一、概念--數據安全

人們對數據安全的恐慌其實非常厲害，甚至愈演愈烈。大家一聽到精準營銷、用戶畫像，甚至采集信息時，就覺得難以接受。然而，未來所有行業無一例外會走向精準營銷，未來發展更會走到基于大數據、基于消費者最終需求的定制化服務上，定制化服務就需要用到個人信息分析，但是定制化服務一定意味著隱私被侵犯嗎?其實并不是這樣子。在現今誤解非常厲害的情況下，很多人都談數據色變。如果這個觀念不能被糾正過來的話，金融的創新也不能發生。甚至大家對數字經濟都越來越缺乏信心。

這些“熱”體現在各個方面：立法熱點、標準熱點、產業熱點、學術熱點等。

(1)立法熱點

在立法層面，2012年開始出現一些關于數據安全的法律，2016年發生的“徐玉玉事件”讓全社會對數據安全高度重視，并推動政府層面、學術層面、產業界以及老百姓的高度重視。2016年歐盟發布的通用數據保護條例，其中非常重要的部分之一就是數據安全。不知道在座的對于JDPR有多了解，我簡短地跟大家解釋一下，JDPR對全社會全世界都有著巨大影響，假設歐盟出了一個東西，他規定不管你這家公司在全世界是什么樣的公司，但是只要你的客戶里包含歐盟公民的用戶，歐盟公民用戶所提的要求你不能滿足的話，不管你公司在哪里，你都將面臨罰款，罰款的數額可能是兩千萬歐元，也可能是你公司過去全球全年總盈收4%，這兩個數哪個高取哪個作為罰款。

我們國家在做個人信息和重要數據出境安全評估，累計50萬條個人信息的話就要評審，評審數據所去地方的法律環境、數據接收方的能力以及最后的合同條款等，我們在探索這樣實施的可行性以及正確的實施方法。我們國家想推出個人信息保護法，調研跟蹤60多個國家，其中大部分國家都在調整自己國家數據安全的政策，但是仍沒有一個國家清楚到底該怎么做，中國亦如此。美國和歐盟也沒有一家清楚到底該怎么做。

(2)標準熱點

標準也是如此，這指全國信息安全標準化技術委員會。去年的數據我們已經看到非常多，以前，每年只有很少幾項會列成國家的標準;而現在，每年會議非常之多，且這些都和安全相關，基本是與數據安全相關。所以這個圈子的概念在發生混亂，你發現它把什么東西都裝進去。這就是專業的標準化組織。

(3)產業熱點

產業界也是如此。現在產業界有很多產品轉移到數據安全方面。我們保守估計中國大陸一年應該有1000億左右的數據安全的產值，大家對安全可能不那么了解，從1996到2017年，按照保守且樂觀的方式去估值，中國傳統網絡安全的產值大概是500億人民幣;從1996年到2018年，在數據安全領域，中國大陸一年有一千億產值。

(4)學術熱點

學術界亦如此。2015年Science雜志上有一期題為《The end of privacy》的文章很有意思。美國政府在官方層面、在全球政府層面多邊合作會議上他們是不承認privacy這個概念的，因為他們很難定義privacy的概念。學術界在用這個時得到的結論是沒有辦法保護隱私。2015年1月30日的這一期內容是講在過去很多情況下，我們很多產業界的公司把自己的數據進行脫敏處理之后去和學術界合作來挖掘東西，這是非常普通的做法。但是在今天都可以被別人把隱私透露出來。

技術顛覆傳統隱私

健康醫療行業有大量的病歷數據，例如：CT數據、X射線數據、核磁共振數據等，如果這些數據讓學術機構研究，是造福人類的東西，可是從隱私保護的角度上講，通過病例數據可以推測這是什么人。除此之外，現在的人臉識別技術、語音識別技術、聲紋識別(聲紋識別就好象你的指紋一樣)技術以及政府無處不在的無人機和公共攝象頭，在很遠的地方就能直接高清拍下你的面部，我們的面部也代表個人身份。我們現在的住宅不好換、電話號不好換，雖有難度但依舊可以換，但是臉、聲音、虹膜這些卻沒法換。總而言之，就是隱私沒法保護。

