以數據為中心的安全

阿里巴巴集團安全部 杜躍進

以數據為中心的安全

阿里巴巴集團安全部 杜躍進

我們正處于數據技術時代，人類社會正在因為數據而發生重大的變化。從商務到醫療，從金融到交通，從教育到社會治理，我們能想到的每個方面，都在因為數據技術而發生著不可思議的變革。大家都認識到，數據正在成為生產資料，數據和數據技術正在成為最關鍵的競爭力。

然而，與此同時人們對數據帶來的安全問題也越來越擔心，數據安全正在成為全世界的一個熱點話題。尤其是“徐玉玉”事件以來，大家不但對電信詐騙的嚴重危害和應對方案展開了非常密集的討論，而且對導致精準詐騙的信息泄露問題十分關注。不需要刻意關注，所有人都知道今天的信息泄露問題非常嚴重。

從大時代的角度來說，數據安全問題如果失控，會影響全社會的信心，阻礙人類社會的進步。從擁有數據的行業、企業或者機構來說，數據安全也有非常重要的具體意義：下一個類似“徐玉玉事件”發生的時候，你的機構是否要為其中的信息泄露擔責？當你雄心勃勃地推進商業計劃的時候，會不會因為自己數據安全做得沒別人好而失去機會？

因此無論從國家戰略的角度還是從企業自身發展的角度來說，數據安全都是當前最迫切的一個問題。

不過對于數據安全問題，人們存在很多誤解。一個誤解是認為“大數據安全只和擁有大數據的大企業、大部門相關”。可是隨著一系列電信詐騙案件的破獲，大家發現造成危害的具有重大價值的個人信息泄露，經常是在很小的環節被竊取或者泄露出去的，而且泄露數據的地方是如此之多，簡直如同篩子一樣。相對來說，重視安全的大企業因為投入資源多，安全水平反而相對更高。另外，很多看上去普普通通的移動應用APP，背后的用戶數據說出來動輒也是幾百萬幾千萬的規模，其安全問題則往往是被大家忽視了的。

另外一個誤解是把云計算安全等同于大數據安全。實際上云計算安全只是大數據環境中的一部分安全問題，云計算安全就算沒問題了，云計算用戶自己安全意識差、管理不到位的話，依然無法阻止用戶自己內部或者外部帶來的數據安全問題。

所以，數據安全是擁有數據的每個行業、部門、機構和企業都需要關注的問題，而且今天我們需要一種全新的“以數據為中心的安全”思維和方法，而不能用傳統的“以系統為中心的安全”來解決這個問題。

以數據為中心的安全，需要把安全聚焦在數據本身，圍繞數據的生命周期來建設安全能力，包括各個環節相關系統的安全情況、各個環節專門的數據安全產品和策略、安全運營、制度和管理體系設計、專業人員能力建設等。一個組織自己通過以數據為中心的安全，需要解決的是內部人員濫用、業務場景誤用和防止外部竊取的風險控制問題（從最近的案例中人們也能看到大量的信息泄露是在網絡黑產的誘惑下內部人員倒賣出來的，這是典型的內部濫用問題。如果只靠案發之后才能追溯到信息泄露的源頭，這是遠遠不夠的）。

但是這其中的挑戰其實非常多，無論從技術還是管理的角度看都是如此。今天的數據是融合在業務中的、在開放的生態環境中流動的，不可能脫離業務把數據剝離出來進行防護，也不可能用靜態數據的安全防護方法來解決問題。一些情況下數據的規模、業務的速度以及場景，都導致很多傳統的技術方法無法直接發揮效果。

當放到用戶角度來看的時候，會發現一個組織內部的數據生命周期是不夠的，需要在更大的生態環境中看。這時候導致問題更加復雜。從社會或者行業管理的角度來說，這時候就更加需要一種如何衡量任一組織數據安全能力的方法。有了這種方法并且形成足夠的能力，才能夠評價行業或者整體的數據安全狀況，也才能夠對有問題的環節給出具體的改進要求。

基于這些需求，阿里巴巴把自身的經驗進行了提煉和總結，形成了一套“數據安全能力成熟度模型”。以此為核心，我們已經牽頭在國際標準、國家標準和行業標準都立項成功。同時我們不僅在阿里自己的生態圈中進行推廣，也正在進行更大范圍的嘗試，目的是讓這套作法經歷更多的磨合、具有更廣泛的適用性。這個過程中需要學術界和產業界更多的合作和參與，因為今天在互聯網應用創新領域中國是走在最前列的，國際上并沒有現成的經驗可以解決我們的問題。另一方面，我們今天遇到的問題未來會成為全世界每一個企業或者機構面臨的問題，我們希望我們的探索幫助更多的人，讓數據時代能夠順利地發展。

當然，最后還是要強調一下“沒有絕對的安全”：沒有哪一種方法是能夠一勞永逸確保安全的。安全是一種對抗，圍繞數據安全的對抗也會升級，但是我們必須直面這種對抗，不斷提高我們的水平，才能保護用戶的利益，建立用戶對我們的信任，也才能樹立整個社會的信心，確保發展這個最終的目標。