給大數(shù)據(jù)“守門”，光靠技術(shù)還不夠

數(shù)字化生存時(shí)代，得數(shù)據(jù)者得天下，贏安全者贏未來(lái)。

大數(shù)據(jù)的風(fēng)險(xiǎn)隱患有哪些？給大數(shù)據(jù)“守門”“上鎖”靠什么技術(shù)？保衛(wèi)大數(shù)據(jù)安全還需如何發(fā)力？5月26日在貴陽(yáng)舉辦的中國(guó)國(guó)際大數(shù)據(jù)產(chǎn)業(yè)博覽會(huì)上，多位大數(shù)據(jù)領(lǐng)域的權(quán)威專家、企業(yè)家就數(shù)字安全與風(fēng)險(xiǎn)防控暢所欲言。

任何新技術(shù)都是一把雙刃劍，大數(shù)據(jù)帶來(lái)變革的機(jī)遇，也帶來(lái)更多的風(fēng)險(xiǎn)。

2016年9月，雅虎公司因?yàn)樽陨淼陌踩┒幢痪W(wǎng)絡(luò)黑客利用，5億雅虎用戶的信息被泄露。我國(guó)也曾發(fā)生多個(gè)招生考試院考生網(wǎng)站被攻擊，導(dǎo)致大量的考生信息泄露，引發(fā)詐騙、盜竊等各種刑事犯罪。

不久前肆虐全球的勒索病毒，是通過(guò)互聯(lián)網(wǎng)端口輸入病毒程序，對(duì)重要文件進(jìn)行加密然后敲詐，攻擊目標(biāo)直接鎖定用戶的數(shù)據(jù)，攻擊手段竟是原本為了保護(hù)數(shù)據(jù)安全的密碼技術(shù)，這些都提醒人們保護(hù)大數(shù)據(jù)安全刻不容緩。

據(jù)中國(guó)科學(xué)院院長(zhǎng)白春禮26日介紹，當(dāng)前近50%的數(shù)據(jù)可能面臨被泄露的風(fēng)險(xiǎn)，大數(shù)據(jù)安全給人們提出新的挑戰(zhàn)。

奇虎360公司副總裁石曉虹認(rèn)為，大數(shù)據(jù)面臨很多威脅，除了基礎(chǔ)設(shè)施安全，還包括系統(tǒng)漏洞和后門、外部攻擊和竊密、數(shù)據(jù)資產(chǎn)泄露、內(nèi)部非授權(quán)訪問(wèn)、違規(guī)交易等。同時(shí)，風(fēng)險(xiǎn)存在于大數(shù)據(jù)的采集、傳輸、存儲(chǔ)、應(yīng)用等整個(gè)生命周期中。

中國(guó)電科集團(tuán)公司網(wǎng)絡(luò)安全首席專家、大數(shù)據(jù)國(guó)家工程實(shí)驗(yàn)室副主任董貴山告訴筆者：采集，涉及如何保證采集途徑可靠性和信息的真實(shí)性；傳輸，涉及如何保證數(shù)據(jù)不被竊取、劫持和篡改；存儲(chǔ)和共享使用不同來(lái)源的數(shù)據(jù)，需要解決安全共享與交換問(wèn)題，進(jìn)一步要解決數(shù)據(jù)的所有權(quán)、運(yùn)營(yíng)權(quán)、使用權(quán)確權(quán)與應(yīng)用監(jiān)管問(wèn)題，以及解決異構(gòu)數(shù)據(jù)集中存儲(chǔ)的分等級(jí)保密性和可用性保障問(wèn)題；應(yīng)用，需要考慮如何按不同應(yīng)用需求給敏感數(shù)據(jù)制定不同的脫敏策略，并為大數(shù)據(jù)應(yīng)用提供統(tǒng)一的安全服務(wù)接口和安全可視化的手段等。

“作為信息社會(huì)的重要資源，大數(shù)據(jù)可能被毀被偷，危險(xiǎn)無(wú)處不在。”董貴山說(shuō)。

中國(guó)工程院院士倪光南認(rèn)為，保證大數(shù)據(jù)安全不僅要突破單項(xiàng)網(wǎng)信技術(shù)，還要在信息技術(shù)體系機(jī)器生態(tài)系統(tǒng)的競(jìng)爭(zhēng)中取勝。他說(shuō)，我國(guó)已經(jīng)是網(wǎng)絡(luò)大國(guó)，但還不是網(wǎng)絡(luò)強(qiáng)國(guó)。我國(guó)的信息基礎(chǔ)設(shè)施以及信息化所需的軟、硬件和服務(wù)，大量來(lái)自外國(guó)公司，由此構(gòu)成的基礎(chǔ)設(shè)施或信息系統(tǒng)就像沙灘上的建筑，在遭到攻擊時(shí)防御能力非常脆弱。