威脅

1.防濫用。今天，隱私數據到處都是，但是隱私泄露會產生什么樣的后果還未可知。這一切還是很“亂”。在“亂”的情況下，到底概念是什么，很多人會搞錯。換言之，在“大數據安全”這幾個字出來的時候，我們到底應該說什么。第一，很多人在說大數據安全時，會將它與防竊取混為一談。比如Facebook事件，Facebook數據不是被人偷走的，Facebook數據是屬于濫用。濫用是什么?針對某些數據正常的權限給到你的員工或者你所擁有的數據跟別人披露共享等，這時候你錯誤使用。

2.防誤用。大數據是需要加工的，在做大數據加工的過程中，比如說我剛剛說的精準營銷，正確的做法是至少一萬個人一圈，這里面把敏感數據去掉，里面全部變成唯一的代號，整個過程中，最后到用戶手里，但是整個全過程沒有任何定位到個人的東西出現，這叫防誤用。如果沒有防誤用技術的話，剛剛講到的未來精準營銷、定制化服務那真的就會泄露隱私、侵犯隱私。所以我們面對的威脅來自外部的攻擊者，來自數據的控制者即你的數據放到某家公司，還包括公權力部門，你的數據放在這里，公權力部門是不是合法的在使用，因為公權力部門也有可能濫用，那么這些是我們擔心的威脅。

3.防竊取。保護的東西里面包括企業自己的秘密、企業手里的個人信息以及涉及到國家安全、公共安全的信息，保護這三類數據，防止被內外部竊取、防止被泄露、防止被濫用，這才是正確的概念。

大數據時代下的數據安全

過去的數據安全是最左邊，打上機密、秘密，每個上面有個二維碼，全部有簽收、登記，那是純紙質化時代。到后來開始進入到封閉網絡的隔離化的網絡，現在國家保密局主要是這樣的思路，我們有“三合一”，所有的計算機上面的，兩個機器分開，內網機器加上USB口出來，防止你的違規外連、防止你亂插USB口。這是運行在一個封閉網絡的。

但是在今天這些做法都不行，因為我們今天講的數據安全是指融合在業務流程里的數據安全。你的數據是融在業務流程里，你的業務流程是開放在互聯網上。如果不開放在互聯網上，就沒有定制化服務。在這樣的環境下做，所以同樣叫數據安全但完全不是過去的概念。真正的概念是大數據時代下的數據安全。徐玉玉的數據不是從大數據被偷走的，是濰坊教育局的一個小網站偷走的。越小的網站數據越精準，越容易直接用來危害別人。

搞了半天徐玉玉案件，結果說這不是大數據安全，所以我們不管。那我們在干什么呢。所以不是所謂的大數據安全不是傳統的數據安全，也不是云計算安全。云計算是承載大數據的一個基礎設施，它和大數據安全有關系，但是它并不等同于大數據安全。我剛剛講了，云計算安全做的再好，能做到防濫用、防誤用嗎?做不到。

也不是用大數據做安全，我們所有的行業都在用大數據，安全也不例外，但是用大數據做安全不是說大數據本身安全，也不是只和大企業相關。我們今天要解決的是中國將近五千萬企業他們手里的各位有關的個人數據、企業有關的企業數據、國家安全有關的國家數據的安全，剛才我講到了，并不是說你數據很大才有價值，越小的公司其實它的數據更加精準。而且對于黑客來說人家是可以隨便串起來，并不存在說我今天這里拿一個數據我就只有這么一個數據，正好相反，真正大型的云平臺黑客拿數據還不那么容易，從那些小的平臺反而更容易拿。

