物聯(lián)網(wǎng)行業(yè)的特殊性在于：原來很多設(shè)備是不聯(lián)網(wǎng)的，所以不存在用戶隱私泄露的風(fēng)險。而如今，設(shè)備聯(lián)網(wǎng)是大勢所趨，數(shù)據(jù)的控制者和處理者都會直接或者間接的接觸到非常多的個人用戶數(shù)據(jù)，比如：姓名、性別、年齡、身份證號、手機號等等，另一方面，由于需要對設(shè)備和用戶數(shù)據(jù)進行運營畫像及監(jiān)控，也會收集到更多關(guān)于用戶行為的隱私數(shù)據(jù)。所以，GDPR對物聯(lián)網(wǎng)企業(yè)的影響還是非常深遠(yuǎn)和重要的。

　　青蓮云作為一家物聯(lián)網(wǎng)安全解決方案公司，通過多年來在網(wǎng)絡(luò)安全、云安全、黑客攻防對抗和數(shù)據(jù)隱私保護等領(lǐng)域的經(jīng)驗積累，針對GDPR施行后，國內(nèi)物聯(lián)網(wǎng)企業(yè)的應(yīng)對思路，總結(jié)出以下要點，可以作為企業(yè)在實踐GDPR合規(guī)過程中的參考方向，以此分享出來與大家探討。

　　國內(nèi)物聯(lián)網(wǎng)企業(yè)應(yīng)對GDPR 的建議思路：

　　企業(yè)高管的直接重視

　　無論是GDPR還是其他安全合規(guī)性的法規(guī)要求，更多的是與企業(yè)的管理/研發(fā)流程息息相關(guān)。而內(nèi)部流程的推動更多的依賴企業(yè)高管的重視程度和實踐決心。推動一項流程的正確實施需要自上而下有序進行，如果企業(yè)高管對推動合規(guī)性流程的意識不足或者重視程度不夠，往往會造成非常多的人力時間成本浪費，也會影響到正常業(yè)務(wù)的開展進度。所以我們把企業(yè)高管的重視程度放在第一位。

　　合理區(qū)分?jǐn)?shù)據(jù)控制者和數(shù)據(jù)處理者

　　GDPR中針對控制者和處理者有明確的描述。在實踐GDPR中，企業(yè)首先要明確自己到底是屬于數(shù)據(jù)的控制者還是處理者，這個定位非常重要。舉個例子：如果企業(yè)使用Google Analytics(或者其他第三方數(shù)據(jù)分析服務(wù)商)針對網(wǎng)站進行用戶行為分析，那么企業(yè)就是數(shù)據(jù)控制者，Google Analytics就是數(shù)據(jù)處理者。當(dāng)數(shù)據(jù)主體(消費者)依據(jù)GDPR中的要求執(zhí)行“被遺忘權(quán)”的時候，企業(yè)有責(zé)任去履行用戶的合法要求，企業(yè)應(yīng)當(dāng)能夠刪除交給第三方數(shù)據(jù)分析服務(wù)商的用戶個人數(shù)據(jù)。

　　從設(shè)計之初保護隱私

　　萬丈高樓平地起。道理很簡單，安全是IT系統(tǒng)的基石，如果基礎(chǔ)的IT系統(tǒng)出現(xiàn)安全漏洞，特別是針對物聯(lián)網(wǎng)行業(yè)，通過批量的遠(yuǎn)程升級往往都不能解決關(guān)于業(yè)務(wù)邏輯的安全問題。物聯(lián)網(wǎng)企業(yè)在設(shè)計系統(tǒng)架構(gòu)之初就應(yīng)該把安全因素納入架構(gòu)設(shè)計范圍。 讓安全從早期介入，才能避免后期因產(chǎn)生安全事故導(dǎo)致更嚴(yán)重的企業(yè)損失。

　　明確的獲得客戶的數(shù)據(jù)授權(quán)同意

　　GDPR在此處也有明確的描述，需要企業(yè)用非常明顯且直白的方式告訴客戶將會采集哪些數(shù)據(jù)(類似于APP的權(quán)限授權(quán))，特別是針對未成年人的物聯(lián)網(wǎng)產(chǎn)品(如兒童手表、兒童故事機等)，必須獲得監(jiān)護人的直接授權(quán)同意才可以收集相關(guān)數(shù)據(jù)。

