BAT用什么来保证我们的信息安全？

向治霖

信息泄露事件频发1、徐玉玉被电信诈骗案2016年8月，山东高考录取新生徐玉玉遭遇“发放助学金”的电信诈骗，被骗9900元后心脏骤停死亡。诈骗实施者被控诈骗罪、侵犯公民个人信息罪。诈骗实施环节包括一名黑客，侵犯并出售信息。团伙通过网络购买学生信息和公民购房信息，精准诈骗。此次事件引起舆论对信息黑产的前所未有的关注。2、58同城全国简历遭泄露2017年3月底，媒体爆出58同城简历数据在淘宝有售，“要多少有多少，全国同步实时更新”，一条信息0.3元。此事是因58同城招聘网站对简历数据的防护存在漏洞，只需700元一套的爬虫软件，即可采集全国430多个城市，以及464个职业的简历数据。3、360水滴直播2017年12月，自媒体文章《一位92年女生致周鸿祎：别再盯着我们看了》，质疑360旗下的直播平台水滴直播将商家的公共空间视频公开播放，安装了360智能摄像机的商家等地，其场景被传到网络平台，而被侵犯的顾客行人对此并不知情。舆论升级后，水滴直播称，12月20日起将永久停止运营。4、Facebook数据泄露事件2018年3月，Facebook公司被曝陷入“史上最大数据外泄事件”。Facebook生态的公司之一剑桥分析，分析利用在Facebook上获得的5000万用户的个人资料数据，在美国总统选举期间针对这些人进行定向宣传。此事件让公众开始关注到在精准推销、诈骗外，数据的更多应用价值和泄露后的危害。5、黑客入侵快递公司后台窃取信息兜售2018年5月，江苏省淮安市警方成功侦破一起公安部督办的黑客非法入侵快递公司后台窃取客户信息1亿条牟利案件，13名嫌疑人通过黑客手段登录快递公司后台窃取信息数据，再通过QQ群、微信等兜售，买家多为从事“三无”产品销售的网络经销公司。

现在是数据业务化（DT）的时代。对此嗅觉最灵敏的那拨人决定了它首先被运作在商业用途。

以通讯社交应用为例，若干张通讯录清单足够显示一个人的社交范围。在其中，用户打开聊天页面的频率、聊天时间长短，互动次数，这些可量化的数据可以勾勒出用户在社交中远近亲疏的人脉结构。即，信息数据化。

国内BAT三大巨头的主营业务，分别对准搜索、交易、社交数据。这些数据反映出一个人的行为习惯、偏好、消费能力等信息。而高速迭代的硬件和分布式架构，提供了存储、运算这些数据的支持。人在数据时代，很难有不为人知的信息了。

信息和海量数据的齐齐泄露不止关系隐私权，更关系到人身安全、财产安全。毕竟，网络上向来有一个幽灵般的黑色产业链。

大数据时代需要守护，也需要规训和正确指导。它长大后的样子，也将深刻改变我们和我们所处的社会的面目。

数据，价值如新型石油

“上一次工业革命完成的是数据的高效收集整理，也就是信息化。那么下一次革命就是对信息潜在价值的发现和利用，也就是知识和经验的利用。”上海某科技公司高级算法专家 、算法經理周洋这样说。

发现数据的价值，是IT时代发展中偶然的必然。信息安全专家、墨云科技创始人刘兵说，从90年代，互联网互联互通，事实上刚开始的互联网公司很简单，如通讯软件即方便交流，电商即方便购物，后来数据流猛增造就了BAT等公司，数据一集中，就变得有价值了。

把价值变现，成了互联网公司发掘数据价值的驱动力。

周洋说，AI算法有一个最基本的定理叫pac理论，即近似学习，它需要更多的数据总量，和更多维度的数据。越多，学习的信息量和信息价值就会越大。

“没有任何一家互联网公司拥有的数据是齐全的，包括BAT，也只有很少的、少量维度的数据，它们都有进一步挖掘和合作数据的需求，毕竟目前大数据才刚开始发展，还早呢。”周洋说，数据天然具有可复制性，而在数据层面进行合作，在多种维度如社交、交易、旅游出行特点等数据齐聚下，就可以更准确地刻画一个人的行为及其特点，“合作商会得到更准确的价值，那么这种价值大家就形成共享”。

到现在，数据的价值远不止用于精确营销。周洋说，数据里面有很多的潜在价值，可以改进公司的生产、产品或策略，达到更优。因为以前的数学建模都是考虑几个因果关系的量，然后建模，但是出来的结果有偏差，因为忽略和假设了很多。而大数据分析的方式是，建模的时候完全从数据驱动的方式，不考虑数据的物理意义，那么数据就包括因果关系，关联关系等，然后得出的结论再去解释物理意义。

“比如，大数据技术可以分析，在学校打水的多少可以估计一个人的成绩等。两者不是因果关系，而是关联关系，传统的数学建模是不容易想到的。”

