Article Learn

2019小米IoT安全峰会-谭晓生《顺势而为 互联网和物联网用户隐私保护》

Post by Pa0er at 2019-12-05 19:21:13

此次大会的第二个重磅议题来自北京赛博英杰科技有限公司创始人谭晓生,他曾担任北京奇虎科技有限公司高级副总裁首席安全官、中国互联网协会标准工作委员会副主任委员。

谭校长于2009年加入360,开始管理360的安全。那时候有铺天盖的关于360窃取隐私的指责,连中科院都说360窃取隐私。而实际情况是什么?在这个行业里,如果你是一个比较高调的公司,你一定会有非常多的竞争对手,这其中充满了明枪和暗箭。

10年12月31号,金山发布了中国互联网的红色警报,大规模隐私泄露,这件事是由谭校长处理的,且差点因此进了监狱。他的团队当时犯了一个很愚蠢的错误,配置服务器,被搜索引擎把相应爬下来的日志抓走了,而且日志里没有处理get方式。谭校长为此到华中某省去处理,写了各种各样的报告解释这是技术事故,不是有动机的事故。

这时候,中国第一个首席隐私官于2012年3月15号诞生了。

image.png

为什么360的首席隐私官是他这个技术人员负责的?当时,360面对的是一堆技术人员和黑客,如果没有很强的技术背景,对方讲个故事就信了,所以最后找了搞技术且对法律略知一二的谭晓生。还有一个原因是当时360偷用户隐私的事情影响非常大,要对大众有公开的表态,表明360确实重视这件事,于是谭校长扛下了这个大旗。

上任后谭校长当然不希望职业生涯毁在隐私上,4月份的时候便牵头成立了用户隐私的审核部门,紧接着在14年的6月份又更新了一版用户隐私的白皮书,并于18年2月份再次更新了用户隐私保护白皮书。为什么有两次更新?因为中国的法律法规在用户隐私保护上有很大进步。2012年的时候有40多部法律,每部有1到2条,但是没有成体系的论述,后来越来越多。尤其2017年、2018年的时候,一系列的政策出台,你的隐私保护政策必须演进来跟上。

image.png

 

在职期间,他建立了用户隐私保护组织,决策层CPO、用户隐私审核部,法务和第一负责人都纳入,执行层确认接口人。设置了g-privacy-approval@邮件组,这个邮件组里面除了有用户隐私的管理部之外,还有各个业务部门的代表,和小米一样搞了用户隐私的保护代表,各个产品团队和技术团队都有人。这个组是干吗的?是做教育的,它让所有人都知道什么样的东西可以提交,会被批准,什么样的东西会被拒绝,这实现了隐私审批工作的透明化。此外,隐私审核工作与信息安全部、系统运维是联动的,谭校长曾“威胁”员工说:你们要是违规,我直接下了你的服务器,停了你的域名解析。

image.png

此外,谭校长制定了相应的保护策略。关于白皮书里面东西,我们要向用户的明确宣告怎么保护用户隐私。要解决安全传输问题,比如说DPS、比如传递内容的时候进行加密的算法、比如在骨干网层如果有人监听,我怎么样让用户的信息不泄露。要做数据治理的工作,对数据进行分级分类管理。

image.png

参加IAPP其实比较简单,但由于用户对隐私保护非常重视,谭校长就接着上技术手段。对外部服务都做了全流量的抓包,那时候只有几个G的流量,把包全部停下来,然后写程序把通讯模型抽出来。通讯模型抽样了20万种,这20万种通讯模型再写程序进行分类,里面有PaaS、Token这些词的优先处理,提不出来的人工处理。把20万种通讯模型过了一遍,最后发现了有100种左右的可疑,实际抓出来20个违规的。包括上传了用户内网的IP地址,问业务部门为什么要用户的内网IP地址?是什么逻辑?不需要的都卡掉。技术手段上如果有的做编码的或者加密的,编码告诉我解码的方法,加密了密钥交出来。这是第一遍筛子,筛后一直还有监控。

再是对外公关这一块,对外做公关宣传,一定要使用大家易理解、易接受的表达。你给用户隐私白皮书好几十页,我们总结出了一个口诀:四不、三必须。不该看的不看、不该传的不传、不该存的不存、不该用的不用。三必须:一切必须明示、尊重用户的知情权和选择权、必须经过用户许可、必须对收集的用户隐私信息负责。

image.png

谭校长在应对GDPR的时候非常认真,这也是他任职期间最后一次做隐私相关的事情。请了外部律师、解决了存储在海外本地化的问题、产品功能做了改进,甚至有些改了商业模式、还建立了DPO。

在进行隐私管理时,还要做好危机公关的准备,要把最坏的准备做到公关的预案,把事情处理过去当成第一优先级。隐私管理是平衡的艺术,我们是在企业利益和国家安全、网民利益之间最后取一个平衡。咱们行业对于用户的过度搜集本身是客观存在的。这些数据搜集之后是否可以妥善保管?泄露了之后会不会对国家安全和稳定造成影响?会的。征求意见稿的出台是有道理的,而且今后肯定管的越来越严。数据既是你可以做商业利益的东西,也是可以做国家级打击的东西,这是像火药一样的,一定要处理好。

 

—   联系我们   —

新浪微博

公众号