BAT用什么來保證我們的信息安全？

向治霖

信息泄露事件頻發(fā)1、徐玉玉被電信詐騙案2016年8月，山東高考錄取新生徐玉玉遭遇“發(fā)放助學(xué)金”的電信詐騙，被騙9900元后心臟驟停死亡。詐騙實(shí)施者被控詐騙罪、侵犯公民個(gè)人信息罪。詐騙實(shí)施環(huán)節(jié)包括一名黑客，侵犯并出售信息。團(tuán)伙通過網(wǎng)絡(luò)購買學(xué)生信息和公民購房信息，精準(zhǔn)詐騙。此次事件引起輿論對(duì)信息黑產(chǎn)的前所未有的關(guān)注。2、58同城全國簡(jiǎn)歷遭泄露2017年3月底，媒體爆出58同城簡(jiǎn)歷數(shù)據(jù)在淘寶有售，“要多少有多少，全國同步實(shí)時(shí)更新”，一條信息0.3元。此事是因58同城招聘網(wǎng)站對(duì)簡(jiǎn)歷數(shù)據(jù)的防護(hù)存在漏洞，只需700元一套的爬蟲軟件，即可采集全國430多個(gè)城市，以及464個(gè)職業(yè)的簡(jiǎn)歷數(shù)據(jù)。3、360水滴直播2017年12月，自媒體文章《一位92年女生致周鴻祎：別再盯著我們看了》，質(zhì)疑360旗下的直播平臺(tái)水滴直播將商家的公共空間視頻公開播放，安裝了360智能攝像機(jī)的商家等地，其場(chǎng)景被傳到網(wǎng)絡(luò)平臺(tái)，而被侵犯的顧客行人對(duì)此并不知情。輿論升級(jí)后，水滴直播稱，12月20日起將永久停止運(yùn)營。4、Facebook數(shù)據(jù)泄露事件2018年3月，F(xiàn)acebook公司被曝陷入“史上最大數(shù)據(jù)外泄事件”。Facebook生態(tài)的公司之一劍橋分析，分析利用在Facebook上獲得的5000萬用戶的個(gè)人資料數(shù)據(jù)，在美國總統(tǒng)選舉期間針對(duì)這些人進(jìn)行定向宣傳。此事件讓公眾開始關(guān)注到在精準(zhǔn)推銷、詐騙外，數(shù)據(jù)的更多應(yīng)用價(jià)值和泄露后的危害。5、黑客入侵快遞公司后臺(tái)竊取信息兜售2018年5月，江蘇省淮安市警方成功偵破一起公安部督辦的黑客非法入侵快遞公司后臺(tái)竊取客戶信息1億條牟利案件，13名嫌疑人通過黑客手段登錄快遞公司后臺(tái)竊取信息數(shù)據(jù)，再通過QQ群、微信等兜售，買家多為從事“三無”產(chǎn)品銷售的網(wǎng)絡(luò)經(jīng)銷公司。

現(xiàn)在是數(shù)據(jù)業(yè)務(wù)化（DT）的時(shí)代。對(duì)此嗅覺最靈敏的那撥人決定了它首先被運(yùn)作在商業(yè)用途。

以通訊社交應(yīng)用為例，若干張通訊錄清單足夠顯示一個(gè)人的社交范圍。在其中，用戶打開聊天頁面的頻率、聊天時(shí)間長短，互動(dòng)次數(shù)，這些可量化的數(shù)據(jù)可以勾勒出用戶在社交中遠(yuǎn)近親疏的人脈結(jié)構(gòu)。即，信息數(shù)據(jù)化。

國內(nèi)BAT三大巨頭的主營業(yè)務(wù)，分別對(duì)準(zhǔn)搜索、交易、社交數(shù)據(jù)。這些數(shù)據(jù)反映出一個(gè)人的行為習(xí)慣、偏好、消費(fèi)能力等信息。而高速迭代的硬件和分布式架構(gòu)，提供了存儲(chǔ)、運(yùn)算這些數(shù)據(jù)的支持。人在數(shù)據(jù)時(shí)代，很難有不為人知的信息了。

