GDPR实施后，国内物联网企业应当如何应对？

GDPR实施后，国内物联网企业应当如何应对？

前言：

在上一篇文章中（深度整理 | 欧盟《一般数据保护法案》（GDPR）核心要点），我为大家分享了GDPR法案的核心要点，便于企业直观的了解到什么是GDPR以及对企业未来业务将会产生什么样的影响 。本文将着重针对GDPR中的核心要点来深度分析物联网行业的企业应该如何应对。这里的应对方案涉及到系统架构、人员管理、流程管理、风险评估、业务逻辑、应急响应等众多环节，由于不同企业的具体业务情况不同，以下内容可作为物联网企业自查的一种分析方式。

物联网行业的特殊性在于：原来很多设备是不联网的，所以不存在用户隐私泄露的风险。而如今，设备联网是大势所趋，数据的控制者和处理者都会直接或者间接的接触到非常多的个人用户数据，比如：姓名、性别、年龄、身份证号、手机号等等，另一方面，由于需要对设备和用户数据进行运营画像及监控，也会收集到更多关于用户行为的隐私数据。所以，GDPR对物联网企业的影响还是非常深远和重要的

青莲云作为一家物联网安全解决方案公司，通过多年来在网络安全、云安全、黑客攻防对抗和数据隐私保护等领域的经验积累，针对GDPR施行后，国内物联网企业的应对思路，总结出以下要点，可以作为企业在实践GDPR合规过程中的参考方向，以此分享出来与大家探讨。

国内物联网企业应对GDPR的建议思路：

1、 企业高管的直接重视
2、 合理区分数据控制者和数据处理者
3、 从设计之初保护隐私
4、 明确的获得客户的数据授权同意
5、 识别数据的存储位置
6、 识别数据的类型和风险
7、 识别数据的使用授权
8、 识别数据的移植和传输能力
9、 必要时能够清除个人数据
10、 具备快速识别并及时报告数据泄露事件的能力
11、 遵循数据最小化原则
12、 针对数据进行匿名化处理
13、 保证网络通信的机密性和数据完整性
14、 保证网络通信的强身份认证
15、 重视数据生命周期管理
16、 重视企业内部的隐私管控
17、 检查第三方供应商是否符合GDPR
18、 考虑设置专门的隐私保护人员
19、 具备其他安全合规性要求
20、 与专业安全公司保持紧密合作

企业高管的直接重视
无论是GDPR还是其他安全合规性的法规要求，更多的是与企业的管理/研发流程息息相关。而内部流程的推动更多的依赖企业高管的重视程度和实践决心。推动一项流程的正确实施需要自上而下有序进行，如果企业高管对推动合规性流程的意识不足或者重视程度不够，往往会造成非常多的人力时间成本浪费，也会影响到正常业务的开展进度。所以我们把企业高管的重视程度放在第一位。

合理区分数据控制者和数据处理者
GDPR中针对控制者和处理者有明确的描述。在实践GDPR中，企业首先要明确自己到底是属于数据的控制者还是处理者，这个定位非常重要。举个例子：如果企业使用Google Analytics（或者其他第三方数据分析服务商）针对网站进行用户行为分析，那么企业就是数据控制者，Google Analytics就是数据处理者。当数据主体（消费者）依据GDPR中的要求执行“被遗忘权”的时候，企业有责任去履行用户的合法要求，企业应当能够删除交给第三方数据分析服务商的用户个人数据。

从设计之初保护隐私
万丈高楼平地起。道理很简单，安全是IT系统的基石，如果基础的IT系统出现安全漏洞，特别是针对物联网行业，通过批量的远程升级往往都不能解决关于业务逻辑的安全问题。物联网企业在设计系统架构之初就应该把安全因素纳入架构设计范围。让安全从早期介入，才能避免后期因产生安全事故导致更严重的企业损失。

明确的获得客户的数据授权同意
GDPR在此处也有明确的描述，需要企业用非常明显且直白的方式告诉客户将会采集哪些数据（类似于APP的权限授权），特别是针对未成年人的物联网产品（如儿童手表、儿童故事机等），必须获得监护人的直接授权同意才可以收集相关数据。