　　識別數(shù)據(jù)存儲的位置

　　數(shù)據(jù)是企業(yè)IT資產(chǎn)的一部分。當(dāng)實踐GDPR之前，企業(yè)必須要做的一件事就是識別數(shù)據(jù)存在哪了。物聯(lián)網(wǎng)的底層架構(gòu)的是云計算，云計算會用不同的數(shù)據(jù)存儲技術(shù)來存儲不同類型的數(shù)據(jù)，比如用Redis來存儲緩存數(shù)據(jù)、用Hadoop來存儲離線的大型日志文件、用Cassandra來存儲一些碎片化的小文件。企業(yè)技術(shù)負(fù)責(zé)人必須清晰的意識到內(nèi)部用到了哪些數(shù)據(jù)存儲的技術(shù)或者組件，不同的組件存儲了哪一類數(shù)據(jù)， 識別“數(shù)據(jù)戰(zhàn)場”是數(shù)據(jù)隱私保護的第一步 。

　　識別數(shù)據(jù)的類型和風(fēng)險

　　當(dāng)識別清楚數(shù)據(jù)存儲的位置之后，就需要對數(shù)據(jù)資產(chǎn)進行風(fēng)險評估。思考企業(yè)所存儲的數(shù)據(jù)種類都有哪些：如個人身份數(shù)據(jù)、定位數(shù)據(jù)、行為數(shù)據(jù)、金融數(shù)據(jù)?數(shù)據(jù)的類型有哪些：整型?浮點型?布爾型?圖片/視頻?不同數(shù)據(jù)的泄露風(fēng)險有哪些：如會導(dǎo)致用戶信用卡被盜刷?會導(dǎo)致用戶遭受垃圾郵件攻擊?會導(dǎo)致用戶身份被仿冒?會要導(dǎo)致用戶行蹤被跟蹤?等等，依據(jù)企業(yè)建立的數(shù)據(jù)風(fēng)險模型，可以為今后有針對性的部署安全解決方案提供有力支持。

　　識別數(shù)據(jù)的使用授權(quán)

　　在大部分的數(shù)據(jù)使用場景中，并不是只有企業(yè)自己對數(shù)據(jù)有完全的控制權(quán)和處理權(quán)。在大數(shù)據(jù)解決方案中，往往需要借助外部第三方企業(yè)的能力來對數(shù)據(jù)進行深入挖掘和分析，這時，對數(shù)據(jù)的使用授權(quán)管理就極為重要。 企業(yè)需要明確的知道有哪些數(shù)據(jù)存在與第三方的數(shù)據(jù)服務(wù)交換或者直接把數(shù)據(jù)發(fā)送給了第三方。 當(dāng)有這種情況出現(xiàn)時，企業(yè)就變成了數(shù)據(jù)的控制者，如果由于第三方服務(wù)商出現(xiàn)了數(shù)據(jù)泄露問題，按照GDPR的法規(guī)約定，企業(yè)作為控制者也同時存在連帶責(zé)任。

　　識別數(shù)據(jù)的移植和傳輸能力

　　在GDPR中規(guī)定，數(shù)據(jù)主體(消費者)有權(quán)力將個人信息向其他個人或組織進行傳輸。這就要求企業(yè)在設(shè)計系統(tǒng)架構(gòu)時，能夠支持?jǐn)?shù)據(jù)的格式化處理，并且可移植，以及在多個供應(yīng)商之間共享數(shù)據(jù)，同時還需要具備數(shù)據(jù)安全傳輸?shù)慕鉀Q方案，以實現(xiàn)在傳輸?shù)倪^程之中確保數(shù)據(jù)的加密性、完整性和嚴(yán)格的雙向身份認(rèn)證。

　　必要時能夠清除個人數(shù)據(jù)

　　數(shù)據(jù)主體的“被遺忘權(quán)”也在GDPR 中也作為重點提出。 企業(yè)必須有能力能夠刪除一些用戶指定的或者用戶不再允許使用的數(shù)據(jù)。企業(yè)應(yīng)當(dāng)能夠具備快速的數(shù)據(jù)定位能力，并刪除定位出來的用戶數(shù)據(jù)，并且將這部分需要被刪除的數(shù)據(jù)通知給第三方的數(shù)據(jù)服務(wù)商(如果這部分?jǐn)?shù)據(jù)被第三方使用的話)。

