数据安全管理边界在哪?
作者: 戈清平 来源: 中国高新技术产业导报 编辑: 陈骏佼 时间:2019-06-11 11:39:29
前段时间,频繁的骚扰电话把个人信息泄露问题推到了风口浪尖。很多人认为,一些企业在获取个人信息后存在泄露甚至倒卖的行为,他们呼吁政府对这类问题加大治理力度。
与此同时,个人在授权企业获得信息时也存在不同的声音。众多用户反映,如果不授权企业获取个人信息就无法获得满意的服务;而企业的回复却是另一番景象:百度董事长兼首席执行官李彦宏曾表示,中国的消费者在隐私保护的前提下,很多时候是愿意以一定的个人数据授权使用,去换取更加便捷的服务。
对于这种现象,国家互联网信息办公室近日发布关于《数据安全管理办法(征求意见稿)》的通知,其中强调APP必须明确产品的信息收集使用规则,不得以改善服务质量、提升用户体验、定向推送信息、研发新产品等为由,以默认授权、功能捆绑等形式强迫、误导个人信息主体同意其收集个人信息。
在近日举办的2019数博会上,政府、学界和企业从各自的角度阐述了对数据安全方面的看法。
保护数据安全是企业的头等大事
在2019数博会上,图灵奖获得者惠特菲尔德·迪菲和中国工程院院士倪光南都表达了对数据安全的忧虑。面对即将到来的5G时代,怎么样给数据装上“安全阀”,确保数据在安全合规的前提下自由流动?
不仅是大众有数据安全担忧,企业自身也面临着数据安全防护问题。与此同时,有的企业甚至面临用户的各种欺诈行为,比如电商企业面临用户薅羊毛、恶意刷单、垃圾注册、套现等行为;社交平台面临盗号攻击、虚拟评价、垃圾内容等行为;金融平台存在交易欺诈、骗贷团伙、账号盗用等行为……
对此,阿里巴巴集团技术副总裁杜跃进表示,过去数据安全事故只是发生在某一些部门,比较单一,只要这个公司把数据安全做好就行了,但进入大数据时代,数据安全治理已成为一个社会普遍问题,所有行业都面临着提升数据安全的共同问题。而且目前并未形成成熟的数据安全相关标准,因此单靠政府自上而下的治理效果并不好,需要以企业为重点加大治理力度。
在杜跃进看来,大企业在数据安全治理中作用巨大并拥有天然的优势,而且这也是企业应该关注的头等大事。
杜跃进建议,在数据安全治理方面要建立自下而上的制度,让数据安全能力成熟度高的企业和组织,拥有更大的发展空间和竞争优势,让规范的第三方数据安全服务产业发展起来,实现专业的数据安全服务和测评认证体系,政府在其中发挥监督的职责,由此形成良好的数据安全治理生态,提升全社会的数据安全水平。
有着多年应对网络欺诈行为的DataVisor维择科技创始人兼CEO谢映莲博士表示,他们在全球已累计处理了超过8000亿的用户事件,检测超过2亿的坏用户,保护了超过42亿来自全球大型互联网公司的用户。在她看来,数据安全已成为一个全球性的问题。
“作为第三方数据安全服务公司,我们已经有能力保护数据安全。目前已开发了最新的全面反欺诈管理解决方案——dCube,这是一款平台化的反欺诈解决方案,能够帮助客户根据自身业务逻辑来设计和调整机器学习的方法论。”谢映莲博士表示,他们从数据清洗、调优、特征库管理等方面融入了DataVisor维择科技最核心的专家技术,帮助客户在模型层自动生成有监督或无监督的机器模型,并在应用层给出欺诈报告或进行深度案例分析,帮助更多的企业解决数据安全问题,减少信息泄露、信息欺诈等行为。
保护个人隐私与鼓励创新兼顾是个世界难题
对于企业能够通过技术优势来保护用户数据安全的说法,一位不愿具名的人士表示,企业强调的保护是从技术上而非权益上,这种单方面的保护行为需要监督和完善相关法规。
对此,北京市信息资源管理中心副主任穆勇认为,目前既要有效保护个人数据安全,又不妨碍企业创新,是一个复杂的世界性难题。做好风险治理仍是一项长期的工作。
“目前中国消费者、信息服务企业乃至一些政府部门的工作人员,在个人数据保护法律规则意识方面还有待加强。消费者个人数据被卷入‘商业链’后,数据的去向、范围和被开发使用的深度往往不可控,与消费者从商业机构直接获取的便利相比,并不等价。”穆勇表示。
云南省工业和信息化厅副厅长吕欣表示,大数据公共安全问题,第一是巨量性和复杂性,第二是分布式和异构性,第三是开放式和实施性,这些都给数据治理带来了前所未有的挑战。“大数据安全风险无处不在,融入各个领域。在目前的工业互联网领域的安全问题很突出,而制造业因为形式多种多样,在数据安全方面制定统一标准难度加大,信息系统和工业系统的融合,信息指令流动更加复杂,信息流社会相互认证难度更大,使得网页攻击到各个领域,对单一的攻击延伸到产业上下游。此外,数字基础设施方面的安全也面临越来越严峻的被攻击形式。”吕欣表示。
三分技术七分管理
不管是企业的技术治理还是政府的管理,都表达出在大数据时代,各方都希望发挥自己的力量并做出相应贡献。
北京友友天宇系统技术有限公司CEO、中国云计算专家委员会委员姚宏宇却表示,要在保证安全的前提下,实现数据价值的最大化,但怎么在安全和价值之间找到一个平衡点才是最关键的,这也是大数据发展的一体两翼,既要避免数据被滥用,也要避免防护过度。
“在保障数据安全方面,传统手段存在一定的局限性。”灾备技术国家工程实验室副主任、北京邮电大学网络空间安全学院教授辛阳坦言,传统上,主要在防黑客攻击和网络非法渗透上采取通用的网络安全防护,但这些手段总体上都是防外的,无法防护内部违规窃取或越权使用问题。
辛阳举例说,用户安装APP等软件,表面上都是自身授权通过的,但是用户要使用软件,哪怕是霸王条款也必须全盘接受,在这种情况下,数据泄露只能通过防内手段来处理,不过,目前技术难度较大、手段偏少,所以更多的要通过监管来保障数据安全。
这也应了网络安全行业的一句口头禅:三分技术七分管理。辛阳指出,管理办法的出台,必将加大非法采集以及违规使用数据的成本,强化监管机构对数据安全的审查约束。
南京中诚区块链研究院安全总监马强表示,从根本上看,数据安全问题的解决还需各方努力,特别有赖于国人网络安全意识的提升,不能用隐私换取便利。
“数据安全不纯粹是一个技术问题,它是一个集国家政策、法律法规、企业政策和技术要素相结合的系统工程,需要多方协同。”中国科学院信息工程研究所所长助理、研究员王伟平如此说。(记者 戈清平)