數(shù)據(jù)安全治理關(guān)鍵技術(shù)之?dāng)?shù)據(jù)庫脫敏技術(shù)詳解
數(shù)據(jù)安全治理之API監(jiān)測系統(tǒng) ,解決API接口安全問題【安華金和】
新一代數(shù)據(jù)庫脫敏技術(shù),為敏感數(shù)據(jù)建立保護(hù)盾!
數(shù)據(jù)庫脫敏系統(tǒng)與金融行業(yè)案例解讀
數(shù)據(jù)安全治理建設(shè)思路的著力點(diǎn)——數(shù)據(jù)安全咨詢服務(wù)【安華金和】
數(shù)據(jù)庫防火墻功能有哪些?-數(shù)據(jù)安全-安華金和
數(shù)據(jù)安全關(guān)鍵技術(shù)之?dāng)?shù)據(jù)庫脫敏技術(shù)詳解【安華金和】
中國數(shù)據(jù)安全治理落地指導(dǎo)書籍《數(shù)據(jù)安全治理白皮書5.0》正式發(fā)布(附下載)
功歸一載,利在千秋——《網(wǎng)絡(luò)安全法》的前生今世
2003年,中辦23號(hào)文《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》提出“抓緊研究起草《信息安全法》”的要求。
2008年,國務(wù)院信息辦職能整體劃轉(zhuǎn)至工業(yè)和信息化部,有關(guān)方面意識(shí)到制定條例未必就比人大立法容易,且國務(wù)院行政法規(guī)無力調(diào)整現(xiàn)行上位法的法律規(guī)定,遂決定返回制定信息安全法。
2014年,中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組成立后,網(wǎng)絡(luò)安全就被提到了前所未有的高度。以依法治網(wǎng)為例,國家先后出臺(tái)“微信十條”“約談十條”,推動(dòng)網(wǎng)站依法辦網(wǎng)?!皟艟W(wǎng)”“劍網(wǎng)”“護(hù)苗”等專項(xiàng)整治活動(dòng)相繼展開,“七條底線”“賬號(hào)十條”引導(dǎo)網(wǎng)民依法上網(wǎng),樁樁件件推動(dòng)依法治網(wǎng)成為“新常態(tài)”。
2015年6月,第十二屆全國人大常委會(huì)第十五次會(huì)議初次審議了《中華人民共和國網(wǎng)絡(luò)安全法(草案)》。
2015年7月6日起,網(wǎng)絡(luò)安全法草案在中國人大網(wǎng)上全文公布,并向社會(huì)公開征求意見。征求意見截止日期為2015年8月5日。
2016年11月7日,全國人民代表大會(huì)常務(wù)委員會(huì)于表決通過了網(wǎng)絡(luò)安全法,標(biāo)志著我國網(wǎng)絡(luò)領(lǐng)域步入了一個(gè)全新的法治時(shí)代。
2017年6月1日,《網(wǎng)絡(luò)安全法》正式施行。
公眾對于網(wǎng)絡(luò)安全的訴求是:個(gè)人信息不被泄露。
企業(yè)對于信息安全的訴求是:公司信息不被竊取,不能泄露,關(guān)鍵性技術(shù)信息不可以被廣泛傳播。
《網(wǎng)絡(luò)安全法》亮點(diǎn)
《網(wǎng)絡(luò)安全法》正式施行,呈現(xiàn)六大亮點(diǎn):
1、明確了網(wǎng)絡(luò)空間主權(quán)的原則;
2、明確了網(wǎng)絡(luò)產(chǎn)品和服務(wù)提供者的安全義務(wù);
3、明確了網(wǎng)絡(luò)運(yùn)營者的安全義務(wù);
4、進(jìn)一步完善了個(gè)人信息保護(hù)規(guī)則;
5、建立了關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)制度;
6、確立了關(guān)鍵信息基礎(chǔ)設(shè)施重要數(shù)據(jù)跨境傳輸?shù)囊?guī)則。
企業(yè)和個(gè)人不得不知道的條款
