順豐集團(tuán)劉新凱：數(shù)字化升級(jí)帶來的數(shù)據(jù)安全挑戰(zhàn)與機(jī)遇

數(shù)字化成為了各行各業(yè)的熱詞和轉(zhuǎn)型方向。

而隨著各行各業(yè)的數(shù)字化程度不斷加深，進(jìn)入產(chǎn)業(yè)互聯(lián)網(wǎng)時(shí)代的它們，面臨的安全威脅，更加隱蔽，更加復(fù)雜，也更具破壞性，安全能力的缺失將為企業(yè)帶來難以承受的損失。尋求產(chǎn)業(yè)轉(zhuǎn)型升級(jí)的企業(yè)要如何應(yīng)對(duì)產(chǎn)業(yè)互聯(lián)網(wǎng)下的安全挑戰(zhàn)，實(shí)現(xiàn)高質(zhì)量發(fā)展，是亟待解決的問題。

騰訊公司云與智慧產(chǎn)業(yè)總裁湯道生就指出，產(chǎn)業(yè)互聯(lián)網(wǎng)時(shí)代，安全出現(xiàn)了兩大新特性。一方面，產(chǎn)業(yè)互聯(lián)網(wǎng)時(shí)代安全威脅的突發(fā)性更強(qiáng)、破壞性更大。尤其涉及國(guó)計(jì)民生的產(chǎn)業(yè)領(lǐng)域，一旦遭遇網(wǎng)絡(luò)攻擊，可能造成極大的社會(huì)影響和經(jīng)濟(jì)損失。另一方面，安全價(jià)值升維，安全不僅能幫助企業(yè)“降本”，還能顯著“增效”，已成為數(shù)字時(shí)代企業(yè)核心競(jìng)爭(zhēng)力之一。

這種深刻影響，體現(xiàn)在各行各業(yè)，物流行業(yè)也不例外。數(shù)據(jù)安全如何保護(hù)？數(shù)據(jù)又如何治理？細(xì)微的改變帶來了哪些進(jìn)步？數(shù)字化的戰(zhàn)役如何打？在7月30日開幕的第五屆互聯(lián)網(wǎng)安全領(lǐng)袖峰會(huì)（CSS 2019）上，順豐集團(tuán)信息安全與內(nèi)控處負(fù)責(zé)人劉新凱給出了順豐的答案

以下為其演講全文，詳細(xì)介紹了順豐在推進(jìn)數(shù)字化方面的所作所為，內(nèi)容詳實(shí)，值得學(xué)習(xí)：

各位與會(huì)的朋友大家下午好！我是來自順豐集團(tuán)信息安全與內(nèi)控處的負(fù)責(zé)人劉新凱。在談到整個(gè)產(chǎn)業(yè)升級(jí)以及數(shù)字化的過程中，我相信很多企業(yè)也會(huì)遇到相應(yīng)的挑戰(zhàn)，也在尋求不同的相關(guān)的解決方案，我希望剩下的25分鐘時(shí)間里面能夠以順豐為例，把我們發(fā)現(xiàn)的挑戰(zhàn)以及在具體落地和應(yīng)用的方法跟大家作一些分享，希望能夠帶來一些啟迪和幫助。

一、順豐數(shù)字化發(fā)展的歷程

我們把順豐以及順豐數(shù)字化發(fā)展的整個(gè)歷程發(fā)展分成了三個(gè)階段：

第一階段，2007年以前

最早開始使用不管是OA也好，還是整個(gè)運(yùn)作過程中數(shù)據(jù)的上線，最早在快遞企業(yè)實(shí)現(xiàn)了路由數(shù)據(jù)監(jiān)控和后臺(tái)的更新。

第二階段，2008年—2015年之間

這是非常大的變革年，這幾年的時(shí)間，不管是整個(gè)2009年順豐科技的成立，還是在人、財(cái)、物各種系統(tǒng)批量上線的過程，實(shí)現(xiàn)了企業(yè)方方面面的數(shù)字化。

第三階段，從2016年到現(xiàn)在

在數(shù)字化的基礎(chǔ)上更多的是運(yùn)用大數(shù)據(jù)、人工智能，是將整個(gè)的運(yùn)作以及產(chǎn)品更偏向人工智能的過程，提高用戶的感知、內(nèi)部運(yùn)作的效率，也降低了成本。

