当前位置:首页 > 大数据 >

大数据安全治理体系的三个层次,是非常坚固的金字塔

2022-05-10 11:47:08

5月25日,大数据安全技术创新与产业化论坛在贵阳举行,中国信息安全认证中心主任魏昊以“安全认证助力大数据安全”为题做了演讲。

以下为演讲速记整理:

魏昊:今天我讲的话题是跟大家分享关于安全标准认证的问题,在大数据产业当中的实施,标准的认证不是新话题,但是在大数据时代标准和认证可能有许多新的挑战。我想在座有很多来自于企业的同仁,对认证和标准肯定不陌生,尤其是信息安全企业,我想在过去至少10年当中,跟认证打交道,获得各种各样的证书,墙上挂满了各种各样的资质,有很多员工在跑各种各样的单位,希望获得认可,我想大家不陌生。我们是认证标准的使用者,亦或是认证标准的“受害者”,这个“受害者”不是我说的,去年的4.19总书记在网络工作座谈会上专门提到重复认证、重复检测,增加企业负担的问题,要求改革体制机制,减轻企业负担。

如果说过去十多年企业是受害者,企业可能也有祸害的问题,自己争相拿证书,证书越炒越多,这个事要解决。过去需要解决存量的问题,未来大数据能不能不重复过去的情境?能不能在新基础上做一些更有价值的工作,摆脱重复认证检测。

我的演讲分为三个部分,时间有限,可能过的比较快。第一个话题是大数据技术发展代理的安全风险,第二个是标准语认证认可和保障大数据安全的关系,第三是对大数据安全标准语认证工作的个人思考,不代表任何机构和任何部门,是论坛演讲者我个人的意见。

2010年以来,世界主要国家相继发布战略规划等指导文件,推动大数据产业发展。大数据带来的发展精于,大数据是战略资源,每个国家都充分认识到这一点,希望借助大数据推动国家经济社会发展,随之而来的是大数据产业突飞猛进。

近年来,我国不断加强对大数据产业发展支持力度,将大数据上升为国家战略。从2015年开始我们对大数据不断出台新政策,以至于到2015年十八届五中全会提出实施国家大数据战略,国家战略层面。

2015年五中全会提出的战略现实开始实施,所以才有贵州大数据综合实验区,才有各种各样大数据的园区。在国家战略指导之下,各个地方发挥各自优势,在大数据领域进行探索和建设,尤其是贵州。

大数据发展带来的安全问题超出产业发展和人们对大数据充分利用,大数据还没怎么体现非常好的应用场景之前,有不少地方就受害,呈现这样的态势。说明安全管理、安全体系建设、安全技术可能落后于应用的发展,可能是这样的态势,这是我个人判断。2016年8月高考生徐玉玉的案例,中央高度认识,社会对大数据安全的意识惊醒,触目惊心。2016年世界十大网络安全事件,七件出自大数据安全事件。

大数据技术发展带来的安全风险,国际上也有表述,4V,我们国家是数量、真实性、速度、低值、多样性,价值的密度很低,单个数据随着有价值,价值利用低,一大堆的数据几个G,PB级的数据也产生不了多少价格。

突出的风险和威胁集中在几个方面,平台的安全、个人隐私安全、数据生命周期安全、服务安全。个人隐私,目前在世界各国主流关注排在第一,因为涉及到人权利的问题,尤其是欧美国家从意识形态对个人隐私关注超过其他地区,包括我们国家。个人隐私的安全大家都知道。

数据安全,在数据生命周期当中每个环节可能会产生不同的安全问题,围绕着数据的保密性、完整性、可用性产生的一些问题。平台安全,大数据是特殊的信息系统,由于它的架构记帐式储存,现在安全技术错误对大数据平台适用性、适宜性还没赶上,还没有适应过来,平台安全的应用层面、基础层面都存在大量漏洞,安全机制访问控制也好,审计也好,技术还没有跟上大数据时代的需求,平台安全是大问题,不是相对封闭信息系统的安全保障水平。大数据大,也有很高的价值,但是大就意味着树大招风,招引很多攻击,安全事件层出不穷的主要原因,招人攻击。

标准与认证认可,安全保障体系,顶层应该是法律法规,法律法规的制订是约束或者规制所有安全工作的基础,大数据领域首先西方国家关注的主要是个人隐私问题,法院源头在于隐私保护。欧盟去年刚刚公布《通用数据保护条例》,对数据跨境和个人信息处理提出了要求,它的跨境和我们关注的重要数据跨境不是一回事,出发点在于个人信息跨境以后能不能受到当地同样的保护,如果不能够对我国公民个人信息有同等程度保护,对不起,还不允许你的厂家或者提供商来对我的公民提供服务,是一种市场准入限制,巧妙通过个人信息保护,西方国家普世性价值理念实现经济竞争,欧盟的信息技术来讲也处在弱势地位,跟美国竞争而言是处于弱势地位,弱势地位更需要法律的保护。

不强调国家安全,但实际上是保护了国家安全,有这个效力。欧盟《通用数据保护条例》和认证认可有密切关系,保护的手段是法律强制,数据相关参与人主要是数据处理,虽然处理是广义处理,处理包括储存、数据控制者,要尽到法律责任,要保护你所掌控或加工处理数据安全,尤其是隐私安全。首先要有技术能力,要有管理体系,还要有一个好的意愿,因为法律制裁,非法的、恶意的使用处理或者分享信息、分享数据。

