大数据时代，数据成为推动经济社会创新发展的关键生产要素，基于数据的开放与开发推动了跨组织、跨行业、跨地域的协作与创新，催生出各类全新的产业形态和商业模式，全面激活了人类的创造力和生产力，数据的应用逐步成为现代企业的核心竞争力。

　　但在数据流动的过程中存在很多风险，比如数据泄露、数据被篡改、数据越权访问等，这些都会导致在数据在完整性、机密性及可用性上的破坏。那么数据安全治理有哪些亟需解决的问题？如何在动态的环境下保障数据安全？本期牛人访谈安全牛邀请到中孚信息副总工程师苗功勋，与读者分享数据安全行业现存问题和未来数据安全挑战。

　　苗功勋

　　高级工程师，硕士，中孚信息副总工程师，全国保密委专家委员

　　负责信息安全领域的技术研究与研发工作。曾参与承担了国家信息安全专项项目、工信部电子信息产业发展基金项目等十余项国家、省部级重点科研项目，获得国家专利10余项，多次获得国家保密科技奖等奖励。

　　数据安全行业正在经历哪些重大变革？

　　苗功勋：数据已经上升为核心生产要素，价值日益凸显，加强数据安全和个人隐私保护已经成为推动行业发展的内生动力。当前，数据安全领域正在经历三大变革：体系创新、本质化以及数据安全治理。

　　（1）新技术、新场景和新应用不断涌现，数据安全需要体系创新。

　　云计算、人工智能、区块链作为“新基建”中信息基础设施的重要组成，近年来快速发展，相关基础设施与应用场景的安全防护也应运而生。在这些新技术、新场景和新应用下，数据安全不能再依赖传统“枷锁型”“牢笼型”的设备管控、数据管控来实现，而应向着数据访问和使用行为监管、数据内容智能识别等方向发展。未来云上数据安全体系将伴随云计算技术、架构与模式的演进同步发展。在这个过程中，数据安全行业如何快速掌握新技术，理解新场景，适配新应用就成为必须面对的首要问题。

　　（2）需要考虑如何构建真正本质化、内置式的数据安全防护体系。

　　发展信创产业是“十四五”时期我国加快网信产业创新和自主可控的内在要求。在经济社会数字化转型浪潮下，信创产业加快从党政领域向全行业拓展，迎来全面发展期。未来，数据安全发展必将和信创产业发展紧密结合，在本质安全方面迎来突破，信创环境下的数据安全防护体系建设已是大势所趋。

　　然而目前我们在一些领域还无法实现完全的自主安全可控，比如大数据资源基础设施。无论是使用Hadoop、Spark、MongoDB 等开源软件搭建平台，还是采购 Cloudera、Amazon、EMC等大数据产品搭建平台，均面临大数据资源平台核心底层技术无法安全可控的风险。在未来数据产业发展中需要通过国产芯片、操作系统、数据库等的创新应用，全面提升国家数据资源安全。

　　（3）需要从数据安全防护领域拓展到数据安全治理领域。

　　传统网络安全对于数据一般实施的是静态保护，防御措施不随被保护的数据本身变化流动。随着云计算、大数据应用场景的出现，对数据窃取、滥用等数据泄露风险的安全防护需求更加迫切。要更好的进行数据安全风险预测风险，加强防护，其关键在于明确哪些数据需要防护，各需要什么等级的防护，在此基础上设置相应的靶向防护策略与落地措施。

　　数据安全治理关注数据在整个生命周期可用性、完整性与机密性的安全保护，以数据业务属性为始，数据的分级分类为核心，建立以数据为中心的安全架构体系，能够更好地应对日益增长的数据安全风险。然而目前根据数据安全能力成熟度模型评估标准，真正能够全面支撑数据安全治理的组织还不多，这个领域尚属新兴领域。从数据安全防护向数据安全治理全面拓展也是数据安全行业面临的一大问题。

　　随着“云大物移智”等新技术的普及应用，数据安全的保护也出现了更多的新场景，那么中孚信息对于新场景、新需求的出现，中孚信息专注哪一类场景？

　　苗功勋：中孚在深刻理解国家网络安全发展战略的基础上，重点关注城市级数据安全治理、数据中台等应用场景。

　　智慧城市是中国新时代贯彻新发展理念，统筹实施国家信息化发展战略规划，加快建设网络强国、数字中国、智慧社会的重要抓手和综合载体。智慧城市中存储着海量数据，在城市数据融合使用的过程中，中孚将致力于提升敏感信息保护能力，构建数据安全防护、敏感数据管理、数据合法利用三大目标的技术保障体系，从而达到“让数据使用更安全”的目标。

