3、數(shù)據(jù)安全的3．0時(shí)代

3．0時(shí)代進(jìn)入到了系統(tǒng)化的數(shù)據(jù)安全治理的時(shí)代，數(shù)據(jù)上升到資產(chǎn)、基礎(chǔ)設(shè)施層面。好比人類發(fā)展到需要考慮公共安全的階段，不可能再通過氣囊、頭盔這樣的單一的個(gè)體防護(hù)方式。在面臨更大的風(fēng)險(xiǎn)威脅的時(shí)候，我們會(huì)建立組織、公檢法體系，建立軍隊(duì)；會(huì)出臺(tái)政策規(guī)范、刑法、交通法等等來予以保證；同時(shí)會(huì)建立公共設(shè)施安全，比如機(jī)場(chǎng)安檢，建立登機(jī)制度等。

3．0時(shí)代最關(guān)鍵的特征就是體系化安全。安全不再是一個(gè)純產(chǎn)品技術(shù)上的安全，實(shí)際上是組織規(guī)范＋技術(shù)的完美整合，以呈現(xiàn)整體的安全。2．0步入到3．0時(shí)代的驅(qū)動(dòng)源頭有幾點(diǎn)總結(jié)如下：

1． 數(shù)據(jù)成為國(guó)家戰(zhàn)略性資源，通過數(shù)據(jù)可以構(gòu)造出新的生產(chǎn)力，在這種情況下，國(guó)家會(huì)實(shí)行嚴(yán)格保護(hù)。無論從我們國(guó)家開始頻繁出臺(tái)相關(guān)管理辦法看，還是放眼全球，歐盟與美國(guó)都在制定數(shù)據(jù)所在地的使用原則，都表明了各個(gè)國(guó)家已經(jīng)開始把數(shù)據(jù)當(dāng)做戰(zhàn)略資源。

2． 數(shù)據(jù)成為企業(yè)核心資產(chǎn)。創(chuàng)新型企業(yè)如滴滴、京東、淘寶，以及銀行金融科技，大多數(shù)企業(yè)積累的數(shù)據(jù)往往會(huì)變成企業(yè)最重要的資產(chǎn)，不再是一個(gè)符號(hào)。

3． 數(shù)據(jù)泄露已經(jīng)形成重大威脅。如今大家都是透明人，從國(guó)家的監(jiān)管層面看，實(shí)際上關(guān)系我們?nèi)魏我粋�(gè)人，都將實(shí)現(xiàn)數(shù)據(jù)的全覆蓋。同時(shí)現(xiàn)在很多大型機(jī)構(gòu)的運(yùn)轉(zhuǎn)都依托于手機(jī)、互聯(lián)網(wǎng)，整個(gè)行為都在網(wǎng)絡(luò)上留下痕跡。通過這些行為的記錄，很快就會(huì)建成一個(gè)沒有任何隱私可言，甚至陷入到騷擾、欺騙、第三方調(diào)查的境地。這就意味著數(shù)據(jù)不僅是企業(yè)的基礎(chǔ)性安全問題，已經(jīng)成為國(guó)家性，社會(huì)性問題，并上升到一個(gè)體系化的層面。

在這個(gè)數(shù)據(jù)安全已經(jīng)上升到體系化層面的大環(huán)境下，針對(duì)數(shù)據(jù)保護(hù)工作開展了一系列措施：

國(guó)家已經(jīng)開始有動(dòng)作，相繼出臺(tái)了網(wǎng)絡(luò)安全法、數(shù)據(jù)處境管理辦法、關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例等，同時(shí)預(yù)計(jì)在2019年上半年出臺(tái)個(gè)人數(shù)據(jù)保護(hù)法。而2017年11月完成的刑法修訂案，其嚴(yán)苛程度也相當(dāng)驚人，最低50條數(shù)據(jù)的非法泄露，即可入刑。簡(jiǎn)單舉個(gè)實(shí)例，2018年11月2日，某獵頭公司因在QQ群發(fā)布招聘信息，已被刑事訴訟。