　　具備快速識別并及時報告數(shù)據(jù)泄露事件的能力

　　這個能力我覺得非常重要，并且有很大的難度。難點有二：1、企業(yè)如何能夠快速識別到自己的數(shù)據(jù)產(chǎn)生泄露了?縱觀歷史上或者近期的數(shù)據(jù)泄露案例，企業(yè)方基本都是后知后覺;2、企業(yè)是否有能力(魄力)在GDPR中規(guī)定的72小時之內(nèi)及時向監(jiān)管方及數(shù)據(jù)主體報告數(shù)據(jù)泄露事件?為什么說這個能力很難，相信企業(yè)管理者都能夠感覺到，其實這并不完全是一個技術(shù)能力。

　　遵循數(shù)據(jù)最小化原則

　　在安全架構(gòu)設(shè)計中有一個重要原則：最小化權(quán)限。即針對業(yè)務(wù)進行風(fēng)險評估，僅僅提供能夠滿足業(yè)務(wù)運行的最小化權(quán)限，如盡量少開端口，禁用Root權(quán)限等。GDPR中的明確規(guī)定了數(shù)據(jù)最小化的原則，即，盡量少的收集用戶數(shù)據(jù)，能夠滿足業(yè)務(wù)需要即可。通俗來講：功能少了，風(fēng)險自然就少，在數(shù)據(jù)安全方面也是同理。

　　針對數(shù)據(jù)進行匿名化處理

　　GDPR中對“匿名化”有明確的官方定義。其中有兩次含義：1、以青蓮云的系統(tǒng)架構(gòu)舉例，針對用戶和設(shè)備不同類型的數(shù)據(jù)，進行分庫/分類加密存儲，以避免當(dāng)出現(xiàn)數(shù)據(jù)泄露的情況下，一次性泄露全部且完整的用戶個人數(shù)據(jù);2、針對敏感數(shù)據(jù)進行匿名化處理，比如記錄身份證號時，隱藏中間的生日數(shù)據(jù)段，避免因數(shù)據(jù)泄露而直接能夠定位或指向某一個可識別的自然人。

　　保證網(wǎng)絡(luò)通信的機密性和數(shù)據(jù)完整性

　　這里有兩個要點：機密性和完整性。青蓮云的系統(tǒng)架構(gòu)中內(nèi)置自研的物聯(lián)網(wǎng)安全接入網(wǎng)關(guān)系統(tǒng)，網(wǎng)關(guān)不僅僅可以提供多種數(shù)據(jù)加密方式(AES/DES/SSL等)，更能夠針對每一個數(shù)據(jù)包進行安全簽名和合法性校驗，從而保證數(shù)據(jù)在加密傳輸?shù)倪^程中，能夠抵抗黑客發(fā)起的設(shè)備重放攻擊行為，實現(xiàn)安全穩(wěn)定的物聯(lián)網(wǎng)數(shù)據(jù)傳輸。

　　保證網(wǎng)絡(luò)通信的強身份認(rèn)證

　　身份認(rèn)證一定是雙向而非單向的。對于物聯(lián)網(wǎng)行業(yè)來說，身份認(rèn)證主要包含設(shè)備與云端、設(shè)備與設(shè)備端、客戶端與云端、客戶端與設(shè)備端、云端與第三方接口以及云端本身的身份認(rèn)證幾個方面。在青蓮云的系統(tǒng)架構(gòu)中，也是由物聯(lián)網(wǎng)安全接入網(wǎng)關(guān)系統(tǒng)來實現(xiàn)這一系列身份認(rèn)證機制，能夠抵抗黑客發(fā)起的設(shè)備偽造及其他數(shù)據(jù)偽造攻擊行為。

　　重視數(shù)據(jù)生命周期管理

　　針對企業(yè)的研發(fā)流程，微軟提出了SDL(安全開發(fā)生命周期)，一共分為7個部分，從培訓(xùn)到最終的應(yīng)急響應(yīng)。針對數(shù)據(jù)也是如此，企業(yè)應(yīng)當(dāng)自查，從定義數(shù)據(jù)格式到采集數(shù)據(jù)，再到分析展現(xiàn)，直至持久化存儲的生命周期中，是否能夠做到安全可控。畢竟在生命周期的不同環(huán)節(jié)都面臨不同的安全風(fēng)險，能夠有效的管理數(shù)據(jù)生命周期，是企業(yè)必備的安全能力之一。 此處建議企業(yè)技術(shù)負(fù)責(zé)人仔細(xì)學(xué)習(xí)微軟的 SDL 流程。

