徐玉玉電信詐騙案四年之後，數據泄露的問題解決了嗎？| 造就Talk·方興_風聞

　　2016年徐玉玉案件震驚全國，她的獎學金記錄被泄露到詐騙分子手上，詐騙分子利用信息不對稱欺詐徐玉玉的學費，最終導致心臟驟停，經醫院搶救不幸離世。

　　這是一件非常悲痛的事情，但經過了四年，數據泄露的問題解決了嗎？

　　方興

　　全知科技創始人兼CEO

　　大家好，我是全知科技的方興。

　　現在是一個數字化的時代，大家都在享受着數字的便利。餓了叫一個外賣，食物就會送到你家裏。在疫情嚴重的時候，各種大數據技術也幫助我們防控疫情，看起來，我們正處與一個非常美好的時代。

　　但是，在這當中其實有非常多的隱憂——

　　2016年，Facebook把用户的數據共享給了劍橋分析公司，大家都懷疑，這些數據最後用在了干擾美國總統選舉上。利用數據分析不同人的政治傾向，然後定向引導，發送一些具有政治傾向的郵件，從而影響整個美國大選。

　　今年，愛奇藝發生了一個訴訟，在這個訴訟當中，它把用户的觀影的記錄，作為舉證材料提交法院。這個用户就投訴它，我在你這裏觀影的所有數據，都是我的個人的隱私，你為什麼用這些數據作為舉證材料？

　　此外，在今年上半年中信銀行直接把一個藝人賬號的流水數據，共享給了他的經紀公司，用於與該藝人的官司。

　　同樣，今年微博的手機數據、身份ID數據直接泄露5億條。這5億條是怎麼泄露的？實際上很簡單， APP上有一個功能叫“找好友”，只要通過手機通訊錄的手機號同步，就會自動把綁定手機號的微博ID對應給你。

　　攻擊者可以偽造所有便利的手機號，把所有人的ID號對應回來，在安全數據安全上的説法，就是把它標識化。從而就可以觀察，你在微博上發的每一個東西，每一個可能有地址的信息，從而知道你去了哪裏，就可以對個人進行實名的追蹤，實現隱私的窺探。

數據被企業採集之後，不僅屬於企業，它還屬於個人主體。

　　數據安全為什麼難以治理？

　　我們首先要理解，為什麼現在的企業要大量採集數據？

　　傳統的信息時代，數據是被人解讀為信息，人再基於信息，基於腦力再來分析知識和情報。但隨着AI技術的應用，數據的挖掘、關聯、分析的技術進一步發展之後，我們發現，通過機器可以挖掘出足夠多的數據、知識和情報。

　　於是企業就開始大量的收集數據、共享數據、挖掘數據、使用數據用以創造新的業務價值。

　　企業也會把各個業務系統之間的數據打通，將數據彙集起來進行挖掘，甚至從外部去買入這樣的數據。

　　同時，為了讓業務更加的便捷，企業可能把自己的數據共享給下游的生態鏈。比如，電商企業會把你的數據共享給物流、倉儲，這樣才能將你購買的物品一次性送到家。

　　有了更多的數據，還可以提供給外部其他業務進行業務的創新，這就形成了非常複雜的數據流動的鏈路。它滲透到了企業所有業務環節，滲透到企業整個生態鏈環節中。

　　數據在這種複雜的流動中，想要保護它是非常困難的。

　　比如在電商購物時，用户可以評論商家商品好壞。但實這也暴露了兩個信息——你買了這個商家的某個物品，以及你對這個物品滿意與否。

　　如果騙子拿到這個信息，他就可以冒充商家打電話給你——你對我們的商品不滿意，我們準備給你退貨，但是需要給你補償怎麼辦？他用一套話術誘騙用户上當。

　　這時我們就需要對評論者的ID進行脱敏保護，但是脱敏保護之後，詐騙案件還是層出不窮，攻擊者始終還能定位到真實的用户評論，因為攻擊者早就把每個用户的與其相關信息，諸如註冊信息、頭像信息等等全部爬走，即使做了脱敏也無濟於事。