2016年我們的網(wǎng)民總數(shù)量已經(jīng)超過的7億。但是,根據(jù)中國互聯(lián)網(wǎng)協(xié)會(huì)發(fā)布的《中國網(wǎng)民權(quán)益保護(hù)調(diào)查報(bào)告(2015)》,63.4%的網(wǎng)民通話記錄、網(wǎng)上購物記錄等信息遭泄露;78.2%的網(wǎng)民個(gè)人身份信息曾遭泄露,因個(gè)人信息泄露、垃圾信息、詐騙信息等導(dǎo)致的總體損失約805億元。當(dāng)信息被信息黑市交易,個(gè)人會(huì)遭受損失,企業(yè)的經(jīng)營活動(dòng)會(huì)被脅迫和勒索,國家的安全將會(huì)受到威脅。
《網(wǎng)絡(luò)安全法》共計(jì)七十九條,對網(wǎng)絡(luò)安全各方面事項(xiàng)行了規(guī)定。接下來我們從安全企業(yè)和個(gè)人信息保護(hù)的視角重點(diǎn)關(guān)注網(wǎng)安法以下條款:
《網(wǎng)絡(luò)安全法》第二十一條——將等級保護(hù)制度上升到了法律高度。其中提到幾個(gè)重點(diǎn)的信息包括:采取防范計(jì)算機(jī)病毒和網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等危害網(wǎng)絡(luò)安全行為的技術(shù)措施;采取監(jiān)測、記錄網(wǎng)絡(luò)運(yùn)行狀態(tài)、網(wǎng)絡(luò)安全事件的技術(shù)措施,并留存網(wǎng)絡(luò)日志不少于六個(gè)月;采取數(shù)據(jù)分類、重要數(shù)據(jù)備份和加密等措施。
《信息安全等級保護(hù)管理辦法》將網(wǎng)絡(luò)安全進(jìn)行了等級劃分,共分為五個(gè)保護(hù)等級。以三級等保為例,其中要求安全產(chǎn)品必須有國內(nèi)公司研制,產(chǎn)品核心技術(shù)有我國自主知識(shí)產(chǎn)權(quán)?;旧蠂衅髽I(yè)和大型企業(yè),都在三級等?;蚴侨壱陨系缺5姆秶鷥?nèi),這將是國產(chǎn)安全公司的機(jī)會(huì),以安華金和為例,從成立至今始終以技術(shù)研發(fā)為導(dǎo)向,從產(chǎn)品到技術(shù)都是建立在自主知識(shí)產(chǎn)權(quán)之上。
《網(wǎng)絡(luò)安全法》第二十三條規(guī)定了安全產(chǎn)品要經(jīng)檢測:網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品應(yīng)當(dāng)按照相關(guān)國家標(biāo)準(zhǔn)的強(qiáng)制性要求,由具備資格的機(jī)構(gòu)安全認(rèn)證合格或者安全檢測符合要求后,方可銷售或提供。該條款的含義,就是要正規(guī)化,對不具備檢測要求的廠商基本宣布了死刑。
《網(wǎng)絡(luò)安全法》第二十三條規(guī)定了實(shí)名制,要求網(wǎng)絡(luò)運(yùn)營者為用戶辦理網(wǎng)絡(luò)接入、域名注冊服務(wù),辦理固定電話、移動(dòng)電話等入網(wǎng)手續(xù),或者為用戶提供信息發(fā)布、即時(shí)通訊等服務(wù)時(shí),應(yīng)當(dāng)要求用戶提供真實(shí)身份信息。該條款可以有效遏止網(wǎng)絡(luò)詐騙、電信詐騙等行為。
《網(wǎng)絡(luò)安全法》第二十七條明確規(guī)定:不得提供專門用于從事侵入網(wǎng)絡(luò)、干擾網(wǎng)絡(luò)正常功能及防護(hù)措施、竊取網(wǎng)絡(luò)數(shù)據(jù)等危害網(wǎng)絡(luò)安全活動(dòng)的程序、工具;明知他人從事危害網(wǎng)絡(luò)安全的活動(dòng)的,不得為其提供技術(shù)支持、廣告推廣、支付結(jié)算等幫助。過去,一些涉及網(wǎng)絡(luò)安全的案件難以被定責(zé),如今該條款的存在,明確界定了網(wǎng)絡(luò)犯罪的范圍和罪責(zé)。
