腾讯广告获信息安全和隐私保护国际双认证，监管趋严形势下意味着什么？

文 |InnocentRoland

“合规发展是数据应用空间不断拓宽的基础。”

近日，腾讯广告被DNV GL集团授予ISO/IEC 27001信息安全管理体系和ISO/IEC 29151个人身份信息保护两项国际认证。 此次认证覆盖了腾讯广告的TDC（腾讯数据智库）、TDP（腾讯生态智库）、DMP（腾讯广告数据管理平台）三大数据产品。

这不仅标志着腾讯广告的信息安全和隐私保护能力已经与国际主流标准全面接轨，同时也为全行业做出了一次领先示范。

从当前环境来看，一方面，国内外监管和立法现状十分严峻，从facebook剑桥分析事件开始，全球对隐私安全的重视程度日益提升。 近年来，国内外数据隐私保护的相关政策法规也不断出台，包括欧盟的《通用数据保护条例》（GDPR）、美国的《2018年加州消费者隐私法案》（CCPA），以及国内的《个人信息保护法》草案等。 在这样的大环境之下，企业和互联网行业需要面对法规收紧所带来的挑战。 另一方面，互联网市场已经发生了从增量到存量的转变，伴随市场下行，预算缩减等现状，迫使企业聚焦如何用更有效的数据实现商业价值的最大化。 其中，数据在广告营销上的应用便成为最重要的议题之一。 而大数据的应用如今也不再是一项单纯的技术，对于很多企业而言，数据应用也涵盖了围绕各类数据进行分析、开发的产品和服务。

在法律和市场的双重作用下，企业如何在保障个人信息安全的前提下，合理进行数据应用，取得两者的平衡，诚然也是整个行业面临的共同问题。 “合规发展是数据应用空间不断拓宽的基础。” 在接受Morketing采访时，腾讯广告平台产品技术部总经理杨毅果和安永华南区网络安全咨询服务合伙人胡立基一致表示。
腾讯信息安全执行委员会主任杨鹏（左） DNV GL全球高级副总裁、大中国区总裁康文煜（中） 腾讯广告平台产品技术部总经理杨毅果（右）

两项ISO认证意味着什么？

在开始具体的讨论前，需要先明确ISO/IEC 27001和ISO/IEC 29151究竟是什么？

简言之，ISO/IEC 27001信息安全管理体系认证是信息安全领域最权威、最被广泛接受和应用的国际标准。它可以有效保证企业在信息安全领域的可靠性，降低企业泄密风险，更好地保护核心数据；而ISO/IEC 29151认证则是国际通行的个人身份信息保护指南，能充分控制和降低运营过程中有关个人隐私泄漏的风险。

这两项国际认证之所以被业内高度重视和评价，背后是源于行业对信息安全和用户对隐私保护的高要求。而腾讯广告获得两项认证则充分证明了其在广告业务上的数据安全合规能力已达到国际水准。

腾讯广告平台产品技术部总经理杨毅果

从管理机制入手，规范数据应用

为什么需要从管理上规范数据应用？

第一，错误操作会泄露企业数据。 根据Shred IT公司2018年一份报告显示，40%的高管将他们最近的安全时间归因于数据意外共享、错误处理敏感数据、权限设置错误和服务器配置不当等误操作而造成。

事实上，现在企业内部存在越来越多的多地协作策略，信息共享自然比过去更容易。因此数据报关则需要适当的数据安全保护策略、安全意识或风险评估能力，避免“信息滥用”或误操作所导致的数据泄露事件。

第二，员工的恶意盗取会严重威胁企业信息安全。 内部威胁包含了与企业或组织具有某种社会关系的所有个体，比如在职员工、离职员工、承包商、供应商、商业伙伴等。而某些信息安全风险就来自于恶意内部人的威胁。他们掌握有关企业的安全实践、数据和计算机系统的内部信息，并禁不住利益的诱惑，利用漏洞或者过高的访问权限蓄意破坏重要数据。

在缺乏合理流程规范的企业中，有的系统管理员甚至能够无限制地访问数据库中的数据。同时，用户数据的分析人员、程序员、开发维护人员都有可能因为业务需求接触到敏感数据。企业需要通过内部流程和权限管理避免这种情况的发生。

