大数据时代下的数据安全治理究竟该怎么做？

　　现如今一方面人们为大数据时代即将在各个领域发生的革命性进步而激动难眠，一方面人们也在担心数据安全和隐私保护问题。围绕大数据的创新和安全，各种政策、法律、标准、产品和学术研究表现出空前的热情。

　　然而眼花缭乱的声音却使人们陷入了混乱，陷入了数据恐慌。要尽快找到清晰的思路，找到方法实现围绕大数据的发展与安全之间的平衡。本文要讨论的，就是大数据时代下该如何进行数据治理的基本抓手与核心思路。

　　01

　　关于数据安全的基本认识

　　首先，数据本身无罪，有罪的是数据没有被安全地保护或使用。

　　其实数据本身是无罪的，人们担心的是数据拥有或者处理者不能保护好数据或者滥用数据。因此，今天我们谈到隐私保护的时候，不应该只关注法律层面的隐私条款和限制信息采集，而应该更加优先关注如何提高所有拥有我们数据的组织的数据安全水平，确保他们手里的数据不会被窃取或者滥用。“用户画像”、“精准营销”不等于就会侵犯隐私，关键看具体实现的方法和管理措施。

　　其次，谁都不信任的话，用户的安全可能会更加糟糕。

　　越来越多的人似乎倾向于“谁都不信任”。但是在今天除非你不生活在人类社会中，否则这种思路反而让你陷入到更加不安全的地步。私密数据放在自己的手机上或者服务器上就更安全吗？除非你的手机或者服务器从来不用任何形式和网络发生链接，否则对网络攻击者来说，这些安全防护相对更弱的地方恰恰是更容易的目标。

　　第三，安全也需要数据。

　　我们担心泄露了自己的数据所以不安全，可是反过来，如果没有数据的话我们也无法得到安全保护。追踪老人或者儿童的位置信息可以防止他们走失，野外应急救援也需要位置信息，急救大夫需要病人的隐私健康信息才能救命，通过检测用户是否短时间在不同的城市登录系统是今天几乎所有产品判断用户账户是否被盗的基本手段…

　　02

　　数据安全包含哪些内容

　　数据安全有对立的两方面的含义：一是数据本身的安全，主要是指采用现代密码算法对数据进行主动保护，如数据保密、数据完整性、双向强身份认证等，二是数据防护的安全，主要是采用现代信息存储手段对数据进行主动防护，

　　如通过磁盘阵列、数据备份、异地容灾等手段保证数据的安全，数据安全是一种主动的包含措施，数据本身的安全必须基于可靠的加密算法与安全体系，主要是有对称算法与公开密钥密码体系两种。

　　数据处理的安全是指如何有效的防止数据在录入、处理、统计或打印中由于硬件故障、断电、死机、人为的误操作、程序缺陷、病毒或黑客等造成的数据库损坏或数据丢失现象，某些敏感或保密的数据可能不具备资格的人员或操作员阅读，而造成数据泄密等后果。

　　而数据存储的安全是指数据库在系统运行之外的可读性。一旦数据库被盗，即使没有原来的系统程序，照样可以另外编写程序对盗取的数据库进行查看或修改。从这个角度说，不加密的数据库是不安全的，容易造成商业泄密，所以便衍生出数据防泄密这一概念，这就涉及了计算机网络通信的保密、安全及软件保护等问题。

　　目前存在的比较普遍的误区是把系统安全等同于数据安全，也就是说，把防止网络入侵带来的数据被窃取，等同于数据安全的工作。实际上这只是数据安全很小的一部分内容。

　　今天我们说数据安全的时候，应该包括三方面的内容：防窃取、防滥用和防误用。

　　防窃取比较容易理解，不过全世界多年来的共识是，来自内部的安全威胁总体上占三分之二左右，要远大于来自外部的威胁。根据电子商务生态安全联盟的统计，在电商生态中这个比例还要更加悬殊。因此，即便是系统安全，也不能仅仅把防止外部攻击导致的数据窃取作为全部工作，防止来自内部的入侵和数据窃取反而更加重要。

　　防滥用指的是防止数据被不正当使用，例如拥有数据的组织内部员工在无工作场景的情况下访问用户个人敏感数据。现实中，用户的身份证信息、医疗档案、购物记录、财产情况等信息，都会存在各种组织的系统中。当用户需要这些组织提供服务或者帮助的时候，这些组织的相应员工才可以根据用户的授权来访问这些数据。而如果这些组织中的员工未经用户请求私自访问这些数据，则属于一种滥用行为。

