齊向東：數(shù)字經(jīng)濟(jì)要做好紅線意識(shí)和安全流動(dòng)兩篇文章

“數(shù)字經(jīng)濟(jì)要做好紅線意識(shí)和安全流動(dòng)兩篇文章”在2021年中國(guó)網(wǎng)絡(luò)安全年會(huì)上，奇安信集團(tuán)董事長(zhǎng)齊向東表示，數(shù)據(jù)泄露總量已超過前15年之和，平衡好數(shù)據(jù)利用與數(shù)據(jù)安全之間的關(guān)系，是數(shù)字經(jīng)濟(jì)平穩(wěn)健康發(fā)展的關(guān)鍵。

定制度、建系統(tǒng) 守好數(shù)據(jù)安全三道紅線

《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》等相關(guān)法律法規(guī)的出臺(tái)，針對(duì)個(gè)人和國(guó)家數(shù)據(jù)安全織出了一張細(xì)密的法網(wǎng)，也提醒著政企機(jī)構(gòu)應(yīng)當(dāng)盡快形成“紅線意識(shí)”。

齊向東認(rèn)為，“紅線意識(shí)”主要有三條：其一是守住APP采集紅線，今年以來，工信部、國(guó)家網(wǎng)信辦等相關(guān)部門已通報(bào)、下架大量違規(guī)APP，取消數(shù)千家備案網(wǎng)站平臺(tái)；其二要守住數(shù)據(jù)跨境流動(dòng)紅線，歐盟、美國(guó)、印度等國(guó)家和地區(qū)均有相關(guān)法律法規(guī)限制數(shù)據(jù)跨境流動(dòng)，保障其境內(nèi)的數(shù)據(jù)安全，我國(guó)的《數(shù)據(jù)安全法》也高度重視數(shù)據(jù)的跨境流動(dòng)，并劃定了紅線，邁出了保護(hù)數(shù)據(jù)跨境流動(dòng)的關(guān)鍵一步；第三，要守住數(shù)據(jù)存儲(chǔ)和保護(hù)的紅線，數(shù)據(jù)運(yùn)營(yíng)商作為數(shù)據(jù)活動(dòng)的處理者，必須嚴(yán)格遵守相關(guān)法律，承擔(dān)保護(hù)數(shù)據(jù)安全的責(zé)任，守好數(shù)據(jù)存儲(chǔ)及保護(hù)的紅線，確保數(shù)據(jù)安全。

如何守好紅線防止破線？齊向東認(rèn)為，要從內(nèi)部消除數(shù)據(jù)安全威脅，在安全體系設(shè)計(jì)時(shí)就需要考慮到人的因素，及時(shí)發(fā)現(xiàn)內(nèi)部人員的異常行為，并及時(shí)檢測(cè)和阻斷來自內(nèi)部的攻擊，通過系統(tǒng)來有效防止破紅線。

數(shù)據(jù)泄露是數(shù)據(jù)的非法流動(dòng)

數(shù)字技術(shù)的飛速前進(jìn)、數(shù)字經(jīng)濟(jì)的蓬勃發(fā)展，都依賴于對(duì)數(shù)據(jù)價(jià)值的深入挖掘，平衡好數(shù)據(jù)利用與數(shù)據(jù)安全之間的關(guān)系，是數(shù)字經(jīng)濟(jì)平穩(wěn)健康發(fā)展的關(guān)鍵。

根據(jù)美國(guó)分析機(jī)構(gòu)Canalys的最新報(bào)告，2020年數(shù)據(jù)泄露呈現(xiàn)爆炸式增長(zhǎng)，短短12個(gè)月內(nèi)泄露的記錄比過去15年的總和還多。今年以來，全球范圍內(nèi)也發(fā)生多起嚴(yán)重?cái)?shù)據(jù)泄露事件。

其中最容易被忽視的是，內(nèi)部人員造成數(shù)據(jù)泄露遠(yuǎn)比想象中嚴(yán)重。據(jù)美國(guó)通信巨頭威瑞森公司發(fā)布的《2021年數(shù)據(jù)泄露調(diào)查報(bào)告》顯示，85％的違規(guī)行為涉及人為因素。無論是“內(nèi)鬼”還是無心之失，內(nèi)部造成的網(wǎng)絡(luò)安全危害程度遠(yuǎn)超黑客攻擊和病毒造成的損失。

逐年增加的安全漏洞，是數(shù)據(jù)泄露的重要“出口”：1999年-2020年，微軟Windows平臺(tái)提交漏洞總計(jì)7272個(gè)，平均每年330個(gè)；而在2020年，Windows平臺(tái)提交漏洞數(shù)量暴增至1220個(gè)。

