當前我國正處于網(wǎng)絡(luò)全面融合覆蓋現(xiàn)實生活的大數(shù)據(jù)時代，隨著社交網(wǎng)絡(luò)的逐漸成熟，移動互聯(lián)網(wǎng)的迅速提升，云計算、物聯(lián)網(wǎng)等應(yīng)用的快速發(fā)展，網(wǎng)絡(luò)大數(shù)據(jù)正通過信息的流動和共享改變著人們的生活方式、認知觀念與思維模式。與此同時，以用戶需求和業(yè)務(wù)發(fā)展而匯聚起的海量個人信息成為大數(shù)據(jù)環(huán)境中最重要的內(nèi)容之一，也因此成為了數(shù)據(jù)產(chǎn)業(yè)爭先搶奪的資源。

　　近年來，因個人信息遭受侵害引發(fā)了諸多典型案件，公眾對于個人信息保護的呼聲愈高，國家及行業(yè)監(jiān)管部門密集出臺相關(guān)法律規(guī)范企業(yè)收集、處理、共享個人信息的行為邊界，但現(xiàn)實情況是，個人信息依舊沒有得到有效的防護。大數(shù)據(jù)時代的個人信息保護具有怎樣的特征？安全防護面臨怎樣的難題？《個人信息保護法》實施之后企業(yè)應(yīng)該怎么滿足合規(guī)要求？近日，安全牛邀請到了北京數(shù)安行科技有限公司創(chuàng)始人兼CEO王文宇先生，就當下的個人信息保護新要求和新舉措進行了深度探討。

　　01

　　安全牛：大數(shù)據(jù)時代，對個人信息的保護產(chǎn)生了哪些變化和影響？

　　王文宇：

　　在紙質(zhì)辦公時代，針對個人信息的收集較少，流動范圍較小，一般通過簽署保密協(xié)議的方式進行保護。進入互聯(lián)網(wǎng)時代，企業(yè)基于經(jīng)營發(fā)展訴求大規(guī)模收集個人信息，個體為了獲取便利性服務(wù)接受企業(yè)收集個人信息，碎片化的單體個人信息價值還未得到凸顯。來到大數(shù)據(jù)時代，大量的個人信息形成整體化數(shù)據(jù)時，其中蘊含的商業(yè)價值開始體現(xiàn)出來，比如，從大量個人信息中分析出群體的行為、消費習(xí)慣以及對市場的影響，進而企業(yè)根據(jù)數(shù)據(jù)做出市場調(diào)整，獲得經(jīng)濟收益。這也使得越來越多行業(yè)和企業(yè)將注意力集中在個人信息的收集和挖掘利用上，不法分子更是從中嗅到了商機，使用各種手段非法竊取個人信息并進行倒賣牟利。

　　長期以來，企業(yè)通過建立安全檢測與響應(yīng)機制、在企業(yè)內(nèi)外網(wǎng)處部署對應(yīng)的安全產(chǎn)品來范網(wǎng)絡(luò)入侵、拖庫等惡意黑客攻擊行為，并以此保護所收集的個人信息不被竊取。但是在大數(shù)據(jù)時代，數(shù)據(jù)價值要釋放出來，就需要打破個人信息的孤島式數(shù)據(jù)服務(wù)提供方式，加速開放和共享。面對多維度的個人信息，不同行業(yè)不同需求的個人信息使用，各企業(yè)對個人信息相關(guān)的業(yè)務(wù)線條復(fù)雜化，給個人信息保護帶來新的挑戰(zhàn)。

