進入數字化時代以來，數據的安全問題引發企業和社會決策思考。無論是數據和資產交易市場的形成，還是勒索病毒的演進，都在證明數據面臨的風險越來越大。10月17日，在2021天府杯國際網絡安全大賽暨國際網絡安全高峰論壇-大數據安全治理論壇上，應邀出席的北京數安行科技創始人王文宇發表了《數據安全處理和流轉的挑戰和實踐》，參與探討數據安全治理。

王文宇是一位有著近20年從業經驗的安全老兵，更可以說是中國第一代數據安全專業從業人士。在他眼中，數據安全問題一直存在，只是大家理解不同，造成數據安全自身的定義存在差異化，但直到最近兩年，在時代機遇下迸發出前所未有的火熱，那就是數字時代的來臨，以及政府層面的法規推動。

傳統數據孤島管控 與數字時代流通性相矛盾

演講中王文宇表示，過去談及數據安全更多的會看到兩點，一個是存儲，另‍一個是鏈路。這些都源于傳統網絡安全概念里基于點\域的防護理念。比如存儲側會采用一些像加密、‍‍災備等方式來解決數據安全問題;鏈路側采用像VPN、‍‍密碼機、加密機等方式來解決數據安全問題。整體而言，過去的做法是以數據孤島為核心、對數據本身進行嚴管控的解決思路。

而‍‍數字時代，數據已經成為生產要素，只有處于流動中的數據才能創造價值，它的流動性是第一價值訴求。把數據鎖起來肯定不成，‍‍但是數據真的可以自由的流動嗎?問題就在于數字時代數據就要自由流動，涉及數據運營提升效率、開放共享提升價值等必要性。所以在王文宇眼中，再用過去的安全思路應對數字時代下的數據安全問題，‍一定程度上就會有矛盾。所以，以不影響業務正常運行為前提，針對處于流轉中的數據提供保護的思路應運而來。

直面數字時代數據安全處理與流轉挑戰

數字時代，數據‍‍從存儲，到使用，到共享等等環節，風險鏈路無處不在，在這個過程中‍‍主要面臨的問題是什么?王文宇表示，數字時代數據必然要流動起來，而由此帶來的數據風險敞口的不斷擴大，是目前數據處理安全防護最大痛點之一。

王文宇在演講中進一步指出，當前環境下企業的主要數據風險敞口表現如下：

1、違規采集風險;

安全團隊與業務團隊很難達到高度協同，過量采集或違規采集會時有發生。

2、外部共享風險;

數據驅動業務運營，勢必涉及數據共享交換，甚至需要跟合作伙伴、分支機構之間進行數據共享。什么樣的數據可以共享外流，對操作人員及環境是否有安全監控，應遵循什么樣的策略?

3、內部運行風險;

‍‍人是安全事件發生的最大因素之一，甚至是合法用戶的無意操作也可能產生安全風險，伴隨著業務的復雜性及運行環境的多變，來自內部的運行風險將承載更大的安全事件占比。

王文宇表示，數據在不斷的流動，如何實現全網各環節流動數據的監測，降低風險敞口，并與業務系統、人員參與運營的操作之間達成平衡，其實是一個非常復雜的事兒，一定程度上有點像在蛋殼上跳舞。

與此同時，數據保護另外一個棘手的問題是為流動中的數據提供有效保護，而做好這一項工作，先要盡可能的發現數據，建立重要數據資產目錄清單，才能不留防護死角。再為處于不同位置的數據提供技術保障，如服務器端、終端等處，甚至是零散的、不經常被業務系統訪問的位置。

數據運營安全（DataSecOps），助力數字化轉型

進入數字時代，企業在數字化轉型過程中，‍‍業務驅動會產生大量數據，加上企業過去積累的歷史數據重新流動，‍‍如何保證潛在的風險不會發生?這就要求數據保護工作過程中，需要做各種各樣探索和關聯，包括對服務器端、網絡流量、基于協議的、‍基于API的、包括端點一側的，通過完整的數據處理分析過程，‍‍形成一個完整的數據處理和使用過程的一個流圖，才能發現潛在風險。‍‍

為了做好這件事，王文宇認為首先要建立一個良好的基礎，即做好數據分類分級工作。數安行目前通過積累的上千個數據分類分級模型，實現了AI自動化梳理來解決數據分類分級。一方面，數據分類分級是合規剛需，另一方面，分類分級將輔助企業建立重要數據資產目錄清單，同時有利于相對應的動態防護體系的建立。

通過自動化梳理數據還能解決一個更加棘手的問題，就是對暗數據的發現，從基礎上才能不留數據防護死角。

建立完數據分類分級，接下來就要在數據流動的過程中實現自動化風險監測。通過數據運營安全平臺(數安行零信任DataSecOps)，為基于業務流轉的數據的每個環節都嵌入數據安全監控點，解決風險敞口問題。基于數據運營安全DataSecOps理念，對于數據處理人員、處理環境、處理過程等等，實現全流程的持續風險監測評估和組合式的自適應風險管理。對于核心敏感數據，實行從服務端到終端的全流程數據安全沙箱防護，保證數據可用不可見，能用不能動。

最終形成的是，一個平臺內，既可通過分類分級數據梳理合規剛需，又能實現企業的敏感數據保護。

對于數據安全的未來，王文宇認為，數據安全問題是一個綜合性的科學問題，以前的數據安全更多的是防泄露，現在對于企業來講更現實的是做好監管合規，同時在數據安全的基礎上保證生產經營效率。一個平臺同時能解決這兩件事件，將是數據安全從業人員思考的方向，和數據安全產品的落地方向。

做好數據安全是無止境的，因為數據安全跟業務高度關聯，而業務又受技術的沖擊不斷產生新的變化，王文宇在演講最后表達了他的這一理解。這就要求數據安全要不斷加強與業務之間的關聯性，讓處于不同業務之間的數據流動始終處于安全狀態，這也是數安行團隊不斷努力的方向。