找关联，不问因果。从前囿于可操作性而被忽略的海量数据的价值被发掘，最先感应并广泛应用的便在商业上。新的价值被发掘不断，规模可观，新型的商业服务依托于此，比你更了解你。因此，数据被喻作一种“新型石油”。

新型石油的攻占，不免早期的原始性“掠夺”。在这一利益驱动上，互联网公司倾向获取用户尽可能多的信息和数据，在不断推陈出新、和被用户随手点击同意的协议上做“一揽子买卖”。其次，互联网公司之间的数据合作，以及互联网公司内部处理数据，或者与第三方数据公司分析数据，多次利用，至今仍是一块“单面镜” —用户并不知情。

互联网公司之间的数据合作，以及互联网公司内部处理数据，或者与第三方数据公司分析数据，多次利用，至今仍是一块“单面镜”—用户并不知情。

另一方面，互联网头部企业倾向建立“生态圈”，一种种新的应用场景不断推出新的产品。“有时并不是它真的想做这个生意，它的目的是为了掌握数据”，周洋说，掌握了数据的端口就掌握了一切的需求点，在数据层面上做什么都可以。从社交、搜索、交易数据到衣食住行、金融理财的端口，“你完全就是一个透明人，哪还有什么秘密可言呢”。

攻防，消散的乌云

安全防护，是企业被倒逼着上的。

信息泄露，大数据时代之前早已有之。

信息买卖流入平台，曾经出现在交易平台上。一般的信息1元一条，高净值的100元乃至更高，流入各类人手中，流入买房买车、贷款的业务上。这是数据应用的“初变形”。

互联网商业公司做起来的逻辑是，要流量，流量多了就要变现，再要有数据能变现，要大数据，没了。“没安全什么事”，刘兵说，直到后来的数据泄露，造成用户因担忧而离开，用户少了，才必须安上安全防护，“所以说安全是被逼着上的”。这造成互联网创业的一个“怪圈”，都是公司增长增长增长，成功了甚至上市了，再回头搞安全。

重视流量和变现，同时一个应用场景的多家争夺，趋利本性和商业模式使得安全缺位。刘兵笑道，他做了十几年的安全行业，在2017年5月开始创业后，对此有了更深的感受和理解。从早到晚，时间被安排得没有空档，有一份钱就想用到运营上、拓展上。“公司必须这么做，落后就死了，这时候安全很难顾上”。

2010年5月，一个名叫乌云网的网站上线。其创始人方小顿是知名白帽黑客，从百度安全的核心层离职出来创业。乌云网是一个漏洞平台，到2016年有了一万多名注册白帽黑客，他们通过攻击互联网企业的应用网站系统，得到漏洞后提交到乌云网上，涉事企业修复后，一般会以各种形式奖励相关白帽黑客。若涉事企业没有对漏洞进行修复处理，乌云网会公开漏洞。

乌云网的业务模式，从一开始就饱受争议，有赞赏也有诘难。核心原因在于，乌云网白帽黑客的攻击测试，是个人行为，没有经过企业的授权。而且，未经修复的漏洞，其和其企业会被网上公示，这被看作侵犯了运营主体的合法权益。

乌云网，被看作是一群理想主义者的“尝试”。方小顿曾说，互联网企业的安全意识，关系到用户个人信息权益的得失，“都在讨论互联网企业的合法权益，那么用户的信息隐私、安全和知情权呢？”

乌云网停摆后，从事安全建设的白帽黑客有3个去向，有的不做了，有的成立了各类安全机构，还有一些技术牛人被挖到各大企业的安全应急中心（src）。

到现在，安全服务市场主要由甲方的安全部门和src，以及第三方的安全服务公司的格局构成。

src让白帽黑客有了正式的渠道去做安全，过去行走在“红线”的行业得到了规范。前乌云网合伙人、现众安科技创始人杨蔚说，这条红线，更多指的是，千万不要受到金钱的诱惑，主动犯罪，被动犯罪，提供黑客工具等，而迷失自我，误入歧途。

重视流量和变现，同时一个应用场景的多家争夺，趋利本性和商业模式使得安全缺位。

但各大巨头src的建立和壮大，带来的负面影响也是显而易见的。一方面，大多技术牛人被巨头们挖走，巨头们集合了安全运营和安全建设，形成闭环。另一方面，第三方安全市场的建立，既受到巨头们高薪的诱惑，容易失去中坚力量，而且巨头们的“自给自足”，也减少了相应的需求。

大视野下，互联网巨头们高薪养安全，而其他互联网头部企业和中微企业，仍然存在安全意识薄弱和动力不足。刘兵说，在互联网行业中，互联网金融、理财相关企业的业务直接挂钩于钱，安全意识足够。而到面向普通场景的应用，则动力不足，“真的为了安全去做检测，和为了合规而做检测，两种检测的程度、次数都是不一样的”。

