我們的世界正在進入一個奇怪的分裂狀態：一方面人們為大數據時代即將在各個領域發生的革命性進步而激動難眠，另一方面人們也在為數據安全和隱私保護問題擔心得睡不著覺。

圍繞大數據的創新和安全，各種政策、法律、標準、產品和學術研究表現出空前的熱情。然而眼花繚亂的聲音卻使人們陷入了混亂，陷入了數據恐慌。如果我們不能盡快找到清晰的思路，不能盡快找到方法實現圍繞大數據的發展與安全之間的平衡，我們可能喪失人類歷史上迄今為止最大的一次發展機會，或者陷入最大的安全危機。本文要討論的，就是大數據時代下該如何進行數據治理的基本抓手與核心思路。

若干基本認識

關于數據安全，我們需要首先建立一些基本認識。

首先，數據本身無罪，有罪的是數據沒有被安全地保護或使用。大數據時代，每個角落都在產生數據，而這些數據正是新時代人類的財富：我們不僅依靠這些數據提供更精準貼心的服務，更依賴這些數據實現醫療、健康、教育、安全、環境保護等各方面的革命性進步。可是人們擔心個人隱私在這一過程中被窺探，對似乎無所不在的數據采集記錄行為無法忍受。但是回想一下，人們曾經在日記里寫下自己最私密的事情、人們在自己的手機或計算機中存儲自己的私密照片或信件、人們在很多政府部門的系統里存儲自己的各種生物特征信息、人們在醫院的系統里存儲自己各種病情細節、人們向心理醫生傾訴自己的內心等等，這些時候為什么不擔心隱私泄露呢？因為這些情況下我們覺得自己的隱私數據是不會被泄露的，雖然事實上也存在風險。所以，其實數據本身是無罪的，人們擔心的是數據擁有或者處理者不能保護好數據或者濫用數據。因此，今天我們談到隱私保護的時候，不應該只關注法律層面的隱私條款和限制信息采集，而應該更加優先關注如何提高所有擁有數據的組織的數據安全水平，確保它們手里的數據不會被竊取或者濫用。“用戶畫像”、“精準營銷”不等于就會侵犯隱私，關鍵看具體實現的方法和管理措施。

其次，誰都不信任的話，用戶的安全可能會更加糟糕。越來越多的人似乎傾向于“誰都不信任”，甚至一些研究也在朝著這個方向努力。但是在今天除非你不生活在人類社會中，否則這種思路反而讓你陷入到更加不安全的地步。私密數據放在自己的手機上或者服務器上就更安全嗎？除非手機或者服務器從來不用任何形式和網絡發生連接，否則對網絡攻擊者來說，這些安全防護相對更弱的地方恰恰是更容易的目標。當然，如果你就認為自己能夠永遠打敗全世界所有的網絡攻擊者那也行。那么不使用任何電子產品不行嗎？就算假設未來這樣做依然可以生活，答案也是不行，因為用電的數據、看病的數據、出門走路的數據等都會被別人記錄在別的地方。所以，如果我們不相信所有提供服務的企業或組織，我們也不能相信第三方機構因為他們的安全能力未見得更好，我們也不能相信自己能夠抵抗全世界的網絡攻擊者，那怎么辦？

第三，安全也需要數據。我們擔心泄露了自己的數據所以不安全，可是反過來，如果沒有數據的話我們也無法得到安全保護。徐玉玉案件因為壞人偷了她的相關數據而產生了危害，章盈穎案件我們則多么希望好人知道她的位置信息從而能幫助到她。追蹤老人或者兒童的位置信息可以防止他們走失，野外應急救援也需要位置信息，急救大夫需要病人的隱私健康信息才能救命，通過檢測用戶是否短時間在不同的城市登錄系統是今天幾乎所有產品判斷用戶賬戶是否被盜的基本手段……

第四，我們要解決的是“大數據時代下的數據安全”，而不是狹義的“大數據安全”。包括徐玉玉事件在內的各種案例，實際上都不是從所謂的“大數據”那里偷取數據的。網絡空間不存在物理位置的限制，因此現實中攻擊者更容易從各個安全薄弱的服務器或組織那里下手，而不是和防護嚴密的大型大數據公司對抗。以電商為例，猖獗的黑灰產絕大多數都是瞄準商家、獨立軟件供應商、物流等各個環節下手竊取訂單等信息，然后用于詐騙等活動。大數據時代，數據在開放、復雜、快速變化的業務和產品鏈條中高頻流動，數據成為復雜生態的每個環節中都無法剝離的部分。這是導致數據安全問題變得空前突出的根本原因，因為所有過去的數據安全方法基本上都失靈了。

