王志海：數(shù)據(jù)管理需求取決于流動程度而不是機密程度
在大數(shù)據(jù)行業(yè)，數(shù)據(jù)安全一直處于一種很尷尬的局面中。一方面人們明顯知道數(shù)據(jù)安全的重要性，但另一方面，強調(diào)數(shù)據(jù)安全就跟強調(diào)要強身健體一樣，往往不到生病住院，就不會真的行動起來去做些什么。面對這種局面，做數(shù)據(jù)安全的企業(yè)只能耐心等待一個成熟的時機，如今，新基建的提出或許預(yù)示著這個時機就要出現(xiàn)了。
圍繞“新基建為數(shù)據(jù)安全帶來哪些新機遇”這個話題，《數(shù)據(jù)》雜志對在數(shù)據(jù)安全領(lǐng)域深耕15年的明朝萬達(dá)公司董事長王志海進(jìn)行了一次專訪。專訪了在數(shù)據(jù)安全領(lǐng)域堅持了15年之久的明朝萬達(dá)公司董事長王志海，在他看來，新基建主要聚焦新一代信息化的基礎(chǔ)設(shè)施，數(shù)據(jù)融合共享是新一代信息化的主要目標(biāo)，這對數(shù)據(jù)安全必然帶來巨大的挑戰(zhàn)，這也決定了數(shù)據(jù)安全是新基建中的基礎(chǔ)建設(shè)要素之一。
“數(shù)據(jù)安全的機會來了”
當(dāng)新基建概念出來之后，王志海的認(rèn)為是數(shù)據(jù)安全行業(yè)發(fā)展的一個新動力機會，第一反應(yīng)是“機會來了”。尤其是其中包括大數(shù)據(jù)中心、AI、工業(yè)互聯(lián)網(wǎng)以及5G會起到明顯的推動作用。，王志海表示，“如果這基礎(chǔ)建設(shè)上來之后，會大量產(chǎn)生數(shù)據(jù)，而圍繞數(shù)據(jù)的共享和互聯(lián)互通就會越來越多，應(yīng)用也會越來越復(fù)雜。，基于此，政府或者企業(yè)對數(shù)據(jù)安全，包括對整個數(shù)據(jù)全生命周期管理的需求肯定是越來越旺盛”。
隨著新基建從概念提出到陸續(xù)有項目落地，王志海仿佛已經(jīng)看到了未來數(shù)據(jù)應(yīng)用層爆發(fā)的場景，這個時候?qū)脮r，對數(shù)據(jù)安全的需求也會越來越強烈。
當(dāng)然，有機會就會有挑戰(zhàn)。，而新基建對數(shù)據(jù)安全的挑戰(zhàn)，在王志?？磥恚褪请S著數(shù)據(jù)應(yīng)用場景層爆發(fā)而來的?！皵?shù)據(jù)應(yīng)用場景層的爆發(fā)會造成IT網(wǎng)絡(luò)異構(gòu)的情況會越來越多、越來越復(fù)雜，這就意味著我們要面對各種一堆不同的系統(tǒng)、終端設(shè)備及、各種異構(gòu)網(wǎng)絡(luò)”。
據(jù)悉，現(xiàn)階段網(wǎng)絡(luò)安全研究主要聚焦于主流微軟、Windows與linux等操作這樣的系統(tǒng)，當(dāng)新基建出現(xiàn)之后，會陸續(xù)出現(xiàn)新的國產(chǎn)操作系統(tǒng)及各種專用操作系統(tǒng)。，王志海表示，“短期內(nèi)這種基于新國產(chǎn)操作系統(tǒng)的安全需求增加，對安全企業(yè)來說，就需要更多跟多研發(fā)技術(shù)上的投入，需要研究很多不同的平臺”。
新基建將改變數(shù)據(jù)交換場景
新基建概念出來之后，幾乎每一家大數(shù)據(jù)相關(guān)的企業(yè)都在思索如何能從中獲取更大的機遇。為此，王志海表示，明朝萬達(dá)也在思考改變公司在數(shù)據(jù)安全上新的的發(fā)力點。
新調(diào)整都與新基建有直接關(guān)系。，首先是服務(wù)對象模式的變化，“新基建主要的推動單位肯定是各地政府科技信息化、各個主管部門，所以未來明朝萬達(dá)將更加重視面向省市級政府信息化部門類的服務(wù)客戶他們將會是明朝萬達(dá)未來的，將之他們作為公司未來發(fā)展的一個重點服務(wù)對象。”王志海提到，面向省市級政府信息化部門的數(shù)據(jù)安全服務(wù)話，就要做相應(yīng)的調(diào)整，去需要做一些更具普適性及、更基礎(chǔ)性的方案東西。