怎么满足法律的要求?主要机制就两个,一个是行为准则,企业要做承诺,要符合法律要求,一系列行为准则的承诺。二个是第三方认证,自己说了还不算,必须证明你是有意愿、有能力来履行保护数据的责任,这是《通用数据保护条例》的要命,大量认证认可的机制。我们可以看一下欧盟的经验,对我们有启发。

在我国《网络安全法》第三十七对重要数据安全提出了要求,一些个人信息和重要数据应当在境内储存,已经在征求意见,从法规层面已经有了规制的要求。标准是什么呢?在安全治理方面,标准是实施法规重要的手段和途径,这是从监管角度来看,对产业还有节约交易成本。在标本还不充分,标准只是一个文本,实施标本主要靠认证,验证和标准的符合性,这个工作是认证。国外关于数据的认证保护已经开始。

前不久,全国信安标委发布了《大数据安全标准化白皮书》,这个不详细说了,对我国标准体系作出规划。

标准并不是充分条件,是必要条件,标准要靠认证落实,国家认证体系发展不错,最新的数字我国已有各类认证机构344家,在信息安全领域我们也是一个认证大国,证书数量规模而言我们是超大国,认证太多。有完备的监管体系,认证为什么是认证?而不是检测?很多同志们企业认证和检测有不同的理解,按照国际标准的定义,简单说认证是两个,一是评价,二是证明,证明什么?证明产品、服务、人员符合要求,包括法规,包括标准的规定。

在整个产品和服务生命周期中始终要负责任,负责任证明你这个是符合要求的,意味着发了证以后还要持续监督,这是对认证的要求,检测不一样,检测基本上是一次性,送个样本给我,知道结果,对于今后大量的上市我不保证,产品一致性不保证,对产品更新打补丁以后在市场我也不保证,这是检测。

欧盟对数据保护企业数据服务的认证不是测评,是认证。认可,认证为什么能认可?要有约束,要有国家机构来认可你的能力,认证你的公正性,有这样的管理,黄雀在后,还有人在管它。

在国际范围内,还有人管它,就是国际合作互认体系,认可需要符合国际规范,大家要互相认,才能把证书拿到国际上有效力。我国自从加入WTO以来已经建立完整的认证体系,政府监管对认可来讲、对认证来讲是世界上最严的,认证认可体系统一程度也是最高的,认可认证在国际上达到互认的程度是最高的。我想介绍一下基本概念。

在信息安全领域我们所开展的认证已有很多,四大类,不详细说。真正和大数据相关的可能是国家信息安全产品认证、IT产品信息安全认证、电子招投标系统认证、信息安全管理体系认证、灾难悲愤和恢复、安全运行、信息安全保障人员认证等等。现在可以考虑认证的问题。

有了认证的基础,尤其是有了大数据审查的基础,大数据审查从前年开始对一些互联网公司、大数据公司进行详细审查,摸清低数,积累经验,为标准制定和将来认证认可的开展奠定很好的基础。

构建大数据安全认证的体系,主要的思想是大数据安全认证体系三个东西,一是技术创新,因为要满足大数据安全要求,要满足法律法规的要求,必须有技术支撑,没有创新的技术,法律是空的,实施不了,今天在座的企业重要,关注大数据特有的还不怎么过关的技术、进一步审计的技术、安全技术,包括平台里的技术,应该优先发展。二是健全标准,没有标准谈不上认证,认证是标准符合性的判定和证明。三是认证本身体系的健全,认证本身也是体系。

按照规划,同时满足几个方面的需要,一是《认证认可检测发展四规划》,涵盖了很多信息安全、网络安全的问题。认证认可体系里最重要的是能力建设,检测能力很薄弱,开展认证、开展检测数来数去就几大家,所谓的“国家队”,“国家队”不能包打天下,但它够用吗?可能不够用,网络安全认证可能也不够,数量、能力和力量都不够,资本够。

企业参与建设我们是欢迎的,在《网络安全法》第十七条,国家鼓励网络安全检测认证风险评估,鼓励社会参与,什么意思?要发展能力。现在看我们的产品、我们的系统、我们的数据,如果说都一遍筛子,比不过筛子有保障,但是现在能过筛子,这个产品服务能有多少呢?可能是我们的检测能力覆盖面还不够。还有顶层设计的问题,检验认证体系,回到总书记4.19讲话,有重复,重复在安全产品,所谓老三样,这些安全产品,大家都给这些产品发证,重复发证。现在《网络安全法》网络关键设备没人安全检测。

下一步工作,要完善体系建设,加快标准制订工作,加快技术研发。现在有些标准可以用来认可,国际标准也好,国家标准很快就出台了,很快发布,数据服务能力的安全,可能会在大数据服务企业、大数据交易这些环节来推动认证认可工作,利用已经具备的标准和实际需求。希望企业能积极参与,在贵阳讨论要建立大数据安全认证示范区,贵阳所处贵州大数据综合示范区,除了创新示范、应用示范,标准和认证示范也应该是先驱者。

大数据安全治理体系的三个层次,法律、标准规范认证认可是支撑大数据安全非常坚固的金字塔。

希望产业和科研机构、大专院校在法律法规的规制之下,创新解决大数据安全问题,用标准解决大数据产业发展的规范问题,用认证保障大数据安全法律、标准的落实问题。认证认可传递信任,服务发展,支撑监管。

本文系投稿稿件,作者:魏昊;转载请注明作者姓名和“来源:亿欧”;文章内容系作者个人观点,不代表亿欧对观点赞同或支持。


商标交易 https://www.shangbiaozhuanrang.com
星娱生活网