派出所拿手机采集什么信息保留多久(别等数据被偷了再说安全)

1

每个人都喜欢超级英雄。

无论是超人还是钢铁侠，还是小蜘蛛和绿巨人，几乎每一个超级英雄漫画和电影的粉丝都曾因他的不公平经历而愤愤不平:“他们显然是在用自己的超能力行善，拯救人类。为什么电影里的政府和平民都那么傻，总是对他们缺乏信任，充满警惕？”

这就是所谓的“叶公爱龙”，因为当你身边真的有人可以把卡车像球一样扔来扔去的时候，你的反应大概也好不到哪里去，还可能巴不得政府出面，强迫他接受超级英雄注册法案。

超级英雄和真实人类的差距就像人类和蚂蚁的区别。作为蚂蚁，你敢冒险吗？

这是现实世界和真实人性在面对超出理解和无法控制的现象时的正常反应。拥有超能力的人说他们只会在正确的道路上使用这些能力，但是谁敢百分百相信他们呢？

再说了，谁能明确界定什么是善，什么是恶？

类似的论调到了这个阶段，可能会有人出来说，别较真了。毕竟这个世界上没有超能力，那你为什么对虚构的人物和故事有这么强的代入感呢？

真的吗，我的朋友？

这个世界上真的没有“超级大国”吗？

说这话的人一定是忘记了“被大数据攫住”的感觉。

大数据就像一个强大的超能力，在它面前我们都是蚂蚁。

2

网上有一个被重用虐过的文案，大致意思是:要想致富，要想早日实现财务自由，就要转变思维。

体力没问题，但基本不可能出人头地；

头脑风暴效率更高，但有局限性；

只有拥有贫信息的优势才是正解。

这个优势就是数据“超能力”的体现。

数据量直接导致了信息鸿沟的存在。

近年来，经贸界对“数据资本化”概念的探索，实质上是开始将拥有海量、高价值信息的大数据视为一种可以产生金钱的资产。

在这种理念的指导下，各行各业都在大力扩充自己的数据储备，不仅要扩充自己的容量，还要尽可能丰富自己的维度和来源，以强化自己的质量，即可以挖掘和利用的价值属性。

这个概念影响如此之大，效果如此之好，不仅大企业在践行，街边的小餐馆也在搞各种数据采集，消费时加个微信，打着打折的幌子让你关注他们的微信官方账号或者用小程序点餐，都成了常规动作。

可以说，在这个时代，数据的资本化已经成为大势所趋。谁拥有更多的这些资产，谁就可能赚更多的钱。

而且数据的资本化，不仅意味着数据更有价值，数据的应用方式也可以资本化。

在今年6月的2021BAAI致远大会上，清华大学金融研究院院长朱民在演讲中分析了数据的经济属性和资产特性，主要观点如下:

数据的虚拟特性使其可重用，传输和复制成本为零，非常适合共享；

数据流通是知识的流通，可以让它创造更大的价值；

虽然数据开始资本化，但数据的产权仍然模糊。如果仍然沿用“谁收集，谁拥有”的原则，数据隐私和安全问题将难以解决。

这几点还是很好理解的，就是数据资产不流通就会形成孤岛，影响其价值的最大化。但要顺利流通，必须以解决数据产权以及随之而来的安全和隐私问题为前提。

如果我们将大数据或数据资产视为超能力，这个命题就变成了:我们不仅期望这个超能力强大到足以造福大众，而且还要确保它不会被任何人用于作恶。

我看超级英雄电影的时候，总会思考一个问题。人总是飞到天上去炸楼，楼里的人怎么办。

毕竟超能力是把双刃剑。

需要关在笼子里。

3

让我们简单地跳回超级英雄的故事。蜘蛛侠的叔叔临终前对他说:“能力越大，责任越大。”

很正能量不是吗？

然而现实通常是:能力越大，越难控制自己不滥用这种能力谋取私利的欲望。

这些弊端有些是有意识的，比如最近主管部门频频点名的“互联网公司利用大数据杀熟”现象，虽然这种小手段可以收三五斗以上，但其实并不危险。

真正的危险在于不知不觉或有意无意的数据泄露。

正是由于数据的虚拟性，以及零成本的复制和转移特性，即使丢失或泄露也很难被察觉，在个人隐私满天飞的情况下，溯源极其困难。

在这种情况下，数据“超能力”对普通人的影响，或者说不平等性，就会充分暴露出来——单个用户的数据对于掌握它的企业或机构来说，只是九牛一分，但它被泄露的后果对于这个用户来说，就如同“三个人”对“地球人”一样，很可能会被降维销毁。

