當(dāng)“智能硬件”遇到GDPR

王素 黃帥

“全球最嚴厲個人數(shù)據(jù)保護法案”GDPR在歐盟被強制執(zhí)行以來，建立在數(shù)據(jù)采集、傳輸、存儲和運算等數(shù)據(jù)流基礎(chǔ)上的智能與物聯(lián)網(wǎng)產(chǎn)品和服務(wù)首當(dāng)其沖成為“重災(zāi)區(qū)”。在GDPR的槍口下，我國的智能硬件廠商還能在歐盟合規(guī)合法地做生意嗎？

T?V萊茵作為首家參照歐盟《通用數(shù)據(jù)保護條例》（GDPR）推出物聯(lián)網(wǎng)（IoT）產(chǎn)品相關(guān)評估檢測服務(wù)的第三方認證機構(gòu)，近日正式發(fā)布《2018年GDPR業(yè)務(wù)發(fā)展白皮書》（以下簡稱“白皮書”）。本刊記者就以上疑問深度采訪了德國萊茵T?V大中華區(qū)電子電氣產(chǎn)品服務(wù)技術(shù)支持與研發(fā)總經(jīng)理羅黎，他在智能產(chǎn)品和信息安全領(lǐng)域擁有多年實戰(zhàn)經(jīng)驗。他預(yù)計，未來隱私保護有可能成為出口貿(mào)易技術(shù)壁壘中的一個新增部分，意味著出口企業(yè)需要提前針對類似GDPR的技術(shù)要求做好充分準(zhǔn)備。

隱私安全成歐盟消費者心頭痛

根據(jù)白皮書披露的有關(guān)數(shù)據(jù)，在政策支持、技術(shù)發(fā)展與需求增長的驅(qū)動下，我國物聯(lián)網(wǎng)（IoT）市場規(guī)模預(yù)計至2021年可增長至1.5萬億元人民幣。同年，歐盟的IoT市場需求預(yù)計將達到2964億元人民幣。這塊巨大的蛋糕將由智能硬件、車載設(shè)備、智能可穿戴、智能醫(yī)療設(shè)備和智慧城市構(gòu)成。觸發(fā)這一巨大市場潛力的首要前提是突破數(shù)據(jù)與隱私安全的行業(yè)瓶頸。

歐盟消費者的態(tài)度也印證了以上觀點。一項歐盟境內(nèi)的調(diào)查顯示，在消費者對IOT產(chǎn)品的擔(dān)憂中，智能硬件用戶擔(dān)心隱私泄露（61%）的比例遠遠超過了擔(dān)心黑客攻擊（35%），排在第1位。歐盟國家中，法國（72%）、德國（65%）、英國（63%）、美國（59%）和瑞典（44%）為消費者擔(dān)心物聯(lián)網(wǎng)會帶來隱私泄露風(fēng)險占比最高的前5位國家。

“在與我國智能硬件廠商接觸的過程中，我的一個最直觀的感受是，我國企業(yè)對個人數(shù)據(jù)保護的表現(xiàn)參差不齊。目前，對個人隱私和信息安全防護關(guān)注度最高的是涉及采集視頻流和音頻流的企業(yè)，其次是一些智能家電產(chǎn)品，比如智能電視、智能照明、智能機器人和智能小家電等。”談及我國智能硬件廠商的數(shù)據(jù)保護現(xiàn)狀，羅黎總結(jié)道。但他也表示，我國多數(shù)企業(yè)內(nèi)部已經(jīng)有了數(shù)據(jù)保護意識。尤其在GDPR法案公布以后，他明顯感到企業(yè)把零零散散的各部門所屬數(shù)據(jù)匯總到整個公司層面進行管理的趨勢，此舉可視為企業(yè)對GDPR最積極的反應(yīng)。

廠商一不小心就會“踩雷”

我國智能硬件廠商往往不是不想合規(guī)，而是一不小心就違規(guī)。

對照歐盟GDPR數(shù)據(jù)保護法案的要求，按照收集、傳輸、存儲和處理的數(shù)據(jù)流走向考慮，廠商的每個環(huán)節(jié)都有可能存在“不符合項”。羅黎由此指出，代碼層、硬件層、產(chǎn)品服務(wù)層和IT評估層，就是容易被踩的“雷區(qū)”。

