喜讯｜炼石荣膺“安全平行切面联盟”首批成员单位

近日，“安全平行切面联盟”正式向成员单位发放授牌，炼石网络作为首批成员单位获得正式身份，有效期三年。此前，在中国信息协会信息安全专业委员会指导下，由蚂蚁集团等多家企业共同倡导并创建的“安全平行切面联盟”（Aspect-Oriented Technology Alliance，简称AOTA）正式成立。联盟是基于“安全平行切面”架构的技术生态联盟，将以定向授权的形式，向行业开放安全平行切面核心技术底座。联盟的建立，将为行业安全实战对抗、网络安全保险、安全合规治理带来全新的能力，为网络安全、数据安全、个人信息保护构建全新的技术基础平台。该联盟也有望引导行业建立全新的安全治理范式。炼石作为安全平行切面联盟首批成员单位，将依托数据安全实战防护经验与优势，为联盟提供技术支撑，为切面生态发展贡献力量。

为了共同推动数据安全产业发展，欢迎行业同仁加入“[炼石]数据安全技术圈”微信群，探讨数据安全技术最新动态和最佳实践。

坚持以高质量发展促进高水平安全，以高水平安全保障高质量发展。在迈向中国式现代化发展征途中，数据成为推动产业创新、科技进步，实现持久和稳定经济增长的基本要素，与此同时，数据被充分共享，传统的边界被打破，数据的收集、存储、使用、加工、传输、提供、公开等全生命周期各环节都面临着严峻的挑战。防火墙、安全软件、入侵检测等传统外挂应对式安全容易被威胁牵着鼻子走，难以满足数据全生命周期防护需求。

从业务视角重新思考数据安全。数据这种新型生产要素，是实现业务价值的主要载体，数据只有在流动中才能体现价值，而流动的数据必然伴随风险且风险无处不在。传统认为，安全和业务是关联的，有时候对立。但换个角度，安全其实也是一种业务需求，“传统业务需求”侧重于“希望发生什么”，而“安全需求”则侧重于“不希望发生什么”，从而确保“发生什么”。数据安全需求重点是机密性（防止被偷窃）、完整性（防止被篡改）和原真性。其中，原真性涉及数据原始的真实性问题，在生成式人工智能出现后更为突出。结合到企业或机构的信息系统中，数据安全则来自于业务处理中的风险映射。落地数据安全，必须将数据安全能力融入复杂的业务流程中。时间维度上，数据在收集、存储、使用、加工、传输、提供和公开等处理活动中都会有相应的安全需求；空间维度上，数据在基础设施层、平台层以及应用层之间流转，不同层次又意味着不同颗粒度的防护需求。进一步地，静态数据本身就有多种安全需求，例如企业内部通讯录，本身就具有信息类别、公开程度、人员属性等。当数据在共享流转开发利用的时候，动态数据其实提出了更丰富的安全需求。可以发现，凡是有数据流转的业务场景，都会有数据安全的需求产生。由于数据安全需求源自业务处理的风险映射，安全边界也就取决于业务边界，而今天的数据复杂处理场景几乎没有边界，使得数据安全需求也很难有边界且极为复杂。

从艰难防守者的视角审视数据安全增益。从攻防对抗的角度来看，一如游戏中最高级别的BOSS，最终都难逃被玩家打败的命运，道高一尺，魔高一丈，如果攻击者投入足够多的资源，理论上最终总能窃取到目标数据。甚至退一步看，假定技术上做到了无懈可击，但重金之下必有勇夫，数据也可以被人为社工泄露。因此，艰难的防守者或许永远无法构建出“绝对安全的防线”。但是，攻防对抗就像战争，其实本身就是双方消耗资源，好的防护手段是“十则围之、五则攻之”，创造局部优势以获得更好的战损比。防守方则需要评估技术手段、排序优先，用更少成本、消耗攻击者更多成本。进而，基于现实重新去思考其数据防护的价值所在，虽然无法杜绝数据泄露，但是可以积极采取技术防护手段，使攻击者对数据的窃取成本高于数据获利，从而让攻击者失去意义，这就是“有效的数据保护”。承载数据的业务载体在持续演进升级。十多年前，承载数据的业务载体是以网络终端为主，面向文档文件，数据安全建设的重点也是围绕着网络和终端去侧重展开。而今天信息化蓬勃发展，数据共享流转带来价值，业务载体也逐步演进为以应用系统为主，应用系统也会在企业信息化整体建设中占据最大比例预算。企业应用一般分为两类，一类是以安全为主导的“重安全应用”，需要不惜一切代价力保安全，可以仅仅为了安全需求而进行高成本重构；另一类是以业务为主导的“普通应用”，这类应用占比90%以上，安全需求是融合于常规业务应用中，和大量业务流程扭结缠绕，比如石油管网坐标信息，很敏感却又难以定密。当面向以业务为主导的普通应用开展数据安全建设，不论是加密脱敏、检测响应还是审计追溯，本质属于面向应用的功能性安全需求，需要在应用中融合实现，然而实际部署时会发现，数据安全的覆盖面和整个数据处理流程交织在一起，而通过改造应用以增强数据安全的成本极高，无法落地。尤其是对庞大复杂的存量应用系统进行改造，犹如给高速行驶的汽车更换轮胎，面临风险大、成本高、周期长，以及运行中断的巨大挑战。

