、“貨車幫”、“BOSS直聘”啟動網絡安全審查，毫無疑問，滴滴只是一個代表，舉國上下關注數據安全的時代終于要拉開帷幕。

6月10日，十三屆全國人大常委會第二十九次會議表決通過包括《數據安全法》在內的多項法案及兩項決定。《數據安全法》的出臺，把數據安全上升到了國家安全層面。

在金融科技和數字化時代，數據已然成為一家公司的重要資產，甚至關系到一家公司的生死存亡。業界稱數據資產為“皇冠上的明珠”。打個不一定恰當的比方，把大數據比作核裂變，如果我們對這種反應使用得當，那就能讓它為經濟發展帶來巨大能量，但如果控制不當，就會引發巨大的危機。數據安全可以比作為大數據這座“核電站”提供可控核裂變的關鍵能力。

1、數據資產面臨的威脅和挑戰

根據中國信息通信研究院于2018年發布的《大數據安全白皮書》，在云計算和大數據的背景下，圍繞數據的生產、采集、處理、共享等數據生命周期的各個環節，內部泄露和外部攻擊、管理和技術、新技術風險和存量技術風險等問題交織發生，數據安全威脅可來自大數據平臺自身、數據安全、隱私保護這三方面。

平臺安全方面的挑戰主要表現在以下幾方面：

• Hadoop等開源工具缺乏整體安全規劃，自身安全機制存在局限性。
• 由于大數據平臺服務具有數據多源化、多樣化、高度流動化的特點，傳統安全機制難以滿足需求。
• 大數據平臺的大規模分布式存儲和計算模式導致安全配置難度成倍增長。
• 對于面向大數據平臺的新型網絡攻擊手段(如APT等)，傳統安全監測技術存在明顯不足。

數據方面的威脅和挑戰主要表現在以下幾方面：

• 數據泄露事件發生的數量持續增長，造成的危害日趨嚴重。
• 由于缺乏監測手段，數據采集環節的完整性保障缺失成為影響決策分析的新風險點。
• 跨傳統組織邊界的數據處理過程中的機密性保障問題逐漸顯現。
• 由于數據流動路徑的復雜性，事后追蹤溯源變得異常困難。

個人隱私方面的挑戰主要表現在以下幾方面：

• 因為傳統隱私保護技術可以通過對多來源、多類型的數據集進行關聯分析和深度挖掘來復原匿名化數據，所以隱私保護有失效的可能。
• 傳統的隱私保護技術(如去標識化、匿名化技術等)難以適應大數據的非關系型數據庫。而在金融科技領域，因為系統中存有海量個人敏感信息和交易信息，所以監管網絡安全和消費者數據安全面臨重大挑戰。

2、數據資產估值

想要對數據進行保護，就要對數據資產的價值有相應的評判。業界近年來開展相關實踐，發現影響數據資產價值的因素有三個(見圖1)：數據資產質量價值、數據資產應用價值和風險。數據資產質量價值是站在數據消費者的角度，考慮數據資產的真實性、完整性、準確性、數據成本、安全性；數據資產應用價值則考慮稀缺性、時效性、多維性、場景經濟性；風險方面主要指法律限制和道德約束，這對數據資產的價值有著從量變到質變的影響。對數據交易的限制性規定越多，交易雙方的合規成本和安全成本就越高。能制定出有效解決合規安全和效率問題的數據安全解決方案，就能提供更多價值。

圖1　影響數據資產價值的因素

而在數據資產評估方面，根據業界近年來的實踐，發現可以通過成本法、收益法、市場法等對數據資產進行定量評估。用成本法評估數據資產時，會依據形成數據資產的成本進行。盡管無形資產的成本和價值關聯不強且成本不一定完整，但用成本法評估一些數據資產的價值是存在一定合理性的，比如在交易性和收益性不確定但又需要交易的時候，可以采用成本法。用收益法評估數據資產時，數據資產作為經營資產直接或者間接產生收益，其價值實現方式包括數據分析、數據挖掘、應用開發等。收益法較真實、準確地反映了數據資產本金化的價值，更容易被交易各方所接受。在市場法中，數據資產的獲利形式通常包括客戶關系管理、客戶細分、客戶畫像、個性化精準營銷、提高投入回報率、內部風險管理等。收益法和市場法可應用于交易性和收益性較好的數據資產評估。三種評估方法在應用于數據資產價值評估時，各自具有優勢和局限性，目前尚未形成成熟的數據資產價值評估方法。

3、如何理解數據安全

數據安全有別于傳統的針對網絡攻擊的防御，可在大的數據管理的框架下，以保護數據為中心，把“建立數據安全策略與標準，依法合規采集、應用數據，依法保護客戶隱私，劃分數據安全等級，明確訪問和復制等權限，監控訪問和復制等行為，完善數據安全技術，定期審計數據安全”作為數據安全管理工作的主要內容。而數據安全管理和數據治理之間有著相輔相成的關系，我們可以通過目標、對象、理念、技術、發起部門、產出內容、資產管理等維度對數據安全、網絡安全、數據治理進行比較(見表1)。

