在全球新冠疫情肆虐的当下，压力陡增的物流行业是安全形势最为严峻的行业之一，根据盛邦安全的监测数据，2020年1月以来的webshell日攻击流量达到104万条，较2019年平均日攻击流量上升5个百分点，有效攻击上升15个百分点，65%以上流量来自境外；尤其值得注意的是相当一部分攻击是针对抗疫相关的农业系统、物流系统和交通运输系统。

此外，伴随新冠疫情的网络攻击不断活跃，互联网威胁指数屡创新高，全球用户对个人隐私和数据安全问题的关注也急速升温，而业务涉及海量用户信息的物流企业的安全能力，尤其是围绕数据安全展开的安全体系建设、供应链安全、基于风险管理的内外部威胁防御、人员意识培训，已经不仅仅是企业合规问题，而是物流企业的核心竞争力和永续发展动力。

作为物流行业的领头羊，顺丰既是网络安全的“用户”，也为合作伙伴提供安全解决策略，在网络安全领域的建树可谓有目共睹，无论是应对物联网、无人机、人工智能、区块链领域的新兴威胁，还是“人与数据”的安全管理“内功”都颇有心得和成果。近日安全牛有幸采访了顺丰集团负责数据安全的核心团队，即顺丰红岸科技解决方案部的负责人刘新凯，就顺丰围绕“人+数据”开展安全建设的思路和观点进行了深入交流，以下是主要内容（虽然是“十问”，但实际访谈中衍生出十三个问题）：

顺丰红岸科技解决方案部负责人 刘新凯

安全牛：当前，网络和信息安全已经成为了政府、企业以及人民群众各个维度都在关注的焦点，根据您的从业经验，当前信息安全建设的痛点有那些？未来的信息安全发展趋势是什么？

刘新凯：整个企业安全建设的发展大体经历了以下几个阶段：

第一阶段：单点建设阶段。

在这一阶段主要是针对不同的安全问题，来选择相应的安全产品，简单的补漏。通过产品的堆砌，快速形成安全技术防御体系，实现安全防护基本保障，解决大部分的终端和网络安全问题。

但这种被动的防御，没有扩展性产品之间缺乏协调联动，无法解决系统性问题，安全人员没有一个完整的能力来知晓与应对自己所面对的安全风险。

所以如何能够系统的思考安全问题，解决不同品牌、不同安全产品的协调联动，如何扩展相关功能，并且逐渐从纯技术向更加完整的业务和数据安全方向转型，成为下一阶段的方向。

第二阶段：体系建设阶段。

在这一阶段需要构建一套多层次的安全体系，使得安全人员能够第一时间发现风险并预警。由此出现了流量分析、日志审计等技术，搭建了态势感知、SOC等安全平台，使得企业更好的满足合规、内控审计的相关需求，建立起安全风险处置与响应机制。

但这一体系往往无法从企业的业务价值来解释，同时在适应新型技术架构发展方面有挑战。因此如何将安全体系建设的思想同企业业务价值相关联，便是接下来的安全建设阶段。

第三阶段：以数据为中心的安全建设。

企业在构建信息安全体系时，其实最终要关注的还是“人”，保护的是企业所拥有的“数据”，即安全核心逐渐从硬件、网络、应用等逐渐转移至业务、人员，安全的建设围绕“信息和数据”来进行。

因此如何立足于企业拥有的数据，关注接触和使用这些数据的人，来评估相关风险并采取相应安全措施，搭建新型安全体系是信息安全建设的发展趋势。

安全牛：供应链安全是当下全球企业的关注重点，除了软硬件技术的供应链外，物流供应链自身，以及第三方供应商未来面临的安全威胁主要有哪些？有哪些值得期待的缓解措施？

刘新凯：供应链安全指的是一个网络体系中，随着业务的高度泛化，组织自身的应用需要面临来自第三方合作单位的业务交互，因为各自管理制度标准的不统一，安全管控措施的差异，这可能会成为一个缺口，从而导致攻击的发生。

供应链攻击，也称价值链攻击或第三方攻击，这一攻击方式，在过去几年里极大地改变了典型的企业攻击方式，带来了前所未有的高风险。

供应链安全中所面临的主要威胁是第三方造成的敏感数据泄露和数据滥用。我们需要从以下三个方面进行应对：

一是面临广泛云化，数据大集中的情况，核心是保护企业的数据安全。数据安全保护是一个系统性工程，这也是我们强调能力型输出的一个原因。我们要充分考虑各级供应商和合作商的综合能力，安全资质、安全保护能力，并且进行有效监管。