　　经过近年来的实践，数据中台概念已经成为集方法论、工具、组织于一体的大数据体系。数据中台能够构建全域级可复用的数据资产中心与数据能力中心，提供有序透明的数据资产与高效、易用的数据能力，使能业务数字化运营。中孚希望能够将安全理念内置到数据中台的建设过程中，通过数据安全技术聚合和治理多源异构跨域数据，将数据作为业务创新的核心驱动力，打造以原生安全为基础的数据中台。

　　未来产品多种多样，解决安全问题靠的也不仅仅是一种产品，或者一个厂家的产品，尤其解决数据安全问题，企业该如何解决这个问题？

　　苗功勋：面向核心安全和全面安全领域，公司需要利用已有产品快速构建数据分类分级工具、数据标识、隐写溯源、网络DLP、终端DLP、应用代理网关等产品；

　　利用已有平台的内容分析、行为分析能力，构建数据安全态势感知能力；

　　通过与其他公司合作、联动，形成数据库防火墙、数据库脱敏、数据库加密、数据库审计等产品。基于以上产品、能力，形成自有的数据安全防护监管解决方案。

　　需求在变，业务开发在变，数据流也在不断的变化，如何在动态的环境下保障数据安全？

　　苗功勋：数据生命周期共享、交易等环节的增加使得数据的流动成为“常态”，数据静止存储变为“非常态”，多环节的信息隐性留存，导致数据流转追踪难、控制难。

　　在动态的环境下保障数据安全需要构建一整套数据安全治理体系，通过数据分类分级找出需要保护的敏感数据，然后密切跟踪这些敏感数据，无论敏感数据在全网什么地方、往哪里流动变化衍生，都能进行精准的定位、追踪、告警、阻断、溯源等，执行响应监控防护。

　　Gartner认为，数据安全治理不仅是产品级的解决方案，还是从自上而下贯穿整个组织架构的完整链条，它的跨度从决策层到技术层，涉及内容从管理制度到工具支撑。组织内的各个层级之间需要对数据安全治理的目标和宗旨取得共识，确保采取合理和适当的措施，才能以最有效的方式保护数据资产。

　　未来数据安全挑战有哪些？

　　苗功勋：未来随着数据交流共享的需求越来越大，数据安全与利用的矛盾也会不断激化。目前国际网络安全形势日益严峻和数据黑产快速发展，个人隐私、企业核心数据资产乃至国家秘密稍有疏忽都可能发生泄漏，造成重大损失。不能合理地处理好数据资产使用与安全两者间的关系，将会严重制约经济的快速发展，甚至影响到国家安全。

　　在这种情况下，未来数据安全可能要面对以下挑战：

　　（1）数据大规模集中存储增加数据泄露风险

　　数据资源需要通过集中才能不断沉淀数据价值，推动数据资源的共享利用。然而随着数据集中规模不断增加，针对性的外部攻击威胁和内部泄露风险将指数倍增加。这种情况下，大规模数据采集和存储机构、各级数据中心都需要具有更强的数据安全保障能力和全面的攻击对抗能力。

　　（2）大量的数据开放共享将会凸显数据滥用风险

　　数据开放共享增加数据价值的同时，数据权属关系将更为复杂，即便采取匿名化和假名化的技术措施，仍然可能在开放流通的各个环节产生用户数据滥用等法律风险。此外，针对开放海量数据的关联分析也可能引发商业机密甚至国家情报的泄露。

　　（3）数据资产的安全运营面临挑战

　　“数据即资产”已然成为数字化转型过程中的重要思维方式。数据资产利用实际上应是数据集成、治理、关联、开放、挖掘、决策、行动和反馈的完整闭环。目前单一化的数据安全产品可以解决客户在某个环节的问题和需求，却造成不同安全产品间的数据“孤岛”现象，继而影响到数据资产的闭环使用。未来数据的价值利用与安全防护必须依赖可持续运营的平台化数据安全体系。

　　（4）人工智能安全威胁日益凸显

　　人工智能技术的快速发展将会成为未来社会变革的加速器。然而深度神经网络的可解释性不佳、高维线性、大量依赖数据等固有特性，意味着其存在一些不可避免的安全缺陷，容易受到特定攻击。

　　近年来，对抗样本数据攻击、算法后门攻击、模型窃取攻击、模型逆向攻击等破坏人工智能算法和数据机密性、完整性、可用性的新型安全攻击也会对数据安全造成极大威胁。