這些年發(fā)展下來，整個(gè)科技的人員從0發(fā)展到現(xiàn)在超過5000人，可以說整個(gè)順豐在整個(gè)科技化的過程中是跑得非常快的。

二、數(shù)字化的挑戰(zhàn)

在這么快的過程中，安全有沒有遇到什么樣的挑戰(zhàn)？其實(shí)我相信像每個(gè)企業(yè)在思考的問題是一樣的，都會(huì)遇到非常多的問題。

首先在整個(gè)數(shù)字化升級(jí)的過程中，單純從數(shù)據(jù)安全的角度，看一看會(huì)遇到哪些通用性的風(fēng)險(xiǎn)。

第一，數(shù)據(jù)的集中

最早做科技的時(shí)候可能有不同的系統(tǒng)，甚至從紙質(zhì)界開始變成系統(tǒng)、變成OA，包括后來的ERP，其實(shí)數(shù)據(jù)在集中化，有了大數(shù)據(jù)概念以后，以前分散的數(shù)據(jù)越來越集中了，集中帶來的問題是什么？相當(dāng)于我們的數(shù)據(jù)被批量泄密或者被批量攻擊的可能變得更大。

第二，互聯(lián)互通。

以前都是單機(jī)版的或者線下的操作，很多的時(shí)候是要物理接觸才能夠?qū)ο到y(tǒng)或者數(shù)據(jù)產(chǎn)生影響。而現(xiàn)在互聯(lián)互通的時(shí)代，其實(shí)整個(gè)安全的防護(hù)已經(jīng)是面對(duì)要全球的攻擊，你不知道是你的競(jìng)爭(zhēng)對(duì)手還是惡意的團(tuán)隊(duì)，還是什么樣的情況。你的風(fēng)險(xiǎn)無時(shí)不在。

第三，大數(shù)據(jù)的應(yīng)用。

大數(shù)據(jù)的應(yīng)用在每個(gè)企業(yè)都是現(xiàn)在的必選項(xiàng)，不管是客戶的畫像、商圈的選擇還是未來產(chǎn)品的制定，大數(shù)據(jù)就是整個(gè)未來發(fā)展決策的重要一環(huán)。但是你在大數(shù)據(jù)分析的過程中，跟安全是不是有些沖突？哪些數(shù)據(jù)可以分析？哪些數(shù)據(jù)、哪些人可以用？展現(xiàn)或者是分析的力度到底是什么樣的？大數(shù)據(jù)和安全之間如何選擇一個(gè)有效合理的平衡點(diǎn)？

第四，數(shù)據(jù)安全的管理。

可能最初的時(shí)候大家做一個(gè)兩個(gè)、十個(gè)八個(gè)系統(tǒng)，可以很清楚地說清楚我的數(shù)據(jù)在哪里，應(yīng)用誰來管。當(dāng)你的系統(tǒng)發(fā)展成100個(gè)、200個(gè)，甚至我們的規(guī)模已經(jīng)超過500個(gè)系統(tǒng)之后，沒有人真的能說清楚各個(gè)應(yīng)用系統(tǒng)之間數(shù)據(jù)是什么關(guān)系，我的數(shù)據(jù)如何流轉(zhuǎn)，應(yīng)該如何保護(hù)。當(dāng)面對(duì)這么大的變化的時(shí)候，怎么樣才能夠進(jìn)行有效的落地，我相信很多這類的問題，各個(gè)公司都會(huì)遇到。

順豐有特點(diǎn)的地方兩個(gè)：首先，順豐員工差不多40萬人，分布在全球50多個(gè)國(guó)家和地區(qū)，尤其是大陸的人員是最多的。同時(shí)，因?yàn)樾袠I(yè)本身的問題，從大家有印象開始，實(shí)際上你自己的信息、寄方的信息在運(yùn)作的過程中必然被整個(gè)員工接觸到，它不像別的行業(yè)數(shù)據(jù)是保密的，可能只有幾個(gè)人能接觸到。當(dāng)你接觸到快遞的時(shí)候，你會(huì)發(fā)現(xiàn)客戶隱私和整個(gè)的運(yùn)作是息息相關(guān)的。面對(duì)這種挑戰(zhàn)如何解決？