大數據時代的數據安全包含哪些內容

目前存在的比較普遍的誤區是把系統安全等同于數據安全，也就是說，把防止網絡入侵帶來的數據被竊取，等同于數據安全的工作。實際上這只是數據安全很小的一部分內容。

今天我們說數據安全的時候，應該包括三方面的內容：防竊取、防濫用和防誤用。

防竊取比較容易理解，不過全世界多年來的共識是，來自內部的安全威脅總體上占2/3左右，要遠大于來自外部的威脅。根據電子商務生態安全聯盟的統計，在電商生態中這個比例還要更加懸殊。因此，即便是系統安全，也不能僅僅把防止外部攻擊導致的數據竊取作為全部工作，防止來自內部的入侵和數據竊取反而更加重要。

防濫用指的是防止數據被不正當使用，例如擁有數據的組織內部員工在無工作場景的情況下訪問用戶個人敏感數據。現實中，用戶的身份證信息、醫療檔案、購物記錄、財產情況等信息，都會存在各種組織的系統中。當用戶需要這些組織提供服務或者幫助的時候，這些組織的相應員工才可以根據用戶的授權來訪問這些數據。而如果這些組織中的員工未經用戶請求私自訪問這些數據，則屬于一種濫用行為。從已經破獲的并且披露的眾多電信詐騙案件中可以看出，大量內部人員濫用職權倒賣用戶信息，這些都屬于數據濫用的場景。目前大部分組織對這部分工作的意識淡薄、能力不夠，在技術上是能夠實現這類行為的監控的，配以制度的保障，可以有效遏制這類濫用行為。有些業務場景更加復雜一些，例如包裹郵寄單上顯示的收發件人的詳細信息，在整個包裹流轉過程中都面臨泄露風險（現實中這些信息都是網絡黑灰產收購的對象），即便這類場景也有“隱私面單”等相應的技術出現。防濫用也包括一個組織對外進行數據披露、數據共享、數據轉移等過程中的安全審核，這些審核工作確保這些行為合法，并且不會導致用戶或者組織自身的利益受損。臉書事件最早的問題就是出在這個環節。

防誤用指的是防止數據在加工過程中出現過失性泄露。人類正在進入定制化生產時代，這個時代的基礎之一是基于大數據的加工計算。大數據加工計算過程中如何做到不侵犯用戶個人隱私，就是典型的防誤用問題，顯然這個問題已經成為今天的典型突出問題了。實際上人們今天談之色變的“用戶畫像”、“精準營銷”等，早已經在普遍使用了，而且這些都是未來數字經濟、智慧城市和治理等工作必不可少的技術。只是到具體的實現層面，有沒有采用合適的制度和技術手段確保這些過程中不會泄露特定人的隱私，是今天每個組織需要回答的數據安全問題。在技術上這也不是無法做到的，有很多比較成熟的方法可以做到讓用戶感覺有個貼身秘書在為自己服務，但是實際上沒有人能夠在數據加工的全過程中窺探到特定用戶的隱私。可是在意識上，恐怕現在絕大多數組織在這方面還需要提高。

數據安全治理三原則

搞清楚數據安全要解決哪些問題、大數據時代下解決這些問題所面臨的主要挑戰，就可以梳理數據安全治理的核心思路了。簡單說，數據安全治理可以遵循“以數據為中心、以組織為單位、以能力成熟度為基本抓手”的原則。

以數據為中心

以數據為中心，是數據安全工作的核心技術思想。人們比較習慣的是以系統為中心的思想，即圍繞著一個數據庫、一個產品、一個網站、一個服務器等評價其安全性。這種思路主要適用于保護一個特定系統的正常工作狀態。但是在今天，數據在多個系統、產品、業務環節中頻繁快速流轉，這種以系統為中心的思想已經不能滿足數據安全的需求了。以數據為中心的安全，是將數據的防竊取防濫用防誤用作為主線，在數據的生命周期內各不同環節所涉及的信息系統、運行環境、業務場景和操作人員等作為圍繞數據安全保護的支撐。這時候，某個系統被入侵，并不等于數據安全的目標就遭到最終的破壞，反之某個單一環節的安全能力再強，也不代表整體數據安全保護的能力就夠好。

在數據生命周期的不同階段，數據面臨的安全威脅、可以采用的安全手段有可能很不一樣。例如，在數據采集階段，可能存在采集數據被攻擊者直接竊取，或者個人生物特征數據不必要的存儲面臨泄露危險等；在數據存儲階段，可能存在存儲系統被入侵進而導致數據被竊取，或者授權用戶無應用場景支持訪問用戶敏感數據，或者存儲設備丟失導致數據泄露等；在數據處理階段，可能存在算法不當導致用戶個人信息泄露等。把不同階段從不同角度面臨的風險放到一起進行綜合考慮，建立強調整體而不是某個環節安全能力，是以數據為中心的安全的核心思想。