识别数据存储的位置
数据是企业IT资产的一部分。当实践GDPR之前，企业必须要做的一件事就是识别数据存在哪了。物联网的底层架构的是云计算，云计算会用不同的数据存储技术来存储不同类型的数据，比如用Redis来存储缓存数据、用Hadoop来存储离线的大型日志文件、用Cassandra来存储一些碎片化的小文件。企业技术负责人必须清晰的意识到内部用到了哪些数据存储的技术或者组件，不同的组件存储了哪一类数据，识别“数据战场”是数据隐私保护的第一步。

识别数据的类型和风险
当识别清楚数据存储的位置之后，就需要对数据资产进行风险评估。思考企业所存储的数据种类都有哪些：如个人身份数据、定位数据、行为数据、金融数据？数据的类型有哪些：整型？浮点型？布尔型？图片/视频？ 不同数据的泄露风险有哪些：如会导致用户信用卡被盗刷？会导致用户遭受垃圾邮件攻击？会导致用户身份被仿冒？会要导致用户行踪被跟踪？等等，依据企业建立的数据风险模型，可以为今后有针对性的部署安全解决方案提供有力支持。

识别数据的使用授权
在大部分的数据使用场景中，并不是只有企业自己对数据有完全的控制权和处理权。在大数据解决方案中，往往需要借助外部第三方企业的能力来对数据进行深入挖掘和分析，这时，对数据的使用授权管理就极为重要。企业需要明确的知道有哪些数据存在与第三方的数据服务交换或者直接把数据发送给了第三方。当有这种情况出现时，企业就变成了数据的控制者，如果由于第三方服务商出现了数据泄露问题，按照GDPR的法规约定，企业作为控制者也同时存在连带责任。

识别数据的移植和传输能力
在GDPR中规定，数据主体（消费者）有权力将个人信息向其他个人或组织进行传输。这就要求企业在设计系统架构时，能够支持数据的格式化处理，并且可移植，以及在多个供应商之间共享数据，同时还需要具备数据安全传输的解决方案，以实现在传输的过程之中确保数据的加密性、完整性和严格的双向身份认证。

必要时能够清除个人数据
数据主体的“被遗忘权”也在GDPR中也作为重点提出。企业必须有能力能够删除一些用户指定的或者用户不再允许使用的数据。企业应当能够具备快速的数据定位能力，并删除定位出来的用户数据，并且将这部分需要被删除的数据通知给第三方的数据服务商（如果这部分数据被第三方使用的话）。

具备快速识别并及时报告数据泄露事件的能力
这个能力我觉得非常重要，并且有很大的难度。难点有二：1、企业如何能够快速识别到自己的数据产生泄露了？纵观历史上或者近期的数据泄露案例，企业方基本都是后知后觉；2、企业是否有能力（魄力）在GDPR中规定的72小时之内及时向监管方及数据主体报告数据泄露事件？为什么说这个能力很难，相信企业管理者都能够感觉到，其实这并不完全是一个技术能力。

遵循数据最小化原则
在安全架构设计中有一个重要原则：最小化权限。即针对业务进行风险评估，仅仅提供能够满足业务运行的最小化权限，如尽量少开端口，禁用Root权限等。GDPR中的明确规定了数据最小化的原则，即，尽量少的收集用户数据，能够满足业务需要即可。通俗来讲：功能少了，风险自然就少，在数据安全方面也是同理。

针对数据进行匿名化处理
GDPR中对“匿名化”有明确的官方定义。其中有两次含义：1、以青莲云的系统架构举例，针对用户和设备不同类型的数据，进行分库/分类加密存储，以避免当出现数据泄露的情况下，一次性泄露全部且完整的用户个人数据；2、针对敏感数据进行匿名化处理，比如记录身份证号时，隐藏中间的生日数据段，避免因数据泄露而直接能够定位或指向某一个可识别的自然人。