“因此只有構(gòu)建安全可控的信息技術(shù)體系，才能達(dá)到核心技術(shù)不受制于人，將命運(yùn)掌握在自己手中。”倪光南說(shuō)。

中國(guó)工程院沈昌祥院士提出，主動(dòng)免疫的可信計(jì)算能解決大數(shù)據(jù)安全的問(wèn)題。他說(shuō)，人體有很多缺陷，之所以能夠健康生活，就是因?yàn)橛忻庖呦到y(tǒng)。大數(shù)據(jù)需要有密碼保護(hù)的可信計(jì)算環(huán)境，要有可信的邊界、可信的保護(hù)，要有管理中心等。構(gòu)筑這樣的安全管理體系，才能應(yīng)對(duì)各種利用漏洞來(lái)進(jìn)行的攻擊，這樣最終實(shí)現(xiàn)攻擊者難以進(jìn)去，進(jìn)去了也很難拿到東西，拿到了也看不懂的安全防護(hù)效果。

“傳統(tǒng)的認(rèn)證、加密、授權(quán)、資源訪問(wèn)控制等安全防護(hù)手段對(duì)大數(shù)據(jù)安全也能發(fā)揮作用，但大數(shù)據(jù)時(shí)代需要更適應(yīng)大數(shù)據(jù)應(yīng)用形勢(shì)的安全服務(wù)。”董貴山認(rèn)為，以密碼技術(shù)為數(shù)據(jù)安全的核心關(guān)注點(diǎn)，包括網(wǎng)絡(luò)空間實(shí)體的身份管理和信任、圍繞數(shù)據(jù)保護(hù)的規(guī)模化的密碼服務(wù)以及大數(shù)據(jù)應(yīng)用的用戶密鑰管理服務(wù)和安全監(jiān)管都是安全服務(wù)的范疇，總體概括來(lái)講，就是把安全基因內(nèi)生在網(wǎng)絡(luò)系統(tǒng)、數(shù)據(jù)處理平臺(tái)系統(tǒng)、應(yīng)用系統(tǒng)，對(duì)數(shù)據(jù)全生命周期實(shí)施動(dòng)態(tài)的防御策略。

保衛(wèi)大數(shù)據(jù)安全還需綜合施策

26日，大數(shù)據(jù)協(xié)同安全技術(shù)國(guó)家工程實(shí)驗(yàn)室在貴州省貴陽(yáng)市正式揭牌成立。實(shí)驗(yàn)室將致力于大數(shù)據(jù)安全核心技術(shù)研究和產(chǎn)業(yè)示范，推動(dòng)安全大數(shù)據(jù)共享服務(wù)和安全大數(shù)據(jù)基礎(chǔ)設(shè)施服務(wù)，建立大數(shù)據(jù)安全技術(shù)標(biāo)準(zhǔn)和產(chǎn)業(yè)規(guī)范，推動(dòng)大數(shù)據(jù)安全產(chǎn)業(yè)發(fā)展。

多位專家表示，打好大數(shù)據(jù)安全保衛(wèi)戰(zhàn)，不光要有技術(shù)，還需綜合施策。

“從發(fā)達(dá)國(guó)家的經(jīng)驗(yàn)看，信息安全和信息化建設(shè)是同步發(fā)展的。在國(guó)外，數(shù)據(jù)安全投入約占信息化建設(shè)總投入的9%～15%，這一比例目前我國(guó)還達(dá)不到。”北京立思辰信息安全科技集團(tuán)副董事長(zhǎng)周西柱建議，進(jìn)一步加大對(duì)大數(shù)據(jù)安全的投入和支持力度。

“首先要做好頂層立法和戰(zhàn)略規(guī)劃。”中國(guó)信息安全測(cè)評(píng)中心專家委員會(huì)黃殿中副主任表示，應(yīng)堅(jiān)持把數(shù)據(jù)網(wǎng)絡(luò)納入網(wǎng)絡(luò)數(shù)據(jù)，明確治理權(quán)和管理權(quán)的劃分，落實(shí)相關(guān)法律法規(guī)，加快推進(jìn)數(shù)據(jù)資源權(quán)益和個(gè)人信息保護(hù)方面的立法工作，明確大數(shù)據(jù)使用中各方行為體的權(quán)責(zé)義務(wù)。

“同時(shí)，建立符合本國(guó)需要的大數(shù)據(jù)資源分級(jí)分層管理辦法，進(jìn)一步完善數(shù)據(jù)安全管理制度，實(shí)現(xiàn)對(duì)大數(shù)據(jù)資源采集、傳輸、存儲(chǔ)、利用的規(guī)范管理。”黃殿中建議，研究出臺(tái)大數(shù)據(jù)安全審查辦法，加大對(duì)重點(diǎn)行業(yè)、重點(diǎn)領(lǐng)域大數(shù)據(jù)領(lǐng)域?qū)彶楹驮u(píng)估力度，全力推進(jìn)大數(shù)據(jù)預(yù)警檢測(cè)和行業(yè)監(jiān)管。

“今后要進(jìn)一步使用國(guó)家信息庫(kù)、安全云平臺(tái)等軟硬件的規(guī)模化應(yīng)用，分期分批實(shí)現(xiàn)軟硬件自主化。”黃殿中建議，積極構(gòu)建自主可控的大數(shù)據(jù)產(chǎn)業(yè)鏈條和技術(shù)研發(fā)，使自主軟、硬件產(chǎn)品有條件、有渠道進(jìn)入采購(gòu)的市場(chǎng)，對(duì)涉及國(guó)家核心利益的信息確保高技術(shù)保障，確保大數(shù)據(jù)又好又快發(fā)展。