　　在公安部2020年公布的十起侵犯公民個人信息違法犯罪典型案件中，有2起是測試工程師導(dǎo)致，2起是暗網(wǎng)，4起是機構(gòu)內(nèi)鬼，2起是合法使用信息的內(nèi)部人對信息的非法擴散。從這組數(shù)據(jù)中可以看出，內(nèi)部威脅在個人信息侵害中占比很大，過度采集、隨意傳播、無序濫用個人信息的行為，讓原本由業(yè)務(wù)需要而收集的個人信息，在幾經(jīng)轉(zhuǎn)手后，可能轉(zhuǎn)到競爭對手方，也可能流入詐騙犯罪分子之手。如果將個人信息嚴防死守來徹底杜絕濫用和外泄，則陷入了本末倒置的另一個極端，被框死的數(shù)據(jù)將因此“失活”，企業(yè)也會陷入業(yè)務(wù)升級的瓶頸。因此在大數(shù)據(jù)時代，平衡數(shù)據(jù)開放共享與個人信息保護，才能推動數(shù)據(jù)產(chǎn)業(yè)的健康發(fā)展。

　　另一方面，正是因為有太多的個人信息遭到濫用和泄露，以此導(dǎo)致的精準營銷、大數(shù)據(jù)殺熟、網(wǎng)絡(luò)詐騙等等事件給公民人身財產(chǎn)安全和社會穩(wěn)定造成了極大負面影響，為防范這些風(fēng)險，必須借助法律手段嚴格規(guī)范企業(yè)收集、存儲、共享、使用個人信息的行為。我國目前已形成一套相對完善的個人信息保護法律體系，涵蓋《民法典》《刑法》《未成年人保護法》《電商法》《網(wǎng)絡(luò)安全法》《廣告法》《消費者權(quán)益保護法》《數(shù)據(jù)安全法》及《個人信息保護法》等。

　　企業(yè)收集的個人信息是否能得到有效保護，一定程度上取決于企業(yè)的數(shù)據(jù)安全管控水平，企業(yè)應(yīng)承擔(dān)起保護用戶個人信息的義務(wù)，遵守個人信息保護相關(guān)法律法規(guī)，謹守合規(guī)紅線。法律完善之后，監(jiān)管高壓并不是兒戲，《個人信息保護法》中對違法處理個人信息作出的處罰規(guī)定明確，情節(jié)嚴重的，將會被沒收違法所得，至高處五千萬或上一年度營業(yè)額5%的罰款，責(zé)令暫停業(yè)務(wù)或停業(yè)整頓；吊銷業(yè)務(wù)許可或營業(yè)執(zhí)照；直接責(zé)任人員至高將被處罰款一百萬元，及被禁止擔(dān)任董監(jiān)高或個人信息保護負責(zé)人。這樣的處罰力度已經(jīng)超過以嚴苛著稱的歐盟GDPR，業(yè)務(wù)停擺與巨額罰款都將是企業(yè)無法承受之痛，主動開展個人信息相關(guān)的強化保護工作將是企業(yè)未來的新常態(tài)。

　　02

　　安全牛：個人信息的存在形式和維度多樣化，應(yīng)該從哪些環(huán)節(jié)進行保護？

　　王文宇：

　　《個人信息保護法》對個人信息的概念和范圍進行了明確，個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。同時還強調(diào)了對于個人信息中“個人敏感信息”的重點保護，包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。

　　在《個人信息保護法》中，明確了對個人信息的處理規(guī)則。個人信息的處理是指以自動化方式或人工方式對個人信息進行的操作，包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。數(shù)據(jù)作為信息的表現(xiàn)形式和載體，在針對個人信息的一系列處理活動中，同一數(shù)據(jù)將會表現(xiàn)為文本、表格、圖片、音頻等不同形態(tài)；同時，存儲和使用數(shù)據(jù)的位置也會隨之變動，流轉(zhuǎn)擴散到不同的數(shù)據(jù)庫、終端設(shè)備、系統(tǒng)接口、供應(yīng)鏈等等環(huán)節(jié)中。正是這種數(shù)據(jù)運營過程中數(shù)據(jù)位置和形態(tài)的多樣性特征，驅(qū)使對個人信息的保護必須要覆蓋數(shù)據(jù)的全生命周期。這種“全生命周期”并不止于籠統(tǒng)的數(shù)據(jù)“由生到死”的全過程，還需要精確到單個數(shù)據(jù)在其整個生命周期內(nèi)的流動，無論其跨域流轉(zhuǎn)或改變形態(tài)，都需要具備一致性的跟蹤與防護。

