会上，京东物流大数据高级总监秦恒乐老师带来《从数据入表看企业数据资产安全》主题分享，以下为演讲实录：
关于数据国家已发布众多政策与法律法规，财政部会计司发布的《企业数据资源相关会计处理暂行规定》也将于2024年1月1日开始施行，这意味着企业的信息化建设将可以以成本法方式进行入表，信息化建设本身可转化为资产。这是一个重大的对数据资产性的认可。
在企业中，前几年比较火的一个词是数据中台，它最主要的内核是希望数据能高效的使用，强调的是效率。高效使用背后肯定离不开安全作为基础。在这个过程中企业认知从最初的原始数据到数据资源到数据资产以及现在的数据要素，体现了数据价值逐步厘清的递进关系。对于成熟企业来说，我们认为数据治理工作应处于平稳期，在数据应用上，数据资产服务企业的价值转化过程中，应处在蓬勃期。在数据流通的方面应处在探索期。
因此我们认为数据资产是一种重要的形态，第一个数据资产对内结合业务能够成为业务价值释放的试金石，另外它在数据要素市场上进行流通交易的话，我们认为它是一块敲门砖。数据资产兼顾了内部的属性和外部的属性，则数据安全分为内外两个层面。从内部的层面上来说，要围绕法、围绕数和围绕人展开，从外部的层面上来说，在流通安全这个领域应该围绕权和利两个方面展开。
第一个围绕法，包括《网络安全法》《数据安全法》《个人信息保护法》在内的法律体系以及相关的国家和行业标准，我们认为这些应作为企业数据安全政策文件体系的输入，企业应该针对这些输入进行相应的适配，最终形成数据安全政策文件体系来指导工作。具体在工作落实上，京东物流主要强调数据安全的风险评估和专项检查。这体现了企业做数据安全还是以防御型的手段为主，预防型的手段为辅，体现了企业在效率和安全上做权衡。
数据安全组织建设、制度流程、技术工具的建设、人员能力的提升，这都是数据安全非常重要的方面。落实到具体环节中，参考DSMM对数据全生命周期分阶段的定义，我们把这个能力做到持续提升，通过了三级的认证。企业开展数据安全工作的动机既有正面的、也有负面的，但无论如何，企业需要体系化构建数据安全体系，从组织到制度到工具，从数据到人，缺一不可。
第二条我们认为自用安全的主线是围绕数，以数据生命周期做阶段划分，在采集安全上非常重视数据的分类分级、敏感数据的识别，在传输安全上特别重视传输信道的加密和传输数据的加密，在存储安全上更加重视数据加密存储，在处理安全上会在数据脱敏、隐私管理上开展工作，在交换安全上更多的是关心数据的加密和数据的脱敏，在销毁的安全上是对密钥销毁的安全性保障、日志的记录和审计，在全生命周期中用AI能力助力安全工作效率提升。
下面是京东物流的分类分级体系的建设。从数据分类上来说，京东物流乃至整个京东在一级分类上把数据分为用户类数据、业务类数据、公司类数据三种，接着进行了四级的子分类，用户类数据可以分成个人用户和企业用户，个人用户的数据相对来说敏感度更高一些，逐级向下到最后通过标签类目体系的方式落实到每个子节点的分级。级别分为L1公开级、L2秘密级、L3机密级、L4绝密级，数据具体分级的匹配，采用NLP和机器学习的手段，自动对每个数据模型的每个字段进行识别。关键技术首先是字段级血缘的追踪，第二是对于数据防泄露与透明加密服务系统，这是为了解决HDFS存储数据的静态加密问题。敏感数据在处理和展示过程中采用脱敏技术，同时也建立了敏感集市进行集中操作。
自用安全的第三个主线是围绕人展开，包含三个最主要的话题：第一是身份认证，第二是授权，第三是访问控制。京东物流身份认证上建设了统一的单点登录系统，在授权机制上采用统一的权限管控，对用户在每个系统上每条数据的访问权限做记录，用于访问控制时候的决策。访问控制上我们区分了两个场景，第一是对系统的访问控制，主要是基于角色的访问控制的机制。对于数据来说，我们在探索基于属性的访问控制机制，数据有属主，需要属主进行每一条的授权。未来我们还会探索基于AI的动态访问控制策略，这种策略使我们从基于属性的静态的访问控制，走向动态的精细化的访问控制。
举一个案例，我们对于数据指标的使用权和所有权的探索。比如企业里面同样一个指标，不同部门口径不一致，决策的时候大家不知道看哪个指标比较好。我们的解决方法是，考核部门（一般来说是财务、质控这种中台性质部门）具有数据指标的提出权和认证权，业务部门只能有数据指标的使用权。从数据资产的角度来说，既然是一种资产，那就更应该规范各个不同角色的权限。业务只有数据指标的使用权，因此不能随意的进行增删改查操作。认证方，也就是提到的中台部门，具有数据资产的所有权，可以进行数据的操作。这个案例就是如何对不同的参与方的权限进行管控，杜绝企业里面出现数据泛滥的风险。
回到对外安全的领域，首先我们认为对外的安全主线是围绕权，国家和行业都在进行相关的探索，在数据交易和流通过程中有三个最主要的参与方：数据提供方、交易平台方、数据需求方。怎么在所有权、使用权、经营权进行权责利的划分，数据需求方处理数据的过程中产生的数据以及最终的结果数据具不具备相应的权利，这都是值得探讨的问题。如果结合欧盟GDPR去看，它认为参与方就三方，数据主体、数据控制者、数据处理者，且控制者和处理者必须得到数据主体的授权之后才能做任何事情，这是对数据安全保护的非常好的体现，利不利于数据要素市场的可交易可流通的事情，我觉得也是值得我们深思的一点。
围绕利，最主要关注交互交易的全链路上的关键技术，今天用区块链技术实现了交易技术的去中心化存储，并实现了交易记录的可追溯性和不可篡改性。隐私计算通过安全可信的沙盒环境让多方数据实现联邦学习，最终数据结果各方能够得到恰当的使用，这是数据在利这个方面安全整个交易链路中的关键技术。
最后，用京东物流的智能物流园区解决方案收尾。在智能园区里面，采用了物联网的技术对所有设备进行了数据可信采集，做到感知可得不可改。采用加密传输的技术保障了智能物流园区和IDC的数据通信安全，做到通信可听不可解。利用隐私计算技术，对园区中的人、车、货进行识别定位和整体调度，做到数据可用不可见。采用区块链技术对物流园区的交易进行商品溯源的追踪和审计，最终实现履约可计不可悔。
以上就是我的全部分享内容，谢谢大家！
往期回顾
#重磅！《数据安全风险治理成熟度评价模型》发布，征集首批预评估单位