進(jìn)一步來說，這樣的調(diào)整還是因為新基建之后數(shù)據(jù)交換和流動將會發(fā)生較大改變。據(jù)王志海介紹，此前明朝萬達(dá)的重點客戶已覆蓋金融銀行、公安、政府主要是銀行、電信運營商等多個行業(yè)領(lǐng)域，從聚焦不同的行業(yè)需求，到省市級政府共性基礎(chǔ)數(shù)據(jù)管理需求層面，乃至更基礎(chǔ)層面上的數(shù)據(jù)管理，，“數(shù)據(jù)管 理模式和我們原來做的肯定有區(qū)別出入”。
王志海解釋稱，面對一個行業(yè)，只需要考慮行業(yè)內(nèi)部的數(shù)據(jù)交換問題，而且一個行業(yè)內(nèi)之間的用戶信任關(guān)系會更強一些，也就是數(shù)據(jù)流通的阻力會小一些點?！暗绻F(xiàn)在作為一個基礎(chǔ)設(shè)施，面對的是多個全行業(yè)及部門之間的數(shù)據(jù)存儲與、交換，就需要考慮怎樣建立不同行業(yè)之間的信任關(guān)系問題，需要、怎么保證跨行業(yè)間的數(shù)據(jù)安全交換問題”。
更具體的來說，王志海認(rèn)為與原來有出入的地方具體的區(qū)別主要有兩點。，首先是面向?qū)ο蟛灰粯樱霸瓉砦覀冏鲂袠I(yè)的整體解決方案是直接面向最終用戶，例如銀行就是我們的直接用戶。，而但新基建的這些解決方案可能面向的是新型基礎(chǔ)設(shè)施運維人員，但這個運維人員不是最終用戶，最終用戶涉及遍及各行各業(yè)”。
另一方面是技術(shù)上的力度管理的粒度不一樣，政府做新型基礎(chǔ)設(shè)施新基建的數(shù)據(jù)安全，可能重點要只需要做好不同用戶行業(yè)用戶單位之間的數(shù)據(jù)安全管理，“數(shù)據(jù)顆粒相對會比較粗一些，對于到用戶單位內(nèi)部的數(shù)據(jù)交換和使用安全這個延伸層面，政府端基礎(chǔ)設(shè)施運維單位可能就不需要參與管理管了”。
據(jù)悉，明朝萬達(dá)此前做數(shù)據(jù)安全管理，會結(jié)合用戶的業(yè)務(wù)，梳理IT架構(gòu)，甚至需要了解日常應(yīng)用場景，進(jìn)而發(fā)現(xiàn)具體的隱患點，在這個基礎(chǔ)上設(shè)計用戶的做數(shù)據(jù)安全架構(gòu)，保障數(shù)據(jù)流通的同時保護(hù)數(shù)據(jù)安全。
數(shù)據(jù)安全重點是過程安全
王志海認(rèn)為，數(shù)據(jù)安全與數(shù)據(jù)價值相輔相成，他有一句座右銘，“安全鑄就數(shù)據(jù)價值”。具體解釋是，做好管好數(shù)據(jù)安全是為了讓數(shù)據(jù)活起來、用起來，從而實現(xiàn)數(shù)據(jù)的價值的最大化。
數(shù)據(jù)作為生產(chǎn)要素的概念已經(jīng)從國家層面被明確，但生產(chǎn)要素想要真正影響經(jīng)濟效益，就需要很多細(xì)節(jié)管理，這個時候數(shù)據(jù)安全的重要性就開始體現(xiàn)出來發(fā)揮了，“數(shù)據(jù)管理不是一刀切式的什么數(shù)據(jù)都不能用，而是結(jié)合具體業(yè)務(wù)，保證數(shù)據(jù)流通及使用過程中的安全”王志海說道。
王志海始終強調(diào)，數(shù)據(jù)安全管理重點是過程安全，是要做全生命周期的數(shù)據(jù)安全管理，而不是只解決其中一個環(huán)節(jié)、一個問題，“我們做數(shù)據(jù)安全非常強調(diào)數(shù)據(jù)安全的動態(tài)管理和全流程管理”。
“管理數(shù)據(jù)安全就跟對疫情期間的流動人口管理是一樣的道理”，王志海形容，數(shù)據(jù)安全防護(hù)就像病毒防護(hù)，現(xiàn)在政府的重點是既要關(guān)注病毒防護(hù)，又不能讓經(jīng)濟運行癱瘓?！叭绻晃稄娬{(diào)絕對安全，讓所有人不出門，勢必會影響經(jīng)濟”，從這個角度來說，王志海再次提出“動態(tài)管理”一詞，“更好的辦法肯定是動態(tài)管理，考慮的是如何讓人進(jìn)行安全可控的流動，在確?；景踩那疤嵯伦畲蟪潭鹊倪M(jìn)行復(fù)產(chǎn)復(fù)工”。
