每經(jīng)記者 靳水平    每經(jīng)編輯 文多    

成都•世界信息安全大會。圖片來源：每經(jīng)記者 靳水平 攝

大數(shù)據(jù)時(shí)代，數(shù)據(jù)成為越來越重要的資產(chǎn)，數(shù)據(jù)安全防護(hù)也隨之變得越來越重要。因此，如何在高速發(fā)展的環(huán)境里做好安全建設(shè)，成為業(yè)界普遍關(guān)注的話題。今日（10月22日）下午，成都•世界信息安全大會在中國西部國際博覽城舉行，部分與會企業(yè)家、專家學(xué)者分別就網(wǎng)絡(luò)安全等問題展開激烈交鋒和思想碰撞。

螞蟻金服高級專家吳飛飛表示，很奇怪的是，企業(yè)在做網(wǎng)絡(luò)安全的時(shí)候，都會思考從不同角度入手。有的公司是以漏洞角度為核心，有些公司則是以風(fēng)險(xiǎn)角度為核心。

“我們之前在蘑菇街做的時(shí)候，一直嘗試以漏洞的視角為核心。”吳飛飛說道，但這樣做安全后來會發(fā)現(xiàn)會漏掉一些重要點(diǎn)。

而以偏基礎(chǔ)安全的風(fēng)控，吳飛飛認(rèn)為還不能看作是純粹意義上的風(fēng)控。他認(rèn)為，有些團(tuán)隊(duì)有時(shí)會花很多時(shí)間去做一些對實(shí)際安全沒有太大幫助的事情。但實(shí)際上，有的漏洞要么利用條件比較苛刻，要么利用路徑比較困難。此外，還要考慮企業(yè)自身內(nèi)部的量級、影響面、是否能快速修復(fù)漏洞。漏洞本身的情況加上企業(yè)的情況，才是這個(gè)漏洞對于企業(yè)的風(fēng)險(xiǎn)程度。這個(gè)風(fēng)險(xiǎn)程度才是做網(wǎng)絡(luò)安全時(shí)應(yīng)該要考慮的事情。

吳飛飛建議，在保護(hù)整個(gè)網(wǎng)絡(luò)安全的過程中，如果企業(yè)本身有一個(gè)很好的目標(biāo)、一個(gè)基準(zhǔn)，朝著這個(gè)方向選擇一個(gè)最優(yōu)的基準(zhǔn)，以基準(zhǔn)進(jìn)行網(wǎng)絡(luò)安全建設(shè)，會少走很多彎路。

針對網(wǎng)絡(luò)安全問題中的數(shù)據(jù)安全，滴滴出行數(shù)據(jù)安全負(fù)責(zé)人錢業(yè)斐認(rèn)為，在企業(yè)內(nèi)部，首先要思考的是數(shù)據(jù)感知，在證明、找到一個(gè)安全風(fēng)險(xiǎn)后，企業(yè)內(nèi)部要思考感知，共同決定對于這個(gè)風(fēng)險(xiǎn)的評級是否要調(diào)低？否則安全保護(hù)推動(dòng)起來就是時(shí)上時(shí)下，很多措施做了，日后卻可能會被放開。

錢業(yè)斐表示，數(shù)據(jù)安全要想做得好，跟漏洞不一樣，漏洞有CVE（公共漏洞和暴露），但數(shù)據(jù)安全則不同，比如前端頁面可以直接下載大數(shù)據(jù)，或者這個(gè)權(quán)限沒有做隔離，這些東西都可能導(dǎo)致數(shù)據(jù)泄露。

“習(xí)慣性用數(shù)據(jù)驅(qū)動(dòng)，不要用感性認(rèn)識評定該如何做。重視內(nèi)部員工的數(shù)據(jù)安全行為，它造成的損失大于外部威脅。”錢業(yè)斐最后建議道。