对话商汤田丰:SaaS平台与云厂商,谁该为数据安全买单?

本报记者 陈伊凡 上海报道 近日,网络安全行业发生了一件大事。

微信小程序头部服务商——SaaS平台微盟集团(02013.HK)遭遇“删库”,系统宕机,影响百万商户。3月2日,微盟集团公告称,丢失数据已全面召回,并准备了1.5亿元赔付拨备金。

“微盟事件”触发了对于SaaS平台数据安全的思考。

加之疫情影响,原本在数字化转型上悬而未决、犹豫不定的企业主们开始意识到,上云成为必须且紧迫的事情。数字化转型中,SaaS厂商应扮演什么角色;与云厂商之间保持怎样的关系;上云成本和数据安全之间如何找到平衡点;在数字化转型浪潮袭来之际,云厂商又该承担怎样的责任?

对此,商汤产业战略研究院院长、阿里云研究院创始人田丰提出了“数据信托”的概念。

在田丰看来,平台上的企业和SaaS厂商,更像是信托和受托的关系。企业们将数据托付给SaaS厂商,受托人是第一责任人,有责任对数据的整个生命周期进行管理。

而SaaS厂商一旦依附于一个大的云厂商,只需要负责应用层面的数据安全,这能够大大降低其数据安全的成本;底层数据架构的安全可以交付于云厂商,二者的关系更像家电和发电厂。

在企业们数字化、智能化转型的过程中,云厂商们所承担的责任更像是“企业数字化转型的教练”,提供一项普惠技术,门槛低、成本低,帮助更多企业上云。

访谈:

经济观察报:面对数据安全,SaaS平台应承担什么样的责任?

田丰:数据必然有采集、清洗分析、中间传输和存储这些环节,任何一个环节都有可能产生数据被篡改或泄露。在美国的数据产业链中,有人专门收集数据,如需要自动驾驶的数据,可能借助民间力量,这就涉及到一些外部数据收集和分析的公司。

为此,我提出了“数据信托”的概念。企业或个人把数据托付给SaaS服务商,SaaS服务商就是第一责任人,有责任对数据的整个生命周期进行管理,绝对不能外包或买卖数据。如今,在数据层面,大家的安全意识很强,数据只进不出,因为一旦出去会产生各种问题,无法受控。

经济观察报:业内是否有针对SaaS平台数据安全管理的标准或规范?

田丰:目前,有很多不同的法律规范对数据安全进行保护,但还没有一套专门针对SaaS平台的统一标准,因为涉及的层面太多。

但适用于SaaS厂商的法律很多,ISO27001是针对信息安全管理的标准,ISO20000是针对系统运维的标准。此外,《网络安全法》、《个人信息保护法》、欧盟的GDPR等都是对数据安全进行规范和管理。

以前IT时代,数据删除和篡改的风险很大,但数据泄漏的风险没有互联网时代大。现在既要重视存储的数据安全,还要看传输的数据安全,甚至在收集层面也要做到一定程度的脱敏和匿名化。

经济观察报:企业上SaaS平台时会考虑成本,SaaS厂商如何在成本和安全间找到平衡?

田丰:要做到两点平衡,SaaS厂商一定要依托一个强有力的云厂商。

数据防护分应用层、中间层和底层。应用层的数据防护主要看apsdk层面有没有漏洞,有没有可能在应用层被人攻破或从内部攻破。PaaS这一中间层,需要处理大量数据的分发、调度并进行计算,中间层也有可能被人黑掉。在底层IaaS层面,就是我们理解云平台是分布式存储,传统的数据中心是集中式存储。

SaaS厂商需要选择云厂商来保障底层和中间层,SaaS厂商只需要负责应用层的数据应用监控,这样成本就降下来了。

经济观察报:SaaS厂商与云厂商之间是什么关系?如果出现信息安全,云厂商应承担什么责任?

田丰:两者的关系可以类比成发电厂与家电。如果我在家里私接一个功率很大的家电,导致家里整个电路短路,这个事情跟发电厂没有关系。云厂商是技术提供者的角色,SaaS厂商基于其上进行终端服务。

对于SaaS厂商而言,不能将安全权限过于集中在某一个人手里,很多数据删除的操作,至少需要两个系统管理员的密码。

平台所能保证的是基础架构和数据架构的安全,应用层需要靠SaaS厂商自己。SaaS厂商要创新自己的应用层,做好防护。从数据防护的全流程来说,SaaS厂商需要保证的就是其中大约30%的安全,其它70%的安全交给云厂商。

经济观察报:如何理解“企业上云后,数据都掌握在云厂商手里”这种担心?

田丰:十年前大家都在热议这个问题,那时大家对云计算都不太了解,但现在这已经是非常成熟的产业。阿里云已经成立十年,腾讯云也成立了6-7年,整个产业是非常规范的。

我之所以提出“数据信托”这个概念,是因为不管在哪个云上,数据始终是客户的,如果想做更多开发,一定要和客户商谈。而且,现在云计算厂商主要做技术类服务,对数据没有兴趣。如一些公司跟某些保险公司做数据共创和服务,那是业务层的协议,跟底下云技术服务协没关系的,后者挣的是工具类的钱,而不是数据的钱。我觉得目前来讲,中国、美国、欧洲在数据层面,都有高度的防护意识和安全意识。

经济观察报:在数据安全保护上,未来法律法规的方向是什么?

田丰:我们建议的方向是促发展、保底线。不能一味严防死守,都不能做,产业就无法发展。目前,欧洲原来严防死守的法律也有所松动,开始向不同行业授权,培养自己的数字产业,如数字欧洲方案、地平线的欧洲方案、欧洲中小企业战略等。

经济观察报:大型云厂商在数字化上应该扮演什么角色?

田丰:需要提供一项普惠技术,一是降低技术门槛,不需要学习太长时间,减轻企业上云门槛;二是价格不能太贵,否则中小企业用不起。科技从诞生到全面普及有一个S曲线,逐渐坡爬到过程,技术越成熟,成本越低,人群越广。

目前,云计算已经相对成熟,大的云计算厂商应扮演企业数字化转型教练的角色。我更倾向于将其称之为智能化转型,只有智能化才能解互联网下半场的难题。那么多数据收回来,一定要通过机器学习等技术,发现数据背后的商机规律。国外头部SaaS厂家Salesforce做得很好,这家企业成立于1999年,帮助企业做ERP系统等服务。Salesforce最早是一个通用型的在线CRM平台(客户关系管理),后来逐渐沉淀出自己的PaaS平台。

打开APP阅读更多精彩内容