近期數(shù)據(jù)泄露等安全事件頻發(fā),,嚴重侵害個人信息主體權(quán)益,影響國家安全,、經(jīng)濟發(fā)展和社會穩(wěn)定,。以歐盟,、美國為代表的地區(qū)和國家紛紛出臺個人信息保護,、數(shù)據(jù)安全的法律法規(guī)和管理規(guī)范,,進一步明確企業(yè)數(shù)據(jù)安全保障的責任和義務,。我國也積極加強數(shù)據(jù)安全管理布局,,出臺《中華人民共和國網(wǎng)絡安全法》,,提高數(shù)據(jù)安全管理要求,。
在此背景下,通過數(shù)據(jù)加密,、數(shù)據(jù)脫敏,、數(shù)據(jù)防泄露、數(shù)據(jù)追蹤溯源以及數(shù)據(jù)庫安全防范等技術(shù)手段保護個人隱私,,保障數(shù)據(jù)完整性,、保密性和可用性的需求凸顯。同時,,世界主要國家也在積極研究突破核心技術(shù),,探索構(gòu)建數(shù)據(jù)安全技術(shù)解決方案?;诖?,本文將通過研究梳理國內(nèi)外數(shù)據(jù)安全技術(shù)手段發(fā)展現(xiàn)狀,分析總結(jié)存在的問題,,并提出對策建議,,以期提升我國數(shù)據(jù)安全技術(shù)保障能力,降低數(shù)據(jù)安全風險,。
敏感數(shù)據(jù)識別技術(shù)作為數(shù)據(jù)防泄露,、數(shù)據(jù)分級分類管控和敏感數(shù)據(jù)加密等數(shù)據(jù)安全防護技術(shù)的基礎受到國內(nèi)外高度重視。一是在傳統(tǒng)的關鍵字識別基礎上,,相關企業(yè)通過引入規(guī)則匹配,、自然語言處理等技術(shù)擴大識別范圍,提高識別精度,。二是結(jié)合聚類分析等機器學習技術(shù),,通過大數(shù)據(jù)的累積訓練提升敏感數(shù)據(jù)識別的智能化程度。在此基礎上,,國內(nèi)外各企業(yè)積極探索實踐,,針對數(shù)據(jù)的使用、存儲,、傳輸?shù)葦?shù)據(jù)泄露高風險階段,,以敏感數(shù)據(jù)識別技術(shù)為核心研發(fā)數(shù)據(jù)安全防泄露產(chǎn)品,,通過部署在企業(yè)數(shù)據(jù)流動的關鍵節(jié)點,,實現(xiàn)對數(shù)據(jù)泄露行為的泄露預警發(fā)現(xiàn)和攔截處置。例如Forcepoint等外國企業(yè)已經(jīng)將數(shù)據(jù)安全防泄露產(chǎn)品商業(yè)化,,形成了一套覆蓋網(wǎng)絡和終端的企業(yè)數(shù)據(jù)防泄露組件;我國各大安全廠商積極研究數(shù)據(jù)防泄露技術(shù)手段,,布局數(shù)據(jù)防泄露市場,,2017年我國數(shù)據(jù)泄露防護市場規(guī)模達到7.8億元,同比增長25.3%,,2020年將超過14.7億元,。
數(shù)據(jù)庫根據(jù)存儲架構(gòu),、存儲數(shù)據(jù)類型不同,主要分為結(jié)構(gòu)化數(shù)據(jù)庫和非結(jié)構(gòu)化數(shù)據(jù)庫兩種,。在結(jié)構(gòu)化數(shù)據(jù)庫安全方面,,構(gòu)建以事前評估加固、事中安全管控和事后分析追責3種方式為主的安全防護體系,。其中,,事前評估加固主要采用數(shù)據(jù)庫漏洞掃描技術(shù),事中安全管控主要采用數(shù)據(jù)庫防火墻及數(shù)據(jù)加密,、脫敏技術(shù),,事后分析追責主要采用數(shù)據(jù)庫審計技術(shù)。例如華為云數(shù)據(jù)庫安全服務建立了以數(shù)據(jù)庫防火墻,、數(shù)據(jù)庫安全審計等技術(shù)為核心的商用數(shù)據(jù)庫安全體系,,截至目前,華為已經(jīng)為100余家企業(yè)提供該安全服務,,保障數(shù)據(jù)庫安全,。
