杭州都市網

近年來,隨著全球信息化和數字化程度的不斷加深,人類的生產生活方式正在發生深刻的變革,全球各行業都在加速數字化轉型的進程。而作為時代高速發展的核心動力,“數據”的價值得以凸顯,爆發式增長,海量聚集的數據一面成為各行業的核心競爭力,一邊也正在帶來日益突出的數據安全風險。

數據篡改、偽造、泄露、濫用,與針對企業數據的攻擊、竊取、倒賣和劫持等安全事件層出不窮,如何保護數據安全已經成為當下各行業企業最為嚴峻的安全考驗。

以金融行業舉例來看,金融行業在國民經濟發展中占據著十分重要的地位,而作為數據密集型和科技驅動型行業,金融行業自身業務價值高,涉及資金、個人信息、征信信息等十分重要的數據,這些價值極高的個人金融信息數據正在成為不法分子緊盯的重點對象。

根據中國互聯網協會發布的《中國網民權益保護調查報告》,有78.2的網民個人身份信息,63.4的網民網絡金融交易記錄都曾被泄露過。近年來,每年發生的金融隱私泄露事件大約以35的速度增長,據統計,2016年公開報道的金融隱私泄露事件1093起,2017年1511起,2018年1967起,2019年2300余起,2020年這個數字還在急劇增長。

為什么我國金融行業用戶隱私保護屢屢失利?

中國銀行保險報在近日發布《金融行業網絡安全白皮書》中指出,金融行業數據保護主要存在數據安全相關法律法規體系不健全、金融行業業務場景復雜,以及5G、AI等新興技術帶來新的安全風險等多重挑戰。

首先,在法律法規層面上看,相比國際,我國數據安全和隱私保護相關立法起步較晚,盡管今年國家已經就《中華人民共和國數據安全閥草案》和《中華人民共和國個人信息保護法草案》開始公開征求意見,行業監管機構也陸續發布了個人金融信息相關的安全標準,但總體來看,我國尚未形成嚴謹的金融隱私保護法律體系,針對各機構和平臺主要以行政處罰為主。相較其他各國動輒開出數億美元的天價罰單而言,難以對企業形成有效震懾,推動企業對數據安全保護引起重視。

其次,在技術層面來看,5G等新技術的快速應用給金融隱私保護帶來了更多的風險挑戰。截至2019年12月,微信公眾號“APP個人信息舉報”上共收到了網民舉報信息12125條信息,涉及2300余款app;其中移動金融app是違規手機使用個人信息的重災區;云計算和大數據為大數據分析提供便利的同時,也匯集了大量高價值數據,成為黑客攻擊的重點目標。

最后,金融行業復雜多樣化的業務場景也是導致數據保護困難重重的重要原因,隨著業務的不斷發展,金融機構的業務系統每每多達幾百上千個,應用場景繁多,其中承載著大量的客戶基礎信息,業務交易數據、業務產品數據、企業經營數據、機構數據、認證信息、生物特征信息、企業員工信息等大量業務和系統數據。由于這些數據需要在各個系統之間不同的流轉,在數據流轉的每一個環節都存在著被篡改、泄露的風險。

主要金融機構數據安全領域控制實施情況

據調查顯示,當前金融行業主要采取的數據安全防護手段仍然是傳統的針對數據本身的保護,而在數據流通的過程中針對數據共享的安全防護手段,仍然處于缺失的狀態,只有少量頭部金融機構在進行相關的試點和應用嘗試。

但事實上,數據的最大特征就是流動,只有流動中的數據才能創造價值。以傳統防火墻或是基于終端與邊界的防護產品無法對流動中的企業數據起到防護作用。

如何根據企業的業務情況來構建一套動態的體系化的長效安全運營機制,來實現針對企業數據全生命周期的安全管理策略落地,國內許多安全廠商都在圍繞這一思路展開探索。

數據運營安全——對數據業務全流程映射管理與安全防護

不久前,國內新一代數據安全技術創新廠商數安行從數據運營的角度重新理解數據安全問題,在國內首先提出數據運營安全DataSecOps的防護理念,為數據運營內嵌數據安全屬性,通過數據運營安全平臺構建全流程的數據自適應訪問控制和防護規則體系。

數據運營安全旨在以不影響數據業務流程正常運行的情況下更有效的保護政企組織內的敏感數據資產,對敏感數據的擴散及濫用風險進行快速響應,將數據安全防護策略傳遞至參與數據運營的所有人員。安全防護與數據業務獨立運行互不影響,讓數據安全高效的創造價值。

數據運營安全的解決思路,要求以數據運營為中心,對數據存儲及業務全流程進行無改造映射,安全防護與數據業務獨立運行互不影響,實現真正的安全防護為數據運營服務,促進數據安全有效流轉,及時感知敏感數據擴散風險,杜絕各種違規濫用行為,對各種惡意泄密及攻擊竊取等危險事件進行快速響應。

零信任數據運營安全平臺原理圖

數安行認為,數據安全風險產生于數據運營中的各個環節,安全防護措施不應該一味盯著系統和網絡的安全,而是應該回歸到問題的本質,以數據為核心,圍繞數據運營的全流程來建設安全防護體系。

數據運營安全與零信任架構的有機整合

據數安行CEO王文宇介紹,數安行基于零信任架構理論,打造了數據運營安全平臺,將數據運營安全的思維產品化,以人工智能為核心驅動,通過對數據業務全流程進行無改造映射,在不改變網絡架構、不改造業務的情況下,從數據本體防護角度出發,提升數據運營過程中數據自身的安全性,保證數據運營過程中數據的安全。

數安行在對重要業務的訪問保護以及重要數據的隔離防護上都使用了零信任的安全架構,實現敏感數據的主客體準確識別及風險動態評估,以及對各種風險的及時響應處置。零信任的本質是“持續驗證,永不信任”,對身份的驗證和對環境以及用戶的風險評估是零信任的基礎,也是數據運營安全的基礎之一,兩者具備有機整合的底層邏輯基礎。

數安行數據運營安全平臺會對敏感數據內容及使用環境進行持續的檢測分析,對于使用數據的主體用戶也會進行身份角色驗證和持續的風險評估,讓平臺擁有了對用戶身份及授權設備進行管理和雙重驗證的能力。

有了對敏感數據和用戶身份及風險的檢測識別能力,就可以準確地識別內部的擴散風險和違規濫用風險。默認所有的人和環境都是不可信的,而且信任狀態也是持續變化的,基于這種持續的、動態的風險評估,才能真正實現自適應的安全防護。

平臺能夠為企業提供自動化的數據價值發現及數據安全服務,實現隱私數據保護、商業秘密保護和數據業務的有效平衡,幫助用戶管理跟蹤多種類型、各種來源的個人隱私數據及商業數據,促進各類數據角色的跨職能協作,滿足數據使用的法律合規要求,自動感知數據擴散及違規濫用風險。

“數安行的價值在于,我們正在建設一個能夠真正實現數據運營安全的生態體系,為客戶提供全場景的數據運營安全防護解決方案,讓數據安全地創造價值”王文宇表示。