数据安全与企业内控

段对冲风险的不确定性。以小的代价换取更加确定的结果。
应对DT时代数据安全的核心需求是风险控制
风险
安全 保护
风险 控制
主体
不确定事件
风险 对冲
潜在危害
非安全
单纯安全保护措施的受限条件 确定的保护客体 VS 数据带来的其他客体风险 明确的权限体系 VS 数据基于业务使用授权 确定的保护边界 VS 数据跨域的流动性管理
传统数据安全误区：只重视资产视角的事前保护忽略生 产过程视角的溯源追责体系。
• IT时代，因为数据流动较少，以1：10：100强调事前保护，忽略事后追责溯源体系； • DT时代，数据以生产资料方式动态流动场景中无法确定谁是可能的1？一般情形的事前防御会
极大影响效率。而事后可追责溯源机制是保证效率同时可降低事件概率的较经济的手段。
金融安全关注流 动中的业务过程 风险与资金投资
损失
资金
用于再增值使用和交换 流动性场景
全知科技 应数而生 守安卫全 就智而成
传统数据安全误区：把数据安全看作信息的载体安全
IT时代，数据是信息的载体，数据安全往往被认知为等同于“已知信息在数据载体上 的安全” 但DT时代，数据不仅仅是信息的载体，是创造增值的未知知识与情报的生产资料，同 时牵涉进来了业务过程影响。
全知科技 应数而生 守安卫全 就智而成
由信息到数据
知识
客观事物
发现
数据
解读 表达
信息
数字载体
归纳 推理
情报
• 信息是用来消除随机不确定性的东西/信息论。
• 数据是客观事物未经加工的原始素材的呈现。
• 信息安全的核心是保护组织的信息背后的知识与情报，以获得竞争优势。
• 在计算机系统中：
• 信息以二进制数据的方式存储，因此数据也是信息的载体。 • 组织通过保护承载“信息/知识/情报”的数字载体和计算机信息系统以达成信息安全的三要素（机密性、完整性、
务使用流动的保护风险都非常复杂。
隐私保护和数据安全关系
数据主体
主体权利 主体隐私
采
数据控制者
集
使 用
流 动
数据控制者
数据使用者
使 用
数据使用者
• 隐私是个法律问题 • 但在数据流动和广泛使用的时代，隐私问题需要从法律层面映射成数据技术问题 • 数据流动带来了极大的数据/隐私安全的挑战
数据流动让数据风险贯穿全局
转换数据安全的视角：生产资料视角而非资产视角
资产价值视角
静态资 产价值 风险
数据资产 态
传统数据安全体系是站在资 产价值的视角
数据生产资料 态
动态资 料价值 风险
数据业 务过程
风险
数据业 务效率
数据的业务过 程
业务价值视角
对用户价值更大的是数据生 产过程中的生产资料的保护 和生产过程中的业务风险控 制
数据流动带来的数据治理层风险
用户终端
应用服 务器
数据治理层数据风险
数据资产位置发现
数据变更风险
敏感数据资产分布和管理
数据来源去向用途风险
数据无序复制风险
缺乏细粒度权限控制能力
数据驻留追踪风险
应用数 据库
大数 据中 心
应用数 据库
应用服 务器
外部接口 服务器
内部用 户终端
系统运 维终端
DB运 研发测 BI人员 内网导 维终端 试终端 终端 出终端
外部接口 服务器
内部用 户终端
数据流动使用的数据人为风险
系统管理人员 研发人员后门 违规配置或种 黑客入侵 木马
网络系统层数据风险
用户终端
第三方应 用截留数 据
应用服 务器
应用数 据库
大数 据中 心
应用数 据库
爬虫爬取接 口数据 合作伙伴滥 用拉取数据
内部用户滥 用数据
外部接口 服务器
内部用 户终端
主体
不确定事件
潜在危害
风险控制/动态难以形成固定保护边界 主要从外部事件和危害后果视角出发，通过各种手段减少外
部不确定事件概率或及时发现外部事件并及时控制其影响，以减 少外部事件的危害程度以降低潜在危害后果
非安全
风险对冲/安全保护或风控手段无法达到或成本过高时 主要从不确定危害后果的不确定视角出发，通过各种提前手
• 数据成为直接的生产资料，被人们大规模采集并创造价值，但同时也带来较大的风险。
• DT时代的数据风险，呈现较多不同于信息安全的特性
