炼石白小勇：免改造安全技术实现数据监管合规与有序流通
2023年9月15日，2023世界计算大会在湖南长沙开幕。在开幕论坛上，全国政协副主席、民建中央常务副主席秦博勇指出，当今世界正在经历一场更大范围、更深层次的科技革命和产业变革。湖南省委书记沈晓明在致辞中说，湖南将推动计算产业开放发展，加快构建更加开放包容的计算产业发展生态，与各方携手推动计算领域贸易畅通、产业联通、市场融通，助力打造内陆地区改革开放高地。组委会特邀中国科学院院士、清华大学交叉信息研究院院长姚期智，国务院原副秘书长，中国工业经济学会会长、中国社会科院大学教授江小涓，中国科学院院士，南方科技大学校长、清华大学教授薛其坤，中国工程院院士、中国科学院计算技术研究所研究员倪光南，华为技术有限公司副董事长、轮值董事长徐直军，IBM大中华区董事长、总经理陈旭东，G20青年企业家联盟法国主席阿瑞巴·雷曼等7位嘉宾作主题演讲。
大会的安全论坛主题是“计算安全论坛——数据安全与合规治理”，院士专家、高校教授、专业研究人员、名企名家等数十位大咖齐聚现场分享，聚焦“数据安全与合规治理”主题，探讨如何运用最新信息技术成果保护数据安全，让数据要素在合规前提下创造经济价值。炼石网络创始人、CEO白小勇受邀参加该论坛，并发表以“免改造安全技术实现数据监管合规与有序流通”为主题的演讲。
关注炼石的本公众号（或从微信中搜索公众号：炼石网络CipherGateway）并后台回复关键词“炼石就是数据安全077”，即可下载《免改造安全技术实现数据监管合规与有序流通》主题演讲PDF版高清文件。
数据入表激活安全价值驱动
数据利用伴随人类几千年文明。苏美尔人的原始楔形文字泥板（约公元前3000年）、殷商甲骨文（约前1600年），数据的利用见证了人类文明的变迁。进入数字经济时代，数据成为重要生产要素，数据利用愈发凸显，《国民经济和社会发展第十四个五年规划和2035年远景目标纲要》中提到智能交通、数字能源、智能制造、智慧农业、智慧教育、智慧医疗、智慧文旅、智慧社区、智慧家居和智慧政务等十大数实融合场景，共同构成了我国未来发展的关键，这些场景之间相互关联，通过数字技术的融合应用，提高了生产效率、资源利用效率，进一步拉动海量数据爆发。2022年我国第二产业和第三产业GDP占比为86%，其中第二产业中研发、生产、运维、管理和外部等商业数据呈现出全链路增长状态，第三产业中个人信息保护方面，基本资料、身份信息、生物识别和网络身份识别等板块趋于迈向数字现代化。商业数据和个人信息由于价值凸显，极易发生数据安全风险，因此，安全能力的建设成为“数实经济”的发展重要的一环。
安全之实战与合规，共促“数实经济”发展。“实战”是检验安全能力的唯一标准，可以通过数据安全攻防演练等方式来验证数据安全防护效果。但实战对抗的成本非常之高，绝大部分的企业或机构难以投入足够匹配的资源支撑安全实战对抗，而“合规”可以将偶发的、高技术水平的对抗风险，转化成常态的、可重复验证的非对抗风险。进一步的，数据安全合规可以分为“过程合规”与“结果合规”。例如，可通过商用密码应用安全性评估(密评)
等技术测评保障过程合规，通过个人信息保护认证（PIP）、数据安全管理认证(DSM)、移动互联网应用程序（APP）安全认证等保障结果合规。
价值驱动：“数据入表”让安全从成本走向价值。财政部《企业数据资源相关会计处理暂行规定》，将数据入财务报表并体现其真实价值与业务贡献，对数据资源确认范围和会计处理适用准则等作出规定，2024年1月1日起施行。“数据入表”有利于显化数据资源价值（“数据入表”的价值和意义可对标2002年施行的“土地入表”），提升企业数据资产意识，激活数据市场供需主体的积极性，增强数据流通意愿，为企业对数据进行深度开发利用提供动力。同时，建立数据资源入表机制能够有效带动数据采集、清洗、标注、评价、资产评估等数据服务业发展，激发数字经济发展活力。在数据的市场化配置中，数据在要素市场的价值不断释放，此过程中，数据安全、技术支撑和组织保障需进行同步构建。
风险驱动：数字化伴生数字风险。企业IT发展进入数字时代，党的二十大报告提出，“加快发展数字经济，促进数字经济和实体经济深度融合，打造具有国际竞争力的数字产业集群”数据要素是数字经济深化发展的核心引擎。数据对提高生产效率具有乘数作用，数据的爆发增长、海量集聚蕴藏巨大价值，用好数据要素将为经济社会数字化发展带来强劲动力。与此同时，数据泄漏事件频发，例如，2022年国家安全机关破获我国首例涉及高铁运行安全的危害国家安全类案件；首例适用《中华人民共和国数据安全法》案例，广州一公司未履行数据安全保护义务，致1000多万数据面临泄漏风险被处罚等。