应用改造成本抵消安全增益陷入两难困境。在数字化转型及数字经济产业发展中，不仅是CPU、操作系统、数据库等基础软件的升级，涉及广泛行业应用软件亟待升级替换是更大的市场空间，比如制造业的PLM/MES/ERP软件、医疗行业HIS软件、金融行业应用软件、能源行业应用软件、交通行业应用软件等等。这些巨大存量的应用软件普遍缺失内建数据安全机制，缺乏有效手段增强数据安全能力，因为无法破解开发改造模式成本极高、影响业务连续性，还有源代码维护等技术可行性挑战。这也意味着，应用改造带来的高难度、高风险、长周期，再叠加复杂的数据安全能力，使得企业投入成本在一定程度上抵消了安全带来的增益，企业数据安全建设面临“不改有风险、强改会要命”的两难困境。

面向切面技术实现安全与业务技术解耦、能力融合。切面技术打开数据安全“五维空间”。“切面”作为面向企业数字生命体的新一代安全基础平台，能够通过插装或者AOP机制融入业务应用系统，在数据收集、存储、使用、加工、传输、提供等各环节提供有效数据保护，可在不影响业务的前提下敏捷实施上线，将安全与业务在技术上解耦、但又在能力上融合交织，可以打造安全机制与业务处理紧密融合的实战化数据防护体系。

炼石基于切面技术打造免改造数据安全方案

01.免改造数据安全交付体系保障数据有序流通
 

深耕数据安全纵深防御，创新免改造数据安全交付体系。炼石秉承以数据为中心的安全理念，坚持原创自研和持续迭代，打造“1平台、2价值、3阶段、4指标、5能力”交付体系。目前，炼石技术和产品已深度应用于众多行业重要网络和信息系统中，为政府、金融、运营商、交通、教医旅、工业等用户提供个人信息保护、商业数据保护、数据安全合规改造、国密合规改造，累计生产级交付近千套应用系统，实时保护千亿条数据、十多亿人口个人信息，在保障国家安全、国计民生、公共利益等方面发挥积极作用。

1个平台。以数据安全主平台为核心，保护流动中数据资产，外延数据安全模块管理、行业敏感数据模板、个人敏感数据模板、数据安全事件调度、数据安全策略下发、数据资产视图和数据安全监控中心等能力防御，防止非法应用层数据访问，防止内外部勾结窃取或破坏数据，同时利用外围数据安全技术手段，发现异常行为，持续优化安全策略和规则，数据保护主平台和外围数据安全技术紧密融合，可实现防护效果的“乘数效应”提升。不论是纵深安全防护，还是新技术威胁对抗，均可持续性地消减攻击的威胁能力，提高攻击者攻击成本。构建网络、平台、数据高度联动的整体防御能力，同样具有灵活机动（安全模块敏感部署、快速应用）、综合能力强（安全能力作用于数据控制点）、威慑效果好（多层安全防御），可贴合业务，为数据流转提供有效保护。

2重价值。安全建设围绕一实战双合规。实战与合规辩证驱动安全发展，实战检验了合规建设的成效，合规降低了实战对抗的落地成本。在风险驱动和合规要求下，企业数据安全需求从被动应对，升级为主动建设。因此，企业应立足数据安全建设目标，分析“一实战、双合规”的实现路径，以合规遵循为起点，以实战对抗为导向，通过“密评”定义密码技术基线，通过数据安全合规认证等全面保障数据合规，构建实战化的数据安全防护体系。

3大阶段。免改造数据安全交付体系贯穿数据安全建设，打造成熟标准化产品与交付体系，覆盖头部行业客户试点与推广复制。目前，炼石已形成了成熟标准化产品与交付体系，包括前期数据安全规划（服务）、中期的数据安全建设（产品+服务）和后期数据安全运维（服务）等，能够满足政府、金融、运营商、教育医疗文旅、工业等行业客户，在个人信息保护、商业秘密保护、数据安全合规改造、国密合规改造等业务场景需求。同时，炼石进一步强化配套服务体系，致力于满足企业和组织发展战略、合规要求和风险治理等诉求。

