大数据服务商要用行动创造安全与祥和 让理想照进现实

当今，随着互联网、物联网和云计算等技术的飞速发展，以及智能终端和各种检测、感应设备的普及和建设，整个社会逐渐信息化、网络化，由此产生了爆炸式的数据增长，一个大规模生产、分享和应用数据的时代正在开启。正如每一篇有关大数据的文章都会包含的一句话：大数据时代已经到来。

大数据时代的来临使人类第一次有机会和条件，在众多领域和更加深入的层次获得和使用全面数据、完整数据和系统数据，深入探索现实世界的规律，获取过去不可能获取的知识，得到新的商机。

大数据的发展与其带来的安全隐私问题如何因国制宜得到平衡

科学技术是一把双刃剑，给人们带来便捷也可能给人们带来烦恼。大数据处理会涉及许多个人身份信息、行为信息，除了像身份证号码等这样一人一号可以直接识别个人身份的敏感信息，间接识别个人身份的信息和其他信息的安全也应该受到重视。电商知道我们的购物习惯、社交工具，知道我们的好友联络情况、搜索引擎，知道我们的检索习惯、地图，知道我们的位置信息……这些看似无害的一般性信息被大量收集、分析之后，也可能暴露个人隐私。

在工业和信息化部颁布的《信息安全技术公共及商用服务信息系统个人信息保护指南》中，规定个人敏感信息在收集和利用之前，应当首先获得个人信息主体明确授权。除此之外，在基本原则中，还包括不扩大个人信息使用范围，不在个人信息主体不知情的情况下改变处理个人信息的目的，强调对个人信息主体要尽到公开告知、说明和警示的义务。但是在大数据技术快速发展的环境之下，其实这样公式化的系统一方面在理论和实践中都难以实现，另一方面也不利于大数据的发展，显得有些与社会和技术的现实发展不相匹配。

如今，大数据产业的发展已经让大数据不仅成为一种资产，也能够创造新的经济利益。因此，大数据技术已经成为各国间信息经济的竞争。美国作为信息吞吐量最大的国家，在基本的规定条例范围内、在不侵犯用户隐私的情况下，鼓励企业利用大数据，在为用户能够带来更好的服务的前提下自由量裁。但相应地，企业也必须去为其自由裁量之下的不当行为承担责任。因此，与公式化的“告知与许可”体系相比，让数据处理者为自己评估得出的“合理处理数据行为”承担责任的模式，是一种大数据发展与个人隐私保护间很好的平衡，是值得中国大数据市场借鉴的。

对一家领先的大数据服务商GEO集奥聚合的采访：大数据服务商应有的技术与使命感

GEO集奥聚合是行业内资质比较深的一家互联网大数据服务商，致力于将大数据的商业价值在金融、营销、汽车等行业充分运用。本次，是基于《互联网周刊》就金融大数据的安全与GEO集奥聚合首席风控官于喆进行的一次深谈。

随着互联网的不断发展，社会形态及组合方式发生了巨大的裂变，这个时代愈发高效、快捷和透明。互联网金融应运而生，引发了金融生态和资源配置的深刻变化。对于天然具有数据利用属性的金融业而言，新型金融业态对金融创新发展、风控监管政策等方面提出了新问题、新要求和新挑战。

技术是人造的，技术是人。因此总体而言，做关乎民权、民生的服务，首先抑或核心是德需配位。

于喆认为，对于金融行业，互联网促进了脱媒，互联网使得金融活动去中介化成为可能，而大数据技术使加速、便利了这一过程。比如，用户可以在银行、保险公司的网站或APP上直接申请信用卡、贷款、办保险等，省去了人工柜台、代理人等大量中间环节，大大降低了交易和时间成本。但一提到金融总少不了谈及风险和安全问题，这样的线上的交易毫无疑问是存在风险的：屏幕那边的客户是不是本人？是不是高价值的用户？是否是合格投资者？这对于金融机构和个人来说都有着极大的风险，此时，大数据起到了不可或缺的作用。

又如，在网络上进行的金融信贷过程中，大数据机构的金融风控平台首先会通过比对客户提交的身份信息与公安部门留存的信息帮助金融机构检验客户的身份真实性，通过分析客户终端、网络使用环境及其他身份验证手段可以判断是否是客户本人申请贷款。确认了客户身份真实性及客户本人操作后（否则终止下一业务步骤），征信机构或央行征信中心提供的金融信贷数据或支付数据，结合客户在通信运营商处的消费档次、缴费数据等信息可以判断用户对信用水平。这样，一方面保证了金融机构控制风险，让被泄露的个人信息不继续被非法利用，另一方面也高效助力客户申请贷款的审批工作，节省了双方的时间。凡此种种主体实际都是大数据服务提供商。当然，以上的例子只反映了大数据技术应用于金融控制风险和信息安全作用的一小部分。每一个信息处理者，都应在整个数据流通链和数据生命周期里做到全流程数据安全管控。

