近日，上海淇毓信息科技有限公司（360数科）通过严格审核，获批成为DSI参与单位。作为深具安全基因的数字科技企业，360数科一直不断加大数据安全和个人信息保护力度，通过内部加码技术与制度双重建设，外部引入多方机构评估提升治理水平，为用户及合作伙伴提供更加全面的数据安全保障。
360数科是一家以科技为驱动，连接用户与金融合作伙伴的科技平台，携手金融合作伙伴，为尚未享受到普惠金融服务的优质用户提供个性化的互联网消费金融产品和服务体验，旗下产品有360借条、360周转灵等。
360数科一贯重视数据安全和个人信息保护工作，自成立以来，便设立专门的信息安全团队，采取技术与管理相结合的方法，严格落实法规要求，加强数据合规建设，不断提升数据安全水平，致力于为用户及合作伙伴提供更加全面的数据安全保障。
在隐私数据保护上，360数科于2018年引入隐私计算研究，并在2019年宣布成立隐私保护与安全计算研究院，运用联邦学习技术发力大数据隐私保护。
◆ 分割式神经网络技术框架
2020年，为进一步推动隐私数据保护领域研究，360数科在业内第一次提出分割式神经网络技术框架（SpiltNeuralNetwork），并通过自主研发的一套系统实现算法落地。
与传统联邦学习不同的是，分割式神经网络技术框架输出层数据的维度远小于原始输入层的维度，即使输出层的数据没有加密也无法反推原始输入层的数据，从而在框架设计上杜绝了数据泄露的问题。由于输出层数据的维度较小，也可以大幅降低服务器端的计算量与内存使用量，减少网络传输量，降低对带宽的要求。
目前，该框架主要满足360数科在与合作方进行数据交互时的需求。未来，在360数科对外输出风控能力的过程中，隐私计算也将作为技术输出的一部分，作为综合解决方案从底层解决数据安全问题。
◆ 层级聚合（hierarchical ensembles）风控模型体系
主流的联邦学习需要结合特定的隐私技术才能达到隐私保护的目的，且对服务器与传输量有着不低的要求。就如何解决在多种复杂场景下，联邦学习运算速度和隐私保护有机结果的问题，2021年，360数科首创研发了基于联邦学习的层级聚合（hierarchical ensembles）风控模型体系，并通过三个层次的设计，凸显了该体系的应用价值。
第一，数据保护。在层级聚合风控模式下，360数科建立了非常严格的数据管控规范，各类数据要素在学习过程中通过联邦学习进行交互与融合，原始数据不出库，最大限度保障了各方的数据安全。在此过程中，360数科利用自研的隐私保护机器学习平台FastFL（Fast Federated Learning），支持多方在不传递原始明文数据的情况下，进行数据求交、特征处理、模型训练、评估等全流程合作建模。
第二，联邦层级叠套。正如同“同手同脚”游戏，通常以“两人三足”为基本单位进行训练，从而提升整体正确率和效率。为了降低在多方联邦学习中的各方数据耦合性，避免在实际应用模型时，因一方数据无法获取而导致模型完全失效的问题，360数科创新性地将多方聚合分解为多个双方聚合，通过多次训练将稳定的单个模型板块堆叠起来，形成一个最终大模型。层级叠套设计克服了联邦学习在实际执行时难以协调两方以上数据要素进行同步聚合的操作困难。
第三，数据源截断设计。作为科技链接属性平台，360数科需保证自身“桥梁”定位的稳定。在这一设计下，只需做少量调整，就能应对数据源的突发性变化，保障了整个风控体系的稳定性和可靠性。
360数科从组织、制度、技术、人员等方面实现数据和信息安全治理体系的闭环提升。
第一，组织层面，在公司层面成立数据安全委员会，并下设数据安全风险专项小组，由效率安全部、合规部、法律部主要负责人参加，统筹协调数据安全和个人隐私保护的重要问题，协调资源，落实推进，确保数据安全和个人隐私保护不是一个部门一个条线的问题，由公司统筹。
第二，制度层面，陆续出台了数据分类管理、个人隐私保护等十多项制度，形成一个制度体系。在合规部设置专岗跟进重大的方针政策和相关的办法出台，适时的增补修订制度。
第三，技术层面，组建了数据安全控制平台，确保所有的数据项和数据活动都在平台管理下进行。数据采集、使用、加密、脱敏、分发整个流程都在置于数据系统的管控之下。
第四，运营商层面，坚持数据按照最小必要的原则申请权限，跟职务无关，跟业务场景有关，前台的权限比较高，因为其业务场景需要用到，如果一个人离开了该岗位，权限也会自动回收，确保数据的切口最小。
第五，安全审计层面，包括数据专项审计和数据操作行为审计，通过系统化的审计来确保发现异动及时处置避免问题扩大。
360数科的数据治理理念可以概括为：一个中心，两个方向，三个重点。
一个中心：以数据为中心，无论是网站、还是系统、还是人员操作，最终都是需要调取数据的，常规的系统入侵、人员违规并不能必然导致核心数据就会遭到破坏或者窃取，在以数据为中心的维度上，严格把控数据的管理权限、加密机制和监控举措，在一定程度上，可以很有效地防止核心数据的泄露。
两个方向：对外和对内，对内利用ATT&CK模型，建立起了一套完整的防御体系，严控黑客入侵和安全问题带来的数据泄露和威胁。对外以舆情信息为基础，第一时间获取互联网上的一些安全舆情，数据舆情，在通过多部门的合作和自身安全攻防技术，坚决有效地打击犯罪和数据风险问题。
三个重点：数据安全监控、数据生命周期的管控、数据隐私保护及管理制度。
数据安全监控为重点：利用360安全大脑和最前沿的AI模型技术，实时掌控网络安全动向和数据流向，配合内部360金融盾安全平台，严格把控数据的使用和操作权限、监控了敏感数据流向和使用。
数据生命周期的管控为重点：实现了严格的数据生命周期管控措施，合理数据分级治理，采用框架性的数据权限划分，保证了系统数据冗余，且有问题可追溯。
数据隐私保护及管理制度为重点：不断完善多维度的数据管理制度和隐私保护制度，不仅统一数据存储的标准，还在员工的开发和工作日常上有一定的约束力。多种安全可靠的数据加密方案，合理且安全管控了各业务的数据调用和交互问题。
◆ 隐私信息管理体系ISO27701认证
◆ 信息安全管理体系ISO27001认证
◆ App信息安全认证证书
◆ App安全认证证书
◆ 引入中国信通院DSG评估
◆ 中国信通院DSI参与单位