信息和海量數(shù)據(jù)的齊齊泄露不止關(guān)系隱私權(quán)，更關(guān)系到人身安全、財(cái)產(chǎn)安全。畢竟，網(wǎng)絡(luò)上向來有一個(gè)幽靈般的黑色產(chǎn)業(yè)鏈。

大數(shù)據(jù)時(shí)代需要守護(hù)，也需要規(guī)訓(xùn)和正確指導(dǎo)。它長大后的樣子，也將深刻改變我們和我們所處的社會(huì)的面目。

數(shù)據(jù)，價(jià)值如新型石油

“上一次工業(yè)革命完成的是數(shù)據(jù)的高效收集整理，也就是信息化。那么下一次革命就是對(duì)信息潛在價(jià)值的發(fā)現(xiàn)和利用，也就是知識(shí)和經(jīng)驗(yàn)的利用?！鄙虾Ｄ晨萍脊靖呒?jí)算法專家 、算法經(jīng)理周洋這樣說。

發(fā)現(xiàn)數(shù)據(jù)的價(jià)值，是IT時(shí)代發(fā)展中偶然的必然。信息安全專家、墨云科技創(chuàng)始人劉兵說，從90年代，互聯(lián)網(wǎng)互聯(lián)互通，事實(shí)上剛開始的互聯(lián)網(wǎng)公司很簡(jiǎn)單，如通訊軟件即方便交流，電商即方便購物，后來數(shù)據(jù)流猛增造就了BAT等公司，數(shù)據(jù)一集中，就變得有價(jià)值了。

把價(jià)值變現(xiàn)，成了互聯(lián)網(wǎng)公司發(fā)掘數(shù)據(jù)價(jià)值的驅(qū)動(dòng)力。

周洋說，AI算法有一個(gè)最基本的定理叫pac理論，即近似學(xué)習(xí)，它需要更多的數(shù)據(jù)總量，和更多維度的數(shù)據(jù)。越多，學(xué)習(xí)的信息量和信息價(jià)值就會(huì)越大。

“沒有任何一家互聯(lián)網(wǎng)公司擁有的數(shù)據(jù)是齊全的，包括BAT，也只有很少的、少量維度的數(shù)據(jù)，它們都有進(jìn)一步挖掘和合作數(shù)據(jù)的需求，畢竟目前大數(shù)據(jù)才剛開始發(fā)展，還早呢?！敝苎笳f，數(shù)據(jù)天然具有可復(fù)制性，而在數(shù)據(jù)層面進(jìn)行合作，在多種維度如社交、交易、旅游出行特點(diǎn)等數(shù)據(jù)齊聚下，就可以更準(zhǔn)確地刻畫一個(gè)人的行為及其特點(diǎn)，“合作商會(huì)得到更準(zhǔn)確的價(jià)值，那么這種價(jià)值大家就形成共享”。

到現(xiàn)在，數(shù)據(jù)的價(jià)值遠(yuǎn)不止用于精確營銷。周洋說，數(shù)據(jù)里面有很多的潛在價(jià)值，可以改進(jìn)公司的生產(chǎn)、產(chǎn)品或策略，達(dá)到更優(yōu)。因?yàn)橐郧暗臄?shù)學(xué)建模都是考慮幾個(gè)因果關(guān)系的量，然后建模，但是出來的結(jié)果有偏差，因?yàn)楹雎院图僭O(shè)了很多。而大數(shù)據(jù)分析的方式是，建模的時(shí)候完全從數(shù)據(jù)驅(qū)動(dòng)的方式，不考慮數(shù)據(jù)的物理意義，那么數(shù)據(jù)就包括因果關(guān)系，關(guān)聯(lián)關(guān)系等，然后得出的結(jié)論再去解釋物理意義。

“比如，大數(shù)據(jù)技術(shù)可以分析，在學(xué)校打水的多少可以估計(jì)一個(gè)人的成績(jī)等。兩者不是因果關(guān)系，而是關(guān)聯(lián)關(guān)系，傳統(tǒng)的數(shù)學(xué)建模是不容易想到的。”

找關(guān)聯(lián)，不問因果。從前囿于可操作性而被忽略的海量數(shù)據(jù)的價(jià)值被發(fā)掘，最先感應(yīng)并廣泛應(yīng)用的便在商業(yè)上。新的價(jià)值被發(fā)掘不斷，規(guī)模可觀，新型的商業(yè)服務(wù)依托于此，比你更了解你。因此，數(shù)據(jù)被喻作一種“新型石油”。

