齐向东出席中国网络安全年会：九板斧守护数据安全

“数字经济要做好红线意识和安全流动两篇文章”在2021年中国网络安全年会上，奇安信集团董事长齐向东表示，数据泄露总量已超过前15年之和，平衡好数据利用与数据安全之间的关系，是数字经济平稳健康发展的关键。

定制度、建系统 守好数据安全三道红线

《网络安全法》、《数据安全法》等相关法律法规的出台，针对个人和国家数据安全织出了一张细密的法网，也提醒着政企机构应当尽快形成“红线意识”。

齐向东认为，“红线意识”主要有三条：其一是守住APP采集红线，今年以来，工信部、国家网信办等相关部门已通报、下架大量违规APP，取消数千家备案网站平台；其二要守住数据跨境流动红线，欧盟、美国、印度等国家和地区均有相关法律法规限制数据跨境流动，保障其境内的数据安全，我国的《数据安全法》也高度重视数据的跨境流动，并划定了红线，迈出了保护数据跨境流动的关键一步；第三，要守住数据存储和保护的红线，数据运营商作为数据活动的处理者，必须严格遵守相关法律，承担保护数据安全的责任，守好数据存储及保护的红线，确保数据安全。

如何守好红线防止破线？齐向东认为，要从内部消除数据安全威胁，在安全体系设计时就需要考虑到人的因素，及时发现内部人员的异常行为，并及时检测和阻断来自内部的攻击，通过系统来有效防止破红线。

数据泄露是数据的非法流动

数字技术的飞速前进、数字经济的蓬勃发展，都依赖于对数据价值的深入挖掘，平衡好数据利用与数据安全之间的关系，是数字经济平稳健康发展的关键。

根据美国分析机构Canalys的最新报告，2020年数据泄露呈现爆炸式增长，短短12个月内泄露的记录比过去15年的总和还多。今年以来，全球范围内也发生多起严重数据泄露事件。

其中最容易被忽视的是，内部人员造成数据泄露远比想象中严重。据美国通信巨头威瑞森公司发布的《2021年数据泄露调查报告》显示，85％的违规行为涉及人为因素。无论是“内鬼”还是无心之失，内部造成的网络安全危害程度远超黑客攻击和病毒造成的损失。

逐年增加的安全漏洞，是数据泄露的重要“出口”：1999年-2020年，微软Windows平台提交漏洞总计7272个，平均每年330个；而在2020年，Windows平台提交漏洞数量暴增至1220个。

包含开发、交付、运行三大环节的供应链攻击，则延长了数据泄露可能发生的链路。奇安信统计发现，采用开源软件的项目平均每个有66个漏洞；自主开发的程序，每1000行代码有10.11个缺陷。这些漏洞一旦被利用，都会将安全风险引入到供应链下游环节。

日益猖獗的勒索攻击，也成为数据泄露的重要原因之一：2021年，预计每11秒将发生一次勒索攻击，全年超过300万次。勒索攻击的赎金也在逐年增长，拿到赎金的黑客则会快速实施下一次勒索，形成恶性循环。

在数字化时代，海量数据需要通过流动交易来产生价值，但在数据交易的动态过程中，面临着许多安全问题，一个单点失陷就可能导致重要数据泄露，带来严峻威胁。

“九板斧”守护数据安全流动

如何保护数据安全流动？齐向东介绍了“九大板斧”：

第一板斧：态势感知。对数据安全威胁及时预警和处置，实现企事业数据安全的全方位态势感知与动态防护；第二板斧：零信任。通过零信任安全解决方案实现用户访问数据“权限最小化”，最大程度降低内部人员泄露数据的风险；第三板斧：云锁。有效检测与抵御已知、未知恶意代码和黑客攻击，防服务器被控制；第四板斧：特权账号安全管理，防内鬼；第五板斧：资配漏补的系统安全。通过资产管理、配置管理、漏洞管理和补洞管理四大基础安全流程，防漏洞；第六板斧：邮件威胁检测系统。及时发现高级威胁和定向攻击邮件，防钓鱼；第七板斧：审查供应链。天问平台、代码卫士、开源卫士多款产品上下游齐发力，尽早发现供应链安全风险，预防突如其来的供应链攻击；第八板斧：内生安全框架。奇安信提出的内生安全框架，系统化建设完整的网络安全体系，同时用具体的“十大工程”和“五大任务”，引导网络安全体系的规划、建设与运营，帮助政企机构更好地应对勒索攻击；第九板斧：隐私计算沙箱。坚持“数据不动程序动、数据可用不可见”原则，防数据“合法”泄露。

齐向东表示，通过“九板斧”，可从制度、人员管理、系统防护、供应链上下游、数据交易等方面，对数据流动形成完整的安全防护体系，在保障安全的前提下，对数据价值进行充分挖掘利用，推进数字经济安全稳步发展。

据悉，本届中国网络安全年会由国家计算机网络应急技术处理协调中心主办，以“携手应对数据安全威胁挑战”为主题，聚焦当前国内外网络安全工作新情况、新形势与新挑战。其中，由奇安信主办的“数据安全分论坛”也是本次大会的重点之一，将有来自国家计算机网络应急技术处理协调中心、中国移动研究院安全所、中国信息通信研究院安全所的专家，及奇安信、德勤中国等多家单位的行业大咖发布主题演讲。