第三，弱口令会增加信息泄露的风险。 口令在很多情况下是网络系统的第一防线。但时至今日，由于口令强度较弱引发的信息泄露事件已然每天都在上演。因此，修改默认口令或者采用其他规避这种情况的方式是非常重要的。

这就意味着，数据隐私首先需要企业管理层从内部机制上进行管控。腾讯广告平台产品技术部总经理杨毅果表示，“腾讯广告是与集团的安全管理部、数据隐私保护部、法务平台部等多个部门联合，以最高级别的标准和制度流程，保证接触数据权限最小化，严格保护商业合作伙伴和用户个人隐私信息。这种管理规范需要的是一个持续的长期过程，而不是一时之举。”

此外，从产品设计到开发、日常运营、乃至售后服务，都有可能涉及到数据的使用。因此，一个严谨有效的内部管理机制可以一定程度上保证数据的合规采集和安全使用。换言之，在相应的产品诞生之前，严格的标准和要求就已经在影响他们。

安永华南区网络安全咨询服务合伙人胡立基也表示：“企业对数据安全和隐私保护的态度会起到决定性作用。想获得相应的认证其实不是一件简单的事情，企业需要在每一个接触到数据的环节进行一定的投入，并付出持续地努力。”

安全技术体系建设，保障数据安全

在合理的流程和管控机制制定的同时，一套完整的安全技术体系同样需要被搭建。

互联网企业经常会遇到这样的问题：
第一，黑客的持续攻击。 根据2019年国内多家安全厂商、第三方咨询机构发布的勒索软件报告显示。随着企业的数据化、网络化、智能化进程加速，围绕着数据加密、数据泄露，乃至诈骗等核心元素展开的勒索正在日益增加。加之，随着勒索病毒与漏洞传播更紧密地结合，需要避免黑客通过后门软件，长期盗取数据或挟持核心数据。

第二，各种漏洞的存在。 大多数情况下，硬件、软件、协议等具体实现或是系统安全上的策略存在的缺陷，会使黑客能够在未授权的情况下访问或者破坏系统。根据美国Verizon的调研显示，75%的数据丢失都由于数据库存在的漏洞导致。

而腾讯广告为了避免在信息安全和隐私保护方面产生这一系列的问题，从产品研发之初就搭建了从数据接入、存储、访问到应用一整套全链路的数据安全体系，其中多项技术还取得了相关专利。例如，在数据接入层面，腾讯广告全站采用https接入，并结合多种技术手段保障数据传输安全有序；在数据存储层面，通过数据备份、加密、去标识化处理等方式实现安全合规；在数据访问层面，采取服务器隔离、服务器端口扫描等手段，保证数据安全可控；在数据应用方面，将差分隐私、隐私集合求交（PSI）等密码技术应用于广告业务实践中。

因此，数据保护一方面需要企业内部管理上的协同，从而确保数据安全合规工作在组织内能真正地落地，以及避免内部问题导致的数据泄露；同时，企业还需要提升技术能力，并构筑完整的安全体系，从而避免来自外部的攻击和数据传输中导致的一系列问题。

将数字资产转化为商业价值增长

做任何事情，“意义”决定了驱动事情的关键。“获得认证”这件事情，除了保护数据应用的合规外，还有哪些附加的意义？

“近些年来，全球的政府、监管机构以及公众对信息安全都颇为关注，这也使得很多合作伙伴开始对数字营销持更为谨慎的态度。” 杨毅果表示。

因此，在与商业伙伴的合作之初，平台如果能够提供数据安全和隐私保护的国际资质认证，在很大程度上可以减少前期沟通中花费的时间和精力，从而更好地聚焦在数据营销的创新之上，回归到营销目标的达成。

腾讯广告一直倡导视用户信息安全和隐私保护为企业的生命线，像这样被ISO国际认证的合规平台，可以帮助广告主在数字营销领域进行创新的同时，有效地将数据资产转化为商业价值的增长。

摆在企业面前的，一方面是国家政策愈发收紧的监管力度，另一方面则是企业围绕用户数据实现价值增长的发展诉求。只有在信息安全和数据应用之间找到一个平衡点，数据才能真正成为企业未来发展的基石。腾讯广告本次获得ISO国际双认证，是一次数据安全和隐私保护的平衡尝试，也为互联网企业起到了良好的示范作用。