《網(wǎng)絡(luò)安全法》第三十一條,規(guī)定對關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)行安全,進(jìn)行重點(diǎn)保護(hù)?!?國家對公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)等重要行業(yè)和領(lǐng)域,以及其他一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露,可能嚴(yán)重危害國家安全、國計(jì)民生、公共利益的關(guān)鍵信息基礎(chǔ)設(shè)施,在網(wǎng)絡(luò)安全等級保護(hù)制度的基礎(chǔ)上,實(shí)行重點(diǎn)保護(hù)。關(guān)鍵信息基礎(chǔ)設(shè)施的具體范圍和安全保護(hù)辦法由國務(wù)院制定。
國家鼓勵(lì)關(guān)鍵信息基礎(chǔ)設(shè)施以外的網(wǎng)絡(luò)運(yùn)營者自愿參與關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)體系?!?/p>
本條款強(qiáng)調(diào)了必須落實(shí)網(wǎng)絡(luò)安全等級保護(hù)制度,并進(jìn)行重點(diǎn)保護(hù)。等級保護(hù)與關(guān)鍵信息基礎(chǔ)設(shè)施之間的關(guān)系是相輔相成的,每一個(gè)不同的級別對基本的網(wǎng)絡(luò)安全技術(shù)細(xì)節(jié)也做了說明。并非每一個(gè)安全公司,都有能力服務(wù)于有等保要求的企業(yè),安華金和作為國內(nèi)數(shù)據(jù)庫安全領(lǐng)域的領(lǐng)導(dǎo)企業(yè),擁有兩大信息安全政策領(lǐng)域獨(dú)特領(lǐng)先優(yōu)勢,擁有等保專用數(shù)據(jù)庫風(fēng)險(xiǎn)等級評估檢測工具,產(chǎn)品與解決方案符合網(wǎng)絡(luò)安全法和等保要求。
《網(wǎng)絡(luò)安全法》第四十一條規(guī)定,網(wǎng)絡(luò)運(yùn)營者收集、使用個(gè)人信息,應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則,公開收集、使用規(guī)則,明示收集、使用信息的目的、方式和范圍,并經(jīng)被收集者同意。
網(wǎng)絡(luò)運(yùn)營者不得收集與其提供的服務(wù)無關(guān)的個(gè)人信息,不得違反法律、行政法規(guī)的規(guī)定和雙方的約定收集、使用個(gè)人信息,并應(yīng)當(dāng)依照法律、行政法規(guī)的規(guī)定和與用戶的約定,處理其保存的個(gè)人信息。
本條款強(qiáng)化了個(gè)人信息保護(hù)的知情同意和特定目的原則;確定了網(wǎng)絡(luò)運(yùn)營者收集個(gè)人信息必須遵循合法、正當(dāng)、必要原則,強(qiáng)調(diào)了個(gè)人信息收集過程中的透明度,和用戶自主選擇權(quán),同時(shí)強(qiáng)調(diào)了信息采集者必須合法使用和保存?zhèn)€人信息。那些利用其“壟斷地位”或“霸王條款”強(qiáng)制用戶同意采集信息的網(wǎng)絡(luò)運(yùn)營者需要注意啦,再如此任性可就違法啦。
《網(wǎng)絡(luò)安全法》第四十二條規(guī)定:網(wǎng)絡(luò)運(yùn)營者不得泄露、篡改、毀損其收集的個(gè)人信息;未經(jīng)被收集者同意,不得向他人提供個(gè)人信息。但是,經(jīng)過處理無法識(shí)別特定個(gè)人且不能復(fù)原的除外。
網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施,確保其收集的個(gè)人信息安全,防止信息泄露、毀損、丟失。在發(fā)生或者可能發(fā)生個(gè)人信息泄露、毀損、丟失的情況時(shí),應(yīng)當(dāng)立即采取補(bǔ)救措施,按照規(guī)定及時(shí)告知用戶并向有關(guān)主管部門報(bào)告。
