从RSA2020看隐私与合规的挑战

2020-03-12 2353 技术分享

一年一度的RSAC堪称是网络安全圈顶级盛会，吸引了世界各地网络安全从业者的广泛参与。在今年RSA2020最令人瞩目的”创新沙盒“比赛中，Securiti.ai从十家初创企业中脱颖而出，赢得了有着“网络安全风向标”之称的冠军。

随着GDPR和CCPA等法律的出台，Securiti.ai的夺冠在情理之中，首先今年RSA官方总结出的”十大当下的网络安全趋势”中，“隐私与合规”就占据一席之地。其次在分析本届RSA的安全热词中，“数据安全”高居第二，“合规”、“GDPR”、“隐私”、“PII”等于隐私和合规相关的也都在热词排行中。这些都反映了全球范围内对隐私的关注度越来越高，除了欧盟GDPR、美国加州CCPA之外，巴西LGPD、印度PDPB、泰国PDPA等也陆续实施个人隐私保护的法律，全球其他多个国家都在加速个人隐私法律的制定。我国于2017年6月1日正式实施《网络安全法》，并于2019年发布《数据安全管理办法（征求意见稿）》，对个人信息安全提出诸多规定和约束。因此隐私和合规已成为了各企业的必修课，也成为了数据安全这一热点中的核心部分。

Securiti.ai公司的CEO Rehan Jalil在创新沙盒环节中介绍了其“PrivacyOps”解决方案，该方案可以协助企业快速、高效且可靠的遵守全球范围内众多隐私法律法规的要求。PrivacyOpsi解决方案可以为企业提供实时的个人隐私合规管理能力，该框架整合了参与、协同、自动化和记录等内容。通过AI人工智能，快速响应并处理企业的隐私与合规需求。

undefined

PrivacyOps模型的核心元素包含7大部分，分别是People Data Graph Automation(个人数据图谱自动化)、Data Subject Rights Fulfillment Automation(数据主体请求履行自动化)、Internal Assessment Automation(内部评估自动化)、Vendor Assessment Automation(供应商评估自动化)、Vendor Privacy Risk Monitoring(供应商隐私风险监控)、Consent Lifecycle Management(授权全生命周期管理)和Data Mapping(个人数据地图)：

1. People Data Graph Automation（个人数据图谱自动化）

PrivacyOps以AI驱动，将企业众多系统、应用，甚至终端中存储的个人隐私数据进行识别，通过自动化的方式，形成个人隐私的数据视图。解决数据在系统间，特别是与第三方交互时容易泄露且难以追踪的问题。

undefined

2. Data Subject Rights Fulfillment Automation（数据主体请求履行自动化）

DSR（数据主体的请求）Fulfillment Automation可实现消费者数据权利请求-响应的流程自动化处理，并且可生成合规性审查报告，并且其内部内置的身份认证系统，能提升数据访问的合规性。

undefined

3. Internal Assessment Automation（内部评估自动化）

为企业内部的系统进行隐私风险评估，系统内置不同的合规性模板，如GDPR、CCPA，每一种合规性模板对应各种合规点检查列表和问题，并可针对新的合规规范随时扩展模板。为了高效地完成隐私风险的评估，产品提供了一个协作平台，通过它内部多位安全专家可分工对问题进行检查和回复。协作平台收集所有的输入和检查，最终生成评估报告。

undefined

4. Vendor Assessment Automation（供应商评估自动化）

可以将一个或多个供应商接入评估平台，从而实现对第三方供应商的隐私风险评估。通过平台可以更有效和规范的获得数据和文件，包括各第三方的隐私政策、第三方组织安全专家提供合规性证明和检查文件等。评估的结果能通过评分的方式展现，便于更直观的比较。

undefined

5. Vendor Privacy Risk Monitoring（供应商隐私风险监控）

企业的业务往往涉及多个合作商，数据交互和流通越来越大，为了降低法规风险，不仅需保证内部满足隐私合规，也需确保合作的第三方是可信任的，隐私风险控制水平达到安全级别，评估覆盖数据采集、数据存储、数据共享、数据权限和违规等方面。为企业提供持续的第三方合规风险监测。

在GDPR中，有两个重要的数据处理组织：数据控制者（Controllers）和数据处理者（Data Processor），数据控制者是数据主体的第一联系人，负责数据的收集与处理，数据处理者在多数场景下是第三方组织。按照GDPR法规，数据控制者的法规责任更大，因此必须慎重挑选挑选数据处理者，以确保它由能力通过适当的技术和组织措施以满足GDPR的要求。CCPA也有类似的规定，当企业与第三方进行个人信息的交互时，第三方发生违发数据行为时，当事企业也承担一定法规责任。

undefined

6. Consent Lifecycle Management（授权全生命周期管理）

Consent Lifecycle管理可应用于网站的Cookie的数据收集，在征求用户的同意后，对标GDPR、CCPA等法规的相关原则和要求。发生有异常的行为时（如未经授权的Cookies），将在后台触发告警行为，通知企业及时停止违反法规的风险行为。

undefined

7. Data Mapping（个人数据地图）

对企业所采集的隐私数据进行分类，并跟踪其处理、存储、交换的整个数据流动过程，以确保满足合规要求。

undefined

由于近年来全球数据安全事件屡屡发生，数据安全域合规逐渐成为了各企业新的关注热点。2018年RSA大会创新沙盒环节的冠军BIGID的产品就是基于隐私合规的平台分析类系统，协助客户应对GDPR，PI,PII等欧美合规要求，帮助企业更好的确保他们所拥有敏感数据的私密性，减少数据泄露，强化数据的合规保护。今年Securiti.ai在RSA大会创新沙盒环节的夺冠，进一步证明了市场对隐私与合规的迫切需求。此外，Securiti.ai公司在RSA开始前，已成功进行2轮融资，累计融资总额已高达8100万美元，从创投的资本趋势也印证隐私合规类产品的广阔市场。

站内搜索

往期推荐