剛才也提到了大數(shù)據(jù)上的風(fēng)險(xiǎn)，當(dāng)你想解決這些數(shù)據(jù)安全帶來的問題的時(shí)候，你會(huì)發(fā)現(xiàn)，針對(duì)結(jié)構(gòu)化的數(shù)據(jù)如何去保護(hù)？業(yè)界能夠發(fā)現(xiàn)的方案或者是能夠使用的方案，一是比較匱乏，二是成本可能會(huì)很高。當(dāng)面臨這些問題的時(shí)候，如何選擇？

三、順豐的方案

我們?cè)诒姸嗟陌踩繕?biāo)里面，今天就選擇了一個(gè)跟大家做一個(gè)分享，這是我們很重要的一個(gè)目標(biāo)，就是要實(shí)現(xiàn)客戶的隱私數(shù)據(jù)，尤其是電話號(hào)碼，全體員工在整個(gè)生產(chǎn)運(yùn)作環(huán)節(jié)中是不可見的。

大家可能覺得這個(gè)事情很小，但是你想想我們有500套系統(tǒng)超過40萬員工，又有行業(yè)本身的特點(diǎn)，這件事情如何去做？這件事情想要治本一定要回到最基礎(chǔ)的部分：一是業(yè)務(wù)，第二就是數(shù)據(jù)本身。

我們羅列出來的這個(gè)流程實(shí)際上是一個(gè)快遞公司非常基本的過程，前面有下單、收件，中間有收派和售后，還有三線的運(yùn)營(yíng)過程，我們按照業(yè)務(wù)流程，以及業(yè)務(wù)如何改造，以及系統(tǒng)端如何改造，介紹一下順豐在落地過程中做的事情。

1.紙質(zhì)面單

如右圖，很多朋友非常熟悉，幾年前這種四聯(lián)單，郵政或者快遞行業(yè)通常使用的模式，大家所有的信息都是記在這張單上，寄方信息、你的信息、保價(jià)信息、個(gè)人簽名都在上面。

我們?cè)谧鲎钤绲臄?shù)字化的時(shí)候是在做什么？按照標(biāo)準(zhǔn)的流程是手寫下單，進(jìn)行相關(guān)的掃描，有一個(gè)非常重要的環(huán)節(jié)就是要有一個(gè)人工錄單的環(huán)節(jié)，把所有快遞單的數(shù)據(jù)及時(shí)錄到系統(tǒng)中，相當(dāng)于白天取完件，馬上有業(yè)務(wù)員把它做批量的掃描，掃描件會(huì)給到后面的輸單人員，進(jìn)行數(shù)據(jù)的傳輸。

那個(gè)年代開始，其實(shí)順豐已經(jīng)很關(guān)注客戶的隱私，怎么保證一張運(yùn)單不會(huì)被任何一個(gè)人拿到中間完整的信息，從而做一些欺騙或者是詐騙的相關(guān)的動(dòng)作。這張圖上寫了很多編號(hào)，這張圖在掃描之后，當(dāng)時(shí)就在上面可以拆成十塊，每一張掃描圖自動(dòng)會(huì)被拆成十個(gè)部分，十個(gè)部分給不同的供應(yīng)商負(fù)責(zé)數(shù)據(jù)的錄入，相當(dāng)于沒有任何一家可以看到完整的面單。這是順豐在紙質(zhì)面單的時(shí)候的手段。

我們跟騰訊最早的合作，有300多家供應(yīng)商在負(fù)責(zé)輸單，幾千人在負(fù)責(zé)輸單。我們跟騰訊當(dāng)年合作的第一件事情，就是所有手寫的漢字自動(dòng)化輸入、自動(dòng)化識(shí)別，結(jié)合OCR的技術(shù)，以及順豐在地圖、地址上的能力，基本上可以做到手寫的地址以及信息識(shí)別率達(dá)到99%以上，來解決這種人在中間參與可能接觸到數(shù)據(jù)帶來的風(fēng)險(xiǎn)。

2.電子面單

順豐是第一家推出二維碼掃碼寄件的公司，在這之后電子面單就成了大家現(xiàn)在看到的快遞包裹上的主流。左圖的面單是2017年發(fā)布的順豐“豐密面單”，做這個(gè)事情的目的非常簡(jiǎn)單，就是在一張能打出來的面單上，對(duì)收方、寄方通過信號(hào)脫敏處理，包括小哥在日常處理過程中，包括客戶在處理剩余面單紙的時(shí)候不會(huì)出現(xiàn)電話號(hào)碼的泄密。

