徐玉玉电信诈骗案四年之后，数据泄露的问题解决了吗？| 造就Talk·方兴_风闻

　　2016年徐玉玉案件震惊全国，她的奖学金记录被泄露到诈骗分子手上，诈骗分子利用信息不对称欺诈徐玉玉的学费，最终导致心脏骤停，经医院抢救不幸离世。

　　这是一件非常悲痛的事情，但经过了四年，数据泄露的问题解决了吗？

　　方兴

　　全知科技创始人兼CEO

　　大家好，我是全知科技的方兴。

　　现在是一个数字化的时代，大家都在享受着数字的便利。饿了叫一个外卖，食物就会送到你家里。在疫情严重的时候，各种大数据技术也帮助我们防控疫情，看起来，我们正处与一个非常美好的时代。

　　但是，在这当中其实有非常多的隐忧——

　　2016年，Facebook把用户的数据共享给了剑桥分析公司，大家都怀疑，这些数据最后用在了干扰美国总统选举上。利用数据分析不同人的政治倾向，然后定向引导，发送一些具有政治倾向的邮件，从而影响整个美国大选。

　　今年，爱奇艺发生了一个诉讼，在这个诉讼当中，它把用户的观影的记录，作为举证材料提交法院。这个用户就投诉它，我在你这里观影的所有数据，都是我的个人的隐私，你为什么用这些数据作为举证材料？

　　此外，在今年上半年中信银行直接把一个艺人账号的流水数据，共享给了他的经纪公司，用于与该艺人的官司。

　　同样，今年微博的手机数据、身份ID数据直接泄露5亿条。这5亿条是怎么泄露的？实际上很简单， APP上有一个功能叫“找好友”，只要通过手机通讯录的手机号同步，就会自动把绑定手机号的微博ID对应给你。

　　攻击者可以伪造所有便利的手机号，把所有人的ID号对应回来，在安全数据安全上的说法，就是把它标识化。从而就可以观察，你在微博上发的每一个东西，每一个可能有地址的信息，从而知道你去了哪里，就可以对个人进行实名的追踪，实现隐私的窥探。

数据被企业采集之后，不仅属于企业，它还属于个人主体。

　　数据安全为什么难以治理？

　　我们首先要理解，为什么现在的企业要大量采集数据？

　　传统的信息时代，数据是被人解读为信息，人再基于信息，基于脑力再来分析知识和情报。但随着AI技术的应用，数据的挖掘、关联、分析的技术进一步发展之后，我们发现，通过机器可以挖掘出足够多的数据、知识和情报。

　　于是企业就开始大量的收集数据、共享数据、挖掘数据、使用数据用以创造新的业务价值。

　　企业也会把各个业务系统之间的数据打通，将数据汇集起来进行挖掘，甚至从外部去买入这样的数据。

　　同时，为了让业务更加的便捷，企业可能把自己的数据共享给下游的生态链。比如，电商企业会把你的数据共享给物流、仓储，这样才能将你购买的物品一次性送到家。

　　有了更多的数据，还可以提供给外部其他业务进行业务的创新，这就形成了非常复杂的数据流动的链路。它渗透到了企业所有业务环节，渗透到企业整个生态链环节中。

　　数据在这种复杂的流动中，想要保护它是非常困难的。

　　比如在电商购物时，用户可以评论商家商品好坏。但实这也暴露了两个信息——你买了这个商家的某个物品，以及你对这个物品满意与否。

　　如果骗子拿到这个信息，他就可以冒充商家打电话给你——你对我们的商品不满意，我们准备给你退货，但是需要给你补偿怎么办？他用一套话术诱骗用户上当。

　　这时我们就需要对评论者的ID进行脱敏保护，但是脱敏保护之后，诈骗案件还是层出不穷，攻击者始终还能定位到真实的用户评论，因为攻击者早就把每个用户的与其相关信息，诸如注册信息、头像信息等等全部爬走，即使做了脱敏也无济于事。