于喆认为，信息安全分为狭义和广义两部分，GEO集奥聚合这样的大数据服务商在两方面都非常重视。

狭义上的信息安全是对于信息流通过程中一些技术处理，以保证数据在收集、使用、存储，提供时的秘密性、完整性、准确性。比如在从上游数据源接收数据时加密传输；在进入体系内后，数据要安全存储，保证不为外界所攻击破解；在下游对外提供给使用者时对敏感信息进行匿名化或模糊化，如此在技术的支持下保证信息安全。

广义上的信息安全还有许多其他广泛而深邃的内涵，包括全行业对规范的遵守和企业自身的责任感和良知。GEO集奥聚合除了注重自身的信息安全管控，也注重信息源的安全性筛选，关注服务接受方的信息安全水平与机制，对于数据链上下游企业的合规性、合法性考察、约束，积极致力于大数据安全标准的建立。

GEO集奥聚合信息系统安全等级达到了与银行、个人征信机构等受中国人民银行监管的金融机构业务系统相当的安全管控水平

在保证数据进入自身处理体系内的安全以外，GEO集奥聚合对于上游数据源的资质、数据持有的合法性、数据的真实性和质量进行考察甄别；在将数据提供给下游，既场景使用的一方时，亦考察这个企业是不是有资质、负责任，遵循国家关于个人信息处理的规范。之所以有这种“管上控下”的模式，就是为了保证数据在流通链上的全流程安全。我们看到现在有很多P2P公司跑路的新闻，如果不对使用场景进行甄别，将数据提供给这些不负责任的公司，可能会造成公民个人的重新非法利用。因此就需要对下游企业进行合规性的考察，是否合法、是否有相关经营许可、资质如何，并把信息安全方面的义务与责任固定在合同中，不仅遵守相关规范和标准，也是对于用户的信息负责的使命感。每个数据处理者都应当做到数据生命周期的全流程安全管控，这是大数据服务商的安身立命之根本。

我们注意到，GEO集奥聚合一直都将信息安全作为重中之重，一方面通过行业标准规范自身，另一方面也通过不断地实践促进自我发展，积极打造企业自身的信息安全体系。

2015年，GEO集奥聚合获得了信息安全方面的国家等保三级认证。按照国家标准《计算机信息系统安全保护等级划分准则》GB17859-1999规定，国家对计算机信息系统实行五级分类保护，即从保护能力上划分为五个级别，级别越高说明信息系统越安全，需要做到的信息保护工作也越多，控制点也越精细，三级以上信息系统公安机关还会定期开展监督、检查。具备国家批准的测评资质的等保测评机构从网络安全、数据安全及恢复能力等方面对GEO集奥聚合的信息系统进行多达150项具体的分项测试、打分从而评定了级别。至此，GEO集奥聚合信息系统安全等级达到了与银行、个人征信机构等受中国人民银行监管的金融机构业务系统相当的安全管控水平。

在自身实践方面，为了构建安全、稳定的系统环境，GEO集奥聚合从设备、技术、管理、人才等全方位投入，注重信息源的安全性筛选，关注、约束服务接受方的信息安全水平与机制，使信息安全成为集团所处的数据生态圈的基础环境，构建了一个具备高级别信息安全防护能力的大数据安全生态。

这种对于行业规范标准的严格遵守和对用户信息负责的责任感是每一个信息的收集者、处理者、使用者都应该具备的，合理地、正确地去利用这些数据，公平善意有偿给社会造福。

新科技可能带来的社会改变是影响深远的，未来企业广泛利用“大数据”做生意可以期待

大数据产业的发展得益于数据的高流动性和可获取性，开放、流通的数据是时代趋势的要求，公民对于个人信息泄露和不当使用的担忧亦是值得十分重视的问题。面对新技术的到来，大数据产业链上的相关方，无论是企业还是个人，宜秉承尊重、开放的心态，互相交流、互相了解各自的期望与担心，促使大数据产业健康快速发展。

国家政策对于大数据产业发展也体现了积极支持的态度，中国正不断践行大数据建设。大数据建设是一项有序的、动态的、可持续发展的系统工程，一套规范的运行机制、建设标准和共享平台建设至关重要。规范化建设可以促进大数据管理过程的正规有序，实现各级各类信息系统的网络互连、数据集成、资源共享，在统一的安全规范框架下运行。