數(shù)據(jù)安全不是把數(shù)據(jù)藏好了就安全，王志海認(rèn)為，數(shù)據(jù)安全要與數(shù)據(jù)流動形成一種平衡，“盡量在風(fēng)險可控的范圍內(nèi)保證數(shù)據(jù)的正常流動，不能追求絕對的安全，因為沒有絕對安全”。
在這樣的認(rèn)知下，王志海又提出一個觀點，數(shù)據(jù)管理的難度不是取決于它的機密程度，而是它的流動程度。在他看來，數(shù)據(jù)管理最大的挑戰(zhàn)恰恰在需要數(shù)據(jù)共享、交換和使用的場景中。
“比如在銀行這種直接跟消費者對接的結(jié)構(gòu)中，數(shù)據(jù)就必須要保證充分流動，這種場景下數(shù)據(jù)安全才會顯得更加重要”，王志海表示，而傳統(tǒng)意義上高級別涉密機構(gòu)的數(shù)據(jù)安全，對數(shù)據(jù)安全技術(shù)本身要求并不大，通常只要做好物理隔離手段就可以保護(hù)好數(shù)據(jù)。
數(shù)據(jù)安全還需從基礎(chǔ)標(biāo)準(zhǔn)層規(guī)范
數(shù)據(jù)安全的整體管理不是一件容易事，王志海表示，它需要的技術(shù)涉及各種終端系統(tǒng)、各種應(yīng)用的，特別是基礎(chǔ)的應(yīng)用協(xié)議，各種操作系統(tǒng)，還有各種平臺。當(dāng)然，王志海也表示，對于一個單位來說，構(gòu)建做這樣一個完整的數(shù)據(jù)安全管理體系服務(wù)器沒有幾年時間是很難的，但“我覺得這關(guān)系都不大，最主要的是先要定義出完整的數(shù)據(jù)安全是什么概念 ”。
王志海認(rèn)為，現(xiàn)階段，數(shù)據(jù)安全市場之所以比較混亂，核心原因就是數(shù)據(jù)安全這個概念非常混亂?！艾F(xiàn)在數(shù)據(jù)安全的概念非常大，我們能看到各種做數(shù)據(jù)安全的，比如說做數(shù)據(jù)備份的，防止數(shù)據(jù)丟失，又比如做防服務(wù)器漏洞加固的，各種各樣的”，缺乏一個權(quán)威意義上的標(biāo)準(zhǔn)規(guī)范。
概念混亂還導(dǎo)致了數(shù)據(jù)安全業(yè)務(wù)的割裂，“我們看到數(shù)據(jù)安全相關(guān)的防護(hù)業(yè)務(wù)，基本都被拆分成了各個小塊飄散在市場上，那對用戶來說，只做一小部分其實是沒有意義的”。王志海認(rèn)為，這再一次背離了他理解的數(shù)據(jù)安全，“數(shù)據(jù)安全管理是一整個閉環(huán)，就像疫情防控，不是只管理好車站，其他地方就可以不管了，整體管理才會顯現(xiàn)出效果來”。
在王志海看來，行業(yè)中一次又一次出現(xiàn)員工惡意泄露數(shù)據(jù)事件，最好的解決辦法也是樹立數(shù)據(jù)全流程管監(jiān)控的意識?！拔覀儾粫铝⒌娜ヅ袛囡L(fēng)險點，防止員工泄露，而是從數(shù)據(jù)本身角度出發(fā)，假設(shè)每個使用數(shù)據(jù)的對象都可能會出現(xiàn)問題，那么我們就必須要做數(shù)據(jù)流動過程中全流程的監(jiān)測防控”。
用王志海的話說，就對一個技術(shù)上人員而言，“一個外部人員進(jìn)入到一臺計算機設(shè)備和服務(wù)器，跟一個內(nèi)部員工在本地操作計算機，本質(zhì)上是沒有太大區(qū)別的”。
數(shù)據(jù)是在整個體系中不斷流動的，這是做數(shù)據(jù)安全最大的技術(shù)挑戰(zhàn)之一，不過，王志海還提到，客戶的信息化水平低也會制約數(shù)據(jù)安全管理系統(tǒng)搭建。尤其是目前數(shù)據(jù)安全依然缺乏法律層面的支持。
“雖然最近兩年出了很多像《網(wǎng)絡(luò)安全法》、《個人隱私保護(hù)條例》，但缺乏進(jìn)一步的細(xì)化，在落地執(zhí)行上現(xiàn)在還是非常弱的”，王志海表示，這幾年很多公司因踩到灰色地帶被懲罰，“這不僅僅是企業(yè)自身的問題，還有部分原因就是因為相關(guān)法律規(guī)則不明確所導(dǎo)致”。
