同盾首席架构师:数据安全,步步为营-中新网

发布日期:2020-09-11 03:19   来源:未知   阅读:

  中新网9月1日电 “同盾做的数据‘去标识化’,就像开着飞机换发动机”,同盾科技首席架构师、技术副总裁董启江回忆,“要把底层的PB级数据要重新刷一遍,且新老并存、无缝切换,不能影响到现有业务和客户”。

  同时,同盾推出了数据安全交换、资产风险管理、容器安全、蜜罐技术、态势感知五大“硬核”技术,来构筑数据安全管理体系。

  整个过程并非一帆风顺,首先去标识化相当于把底层的PB级数据重新处理,且新老并存、还要做到无缝切换,如同“开着飞机换发动机”。

  多年后,技术早已攻克了一个个数据安全难题,然而董启江深知,对于他,对于同盾,对于整个行业而言,战事还远未结束。

  而在此之前的2019年11月,同盾科技已提前着手实施数据去标识化-可用不可见项目。

  在董启江指挥下,去标识化工程稳步推进,他说:“同盾对所有涉敏感信息的数据全面进行了脱敏化和去标识化,将数据转换成符号,并且在存储上进行了分离处理。经去标识化处理后,底层存储和系统页面显示的都是一串‘无意义’的符号,这是经过一系列复杂算法和规则的处理,不是传统方式的简单转换,靠外部撞库攻击是无法破解的。”

  “除了去拿证书,真正的目的是检验我们软硬件系统安全的可靠性。”董启江所说的可靠,源于同盾采用的严格加密措施:在传输端,同盾采用HTTPS协议,并对传输的内容根据客户需求做二次加密处理,支持国际通用的加密算法MD5、AES、SHA256等,同时支持国密算法SM3、SM4等。

  2016年,Facebook向英国咨询机构剑桥分析泄露用户数据,用于干预美国总统选举,引发全球关于数据安全的广泛讨论,业内纷纷采取行动。

  “我们为什么要自建机房?作为一个初创公司,我们手上的钱并不富裕”,四年前的一天董启江把问题抛给同盾创始人、董事长蒋韬。

  他明白,这场已持续多年攻防,将成为大数据时代的主题。 【编辑:张楷欣】

  许多年前,董启江刚入行时,曾开玩笑,当时共享数据又要避免原始数据泄漏最安全的办法是“让A公司和B公司的老总扛着机器来到宾馆,一起利用双方的原始数据分析建模拿到结果后,当场砸掉机器,通过物理销毁,避免数据泄露。”

  董启江所说的“数据去标识化”,是指同盾在数据安全层面,于今年6月完成的公司数据流转架构整体升级,从底层架构层面支撑业务数据合规,实现数据存储与流转的“可用不可见”。

  由市场监督管理总局、国标委发布的《个人信息去标识化指南》、《大数据安全管理指南》于2020年3月正式实施,并给出了个人信息去标识化的具体指引,标志着数据安全进入了新的阶段。

  董启江说,“尽管当时公有云服务已经足够安全,但是后续也发生了一些公有云数据泄露、数据丢失问题。事实证明,自建机房、为客户筑成一道物理‘长城’的决定是明智的。”

  同盾创始人、董事长蒋韬认为,基于数据共享和流通的分析产品和服务,市场空间巨大、前景广阔,这个趋势不可逆。同时,合规建设会成为行业企业发展的根本前提。“虽然企业合规成本会越来越高,但这有利于行业企业的长期发展,好企业会发展壮大。”

  未来,同盾科技后续还将在数据安全领域持续加大投入,董启江介绍,具有自主知识产权的智邦平台已初露头角,在多家金融机构开始试点。智邦平台将数据转化成信息、模型、认知或知识,再通过联邦的方式实现数据可用,从而保证了不同机构间数据“不流通”的前提下,实现“信用”和“信任”的流通,通过去中心化的方式从根本上解决数据安全和共享的问题。

  董启江分析称,原有的安全防线尽管牢固,但再严密的防守,都可能因一家防护意识淡薄的企业疏失,而祸起萧墙。解决办法之一,就是将数据库内的数据去标识化,使得入侵者无法通过撞库等方式获取数据。

  在行业内,同盾率先进行了浩大的去标识化工程。

  去标识化项目的成功,带来的益处是多方面的。

  如何通过引入全新的数据保护模式,使得数据安全性、隐私性在得到保证的前提下,最大限度地支持基于数据驱动的科学研究及商业活动?当下,让数据“可用不可见”成为各界共识,但也是业界最难攻克的技术课题之一。