所以不僅僅是防范外部的攻擊竊取，也不僅僅是個人信息保護。因為我們企業自己也有信息、有數據要保護，不能套用過去的標準或者經驗，也不能照搬國外的做法。為什么不能照搬國外的做法呢?我剛才講到，現在的大數據時代，數據安全是和業務模式密切相關的。全世界最豐富的業務模式是在中國。我們互聯網創新走在了世界最前列。我們遇到的大量的場景，別的國家見都沒見過，所以你也別指望他們出什么東西能夠解決我們今天的問題。我們今天已經不可能也不能夠再照抄國外的標準，翻一下就變成中國標準，一定不好使。反過來我們今天是有機會把我們的東西，真正搞出一個東西，告訴全世界應該是這樣做的。所以這是大數據時代下的數據安全。

二、似是而非--誤區&悖論

1.限制信息采集等同于隱私保護。我們在做大數據加工時，很多時候并不是事先列好公式，要得到這個結論然后拿哪幾個數據，拿這幾個數據一算就知道了，這不是大數據。我們大數據各種各樣成功的案例都是不知道怎么出來的，所以嚴格地說這樣做其實并不太符合大數據發展。

2.零信任。學術界有很多類似差分隱私這樣的方法，簡單說，你不給服務方任何的準確需求，他給你做準確需求。例如你打車，你不告訴滴滴車主你在什么位置，你給一堆模糊的東西，但是車主還必須找到你，這種就是建立在零信任上。這條路走到后面一定會看到問題，所以零信任并不等于更安全。這就出現了一個問題：我們要信任某個人，但是如何知道這個人是值得信任呢?隱私保護和數據安全，很多人把它們當成兩件事，而我認為是一件事。從消費者角度出發，隱私保護即我的隱私保護。但是從服務提供商來講是一樣的，你保護好自己手里的個人信息，讓它不被竊取、濫用和誤用，其實就相當于保護了客戶隱私。從用戶的角度來講這是不同性質的，但是從企業的角度來講性質是一樣，沒有必要分開。

3.所有權和控制權。無論歐洲還是中國都在將未來數據選擇權交給用戶，我們不能替用戶做決定，而且用戶本身對隱私或者各種需求也不一樣。現在我們認為數據是成本、是災難，但是未來它是財富，即誰有這個數據，他就可以根據自己的情況來處理這個數據，而不是別人替他決定，

4.安全的目的。安全是為了保證可持續性發展，現在很多的東西都以安全的名義把發展扼殺掉了，甚至扼殺了安全。例如實名制信息，現在一個包裹需要明文要求實名制。如果我們包裹上的信息被別人盜取拍照，在黑市上可以賣10元。在中國據說90%以上這些東西全都被偷走。

三、何以解“憂”——數據安全

1.以組織為單位。法律上是以組織來承擔法律責任，我們看數據安全的時候就應該以這個組織為單位，不管這個數據在這個組織內部經過了多少個產品、多少個業務環境、或者過了多少不同職責員工的處理，全都是看成一個整體，當你衡量它的時候應該與這個組織或單位綁定一起。現在的數據是在一個開放生態下加工，所以只做一個組織的數據安全是沒有用的。

2.技術：以數據為中心。數據在一個組織內部，它的全生命周期：數據產生、傳輸、存儲、使用，最后銷毀。不管它經過哪些系統、經過多少產品等都無所謂，最后要的是全生命周期給出一個以數據為中心的安全結果。這個現在還在摸索，但是一定要走到這個方向上。即你不要再告訴我你這邊的某個產品怎么樣，你就告訴我數據在里面怎么樣。

3.機制：以能力成熟度為抓手，即你行你上。現在我們有一個很大的誤區就是有和沒有的判斷。未來能力成熟度是一個標準的衡量方法。

4.目標：讓數據安全成為競爭力。過去，大家都在逃避數據安全，認為安全不僅需要付費還需要承擔責任。現在我們的目標反過來，安全做得好就可以處理更多大量的敏感數據，意味著安全越高競爭能力越大，獲得的機會越多，就會想辦法提升自己的安全能力，而不是像過去那樣，利用數據安全能力成熟度來決定經營范圍，限制發展。