　　03

　　安全牛：為什么企業(yè)在部署了層層的網(wǎng)絡(luò)安全、數(shù)據(jù)防護類產(chǎn)品之后，依舊還是會發(fā)生個人信息濫用甚至外泄等事故？

　　王文宇：

　　現(xiàn)有的針對個人信息保護的主要方式包括傳統(tǒng)安全、數(shù)據(jù)庫安全、數(shù)據(jù)防泄漏（DLP）、終端加密以及UEBA等等。以防火墻/下一代防火墻為代表的傳統(tǒng)安全手段主要用于抵御外部攻擊，帶有一定的數(shù)據(jù)安全檢測和管控的能力，但缺乏對內(nèi)部數(shù)據(jù)流動的響應(yīng)和保護機制。數(shù)據(jù)庫安全手段主要著重解決結(jié)構(gòu)化數(shù)據(jù)的安全問題如運維、審計、加密、脫敏等，面對非結(jié)構(gòu)化數(shù)據(jù)及其流動過程難以進行有效保護。數(shù)據(jù)防泄漏（DLP）以邊界保護為主，重在對外發(fā)的個人信息進行安全監(jiān)控或保護，不能保障個人信息在內(nèi)部不同終端、不同服務(wù)器、業(yè)務(wù)系統(tǒng)之間的流動安全。

　　終端加密手段對落地到終端的數(shù)據(jù)進行加密，重在非結(jié)構(gòu)化數(shù)據(jù)的靜態(tài)存儲保護，結(jié)構(gòu)化數(shù)據(jù)如個人信息等無法保護，不能在數(shù)據(jù)流動過程中平衡安全與業(yè)務(wù)。UEBA能夠發(fā)現(xiàn)并保護內(nèi)部數(shù)據(jù)的異常使用和安全威脅，但對數(shù)據(jù)從生產(chǎn)到運維，從前端到后端整個生命周期中的流動安全沒有保障。

　　綜上所述，現(xiàn)有的個人信息保護方式在一定程度上能夠保護個人信息，但存在以下短板：重在保護結(jié)構(gòu)化數(shù)據(jù)，在處理非結(jié)構(gòu)化數(shù)據(jù)方面存在空缺；主要解決數(shù)據(jù)在單個域內(nèi)的安全，沒有對不同域之間的數(shù)據(jù)流動進行保護；集中解決數(shù)據(jù)單個時期的安全問題，比如數(shù)據(jù)靜態(tài)存儲安全，或者監(jiān)控數(shù)據(jù)檢索、查詢；保護了前端數(shù)據(jù)的存儲、使用安全，但對前后端整個運維過程缺乏監(jiān)管。

　　正因為傳統(tǒng)手段聚焦于解決數(shù)據(jù)在單一狀態(tài)、單個域內(nèi)、單個時期的安全問題，缺乏對數(shù)據(jù)整個流轉(zhuǎn)和處理過程的持續(xù)關(guān)注，層層堆疊的安全產(chǎn)品反而形成了新的數(shù)據(jù)安全孤島，不同的產(chǎn)品邏輯無法銜接為一致的策略，導(dǎo)致整個網(wǎng)絡(luò)、系統(tǒng)在加持重重枷鎖后，在海量數(shù)據(jù)高速流轉(zhuǎn)的復(fù)雜業(yè)務(wù)環(huán)境中，依然會面臨個人信息等關(guān)鍵數(shù)據(jù)的無序流轉(zhuǎn)和濫用。