　　防误用指的是防止数据在加工过程中出现过失性泄露。人类正在进入定制化生产的时代，这个时代的基础之一是基于大数据的加工计算。大数据加工计算的过程中如何做到不侵犯用户个人隐私，就是典型的防误用问题。显然这个问题已经成为今天的典型突出问题了。

　　03

　　数据安全治理三原则

　　数据安全治理可以遵循“以数据为中心、以组织为单位、以能力成熟度为基本抓手”的原则。

　　1、以数据为中心

　　以数据为中心，是数据安全工作的核心技术思想。人们比较习惯的是以系统为中心的思想，即围绕着一个数据库、一个产品、一个网站、一个服务器等评价其安全性。这种思路主要适用于保护一个特定系统的正常工作状态。

　　但是在今天，数据在多个系统、产品、业务环节中频繁快速流转，这种以系统为中心的思想已经不能满足数据安全的需求了。以数据为中心的安全，是将数据的防窃取防滥用防误用作为主线，在数据的生命周期内各不同环节所涉及的信息系统、运行环境、业务场景和操作人员等作为围绕数据安全保护的支撑。

　　这时候，某个系统被入侵，并不等于数据安全的目标就遭到最终的破坏，反之某个单一环节的安全能力再强，也不代表整体数据安全保护的能力就够好。在数据生命周期的不同阶段，数据面临的安全威胁、可以采用的安全手段有可能很不一样。

　　2、以组织为单位

　　以组织为单位，是数据安全治理的核心管理思想。

　　虽然在大数据时代还有数据共享、数据转移、数据交易等各种复杂的情况，但拥有或者处理数据的组织是所有这些活动的基本单元，因此也是数据安全治理的基本单位。

　　以组织为单位的数据安全治理，具体指的是数据在特定组织内全生命周期的安全，这个组织要对其负责。不论数据在这个组织中的生命周期涉及多少产品业务或人员，那些单个系统单个业务的安全都不说明问题，说明问题的应该被最终衡量的这个组织的数据安全。

　　一个组织的数据安全水平，可以作为其是否符合法律要求、特定事件中具备怎样的责任、面向用户赢取信任、面向行业适合处理的数据类型和规模等的参考依据。换句话说，政府或者行业可以以组织为单位进行数据安全管理，而不是某个产品的安全，一个组织要证明的是自己整个组织的数据安全水平，而不是自己的某个应用的安全。

　　3、以能力成熟度为基本抓手

　　数据安全的能力成熟度可以作为基本抓手。

　　能力成熟度是一种经过考验的方法，目前在越来越多的领域被应用，美国甚至制定了网络空间安全能力成熟度战略。数据安全能力成熟度模型，是借鉴能力成熟度的核心思想，结合数据在组织内的生命周期以及构成安全能力的关键要素而构建的。

　　一个组织的数据安全能力成熟度等级，说明了这个组织在数据安全保护方面的综合能力水平。而这个水平的高低，则可以用于数据安全治理的各种相关工作。组织可以通过自己的数据安全能力成熟度水平，让消费者用更加客观量化的方法衡量自己是否值得信任。

　　良币驱逐劣币，让数据安全成为竞争力

　　数据安全治理的核心目的，是实现安全与发展的平衡，让大数据时代的发展能够健康持续进行下去。数据安全治理最需要避免的情况，是用安全的名义扼杀了发展，或者导致谁重视安全谁吃亏，最后产生了劣币驱逐良币的现象出现。

　　在数据采集阶段，可能存在采集数据被攻击者直接窃取，或者个人生物特征数据不必要的存储面临泄露危险等；在数据存储阶段，可能存在存储系统被入侵进而导致数据被窃取，或者授权用户无应用场景支持访问用户敏感数据，或者存储设备丢失导致数据泄露等；在数据处理阶段，可能存在算法不当导致用户个人信息泄露等。

　　大数据时代，每个角落都在产生数据，而这些数据正是新时代人类的财富：我们依赖这些数据实现医疗、健康、教育、安全、环境保护等各方面的革命性进步。可是人们担心个人隐私在这个过程中被窥探，对似乎无所不在的数据采集记录行为无法忍受。