所謂代碼層不符合，即在軟件設(shè)計過程中使用了非必要的用戶數(shù)據(jù)，未對一些數(shù)據(jù)和過程進行加密或加密不合格，也沒有給客戶知情同意的權(quán)利；所謂硬件層不符合，即智能產(chǎn)品在硬件設(shè)計中有不合規(guī)的傳感器或執(zhí)行器，有某些不合規(guī)的功能模塊。二者共同構(gòu)成了智能產(chǎn)品的前端，亦是數(shù)據(jù)收集端，羅黎稱之為“信息防護的最前沿”。

產(chǎn)品服務(wù)層和IT評估層則共同構(gòu)成了智能產(chǎn)品的后端。按照數(shù)據(jù)流的走向，信息收集后，企業(yè)可能需要對數(shù)據(jù)進行匯總和分析，根據(jù)用戶反饋執(zhí)行推送，做產(chǎn)品服務(wù)的提升和升級，這些將涉及產(chǎn)品后端的信息安全。如果產(chǎn)品服務(wù)前端的滲透性測試未通過，以及加密或隱私保護不合格，那么服務(wù)后端的代碼就有可能存在漏洞，從而增加從后端泄露用戶隱私的風(fēng)險；而如果廠商的IT環(huán)境不合格，泄露風(fēng)險則會從內(nèi)部滋生。對于后者，羅黎舉了一個例子。如果企業(yè)的產(chǎn)品出口歐盟境內(nèi)，公司內(nèi)部的服務(wù)器對用戶數(shù)據(jù)進行統(tǒng)一存儲，那就意味著此服務(wù)器以及公司內(nèi)部的信息安全保護也要達到一定水平，否則將造成大量信息從內(nèi)部泄漏。

這樣做才能不被GDPR“擒住”

當(dāng)“智能硬件”遇見GDPR，誰稱王，誰成寇？

為了不被歐盟GDPR“擒住”，羅黎建議我國智能硬件廠商未來發(fā)展中從戰(zhàn)略和技術(shù)兩個層面調(diào)整自身數(shù)據(jù)安全管理。

在戰(zhàn)略層面，一定規(guī)模的企業(yè)設(shè)置數(shù)據(jù)安全保護官（DPO）有利于自上而下推動企業(yè)的信息安全保護，這亦與GDPR的核心內(nèi)容不謀而合。

技術(shù)層面需要解決企業(yè)如何開始“下手”的問題。目前，我國大部分企業(yè)都意識并認同了信息安全保護的重要性，但它們面臨的一大問題是整個公司運營層面的各個環(huán)節(jié)并沒有通盤考慮。對此，企業(yè)需要先從信息收集的“第一關(guān)口”——硬件產(chǎn)品端的信息安全入手。

“從產(chǎn)品端開始的好處，是可以為企業(yè)內(nèi)部的研發(fā)團隊和其他團隊積累經(jīng)驗。找到突破口后，企業(yè)內(nèi)部通過一兩個項目的實踐總結(jié)，從而在公司層面形成一個應(yīng)對信息安全的清晰認知和合理設(shè)置。比如，DPO的設(shè)置、整體信息管理的設(shè)置，乃至第三方供應(yīng)商的管理?！?羅黎對此解釋道。

下沉到產(chǎn)品端的軟件設(shè)計層面，企業(yè)需要劃出一條個人隱私的“設(shè)計紅線”：紅線以內(nèi)的內(nèi)容要有合適的加密方式，使產(chǎn)品在使用過程中體現(xiàn)用戶權(quán)限。羅黎介紹稱，T?V萊茵的服務(wù)特點亦是從產(chǎn)品研發(fā)端介入，從軟硬件各個層面提高產(chǎn)品信息安全的保護水平，也提高企業(yè)的信息安全防護意識。

針對產(chǎn)品后端的信息安全保護，羅黎建議企業(yè)向?qū)I(yè)的第三方機構(gòu)咨詢，后者將提供差異性的風(fēng)險評估與分析，幫助企業(yè)找到數(shù)據(jù)流處理過程中的漏洞和薄弱點，從而進行相應(yīng)的提高和改善。

需要強調(diào)的是，GDPR的火力不僅僅對準(zhǔn)智能硬件廠商，軟件商、APP商，以及云平臺服務(wù)提供商均需要嚴肅地關(guān)注個人隱私和信息安全問題。目前，我國OEM廠商對于信息安全的準(zhǔn)備和認知相對品牌商來說更加匱乏，在此希望它們針對GDPR要求，提前進行準(zhǔn)備。