二是面临高频交互，物理边界消失的情况，我们要对供应商所能接触到的数据进行严格管控，比如哪些数据可以提供给供应商，哪些数据由供应商流入企业内部，要对静态、动态和存储的数据进行安全的治理和管控，要进行数据安全态势的感知和安全风险的自动响应；

三是面临标准不一的问题，我们还需要和供应商就权责范围、事后问责机制达成协议，确保一旦出现安全事件，能够及时响应。

安全牛：从实践角度看，在以数据和人为中心建设思路下，未来的数据安全体系架构应该是什么样子？发展的过程中，应该把握哪些方向和原则？CMMC这样的成熟度框架是否适合国内企业？

刘新凯：关于建设以“数据”为中心的安全体系，结合顺丰的实践，首先在思路上要注意以下几个问题。

第一：需要有一体化的建设思路。这样是为了避免刚刚提到的单点产品堆砌所带来的风险。这个一体化的建设可以不需要一次成型，可以是初步的一个思路框架。

第二：需要能力型的输出，体系化的建设需要的是综合能力而不是依靠单一产品，能力型的输出技术、业务运营、最佳实践在内的整体解决方案。

第三：需要从治理、管控逐渐向运维转换。即需要一个良好的数据安全运营平台，来了解数据的全生命周期情况，分析所面临的风险。

顺丰内部依据IPDRR模型建立了三层结构的数据安全框架，包含：数据安全治理与管理层、数据安全管控层和数据安全运维层。通过这样一体化的数据安全体系，我们要解决静态数据、流动数据和存储中数据的安全问题。

基于上述思路和治理模型，我们提出了以业务为中心的安全战略，提升以合规为基础的安全管理能力，构建以“人”为中心的安全治理体系，最终落地为以“数据”为中心的纵深防御体系。

CMMC美国国防部（DoD）对外部项目承包商约束的统一安全标准，用于衡量这些企业安全实践和安全流程的成熟度。有很多类似的安全成熟度模型，比如系统安全工程能力成熟度模型（SSE-CMM）、国标GB/T 37988-2019 数据安全成熟度模型（DSMM）,这些模型各有侧重，在各自的领域具有重要的指导意义。因此，对于CMMC国内的企业可以结合其所处行业的实际情况进行参考和借鉴。

安全牛：很多用户在展开数据安全建设时，面临的最大困难是数据资产的梳理问题。顺丰在实践中，是如何解决类似问题的？

刘新凯：数据安全建设过程中最大的困难是数据资产的梳理。要让数据资产清晰起来，其实首先要解决如何发现数据资产，发现之后如何对其进行分类分级，弄清以及这些数据的权属关系。在了解这些信息之后，才能更好地进行溯源和保护。

为了解决上述问题，顺丰自研了粹御数据安全管理平台。第一步，我们通过数据资产管理平台发现数据信息的载体，比如数据库、文件服务器、应用等数据资产；第二步，利用隐私数据管理平台明确敏感数据分布在这些资产的哪些地方，比如哪张表哪个字段；而光有静态的数据还不够，因为数据是在业务流程和系统中流动的，我们还需要了解数据是如何使用和衍生的，我们通过粹御的数据溯源平台对数据进行全生命周期的溯源。所有这些措施是后续安全事件控制和响应的基础。

安全牛：提到了数据的加密脱敏，很多企业，尤其像顺丰这样的大企业，业务系统众多，敏感数据的加密脱敏其实是一个很庞大的工程，导致无从下手。想问一下顺丰是如何落地的，有什么经验？

刘新凯：顺丰的业务系统众多，要解决这个问题，就必须如之前所说，先要弄清楚有哪些数据资产，企业关心的敏感数据分布在哪里，数据又是如何在业务系统间流动的。

在加解密方面，我们在弄清楚了敏感数据的业务链路之后，便可以从源头开始，对用户的敏感数据进行加密，加密后的数据流入数据湖。我们搭建了统一的加解密平台，对业务系统进行加解密统一管理，以此作为管理的抓手，来保证再有新的业务接入时，都能及时纳入安全的管控。