即使你被卖了，你也不知道。

更何况卖你跟你没关系。

要知道，这两年，国外几十家大牌企业公开为数据泄露道歉，国内泄露就更不用说了。说有漏洞，疯狂侧漏也不为过。

哎，不是说企业把数据当宝贝，当资产吗？为什么数据隐私和安全问题仍然普遍存在？

其实原因很简单——这种对数据的重视，相当一部分企业还停留在口头上，或者说，就是只想盈利而不想负责。

之前国外有过一个调查，结论是现在数据最多的互联网公司普遍认为信息安全是一种负利润行为，投入越多，收益越多。

他们认为数据安全是一种防御机制，没有办法计算预防的KPI。消除第一个苗头的威胁，在老板眼里就像吃饭不干活，直接导致国内外很多以数据起家的企业，数据安全的窗口期很长空，没有人愿意用宝贵的开发资金去巩固数据安全。

而且，我们刚才提到的“有意无意”，也就是虽然有些企业无意在数据安全上投入巨资，但也难免有内部人士故意危害数据安全，因为转手的都是真金白银，这是最不可预测的。

4

面对数据资本化、数据流通与共享、数据安全与隐私保护这样复杂的问题，做鸵鸟可能也是一种态度，大不了停止数字化。

但回顾人类历史，大数据远不是唯一的“超能力”。

几乎每一项重大技术发明都是一种“超能力”。

与一百多年前的人相比，今天的我们活得像超人。只有我们旅行的时候才有汽车、高铁、飞机，每一种都可以消磨“八百里狂奔”。

所以，如果大数据或数据资本化是我们进化所必需的“超能力”，那么回避它就没有意义。

就像能力没有善恶之分，关键是如何使用它，或者至少为它的使用划出一条底线，那就是必须保证数据隐私和安全。

是道德上限，法律是底线。立法是保证数据安全的关键。

稍微了解大数据行业的人可能都听说过欧盟的《通用数据保护条例》(GDPR)，这可能是目前世界上最严格的数据隐私保护条例。

有多严格？让我们以德国最大的医疗保险公司AOK正在推广的电子病历(ePA)为例，而不是在这里罗列枯燥的法律法规。

美国环保署署长GDPR和德国《患者数据保护法案》( PDSG)的规定也用于存储高度敏感和隐私的数据，如诊断和治疗数据、药物治疗计划、过敏史和个人健康信息。所以把数据产权还给个人，规定所有ePA数据归参保患者本人所有。

患者不仅有权决定ePA可以为自己存储哪些信息以及存储多长时间，也有权决定哪些医生可以访问这些信息。另外，医保公司通常只有ePA的写权限但不能看，写必须要患者授权。

通过这种方式，ePA本质上考虑了数据流通的灵活性和安全性要求。虽然它允许多方访问信息，但不同的各方对信息有不同的访问权限，这些权限及其截止日期都不固定，由患者说了算。

5

看起来很完美？

完美的计划往往在执行中失败。

没有“严格执法”的“科学立法”是个笑话。为了避免在数据安全的实施上“打折扣”或“走味”，首先要尽量避免人为因素。

因为人永远是人，无论你怎么努力用制度来约束人，人都不可能做到100%准确，所以在数据安全上要用技术手段跳过不靠谱的人。

其次，考虑到数据资产的应用是一个闭环，从存储、传输到处理的任何一个环节都可能发生安全隐患。所以也要用技术手段消除整个环节上的不确定因素，做到全方位保护。

要做到这两点，“技术”成为了关键词，但是数据安全领域发展了这么多年，到现在似乎还没有一种技术能够保证数据的绝对安全。

这个判断没错，但如果能在数据处理阶段满足多种数据安全技术的有机集成和应用，引入先进的基于硬件的安全技术，补充安全保护措施的要求，还是可以有立竿见影的效果的。

AOK在推动ePA安全技术部署的过程中做了什么？

简单来说，它的做法就是在现有数据安全保护方案的基础上，加入基于硬件的可信执行环境(TEE)技术。

AOK此举实际上是对上述条件的全面落实。

ePA中涉及到的数据的存储和传输都有相应的加密技术和安全保护，但是系统中这些数据的读取和处理都需要以明文或说明性文本的形式进行操作，所以必须有TEE提供的特别保护的高安全性虚拟区域，防止未授权的应用和用户访问。

