近年來，世界各國都在個人數據隱私的保護上出臺了相應的法案。2018年5月25日，歐盟的《通用數據保護條例》（General Data Protection Regulation，簡稱GDPR）將正式生效，意味著歐盟的數據保護水平將達到前所未有的高度，堪稱世界史上最嚴格的數據保護法律。

 

GDPR主要涉及數據控制者、數據處理者、數據主體、數據保護官以及監管機構這五方的權利和義務。

 

針對數據主體，GDPR-賦予的強大的權利,即：

 

 

 

 

 

針對以企業為代表的義務主體，增加了更多的要求和限制，以增強企業的責任意識。包括

 

 

 

 

 

 

GDPR規定了歐盟每一個成員國都必須成立關于GDPR的監管機構，負責GDPR在每一個國家的執行，同時設立“一站式”投訴服務，以便于消費者在歐盟內進行跨境投訴。對于數據收集和處理上的違法行為，GDPR加大了行政處罰的力度，最高可達2000萬歐元或該企業上一財年全球年度營業總額的4%(以較高者為準)。

 

在我國正在推行“一帶一路”倡議的大背景下，GDPR廣泛的保護范圍和嚴厲的處罰手段將對中國企業乃至整個行業帶來巨大的挑戰，甚至可能成為阻擋我國企業“走出去”的障礙。一方面個人數據權利要保護，另一方面技術要創新、市場要發展，二者之間發生沖突在所難免，如何積極應對處理這一矛盾將是未來很長一段時間我國政府和企業所面臨的問題。

 

 

 

二、 三元方案

 

為更好地滿足以GDPR為代表的個人數據保護的發展趨勢，如何為用戶提供更加“透明”、更加“可控”、更加“安全”的數據管理方式成為亟待解決的問題。我們建議將用戶身份認證和個人數據處理等服務功能從企業內部剝離，由可信賴的獨立第三方承擔相應職能。這種由企業、控制方和數據操作方構成的信息服務體系我們稱之為“三元”模式，如下圖所示。

 

 

 

圖1  三元模式

 

 

 

 

 

通過對數據的實時把控實現了對數據的全面管控，不僅滿足了GDPR所提出的對用戶權益的保障，而且也滿足了GDPR對數據控制者和處理者的要求，具體包括：

 

l 可信服務（Trust Service）  

 

通過交互的方式面向客戶和企業提供包括注冊、認證、數據操作以及數據存儲等服務。其中注冊與認證通過專用接口向控制者進行申請，而數據操作的后臺處理則是通過專用接口由操作者來完成，企業門戶可存儲用戶的個人數據，但是該數據是由用戶的公鑰進行加密的，沒有用戶的許可，企業是無法直接使用。

 

l  操作者（Operator）

 

由獨立于企業的第三方承擔。負責在云端或者本地代表用戶本人進行一系列的數據操作，包括創建數據文件、生成用戶密鑰、文件加解密、原創性（Originality）鑒別、文件修改、文件刪除、文件復制、同意確認、撤銷操作、數據可攜帶化等等。

 

l  驗證方（Validation Party）

 

負責協調負責人以及操作者之間的工作，負責分發任務及審查，同時負責用戶的身份認證。控制者一方面要通知可信服務用戶的身份驗證方式、認證結果以及多方交互應遵守的契約方式等，另一方面，控制者要對操作者的所有操作處理進行合規審查，并在審查通過后對操作數據通過自身的公鑰寫入到私有區塊鏈中，以便于實現操作數據的不可篡改和隨時可追溯等特性。

 

 

 

 

圖2 三元體系架構

 

 

 

三、 技術優勢

 

三元安全業務體系主要技術優勢如下：

 

l  三元結構（Trinary Architecture）

 

將數據操作與控制驗證功能從企業內部剝離，實現第三方數據監管

 

l  強認證（Strong Authentication）

 

采用密碼、生物特征、動態碼等多種手段進行用戶身份驗證

 

l  低復雜度（Low Complexity）

 

具有易擴展的網絡特性，處理交易的復雜度大幅降低，為O(n)

 

l  雙加密（Double Encryption）

 

動態生成非對稱密鑰，并與對稱密鑰相結合實現用戶數據的安全傳輸和存儲

 

l  私有鏈（Private Blockchain）

 

采用私有區塊鏈技術確保用戶數據的全生命周期可追溯記錄。

 

 

 

四、 應用案例

 

l SAP

 

SAP總部在德國，是全球最大的企業管理和商務解決方案供應商。我們的方案為SAP所服務的企業提供獨立可信的認證、數據操作服務。

 

l  BNP

 

法國巴黎銀行為歐洲最大的銀行及金融服務機構，被評為全球四大銀行之一。將三元業務安全體系用于CRM系統的升級改造，以用于GDPR的合規。

 

l  Microsoft

 

針對微軟的Azure云服務業務提供滿足合規要求的數據安全保護方案。

 

 

 

五、 服務支持

 

立足于通用數據保護的迫切業務需求，依托自身強大的技術研發和資源整合優勢，三元業務安全服務體系為“一帶一路”上涉歐業務的中國企業提共業務咨詢、違規協助、技術方案等服務和解決方案，致力于推動我國數據保護事業的健康可持續發展。

 

 

 

圖3  三元體系為我國企業涉歐業務保駕護航