“數(shù)字經(jīng)濟要做好紅線意識和安全流動兩篇文章”在2021年中國網(wǎng)絡(luò)安全年會上，奇安信集團董事長齊向東表示，數(shù)據(jù)泄露總量已超過前15年之和，平衡好數(shù)據(jù)利用與數(shù)據(jù)安全之間的關(guān)系，是數(shù)字經(jīng)濟平穩(wěn)健康發(fā)展的關(guān)鍵。

定制度、建系統(tǒng) 守好數(shù)據(jù)安全三道紅線

《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》等相關(guān)法律法規(guī)的出臺，針對個人和國家數(shù)據(jù)安全織出了一張細密的法網(wǎng)，也提醒著政企機構(gòu)應(yīng)當盡快形成“紅線意識”。

齊向東認為，“紅線意識”主要有三條：其一是守住APP采集紅線，今年以來，工信部、國家網(wǎng)信辦等相關(guān)部門已通報、下架大量違規(guī)APP，取消數(shù)千家備案網(wǎng)站平臺；其二要守住數(shù)據(jù)跨境流動紅線，歐盟、美國、印度等國家和地區(qū)均有相關(guān)法律法規(guī)限制數(shù)據(jù)跨境流動，保障其境內(nèi)的數(shù)據(jù)安全，我國的《數(shù)據(jù)安全法》也高度重視數(shù)據(jù)的跨境流動，并劃定了紅線，邁出了保護數(shù)據(jù)跨境流動的關(guān)鍵一步；第三，要守住數(shù)據(jù)存儲和保護的紅線，數(shù)據(jù)運營商作為數(shù)據(jù)活動的處理者，必須嚴格遵守相關(guān)法律，承擔保護數(shù)據(jù)安全的責任，守好數(shù)據(jù)存儲及保護的紅線，確保數(shù)據(jù)安全。

如何守好紅線防止破線？齊向東認為，要從內(nèi)部消除數(shù)據(jù)安全威脅，在安全體系設(shè)計時就需要考慮到人的因素，及時發(fā)現(xiàn)內(nèi)部人員的異常行為，并及時檢測和阻斷來自內(nèi)部的攻擊，通過系統(tǒng)來有效防止破紅線。

數(shù)據(jù)泄露是數(shù)據(jù)的非法流動

數(shù)字技術(shù)的飛速前進、數(shù)字經(jīng)濟的蓬勃發(fā)展，都依賴于對數(shù)據(jù)價值的深入挖掘，平衡好數(shù)據(jù)利用與數(shù)據(jù)安全之間的關(guān)系，是數(shù)字經(jīng)濟平穩(wěn)健康發(fā)展的關(guān)鍵。

根據(jù)美國分析機構(gòu)Canalys的最新報告，2020年數(shù)據(jù)泄露呈現(xiàn)爆炸式增長，短短12個月內(nèi)泄露的記錄比過去15年的總和還多。今年以來，全球范圍內(nèi)也發(fā)生多起嚴重數(shù)據(jù)泄露事件。

其中最容易被忽視的是，內(nèi)部人員造成數(shù)據(jù)泄露遠比想象中嚴重。據(jù)美國通信巨頭威瑞森公司發(fā)布的《2021年數(shù)據(jù)泄露調(diào)查報告》顯示，85％的違規(guī)行為涉及人為因素。無論是“內(nèi)鬼”還是無心之失，內(nèi)部造成的網(wǎng)絡(luò)安全危害程度遠超黑客攻擊和病毒造成的損失。

逐年增加的安全漏洞，是數(shù)據(jù)泄露的重要“出口”：1999年-2020年，微軟Windows平臺提交漏洞總計7272個，平均每年330個；而在2020年，Windows平臺提交漏洞數(shù)量暴增至1220個。