　　比如用户ID是F开头，中间脱敏，攻击者对F开头的ID进行匹配，可能筛选出一万个符合的ID，再去匹配他的头像、注册地、注册时间，最后把这个人筛出来，这就利用了经常提到的数据属性关联工具。

　　所以，在数据的流动中，哪怕你认为不重要的、很多细节的数据，都可能带来数据安全重大风险。

　　全球各国都逐步认识到数据安全的重要性，纷纷在立法。包括欧洲的GDPR，美国的CCPA，中国也在开始立法，今年六月份已经推出了《数据安全法》（草案），开始征询意见，后面还要推出个人信息保护法。

　　除了对数据的泄露的保护，个人信息安全更是把数据提升到一个主体权利的地位。即数据被企业采集之后，这个数据不仅属于企业，还属于个人主体，个人主体有权力要求——

　　对数据的知情权，即我的数据在如何使用；

　　对数据有遗忘权，即注销之后，企业应该把我的数据全部给删掉；

　　对数据有携带权，即我要把数据迁移到另一个应用中，企业要把所有的数据给我，让我带走；

　　对数据有控制权，即我曾把数据许诺让你共享给A，但是今天我反悔了，我让你把它切掉，那么你就要把这个数据切掉。

　　在这些前提之下，各方面对企业数据保护的要求会越来越高。如何平衡生产需求、资产，以及社会责任三者之间的关系，是我们当前面临的最大问题。

　　当然，我们不希望因为数据安全的限制导致大家都不愿意共享数据，使用数据，让社会又倒退回IT时代，甚至是传统的机械时代。

　　所以一定要理清数据的责任主体，作为企业应当承担的责任——

　　第一，合理合法采集数据，不能非法获取；

　　第一，保护数据不被泄露；

　　第二，数据要按照用户的授权合法使用，数据要共享给其他的数据主体使用方，要通过合理合规的方式共享。

　　做到这些，这家企业就尽到了数据责任，下一个企业获得数据时，让它再去覆盖它的数据责任，这样一环扣一环，最后做好整个数据安全体系。

他们甚至不知道——到底是哪些人，拿走了哪些数据，数据又是怎样流出的？

　　但在这个过程中，面临着一个更大的问题——企业对自身的数据的资产，以及数据的流动完全是不可知的。

　　过去几年公安打击过大量的数据公司，他们的核心问题就是没有控制好数据的流动，最后让数据应用到了一些非法的用途。

　　比如去年最典型的大数据打击案件当中，用户位置的定位数据被泄露，最后导致一些黑社会催贷直接定位到欠贷人的地理位置，然后上门进行暴力催贷。

　　当追踪这个定位数据怎么出去的时候，找到拥有位置数据的厂商，询问他曾经将数据共享给哪些大数据公司，这家公司回答不出来，查了三天都没有结果。

　　所以，企业面临的最大的问题，在于**对自己的数据流动状态不了解。到底是哪些人，拿走了哪些数据，数据又是怎样流出的？**都是不清楚的。

　　就如同一个盲人，我们给他再锋利的刀，再坚固的盾牌，希望他能保护自己。但他看不到任何威胁，任何风险，他不可能保护自己。所以说数据安全现在最欠缺的就是，如何建立对数据流动的可见，以及数据风险的可知。

　　国家已经认知到数据安全的重要性，今年的《数据安全法》（草案）中提到了很多要求企业去做的事情。

　　核心内容包括，要求企业对自己的数据资产进行分类分级，理清自己最重要的数据是哪些？安全级别如何？然后针对数据活动进行风险评估。

　　同时，要对数据风险进行监测，在数据正常的使用和流动中，对它进行动态控制。最后，一旦发生数据安全事件，要及时响应，保护整个数据。

　　那么，我们如何才能真正做到让一家企业具备对数据的流动和数据资产的控制呢？我们可以借鉴仓库的模型——

　　数据不仅仅是资产，也可能会对外界带来危害的“物质“，你可以想象它是氢气和氧气，如果操作不当，碰在一起会爆炸。

　　从仓库的模型去看，数据可以分为本体和封装数据的载体，载体即文件等各种形式。假设这两个数据是高危的，我们可以把有威胁的东西拆开，比如“氢气”和“氧气“不要轻易碰在一起，把重要的数据隔离起来，然后加上一些“降解物质”，把发生爆炸的威胁降低。