新型石油的攻占，不免早期的原始性“掠奪”。在這一利益驅(qū)動(dòng)上，互聯(lián)網(wǎng)公司傾向獲取用戶盡可能多的信息和數(shù)據(jù)，在不斷推陳出新、和被用戶隨手點(diǎn)擊同意的協(xié)議上做“一攬子買賣”。其次，互聯(lián)網(wǎng)公司之間的數(shù)據(jù)合作，以及互聯(lián)網(wǎng)公司內(nèi)部處理數(shù)據(jù)，或者與第三方數(shù)據(jù)公司分析數(shù)據(jù)，多次利用，至今仍是一塊“單面鏡” —用戶并不知情。

互聯(lián)網(wǎng)公司之間的數(shù)據(jù)合作，以及互聯(lián)網(wǎng)公司內(nèi)部處理數(shù)據(jù)，或者與第三方數(shù)據(jù)公司分析數(shù)據(jù)，多次利用，至今仍是一塊“單面鏡”—用戶并不知情。

另一方面，互聯(lián)網(wǎng)頭部企業(yè)傾向建立“生態(tài)圈”，一種種新的應(yīng)用場(chǎng)景不斷推出新的產(chǎn)品。“有時(shí)并不是它真的想做這個(gè)生意，它的目的是為了掌握數(shù)據(jù)”，周洋說，掌握了數(shù)據(jù)的端口就掌握了一切的需求點(diǎn)，在數(shù)據(jù)層面上做什么都可以。從社交、搜索、交易數(shù)據(jù)到衣食住行、金融理財(cái)?shù)亩丝?，“你完全就是一個(gè)透明人，哪還有什么秘密可言呢”。

攻防，消散的烏云

安全防護(hù)，是企業(yè)被倒逼著上的。

信息泄露，大數(shù)據(jù)時(shí)代之前早已有之。

信息買賣流入平臺(tái)，曾經(jīng)出現(xiàn)在交易平臺(tái)上。一般的信息1元一條，高凈值的100元乃至更高，流入各類人手中，流入買房買車、貸款的業(yè)務(wù)上。這是數(shù)據(jù)應(yīng)用的“初變形”。

互聯(lián)網(wǎng)商業(yè)公司做起來的邏輯是，要流量，流量多了就要變現(xiàn)，再要有數(shù)據(jù)能變現(xiàn)，要大數(shù)據(jù)，沒了?！皼]安全什么事”，劉兵說，直到后來的數(shù)據(jù)泄露，造成用戶因擔(dān)憂而離開，用戶少了，才必須安上安全防護(hù)，“所以說安全是被逼著上的”。這造成互聯(lián)網(wǎng)創(chuàng)業(yè)的一個(gè)“怪圈”，都是公司增長增長增長，成功了甚至上市了，再回頭搞安全。

重視流量和變現(xiàn)，同時(shí)一個(gè)應(yīng)用場(chǎng)景的多家爭(zhēng)奪，趨利本性和商業(yè)模式使得安全缺位。劉兵笑道，他做了十幾年的安全行業(yè)，在2017年5月開始創(chuàng)業(yè)后，對(duì)此有了更深的感受和理解。從早到晚，時(shí)間被安排得沒有空檔，有一份錢就想用到運(yùn)營上、拓展上。“公司必須這么做，落后就死了，這時(shí)候安全很難顧上”。

2010年5月，一個(gè)名叫烏云網(wǎng)的網(wǎng)站上線。其創(chuàng)始人方小頓是知名白帽黑客，從百度安全的核心層離職出來創(chuàng)業(yè)。烏云網(wǎng)是一個(gè)漏洞平臺(tái)，到2016年有了一萬多名注冊(cè)白帽黑客，他們通過攻擊互聯(lián)網(wǎng)企業(yè)的應(yīng)用網(wǎng)站系統(tǒng)，得到漏洞后提交到烏云網(wǎng)上，涉事企業(yè)修復(fù)后，一般會(huì)以各種形式獎(jiǎng)勵(lì)相關(guān)白帽黑客。若涉事企業(yè)沒有對(duì)漏洞進(jìn)行修復(fù)處理，烏云網(wǎng)會(huì)公開漏洞。