發(fā)布之后的一年，2018年8月8號(hào)就出現(xiàn)了右邊的這塊業(yè)務(wù)，如果大家拿出手機(jī)在微信里面選順豐速運(yùn)的話，會(huì)發(fā)現(xiàn)其中有一項(xiàng)叫“隱址件”。我們發(fā)現(xiàn)很多朋友其實(shí)是不希望有人給你寄東西的時(shí)候知道你的家庭住址。通過“隱址件”在寄件的時(shí)候不需要填收件人地址，這個(gè)由朋友自己填，打出來的面單也不會(huì)有相關(guān)的地址，相當(dāng)于收寄雙方的業(yè)務(wù)過程都不會(huì)接觸到相互的聯(lián)系方式和地址，保證大家傳遞過程中個(gè)人數(shù)據(jù)的安全。

3.一線人員

順豐的業(yè)務(wù)大概每天有1500萬件，這1500萬件里面大多數(shù)都是通過小哥和客戶的溝通來進(jìn)行下單和處理的，小哥就成為了跟大家日常接觸的最頻繁或者最緊密的伙伴。我們想做的第一件事情或者落地的第一件事情，就是如何保證小哥跟客戶的交流無法接觸到電話號(hào)碼。

可能跟有些業(yè)務(wù)不一樣，有些業(yè)務(wù)是高價(jià)值低頻率，選擇一些比較簡(jiǎn)單的虛擬號(hào)碼很容易實(shí)現(xiàn)電話號(hào)碼的隱藏。但是對(duì)于高頻且每一票快遞的利潤(rùn)相對(duì)比較低的業(yè)務(wù)的時(shí)候，如何能保證，能選擇通用的虛擬號(hào)碼嗎？如果是這樣，順豐光虛擬號(hào)碼的成本要兩個(gè)多億，接近三個(gè)億，這還不算電話費(fèi)。怎么出現(xiàn)新的方案解決這個(gè)問題？我們選擇的是整個(gè)操作系統(tǒng)的改造+虛擬號(hào)碼兩種方式二合一的方式。

左圖是快遞員在呼出的時(shí)候，左下角會(huì)有一個(gè)相關(guān)的按鈕，通過這個(gè)按鈕呼出的時(shí)候是顯示第二張圖的界面，相當(dāng)于小哥看到的電話號(hào)碼中間是有信號(hào)加密的，在所有通訊錄當(dāng)中存儲(chǔ)的通訊記錄中間也是打了“*”，整個(gè)過程并不知道客戶的電話號(hào)碼。同時(shí)還有很重要的功能就是每一個(gè)業(yè)務(wù)都是有時(shí)效的，像弓總的滴滴，（業(yè)務(wù)）結(jié)束之后這個(gè)電話號(hào)碼就聯(lián)系不了。順豐會(huì)根據(jù)業(yè)務(wù)周期調(diào)整整個(gè)通訊錄能夠撥通的時(shí)長(zhǎng)進(jìn)行相關(guān)的動(dòng)態(tài)清理。短信也是類似的。右圖是客戶可以看到的數(shù)據(jù)，相當(dāng)于客戶依舊可以看到小哥的電話號(hào)碼，當(dāng)你有任何問題的時(shí)候依舊可以通過這個(gè)電話號(hào)碼聯(lián)系到快遞員。這是在一線發(fā)端或者快遞員這一端能夠解決的模式。

4.二線人員

在談完大量的快遞員之后，我們還有很多二線的人員，類似于倉管和中轉(zhuǎn)場(chǎng)，大家可能不熟悉，但是說起客服大家就不陌生，當(dāng)他們撥出電話號(hào)碼或者有客戶打進(jìn)電話的時(shí)候是通過CRM或者相關(guān)的系統(tǒng)進(jìn)行自動(dòng)的關(guān)聯(lián)，而所有的展示界面中間是不需要知道客戶電話號(hào)碼的，而當(dāng)他撥出去的時(shí)候，尤其使用IP電話的時(shí)候會(huì)發(fā)現(xiàn)客戶看到的是，類似于像右邊的95338-85這樣的電話號(hào)碼，95338是順豐的官方客服電話，這樣的號(hào)碼有比較高的辨識(shí)度，二是能夠?qū)崿F(xiàn)所有二線人員在跟前端客戶溝通的時(shí)候電話號(hào)碼是相關(guān)保密的。