合规驱动：“四法四例四规”驱动全行业数据保护。我国初步建立数据安全相关的法律法规体系，形成“四法四例四规”共治的新合规局面，“四法”包括《网络安全法》《密码法》《数据安全法》《个人信息保护法》，“四例”包括《网络安全等级保护条例》（征）、《关键信息基础设施安全保护条例》、《商用密码管理条例》、《网络数据安全管理条例》（征）等，“四规”包括等保、关保、密评和数评。“四法四例四规”之间紧密关联又各有侧重，国家法律提出安全治理道路和保护目标，条例强调了保护信息和数据安全的技术手段，规章细化了落地要求和举措。
改造难题呼唤数安技术创新
从艰难防守者的视角审视数据安全增益。从攻防对抗的角度来看，一如游戏中最高级别的BOSS，最终都难逃被玩家打败的命运，道高一尺，魔高一丈，如果攻击者投入足够多的资源，理论上最终总能窃取到目标数据。甚至退一步看，假定技术上做到了无懈可击，但重金之下必有勇夫，数据也可以被人为社工泄露。因此，艰难的防守者或许永远无法构建出“绝对安全的防线”。但是，攻防对抗就像战争，其实本身就是双方消耗资源，好的防护手段是“十则围之、五则攻之”，创造局部优势以获得更好的战损比。防守方则需要评估技术手段、排序优先，用更少成本、消耗攻击者更多成本。进而，基于现实重新去思考其数据防护的价值所在，虽然无法杜绝数据泄露，但是可以积极采取技术防护手段，使攻击者对数据的窃取成本高于数据获利，从而让攻击者失去意义，这就是“有效的数据保护”。
承载数据的业务载体在持续演进升级。十多年前，承载数据的业务载体是以网络终端为主，面向文档文件，数据安全建设的重点也是围绕着网络和终端去侧重展开。而今天信息化蓬勃发展，数据共享流转带来价值，业务载体也逐步演进为以应用系统为主，应用系统也会在企业信息化整体建设中占据最大比例预算。企业应用一般分为两类，一类是以安全为主导的“重安全应用”，需要不惜一切代价力保安全，可以仅仅为了安全需求而进行高成本重构；另一类是以业务为主导的“普通应用”，这类应用占绝大多数，安全需求是融合于常规业务应用中，和大量业务流程扭结缠绕，比如石油管网坐标信息，很敏感却又难以定密。当面向以业务为主导的普通应用开展数据安全建设，不论是加密脱敏、检测响应还是审计追溯，本质属于面向应用的功能性安全需求，需要在应用中融合实现，然而实际部署时会发现，数据安全的覆盖面和整个数据处理流程交织在一起，而通过改造应用以增强数据安全的成本极高，无法落地。尤其是对庞大复杂的存量应用系统进行改造，犹如给高速行驶的汽车更换轮胎，面临风险大、成本高、周期长、以及运行中断的巨大挑战。
安全机制与业务纽结缠绕难改造。在实践应用中，炼石发现密码应用最大痛点在于，安全机制和业务处理纽结缠绕、难以改造。例如，个人信息与重要数据保护主要是面向应用的功能型安全需求，容易遇到业务与安全研发排期不吻合，业务团队技术与响应跟不上；功能型安全需求要在应用中融合实现，但改造应用成本高、风险大、周期长；数据保护不落实，则合规风险越来越大、因泄露导致的业务风险会快速累积等问题。
安全建设思路转向聚焦以数据为中心。以网络攻防对抗为中心的安全，正在转向为“侧重以数据为中心的安全”，与之匹配的安全技术也从“外挂式”演进为“原生式”。美国《国防部云战略》白皮书中提出，历史上信息安全一直聚焦在边界防御，即限制网络边界访问，但因为今天数据被充分共享，传统的边界被打破了，所以美国国防部将安全从边界防御，转向聚焦保护数据和服务。炼石尝试从“以数据为中心”的角度提出DTTACK（以数据为中心的战术、技术和通用知识）技术框架，不是网络、服务器或应用程序安全性的模型，更强调数据本身的安全性，并从对数据的“应对式”防护，向“主动式”防护转变，重视从业务风险映射视角列举数据保护需求，可以为信息化建设、企业业务架构设计提供数据安全能力参考。DTTACK选取六大战术作为基本结构：IDENTIFY（识别）、PROTECT（防护）、DETECT（检测）、RESPOND（响应）、RECOVER（恢复）、COUNTER（反制），以及治理作为补充手段。网络安全与数据安全相互关联、依赖、叠加演进，形成“网络与数据并重的新安全建设”，这也成为当下企业安全建设的主流思路。
应用改造成本抵消安全增益陷入两难。在数字化转型及数字经济产业发展中，不仅是CPU、操作系统、数据库等基础软件的升级，涉及广泛行业应用软件亟待升级替换是更大的市场空间，比如制造业的PLM/MES/ERP软件、医疗行业HIS软件、金融行业应用软件、能源行业应用软件、交通行业应用软件等等。这些巨大存量的应用软件普遍缺失内建密码安全机制，缺乏有效手段增强密码安全能力，因为无法破解开发改造模式成本极高、影响业务连续性，还有源代码维护等技术可行性挑战。这也意味着，应用改造带来的高难度、高风险、长周期，再叠加复杂的数据安全能力，使得企业投入成本在一定程度上抵消了安全带来的增益，企业数据安全建设面临“不改有风险、强改会要命”的两难困境。
