《数据安全法》即将实施 融云为政企通信数据安全设防

《数据安全法》即将实施 融云为政企通信数据安全设防

前言:经全国人大常委会决议通过,《中华人民共和国数据安全法》(以下简称“数据安全法”)将于2021年9月1日起正式施行,数据安全工作首次升至国家安全最高监管层级。这是数据领域的基础性法律,同时也是国家安全领域的一部重要法律。

近年来,随着经济数字化、政府数字化、企业数字化的建设,数据已经成为我国政府和企业最核心的资产和关键性生产要素,跨组织、跨平台甚至跨境的数据流通共享活动日益增多,数据的竞争已成为国际竞争的重要领域。但是数据泄露、欺诈勒索等安全事件也愈演愈烈,数据安全和隐私保护受到了全社会广泛关注。数据安全与国家主权、社会秩序、公共利益、企业发展休戚相关,落实《数据安全法》刻不容缓。

《数据安全法》在第五章中为“政务数据安全与开放”独立设章,第四十条指出:“国家机关委托他人建设、维护电子政务系统,存储、加工政务数据,应当经过严格的批准程序,并应当监督受托方履行相应的数据安全保护义务。受托方应当依照法律、法规的规定和合同约定履行数据安全保护义务,不得擅自留存、使用、泄露或者向他人提供政务数据。”

面向政企领域,安全、可信的互联网通信云服务商融云认为,通信云行业是数据安全的“基本盘”,必须全面扎实地将《数据安全法》贯彻于自身领域的具体实践。融云从2017年就开始为政企提供私有部署的通信云服务,在为客户提供的各类通信解决方案中,早已实行内、外部通信兼顾的数据安全措施,让政务、金融、医疗、能源、教育等行业的线上沟通无后顾之忧。

六大维度层层设防,保障内部通信安全

融云在政企行业内部通信安全方面,提供六大维度的保障,包括:设置平台多级管理权限、多维度的消息管控能力、终端消息的背景水印功能、重要信息的阅后即焚功能、隐藏名片关键信息功能、高管模式保护重要人员个人隐私信息,层层设防、保障数据安全。

图1: 面向内部通信安全的六大防护维度

其中,为了客户应用灵活合规,融云提供的多级管理权限方案,可实现:

施行分组管理员制度,可在后台根据需要,为客户组织架构内的各分公司或部门创建分级管理员角色,避免信息交叉泄露;

员工离职可对其账号删除,或对在职风险账号进行封禁。

当内部沟通需要消息传递时,融云可提供多种工具或接口,管理人员可在不同的场景下,采用后台消息监控、敏感词管理、数据远程擦除等不同的信息管理方式实现多维管控,使信息安全问题可预防、可实时管理、可事后补救。当平台中出现涉密消息或不当言论时,管理员可实时删除和撤回;当信息中出现预置敏感词时,可在管理后台选择不发或以星号替代进行处理,保证政企客户的信息安全和舆论稳定。

融云还可为客户的关键页面,如用户资料、聊天界面以及通讯录,提供添加以登录者姓名及手机号后四位为标识的水印,水印以一定密度均匀分布于整个页面。一旦发生内部人员的主动泄密行为,例如对企业的敏感资料进行截屏或者拍照外传,可通过水印溯源,迅速定位泄密者。

图2:终端消息的背景水印功能

此外,对于特定敏感消息,可以单独使用阅后即焚功能,用户阅读后就会自动销毁;为防止信息泄露,还可根据内部需要设定权限,进行隐藏及查看手机号权限配置;对于重要用户,可单独为其开启高管模式,通过关键信息隐藏和通信验证,确保其关键信息不泄露同时避免被经常打扰。

三大防护方式层层加密,维护外部通信安全

在维护外部通信安全方面,融云在客户端、通信链路和服务端分别采取不同的防护方式,层层加密,有效构建全方位的安防体系,抵御外部攻击,为通信保驾护航。

图3: 面向外部通信安全的三大防护方式

客户端

首先,为了保证客户的使用安全,融云在客户端登录、操作及存储等诸多方面,做了多级安全防护。包括强制修改密码、登录密码加密存储;手机在锁屏之后,客户端自动锁定、移动端可远程锁定PC端;终端本地数据加密存储等。

通信链路

其次,在链路加密方面,融云提供等同各国密等级的算法进行加密处理,并且提供在密钥获取、链路认证、数据传输等不同环节的加密能力,包括:

一、为防止被窃听、重放造成泄密,提供通信链路加密;

二、为防止链路监听,提供数据加密传输;

三、为防止信息传输过程中被盗取,提供数据包加密;

四、为抵御数据被篡改的风险,提供完整性验证。

服务端

再次,在服务端防护方面,融云采用私有通信协议;为满足数据保密需求,支持私有化部署,不但支持客户部署在指定服务器,还支持专网内部部署,存储所有业务数据。例如,政务或特殊部门办公的业务文件、金融核心交换数据都存储在本地自有的服务器上,除了交互双方之外,包括融云本身在内的任何第三方,都不可能触碰到客户数据,从根源上杜绝了敏感信息的泄露。

此外,如果政企单位某一员工手机丢失,为防止重要消息外泄,融云为政企通信特别提供了多次错误登录防护、登录IP异常保护、账户冻结、远程数据擦除等多种补救措施。以远程擦除功能为例,管理员只需“锁定员工唯一ID”和选择“擦除”,两步操作即可远程销毁存储数据。

合规用数据,监控平台质量提升运营效率

《数据安全法》第一章第七条指出:“国家保护个人、组织与数据有关的权益,鼓励数据依法合理有效利用”。

融云自成立之日起就向业界郑重承诺:永远不做大数据业务。换言之就是,融云绝不利用用户数据盈利,融云一直也在践行着自己的诺言。从根本上说,融云只是为政企行业提供基于IM即时通讯和RTC实时音视频通话的底层SDK能力。

因此,在运营中,融云只采集用户终端设备ID和SDK运行必要的日志信息数据:

​用户终端设备ID是融云在提供广播推送服务时必须依赖的数据信息,可保证每个终端都能即时收发信息,让消息不丢不重不乱序。例如,当用户的应用不在前台使用状态时,可利用推送服务来通知用户,让消日志信息数据的收集,可用来监控平台服务质量。通过日志,不仅可以快速排查客户问题,还能有效进行风险评估,先于客户发现潜在威胁,防患于未然。合规利用数据,可以提升平台服务,提高用户满意度。

结语

作为深耕通信云领域的厂商,融云有责任也有义务和政企单位一同落实《数据安全法》,建设更加安全的通信环境,切实维护关系国家安全、公共利益以及个人、组织的数据安全。融云是即将实施的《数据安全法》的坚定拥护者和支持者,未来也将一如既往,持续为政企行业提供更加安全、可信的基础通信云能力。

       

标签: ,