杨蔚甚至感叹，信息安全也许是个伪命题。“互联网企业甚至传统企业，数据的丢失往往影响个人，对企业的影响相对较小，很少有企业因为安全事件遭遇灭顶之灾的，最多是一部分的财产损失，损失的风险相对可控。”

转型，甲方的痛点

进入DT时代，数据成为新的能源用于更多应用场景，数据价值广泛挖掘的喷薄之势欲出。这对所有使用数据的公司提出更高的安全要求，而非相反。

信息的攻防如木桶原理。杨蔚说，攻击者往往只需要通过一个点就可以完成一系列的攻击；但是从防御的角度考虑，而需要做的是面的问题。“现在拥有海量数据资产的产品、企业比较多，而这些企业需要承担的安全责任也更加艰巨。背后潜伏的数据威胁是比较恐怖的，一旦被窃取，后果不堪设想。”

“当数据的价值被发现，大家就在拼命的获取和汇聚数据，然后让数据加工流通到相关的业务系统当中去，包括跨组织以及生态体系的数据共享和交易，形成了复杂的数据流动关系，这种数据流动本身就带来了新的数据流动和使用风险，包括引起的数据业务过程的风险，并随数据的流动贯穿企业的所有系统”，方兴说，这可能是企业组织面对的最重要的数据风险。

方兴曾经在阿里巴巴集团从事安全工作，现在在数据安全领域创业。他說，数据的流动风险需要一套技术的体系去控制和管理它。最明显的例子是Facebook。Facebook公司把数据给生态去用，但在使用中，基于性格测试获得的数据，流到了剑桥再用于竞选的分析。这是典型的数据用途的用途变更风险。

而要做到规避数据流动的风险，则需为IT时代对数据流动安全性管理能力缺乏“补课”。方兴说，比如现在的数据库实际上只有表级权限，权限非常粗放，但从数据属性来说，可能不同属性的列不同的安全属性，甚至不同的行也有不同的安全属性如来源、时效等，比如一个跨国企业汇集了不同国家的相同结构的数据到一个数据表里，怎么能区分出这些来自不同国家的数据并使用不同国家的数据管理规定来管理数据，因为每个国家对数据管理的要求是不一样的，如美国分部负责数据分析员工碰触到中国用户的数据，可能就会算一次数据的出境。

大数据行业下，数据流向更多应用场景，价值挖掘的喷薄之势欲出。这对互联网公司运营者提出更高的安全要求，而非相反。

同时大量数据的汇集、流动和使用，但是我们在数据流动使用的应用层、数据汇集和分析的大数据平台的安全基本上是一片空白，这是用户最担忧的信息泄露的隐患所在。—“很多的企业上BI（数据分析和挖掘）都是用外包的方式在做，因为BI的人员也很奇缺。那这些外包到底拿什么数据，它的操作合不合规，现在基本上是裸奔，就没有任何的防范的或者是可审计的东西。生态、合作伙伴、内部应用的业务人员如何获取和使用数据，也缺乏监控和审计的手段。”方兴说。

在方兴看来，以前在IT时代很多数据的很多风险和数据主体权利保护可能只是企业的意愿问题，但是发展到DT时代，数据复杂的流动，导致保护数据安全，控制数据流动风险、守护个人隐私则变成了一个企业的能力问题。

方兴在阿里巴巴的几年里，一直从事安全，“与黑产作斗争”。他发现，其实大量的数据风险都来自于企业内部。比如说，企业的离职员工，可能会带走大量的数据。最基层的人员如生态里的电商客服，流动性高工资低，但天天在接触这些数据，他们很容易被黑灰产收买。数据流动起来后，数据成为了生产资源，对数据资源的访问权限分配是按生产需要来分配而非基于可信来分配的。“很多的时候，数据安全问题不是一个攻防对抗的问题，对数据安全，它更多包含了也包含了数据自身的风险管理和治理的问题。”而随着欧洲GDPR法案的颁布，中国也在对数据安全进行标准规范的进程中，数据的流动性风险管理还涉及到企业运营的合规问题。这些，是很多掌握了大量个人数据的互联网公司的安全业务痛点。

未来希望完成数据业务化转型的企业需要具备这样一种能力：识别敏感数据的来源去向授权用途，敏感数据流动的血缘的关系，对数据分类分级，并且能进行细粒度的权限配置和管理对数据的变更进行风险的控制。能够发现数据流动当中的安全的策略有没有不一致的地方，追踪数据在流动使用当中，用户授權与数据用途是否一致。

DT时代的来临，让每个企业获得了新的发展能源，而与数据流动的风险与用户的主体权利和隐私保护的痛点益发突出，“将来不具备数据流动风险管理能力保证数据安全的公司，很难实现数据的业务化转型，通过数据的力量获得的竞争优势做强做大的”，方兴说。