切面安全保障数据有序流通
切面安全，免改造平台灵活交付多重安全能力，易部署易扩展。炼石打造AOE面向切面数据安全技术，在数据流动的切面上重建安全规则，部署安全控制点，避免大规模改造代码，降低成本，实现安全与业务在技术上解耦，但又在能力上融合。免改造应用数据安全方案，在旁路上会部署数据安全管理平台，主路上在数据流转控制点上对结构化和非结构化数据进行精准控制识别和保护。针对结构化数据，免改造应用可实现面向运维侧防范应用外数据威胁，存储加密防范内部DBA、外包、黑客；面向用户侧防范应用内数据访问威胁，事前动态脱敏防范业务人员越权访问，事中风险监测预警业务人员风险操作，事后审计追溯业务人员数据泄露，形成密码安全一体化的防护体系。针对非结构化数据，可将安全控制点部署到内核态或用户态，通过逐文件逐密钥的文件透明加密，掌握对于文件读写的控制权，实现落盘加密、读盘解密、访问审计等。
1套平台。以数据安全主平台为核心，保护流动中数据资产，外延数据安全模块管理、行业敏感数据模板、个人敏感数据模板、数据安全事件调度、数据安全策略下发、数据资产视图和数据安全监控中心等能力防御，防止非法应用层数据访问，防止内外部勾结窃取或破坏数据，同时利用外围数据安全技术手段，发现异常行为，持续优化安全策略和规则，数据保护主平台和外围数据安全技术紧密融合，可实现防护效果的“乘数效应”提升。不论是纵深安全防护，还是新技术威胁对抗，均可持续性地消减攻击的威胁能力，提高攻击者攻击成本。构建网络、平台、数据高度联动的整体防御能力，同样具有灵活机动（安全模块敏感部署、快速应用）、综合能力强（安全能力作用于数据控制点）、威慑效果好（多层安全防御），可贴合业务，为数据流转提供有效保护。
2重价值。安全建设围绕一实战双合规。实战与合规辩证驱动安全发展，实战检验了合规建设的成效，合规降低了实战对抗的落地成本。在风险驱动和合规要求下，企业数据安全需求从被动应对，升级为主动建设。因此，企业应立足数据安全建设目标，分析“一实战、双合规”的实现路径，以合规遵循为起点，以实战对抗为导向，通过“密评”定义密码技术基线，通过数据安全合规认证等全面保障数据合规，构建实战化的数据安全防护体系。
3大阶段。免改造数据安全交付体系贯穿数据安全建设，打造成熟标准化产品与交付体系，覆盖头部行业客户试点与推广复制。目前，炼石已形成了成熟标准化产品与交付体系，包括前期数据安全规划（服务）、中期的数据安全建设（产品+服务）和后期数据安全运维（服务）等，能够满足政府、金融、运营商、教育医疗文旅、工业等行业客户，在个人信息保护、商业秘密保护、数据安全合规改造、国密合规改造等业务场景需求。同时，炼石进一步强化配套服务体系，致力于满足企业和组织发展战略、合规要求和风险治理等诉求。
4个特点。炼石免改造方案兼容多、交付快、防护好、成本省。兼容多，适应大多数的企业应用架构，如JAVA、C等主流开发语言、兼容开放协议的关系型数据库和非关系型数据库、兼容Linux/信创OS/Windows等。交付快，通过免改造应用增强数据安全保护能力，实现敏捷交付。防护好，密码安全一体化，炼石免改造数据安全产品面向应用系统，在应用层以数据为抓手实现数据安全保护，基于“密码安全一体化”，覆盖事前事中事后，实现“主体到人、客体到字段”的细粒度实战防护。成本省，免改造技术在建设期节约了应用系统的开发改造成本，在运维期通过灵活策略节约应用系统的规则适配成本。
5段能力。炼石积极探索数据安全纵深防御理念和实践，坚持原创自研和持续迭代，打造以“数据安全主平台”为核心，构建识别、防护、检测、响应、追溯等安全能力模块的数据安全产品矩阵，覆盖数据在不同处理环节的免改造控制点，实现横向可覆盖广泛应用，纵向可叠加多阶安全能力。创新免改造的数据保护能力矩阵，能够在数据控制点上，施加防绕过动态保护，致力于成为用户提升实战能力的重要支撑。一方面可实现面向用户重建安全规则，只有符合权限的用户，才能访问到其应该使用的数据；结合业务场景的风险监测；可定责到人的高置信审计。另一方面，面向运维重构数据边界，没有任何人能从应用后台获取敏感数据明文信息。通过免改造技术，覆盖事前事中事后的有效数据保护，实现数据监管合规与有序流通。
京ICP备16012549号 Copyright © CipherGateway. 版权所有