以組織為單位

以組織為單位，是數據安全治理的核心管理思想。讀完前面的內容后應該容易理解，一個服務器很安全、一個手機應用產品很安全都不代表著要保護的數據安全。數據會在不同的服務器、產品、業務中流轉。而且從法律的角度來說，擁有或使用數據的組織才是承擔數據安全責任的主體。因此，雖然在大數據時代還有數據共享、數據轉移、數據交易等各種復雜的情況，但擁有或者處理數據的組織是所有這些活動的基本單元，因此也是數據安全治理的基本單位。

以組織為單位的數據安全治理，具體指的是數據在特定組織內全生命周期的安全，這個組織要對其負責。不論數據在這個組織中的生命周期涉及多少產品業務或人員，那些單個系統單個業務的安全都不說明問題，說明問題的應該是被最終衡量的這個組織的數據安全。一個組織的數據安全水平，可以作為其是否符合法律要求、特定事件中具備怎樣的責任、面向用戶贏取信任、面向行業適合處理的數據類型和規模等的參考依據。換句話說，政府或者行業可以以組織為單位進行數據安全管理，而不是某個產品的安全，一個組織要證明的是自己整個組織的數據安全水平，而不是自己的某個應用的安全。

以能力成熟度為基本抓手

用什么來衡量組織的數據安全呢？數據安全的能力成熟度可以作為基本抓手。

能力成熟度是一種經過考驗的方法，目前在越來越多的領域被應用，美國甚至制定了網絡空間安全能力成熟度戰略。數據安全能力成熟度模型，是借鑒能力成熟度的核心思想，結合數據在組織內的生命周期以及構成安全能力的關鍵要素而構建的。一個組織的數據安全能力成熟度等級，說明了這個組織在數據安全保護方面的綜合能力水平。而這個水平的高低，則可以用于數據安全治理的各種相關工作。例如，相關政府部門或行業主管部門，可以根據本行業的數據敏感度特點決定哪些數據類型或者多大的數據規模需要多高的數據安全能力成熟度水平，進而讓數據安全能力成熟度足夠的組織處理特定數據，從而實現本行業安全與發展的平衡；在數據共享、轉移、交易等過程中，法律可以規定數據擁有者有義務要求數據接受者提供自己足夠的數據安全能力成熟度水平，從而避免數據在流動過程中進入安全更差的組織，從而減少數據流動導致的安全失控；根據特定行業、特定數據類型以及特定時段數據安全威脅的具體情況，國家主管部門可以設定和調整特定領域數據安全能力成熟度的衡量標準和等級要求，從而實現整體數據安全狀態的可控；組織可以通過自己的數據安全能力成熟度水平，讓消費者用更加客觀量化的方法衡量自己是否值得信任等等。

實現良幣驅逐劣幣，讓數據安全成為競爭力。數據安全治理的核心目的，是實現安全與發展的平衡，讓大數據時代的發展能夠健康持續進行下去。數據安全治理最需要避免的情況，是用安全的名義扼殺了發展（這是更大的不安全），或者導致誰重視安全誰吃虧，最后產生了劣幣驅逐良幣的現象。

數據安全治理要避免過去那種自上而下的“管家式”管理模式，因為每一個企業、每一個組織都將離不開數據，數據安全問題并不是只需要關注那些大企業大產品就行了。可是政府從上而下管理數千萬家企業數千萬個組織是不可能有好的效果的，更不要說這是業務產品超級復雜并且快速變化的新時代。因此，需要建立的是自下而上的制度，讓組織自己有提升和證明自身數據安全能力成熟度水平的積極性，讓數據安全能力成熟度高的組織擁有更大的發展空間和競爭優勢，讓規范的第三方數據安全服務產業發展起來實現專業的數據安全服務和測評認證體系，由此形成良好的數據安全治理生態，提升全社會的數據安全水平

放在全球化的視野上看，如果我們做到這些，中國還將贏得在這個領域的全球影響力。因為中國不僅有龐大的數字經濟市場，而且在業務創新上領先全球。這意味著我們會遇到最豐富的場景，我們能夠積累最豐富最有說服力的經驗。因此我們有機會告訴和引領全世界，大數據時代下的數據安全治理究竟該怎么做，只要我們有這個意識和雄心。

除了數據治理安全，如何進行數據治理也很重要，這里可以看看億信華辰的數據治理產品。比如睿治中的數據安全無保障，數據權限劃分不清，敏感數據得不到監控，賬號權限無法追蹤，它都能幫你搞定。