保证网络通信的机密性和数据完整性
这里有两个要点：机密性和完整性。青莲云的系统架构中内置自研的物联网安全接入网关系统，网关不仅仅可以提供多种数据加密方式（AES/DES/SSL等），更能够针对每一个数据包进行安全签名和合法性校验，从而保证数据在加密传输的过程中，能够抵抗黑客发起的设备重放攻击行为，实现安全稳定的物联网数据传输。

保证网络通信的强身份认证
身份认证一定是双向而非单向的。对于物联网行业来说，身份认证主要包含设备与云端、设备与设备端、客户端与云端、客户端与设备端、云端与第三方接口以及云端本身的身份认证几个方面。在青莲云的系统架构中，也是由物联网安全接入网关系统来实现这一系列身份认证机制，能够抵抗黑客发起的设备伪造及其他数据伪造攻击行为。

重视数据生命周期管理
针对企业的研发流程，微软提出了SDL（安全开发生命周期），一共分为7个部分，从培训到最终的应急响应。针对数据也是如此，企业应当自查，从定义数据格式到采集数据，再到分析展现，直至持久化存储的生命周期中，是否能够做到安全可控。毕竟在生命周期的不同环节都面临不同的安全风险，能够有效的管理数据生命周期，是企业必备的安全能力之一。此处建议企业技术负责人仔细学习微软的SDL流程。

重视企业内部的隐私管控
隐私管控不仅仅限于GDPR，企业应当自查是否具备隐私管控的流程或者技术能力。此处包括但不限于：针对数据存储的隐私管控、针对OA系统的隐私管控、针对销售系统的隐私管控、针对办公网络的隐私管控、针对移动办公的隐私管控、针对离职员工的隐私管控、针对存储数据进行硬件销毁的隐私管控能力等。

检查第三方供应商是否符合GDPR
以青莲云举例：青莲云为物联网企业提供安全可信的物联网私有云/公有云服务，但是无论是公有云还是私有云，青莲云产品作为一套物联网安全软件系统，必须依赖某个云计算IaaS服务商。因此，企业在考虑第三方供应商是否满足GDPR合规要求的同时，不仅要考虑第三方供应商自己的安全能力（青莲云可以提供真正端到端的物联网安全解决方案），更需要考虑底层云计算厂商的GDPR合规性。以云计算代表亚马逊AWS和阿里云来说，两家厂商都有标准的GDPR合规性要求说明，同样值得企业关注。

考虑设置专门的隐私保护人员
在实践GDPR中，企业不仅仅需要高管人员的重视，同时需要培养专门的隐私保护人员，如首席隐私官（Chief Privacy Officer，CPO），或者是GDPR中明确提出的数据保护官（DPO）。即便企业没有该职位设置，也应当针对技术负责人、核心员工进行专门的隐私保护培训，建立相应的隐私保护流程，以满足GDPR的合规性要求。

具备其他安全合规性要求
企业的信息安全建设绝非一朝一夕能够完成。在关注GDPR之前，企业应当审视是否满足了国家的其他安全合规要求，比如：网络安全等级保护。至少在物联网应用层面，也应当具备一定的安全防御能力，并不能理解为我用了阿里云，安全就是阿里云来保障，更不能认为我的数据是加密的，就等于安全了。安全漏洞的产生更多的是跟业务逻辑相关，不止体现在针对数据的保护上，青莲云可以为物联网企业提供专门的安全咨询服务（安全培训+安全测试+物联网安全解决方案）。

与专业安全公司保持紧密合作
术业有专攻，安全来自于长期的经验积累和真实的黑客攻防对抗。很多物联网企业自身不具备组建专业安全团队的能力，企业应当更关注自身的业务和产品发展，并与安全企业建立长期合作伙伴关系：一方面可以提升自身业务的安全防护能力，另一方面也可以通过与安全企业的合作提升员工的安全意识，将安全漏洞扼杀在研发和测试流程中，从而提升量产产品的安全性。