　　比如用户ID是F開頭，中間脱敏，攻擊者對F開頭的ID進行匹配，可能篩選出一萬個符合的ID，再去匹配他的頭像、註冊地、註冊時間，最後把這個人篩出來，這就利用了經常提到的數據屬性關聯工具。

　　所以，在數據的流動中，哪怕你認為不重要的、很多細節的數據，都可能帶來數據安全重大風險。

　　全球各國都逐步認識到數據安全的重要性，紛紛在立法。包括歐洲的GDPR，美國的CCPA，中國也在開始立法，今年六月份已經推出了《數據安全法》（草案），開始徵詢意見，後面還要推出個人信息保護法。

　　除了對數據的泄露的保護，個人信息安全更是把數據提升到一個主體權利的地位。即數據被企業採集之後，這個數據不僅屬於企業，還屬於個人主體，個人主體有權力要求——

　　對數據的知情權，即我的數據在如何使用；

　　對數據有遺忘權，即註銷之後，企業應該把我的數據全部給刪掉；

　　對數據有攜帶權，即我要把數據遷移到另一個應用中，企業要把所有的數據給我，讓我帶走；

　　對數據有控制權，即我曾把數據許諾讓你共享給A，但是今天我反悔了，我讓你把它切掉，那麼你就要把這個數據切掉。

　　在這些前提之下，各方面對企業數據保護的要求會越來越高。如何平衡生產需求、資產，以及社會責任三者之間的關係，是我們當前面臨的最大問題。

　　當然，我們不希望因為數據安全的限制導致大家都不願意共享數據，使用數據，讓社會又倒退回IT時代，甚至是傳統的機械時代。

　　所以一定要理清數據的責任主體，作為企業應當承擔的責任——

　　第一，合理合法採集數據，不能非法獲取；

　　第一，保護數據不被泄露；

　　第二，數據要按照用户的授權合法使用，數據要共享給其他的數據主體使用方，要通過合理合規的方式共享。

　　做到這些，這家企業就盡到了數據責任，下一個企業獲得數據時，讓它再去覆蓋它的數據責任，這樣一環扣一環，最後做好整個數據安全體系。

他們甚至不知道——到底是哪些人，拿走了哪些數據，數據又是怎樣流出的？

　　但在這個過程中，面臨着一個更大的問題——企業對自身的數據的資產，以及數據的流動完全是不可知的。

　　過去幾年公安打擊過大量的數據公司，他們的核心問題就是沒有控制好數據的流動，最後讓數據應用到了一些非法的用途。

　　比如去年最典型的大數據打擊案件當中，用户位置的定位數據被泄露，最後導致一些黑社會催貸直接定位到欠貸人的地理位置，然後上門進行暴力催貸。

　　當追蹤這個定位數據怎麼出去的時候，找到擁有位置數據的廠商，詢問他曾經將數據共享給哪些大數據公司，這家公司回答不出來，查了三天都沒有結果。

　　所以，企業面臨的最大的問題，在於**對自己的數據流動狀態不瞭解。到底是哪些人，拿走了哪些數據，數據又是怎樣流出的？**都是不清楚的。

　　就如同一個盲人，我們給他再鋒利的刀，再堅固的盾牌，希望他能保護自己。但他看不到任何威脅，任何風險，他不可能保護自己。所以説數據安全現在最欠缺的就是，如何建立對數據流動的可見，以及數據風險的可知。

　　國家已經認知到數據安全的重要性，今年的《數據安全法》（草案）中提到了很多要求企業去做的事情。

　　核心內容包括，要求企業對自己的數據資產進行分類分級，理清自己最重要的數據是哪些？安全級別如何？然後針對數據活動進行風險評估。

　　同時，要對數據風險進行監測，在數據正常的使用和流動中，對它進行動態控制。最後，一旦發生數據安全事件，要及時響應，保護整個數據。

　　那麼，我們如何才能真正做到讓一家企業具備對數據的流動和數據資產的控制呢？我們可以借鑑倉庫的模型——

　　數據不僅僅是資產，也可能會對外界帶來危害的“物質“，你可以想象它是氫氣和氧氣，如果操作不當，碰在一起會爆炸。

　　從倉庫的模型去看，數據可以分為本體和封裝數據的載體，載體即文件等各種形式。假設這兩個數據是高危的，我們可以把有威脅的東西拆開，比如“氫氣”和“氧氣“不要輕易碰在一起，把重要的數據隔離起來，然後加上一些“降解物質”，把發生爆炸的威脅降低。

