Company News

炼石白小勇：免改造数据安全技术，破局信创安全升级难点

2023年7月13日，由中国计算机学会主办，中国计算机学会抗恶劣环境计算机专委会、江苏省企业联合会、江苏省互联网协会、中国计算机学会南京会员活动中心联合承办的“2023（第六届）CCF自主可控计算机大会”在江苏南京盛大开幕。本次会议以“共建自主可控信创基础，同促数智安全融合发展”为主题，全国政产学研用各界嘉宾齐聚一堂，共话信创产业发展新思路，同创自主可控技术应用新局面。炼石网络创始人、CEO白小勇受邀出席，并发表《信息化升级中的数据安全挑战与应对》的主题演讲。

关注炼石的本公众号（或从微信中搜索公众号：炼石网络CipherGateway）并后台回复关键词“炼石就是数据安全070”，即可打包下载《信息化升级中的数据安全挑战与应对》主题演讲PDF版高清文件。

信息化安全升级打响攻坚战。信息安全政策制定提供战略方向，促进经济制度不断完善，实现公平与双赢价值呈现帕累托改进（Pareto Improvement）经济学特征。从帕累托经济学原理看信息化安全演进阶段，可归类和推演出三个时期、一个转折点。2000-2015年为美国科技引领的全球化期，以数字证书为例，基于RSA等国外算法的PKI产品，占据国内网站的绝大部分市场占有率，此时自主可控等政策处于酝酿期。2015年迎来内循环转折点，从2013年开始，随着斯诺登陆续曝光美国“棱镜计划”和不断披露的“后门”事件，我国“十三五”规划中战略性提出自主可控战略方针，随着后续中美贸易摩擦不断升级，在信息技术领域暴露出“卡脖子”风险。因此，完善技术和产业供应链、改变受制于人的局面已成为体系化的坚定共识。2015年至2030年进入信息化安全升级扶持期，“十四五”国家信息化规划，创新引领高质量发展，政府出台相关政策补贴供给市场创新。信息化安全产业技术创新加速推进，应用推广和市场体系进一步增强。2030年之后信息化安全升级进入领先期，在政策加持下，自主可控体系驱于完善，产业链和供应链安全体系基本形成完整闭环，从技术、产品、应用、市场议价等层面形成较强综合竞争力，为数字经济提供基础支撑。

承载数据的业务载体在持续演进升级。十多年前，承载数据的业务载体是以网络终端为主，面向文档文件，数据安全建设的重点也是围绕着网络和终端去侧重展开。而今天信息化蓬勃发展，数据共享流转带来价值，业务载体也逐步演进为以应用系统为主，应用系统也会在企业信息化整体建设中占据最大比例预算。企业应用一般分为两类，一类是以安全为主导的“重安全应用”，需要不惜一切代价力保安全，可以仅仅为了安全需求而进行高成本重构；另一类是以业务为主导的“普通应用”，这类应用占比90%以上，安全需求是融合于常规业务应用中，和大量业务流程扭结缠绕，比如石油管网坐标信息，很敏感却又难以定密。当面向以业务为主导的普通应用开展数据安全建设，不论是加密脱敏、检测响应还是审计追溯，本质属于面向应用的功能性安全需求，需要在应用中融合实现，然而实际部署时会发现，数据安全的覆盖面和整个数据处理流程交织在一起，而通过改造应用以增强数据安全的成本极高，无法落地。尤其是对庞大复杂的存量应用系统进行改造，犹如给高速行驶的汽车更换轮胎，面临风险大、成本高、周期长、以及运行中断的巨大挑战。

从艰难防守者的视角审视数据安全增益。从攻防对抗的角度来看，一如游戏中最高级别的BOSS，最终都难逃被玩家打败的命运，道高一尺，魔高一丈，如果攻击者投入足够多的资源，理论上最终总能窃取到目标数据。甚至退一步看，假定技术上做到了无懈可击，但重金之下必有勇夫，数据也可以被人为泄露。因此，艰难的防守者或许永远无法构建出“绝对安全的防线”。但是，攻防对抗就像战争，其实本身就是双方消耗资源，好的防护手段是“十则围之、五则攻之”，创造局部优势以获得更好的战损比。防守方则需要评估技术手段、排序优先，用更少成本、消耗攻击者更多成本。进而，基于现实重新去思考其数据防护的价值所在，虽然无法杜绝数据泄露，但是可以积极采取技术防护手段，使攻击者对数据的窃取成本高于数据获利，从而让攻击者失去意义，这就是“有效的数据保护”。

应用改造成本抵消安全增益陷入两难困境。在数字化转型及数字经济产业发展中，不仅是CPU、操作系统、数据库等基础软件的升级，涉及广泛行业应用软件亟待升级替换是更大的市场空间，比如军工领域的PLM/MES/ERP软件等。这些巨大存量的应用软件普遍缺失内建密码安全机制，缺乏有效手段增强密码安全能力，因为无法破解开发改造模式成本极高、影响业务连续性，还有源代码维护等技术可行性挑战。这也意味着，应用改造带来的高难度、高风险、长周期，再叠加复杂的数据安全能力，使得企业投入成本在一定程度上抵消了安全带来的增益，企业数据安全建设面临“不改有风险、强改会要命”的两难困境。

免改造数据安全技术有效保护存量与新建应用。从不同阶段来看全国软件产品累计收入呈现逐年递增的趋势，十一五时期，收入为1.7万亿元，十二五时期为5万亿元，十三五时期为9.5万亿元，十四五时期为15.5万亿元，软件产品的爆增，显现出数据安全保护的强烈需求。免改造数据安全以面向切面技术为核心，实现安全与业务技术解耦、能力融合，对于已建立系统，内建数据安全能力，在数据流动的切面上重建安全规则，部署安全控制点，避免大规模改造代码，降低成本；对于新建关键信息基础设施、重要网络与信息系统，免改造数据安全技术保障同步规划、同步建设、同步使用。