　　但是，当数据流动起来，就像仓库所有的东西运输，就会出现一个暴露面。

　　还是类比仓库，仓库是有门和窗的，这些门和窗是不是必要的？有没有什么弱点？会不会被人一锤就会打出一个门来？这就是数据的暴露面，只有监测它的脆弱性、合规性的问题，才能确保所有对外数据的出口是安全可控的。

　　最后，获取数据的时候，就像到仓库运输物资，通过监测获取者有没有权限，他的行为有没有异常，就可以分析他的风险。

　　如果我们能做到保护数据本体，控制和保护数据暴露面，控制数据行为和数据流风险，就能建立起一套新的数据安全的体系。

数据安全治理非常重要，它是我们所有数据泄露、数据滥用、数据违规共享的一个卡点。

　　数据安全体系包括了五个核心的技术框架——

　　第一，数据安全治理的技术框架包括两方面，一个是静态的治理，企业要了解最重要的数据资产，特别是个人数据资产。到底采集了哪些数据，它们在哪里。另一块是动态数据资产，数据的关键暴露面在哪里，是不是可以对外开放。

　　第二，对数据风险进行评估。针对静态数据的保护体系是否完善的，针对动态数据，自身存在哪些脆弱的风险，有没有方法去控制和屏蔽。

　　还要建立一个数据安全风险的监测体系，时刻监控由哪些人，用什么样的方式在获得你的数据。形成的数据流向，流到了什么地方。这样才能了解整个数据资产的状态，以及数据安全的风险。

　　结合掌控的这些信息，可以再对数据安全进行管控。在数据暴露面去控制哪些人，以何种权限来访问。同时，发现异常的数据流能够即使阻断。

　　最后是针对数据本身的安全的策略。比如四级的数据，我们规定它需要脱敏、加密，监测它是否达到了要求。通过这样的方式，我们就构造了整个数据安全体系。

　　数据安全治理体系

　　数据安全治理非常重要，它是数据泄露、数据滥用、数据违规共享的一个卡点。传统的数据安全治理，更多时候提到的是静态数据的治理，业界很少去谈动态数据暴露面和数据流的治理。

　　而治理动态数据，可以有效的控制数据安全风险。

　　以数据暴露面为例，我们可以去分析暴露面的生命周期。最典型的一个案例：我们的一个客户突然发现一个新增的四级暴露面，经过调查得知，是内部的员工觉得数据值钱了，自己偷偷写了一个后门代码，然后窃取数据。

　　当敏感数据产生后，主动把敏感数据推送到这名员工设置的后门服务器上。但是这样就会产生一个全新的数据暴露面，当我们发现了这个点，然后去调查，就可以发现重大的研发后门。

　　互联网上有大量的数据暴露面，我们和很多监管部门做过检测，在互联网上非常重要的个人数据都能直接拿到。

　　最简单的，比如人脸数据。大家今天到哪里都有人脸认证，我们测试过很多人脸系统，通过接口暴露面可以拿到所有的人脸数据。经过测试，这些人脸数据可以过掉所有的系统，包括门禁系统。

　　这种暴露面的风险非常大，黑灰产大量从这里窃取数据，但是并没有引起业界足够的重视和关注。

　　最后，我们希望每个企业都能真正的把自己的数据状态，数据流动的态势搞清楚。

　　知道自己重要的数据是哪些，在哪里，会从哪里暴露，暴露点上有什么样的脆弱性和安全问题；每天有什么人，用什么方式在获得这些数据。这些人的行为是否可信，是否安全；这些人的权限如何，他的账号是否丢失。

　　围绕这样一个体系，建立企业对自身数据流动的管控能力，最后才能保证企业的数据安全，也能保证每一个人的数据的安全。