在TEE的具体技术实现上，AOK选择了英特尔的软件保护扩展(Software Protection Extension，SGX)技术，这是一种集成在英特尔CPU中的基于硬件的技术，主要为数据处理提供安全保护。

在CPU的帮助下，它可以在内存等特定硬件环境中构建可信的“安全隔离区”，用于容纳处理过程中需要严密保护的应用程序代码和数据。

SGX的力量就在于这些孤立的领域，相当于在体制内创造了坚固的城堡。而且这些城堡可以独立于操作系统、虚拟机、BIOS等系统。即使底层系统全部沦陷，受保护的代码和数据也能在这些城堡的保护下，尽力挡开窃取或篡改它们的黑手。

SGX还为这些“城堡”的正式出入设置了完善的安全措施，只有真正拥有出入权并通过严格安检的用户才能通过海关。

在AOK ePA的具体实施中，SGX的主要任务是保护其文件系统。在它的帮助下，该系统结合了授权、文档管理和访问网关，以确保只有经过身份验证的授权用户才能与ePA交互。

当然，AOK对SGX技术感兴趣还有其他原因。毕竟，英特尔今年发布的面向主流单通道和双通道服务器系统的全新第三代至强可扩展处理器，不仅集成了这项技术，使其更易于部署，而且还对其进行了强化，使其在一个双通道系统上可以支持高达1TB的加密内存区域，也就是上面提到的安全隔离区域，这是非常宽容的。

6

好的技术，不仅在国外使用，也在开始重视数据安全投入的中国企业中率先采用。

对SGX的大加密存储区域和硬安全隔离效果感兴趣的头部企业如平安、蚂蚁、百度、银联等，也开始或已经将其用于隐私保护机器学习或联邦学习场景。

因为这些场景通常涉及多方数据协作，比如一起训练或推理AI模型，而每一方都不希望自己提供的数据有安全问题，但又不得不面对自己的数据和用于联合训练的模型在处理前被解密，暴露真相空的风险。为了避免一些从内存中窃取传递数据的威胁，保护像SGX这样的技术是必不可少的。

例如，蚂蚁集团推出开源项目Occlum，引入英特尔CPU集成的SGX、深度学习加速等硬件技术，以及英特尔开源的统一大数据分析和AI平台——Analytic Zoo软件，打造端到端的Analytics Zoo PPML隐私保护机器学习解决方案，提供安全的分布式端到端推理服务管道。这些技术的综合应用不仅使该方案具有优异的性能，而且大大加强了数据安全保护的水平。

对于这些头部企业来说，数据安全其实比业务更重要。

后者是关于你赚了多少钱。

前者是一种无法估量的价值和责任。

无论未来数据的产权是否一定会属于其生产者，还是延续目前“谁采集谁拥有”的潜规则，所有坐享数据资产收益的企业都不应掉以轻心。

规模越大，数据质量越高，其泄露问题越严重，后果越恶劣。已经伤害的不仅仅是普通人，还有企业，难逃厄运。

现在我们暂时放松一下。当我们需要一个数据安全的反面典型的时候，谁能知道正在建立和完善数据安全和隐私保护法规的中国不会出现一个价值700亿甚至更多的罚款案例？

至少有一点是明确的，那就是中国的相关立法进程正在加速，而且会更加完善，达到接近甚至超越欧盟标准的那种完善。如果企业那时才开始研究如何建立安全岗位，那就太晚了。

所以，做好数据安全，要从现在做起，从改变规则、升级技术入手，从软件、硬件、人、流程各个方面进行完善。

保护用户就是保护自己。数据越发达，越应该小心。

野蛮时代已经过去，一切都要回归秩序。无论是对用户，对自己，还是对无休止的数据分析和算法训练，数据安全都是时候跳到工作日程的前面了。

失去利润，损失很大。

失去安全，失去一切。