在非機構(gòu)化數(shù)據(jù)庫安全防護方面,由于其數(shù)據(jù)類型的多樣性,,目前各企業(yè)尚無典型有效的安全防護技術(shù),,主要從網(wǎng)絡、存儲,、終端3方面部署數(shù)據(jù)防泄露,、防病毒等相關產(chǎn)品,保障非結(jié)構(gòu)化數(shù)據(jù)安全,。
國內(nèi)外企業(yè)聚焦數(shù)據(jù)水印和數(shù)據(jù)血緣追蹤技術(shù)進行探索研究,,提升數(shù)據(jù)安全事件溯源處置的能力,降低安全風險。一是數(shù)字水印技術(shù),,其技術(shù)實現(xiàn)原理是在不影響數(shù)據(jù)讀取和應用的前提下,,將數(shù)據(jù)水印通過信息處理嵌入到數(shù)據(jù)內(nèi)容中,實現(xiàn)對數(shù)據(jù)的標記與追蹤,。目前數(shù)字水印技術(shù)因其對處理資源和存儲資源的高占用,、高依賴,多適用于相對穩(wěn)定的小型數(shù)據(jù)集,,無法大規(guī)模應用于云計算,、大數(shù)據(jù)等大量數(shù)據(jù)匯聚的場景。二是數(shù)據(jù)血緣追蹤技術(shù),,主要技術(shù)原理是通過建立數(shù)據(jù)血緣圖譜,,對數(shù)據(jù)流轉(zhuǎn)過程進行實時記錄,追蹤分析數(shù)據(jù)安全事件的原因,,降低安全風險,。目前該技術(shù)正處在研究驗證階段,僅阿里,、順豐等部分企業(yè)探索應用,,產(chǎn)業(yè)化應用尚不成熟。
數(shù)據(jù)加密技術(shù)作為最基本,、有效的數(shù)據(jù)安全防護技術(shù),,得到廣泛應用,根據(jù)應用場景和加密方式的不同,,分為可逆加密和不可逆加密兩種,。一是可逆加密,對數(shù)據(jù)通過特定算法加密后變成密文,,只有通過相應密鑰才能將密文解密成明文,。在網(wǎng)絡支付中的數(shù)字證書、日常文件加密等均采用可逆加密技術(shù),。二是不可逆加密,,經(jīng)過不可逆加密算法處理的數(shù)據(jù)無法恢復出明文,只能利用同一算法對相同數(shù)據(jù)再次加密,,比對密文進行驗證,。例如防止數(shù)據(jù)惡意篡改的數(shù)字指紋、Unix系統(tǒng)的登錄認證等均采用不可逆加密技術(shù),。與此同時,,隨著云計算,、量子計算等新興技術(shù)的發(fā)展以及計算機處理速度的提升,傳統(tǒng)加密算法的效率與強度逐漸難以滿足業(yè)務需求,,被破解失效的風險日益升高。
在此背景下,,各國積極開展數(shù)據(jù)加密技術(shù)的研究工作,,量子加密、后量子加密等新型加密算法被不斷提出,,以適應未來數(shù)據(jù)安全發(fā)展需要,。例如美國Quantum Xchange公司正嘗試運用量子加密技術(shù)在美國東北部建設量子加密網(wǎng)絡,以期為華爾街銀行和其他企業(yè)提供服務;德國infineon公司已經(jīng)將后量子密碼技術(shù)應用到非接觸式安全芯片上,,以應對未來量子計算對傳統(tǒng)加密算法的威脅,。此外,各國高度重視新興密碼技術(shù)專利的申請,,截至2017年,,美國、歐盟和日本分別獲得220件,、127件以及265件量子密碼相關專利,。
第五,數(shù)據(jù)脫敏成為個人信息保護重點技術(shù)手段,,國內(nèi)外企業(yè)加強數(shù)據(jù)匿名化技術(shù)研究應用,。
