2016年1月16日，由企业网D1Net和中国信息化发展战略与创新联盟联合举办的2016年北京部委央企及大型企业CIO年会在北京隆重举行，大咖云集，干货爆棚，围绕新IT架构和信息安全，CIO们碰撞思想火花，最前沿的技术厂商交流最新的研究成果及创新产品。技术与实战在这里融合。

主持人：接下来我们将请出国家信息中心安全专家赵睿斌和我们分享大数据的安全与挑战，大家掌声欢迎!

国家信息中心安全专家赵睿斌

赵睿斌：大家好!我叫做赵睿斌，是国家信息中心的，今天我跟大家探讨一下大数据面临的一些机遇与挑战，主要是回顾一下2014年和2015年重点的信息安全泄露的几件大事，可能对在座各位有所启发和学习。

主要分以下几个点跟大家共同学习。第一、大数据安全是怎么回事?第二、大数据泄露事件。第三、大数据国内外是怎么样的政策。第四、我们国家大数据安全应该采取哪些措施?

所谓大数据的定义，从这张图上可以看到，我们国家从去年开始就是大数据在满天飞，其实大数据跟我们生活是息息相关分不开的，包括物联网、音频采集、视频采集、空气传感器、土壤传感器，还有PC机、手机，包括小米网一直推，小米雷军他们做的移动智能设备。其实无形中就是把数据采集起来形成一个大数据。另外，将传统互联网，比如笔记本、台式机、电脑的个人信息，还有最重要的人手一部手机可能好几部。这样把所有的数据集中到一块儿，它就是汇集了我们在生活、工作、社交，以及我们面临的所有信息量产生的信息量集中的一个大数据。

其实大数据首先数据量要大，第二、类型要多样化。不光是笔记本、台式机产生的数据叫大数据。第二、包括运行高效，现在很多移动设备运算速率非常快，可能采用Hadoop大数据的一些框架，对高速运算和存储提出一些要求，因为数据量大，这么多数据怎么处理，放在两年以前这些数据处理起来是很难的，那时候存储的设备也不容易，所以那时候这样大的数据量很难进行分析。最后其实大数据最后还是产生价值的，不产生价值，大数据又不会起什么作用，当然价值也会被一些黑客，一些人员所利用，产生他们自己认为的企业价值。

这是2015年百度在春节时候一个图像，过几天春运开始了，可能也会上这个东西，就是我们人手一部手机，我们到哪儿要查一下，比如要查当地什么情况，百度地图对你进行定位，就会密集的知道你春运期间北上广，包括重庆，人流量特别密集，当天的数据从什么地方出发到什么地方，就知道从中有一个情况。就是一个科技公司能够发现这个趋势，这是很可怕的。这一块如果天气极端会发生航班延误，这样我们就会上网查一下航班是什么情况，这个图百度并没有连到中航信这样的专业机票公司，就是至人查哪架航班，就知道哪架航班处于延误状态还是正常状态，这是大数据发展的态势。

所以，大数据给我们带来信息安全的同时也为信息安全的发展奠定了机遇。因为我是从事信息安全的，说一说大数据一方面是指数据安全，另一方面就是大数据安全分析。大数据安全分析就是采用一些大数据手段对安全的事情，安全的一些工具，安全的一些本质进行一些大数据安全分析。数据安全比较简单，大家都说数据安全如何存储、如何保存、如何进行数据本身的安全，大数据安全其实有两层含义的。

我们共同回顾一下这一两年发生的重大安全事件。2013年重点的安全事件就是“棱镜计划”，那个时候技术手段还没有这么强烈，包括雅虎一出现的时候，跟政府进行合作，进行了相关的监控，包括CII。到2013年斯诺登跑到香港披露了这个事，后来到俄罗斯进行避难。当时虽然我们从一些相关机构，相关的渠道知道美国在做这件事，但是我们不知道美国能做到这么严重的情况下。美国居然连默克尔的手机都能进行监控，按理说德国政府对于总统、总理的手机也是进行相关的一些加密措施或者一些相关的保密措施。但是，它依然能够破解这种情况。

去年我还关注一些事件，就是美国大使馆往往很多驻全球各地大使馆上了特别大的一个圆球，里头就是侦听设备和监听设备，能够侦听方圆多少公里，包括手机，咱们采取可能是跟移动基站之间的通信，比如发了一个邮件，发了一个短信全能收集到，美国的设备是非常非常先进的。尤其是针对俄罗斯、中国、伊朗、朝鲜这样的一些国家是美国重点的监控。所以，斯诺登也不好说，但是斯诺登对整个事件信息安全作出了卓越的贡献，美国认为他是叛逃者。

2014年有另外一个事就是索尼影业公司被黑客攻击，索尼影业作为一个私人公司能够被黑客攻击后来据说是朝鲜派的一支黑客队，个攻击造成的损失上亿美元，导致索尼近几年的发展状况每况愈下。2014年我们还发生另外一个大的事，就是12306用户数据泄露，昨天一个新闻，还有人能够搜到相关信息，黑客13条数据，现在有些人登录12306的密码没有变，还是能够利用你的用户名、密码登进去。12306个网站我们国家信息中心参与了一些相关建设，包括它的等级，它是全国第一个等级保护四级系统，按理说它的级别已经够高了，但是依然能够发生信息泄露，这也是很严重的事情。