包含開發(fā)、交付、運行三大環(huán)節(jié)的供應(yīng)鏈攻擊，則延長了數(shù)據(jù)泄露可能發(fā)生的鏈路。奇安信統(tǒng)計發(fā)現(xiàn)，采用開源軟件的項目平均每個有66個漏洞；自主開發(fā)的程序，每1000行代碼有10.11個缺陷。這些漏洞一旦被利用，都會將安全風險引入到供應(yīng)鏈下游環(huán)節(jié)。

日益猖獗的勒索攻擊，也成為數(shù)據(jù)泄露的重要原因之一：2021年，預(yù)計每11秒將發(fā)生一次勒索攻擊，全年超過300萬次。勒索攻擊的贖金也在逐年增長，拿到贖金的黑客則會快速實施下一次勒索，形成惡性循環(huán)。

在數(shù)字化時代，海量數(shù)據(jù)需要通過流動交易來產(chǎn)生價值，但在數(shù)據(jù)交易的動態(tài)過程中，面臨著許多安全問題，一個單點失陷就可能導致重要數(shù)據(jù)泄露，帶來嚴峻威脅。

“九板斧”守護數(shù)據(jù)安全流動

如何保護數(shù)據(jù)安全流動？齊向東介紹了“九大板斧”：

第一板斧：態(tài)勢感知。對數(shù)據(jù)安全威脅及時預(yù)警和處置，實現(xiàn)企事業(yè)數(shù)據(jù)安全的全方位態(tài)勢感知與動態(tài)防護；第二板斧：零信任。通過零信任安全解決方案實現(xiàn)用戶訪問數(shù)據(jù)“權(quán)限最小化”，最大程度降低內(nèi)部人員泄露數(shù)據(jù)的風險；第三板斧：云鎖。有效檢測與抵御已知、未知惡意代碼和黑客攻擊，防服務(wù)器被控制；第四板斧：特權(quán)賬號安全管理，防內(nèi)鬼；第五板斧：資配漏補的系統(tǒng)安全。通過資產(chǎn)管理、配置管理、漏洞管理和補洞管理四大基礎(chǔ)安全流程，防漏洞；第六板斧：郵件威脅檢測系統(tǒng)。及時發(fā)現(xiàn)高級威脅和定向攻擊郵件，防釣魚；第七板斧：審查供應(yīng)鏈。天問平臺、代碼衛(wèi)士、開源衛(wèi)士多款產(chǎn)品上下游齊發(fā)力，盡早發(fā)現(xiàn)供應(yīng)鏈安全風險，預(yù)防突如其來的供應(yīng)鏈攻擊；第八板斧：內(nèi)生安全框架。奇安信提出的內(nèi)生安全框架，系統(tǒng)化建設(shè)完整的網(wǎng)絡(luò)安全體系，同時用具體的“十大工程”和“五大任務(wù)”，引導網(wǎng)絡(luò)安全體系的規(guī)劃、建設(shè)與運營，幫助政企機構(gòu)更好地應(yīng)對勒索攻擊；第九板斧：隱私計算沙箱。堅持“數(shù)據(jù)不動程序動、數(shù)據(jù)可用不可見”原則，防數(shù)據(jù)“合法”泄露。

齊向東表示，通過“九板斧”，可從制度、人員管理、系統(tǒng)防護、供應(yīng)鏈上下游、數(shù)據(jù)交易等方面，對數(shù)據(jù)流動形成完整的安全防護體系，在保障安全的前提下，對數(shù)據(jù)價值進行充分挖掘利用，推進數(shù)字經(jīng)濟安全穩(wěn)步發(fā)展。

據(jù)悉，本屆中國網(wǎng)絡(luò)安全年會由國家計算機網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心主辦，以“攜手應(yīng)對數(shù)據(jù)安全威脅挑戰(zhàn)”為主題，聚焦當前國內(nèi)外網(wǎng)絡(luò)安全工作新情況、新形勢與新挑戰(zhàn)。其中，由奇安信主辦的“數(shù)據(jù)安全分論壇”也是本次大會的重點之一，將有來自國家計算機網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心、中國移動研究院安全所、中國信息通信研究院安全所的專家，及奇安信、德勤中國等多家單位的行業(yè)大咖發(fā)布主題演講。