5.三線人員

其實(shí)在介紹完這個(gè)之后還有一個(gè)很重要的點(diǎn)，就是所有的三線數(shù)據(jù)分析人員，這一部分怎么解決？其實(shí)他們并不需要電話號(hào)碼，電話號(hào)碼對(duì)于很多數(shù)據(jù)分析人員最大的作用是什么？實(shí)際上是所有信息的關(guān)聯(lián)或者是唯一的ID標(biāo)簽，它是要靠這個(gè)來進(jìn)行整個(gè)客戶之間的關(guān)系以及客戶畫像這樣的一些相關(guān)的動(dòng)作，就意味著我們并不需要真的給他展現(xiàn)一個(gè)相關(guān)的電話號(hào)碼。

所以我們現(xiàn)在選擇了一個(gè)在順豐落地很好的模式，就是所有的敏感字段按字段級(jí)進(jìn)行加密，相當(dāng)于客戶的訂單剛剛出現(xiàn)的時(shí)候，信息剛剛進(jìn)順豐在最外端的系統(tǒng)的時(shí)候，有關(guān)他的電話號(hào)碼、地址以及相關(guān)的敏感數(shù)據(jù)就已經(jīng)加密了，從這套系統(tǒng)開始，每一個(gè)向下流轉(zhuǎn)的過程，所有的電話號(hào)碼都保持加密的狀態(tài)，即使進(jìn)入大數(shù)據(jù)的平臺(tái)，即使進(jìn)入了數(shù)據(jù)分析人員的范疇，你會(huì)發(fā)現(xiàn)他依舊接觸不到明文的數(shù)據(jù)。相當(dāng)于整個(gè)數(shù)據(jù)就不會(huì)有明文見到數(shù)據(jù)分析人員的時(shí)候，它是靠著整個(gè)密文的唯一ID來進(jìn)行相關(guān)數(shù)據(jù)分析的。綜合前面這一部分講的話，其實(shí)還是跟整體前端業(yè)務(wù)有關(guān)，如何能讓我們的一線、二線以及三線做數(shù)據(jù)分析的人員，在整體的過程當(dāng)中沒有辦法或者是根本不需要接觸客戶的敏感數(shù)據(jù)。

四、數(shù)據(jù)資產(chǎn)的治理

當(dāng)解決完這些問題之后，其實(shí)還有很多老大難的問題，這塊會(huì)比較偏系統(tǒng)。

當(dāng)有500個(gè)系統(tǒng)以上的時(shí)候，你的數(shù)據(jù)到底在哪里？你關(guān)心的系統(tǒng)、你的數(shù)據(jù)庫到底在哪里？它們是從哪里來的？如何流轉(zhuǎn)？最后去了哪里？當(dāng)你知道這些信息以后如何保護(hù)？這些可能就成了每一個(gè)安全從業(yè)者或者是負(fù)責(zé)人真正內(nèi)心里面最重要的問題。我們有時(shí)候這么比喻這件事情，有點(diǎn)像管家，當(dāng)你管了所有的系統(tǒng)和數(shù)據(jù)的時(shí)候總要有一本賬，這些數(shù)據(jù)到底在哪里？賬目上是不是清楚的？如何從一個(gè)庫里面去了另外一個(gè)？它們?nèi)绾蝿澽D(zhuǎn)。

就像倉庫一樣，我們知不知道它的庫存什么樣？知不知道如何劃撥，這些都不知道怎么管好家底？怎么選擇安全有效的安全措施保證數(shù)據(jù)是安全的？這是大家在做了很多外圍安全之后應(yīng)該好好想想的問題，到底知不知道自己在保護(hù)什么，它們面臨什么樣的狀態(tài)？

我們也尋找相關(guān)的解決方案，從差不多去年開始，我們做了一套解決方案來解決相關(guān)的問題。第一個(gè)是解決數(shù)據(jù)資產(chǎn)在哪里的問題，不管是數(shù)據(jù)資產(chǎn)掃描、敏感數(shù)據(jù)引擎，還是網(wǎng)絡(luò)流量探針的方式，發(fā)現(xiàn)在整個(gè)數(shù)據(jù)中心不同網(wǎng)段和不同區(qū)域之間的資產(chǎn)變化，來確定整個(gè)資產(chǎn)的變化，同時(shí)當(dāng)有了這個(gè)基礎(chǔ)的東西之后才能進(jìn)行管理。