除了國(guó)家法律，各個(gè)行業(yè)也都在行動(dòng)，《國(guó)網(wǎng)營(yíng)銷系統(tǒng)數(shù)據(jù)脫敏規(guī)范》、《商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引》、《電信和互聯(lián)網(wǎng)用戶個(gè)人信息保護(hù)規(guī)定》、《政府?dāng)?shù)據(jù)分級(jí)分類指南》、《央企商業(yè)秘密安全保護(hù)技術(shù)指引》，以及教育、稅務(wù)、地方上的法規(guī)，陸續(xù)出臺(tái)。整件事情不再是技術(shù)性的行為，而會(huì)逐漸演變成一個(gè)社會(huì)性、規(guī)范性的行為。

此外，還會(huì)看到越來越多的企業(yè)側(cè)的行為。

Gartner在2016年提到一個(gè)理念——數(shù)據(jù)安全治理（簡(jiǎn)稱DSG）。這個(gè)理念包含如下內(nèi)容：

首先是數(shù)據(jù)分級(jí)分類，可以看到數(shù)據(jù)到底包含了什么；

其次，在這樣一個(gè)基礎(chǔ)的情況下，基于各種數(shù)據(jù)分類，完成處理和控制策略，要梳理出哪些人能夠接觸這樣的數(shù)據(jù)；這些數(shù)據(jù)接觸的權(quán)限、行為范疇；超出范疇?wèi)?yīng)該采用什么樣的方法進(jìn)行審批。

第三，這樣的策略之后，要在執(zhí)行環(huán)節(jié)有相關(guān)的控制措施、監(jiān)控手段。比如，互聯(lián)網(wǎng)企業(yè)可能會(huì)作為首批數(shù)據(jù)發(fā)現(xiàn)和數(shù)據(jù)訪問行為獲監(jiān)管的對(duì)象。

第四個(gè)階段是稽核。對(duì)于數(shù)據(jù)過程要進(jìn)行審計(jì)、報(bào)告，改善措施，并重新構(gòu)建。

在數(shù)據(jù)安全治理時(shí)代，新的核心技術(shù)要求，比如說數(shù)據(jù)梳理，就是搞清楚數(shù)據(jù)資產(chǎn)到底有多少，敏感數(shù)據(jù)如何分布，以及數(shù)據(jù)是如何被使用的。要利用數(shù)據(jù)的特征發(fā)現(xiàn)記錄，數(shù)據(jù)主機(jī)掃描技術(shù)，網(wǎng)絡(luò)分析技術(shù)，以及大數(shù)據(jù)的處理整合技術(shù)，才能完成數(shù)據(jù)梳理。

在未來，基于AI深度日志分析來實(shí)現(xiàn)數(shù)據(jù)監(jiān)管，信息審計(jì)，潛在風(fēng)險(xiǎn)發(fā)現(xiàn)，而不是策略制定。潛在風(fēng)險(xiǎn)可能是類似APP，需要通過建模的方式完成這樣的學(xué)習(xí)分析。在國(guó)外，甚至僅需一到兩天之內(nèi)就可完成自動(dòng)化的設(shè)定，經(jīng)過一天左右的時(shí)間，就能基于深度行為日志建模完成整體的防護(hù)體系。而通過行為日志、業(yè)務(wù)日志的積累，可以驅(qū)動(dòng)未來安全的進(jìn)一步發(fā)展。

網(wǎng)絡(luò)安全時(shí)代態(tài)勢(shì)感知的概念叫的響亮，卻沒出現(xiàn)幾個(gè)多么好的落地產(chǎn)品。但如果把數(shù)據(jù)安全時(shí)代態(tài)勢(shì)感知做出來的話，一定非常具有價(jià)值。因?yàn)楦鞣N數(shù)據(jù)的行為實(shí)現(xiàn)了可視化，即在大型數(shù)據(jù)中心層面通過大屏技術(shù)，呈現(xiàn)出數(shù)據(jù)分布和數(shù)據(jù)使用分布，以及數(shù)據(jù)在庫之間流動(dòng)，業(yè)務(wù)系統(tǒng)流動(dòng)，人之間的流動(dòng)，以及發(fā)生的異常，在一種可視化的方式下，能夠快速感覺到。