  此外,同盾尽可能将涉及数据流转的过程自动化。客户通过系统上传加密,上传到同盾的系统,系统跑完后触达客户的整个过程全链路自动化,保证数据不经过“第三只手”。

  董启江说,同盾也率先意识到数据安全是一个动态的过程,不再是一个纯产品技术上的安全,而是需要组织规范+技术的完美整合。基于此,同盾建立了缜密的安全管理组织,并出台了数据安全管理规范等来施之以法。

  就在《数据安全法(草案)》正式向社会征求意见前夕,2020年6月,经过八个月的努力,上千人日夜投入,同盾终于率先实现全站业务系统敏感数据的去标识化。当所有数据平滑迁移完成一瞬,董启江说他仿佛能听到心跳声,“我们即将攀上数据安全的珠峰”。

  然而,同盾创始人蒋韬有独到见解:一定要自建机房,因为我们是独立第三方的科技企业,给客户构建一个牢不可破的安全环境是我们的立身之本,也是我们的使命,在这上面花多少钱都是值得的。

  广义的安全大致可分为网络安全、业务安全、数据安全三个维度。同盾自从成立以来,一直在安全攻防的第一线,某种意义上说,同盾的创业史也是安全领域进化史的一个缩影:从之前的传统安全手段、到现在的去标识化、将来的联邦学习,同盾几次里程碑式的举措,也为数据安全与共享的探索提供了示范。

  时代滚滚向前,数据意义也从原先虚拟的字节符号成为了如今核心的“生产要素”和“数字黄金”。2020年中央发布重磅文件,数据市场要素化催生新机遇,一场足以显见的数据红利热潮正在加速奔来;另一面方面,数据安全、隐私保护等挑战也日趋严峻。

  值得一提的是,“在多方努力下,2018年11月同盾获得PCI DSS(Payment Card Industry Data Security Standards)认证,建起了一道密不透风的墙,”董启江介绍,该认证是目前全球最高级别的金融数据安全标准,最权威的支付卡产业数据安全标准之一。

  数据安全的珠峰

  建一道密不透风的墙

  筑起“硬件长城”

  而今,同盾已拥有4000台的物理机,形成了杭州、上海两个T4等级机房的格局,实现异地双活,异地容灾,成为了业内最完备的企业,至今未发生过一起数据安全事故。硬件的长城,成为同盾数据安全的基石。

  而且,这与当时的业界风潮并不相符。当时,大多数创业公司选择投入较低的公有云服务模式存储数据。

  其次,去标识化涉及到所有的业务线、所有的业务链,还有在线的、离线的所有系统,涉及面太广,梳理工作非常巨大。如果A系统做了,B系统没做,就会发生乱流,让整个系统瘫痪。

  而这一切,我们从四年前一次对话说起。

  “但无论是传统安全措施,还是现在成功的‘去标识化’,这些成功的背后其实都是人,而且不是一个人,而是一个团队”,董启江说。

  同盾的硬件长城自此修建,时间很快验证了同盾的硬件安防策略。

  以企业内部数据安全为例,董启江说,传统企业主要靠制度和合约约束,比如数据工程师第一个任务就是要签保密合同,然而他仍不免有机会明文看到数据,“根据现行法律,我们开玩笑说数据分析师成为了高危行业。”

  “同盾是行业中第一批意识到数据安全紧迫性,并采取行动的企业之一。”董启江说道,“我们未雨绸缪,机房、大数据平台等很早就通过获得ISO 27001信息安全管理体系认证证书、国家信息安全等级保护三级测评等认证”。

  事实上,同盾科技自成立之初,蒋韬便决定自建机房。自建机房意味着海量投资,对一创业公司而言,这是沉重压力,意味着公司拿到融资,将有大部分投入到硬件等基础设施建设。

  在这些基础工作之外,同盾研发了数据安全交换平台(DataX)。基于数据安全交换平台,同盾实现了两个功能,一是建立了一个物理隔离空间;二是为数据进和出建立了一个通道,把原来访问数据的多个渠道封闭,只留下一个通道。所有的数据都只能经过这一扇大门,而且所有经过的数据都需要做审计,保证数据的流向都是有迹可循的,可以追踪。

  仅靠保密协议约束显然不够,而去标识化的数据,便可实现“可用不可见”,在技术上实现保障。董启江举例,同盾的分析师在大数据平台、机器学习平台做数据建模,在加工的过程中看到的都是脱敏的数据。

Power by DedeCms