有了這個(gè)東西可能還遠(yuǎn)遠(yuǎn)不夠，我們真正關(guān)心的不是全量資產(chǎn)是什么樣的，而是中間真正敏感的數(shù)據(jù)和敏感的字段到底是如何的，所以在這個(gè)基礎(chǔ)之上，當(dāng)知道了資產(chǎn)的整體分布情況之后，我們還要發(fā)現(xiàn)所有的敏感數(shù)據(jù)是如何分布的，我們?cè)谶@里面有一個(gè)隱私管理的平臺(tái)，可以通過規(guī)則或者是人工智能的方式進(jìn)行敏感數(shù)據(jù)的識(shí)別，從而進(jìn)行數(shù)據(jù)的分類和分級(jí)，最后進(jìn)行相關(guān)的可視化。可能講起來會(huì)比較抽象，用兩張給大家分享一下具體的展現(xiàn)方式是什么樣的。

左圖是有關(guān)數(shù)據(jù)資產(chǎn)，當(dāng)你分析之后，到底應(yīng)該是什么樣，怎么能夠盤點(diǎn)好自己的家底到底是什么樣的。右圖是現(xiàn)在在做的，不同數(shù)據(jù)庫的表到底有多少字段？哪些字段是敏感的？它們之間是什么樣的關(guān)系？你會(huì)發(fā)現(xiàn)這樣一層一層拉下去之后會(huì)有非常完整的對(duì)于資產(chǎn)以及敏感數(shù)據(jù)分布的概念。其實(shí)這個(gè)我們也是有很多慘痛經(jīng)驗(yàn)的，當(dāng)我們分析自己的敏感數(shù)據(jù)的時(shí)候差不多也花了接近20個(gè)人，差不多干了一周才搞明白自己有什么，都在哪里。

當(dāng)有了這一套東西之后，你可以隨時(shí)隨地了解自己的家底是什么、你關(guān)心的數(shù)據(jù)到底在哪里。這個(gè)也只是剛剛開始，為什么？其實(shí)這是一個(gè)靜態(tài)的數(shù)據(jù)，不管是資產(chǎn)還是數(shù)據(jù)分布，其實(shí)我們可以查很多東西了解這個(gè)數(shù)據(jù)，但是還有一件事情是動(dòng)態(tài)變化的，就是它們是如何流轉(zhuǎn)的，接口是如何變化的，你的業(yè)務(wù)是隨時(shí)隨地變化的，安全怎么能夠知道業(yè)務(wù)是如何變化的，而中間的數(shù)據(jù)是如何流轉(zhuǎn)的。

我們做了這個(gè)之后又做了很重要的功能，就整個(gè)數(shù)據(jù)追溯的管理，相當(dāng)于我們?cè)趺茨軌蛲ㄟ^敏感的字段、敏感的應(yīng)用來進(jìn)行相關(guān)的數(shù)據(jù)發(fā)掘，后面有一張動(dòng)圖可以跟大家簡(jiǎn)單地做一下分享。這張圖有一些播放的問題，但是可以看到這里面有幾層，首先在中間部分就是不同的應(yīng)用，下面是不同的DB，在中間有很多灰色是通互相數(shù)據(jù)傳遞的管道，這個(gè)管道是如何進(jìn)行運(yùn)作的？管道中間的接口是如何變化的？包含敏感數(shù)據(jù)是怎么通過A的應(yīng)用一直傳到應(yīng)用最后一個(gè)，中間流轉(zhuǎn)的過程是什么樣的？其實(shí)是需要一套動(dòng)態(tài)的監(jiān)控能力來保證這套數(shù)據(jù)傳輸?shù)倪^程中對(duì)于安全人員是可視或者是可控的。

做完前兩個(gè)動(dòng)作之后做的下一個(gè)動(dòng)作就是有關(guān)于數(shù)據(jù)的流轉(zhuǎn)過程的實(shí)時(shí)發(fā)現(xiàn)和監(jiān)控的內(nèi)容，來保證在業(yè)務(wù)變化的過程中，發(fā)現(xiàn)接口以及敏感數(shù)據(jù)是如何傳遞的。