　　重視企業(yè)內(nèi)部的隱私管控

　　隱私管控不僅僅限于GDPR，企業(yè)應(yīng)當(dāng)自查是否具備隱私管控的流程或者技術(shù)能力。此處包括但不限于：針對數(shù)據(jù)存儲的隱私管控、針對OA系統(tǒng)的隱私管控、針對銷售系統(tǒng)的隱私管控、針對辦公網(wǎng)絡(luò)的隱私管控、針對移動辦公的隱私管控、針對離職員工的隱私管控、針對存儲數(shù)據(jù)進行硬件銷毀的隱私管控能力等。

　　檢查第三方供應(yīng)商是否符合GDPR

　　以青蓮云舉例：青蓮云為物聯(lián)網(wǎng)企業(yè)提供安全可信的物聯(lián)網(wǎng)私有云/公有云服務(wù)，但是無論是公有云還是私有云，青蓮云產(chǎn)品作為一套物聯(lián)網(wǎng)安全軟件系統(tǒng)，必須依賴某個云計算IaaS服務(wù)商。因此，企業(yè)在考慮第三方供應(yīng)商是否滿足GDPR合規(guī)要求的同時，不僅要考慮第三方供應(yīng)商自己的安全能力(青蓮云可以提供真正端到端的物聯(lián)網(wǎng)安全解決方案)，更需要考慮底層云計算廠商的GDPR合規(guī)性。以云計算代表亞馬遜AWS和阿里云來說，兩家廠商都有標(biāo)準(zhǔn)的GDPR合規(guī)性要求說明，同樣值得企業(yè)關(guān)注。

　　考慮設(shè)置專門的隱私保護人員

　　在實踐GDPR中，企業(yè)不僅僅需要高管人員的重視，同時需要培養(yǎng)專門的隱私保護人員，如首席隱私官(Chief Privacy Officer，CPO)，或者是GDPR中明確提出的數(shù)據(jù)保護官(DPO)。即便企業(yè)沒有該職位設(shè)置，也應(yīng)當(dāng)針對技術(shù)負(fù)責(zé)人、核心員工進行專門的隱私保護培訓(xùn)，建立相應(yīng)的隱私保護流程，以滿足GDPR的合規(guī)性要求。

　　具備其他安全合規(guī)性要求

　　企業(yè)的信息安全建設(shè)絕非一朝一夕能夠完成。在關(guān)注GDPR之前，企業(yè)應(yīng)當(dāng)審視是否滿足了國家的其他安全合規(guī)要求，比如：網(wǎng)絡(luò)安全等級保護。至少在物聯(lián)網(wǎng)應(yīng)用層面，也應(yīng)當(dāng)具備一定的安全防御能力， 并不能理解為我用了阿里云，安全就是阿里云來保障，更不能認(rèn)為我的數(shù)據(jù)是加密的，就等于安全了 。安全漏洞的產(chǎn)生更多的是跟業(yè)務(wù)邏輯相關(guān)，不止體現(xiàn)在針對數(shù)據(jù)的保護上， 青蓮云可以為物聯(lián)網(wǎng)企業(yè)提供專門的安全咨詢服務(wù)(安全培訓(xùn) + 安全測試+ 物聯(lián)網(wǎng)安全解決方案) 。

　　與專業(yè)安全公司保持緊密合作

　　術(shù)業(yè)有專攻，安全來自于長期的經(jīng)驗積累和真實的黑客攻防對抗。很多物聯(lián)網(wǎng)企業(yè)自身不具備組建專業(yè)安全團隊的能力，企業(yè)應(yīng)當(dāng)更關(guān)注自身的業(yè)務(wù)和產(chǎn)品發(fā)展，并與安全企業(yè)建立長期合作伙伴關(guān)系：一方面可以提升自身業(yè)務(wù)的安全防護能力，另一方面也可以通過與安全企業(yè)的合作提升員工的安全意識，將安全漏洞扼殺在研發(fā)和測試流程中，從而提升量產(chǎn)產(chǎn)品的安全性。