烏云網(wǎng)的業(yè)務(wù)模式，從一開始就飽受爭(zhēng)議，有贊賞也有詰難。核心原因在于，烏云網(wǎng)白帽黑客的攻擊測(cè)試，是個(gè)人行為，沒有經(jīng)過企業(yè)的授權(quán)。而且，未經(jīng)修復(fù)的漏洞，其和其企業(yè)會(huì)被網(wǎng)上公示，這被看作侵犯了運(yùn)營主體的合法權(quán)益。

烏云網(wǎng)，被看作是一群理想主義者的“嘗試”。方小頓曾說，互聯(lián)網(wǎng)企業(yè)的安全意識(shí)，關(guān)系到用戶個(gè)人信息權(quán)益的得失，“都在討論互聯(lián)網(wǎng)企業(yè)的合法權(quán)益，那么用戶的信息隱私、安全和知情權(quán)呢？”

烏云網(wǎng)停擺后，從事安全建設(shè)的白帽黑客有3個(gè)去向，有的不做了，有的成立了各類安全機(jī)構(gòu)，還有一些技術(shù)牛人被挖到各大企業(yè)的安全應(yīng)急中心（src）。

到現(xiàn)在，安全服務(wù)市場(chǎng)主要由甲方的安全部門和src，以及第三方的安全服務(wù)公司的格局構(gòu)成。

src讓白帽黑客有了正式的渠道去做安全，過去行走在“紅線”的行業(yè)得到了規(guī)范。前烏云網(wǎng)合伙人、現(xiàn)眾安科技創(chuàng)始人楊蔚說，這條紅線，更多指的是，千萬不要受到金錢的誘惑，主動(dòng)犯罪，被動(dòng)犯罪，提供黑客工具等，而迷失自我，誤入歧途。

重視流量和變現(xiàn)，同時(shí)一個(gè)應(yīng)用場(chǎng)景的多家爭(zhēng)奪，趨利本性和商業(yè)模式使得安全缺位。

但各大巨頭src的建立和壯大，帶來的負(fù)面影響也是顯而易見的。一方面，大多技術(shù)牛人被巨頭們挖走，巨頭們集合了安全運(yùn)營和安全建設(shè)，形成閉環(huán)。另一方面，第三方安全市場(chǎng)的建立，既受到巨頭們高薪的誘惑，容易失去中堅(jiān)力量，而且巨頭們的“自給自足”，也減少了相應(yīng)的需求。

大視野下，互聯(lián)網(wǎng)巨頭們高薪養(yǎng)安全，而其他互聯(lián)網(wǎng)頭部企業(yè)和中微企業(yè)，仍然存在安全意識(shí)薄弱和動(dòng)力不足。劉兵說，在互聯(lián)網(wǎng)行業(yè)中，互聯(lián)網(wǎng)金融、理財(cái)相關(guān)企業(yè)的業(yè)務(wù)直接掛鉤于錢，安全意識(shí)足夠。而到面向普通場(chǎng)景的應(yīng)用，則動(dòng)力不足，“真的為了安全去做檢測(cè)，和為了合規(guī)而做檢測(cè)，兩種檢測(cè)的程度、次數(shù)都是不一樣的”。

楊蔚甚至感嘆，信息安全也許是個(gè)偽命題?！盎ヂ?lián)網(wǎng)企業(yè)甚至傳統(tǒng)企業(yè)，數(shù)據(jù)的丟失往往影響個(gè)人，對(duì)企業(yè)的影響相對(duì)較小，很少有企業(yè)因?yàn)榘踩录庥鰷珥斨疄?zāi)的，最多是一部分的財(cái)產(chǎn)損失，損失的風(fēng)險(xiǎn)相對(duì)可控?！?h3>轉(zhuǎn)型，甲方的痛點(diǎn)

進(jìn)入DT時(shí)代，數(shù)據(jù)成為新的能源用于更多應(yīng)用場(chǎng)景，數(shù)據(jù)價(jià)值廣泛挖掘的噴薄之勢(shì)欲出。這對(duì)所有使用數(shù)據(jù)的公司提出更高的安全要求，而非相反。