同样在脱敏方面，我们在弄清楚敏感数据分布在哪里之后，根据不同的业务场景，利用我们的粹御数据脱敏管理平台对相关数据的使用实施脱敏管理。

安全牛：数据资产清晰后，又该如何去设计以及落地相关权限的管控呢？

刘新凯：对于顺丰而言，设计并落地相关权限管控是不容易的。在顺丰内部有几十万员工账号，上千套应用系统，架构层级复杂，个性需求众多，因此市面上的产品很难满足我们的实际业务需求。

于是我们自己建设了一套4A管控系统：百源。我们通过大数据算法模型，在账号的全生命周期实现了自动授权，在员工岗位变更时，及时收回既往权限，并赋予新的权限。同时我们还可以满足不同业务系统个性化的权限设置需求，建立用户、应用和数据之间的信任关系。

安全牛：当前我们不仅面临外部威胁，同时也面临内部威胁。那么在权限管控的基础上，您认为在面对内外部威胁时，怎么去有效进行应用和数据的保护？

刘新凯：我们前面提到过，现在网络边界逐渐消失，安全建设将以数据为中心。在谈到内外部威胁的时候，我们也需要进行观念的转换，不能被传统静态的安全思维所束缚，现在没有单纯黑白的好坏世界，灰色是安全领域的新现实。风险管理必须在生态系统层面上加以考虑，需要树立以人为中心的新型安全策略，一种基于信任和责任的动态管控方法。安全管控要根据用户不同的能力、背景、权责，根据其使用技术和业务应用程序做出自适应的风险决策。

Gartner推出了“连续自适应风险和信任评估”（CARTA）方法，该方法侧重于帮助组织检测和预防由于现代网络空间固有的“灰色区域”而造成的网络攻击和数据泄露。通过对组织及其内部环境，应用程序和外部参与者（承包商，合作伙伴等）建立信任评定，并始终在评估和监视相对风险等级，以监控其风险。

采用这个方法可以有效实施针对应用和数据保护，其中有两点是重中之重。

第一是资产发现，我们必须实施有效的数据安全管理和治理，这是实现后续信任关系建立，漏洞评估和指标确认的关键。

第二是自适应，我们必须找到原本绕过基于规则的预防系统的坏人，需要持续地监视、评估、调整和响应风险，这也是为何必须建立SOC-D体系的重要原因。

安全牛：那么从刚刚您分享的来看，不管是权限管理还是说数据的加密、脱敏，其实都需要业务系统的参与。那在实施过程中，对业务系统有没有什么影响？如何去平衡安全和业务的关系？如何让安全成为业务的促进者而不是阻碍者？

刘新凯：这个问题偏向于一个企业的安全文化或者企业的风险管控策略。业务上面的授权和安全上的授权确实是不一致，甚至长期以来大家认为这个事情是对立的。应用要求的是便利，安全要的是保障，然后会牺牲一些便利性。但是我们希望在整个的业务分析过程中找到双赢的点，这个非常关键。

拿顺丰在数据安全加密和脱敏的实践来讲，我们在实施之初就最大限度考虑到业务的稳定性、时效性。顺丰的敏感数据是从源头上进行加密的，所有数据在流入我们的数据湖以前就进行过加密。相关业务部门如果有解密需求，则根据流程进行申请。从实施的效果来看，我们的加解密平台是我们最稳定的业务系统之一，即使是在双11高峰期，有无数查询和计算的场景下，整个集群消耗也大概只有3%，加解密用时只要3ms左右,网络延迟10ms左右。平台在不影响业务的前提下，最大限度保证了业务的安全性。另外在实施的过程中，业务部门也梳理清楚自己的敏感数据所在，以及那些敏感内容非业务所需，他们可以集中精力在自己的核心业务上，而无需担心信息泄露风险，这就达到了双赢的目的。

当然，安全的管控可能一定程度上改变了用户的习惯，但是这种习惯的改变，如何获得高层的认可，如何能够跟业务部门找到中间的价值，并且认为这块价值带来的变化是更有意义的。这些问题它并不是一套系统解决的，而是需要通过其他的文化甚至是挖掘更多业务价值来进行体现。

安全牛：看来顺丰在这条道路上也是一步一个脚印，不断摸索出来的。我们也注意到，您刚刚还提到数据安全需要综合治理、管控和运维，那么企业应当如何去构建数据安全的运维管理体系呢？