　　04

　　安全牛：對于企業(yè)來講，當前開展個人信息保護的難點在哪里？

　　王文宇：

　　大數(shù)據(jù)時代的特征決定了，數(shù)據(jù)只有流動起來才能發(fā)揮其最大的價值。當數(shù)據(jù)孤島被打破，企業(yè)業(yè)務(wù)線條復(fù)雜化，個人信息既可能在特定的業(yè)務(wù)服務(wù)流程中使用，也可能在不同的業(yè)務(wù)之間流動使用。因此，在數(shù)據(jù)流動中保護個人信息，是個人信息保護的重點。這要求企業(yè)建立一致性的數(shù)據(jù)安全策略，保證數(shù)據(jù)無論是在數(shù)據(jù)庫、服務(wù)器、終端亦或是被調(diào)用時，都能不留死角地評估數(shù)據(jù)處理過程的安全風(fēng)險并執(zhí)行對應(yīng)的防護措施。與此同時，安全防護不應(yīng)該以犧牲業(yè)務(wù)的順利開展為代價，深入業(yè)務(wù)執(zhí)行內(nèi)嵌進行防護，同時與業(yè)務(wù)解耦，是大數(shù)據(jù)時代個人信息保護的目標。

　　05

　　安全牛：隨著個人信息保護的需求不斷增長，有哪些新的技術(shù)方案出現(xiàn)？

　　王文宇：

　　針對當前個人信息保護的新形勢，數(shù)安行提出基于數(shù)據(jù)運營安全理念、結(jié)合AI技術(shù)的個人信息保護方案。所謂數(shù)據(jù)運營安全，即DataSecOps，旨在不影響數(shù)據(jù)業(yè)務(wù)流程正常運行的情況下對組織內(nèi)的敏感數(shù)據(jù)資產(chǎn)進行有效保護，在數(shù)據(jù)的運營過程中內(nèi)嵌安全屬性，對敏感數(shù)據(jù)的擴散及濫用風(fēng)險進行快速響應(yīng)。融合該理念建立“診療一體”的數(shù)據(jù)運營安全平臺，管理跟蹤各種類型、各種來源的個人信息數(shù)據(jù)及其使用變化過程，建立數(shù)據(jù)資產(chǎn)全景視圖，實時感知數(shù)據(jù)違規(guī)使用及流轉(zhuǎn)風(fēng)險，基于數(shù)據(jù)角色及用戶風(fēng)險進行自適應(yīng)的精準動態(tài)防護，核心功能如下：

　　全類型AI個人信息梳理：對各種類型的個人信息進行深度識別，從個人信息本體特征、行業(yè)特性、合規(guī)性等角度，結(jié)合機器學(xué)習(xí)對個人信息進行梳理，主要包括：1）用戶的姓名、電話、身份證等基礎(chǔ)屬性，以及與業(yè)務(wù)緊密關(guān)聯(lián)的個人信息，比如在電信運營中的通話數(shù)據(jù)、位置數(shù)據(jù)等等；金融行業(yè)中的賬戶信息、財產(chǎn)信息、借貸信息等。2）信息以結(jié)構(gòu)化、半結(jié)構(gòu)化、非結(jié)構(gòu)化等多形態(tài)方式，或在數(shù)據(jù)庫中存儲，或轉(zhuǎn)為辦公文檔方式流轉(zhuǎn)，或在內(nèi)部業(yè)務(wù)流轉(zhuǎn)過程中進一步進行格式轉(zhuǎn)換、數(shù)據(jù)的解析等等。3）新網(wǎng)絡(luò)形態(tài)、新技術(shù)的應(yīng)用，所衍生出的新數(shù)據(jù)類型、數(shù)據(jù)生產(chǎn)方式、數(shù)據(jù)處理方式。