為平衡個人隱私保護和業(yè)務發(fā)展,各企業(yè)大力發(fā)展數(shù)據(jù)脫敏技術(shù)和匿名化技術(shù),。一是根據(jù)業(yè)務場景及需求,,差異化應用數(shù)據(jù)脫敏技術(shù)方案。在保密場景下,,使用加密技術(shù)對數(shù)據(jù)進行脫敏,,有效保護個人數(shù)據(jù)。在群體信息統(tǒng)計場景下,,使用數(shù)據(jù)失真技術(shù),,實現(xiàn)個人信息去標識化,同時輸出統(tǒng)計結(jié)果數(shù)據(jù),。在數(shù)據(jù)可逆需求場景下,,采用位置變換、表映射等方式實現(xiàn)數(shù)據(jù)脫敏,,最大限度保障數(shù)據(jù)的可用性,。二是利用數(shù)據(jù)匿名化技術(shù)實現(xiàn)有條件地發(fā)布數(shù)據(jù),防止用戶敏感數(shù)據(jù)的泄露,。匿名化技術(shù)是指根據(jù)特定算法對數(shù)據(jù)進行變換,,在保證數(shù)據(jù)可用性的同時確保數(shù)據(jù)無法定位到個人且無法還原,從而達到保護個體隱私信息的目的。目前匿名化技術(shù)主要包括差分隱私,、K匿名等,。近年來,數(shù)據(jù)匿名化技術(shù)得到業(yè)界廣泛關注并在數(shù)據(jù)交換,、數(shù)據(jù)分析等環(huán)節(jié)初步開展應用,。例如在國際方面,蘋果公司已經(jīng)在搜索預測等方面應用差分隱私技術(shù);在國內(nèi)方面,,阿里巴巴的數(shù)據(jù)匿名化技術(shù)也已獲得較大進展,。
當前,我國數(shù)據(jù)安全管理體系初步建立,,《中華人民共和國網(wǎng)絡安全法》和《電信和互聯(lián)網(wǎng)用戶個人信息保護規(guī)定》(工業(yè)和信息化部令第24號)等法律法規(guī)提出數(shù)據(jù)安全和個人信息保護原則性要求,,但尚未明確技術(shù)手段建設的具體要求與處罰規(guī)則,無法有效推動企業(yè)開展數(shù)據(jù)安全技術(shù)手段的研發(fā)與應用,。部分企業(yè)礙于運營成本和系統(tǒng)性能等因素,,數(shù)據(jù)安全技術(shù)手段投入較少,數(shù)據(jù)安全技術(shù)研發(fā)與應用相對滯后,,分級分類,、權(quán)限管理等部分管理要求難以真正落地實施,繼而影響企業(yè)整體數(shù)據(jù)安全保障能力,。
目前,,我國數(shù)據(jù)安全技術(shù)相關國家標準和行業(yè)標準出臺較少,無法對企業(yè)形成有效指引,。在數(shù)據(jù)加密,、數(shù)據(jù)脫敏方面,對于數(shù)據(jù)脫敏的方法,、流程以及效果等均尚未形成統(tǒng)一標準,,各企業(yè)理解存在較大偏差,數(shù)據(jù)安全技術(shù)手段應用落地效果無法保障,。在數(shù)據(jù)分級分類方面,,國家和行業(yè)均未形成分級分類目錄指引,企業(yè)自行制定分級分類規(guī)則,,科學性,、合理性無法保障,。
隨著數(shù)字經(jīng)濟的發(fā)展,數(shù)據(jù)處理場景顯著增多,,數(shù)據(jù)處理量級明顯提高,,傳統(tǒng)的網(wǎng)絡安全技術(shù)已無法滿足當前數(shù)據(jù)量巨大、數(shù)據(jù)更新速度極快的場景,。數(shù)據(jù)安全技術(shù)作為新興技術(shù)領域,發(fā)展時間尚短,,部分技術(shù)手段與解決方案正處在研究發(fā)展階段,,缺乏應用實踐,無法有效保障數(shù)據(jù)安全,。例如數(shù)字血緣追蹤技術(shù),、數(shù)據(jù)字段打標簽技術(shù)等目前尚不成熟,對業(yè)務運營的影響有待進一步研究,,大規(guī)模落地應用尚需時日,。