4项指标。炼石免改造方案兼容多、交付快、防护好、成本省。兼容多，适应大多数的企业应用架构，如JAVA、C等主流开发语言、兼容开放协议的关系型数据库和非关系型数据库、兼容Linux/信创OS/Windows等。交付快，通过免改造应用增强数据安全保护能力，实现敏捷交付。防护好，密码安全一体化，炼石免改造数据安全产品面向应用系统，在应用层以数据为抓手实现数据安全保护，基于“密码安全一体化”，覆盖事前事中事后，实现“主体到人、客体到字段”的细粒度实战防护。成本省，免改造技术在建设期节约了应用系统的开发改造成本，在运维期通过灵活策略节约应用系统的规则适配成本。

5段能力。炼石积极探索数据安全纵深防御理念和实践，坚持原创自研和持续迭代，打造以“数据安全主平台”为核心，构建识别、防护、检测、响应、追溯等安全能力模块的数据安全产品矩阵，覆盖数据在不同处理环节的免改造控制点，实现横向可覆盖广泛应用，纵向可叠加多阶安全能力。创新免改造的数据保护能力矩阵，能够在数据控制点上，施加防绕过动态保护，致力于成为用户提升实战能力的重要支撑。一方面可实现面向用户重建安全规则，只有符合权限的用户，才能访问到其应该使用的数据；结合业务场景的风险监测；可定责到人的高置信审计。另一方面，面向运维重构数据边界，没有任何人能从应用后台获取敏感数据明文信息。通过免改造技术，覆盖事前事中事后的有效数据保护，实现数据监管合规与有序流通。

02.创新免改造数据安全产品矩阵

免改造数据安全产品体系，灵活交付多重安全能力。炼石自研免改造的全面数据保护产品，形成包含“一平台：数据安全主平台，多模块：识别、防护、检测响应、审计追溯以及安全合规等安全能力模块”的数据安全产品矩阵，具有应用架构兼容多、免改造应用交付快、密码安全一体化防护好、安全建设成本省、适应业务数据流向管控准等优势，覆盖事前事中事后的安全防控，为用户数据安全体系建设提供技术支撑，防范化解重大安全风险，增强数据安全保障能力。

数据资产管理系统：炼石数据资产管理系统是一款数据资产自动识别发现、敏感数据自动分类分级管理、自动化打标签的安全产品，具有支持数据结构类型多、识别速度快、易用性高、通用性强等特点。产品适用于工业企业、电信企业、互联网企业、党政机关等客户，开展内部数据资产识别梳理、定位数据资产分布、辅助数据分类分级建设、满足监管检测等场景，有效地解决了企业对数据资产摸底及管理的工作需求。产品系统采用多层架构设计，具备样本数据抽取、敏感数据存储识别与定位、分类分级处理及可视化展现等功能，实现了统一的、全量的敏感数据存储分布可视化管理，用户可以在同一平台系统下实现多个业务系统的敏感数据存储识别与安全检测。

数据加密系统：炼石数据加密系统是针对应用系统做保护的、可敏捷实施的数据安全产品。只需配置级部署，应用无需再进行任何源代码修改，即可实现任意指定字段的数据库存储加密（防范内部IT人员、外部黑客等），同时实现结合登录用户身份的数据动态脱敏和审计（防范内部业务人员越权），产品适用典型场景包括政企客户的个人信息保护、企业商业秘密保护，政府、央企、金融等行业数据安全合规改造等。

数据脱敏系统：炼石数据脱敏系统将数据抽取进行脱敏处理后，下发至测试库。开发、测试、培训、分析人员可以随意取用测试数据，并进行读写操作，脱敏后的数据与生产环境隔离，满足业务需要的同时保障生产数据库的安全，静态脱敏可以概括为数据的“搬移并仿真替换”。炼石数据去标识化系统通过屏蔽、变形、替换、随机、格式保留加密（FPE）等多种算法，针对不同数据类型进行数据掩码扰乱，并可将脱敏的数据按用户需求，装载至不同环境中。
 

数据检测响应系统：炼石数据检测响应系统可结合切面数据捕获后，分析业务上下文访问数据；引入GA算法优化检测模块，提升安全规则精确性，降低误报率；根据置信分析策略，进行阻断、审计、执行模块数据安全检测。产品引入GA算法，改变了传统网络安全中针对海量安全日志“不作为，难作为”的情境，利用智能算法，提高了工作效率，保证数据资产不被泄露、被窃取，实现统一的、全量的攻击数据分析、审计、阻断的可视化管理，用户可以在炼石数据安全主平台下，简单扩展外挂分析引擎，实现多个业务系统的数据安全攻击检测和审计。
 

