報告發布｜十種前沿資料安全技術，聚焦企業合規痛點

2020年7月和10月，我國陸續釋出兩部重磅級的法規草案——《資料安全法（草案）》和《個人資訊保護法（草案）》。歐盟於 2018 年實施《通用資料保護條例》（GDPR），美國於 2020 年實施《加州消費者隱私法案》（CCPA），日本於2020年6月透過修訂版《個人資訊保護法》。隨著全球資料安全法規監管的不斷強化，合規性問題不得不納入企業資料安全建設考慮範圍。然而，法規對企業更高的安全要求，這給傳統的資料安全防護技術與措施帶來了前所未有的挑戰。

在此背景下，綠盟科技近日釋出《擁抱合規、超越合規：資料安全前沿技術研究報告》。在報告中，選取業界最為前沿與創新的十種資料安全技術，對其技術原理與應用進行全面的梳理與分析，包括處於學術前沿的差分隱私、同態加密、資料匿名；行業內炙手可熱的安全多方計算、聯邦學習等。這些新興技術，為企業的資料安全建設帶來新的思路與方案——助力其在滿足業務需求的同時解決合規的痛點與難點。

1.資料安全建設離不開具體的業務場景，資料安全技術需要從應用場景出發。根據企業的業務系統與應用、以及資料分佈範圍的不同，我們將資料安全建設分為三類場景：

1) 使用者隱私資料安全合規；

2) 企業內部資料安全治理；

3) 企業間資料共享與計算。

如圖1所示，上述三大類場景根據具體業務與功能的不同，可進一步細分一些子場景。各個子場景不僅有自身內部安全需求，也有相應的合規性要求，具體可對應到歐盟GDPR條款，以及我國已實施的《網路安全法》的資料安全相關條款。後續三個章節將從三類場景以及子場景的應用需求與合規挑戰出發，研究與分析如何基於前沿技術，實現超越合規，解決安全痛點。

圖1 超越合規：資料安全場景-前沿技術圖譜

2.在該類場景中，企業需解決使用者隱私資料的採集、以及資料權利請求響應的合規性問題，可引入下述創新技術：

1) 差分隱私

技術原理：差分隱私是一種基於噪聲機制的隱私保護技術。在本地差分隱私模式下，每一個使用者終端都會執行一個差分隱私演算法，每一個終端採集的資料都會加入噪聲，然後將其上傳給伺服器；伺服器雖然無法獲得某一個使用者的精確資料，但透過聚合與轉換可以挖掘出使用者群體的行為趨勢。

合規遵循：GDPR的 32條和《網路安全法》的42條。

行業應用（代表公司）：Google、Apple，其中Apple透過差分隱私可挖掘到iPhone使用者使用表情的頻率分佈，但無法獲得具體某一個使用者的確切隱私。

圖2  iPhone差分隱私技術應用[1]

2) 知識圖譜

技術原理：知識圖譜最早用於搜尋引擎和社交網路，它簡單可以看成是一種基於圖的資料結構，由節點和邊組成，每個節點是一個實體，每條邊是兩條實體之間的關係。由於個人資料治理關鍵是個人資料實體識別，以及相關屬性與處理流程的關聯，引入知識圖譜技術成為必然。透過知識圖譜技術，可幫助企業瞭解所在敏感資料的位置，是如何被使用的，以及它的合同、法律和監管義務，達到個人資訊治理與視覺化作用。

合規遵循：可滿足GDPR的12-22條和《網路安全法》的43條。

行業應用（代表公司）：RSA 2020創新沙盒冠軍Securit.ai公司，基於知識圖譜技術實現了個人資料圖譜應用。

圖3 Securiti.ai的個人資料圖譜應用[2]

3) 流程自動化

技術原理：使用者資料權利請求響應是歐美等國外企業重要的隱私合規檢查項。流程自動化技術可幫助企業的資料安全運營團隊從繁瑣重複的手工處理“請求-響應”轉為自動化處理，一方面可降低人工的運營成本，另一方面可減少由於響應時間延誤（GDPR規定一般為一個月）帶來的違規風險。