信息的攻防如木桶原理。楊蔚說，攻擊者往往只需要通過一個(gè)點(diǎn)就可以完成一系列的攻擊；但是從防御的角度考慮，而需要做的是面的問題?！艾F(xiàn)在擁有海量數(shù)據(jù)資產(chǎn)的產(chǎn)品、企業(yè)比較多，而這些企業(yè)需要承擔(dān)的安全責(zé)任也更加艱巨。背后潛伏的數(shù)據(jù)威脅是比較恐怖的，一旦被竊取，后果不堪設(shè)想?！?/p>

“當(dāng)數(shù)據(jù)的價(jià)值被發(fā)現(xiàn)，大家就在拼命的獲取和匯聚數(shù)據(jù)，然后讓數(shù)據(jù)加工流通到相關(guān)的業(yè)務(wù)系統(tǒng)當(dāng)中去，包括跨組織以及生態(tài)體系的數(shù)據(jù)共享和交易，形成了復(fù)雜的數(shù)據(jù)流動(dòng)關(guān)系，這種數(shù)據(jù)流動(dòng)本身就帶來了新的數(shù)據(jù)流動(dòng)和使用風(fēng)險(xiǎn)，包括引起的數(shù)據(jù)業(yè)務(wù)過程的風(fēng)險(xiǎn)，并隨數(shù)據(jù)的流動(dòng)貫穿企業(yè)的所有系統(tǒng)”，方興說，這可能是企業(yè)組織面對(duì)的最重要的數(shù)據(jù)風(fēng)險(xiǎn)。

方興曾經(jīng)在阿里巴巴集團(tuán)從事安全工作，現(xiàn)在在數(shù)據(jù)安全領(lǐng)域創(chuàng)業(yè)。他說，數(shù)據(jù)的流動(dòng)風(fēng)險(xiǎn)需要一套技術(shù)的體系去控制和管理它。最明顯的例子是Facebook。Facebook公司把數(shù)據(jù)給生態(tài)去用，但在使用中，基于性格測(cè)試獲得的數(shù)據(jù)，流到了劍橋再用于競(jìng)選的分析。這是典型的數(shù)據(jù)用途的用途變更風(fēng)險(xiǎn)。

而要做到規(guī)避數(shù)據(jù)流動(dòng)的風(fēng)險(xiǎn)，則需為IT時(shí)代對(duì)數(shù)據(jù)流動(dòng)安全性管理能力缺乏“補(bǔ)課”。方興說，比如現(xiàn)在的數(shù)據(jù)庫實(shí)際上只有表級(jí)權(quán)限，權(quán)限非常粗放，但從數(shù)據(jù)屬性來說，可能不同屬性的列不同的安全屬性，甚至不同的行也有不同的安全屬性如來源、時(shí)效等，比如一個(gè)跨國企業(yè)匯集了不同國家的相同結(jié)構(gòu)的數(shù)據(jù)到一個(gè)數(shù)據(jù)表里，怎么能區(qū)分出這些來自不同國家的數(shù)據(jù)并使用不同國家的數(shù)據(jù)管理規(guī)定來管理數(shù)據(jù)，因?yàn)槊總€(gè)國家對(duì)數(shù)據(jù)管理的要求是不一樣的，如美國分部負(fù)責(zé)數(shù)據(jù)分析員工碰觸到中國用戶的數(shù)據(jù)，可能就會(huì)算一次數(shù)據(jù)的出境。

大數(shù)據(jù)行業(yè)下，數(shù)據(jù)流向更多應(yīng)用場(chǎng)景，價(jià)值挖掘的噴薄之勢(shì)欲出。這對(duì)互聯(lián)網(wǎng)公司運(yùn)營者提出更高的安全要求，而非相反。

同時(shí)大量數(shù)據(jù)的匯集、流動(dòng)和使用，但是我們?cè)跀?shù)據(jù)流動(dòng)使用的應(yīng)用層、數(shù)據(jù)匯集和分析的大數(shù)據(jù)平臺(tái)的安全基本上是一片空白，這是用戶最擔(dān)憂的信息泄露的隱患所在?！昂芏嗟钠髽I(yè)上BI（數(shù)據(jù)分析和挖掘）都是用外包的方式在做，因?yàn)锽I的人員也很奇缺。那這些外包到底拿什么數(shù)據(jù)，它的操作合不合規(guī)，現(xiàn)在基本上是裸奔，就沒有任何的防范的或者是可審計(jì)的東西。生態(tài)、合作伙伴、內(nèi)部應(yīng)用的業(yè)務(wù)人員如何獲取和使用數(shù)據(jù)，也缺乏監(jiān)控和審計(jì)的手段?！狈脚d說。