数据审计追溯系统：炼石数据审计追溯系统是一款在对结构化数据和非结构化数据进行数据资产管理、数据接口管理的基础上针对企事业单位数据共享和使用场景，利用安全插件模块或安全代理模块，实现对明暗数字水印嵌入和提取验证功能的安全产品，具有支持数据结构类型多、嵌入速度快、易用性高、通用性强等特点。产品利用高性能加密算法对目标数据接收者特征分发唯一密钥和随机数，保证水印提取时，水印的唯一性和可区别性。同时，高性能算法保证水印嵌入过程最小化感知，结合数据接口、文件共享接口，不改变原有业务工作模式，提高工作效率，保证数据资产权益和可追溯性，避免简单无限制数据分发利用可能造成的数据产权流失、安全责任混乱等场景，有效地解决了企业对数据资产保值增值的同时，满足数据确权和数据安全保护的需求。

数据安全合规系统：炼石数据安全合规系统是一款协助DPO、安全部门、中小规模组织开展数据安全合规治理，落实加密、去标识化技术，维护用户数据安全权益，满足法律法规以及上级监管考核检查的安全产品，具有支持多样化的作业矩阵、低代码的工作流程设计、可视化的全景管理等特点。产品适用于中小规模企业事业单位，比如市区（县）级党政机关、中小规模互联网公司、集团子（分）公司、派出机构等客户，开展数据安全合规性管理或治理等场景，有效地解决了企业对数据保护的工作需求。

同时，炼石作为专业的“一站式密改敏捷交付厂商”，结合最新密评政策标准文件，针对国密合规场景，推出一站式密改“70+分”“90+分”套餐，应用系统免改造接入即可实现合规升级。炼石密改方案广泛适用于政务、金融、交通、运营商、医疗、能源、水利、工业等多行业客户，支撑保障关基、等保三级、政务等重要网络与信息系统“三同步、一评估”建设。

03.专业数据安全保障服务

炼石服务能力助力数据安全体系建设。炼石持续组建专业高效的技术和服务队伍，打造4项通用服务和2项专项咨询服务，让数据安全防护成效实现“1+1>2”，可支撑开展分类分级、合规检查、风险评估、安全审计、个人信息安全影响评估、商用密码应用咨询等专项工作，满足数据安全领域技术咨询、合规建设及决策建议等诉求，提高国家基础信息网络和重要信息系统的数据安全保障能力。

分类分级服务：通过调研和梳理业务系统主要数据流转和核心业务应用功能，逐步建立数据流向清单和数据应用清单，配合炼石自研数据资产扫描工具，为政企客户数据资产管理提供全景化、动态化数据分类分级服务。

合规检查服务：围绕数据全生命周期管理，根据业务系统数据资产重要程度、安全需求以及法律法规、监管要求，细化规则、落地支撑评估检查，对数据安全管理现状、技术管控能力进行全面评估和提升。评估内容包括机构人员建设情况、基本制度完善情况、技术能力保障情况、数据全生命周期管控情况等方面。

风险评估服务：对标行业主管、上级单位数据安全保护要求，通过收集数据、过程文档等材料，分析数据活动存在的安全风险，并结合数据安全管理制度、数据保护技术和产品、数据常态运营等方面存在的脆弱性、威胁、资产重要性等，开展定性/定量风险评估，确定风险优先级，形成数据安全风险评估报告。

安全审计服务：针对敏感数据安全，建立审计实施体系，完善审计流程，开展定期审计工作。针对操作审计，通过对关键数据操作审计，重点检查数据操作过程的合规情况，并借助分级审计机制提高审计效率；针对合规审计，由专业审计团队执行，重点检查数据安全流程和工作的执行情况。
 

个人信息安全影响评估服务：主要参考国家标准《信息安全技术 个人信息安全规范》中的相关要求，建立适当的数据安全能力，落实必要的管理和技术措施，防止个人信息的泄漏、损毁和丢失。

商用密码应用咨询服务：包含密码技术咨询、密码合规整改和密码测评协同等服务，适用于政府、金融、运营商、交通、教医旅、工业等多行业客户开展商用密码合规性评估工作，支持企事业单位信息系统“三同步”管理。
 

本次，炼石正式成为“安全平行切面联盟”的首批成员单位，进一步印证炼石在技术领域的卓越实力得到了认可。未来炼石将始终秉持正式、专业的态度，持续提升产品和服务的竞争力，继续深入产品技术研发，以创新的免改造数据安全技术为核心，为政企客户提供卓越的数据安全保护体系，助力政企客户构建坚实的数据安全防线，确保数字资产的安全。