数据从“资产”变为“生产资料”，企业应平衡生产效率和风险控制

Original 蒋琳隐私护卫队

今年以来，国内外多部法律法规和国家标准正式实施，数据安全建设已经成为企业运营中一个绕不开的主题，引起了越来越多企业的重视。当数据由传统的“资产”演变为如今的“生产资料”，企业应该如何在保障数据安全的多重困局中找到破解之道？

会议现场。主办方供图

10月26日，由全知科技主办的“数据安全领域建设及实践分享会”在北京举行。在古色古香的会议现场，多位来自企业和安全领域的专家和嘉宾从数据的使用场景、治理体系和实践案例等方面分享了自己的经验。他们普遍表示，对数据流动的关键节点进行布控，使数据环境达到可控、可审、可追溯对企业数据安全建设非常关键。

困局

数据流动既产生价值，也产生风险

全知科技CEO方兴把数据安全按时间划分为IT时代和DT时代。前者概念里的数据安全指“资产”安全，强调数据本身的价值，“自己种的瓜果自己吃”；后者概念里的数据安全则更偏向业务安全，数据兼具了本体价值以及业务价值，相当于“把自己种的瓜果卖出去”，从而产生了业务；随着业务发展，未来还将迈入工业化时代，通过形成复杂的供应链产生效率价值。

全知科技CEO方兴。主办方供图

“当一个物体作为一种静态价值存在时，是资产；当它与其他物体通过参与生产获得增加价值时，是生产资料”，在方兴看来，数据已经由传统的“资产”演变为如今的“生产资料”，而当今社会也已经进入了数据业务化时代——数据在流动中产生价值，同时不可避免地在流动中产生风险。

方兴提到，作为生产资料，数据在业务过程中产生的风险是最核心的风险，可能给国家安全和公共利益带来巨大损失。但是这个风险不能简单地通过“不使用”来消除，因为这样可能带来更大的损失。因此，把握好生产效率和风险控制的平衡尤为重要。

百度资深数据安全专家孙硕。主办方供图

基于数据的新特点，百度资深数据安全专家孙硕表示，企业的数据安全建设往往陷入困局。最常遇到的困局有数据安全建设难以面面俱到、安全管理难以到位，或是没出问题时不重视安全部门、无法从安全角度驱动业务，一旦出了问题就向安全部门追责等。

体系

企业的数据安全必须基于业务合规

为了应对企业面临的数据安全建设困局，方兴从三个维度、七个数据流动场景搭建了一个数据治理体系：三个维度包括风险维度、合规维度、管理维度；七个场景则分为应用数据使用场景、数据存储访问场景、大数据应用场景、数据交换场景、办公网数据使用场景、隐私数据权利场景和数据风险感知场景。

以应用数据使用场景为例，方兴指出，后续数据的广泛使用和流动都在这个场景里发生，因此它是很多企业里数据风险最突出的场景之一，同时也是数据安全建设中最薄弱的地方，“未来将成为数据安全非常重要的一环”。数据交换场景表现为从办公网发起对第三方数据的访问需求，企业对访问端口通常缺乏有效管控，导致一个账号多人使用等滥用现象。

隐私护卫队了解到，其实国家标准《信息安全技术数据安全能力成熟度模型》就着力于制定一套用于组织机构数据安全能力的评估标准，该标准基于阿里巴巴提出的数据安全成熟度模型（DSMM）制订，现已进入报批稿阶段。

阿里巴巴数据安全专家薛勇。主办方供图

阿里巴巴数据安全专家薛勇介绍，该模型从安全能力和数据安全周期安全两方面考察企业数据安全能力成熟度，从低到高分为非正式执行、计划跟踪、充分定义、量化控制、持续优化五个等级。其中安全能力包括组织建设、制度流程、技术工具和人员能力，数据安全周期则包括采集安全、存储安全、处理安全、交换安全、销毁安全和通用安全。

“如果企业要达到三级水平，可以从立方体模型的横切面来看整体框架”，薛勇表示，企业首先要考虑的是业务合规和业务需求。“刚刚起步的创业团队还处在求生存的阶段，往往会在数据安全上做些妥协，但随着业务发展，企业的数据安全必须基于业务合规”，他说，其次，在组织建设方面，决策层应由参与业务决策的高管和数据安全官组成，并组建专职的数据安全管理团队等，“只有先具备了安全能力，才能支撑起数据安全周期里的所有环节”。

实践

在各数据接口做安全监控，包括日志

具体到单个企业，应该如何实践上述数据治理体系？VIPKID高级安全专家靳晓飞从在线教育平台的角度，重点介绍了VIPKID是如何保护用户手机号的。

VIPKID高级安全专家靳晓飞。主办方供图

靳晓飞指出，一方面，用户手机号与公司核心利益息息相关，一旦泄露，容易失去用户信任，进而失去业务；另一方面，保护用户信息是企业的义务，保护不力还可能面临处罚。因此，VIPKID定下目标：事前要有预防数据泄露的警惕性，事中要有发现泄漏事件的能力，事后要有溯源和还原事件的能力。

发生信息泄露事件后，VIPKID的应对流程首先是找出跟泄露的手机号相关的所有环节，确认丢失的数据范围；其次评估相关环节的风险，提出解决方案；然后调看安全监控，发现泄露行为并溯源；最后总结教训，不断优化数据安全建设。

在安全监控这一步，靳晓飞表示，VIPKID监控的范围包括注册接口、登录接口、找回密码接口等，其中最容易被忽略的是访问日志和业务日志，“那里面可能藏有很多敏感信息，需要严格监控”。这样一来，当有人尝试通过这些接口批量获取手机号时，就能实现自动化安全防护。

而在溯源环节，VIPKID会通过内部主动发现、用户反馈、钓鱼埋点、暗网监控等渠道获取泄露情报。“我们会在故意在某个接口埋一批干净的手机号（没在其他场合用过），一旦泄露，就能确定是哪个接口出问题”，靳晓飞说，他平常还会经常去暗网上看看有没有人售卖VIPKID的数据。

谈到企业实践，孙硕也强调，一定要做好内部防控措施，以业务战略达成为驱动，推动安全举措落地，打造公司安全大环境，建立安全威慑力。同时还需要针对数据跨越安全信任边界的行为及关键节点布控，对数据环境做到可控、可审、可追溯。

报料请点击E隐私投诉小程序