安恒信息范渊：AI赋能确保数据安全方案领先性灵活性

2021年11月1日，《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）正式施行，为我国个人信息保护提供了更具系统性、针对性和可操作性的法律遵循。三年来，各类数据处理者采取了哪些措施强化个人信息保护，面对人工智能等技术带来的新挑战，有哪些应对举措？

南都大数据研究院推出“《个人信息保护法》落地三周年”系列报道，从案例调查、应用实测、企业对话等方面，探讨近年个人信息保护领域的新变化与新实践，展望未来技术发展方向与挑战。

对话篇第3期，安恒信息技术股份有限公司董事长范渊结合实践案例分享“个人信息保护观”，以及通过AI赋能推动数据安全技术的全面革新。

“无论是企业还是个人，都应始终将数据安全放在首位”，2024年11月1日是《个人信息保护法》实施三周年，随着信息化、数字化深入发展，尤其是AI出现，个人信息保护面临更多新风险。在实践中，我们如何厘清个人信息保护与个人数据开发利用的关系，把握好边界？如何持续强化落实政府、企业的治理责任，防范个人信息泄露？安恒信息技术股份有限公司董事长范渊近日接受南都专访时表示，对企业而言，合规不仅是底线，更应是持续创新与社会责任的体现，只有通过严谨规范的管理、前瞻性的技术创新，才能确保数据安全长治久安。

注重数据全生命周期管理

南都：在个人信息保护方面，您认为应采取什么总体策略与指导原则？

范渊：在个人信息保护方面，我认为企业应该坚持“分类分级、最小必要、全生命周期保护”的核心策略。比如帮助客户数据安全建设，首先利用数据分类分级工具对个人信息进行敏感度评估，确保根据数据的风险级别采取相应的保护措施，严格遵循“最小必要”原则，确保每一步数据处理都符合业务需求，避免不必要的数据收集与处理。

在数据库访问控制方面，通过数据库安全网关实现精细化权限管理，保障数据仅限于必要的访问和操作。数据全生命周期管理方面，从采集、传输、存储到最终销毁，采用加密、脱敏和权限控制等技术手段，确保数据在各阶段始终处于受保护状态。

基于上述策略，我们为企业级用户提供移动应用和小程序的隐私合规评估服务时，所有检测需要依据《个人信息保护法》《GB/T 35273-2020 信息安全技术 个人信息安全规范》《GB/T 41391-2022 信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》等法律法规，务求覆盖全面，确保其运营合法合规，为移动互联网行业健康发展保驾护航。

帮助医疗机构有效提升数据安全水平

南都：能否分享一两个提高数据安全性的成功案例？

范渊：我们曾经承接过某医院的数据库安全网关建设项目。项目建设前，医院HIS（Hospital Information System）、LIS（Laboratory Information System）等IT系统采用CS架构，终端设备涉及多个科室和分院，网络环境复杂，医生的电脑能直接访问所有数据库，暴露大量敏感数据。第三方厂商人员负责运维管理，权限过高且缺乏有效的权限管控，存在越权访问、误操作和敏感数据泄露的高风险。加上医院的数据库系统版本老旧，未及时进行升级和补丁修复，普遍存在数据库漏洞，亟需一套综合的数据安全防护方案。

为保护医院存储的核心数据——患者个人隐私信息，医院分别在业务侧、运维侧部署了两套数据库安全网关，通过以下措施实现了全面防护：利用IP和数据库客户端工具识别各科室的访问者身份，并结合分类分级的结果实施细粒度访问控制，确保只有合法用户能访问特定数据；通过运维审批功能，对第三方运维人员的操作进行严格审批，默认阻断高危操作，防止越权访问和误操作。同时，动态脱敏功能对实时访问的数据库流量进行解析和改写，确保运维人员获取到的内容是脱敏后的安全数据，避免敏感信息泄露。数据库隐身和虚拟补丁功能实时监控数据库访问行为，及时发现并阻止漏洞探测和攻击，防止来自内部和外部的威胁。目前，该医疗机构有效提升数据安全水平，业务运营效率提高了27%，并成功避免3起个人信息泄露事件，节约了约150万元的管理和技术成本。同时，每年减少上千万的经济损失，为医疗行业在第三方运维管理和数据库漏洞防护方面提供了宝贵的经验和启示。

AI赋能推动数据安全技术全面革新

南都：面对快速发展的AI等技术，以及不断更新的法规要求，应该如何保持数据安全制度与技术方案的敏捷性、适应性？

范渊：面对AI技术的快速发展和不断更新的法规要求，保持数据安全制度与技术方案的敏捷性和适应性至关重要。作为安全服务企业，通过AI赋能，构建基于AI驱动的智能可扩展安全架构，支持多个安全场景的延展与协作，结合AI大模型技术，实现更加智能化、场景化、精准化的全流程安全管控。

例如我们通过AI大模型与分类分级工具相结合，把数据分类分级的效率提高了30倍；API风险监测系统通过与AI大模型的结合，实现了从人工规则配置到自动分析的颠覆式转变。这种技术突破让数据安全不仅能够及时响应复杂的监管要求，还能随着技术演进灵活调整策略，保持高度适应性，让我们能迅速应对技术和法规变化，确保数据安全方案始终保持领先性、灵活性。

正研发新一代隐私保护技术助力数字化转型

南都：如何看待企业自身在个人信息保护领域承担的社会责任？

范渊：数据安全不仅是企业合规的要求，更是对社会责任的承诺。作为数据处理者，企业在保护用户隐私方面承担着不可推卸的责任。这不仅体现在为客户提供的技术解决方案上，还包括对行业的推动与引导。通过持续的技术创新、合规实践的分享、参与标准制定和推广工作，安恒致力于推动全社会提升对个人信息保护的认知与能力，提升全行业的个人信息保护水平，助力构建更安全可信的数字世界。

南都：已经研发哪些新一代隐私保护技术或方法？

范渊：国家数据局提出“持续推动数据流通利用基础设施建设”，积极推动数据安全保障体系的升级与创新。在此基础上，我们正在研发新一代隐私保护技术，致力于推动可信管控技术的攻关，促进数据互通与开源，构建面向未来的创新孵化机制和系统化解决方案。

通过区块链、隐私计算、数据空间等前沿技术的应用，确保数据“供得出、流得动、用得好、保安全”。这些技术不仅提升了数据的安全性与合规性，还为数据的有效流通和利用提供了坚实保障，助力行业实现高效、安全的数字化转型。

南都：请分享一句您认为最重要的、关于个人信息保护的建议或观点？

范渊：无论是企业还是个人，都应始终将数据安全放在首位。对企业而言，合规不仅是底线，更应是持续创新和社会责任的体现。技术的快速发展带来了新的挑战，但只有通过严谨规范的管理和前瞻性的技术创新，才能确保数据安全长治久安。对消费者而言，积极了解并使用安全工具保护个人隐私，才能在数字化时代更好地掌握自己的数据命运。

出品：南都大数据研究院 数据安全治理与发展课题组

采写：南都记者 袁炯贤

设计：林泳希 欧阳静 张博