• 直接信息的中心位置被弱化：人们发现通过相关数据也可以获得未知的知识与情报。 • 数据的相关性：可以只使用相关过程数据，这些数据维度多动态性强场景复杂难以通过垄断数据源的保护方式来保护。 • 数据的流通性：掌握数据的一方不一定需要对应的情报与知识，需要获取数据的一方可以多个相关维度获取数据 • 数据第三方风险：掌握数据的一方可能并不会受到风险，但可能给第三方带来风险。
可用性） • 计算机系统中信息安全形成了网络安全（传输/网络访问身份权限/网络可访问性）+系统安全（信息存储处理/主机
访问身份权限/主机可访问性）+数据安全（信息的数字载体机密和完整性）
DT时代的本质
AI 知识
客观事物
呈现 发现
大数据 数据
解读 表达
信息
归纳 推理
情报
BI
Βιβλιοθήκη Baidu数字载体
• DT时代，人们发现通过大量相关的其他过程数据，使用AI/BI技术也可以获得知识与情报。
业务B2 采集 传输 加工 存储 使用 销毁
业务C4 采集 传输 加工 存储 使用 销毁
数据流动带来了新的风险与挑战
• 业务过程风险是最核心的风险
• 复杂的数据流动导致风险追踪的困难 • 广泛的数据使用让风险无处不在
？
无法基于可信 授权
• 生产效率与数据风险控制的平衡 • 基于可信的授权控制被削弱
数据流动中的风险：数据是在系统、应用、内外部 组织不断流动的，需要从数据的来源、去向、血缘、驻 留等各种角度动态追踪和分析风险。
全知的DT时代的数据安全整体风险视角
数据治理 层 G
G/数据资产风险治理：针对风险要素识别处理 数据的分类分级与细粒度权限策略 数据的血缘关系与策略一致性
数据所有者和数据数据变动传递风险管理 数据来源与去向&授权与用途追踪、数据标签管理
应用层数据风险
数据流动带来的合规风险
用户终端
隐私数据采集与使用目的合规风险 隐私数据第三方SDK合规风险 隐私数据采集准确性合规风险 隐私&重要数据传输保护合规风险 隐私&重要数据驻留合规风险
应用服 务器
隐私&重要数据分类分级管理合规风险 隐私&重要数据存储保护合规风险 隐私用户权利保护合规风险
应用数 据库
数据风险 控制层
C
R/人为风险控制 加密&脱敏 细粒度权限控制 流向控制、追踪&审计、溯源 速率控制&拦截&风险控制策略
C/合规风险控制 加密&脱敏 细粒度权限控制 合规操作&措施&审计&评估 用户权利保护&协议
数据基础信 息层 B
Ｂ/数据基础信息采集 数据资产存储分布信息
数据应用层使用驻留和流动信息 数据库管理、BI和导出操作信息 数据来源与去向的流向与授权信息
数据的驻留追踪
数据风险 识别层 D
R/人为风险动态识别 用户滥用行为 异常拉取、爬取、截留行为 异常DB操作、BI操作、数据导出操作行为 异常数据流动和流向信息 数据泄露事件情报
C/合规风险动态识别 采集传输使用存储合规风险 交换共享发布离境合规风险 数据的授权与用途合规风险 数据分类分级管理合规风险 数据驻留与第三方SDK合规风险
个人介绍
SUCCESSFUL PROJECT
方兴，网络ID FLASHSKY。知名网络安全专家，历任启明星 辰ADLAB副经理、EEYE高级研究员、微软全球特聘安全专 家、翰海源CEO、阿里巴巴资深安全专家。2003年世界首发 MS03-026漏洞（冲击波使用漏洞）细节，引发全球安全体系 变革，2004年世界第一个发布WINDOWS内核溢出远程利用 技术，最早的漏洞自动化挖掘研究者，第一个BLUEHAT中 国演讲者，被《WINDOWS利用技术的过去现在和将来》列 为影响了WINDOWS安全技术发展进程里的唯一中国人。连 续创业者，2010年和王伟联合创立翰海源，2015年翰海源被 阿里巴巴全资收购。2017年创建全知科技，聚焦数据流动中 的安全体系建设
传统数据安全误区：用“数据生命周期”来做数据安全 体系规划
• 只使用数据生命周期做数据安全建设体系的依据；数据生命周期是假设数据风险在 单个系统内的，数据流动只在边界上防控；
• IT时代，数据在单个的系统中隔离流动，我们可以用数据生命周期描述数据每个周 期阶段的风险。
• DT时代，数据风险通过数据流动贯穿所有系统，数据安全体系需要以数据风险为 核心，以数据流动风险传递的整体视角来思考。
应用层数据风险
数据库操作人 员违规导出或 阅读数据