表1　數據安全、網絡安全、數據治理對比表

4、數據安全管理參考框架

當前業界解決數據安全管理有兩個主要思路：

• 從數據安全治理的角度，首先明確誰對數據安全負最終責任，然后在這個責任框架下通過數據發現、數據分類分級，明確以DLP(數據防泄露)為主導的技術管理措施和審計措施。在集中式的以金融機構為主導的傳統技術架構下，這種模式是有效的。然而，就像牛頓的經典物理學的有效性在更為宏觀的尺度下不再那么有效一樣，在諸如小微、消費信貸、醫療險、車險等領域，跨界、跨實體的多數據源計算成為主要計算場景。
• 在法規方面，又會面臨網絡安全以及個人信息保護等相關法規對于隱私保護和個人數據安全的嚴格要求，傳統的基于DLP的解決方案便不能應對新的挑戰。這時，一些領先的金融科技公司就開始在驗證測試階段乃至投入生產階段，運用諸如聯邦學習等全新的數據安全解決方案來應對。這兩者并不是互相排斥的，而是相輔相成的，它們的共同點在于“以數據為中心”，不同點在于數據安全治理是站在某一機構的視角來看數據安全，而聯邦學習等新的數據安全解決方案是站在一個跨界業務生態的視角上的。

不同規模、不同發展階段的機構可以根據自己的實際情況靈活運用上述思路解決實際問題。

接下來，我們談談數據安全相關的參考框架。

Gartner在數據安全領域也頗有建樹，先后提出了數據安全治理和以數據為中心的安全架構等參考框架，其中數據安全治理架構據稱是Gartner的分析師Marc Antoine Meunier在“Gartner 2017安全與風險管理峰會”上代表Gartner發布的，Marc將其比喻為“風暴之眼”，以此來形容數據安全治理框架(DSGF)在數據安全領域的重要地位及作用。

DSGF的核心架構如圖2所示。許多人認為數據安全只是一個技術問題，然而想通過數據分類、DLP、數字版權管理或數字加密等工具完全解決數據安全問題是不可能的。數據安全是一個復雜的問題，如果不對數據本身、數據創建和使用的上下文以及如何映射到既定的治理框架有深刻理解，就無法理解到底什么是數據安全，更談不上數據保護了。

圖2　DSGF核心架構

DSGF可以幫助企業解決數據安全問題。DSGF提供了一個以數據為中心的藍圖，其中包括：識別和分類企業相關結構化和非結構化數據集，定義數據安全策略，選擇實施風險緩解的技術。

在DSGF落地過程中，企業高層風險領導者是主要負責人，其主要職責如下：一是必須確定組織對數據安全事件、監管環境的業務策略和風險的容忍度，并根據業務風險識別和分類數據資產；二是進一步考慮并明確企業技術投資優先級，以實現從DSGF衍生出來的目標；三是需要充分利用數據，為管理提供數據驅動的情報;四是數據安全必須包括傳統數據安全技術之外的其他方面。

上面所說的其他方面涉及的內容包括如下幾項。

• 關鍵技術方面：身份和訪問管理(IAM)程序應能幫助理解用戶上下文和跟蹤數據訪問的關鍵組件，特別是在響應受損害的憑據問題時。IAM為管理人員訪問系統和數據提供了一種結構化、連貫的方法。而UEBA解決方案采用基于行為分析的方法構建用戶和實體(主機、應用程序、網絡流量和數據庫等)的標準配置文件和行為標準。與這些標準不相符的活動就會被認為是可疑的，從而發現惡意內部人員和外部攻擊者。
• 意圖：在保護數據方面，企業必須有能力嘗試揭示用戶及攻擊者的意圖，以更好地確定和區分哪些是合法的數據安全事件，哪些是存在疏忽或濫用的情況的。
• 優先級：通過采用自動化和智能建議，使用DSGF時應優先考慮使用持續的適應性風險和信任評估系統來選擇適當的安全政策規則和功能，以確保能減小關鍵業務的風險。
• 與數據治理充分協同：在DSGF實施過程中，應該保證數據安全方案與企業數據治理方案保持一致，尤其是數據管控的評估政策和數據分類。
• 關鍵敏感數據集的開發識別能力：開發識別敏感或關鍵數據集的能力，并審計整個企業環境。明確跨多個工具協調的規則，因為單個工具或控件很少能解決所有企業的數據安全風險問題。
• 持續改進：在企業數據安全程序中定期進行差距分析，以應對不斷變化的業務目標和動態威脅。

本文摘編于《一本書讀透金融科技安全》，經出版方授權發布。