绿盟数据安全保险箱：助力数据安全流转
2023-05-05 11:50:03   来源：绿盟君 绿盟科技   评论：0 点击：

　　01.

　　背景介绍

　　近日，由中国科学院微生物研究所、中国科学院计算机网络信息中心、中国生物工程学会、绿盟科技等单位联合主办的“生物领域数据安全管理与跨领域互联互通实践研讨会”在北京成功举行，会上国内首个国家微生物科学数据互联互通平台正式发布。

　　该平台充分考虑业务和科研实际需求，整合了隐私计算技术、区块链等前沿数据安全技术与生物信息分析等专业领域算法，将传统生物信息服务升级为安全生物信息服务。平台面向重要高致病性病原菌及新冠、流感等病毒数据，针对其在安全保护条件下进行分析和共享的需求，使用了基于国产可信硬件的隐私计算方案，保障经加密后的基因序列在加密态的内存中进行序列分析。当分析完成后，相关密态数据会被立刻彻底销毁。在此过程中，通过前沿密码学、隐私计算、区块链等数据安全技术，保障包括计算分析服务提供方在内的各方，对数据可用不可见。平台中进行互联互通的相关数据受到符合国家密码标准的数字签名技术保护，通过验证签名可确保计算结果的完整性和权威性；平台使用区块链技术完成全流程监控，通过哈希、签名等密码学技术对关键流程进行了各方不可否认的存证，并提供科学数据链颁发的全网唯一的区块链证书以确保数据权益。

　　国家微生物科学数据互联互通平台的建设采用了隐私计算技术实现的“绿盟数据安全保险箱”产品。

　　为什么要用隐私计算来建设数据互联互通平台？

　　我们首先来看看

　　数字时代下各行各业面临的安全问题
 

　　02.

　　数据流转出现的安全问题

　　随着数字经济的蓬勃发展，数据已经成为新时代的重要生产要素，并成为国家基础性战略资源。与此同时，数据泄露事件呈现愈演愈烈的态势，层出不穷的数据安全事件轻则为企业带来资金及名誉损失，重则影响国家安全。

　　在数据流转场景中，企业往往会担心，一旦自己的数据共享后会因为失控导致泄漏。比如被合作方偷偷利用（无限使用）、转手给第三方，或是合作方安全防护能力不足而导致数据泄露事故。

　　另外，在企业数据安全防护建设过程中，最难解决的棘手问题是掌握着特殊权限的内部员工，如运维管理人员、开发测试人员，这些内部人员由于工作需要，经常能够接触、操作企业明文数据，此类内部人员有意或无意造成的数据泄露事故往往难以防范。

　　数据互联互通和高效流转是当下数字化时代发展的一个必然趋势，那么如何顺应时代潮流，更好地保障数据合法使用、尽可能多地减少数据泄露的事件呢？在此背景下，隐私计算技术顺势而生。
 

　　03.

　　绿盟数据安全保险箱

　　在2022年9月，绿盟科技携手海光信息共同发布了“数安湖”隐私计算平台。在过去的半年时间内，绿盟隐私计算团队积极响应客户的需求，努力探索客户业务中普遍存在的数据安全问题，研究出了一款创新产品：绿盟数据安全保险箱。该产品基于隐私计算TEE技术，具备“金库”访问模式（一次一密）、数据出域审计、操作日志不可篡改等特性，提供全方位的数据安全保护，实现了数据安全纵深防御，可以令攻击者“进不来、看不懂、改不了、拿不走、跑不掉”。

　　“进不来”，是指绿盟科技以精湛的安全技术对数据安全保险箱操作系统进行安全加固，使攻击者无法侵入。“看不懂、改不了”，是指绿盟数据安全保险箱以全密态运行，无论是文件存储，还是内存运行，皆处于加密状态，攻击者无法进行篡改。“拿不走、跑不掉”，是绿盟科技赋予数据安全的全新维度，虚拟机镜像全盘加密功能保证即使虚拟机镜像被窃取（比如硬盘被物理盗窃、黑客入侵了服务器物理主机后远程拷贝虚拟机镜像）的情况下，无法解密分析/获取虚拟机镜像中的数据，此谓“拿不走”。“金库”访问模式允许运维管理人员一次一密访问，结合数据出域审计、操作日志不可篡改等特性，可防止运维管理人员窃取数据而不被知晓，此谓“跑不掉”。

　　结合上述功能，绿盟数据安全保险箱可以有效地解决客户数据安全中的痛点问题，提高企业数据安全防护水平，大大降低企业内部运维和开发人员泄露数据的风险，即使内部人员拷走了硬盘文件也无法解密获取到明文的数据或文件内容。绿盟数据安全保险箱还可以帮助客户实现线上平台数据安全可信流转，保证平台方无法留存用户的输入数据、用户可以对计算结果进行验证，提高用户使用平台的信心。此外，绿盟数据安全保险箱可以实现数据安全可控地流通，可控安全地提供数据、能够及时销毁、及时收回，数据价值不受侵害（数据不会被转手给第三方或偷偷利用）。

　　在国家微生物科学数据互联互通平台的建设之中，绿盟数据安全保险箱有效地解决了平台数据流通中存在的安全问题，主要表现为如下三点：

　　1. 采用第三方公钥对用户输入数据进行加密，解密私钥放在绿盟机密计算模块中，可以保证平台方无法看到、无法留存平台用户的输入数据信息。

　　2. 平台用户数据和平台程序、数据库在TEE中进行计算，绿盟机密计算模块对结果进行签名，用户可以对平台输出给自己的结果进行验证，以辨别是否篡改结果信息

　　3. 采用区块链技术，将关键的行为进行上链（如：用户输入数据到平台、平台将数据传给绿盟机密计算模块、一次性容器的销毁、绿盟机密计算模块传递结果数据给平台后端、平台后端接收结果），从而保证用户可以对计算过程进行验证，以辨别过程是否可信。

　　总结

　　数据互联互通和高效流转是当下数字化时代发展的一个必然趋势，但当下大家不愿意共享数据，主要可以总结为两方面的问题：

　　数据安全的问题

　　A机构共享数据给B机构后，很难防范B机构偷用或转手给第三方。这就会导致在共享范围、方式方法、技术等角度被卡住。

　　数据权属和收益管理的问题

　　许多数据都来之不易，但数据共享往往得不到相应的收益，因此有宝贵数据的机构往往不愿共享数据从而导致无法更好地促进数据互联互通。

　　面对上述问题，绿盟数据安全保险箱可以更好地保障数据合法使用、更好地解决数据权属和收益管理问题同时尽可能多地减少数据泄露的事件。

　　隐私计算技术在国家微生物科学数据互联互通平台的成功应用为后续科研数据共享开放提供了样板间。在未来，绿盟科技将和社会各界、各个机构更加紧密合作，为中国数字化发展贡献自己的力量。