刘新凯：其实我们刚刚提到了，企业要构建数据安全的运维管理体系，首先还是需要先做好数据管理与治理、数据安全管控。即首先弄清楚企业有哪些数据资产，有哪些敏感数据，它们的权属关系如何，是如何流转的。第二步便在响应的风险节点上，部署对应的所需的数据安全管控产品，如DLP、UEBA、DBF等等。

在清晰企业数据资产情况，并通过对数据流量、数据事件、数据行为等分析，便可以通过大数据模型构建AI智能决策来进行判断，给自动响应引擎下发命令。而这整个流程以及全貌，都可以通过数据运营平台来实现数据安全态势感知与数据安全风险可视。SOC-D采用连续自适应风险和信任评估(CARTA)方法，通过风险的连续评估用于安全性策略的动态调整，以适应不断变化的应用和数据安全态势。

安全牛：顺丰如何看待威胁情报（开源情报、商业情报、暗网情报等）在数据安全管理和安全运维管理体系（SOC）中的定位和作用，顺丰有哪些相关项目或者计划？

刘新凯：在安全运营中，我们经常遇到虽然有大量安全设备堆砌，但是也面临海量事件、众多漏报和误报的困境，安全运营的成本增加、效率低下。因此威胁情报的引入当前企业安全体系建设中很重要的一块，也是企业安全由治理、管控走向运营的重要一环。但光有威胁情报其实是远远不够的。

在数据安全运营中，建模的维度还是围绕着数据资产的威胁、脆弱性、风险这三者来进行的。那么第一步就是要弄清楚企业到底有哪些数据资产，哪些敏感数据，他们怎么流转的；在这之后，才能针对这些已知的数据资产，去分析他们所面对的威胁，暴露的脆弱性以及相关风险。那么在威胁的分析过程中，威胁情报就可以使得企业了解的更全面，更有针对性，从而更好地更高效的去处理相关安全运营。

顺丰在完成了相关资产梳理后，也开始关注威胁情报的建设工作。我们一方面与专业厂商合作，获取最新的威胁情报，另一方面联合相关甲方企业建立了安全联盟，一起共享相关威胁情报。

安全牛：今天，用户的隐私保护不是一家企业能够完成的，业界在隐私合规和违规责任方面经常会出现扯皮现象，顺丰如何看待多方隐私计算的发展方向？

刘新凯：关于问题中提到的责任方互相推诿的情况，或者说是在多方共同处理敏感信息时，无法确定信息的泄露源头的问题，我认为应该从以下几个方面来考虑。第一，根据最小权限原则，先判断处理该业务，哪些数据是必须的，哪些是没必要的；第二，是否需要明文的隐私数据，匿名的数据是否满足要求；第三，是否有完善的行为监控系统、安全运营平台；第四，供应商的安全资质和信息安全建设水平如何；最后再来考虑是否使用同态加密、安全多方计算等技术。

这里要特别提醒的是，即使有良好的同态加密、安全多方计算等技术，也不意味着就有了完整的全面的隐私数据安全解决方案，亦不能成为数据滥用的借口。

安全牛：这次新冠疫情给顺丰的网络安全工作带来了哪些挑战，顺丰如何应对新冠疫情带来的新安全威胁？

刘新凯：这次疫情最重要的变化，其实来自于远程办公。我们依旧从保护企业数据为核心，从以人为安全建设中心来看，远程办公使得传统企业的网络边界更加模糊，以网络边界为中心的安全建设体系已不再适用。

因此顺丰在基于其本身数据治理、权属管控的基础上，进一步加强了数据管控层的建设，同时通过SOC-D等手段，对全网数据资产、敏感数据的操作进行监控，以此来保证顺丰的数据安全。

安全牛：我们今天聊了很多数据安全建设的相关话题，那您从网络安全、数据安全长远发展角度，对物流行业同行以及安全厂商还有什么建议？

刘新凯：随着云计算、移动互联、大数据技术等发展，企业的传统网络边界将逐渐消失，过往以网络边界为中心的安全建设将不再适用，数据本身将成为企业的最核心的资产。因此我认为，未来企业数据安全将会成为企业安全建设的核心，而企业数据安全的建设最终，也必然会从治理、管控逐渐形成以SOC-D为标志的数据安全运营转变。对于安全的从业者而言未来需要从更高的维度去思考和解决安全问题，要从体系的角度出发，逐步去实现安全的智能化和自动化。

相关阅读

2020年企业面临的20大数据安全风险

数据观点：为什么数据隐私不止关乎安全