　　數(shù)據(jù)鏈的全運營周期追溯：對現(xiàn)有的數(shù)據(jù)流轉(zhuǎn)路徑以及新興的數(shù)據(jù)流進行追溯管理，建立個人信息與主體的映射關(guān)系；個人信息在流動中的原文流轉(zhuǎn)、變形流轉(zhuǎn)的血緣關(guān)系；記錄個人信息的版本、狀態(tài)、位置以及軌跡，形成個人信息數(shù)據(jù)流全生命周期的流動畫像，對個人信息的流轉(zhuǎn)、擴散進行全視角的風(fēng)險態(tài)勢感知和合規(guī)性管控，從數(shù)據(jù)流的鏈路中保護個人信息。追溯個人信息在企業(yè)中流動，主要包括三個方面：

　　1）廣泛的流動。這和企業(yè)業(yè)務(wù)線條復(fù)雜化有關(guān)。既有一些個人信息集中式在特定業(yè)務(wù)系統(tǒng)中處理分析，也有一些個人信息隨著不同部門、不同業(yè)務(wù)需求在網(wǎng)絡(luò)中向不同的業(yè)務(wù)系統(tǒng)流動。通過對廣域分布的個人信息流動進行追溯管理，感知個人信息的風(fēng)險態(tài)勢。

　　2）基于生命周期數(shù)據(jù)鏈的個人信息流動。個人信息流動從產(chǎn)生、收集、存儲、使用、共享到銷毀，在數(shù)據(jù)鏈的每個節(jié)點上，抓取個人信息的軌跡。個人信息在不同的業(yè)務(wù)流程中使用，在不同的業(yè)務(wù)服務(wù)器之間流轉(zhuǎn)，以及不同域之間流動，以數(shù)據(jù)與業(yè)務(wù)的運營周期為牽引，追溯個人信息，保護全數(shù)據(jù)鏈的流動安全。

　　3）新技術(shù)下個人信息多流轉(zhuǎn)路徑追溯。為了挖掘數(shù)據(jù)價值，企業(yè)自身在進一步尋求打破內(nèi)部業(yè)務(wù)壁壘的方式；同時，隨著大數(shù)據(jù)時代、5G時代的數(shù)據(jù)開放共享，網(wǎng)絡(luò)環(huán)境趨于開放，數(shù)據(jù)流也愈來愈多，企業(yè)需要追溯各流轉(zhuǎn)路徑，突破傳統(tǒng)的數(shù)據(jù)邊界，保障數(shù)據(jù)的可控性。

　　自適應(yīng)精準防護：分布于各業(yè)務(wù)、各域的個人信息，以及在數(shù)據(jù)運營過程中流動的個人信息，如果保護力度不當，會造成新的難題。比如，保護力度弱，達不到安全要求，則個人信息安全無法保障。保護力度過強，可能影響業(yè)務(wù)的持續(xù)性，導(dǎo)致本來正常流轉(zhuǎn)的業(yè)務(wù)被中斷。由此，通過數(shù)據(jù)運營全周期的特征追蹤與數(shù)據(jù)分析，對個人信息進行數(shù)據(jù)分布采集、流動追溯，感知個人信息的風(fēng)險態(tài)勢，基于機器學(xué)習(xí)，對各類事件和風(fēng)險進行分析和分診，結(jié)合用戶使用場景、安全基線以及風(fēng)險活動，從響應(yīng)時間到響應(yīng)力度，形成適合數(shù)據(jù)運營業(yè)務(wù)安全的按需保護響應(yīng)機制。

　　06

　　安全牛：數(shù)據(jù)運營安全會替代傳統(tǒng)的安全防護手段嗎，未來的個人信息保護技術(shù)會怎樣發(fā)展？

　　王文宇：

　　眾多的安全防護手段均有其用武之地，能夠在一定范圍或一定要求內(nèi)解決安全防護問題，并非彼此替代的關(guān)系，而是能力補齊與激活賦能的發(fā)展形勢。數(shù)據(jù)運營安全遵循了個人信息保護的合規(guī)性要求，是當前階段個人信息保護訴求下的一種思路和方案。而隨著對個人信息的保護上升到法制階段，企業(yè)的安全舉措將進入常態(tài)化局面，建立一個以數(shù)據(jù)運營為中心的數(shù)據(jù)安全體系，為客戶提供全場景的數(shù)據(jù)運營安全防護解決方案是未來的目標。