欧盟新条例的影响力将辐射全球
《通用数据保护条例》(GDPR) 是迄今为止覆盖面最广的全球性数据隐私保护法规，将于 2018 年 5 月 25 日生效。
任何处理欧洲公民个人数据的组织都必须遵守该条例。
不合规的企业可能面临高达 2000 万欧元或 4% 年营业额的罚款，以较高者为准.
以下客户都可能触碰到此法律条例：
涉及欧盟用户，需对用户数据特征分析，以提高业务增值服务
Ø 跨境社交平台，如腾讯、facebook
Ø 搜索引擎，如百度、搜狗
Ø 互联网传媒（内容服务商），如头条、网易
欧盟跨国公司，在其他国家有业务，涉及个人数据出境
用户数据参与业务活动，不对用户数据进行分析
Ø 智能家居
Ø 物流
Ø 汽车
Ø 手机、网络设备
Ø 共享行业，如摩拜单车
Ø 跨境电商，如淘宝全球购、京东
Ø 金融（保险、银行、证券）
用户数据辅助参与业务活动，如机器人行业
作为国内最早开始准备GDPR解决方案的第三方，目前我们能提供：
GDPR意识培训：建立对GDPR的基本概念，理解符合GDPR的必要性，初步掌握GDPR所包含的内容和实施步骤，提升GDPR的管理意识。对GDPR的忽视，造成不符合GDPR, 可能面临高达全球营业额的4%或2000万欧元的行政处罚（取两者之一最高）。
GDPR法规讲解：GDPR法规正文共有99条，如何能够抓住要点?如何正确解读？GDPR法规讲解课程将会把整个法规的框架、核心内容及要点分层次全方位帮大家理清。最终建立对GDPR法规的条文的正确认识及实际工作应用。
DPO数据保护官课程：越来越多的企业离不开数据保护官来指导企业及相关员工履行GDPR的法律义务，监视企业相关的合规性，提出对数据保护影响评估的策划建议并执行监视数据保护影响评估等。此课程将会帮企业培养合格的数据保护官，使企业能够更好的符合GDPR的要求，避免不必要的风险，让企业能够更稳健的在欧盟拓展业务或合作。
GDPR差距分析及最佳实践指导：按照GDPR的99条法规正文，逐个部门检查企业目前实际履行法规状态，找出存在的差距，提交差距分析报告。报告内容包括GDPR符合性方面好的做法和存在的问题和不足。差距分析后，SGS专家会充分与企业相关人员沟通交流GDPR存在的问题与改进的建议，协助企业改进相关的问题和不足。
GDPR on-line service: GDPR网络在线服务，使企业客户能够在网上找到符合GDPR所必要的资源。客户需要创建账户并支付月费，服务通过在线评估的方式提供，支持SGS通过远程解决方案，如livechat，电子邮件，视频电话等方式。此服务目前没有中文版本，但有英文版本。
GDPR符合性审核：SGS专家团队按照GDPR法规开发出相应的检查表，若企业符合相关的内容，SGS将颁发GDPR符合性审核报告，证明企业的GDPR的合规性。
ISO 27001培训和认证：信息安全管理体系的培训和认证，用体系的方法来更加系统的解决相关的问题。
ISO 27018 培训和认证：公共云个人信息安全体系的培训和认证，可以把GDPR相关的内容直接结合到体系中，可以更加全面系统的解决相关问题。
ISO 29151培训和审核：个人信息保护认证体系的培训和审核，让企业能够把除GDPR外的其他个人信息保护法规或规范一起了解，用系统的方法使企业合规，规避不必要的风险。
渗透测试：通过威胁建模和攻击面分析、应用系统安全评估、外网渗透测试、移动安全监测、源代码分析等找到相关产品的安全风险，为整改提供方向和思路，全面提高产品的安全性。
如您有任何需求，请您随时与我联系。
谢谢~
Alan Shi 石东升
Certification and Business Enhancement
Marketing Executive
SGS -CSTC Standards Technical Services Co., Ltd.
SGS Center, No 143 Zhuzhou Road, Hi-Tech Industrail Park, Qingdao
Phone: +86 (0532) 6899 9340
Mobile: +86 132 1015 3796