三、小結(jié)

DBMS1．0時(shí)代的核心的理念是系統(tǒng)安全，市場(chǎng)啟蒙早期是在2010年左右，也是安華金和公司剛成立的時(shí)候，安華金和踏上數(shù)據(jù)庫安全的開拓之路。這個(gè)市場(chǎng)高速發(fā)展大規(guī)模企業(yè)進(jìn)入，是在2017年。市場(chǎng)爆發(fā)恰恰是這個(gè)時(shí)期。預(yù)計(jì)到2020年左右，市場(chǎng)將達(dá)到一個(gè)成熟期，并慢慢演進(jìn)。

第二個(gè)時(shí)代——數(shù)據(jù)時(shí)代很快會(huì)到來。這時(shí)期要以場(chǎng)景化來構(gòu)建安全產(chǎn)線，預(yù)計(jì)規(guī)模能夠達(dá)到百億級(jí)。2015年左右應(yīng)該可以算得上是2．0時(shí)代的一個(gè)啟蒙期，到2019年相信會(huì)成為業(yè)界主流性的理念。數(shù)據(jù)庫安全從DBMS安全演進(jìn)成以數(shù)據(jù)為中心的安全，將會(huì)成為業(yè)界的共識(shí)。預(yù)計(jì)到2023年，2．0時(shí)代會(huì)達(dá)到高速的平衡期。3．0時(shí)代的核心是體系化安全，預(yù)計(jì)會(huì)出現(xiàn)在2025年左右，隨著安全的市場(chǎng)在快速的放量，市場(chǎng)將會(huì)抵達(dá)千億級(jí)規(guī)模。

數(shù)據(jù)安全治理是安華金和在2016年在國(guó)內(nèi)率先提出來的，第一屆數(shù)據(jù)安全治理高峰論壇也由此發(fā)起，客戶逐漸開始認(rèn)可這個(gè)理念。并且我們也看到像阿里這樣的企業(yè)，也開始談數(shù)據(jù)安全治理。同時(shí)，國(guó)網(wǎng)網(wǎng)安處專門成立了數(shù)據(jù)安全治理的工作組，在稅務(wù)側(cè)也有專門的組織，這些都說明這個(gè)理念既是被數(shù)據(jù)安全生態(tài)所認(rèn)可的，也是符合客戶認(rèn)知的。我們期待，該理念可以從啟蒙到逐漸被社會(huì)廣泛認(rèn)可，到2021年實(shí)現(xiàn)在全國(guó)大型企業(yè)中數(shù)據(jù)安全治理體系的構(gòu)造。同時(shí)，我們也樂觀期待，到2025年數(shù)據(jù)安全可以進(jìn)入成熟期，達(dá)到千億級(jí)的市場(chǎng)。

最后，在整個(gè)社會(huì)經(jīng)濟(jì)大環(huán)境悲觀的論調(diào)下，請(qǐng)?jiān)试S我們能夠樂觀看待整個(gè)網(wǎng)絡(luò)安全行業(yè)的發(fā)展，從毛竹這種植物里找到一些激勵(lì)。毛竹生命的前幾年，它把所有的努力用在了地下、用在了伸展根系上。這些年中，它的根居然可以扎到幾英里遠(yuǎn)。過了這幾年的默默儲(chǔ)備期，它就會(huì)像被施了魔法，半年時(shí)間里就能躥到30多米。長(zhǎng)得快的時(shí)候，一天可以長(zhǎng)半米多。想象一下，春天還是一棵齊腰高的小苗苗，到了秋天就變得高大挺拔、直插云天。這么奇妙的成長(zhǎng)，全然是因著最初幾年充分的準(zhǔn)備、這么強(qiáng)大的根系，才造就了這么令人驚嘆的奇跡啊。期待安全行業(yè)也能在未來迎來直插云天的蓬勃前景。