　　比如可以將個人信息等敏感數(shù)據(jù)資產(chǎn)的識別及分類能力、敏感數(shù)據(jù)的全流程標注跟蹤能力、擴散風(fēng)險的態(tài)勢感知報告以及自適應(yīng)工具箱的防護能力對外輸出，和其他品類的安全產(chǎn)品和應(yīng)用系統(tǒng)實現(xiàn)能力的共享和有機流動，一方面可以將安全能力進行擴展延伸，另一方面也可以對用戶的存量系統(tǒng)和產(chǎn)品進行能力激活，重新發(fā)揮這些產(chǎn)品在數(shù)據(jù)運營中的防護效果。

　　當下，個人信息保護正逐漸跨過“盲人摸象”的草莽階段，開始朝著“看見風(fēng)險、看清風(fēng)險、靈活管控風(fēng)險”的路徑發(fā)展，需要大力推進研發(fā)數(shù)據(jù)安全診療一體的解決方案，讓企業(yè)的個人信息保護不再囿于產(chǎn)品堆疊、各自為陣的割裂狀態(tài)。在一體化方案中，圍繞一致性安全策略的原則，使用無感數(shù)據(jù)安全沙箱、微隔離存儲等技術(shù)，可為企業(yè)建立自適應(yīng)的數(shù)據(jù)使用環(huán)境，無需對現(xiàn)有網(wǎng)絡(luò)及應(yīng)用做任何改造，既不影響業(yè)務(wù)的流程，同時也將促進數(shù)據(jù)快速流轉(zhuǎn)及安全協(xié)作共享，讓企業(yè)數(shù)據(jù)安全建設(shè)及運營從成本支出項轉(zhuǎn)變?yōu)榻当驹鲂У挠欣e措。

　　未來的個人信息保護需要注重公共利益與個人隱私保護的平衡，個人隱私的讓渡應(yīng)當基于保障社會公共利益的必要，在合理的限度內(nèi)限制個人權(quán)利的行使，但不意味著個人信息可以被無限度無規(guī)則地使用。即使是基于社會公共利益的需要，個人信息的公開也必須在必要合理范圍內(nèi)，如果超出必要邊界，隨意泄露個人信息，甚至是惡意傳播，給信息主體造成損害或其他不利后果，信息控制者和傳播者也應(yīng)當承擔(dān)相應(yīng)的法律責(zé)任。進一步講，筑牢個人信息保護的安全邊界，除了企業(yè)保護責(zé)任的建立和落實，還離不開監(jiān)管要求與用戶意識等層面的共同推進。監(jiān)管機構(gòu)應(yīng)加大監(jiān)管和處罰力度，并為用戶提供便利的維權(quán)渠道；用戶則應(yīng)提升自身個人信息保護意識，提升數(shù)字素養(yǎng)。

　　安全牛評

　　《個人信息保護法》的實施對個人信息處理者提出了法律維度的要求。《個人信息保護法》更注重個人信息使用、流轉(zhuǎn)上的安全性。大數(shù)據(jù)時代的特性是數(shù)據(jù)流轉(zhuǎn)，因此不應(yīng)該為了安全而選擇將個人數(shù)據(jù)變成一個個的“信息孤島”，而是需要從管理、人治的角度，實現(xiàn)個人信息全流程管理，DataSecOps的應(yīng)用價值開始顯現(xiàn)。

　　大數(shù)據(jù)時代對個人信息保護帶來了挑戰(zhàn)，同時也帶來了機遇。海量數(shù)據(jù)促進了模型訓(xùn)練優(yōu)勢的發(fā)揮，也為人工智能技術(shù)在個人信息防護領(lǐng)域應(yīng)用提供便捷，因此未來個人信息保護一定是人機結(jié)合的安全防護，讓個人信息安全流轉(zhuǎn)起來。