专访天威诚信首席安全官李延昭：如何建立数字时代信任安全基础

【赛迪网讯】信任是社会运转和个人立身的一项根本基础，虽然是一种形而上的自我意识，但是在现实中也需要透过更加具象的实物予以表达，以构建起个人、社会交往的现实基础。这些实物在不同的时代会有不同的形式出现，比如石碑、纸张上的契约等某些仪式化的行为，那么在数字化的时代，它又以哪些新的形式出现在人们面前呢？

对于这个问题，天威诚信有自己的独特回答。作为工业和信息化部许可设立的首批全国性电子认证服务机构，天威诚信是致力于提高企业数字业务全流程安全合规服务的数字信任云服务商，许多国内企业、机构都采用其部署的数字认证底层架构。在长沙举办的世界计算大会上，赛迪网专访了天威诚信首席安全官李延昭。作为我国密码行业首批从业者，李延昭对数字安全有着深刻的理解。

数据合规和隐私保护需要找到平衡点

在二十年前，对于大多数企业来说，PKI还是一个新事物。随着近年来国产密码算法和信创概念的兴起，很多人才开始追根溯源，试图理解算法。不过，专业的技术对大多数人而言仍然具有一定的门槛。李延昭认为，客户最关心的问题应该是算法安全与否，以及提供算法的机构是否有资质，包括CA在电子政务、电子商务等领域的应用，一切都需要对照政策和行业标准执行，这样才能做到有据可循。

数据合规是企业数据安全的基础。天威诚信的服务价值就是让企业在数据合规的基础上实现数字化的最大便利。李延昭对此做了一个有趣的比喻，即在有刹车保证安全的前提下可以让用户敢于驾驶车辆快速行驶，从而达到理想的“安全适度”。从技术上来看，企业的数据既要安全又要合规，这就意味着企业要保障安全合规，其数据就难免会被阉割，在应用上势必会产生一些影响。比如在数字认证过程中，数字证书必须标识用户的名字，并输入邮箱地址或手机号码，有的还需按照国家标准要求记录身份证号或企业组织机构代码，这就有可能泄漏用户的隐私数据，但是如果不完整的表示这些数据，那这个证书也失去了证件的意义。

天威诚信的目标是给用户提供一个适度的数据保护和治理的解决方案。李延昭表示：“只要用户应用了我们的数据管理系统，并按照我们的策略执行，就会在数据安全、合规和数据治理之间找到一个舒适度。我们为用户的数据运行提供安全保障，让数据在飞速运转的同时不会失控。”

随着个人信息保护的逐步强化，《个人信息保护法》会要求去掉一些个人敏感信息。如何做好敏感信息的保护并兼顾数字安全，这是一个尚在探索的过程。无论是天威诚信在内的电子认证服务机构，还是立法机构、执法者，都需要在实践中找出平衡点。

“什么是个人隐私，哪些信息可以公开，哪些信息不可对外透露，这个平衡点一定要把握清楚。《个人信息保护法》实施之前，隐私信息在数字认证中透露的信息量有待收紧，实施以后，对信息保护的要求大幅提升，我们仍在寻找一个最佳平衡点。”李延昭谈道。

李延昭认为，隐私计算可能是解决这项矛盾的主要突破口。虽然目前隐私计算仍然存在效率低下的问题，但随着一些安全公司通过对硬件、软件算法的加速升级，在政策和技术之间很可能会找到一个完美平衡。

电子签名不止保护金融机构

大数据时代，数据是企业的生产工具，企业要灵活使用这项生产工具，首先要完成数据确权。天威诚信的作用就是实现数据固化、确权，使得所有数据能够追查溯源，实现所签即所见。经过数据确权以后，所有的后续操作都与电子签名紧密相关，因此做好数据确权是其中最为关键的一步。

虽然对于银行在内的金融机构而言，在业务操作时会给用户罗列许多电子文件让用户确认，用户在线签约时会收到很多弹窗提示，这期间会产生很多交互。用户通常没有时间、精力去仔细查看繁杂的条文内容。这也让不少人对金融业务流程中包含的电子签名业务产生了怀疑，认为这项技术和步骤只是在保护企业或金融机构，对消费者却并不公平。对此，李延昭认为，电子签名实际上既保护消费者也保护银行在内的金融机构。因为在做出签名的时候那一刹那，所有的数据就被固化了，银行无法更改，用户也不能更改，因此电子签名实际是对双方权益的一个共同保护。

天威诚信的认证数据一般保存到数字证书失效后五年，有的时限会更长。这样可以确保即使过去多年，依然可以找到当初签约时所固化的信息。“这对于企业发生纠纷的时候是非常有帮助的，我们可以降低企业的取证难度，帮助企业及时出证、化解业务纠纷。而且，我们提供的这些电子证据服务是符合司法机构规范，是可以得到司法机构支持的。”李延昭表示。

无论社会的发展呈现的形式如何，人类最终依托的交往基础始终是人与人之间的信任。天威诚信致力于用数字化手段构建和传递对个人的信任，对企业的信任，并通过合规、便利的服务让社会更加诚信，让业务更加安全。