　　但是，當數據流動起來，就像倉庫所有的東西運輸，就會出現一個暴露面。

　　還是類比倉庫，倉庫是有門和窗的，這些門和窗是不是必要的？有沒有什麼弱點？會不會被人一錘就會打出一個門來？這就是數據的暴露面，只有監測它的脆弱性、合規性的問題，才能確保所有對外數據的出口是安全可控的。

　　最後，獲取數據的時候，就像到倉庫運輸物資，通過監測獲取者有沒有權限，他的行為有沒有異常，就可以分析他的風險。

　　如果我們能做到保護數據本體，控制和保護數據暴露面，控制數據行為和數據流風險，就能建立起一套新的數據安全的體系。

數據安全治理非常重要，它是我們所有數據泄露、數據濫用、數據違規共享的一個卡點。

　　數據安全體系包括了五個核心的技術框架——

　　第一，數據安全治理的技術框架包括兩方面，一個是靜態的治理，企業要了解最重要的數據資產，特別是個人數據資產。到底採集了哪些數據，它們在哪裏。另一塊是動態數據資產，數據的關鍵暴露面在哪裏，是不是可以對外開放。

　　第二，對數據風險進行評估。針對靜態數據的保護體系是否完善的，針對動態數據，自身存在哪些脆弱的風險，有沒有方法去控制和屏蔽。

　　還要建立一個數據安全風險的監測體系，時刻監控由哪些人，用什麼樣的方式在獲得你的數據。形成的數據流向，流到了什麼地方。這樣才能瞭解整個數據資產的狀態，以及數據安全的風險。

　　結合掌控的這些信息，可以再對數據安全進行管控。在數據暴露面去控制哪些人，以何種權限來訪問。同時，發現異常的數據流能夠即使阻斷。

　　最後是針對數據本身的安全的策略。比如四級的數據，我們規定它需要脱敏、加密，監測它是否達到了要求。通過這樣的方式，我們就構造了整個數據安全體系。

　　數據安全治理體系

　　數據安全治理非常重要，它是數據泄露、數據濫用、數據違規共享的一個卡點。傳統的數據安全治理，更多時候提到的是靜態數據的治理，業界很少去談動態數據暴露面和數據流的治理。

　　而治理動態數據，可以有效的控制數據安全風險。

　　以數據暴露面為例，我們可以去分析暴露面的生命週期。最典型的一個案例：我們的一個客户突然發現一個新增的四級暴露面，經過調查得知，是內部的員工覺得數據值錢了，自己偷偷寫了一個後門代碼，然後竊取數據。

　　當敏感數據產生後，主動把敏感數據推送到這名員工設置的後門服務器上。但是這樣就會產生一個全新的數據暴露面，當我們發現了這個點，然後去調查，就可以發現重大的研發後門。

　　互聯網上有大量的數據暴露面，我們和很多監管部門做過檢測，在互聯網上非常重要的個人數據都能直接拿到。

　　最簡單的，比如人臉數據。大家今天到哪裏都有人臉認證，我們測試過很多人臉系統，通過接口暴露面可以拿到所有的人臉數據。經過測試，這些人臉數據可以過掉所有的系統，包括門禁系統。

　　這種暴露面的風險非常大，黑灰產大量從這裏竊取數據，但是並沒有引起業界足夠的重視和關注。

　　最後，我們希望每個企業都能真正的把自己的數據狀態，數據流動的態勢搞清楚。

　　知道自己重要的數據是哪些，在哪裏，會從哪裏暴露，暴露點上有什麼樣的脆弱性和安全問題；每天有什麼人，用什麼方式在獲得這些數據。這些人的行為是否可信，是否安全；這些人的權限如何，他的賬號是否丟失。

　　圍繞這樣一個體系，建立企業對自身數據流動的管控能力，最後才能保證企業的數據安全，也能保證每一個人的數據的安全。