包含開發(fā)、交付、運(yùn)行三大環(huán)節(jié)的供應(yīng)鏈攻擊，則延長(zhǎng)了數(shù)據(jù)泄露可能發(fā)生的鏈路。奇安信統(tǒng)計(jì)發(fā)現(xiàn)，采用開源軟件的項(xiàng)目平均每個(gè)有66個(gè)漏洞；自主開發(fā)的程序，每1000行代碼有10.11個(gè)缺陷。這些漏洞一旦被利用，都會(huì)將安全風(fēng)險(xiǎn)引入到供應(yīng)鏈下游環(huán)節(jié)。

日益猖獗的勒索攻擊，也成為數(shù)據(jù)泄露的重要原因之一：2021年，預(yù)計(jì)每11秒將發(fā)生一次勒索攻擊，全年超過300萬次。勒索攻擊的贖金也在逐年增長(zhǎng)，拿到贖金的黑客則會(huì)快速實(shí)施下一次勒索，形成惡性循環(huán)。

在數(shù)字化時(shí)代，海量數(shù)據(jù)需要通過流動(dòng)交易來產(chǎn)生價(jià)值，但在數(shù)據(jù)交易的動(dòng)態(tài)過程中，面臨著許多安全問題，一個(gè)單點(diǎn)失陷就可能導(dǎo)致重要數(shù)據(jù)泄露，帶來嚴(yán)峻威脅。

“九板斧”守護(hù)數(shù)據(jù)安全流動(dòng)

如何保護(hù)數(shù)據(jù)安全流動(dòng)？齊向東介紹了“九大板斧”：

第一板斧：態(tài)勢(shì)感知。對(duì)數(shù)據(jù)安全威脅及時(shí)預(yù)警和處置，實(shí)現(xiàn)企事業(yè)數(shù)據(jù)安全的全方位態(tài)勢(shì)感知與動(dòng)態(tài)防護(hù)；第二板斧：零信任。通過零信任安全解決方案實(shí)現(xiàn)用戶訪問數(shù)據(jù)“權(quán)限最小化”，最大程度降低內(nèi)部人員泄露數(shù)據(jù)的風(fēng)險(xiǎn)；第三板斧：云鎖。有效檢測(cè)與抵御已知、未知惡意代碼和黑客攻擊，防服務(wù)器被控制；第四板斧：特權(quán)賬號(hào)安全管理，防內(nèi)鬼；第五板斧：資配漏補(bǔ)的系統(tǒng)安全。通過資產(chǎn)管理、配置管理、漏洞管理和補(bǔ)洞管理四大基礎(chǔ)安全流程，防漏洞；第六板斧：郵件威脅檢測(cè)系統(tǒng)。及時(shí)發(fā)現(xiàn)高級(jí)威脅和定向攻擊郵件，防釣魚；第七板斧：審查供應(yīng)鏈。天問平臺(tái)、代碼衛(wèi)士、開源衛(wèi)士多款產(chǎn)品上下游齊發(fā)力，盡早發(fā)現(xiàn)供應(yīng)鏈安全風(fēng)險(xiǎn)，預(yù)防突如其來的供應(yīng)鏈攻擊；第八板斧：內(nèi)生安全框架。奇安信提出的內(nèi)生安全框架，系統(tǒng)化建設(shè)完整的網(wǎng)絡(luò)安全體系，同時(shí)用具體的“十大工程”和“五大任務(wù)”，引導(dǎo)網(wǎng)絡(luò)安全體系的規(guī)劃、建設(shè)與運(yùn)營(yíng)，幫助政企機(jī)構(gòu)更好地應(yīng)對(duì)勒索攻擊；第九板斧：隱私計(jì)算沙箱。堅(jiān)持“數(shù)據(jù)不動(dòng)程序動(dòng)、數(shù)據(jù)可用不可見”原則，防數(shù)據(jù)“合法”泄露。

齊向東表示，通過“九板斧”，可從制度、人員管理、系統(tǒng)防護(hù)、供應(yīng)鏈上下游、數(shù)據(jù)交易等方面，對(duì)數(shù)據(jù)流動(dòng)形成完整的安全防護(hù)體系，在保障安全的前提下，對(duì)數(shù)據(jù)價(jià)值進(jìn)行充分挖掘利用，推進(jìn)數(shù)字經(jīng)濟(jì)安全穩(wěn)步發(fā)展。

據(jù)悉，本屆中國(guó)網(wǎng)絡(luò)安全年會(huì)由國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心主辦，以“攜手應(yīng)對(duì)數(shù)據(jù)安全威脅挑戰(zhàn)”為主題，聚焦當(dāng)前國(guó)內(nèi)外網(wǎng)絡(luò)安全工作新情況、新形勢(shì)與新挑戰(zhàn)。其中，由奇安信主辦的“數(shù)據(jù)安全分論壇”也是本次大會(huì)的重點(diǎn)之一，將有來自國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心、中國(guó)移動(dòng)研究院安全所、中國(guó)信息通信研究院安全所的專家，及奇安信、德勤中國(guó)等多家單位的行業(yè)大咖發(fā)布主題演講。