BI人员利用 数据视图绕 过限制读取 数据 BI人员非工 作目的建模
系统运 维终端
DB运 研发测 BI人员 内网导 维终端 试终端 终端 出终端
数据库访问控制层风险
应用服 务器
爬虫爬取接 口数据 合作伙伴滥 用拉取数据
内部用户滥
用数据
外部接口
服务器
内部用 户终端
数据成为业务的石油而流动
合作流入 数据
合作流出 数据
系统A
数据A
系统B
数据B
系统C
数据C
IT时代：业务数据化 数据以信息在计算机系统中承载的 方式存在，数据来源和使用单一，
也没有形成复杂的上下游关系
系统A
数据A
汇集、加 工、关联、
分析
AI建模
系统B
数据B
数据D
系统C
数据C
系统D
DT时代：数据业务化时代 数据通过业务采集和多种外部来源渠道汇集、多维度加工、回流业务系 统、以及各种系统数据不断加工和使用形成了非常复杂的上下游消费链 路以最大化数据的价值同时流出体系。数据的管理、用途授权控制、业
大数 据中 心
应用数 据库
隐私数据发布合规风险 隐私&重要数据传输保护合规风险 隐私&重要数据据使用保护合规风险 隐私&重要数据驻留合规风险 隐私&重要数据共享和交换合规 隐私&重要数据离境合规风险
隐私&重要数据据使用保护合规风险 隐私&重要数据驻留合规风险 隐私&重要数据共享和交换合规
业务C1 采集 传输 加工 存储 使用 销毁
业务B1 采集 传输 加工 存储 使用 销毁
交换&共享
业务C2 采集 传输 加工 存储 使用 销毁
业务A 采集 传输 加工 存储 使用 销毁
数据风险通过 数据流动，贯 穿多个系统和 阶段中，形成 了一个难以分 割的风险整体
交换&共享
业务C3 采集 传输 加工 存储 使用 销毁
价值
锄地生产
？
需要平衡生产 效率
风险
挖断电缆 不当损坏
IT时代数据安全体系无法适应DT时代的挑战
外部威胁者
IT系统的信 息
加密（存储&传输） IT系统网络
IT系统网络安全
IT时代数据安全保护体系
数据流动保护风险
更多数据来源
更多基础使用
更多外部合作
更多跨域流动
数据采集和来源授 权、去向用途
存储保护和使用目 的
传统数据安全误区：只重视资产视角的数据访问层安全 忽视数据使用和流动安全
• IT时代，数据只在单一应用里使用，数据风险更多是在数据运维管理上；数据安全更关注运维 操作的安全体系建设，很少关注数据的流动与使用场景的风险体系建设。
• DT时代，数据以生产资料方式动态流动使用，带来流动保护需求以及数据的业务过程风险。数 据的保护重要需要移动到数据的使用与流动中。
数据发布、共享、 交换、出境
用户隐私、知情、 控制和权益
数据上下游业务故 障和质量
数据业务过程风险
内部威胁者
外包威胁 合作伙伴生产链威胁
效率！效率！ 效率！
对他人隐私影响风险
对国家安全影响风险
数据主体权利保护风险
类比法认知数据安全与信息安全的差异
传统数据安全本 质是信息安全在 数字载体上的静 态资产属性安全
重新从风险角度思考达成安全的措施
风险 风险是可能带来危害的不确定事件 主体*外部事件=潜在危害后果
风险
安全 安全是一种不受风险危害影响的状态，实现安全可以由多种
手段
安全 保护
风险 控制
风险 对冲
安全保护/需要形成保护边界 主要从受影响主体视角出发，构造保护受影响主体的能力，
以减少受影响主体遭受外部事件的危害时的受损害程度以降低潜 在危害后果
信息
用于价值呈现和非 再增值使用
多种数据表达形式
财产安全关注财 产主体自身资产
属性安全
财产
用于价值呈现和非再 增值使用
多种资产表达形式
分析 建模
载体形式：数据库、文件、数据流
DT时代的数据安 全需要关注流动 中的业务过程风 险与动态生产资
料保护
数据
用于再增值使用和交换 流动性场景
投资 生产
载体形式：现金、证券、信用
需要引入风险控制措施以解决 数据带来的其他客体风险：需要从授权、用途、量
级、法律规范等多种角度动态追踪和分析风险 数据基于业务而非可信的合法授权后的风险：数据
是用于生产的，内部威胁因素最大。需要从用户行为、 用户具体使用的数据内容去建立针对已经合法获取授权 用户的动态实时的可审计、可风险建模、可溯源追责的 体系。