在做完這幾個(gè)之后，還有一個(gè)很重要的點(diǎn)，其實(shí)大家也都會(huì)做，就是有關(guān)數(shù)據(jù)脫敏。右圖是開發(fā)測(cè)試、數(shù)據(jù)、分析、培訓(xùn)，甚至其他的場(chǎng)景，數(shù)據(jù)脫敏都是其中非常重要的關(guān)系，不管替代也好，屏蔽也好，做唯一的數(shù)據(jù)的替換也好，還是隨機(jī)數(shù)據(jù)也高，對(duì)于日常應(yīng)用，尤其是大家所在的IT和科技部門在使用的過程中如何保證數(shù)據(jù)的安全，就提供了一個(gè)最后兜底的解決方案，至少不會(huì)有敏感的數(shù)據(jù)進(jìn)入到開發(fā)測(cè)試環(huán)境、上線的環(huán)境，甚至備份的系統(tǒng)里面去，來保證整個(gè)數(shù)據(jù)能夠有效地進(jìn)行全流程的安全防護(hù)。

五、總結(jié)

所有的需求是來自于不同的業(yè)務(wù)場(chǎng)景，剛才我們談到了順豐的不同業(yè)務(wù)的點(diǎn)，其實(shí)這些點(diǎn)是我們選擇方案和制定方案過程中最為重要的部分，同時(shí)我們梳理了整個(gè)的安全管理的策略，以及在底層進(jìn)行安全支撐的內(nèi)容，比如剛才的資產(chǎn)管理、數(shù)據(jù)管理、追溯管理等功能來支撐中間的部分，就是數(shù)據(jù)生命周期的管理。其實(shí)這里面也是按照整個(gè)生命周期的過程分成了幾個(gè)部分，比如采集、傳輸、存儲(chǔ)、訪問、使用以及最后的交換共享，通過生命周期的不同步驟，選擇自己企業(yè)或者組織的管理能力來保證這張圖能夠有一個(gè)有效的落地。

同時(shí)，強(qiáng)調(diào)一個(gè)最重要的點(diǎn)，當(dāng)做完所有的建設(shè)以后，還有一個(gè)數(shù)據(jù)安全的運(yùn)營(yíng)和監(jiān)控的能力。因?yàn)樗械陌踩际莿?dòng)態(tài)變化的，沒有人真的能夠保證自己的安全一定不會(huì)出問題，而出問題或者出這樣的攻擊或者風(fēng)險(xiǎn)可能會(huì)成為一種常態(tài)，這種東西必然出現(xiàn)的時(shí)候就要有一個(gè)合理的安全運(yùn)營(yíng)和監(jiān)控的能力，包括現(xiàn)在的安全成熟度評(píng)估、個(gè)人隱私的安全評(píng)估以及在這個(gè)上面相關(guān)的SRC或者SOC的建設(shè)，就成為了這件事情能夠日常運(yùn)營(yíng)，并且進(jìn)行有效防范的很重要的點(diǎn)，來保證整個(gè)數(shù)據(jù)安全的落地。

總結(jié)剛才說過的話就是，選擇自己企業(yè)現(xiàn)在面臨具體的時(shí)機(jī)和情況，看自己的業(yè)務(wù)到底風(fēng)險(xiǎn)點(diǎn)在哪里，根據(jù)自己的業(yè)務(wù)，不管是從業(yè)務(wù)流程的改造、模式的變化，還是在底層數(shù)據(jù)安全的分析、建設(shè)、保護(hù)，來實(shí)現(xiàn)一個(gè)更全面的企業(yè)的數(shù)據(jù)安全的保護(hù)，來實(shí)現(xiàn)安全能夠助力經(jīng)營(yíng)或者保護(hù)整個(gè)企業(yè)未來發(fā)展護(hù)航的作用。

我們每次都在談現(xiàn)在、眼前，其實(shí)未來也已經(jīng)在我們的腳下，跟今天的主題是一樣的，產(chǎn)業(yè)升級(jí)，安全也在升維，我希望整個(gè)安全的專家以及從業(yè)者能夠更多地交流、更多地溝通，把各自的經(jīng)驗(yàn)進(jìn)行相關(guān)的分享，共同建設(shè)一個(gè)更加安全、更加美好的安全的未來。