本條款也被稱作“大數(shù)據(jù)條款”,在強(qiáng)調(diào)保護(hù)個(gè)人信息的同時(shí),有建設(shè)性的提出了“經(jīng)過處理無法識(shí)別特定個(gè)人且不能復(fù)原的”除外,為個(gè)人信息數(shù)據(jù)在使用、交換和交易過程的合法性提供了法律依據(jù),并要求:個(gè)人信息數(shù)據(jù)匿名化處理,技術(shù)上就是通過采用數(shù)據(jù)脫敏產(chǎn)品或技術(shù)手段,將涉及個(gè)人隱私的敏感數(shù)據(jù)進(jìn)行脫敏處理,保證脫敏后的數(shù)據(jù)不能再識(shí)別出特定個(gè)人,并且信息不可逆(不可通過技術(shù)手段復(fù)原)。
另外,脫敏技術(shù)也可以被應(yīng)用在日常的數(shù)據(jù)維護(hù)過程中,對于金融、醫(yī)療健康、零售、游戲等需要收集大量用戶個(gè)人信息的網(wǎng)絡(luò)系統(tǒng),在系統(tǒng)數(shù)據(jù)庫日常維護(hù)過程中同樣需要防止個(gè)人隱私數(shù)據(jù)的泄漏,通過采用具有動(dòng)態(tài)脫敏能力的產(chǎn)品或技術(shù)手段,可以有效地避免數(shù)據(jù)泄露,降低運(yùn)維安全風(fēng)險(xiǎn),更為運(yùn)維者提供了免責(zé)的技術(shù)保障。
同時(shí),本條款作為個(gè)人信息保護(hù)的核心內(nèi)容,明確了網(wǎng)絡(luò)運(yùn)營者對個(gè)人信息保護(hù)的責(zé)任:有必要采取技術(shù)措施保護(hù)個(gè)人信息,確保其收集的個(gè)人信息安全,通過采用監(jiān)控、審計(jì)等技術(shù)手段及時(shí)發(fā)現(xiàn)和記錄異常行為,為主管部門進(jìn)行追責(zé)和定責(zé)提供數(shù)據(jù)依據(jù)。建議網(wǎng)絡(luò)運(yùn)營者采用專門的安全產(chǎn)品保護(hù)個(gè)人信息:數(shù)據(jù)脫敏系統(tǒng)(最好具有動(dòng)態(tài)脫敏能力)、數(shù)據(jù)安全運(yùn)維系統(tǒng)(最好具有監(jiān)控和審計(jì)能力)
公民個(gè)人信息的主要泄露途徑是網(wǎng)絡(luò),個(gè)人信息泄露問題嚴(yán)重,會(huì)直接造成網(wǎng)絡(luò)詐騙多發(fā)態(tài)勢,嚴(yán)重危及到人民群眾的財(cái)產(chǎn)安全乃至生命安全。不堪網(wǎng)絡(luò)詐騙而自殺的事件頻見報(bào)端,引發(fā)社會(huì)輿論的強(qiáng)烈反響。打擊網(wǎng)絡(luò)犯罪,成為沸騰的民意。
針對個(gè)人信息泄露和網(wǎng)絡(luò)詐騙問題,《網(wǎng)絡(luò)安全法》第四十四條明確規(guī)定:任何個(gè)人和組織不得竊取或者以其他非法方式獲取個(gè)人信息,不得非法出售或者非法向他人提供個(gè)人信息。違者將可能被追究民事責(zé)任或刑事責(zé)任。相信《網(wǎng)絡(luò)安全法》的正式實(shí)施將大力打擊個(gè)人信息泄露和買賣現(xiàn)象。
《網(wǎng)絡(luò)安全法 》的出臺(tái),必將促進(jìn)安全行業(yè)的發(fā)展。國家以法律的形式開始定義和宣傳網(wǎng)絡(luò)安全觀念,培養(yǎng)公眾的安全意識(shí)。這樣就為安全行業(yè)的發(fā)展提供了更加有序的空間。也必將帶來一系列的行業(yè)規(guī)范生成,促進(jìn)各個(gè)行業(yè)的安全意識(shí)增強(qiáng)。作為信息安全事業(yè)的一份子,安華金和將遵照《網(wǎng)絡(luò)安全法》精神,為打造安全而自由的數(shù)據(jù)使用生態(tài)而不懈努力。