　　回想一下，人们曾经在日记里写下自己最私密的事情、人们在自己的手机或计算机中存储自己的私密照片或信件、人们在很多政府部门的系统里存储自己的各种生物特征信息、人们在医院的系统里存储自己各种病情细节、人们向心理医生倾诉自己的内心等等，这些时候为什么不担心隐私泄露呢？因为这些情况下我们觉得自己的隐私数据是不会被泄露的，虽然事实上也存在风险。

　　数据安全治理要避免过去那种自上而下的“管家式”管理模式，因为每一个企业、每一个组织都将离不开数据，数据安全问题并不是只需要关注那些大企业大产品就行了。可是政府从上而下管理数千万家企业数千万个组织是不可能有好的效果的，更不要说这是业务产品超级复杂并且快速变化的新时代。

　　因此，需要建立的是自下而上的制度，让组织自己有提升和证明自身数据安全能力成熟度水平的积极性，让数据安全能力成熟度高的组织拥有更大的发展空间和竞争优势，让规范的第三方数据安全服务产业发展起来实现专业的数据安全服务和测评认证体系，由此形成良好的数据安全治理生态，提升全社会的数据安全水平。

　　安全技术也同样是实现有效敏感信息保护的重要手段，技术和管理两者缺一不可。当然，由于过去企业都比较重视安全技术，也已投入了很大资源进行相关技术和平台建设。

　　首先就是新技术标准的应用问题。大家都知道，近期监管机构以及行业协会等发布了很多新的技术标准和要求，比如支付标记化技术等。虽然这些技术本身不难实现，但是难得是如何在现有的系统架构基础上实现，说白了就是新老平台和设备替换的问题。

　　大家都知道，目前许多机构用的设备都是老旧设备，如何全面替换的话，成本效率和客户体验都是个问题。此外，传统金融机构的系统架构如何能够支持新的技术方案实现也是一个重大挑战。

　　另外一点就是第三方数据接口管理。按照敏感信息保护的要求，金融机构是不得允许第三方保留客户敏感信息的，而且必须定期对其开展独立性的安全评估，并形成报告存档备查。当然，这部分难的环节不完全在于技术本身，而更多的在于如何进行第三方管理，特别是强势的合作机构。

　　最后，当然还是回归到技术如何更好地和业务结合并支持业务。目前行业上的新技术日新月异，云计算、区块链、人工智能等等，都是热点。未来在数据安全和敏感信息保护上，如何应用这些新技术。

　　04

　　实施策略和路径

　　很多人可能会说，数据安全更多是为了合规要求、声誉风险，本身不创造任何业务价值，只要从合规角度进行推动，满足最低限度要求即可。确实，这种观点不是完全没有道理，至少从很多公司高管来看，只要不出安全事件就是实现了管理目标。

　　但是，新的环境下一定有新的挑战。数据安全和敏感信息保护不应该仅仅是合规管理，更应该支持业务的发展。就像上面笔者曾举的一个例子，为了合规要求，难道就一刀切地不让业务部门使用敏感信息了吗？这对业务发展没有任何好处。

　　大家想想，如果真的能够把企业自身的用数需求和应用场景梳理清楚，并且明确在不同场景下数据如何有效、合规地使用，那么一定是能够促进业务发展，而不是限制业务发展的。

　　数据安全和敏感信息保护未来要站在企业级数据共享和应用的视角，以合规要求为前提，以数据应用为基础，以满足业务用数需求为驱动，从技术导向转变为业务和管理导向，来进行统筹规划。

　　当然，由于各类数据应用场景较为复杂，可以先从管理框架入手，先以监管合规要求构建数据安全和敏感信息保护的专项机制，并选择关键的几个业务应用试点作为切入，梳理并制定业务流程和应用场景层面的数据保护要求（保护的另一面就是允许使用数据的需求），并逐步纳入各类不同的业务应用场景，形成完整的体系。

　　基于此，可以考虑和企业级数据治理工作同步推进，通过数据治理自上而下的解决数据需求和认责管理，以此作为数据安全和敏感信息保护的重要业务和管理输入，并基于此进行开展安全专项工作。

　　放在全球化的视野上看，如果我们做到这些的话，中国还将赢得在这个领域的全球影响力。因为中国不仅有庞大的数字经济市场，而且在业务创新上领先全球。这意味着我们会遇到最丰富的场景，我们能够积累最丰富最有说服力的经验。因此我们有机会告诉和引领全世界，大数据时代下的数据安全治理究竟该怎么做，只要我们有这个意识和雄心。