以數(shù)據(jù)為中心的安全

阿里巴巴集團安全部 杜躍進

以數(shù)據(jù)為中心的安全

阿里巴巴集團安全部 杜躍進

我們正處于數(shù)據(jù)技術(shù)時代，人類社會正在因為數(shù)據(jù)而發(fā)生重大的變化。從商務到醫(yī)療，從金融到交通，從教育到社會治理，我們能想到的每個方面，都在因為數(shù)據(jù)技術(shù)而發(fā)生著不可思議的變革。大家都認識到，數(shù)據(jù)正在成為生產(chǎn)資料，數(shù)據(jù)和數(shù)據(jù)技術(shù)正在成為最關(guān)鍵的競爭力。

然而，與此同時人們對數(shù)據(jù)帶來的安全問題也越來越擔心，數(shù)據(jù)安全正在成為全世界的一個熱點話題。尤其是“徐玉玉”事件以來，大家不但對電信詐騙的嚴重危害和應對方案展開了非常密集的討論，而且對導致精準詐騙的信息泄露問題十分關(guān)注。不需要刻意關(guān)注，所有人都知道今天的信息泄露問題非常嚴重。

從大時代的角度來說，數(shù)據(jù)安全問題如果失控，會影響全社會的信心，阻礙人類社會的進步。從擁有數(shù)據(jù)的行業(yè)、企業(yè)或者機構(gòu)來說，數(shù)據(jù)安全也有非常重要的具體意義：下一個類似“徐玉玉事件”發(fā)生的時候，你的機構(gòu)是否要為其中的信息泄露擔責？當你雄心勃勃地推進商業(yè)計劃的時候，會不會因為自己數(shù)據(jù)安全做得沒別人好而失去機會？

因此無論從國家戰(zhàn)略的角度還是從企業(yè)自身發(fā)展的角度來說，數(shù)據(jù)安全都是當前最迫切的一個問題。

不過對于數(shù)據(jù)安全問題，人們存在很多誤解。一個誤解是認為“大數(shù)據(jù)安全只和擁有大數(shù)據(jù)的大企業(yè)、大部門相關(guān)”?？墒请S著一系列電信詐騙案件的破獲，大家發(fā)現(xiàn)造成危害的具有重大價值的個人信息泄露，經(jīng)常是在很小的環(huán)節(jié)被竊取或者泄露出去的，而且泄露數(shù)據(jù)的地方是如此之多，簡直如同篩子一樣。相對來說，重視安全的大企業(yè)因為投入資源多，安全水平反而相對更高。另外，很多看上去普普通通的移動應用APP，背后的用戶數(shù)據(jù)說出來動輒也是幾百萬幾千萬的規(guī)模，其安全問題則往往是被大家忽視了的。

另外一個誤解是把云計算安全等同于大數(shù)據(jù)安全。實際上云計算安全只是大數(shù)據(jù)環(huán)境中的一部分安全問題，云計算安全就算沒問題了，云計算用戶自己安全意識差、管理不到位的話，依然無法阻止用戶自己內(nèi)部或者外部帶來的數(shù)據(jù)安全問題。

所以，數(shù)據(jù)安全是擁有數(shù)據(jù)的每個行業(yè)、部門、機構(gòu)和企業(yè)都需要關(guān)注的問題，而且今天我們需要一種全新的“以數(shù)據(jù)為中心的安全”思維和方法，而不能用傳統(tǒng)的“以系統(tǒng)為中心的安全”來解決這個問題。

以數(shù)據(jù)為中心的安全，需要把安全聚焦在數(shù)據(jù)本身，圍繞數(shù)據(jù)的生命周期來建設安全能力，包括各個環(huán)節(jié)相關(guān)系統(tǒng)的安全情況、各個環(huán)節(jié)專門的數(shù)據(jù)安全產(chǎn)品和策略、安全運營、制度和管理體系設計、專業(yè)人員能力建設等。一個組織自己通過以數(shù)據(jù)為中心的安全，需要解決的是內(nèi)部人員濫用、業(yè)務場景誤用和防止外部竊取的風險控制問題（從最近的案例中人們也能看到大量的信息泄露是在網(wǎng)絡黑產(chǎn)的誘惑下內(nèi)部人員倒賣出來的，這是典型的內(nèi)部濫用問題。如果只靠案發(fā)之后才能追溯到信息泄露的源頭，這是遠遠不夠的）。

但是這其中的挑戰(zhàn)其實非常多，無論從技術(shù)還是管理的角度看都是如此。今天的數(shù)據(jù)是融合在業(yè)務中的、在開放的生態(tài)環(huán)境中流動的，不可能脫離業(yè)務把數(shù)據(jù)剝離出來進行防護，也不可能用靜態(tài)數(shù)據(jù)的安全防護方法來解決問題。一些情況下數(shù)據(jù)的規(guī)模、業(yè)務的速度以及場景，都導致很多傳統(tǒng)的技術(shù)方法無法直接發(fā)揮效果。

當放到用戶角度來看的時候，會發(fā)現(xiàn)一個組織內(nèi)部的數(shù)據(jù)生命周期是不夠的，需要在更大的生態(tài)環(huán)境中看。這時候?qū)е聠栴}更加復雜。從社會或者行業(yè)管理的角度來說，這時候就更加需要一種如何衡量任一組織數(shù)據(jù)安全能力的方法。有了這種方法并且形成足夠的能力，才能夠評價行業(yè)或者整體的數(shù)據(jù)安全狀況，也才能夠?qū)τ袉栴}的環(huán)節(jié)給出具體的改進要求。

基于這些需求，阿里巴巴把自身的經(jīng)驗進行了提煉和總結(jié)，形成了一套“數(shù)據(jù)安全能力成熟度模型”。以此為核心，我們已經(jīng)牽頭在國際標準、國家標準和行業(yè)標準都立項成功。同時我們不僅在阿里自己的生態(tài)圈中進行推廣，也正在進行更大范圍的嘗試，目的是讓這套作法經(jīng)歷更多的磨合、具有更廣泛的適用性。這個過程中需要學術(shù)界和產(chǎn)業(yè)界更多的合作和參與，因為今天在互聯(lián)網(wǎng)應用創(chuàng)新領域中國是走在最前列的，國際上并沒有現(xiàn)成的經(jīng)驗可以解決我們的問題。另一方面，我們今天遇到的問題未來會成為全世界每一個企業(yè)或者機構(gòu)面臨的問題，我們希望我們的探索幫助更多的人，讓數(shù)據(jù)時代能夠順利地發(fā)展。

當然，最后還是要強調(diào)一下“沒有絕對的安全”：沒有哪一種方法是能夠一勞永逸確保安全的。安全是一種對抗，圍繞數(shù)據(jù)安全的對抗也會升級，但是我們必須直面這種對抗，不斷提高我們的水平，才能保護用戶的利益，建立用戶對我們的信任，也才能樹立整個社會的信心，確保發(fā)展這個最終的目標。