我國數(shù)據(jù)安全管理起步較晚,目前大部分企業(yè)面臨存量業(yè)務系統(tǒng)數(shù)據(jù)安全改造的難題,。一是數(shù)據(jù)資產(chǎn)梳理難度較大,。前期企業(yè)內(nèi)部各業(yè)務系統(tǒng)數(shù)據(jù)字段名稱不統(tǒng)一,數(shù)據(jù)類型繁雜,、數(shù)量龐大,,數(shù)據(jù)資產(chǎn)梳理作為數(shù)據(jù)安全技術(shù)手段建設的基礎工作難以有效開展。二是影響業(yè)務現(xiàn)有系統(tǒng)性能,,加大企業(yè)投入,。數(shù)據(jù)加解密、脫敏等技術(shù),,一定程度占用系統(tǒng)資源,,影響系統(tǒng)性能和用戶體驗,進行數(shù)據(jù)安全技術(shù)改造需要升級硬件設備,,增加企業(yè)成本投入,。三是影響業(yè)務系統(tǒng)運行風險較高。數(shù)據(jù)安全防護技術(shù)的改造往往伴隨著核心系統(tǒng)的改造,,難度較高,,風險較大,。同時,數(shù)據(jù)安全技術(shù)改造屬于新興技術(shù)領域,,目前企業(yè)可參考的成熟技術(shù)方案及實踐案例較少,,企業(yè)顧慮較大。
一方面,,建議加快推動《數(shù)據(jù)安全法》《個人信息保護法》《數(shù)據(jù)安全管理辦法》和《數(shù)據(jù)出境安全評估辦法》等相關法律法規(guī)的制定出臺,,構(gòu)建我國數(shù)據(jù)安全管理體系,明確企業(yè)數(shù)據(jù)安全技術(shù)手段建設的責任和義務,。另一方面,,在數(shù)據(jù)分級分類、數(shù)據(jù)加密,、個人信息去標識化等重點領域加快起草制定相關標準規(guī)范,,細化明確分級分類規(guī)則、加密算法強度,、去標識化算法及應用場景等,,為技術(shù)產(chǎn)品研發(fā)提供支撐。
建議開展數(shù)據(jù)安全技術(shù)體系研究,,形成具有共識性的數(shù)據(jù)安全技術(shù)產(chǎn)品體系總體視圖,,明確數(shù)據(jù)安全技術(shù)防護手段的方式、類型,、性能以及應用場景,、適用范圍等,指引需求側(cè)企業(yè)開展數(shù)據(jù)安全技術(shù)能力建設,,增強數(shù)據(jù)安全綜合保障能力,。同時,發(fā)布數(shù)據(jù)安全技術(shù)產(chǎn)品市場報告,,涵蓋我國數(shù)據(jù)安全技術(shù)產(chǎn)品供需關系情況,、成熟度情況、技術(shù)薄弱環(huán)節(jié)等,,支撐供給側(cè)企業(yè)開展數(shù)據(jù)安全技術(shù)手段研發(fā)投入,,促進市場良性發(fā)展。
鼓勵高校、科研院所和企業(yè)聯(lián)合開展數(shù)據(jù)安全技術(shù)研發(fā)深度交流合作,,通過組建技術(shù)發(fā)展聯(lián)盟,、成立聯(lián)合實驗室等方式,合力推進數(shù)據(jù)資產(chǎn)盤查,、數(shù)據(jù)特征值提取,、數(shù)據(jù)加密、數(shù)據(jù)匿名化,、數(shù)據(jù)血緣追蹤以及數(shù)據(jù)防泄露等數(shù)據(jù)安全技術(shù)的研究,。同時,對于新型數(shù)據(jù)安全技術(shù)研發(fā)成果,,積極開展試點應用工作,。在完善產(chǎn)品性能的同時,加速成果轉(zhuǎn)化與落地應用,,切實提高我國企業(yè)數(shù)據(jù)安全防護能力,。
最新新聞