2015年全球影响比较大的几个信息安全事件，包括2015年1月俄罗斯约会网站Topface 2000万用户名和电子邮件地址被盗。2月Uber披露，5万名Uber司机的个人信息被不知名的第三方人士获取，包括社保码、司机相片、车辆等级号等信息。3月，医保提供商Premera蓝十字披露，1100万客户的医疗和财务数据泄露等等，以上这些是到7月份的状况。到8月份在线票务销售平台大麦网600余万用户账户密码泄露并在黑产论坛公开售卖等等。

其实2015年的大数据安全事件约翰·吉布森事件，约翰·吉布森的信息得到了泄露，他是一个老师，他有一个姑娘，还有孩子，结果他上吊自杀了。为什么上吊自杀呢?因为他通过交友平台可能交一些社交上的相关人员，但是他媳妇一直认为他是一个很守本分的人，在同事眼中也是很老实的一个人。虽然他这样的做法我们不是要批判这个人，但是这个事件导致个人隐私泄露以后，确实最后也就失去他宝贵的生命。2015年7月美国人事管理办公室OPM最终披露入侵事件带来的整个影响，这个事件影响到2015年的12月份，2015年12月份，美国领事馆和大使馆把相关调查人员撤回到国内了，因为2150万的个人信息泄露，我们如果有一定的分析能力就能知道在华的这些美国联邦调查人员是具备一定的特工背景，能够在华从事相关的特勤人员的手段，所以把受影响的特工就撤回去了，7月份做的事12月份才得到一个明显的显现。2015年机锋2300万信息被泄露，这个很可怕，这是我们国家自己做的一个机锋网。还有酒店，包括喜来登、桔子酒店等。另一个就是社保系统，社保泄露5000多万条，涉及30多个省市，社保信息如果泄露，别人就知道你现在的健康状况是什么情况。还知道哪个医生给你开的，个人情况是什么情况，你和谁之间是亲戚，你和谁是相关的领导关系，从个人信息上，用大数据分析会发生无穷的结果。

2015年支付宝和携程出的故障。支付宝因为一根光缆在萧山地区被挖断以后就受影响了，2小时无法使用支付宝。携程5月28日因故障瘫痪了，说是由于员工错误操作，删除了生产服务器上的执行代码导致，这其实是官方的说辞。

从大数据安全分析来讲，大数据成为网络攻击的一个目标。我们如果知道数据量，我们通过一定的相关分析，现在分析软件越来越多了，我们就能知道个人隐私，个人隐私很可怕，我们每个人如果把我们的隐私暴露在公众面前，就相当于我们没有穿衣服一样，你无法保护自己，这是最可怕的事。而且大数据技术，以前的黑客攻击可能是个人喜欢一些相关的代码，相关的一些黑客手段进行攻击。如果用大数据平台进行黑客攻击，那是有组织，有几率的行为，一旦发生攻击是很可怕的。最后，大数据技术成为一个新的支撑，我是做信息安全的，希望通过大数据的技术提供一些安全的手段和安全的防护，防止诈骗或者黑客入侵。

回顾一下大数据国内外的相关政策。美国很早提出《大数据研究与发展计划》，2015年又推行了《消费者隐私权利法》，就是消费者有隐私权利，不能随便暴露我的隐私，你要暴露我的隐私，不管政府也好，企业也好，都需要承担相应的法律责任。澳大利亚、英国、法国也对大数据的一些安全规定了一些自己的相关纲领和文件。从2015年8月31号，促进大数据发展的行动纲要，包括贵州也进行了大数据，把大数据做到一个高度上，国家也比较支持。可能最主要的一个，以前的信息泄露，过去就是我们听的更多是病毒，以前360做病毒防护卫士，但是后来是有目的，有组织的攻击，而且周密完善，目标明确。这是夜龙攻击的情况，黑客有组织的攻击了一家能源机构，这是夜龙攻击的流程，不展开讲了，这是夜龙攻击的相关环节。

另外就是政网攻击，更可怕，西门子的设备在伊朗运行了很长时间密谋被进行攻击，后来一个工程师使用了U盘，触发了政网病毒，导致伊朗核能退化很多年，让你的离心机倍速的转，这样设备坏了，核设施的研发也缓慢了，美国太厉害了。2015年9月17号Xcode的恶意代码，9月1号阿里云服务器预装的安全产品云盾“安骑士”升级触发了bug。这些都给我们提了个醒。

最后，大数据应用安全。大数据信息安全体系要建立起来，当然加快大数据安全的技术研发，把大数据怎么用在安全上，怎么解决安全上的问题，用大数据的手段解决。第三、加快对重点敏感数据的监管，要不监管一些重点敏感数据，咱们不重视，有人重视，别的国家拿走了，你就很麻烦了，或者一些关键企业认识不到数据的重要性偶然间失误也会造成重大影响。

最近我在写一篇文章就是“国家网络空间安全体系建设”，我们国家如何从政策，从我们国家包括去年12月份乌镇的会议，包括习近平在乌镇会议上的讲话，我们国家在网络空间安全是一个什么态势?在政策上我们如何支持这些行动，构建国家网络空间安全体系，但是又不能跟世界不接轨，还得能跟美国进行对话、合作，得到美国的一些认同。有区别，有竞争，我们不是闭关自守，包括去年提的很多自主可控的一些相关的国产设备。如果完全什么都自主可控，都不用国外的一些设备，那么，不符合改革开放的一个理念。有些设备我们必须要国产，必须要自主，但有些设备我们也需要国外的先进的厂商引进来共同合作。所以，我最近一直在写“国家网络空间安全体系”的文章做一个研究，什么时候写好了，大家可以在一块儿共同探讨一些，谢谢各位领导和专家。