有人说，“未来所有的企业都是做大数据的生意”，即便言辞过于绝对，但也可以看出对于大数据产业发展的信心，乘大数据之风帆破浪正当时。在大数据产业爆发式发展的时代，许多传统企业如金融机构等，正持勇于尝试新鲜事物的心态来对待大数据，将自己原有的用户数据结合外部数据充分利用，给用户带来了更好的服务。通过大数据的助力，企业的前瞻性、分析和判断能力得以提高，对客户管理的精准性、复杂性可以更有把握，产品创新的能力可以提升，大数据时代新的具有竞争力的商业模型已经可以预见。

个人信息保护理念宜与时俱进，社会在技术发展与信息权利保护的平衡中获得最大效益

很多民众对大数据产业不了解，对于大数据技术不了解，又担忧于社会上时时曝露的个人信息被不当利用的负面新闻，造成了对大数据的不信任，恐惧个人信息被泄露，因此给生活带来不必要的麻烦，更担心不法分子将自己的个人信息非法利用，带来损失和困扰。技术发展与权利保护永远是一对欢喜冤家，但是我们欣慰而乐观地看到在政府、企业、个人等主体参与之下的全方位治理中，个人信息保护也随着数据产业的发展不断前行。

法律之于技术和社会发展总是滞后的，但是法律一旦颁布又需要有一定的稳定性，如果技术一变法律就紧跟着变化，朝令夕改有损于法律的严肃性，所以通过法律规制个人信息保护环境需要有一定的前瞻性。目前，中国的个人信息保护立法的视野和出发点仍然立足于欧盟90年代颁布的相关法律法规的理念，即“直接、间接识别个人身份的信息”的信息分类和“通知-授权”模式，且不说在海量数据被处理的今日数据处理者无法一一告知个人所有信息被处理的种类，从技术角度上来说个人对于信息被处理的感知很弱，亦无必要事事必知，即便是对于信息进行简单清晰分类都难于做到（例如购买商品的信息在大数据条件下其实也可以用于区分个人，但这不是传统意义上的间接识别个人身份的信息）。

在上述环境下，能否探索一条符合中国当代现实国情的道路？例如，国家立法规定一些数据处理底线，即某些数据（信息）行为是一定不能做的（例如单纯倒卖公民身份信息和联系方式），某些业务场景下一定不能收集、处理信息（例如征信行业，指纹信息不能收集），某些场合信息的采集、处理一定要获得信息主体的明示授权（例如儿童的相关信息采集要获得监护人同意）。除此之外，假设数据处理者都是善良的，其信息采集、处理行为都是合理的，但要向社会做出数据处理的若干保证，在此前提下，允许、鼓励其处理数据，一旦发现其行为与做出的保障不符合，给个人和社会造成了损失和危害，那么就要起承担相应的责任；配合以数据产业链上每一个企业对于上下游企业的合规性、合法性考察，如此正向循环，能不能是一个既保护信息权利又促进以数字经济为代表的经济、社会发展的两全其美的方法。

信息、数字经济的竞争已经不单纯是企业与企业之间的事情，也是国家与国家之间的事情，欧盟的信息经济发展较弱，所以采用更严格的个人数据保护法律将自己保护起来，限制他国的竞争。而美国的信息经济发达，得益于其自由、宽松的数据利用环境，中国在世界上的竞争也应考虑到这个问题，千万不能放过千载难逢的发展时机，不过分的说这也是一个政治问题，一个历史问题。经济发达了，讨论权利、分配、公平等等上层建筑才显得轻松、和谐，在经济竞争中失利了，百莫谈起，谈起了也是意兴阑珊。

无论对于企业一方还是大数据服务商一方，其利用数据的最终目的都是为用户带来更好的服务，大家都是善良守法的，恶意买卖、利用个人信息的毕竟是少数不法个体。你可以选择在手机上关闭位置探索的权限，但是如果你想知道方圆1千米内好吃的饭店，让O2O软件为你推荐时，就不得不把这项权利放弃。大数据就是有这样的魅力，用户能够看到对自己有用的广告、能够被推荐附近好吃的餐厅、能够在购物网站首页一眼就看到自己喜欢的商品、更快捷地申请到信用卡……

结语

很显然，在大数据技术不断发展、不断创新的过程中，信息安全、个人信息保护问题一直贯穿其中，是不可忽视的问题。这些问题的充分重视与解决，会积极促进大数据产业持续、健康发展。大数据服务商要用自己的技术和使命感帮助规范建立健康的大数据市场，并通过与各行各业的企业合作，利用大数据更好地服务于各类企业、服务于广大个人用户。持民心者得天下，让数字经济的理想像阳光一样洒进普通百姓的生活现实。