在方興看來，以前在IT時(shí)代很多數(shù)據(jù)的很多風(fēng)險(xiǎn)和數(shù)據(jù)主體權(quán)利保護(hù)可能只是企業(yè)的意愿問題，但是發(fā)展到DT時(shí)代，數(shù)據(jù)復(fù)雜的流動(dòng)，導(dǎo)致保護(hù)數(shù)據(jù)安全，控制數(shù)據(jù)流動(dòng)風(fēng)險(xiǎn)、守護(hù)個(gè)人隱私則變成了一個(gè)企業(yè)的能力問題。

方興在阿里巴巴的幾年里，一直從事安全，“與黑產(chǎn)作斗爭(zhēng)”。他發(fā)現(xiàn)，其實(shí)大量的數(shù)據(jù)風(fēng)險(xiǎn)都來自于企業(yè)內(nèi)部。比如說，企業(yè)的離職員工，可能會(huì)帶走大量的數(shù)據(jù)。最基層的人員如生態(tài)里的電商客服，流動(dòng)性高工資低，但天天在接觸這些數(shù)據(jù)，他們很容易被黑灰產(chǎn)收買。數(shù)據(jù)流動(dòng)起來后，數(shù)據(jù)成為了生產(chǎn)資源，對(duì)數(shù)據(jù)資源的訪問權(quán)限分配是按生產(chǎn)需要來分配而非基于可信來分配的?！昂芏嗟臅r(shí)候，數(shù)據(jù)安全問題不是一個(gè)攻防對(duì)抗的問題，對(duì)數(shù)據(jù)安全，它更多包含了也包含了數(shù)據(jù)自身的風(fēng)險(xiǎn)管理和治理的問題?！倍S著歐洲GDPR法案的頒布，中國也在對(duì)數(shù)據(jù)安全進(jìn)行標(biāo)準(zhǔn)規(guī)范的進(jìn)程中，數(shù)據(jù)的流動(dòng)性風(fēng)險(xiǎn)管理還涉及到企業(yè)運(yùn)營的合規(guī)問題。這些，是很多掌握了大量個(gè)人數(shù)據(jù)的互聯(lián)網(wǎng)公司的安全業(yè)務(wù)痛點(diǎn)。

未來希望完成數(shù)據(jù)業(yè)務(wù)化轉(zhuǎn)型的企業(yè)需要具備這樣一種能力：識(shí)別敏感數(shù)據(jù)的來源去向授權(quán)用途，敏感數(shù)據(jù)流動(dòng)的血緣的關(guān)系，對(duì)數(shù)據(jù)分類分級(jí)，并且能進(jìn)行細(xì)粒度的權(quán)限配置和管理對(duì)數(shù)據(jù)的變更進(jìn)行風(fēng)險(xiǎn)的控制。能夠發(fā)現(xiàn)數(shù)據(jù)流動(dòng)當(dāng)中的安全的策略有沒有不一致的地方，追蹤數(shù)據(jù)在流動(dòng)使用當(dāng)中，用戶授權(quán)與數(shù)據(jù)用途是否一致。

DT時(shí)代的來臨，讓每個(gè)企業(yè)獲得了新的發(fā)展能源，而與數(shù)據(jù)流動(dòng)的風(fēng)險(xiǎn)與用戶的主體權(quán)利和隱私保護(hù)的痛點(diǎn)益發(fā)突出，“將來不具備數(shù)據(jù)流動(dòng)風(fēng)險(xiǎn)管理能力保證數(shù)據(jù)安全的公司，很難實(shí)現(xiàn)數(shù)據(jù)的業(yè)務(wù)化轉(zhuǎn)型，通過數(shù)據(jù)的力量獲得的競(jìng)爭(zhēng)優(yōu)勢(shì)做強(qiáng)做大的”，方興說。