合規遵循：GDPR的12-22條和《網路安全法》的43條。

行業應用（代表公司）：Securit.ai、BigID和OneTrust等。

3.在該類場景中，企業需解決內部敏感資料治理的安全與合規問題，可引入下述技術解決安全與合規問題，可引入下述創新技術：

1) 智慧敏感資料識別

技術原理：傳統基於關鍵詞、正則匹配的敏感資料識別方法不夠智慧，易出現漏檢（尤其是在文件等資料）。引入相似度計算、聚類、監督學習等智慧方法，提升識別能力與檢測效果。

合規遵循：GDPR的30條和《網路安全法》的21條。

行業應用（代表公司）：Securit.ai、BigID等。

2) 資料脫敏風險評估

技術原理：資料脫敏在企業進行廣泛應用，然而不同脫敏方法的安全效果不同。透過對脫敏資料集的身份標識度和隱私洩露風險進行定量地評估與刻畫，實現風險管理和控制。

合規遵循：GDPR的32條和《網路安全法》的42條。

行業應用（代表公司）：Privacy Analytics、綠盟科技等。

圖4 綠盟科技的資料脫敏風險評估應用

3) 使用者實體行為分析

技術原理：透過對使用者實體持續的畫像與建模，並建立正常使用者行為基線，從海量收集的安全資料中發現資料洩露等異常行為。

合規遵循：GDPR的32條和《網路安全法》的42條。

行業應用（代表公司）：Splunk、綠盟科技等。

圖5 綠盟科技的UEBA資料安全防護方案

4.在該類場景中，企業需解決企業之間的資料安全共享與計算的安全與合規問題，可引入下述創新技術：

1) 資料匿名

技術原理：對個人資訊進行泛化和遮蔽等處理，使得對應的個人資訊主體無法被識別，以達到“匿名”的效果，包括K-匿名、L-多樣性和T-近似性等技術。

合規遵循：GDPR的前言26段和19條，以及《網路安全法》的42條。

行業應用（代表公司）：Immuta、Privitar、 Anonos、綠盟科技等。

圖6 綠盟科技的自適應匿名化演算法應用

2) 同態加密

技術原理：明文資料經過同態加密後得到的密文資料，在不解密情況下仍然可執行密文資料的處理與操作。敏感資料在同態加密與計算環節處於加密狀態，實現了資料的計算，同時保障了安全性。

合規遵循：GDPR的前言5條和32條，以及《網路安全法》的42條。

行業應用（代表公司）：Duality 等。

圖7 Duality的同態加密平臺在金融資料共享應用（圖引自[3]）

3) 安全多方計算

技術原理：在參與方互不信任的情況下進行協同計算，在保證計算結果正確性同時不洩露任何一方輸入的原始資料和狀態資料。

合規遵循：GDPR的前言5條和32條，以及《網路安全法》的42條。

行業應用（代表公司）：Google、螞蟻金服等。

4) 聯邦學習

技術原理：多個參與方（如企業、使用者移動裝置）在不交換原始資料情況下，即在隱私保護前提下，實現聯合機器學習的建模、訓練和模型部署。

合規遵循：GDPR的前言5條和32條，以及《網路安全法》的42條。

行業應用（代表公司）：Google、Apple和微眾銀行等。

5.隨著全球資料隱私法規的密集釋出，包括歐盟GDPR，美國CCPA，國內的《網路安全法》，以及今年釋出的《資料安全法（草案）》、《個人資訊保護法（草案）》，合規性成為了企業資料安全建設與治理的重要驅動力。在合規視角下，資料安全的內涵在合規與業務安全雙重需求驅動下不斷外延和擴充套件，資料安全的覆蓋的應用場景將變得更加多樣化，給傳統的資料安全技術與方案帶來了巨大的挑戰。如何實現破局？本文簡要介紹的十種新興的資料安全技術，可為破局新場景新挑戰帶來一些思路與啟發——助力企業在滿足安全合規同時創造更大的資料價值。

為了獲取更多內容，歡迎點選後文下載《擁抱合規、超越合規：資料安全前沿技術研究報告》。

參考文獻

[1]  Differential Privacy, https://www.apple.com/privacy/docs/Differential_Privacy_Overview.

[2]  Securiti.ai homepage. https://Securiti.ai/.

[3]  Duality Homepage. https://dualitytech.com/.