政策顾问必藏：12个高信效度数据安全科技资源

　　去年6月帮某部委做数据安全政策评估，甲方政策顾问甩过来一份《12个高信效度数据安全科技资源清单》，说“这是圈里最全的”。我原以为又是那种凑数的PPT模板，结果翻到第三页就乐了——里面居然列了某开源加密库的2018年版本，那库早被爆出过侧信道攻击漏洞，2020年就没人敢用了。顾问还一脸认真：“这库在GitHub上星标多啊。”我盯着他电脑屏幕右下角的外卖订单，那盒黄焖鸡都快凉了。

　　但越往后看越不对劲。清单里有个“AI驱动的威胁检测平台”，标注是“某央企内部测试通过”。我打电话给那央企的网安负责人老李，对方在电话里笑出声：“那平台去年双十一被勒索软件绕过三次，我们早停了，现在用的是另一家。”顾问在旁边挠头：“可能信息没同步？”我指了指清单右下角的时间戳——2023年5月。老李的电话里传来打印机嗡嗡声，他说：“你们这清单，怕不是拿2022年的旧货改的？”

　　不过也不是全没价值。清单里有个“数据脱敏工具测评报告”，我原以为又是厂商自吹，结果翻到附录发现他们真做了实测：用同一套数据跑了十八款工具，对比脱敏后的数据可用性和安全性。其中有三款工具的脱敏规则被他们挑出硬伤——比如某国产工具对身份证号的脱敏，居然保留了前六位和后四位，这跟没脱敏有啥区别？顾问挠着后脑勺：“这个我们确实没注意到。”我盯着他桌上那盆快枯死的绿萝，心想这清单要是早半年出来，能救多少企业的数据。

　　但最离谱的是清单里的“零信任架构实施指南”。那文档写得像教科书，从概念到框架讲得头头是道，可连最基本的“动态权限校验”都没提。我翻到最后一页，发现作者是个刚毕业两年的硕士生，简历里写着“参与过某银行零信任项目”。我打电话给那银行的网安主管老张，对方在会议室里压低声音：“那项目我们根本没上零信任，就是改了个登录页面，领导要政绩。”顾问在旁边翻手机，屏幕上是他女儿幼儿园的合影。

　　不过话说回来，这清单里也有真东西。比如那个“API安全防护方案对比”，列了六家厂商的产品，从流量检测到漏洞修复全测了一遍。其中有两家厂商的方案被他们挑出致命缺陷：一家是规则库三年没更新，另一家是误报率高到能淹没真实攻击。我后来跟其中一家厂商的技术总监吃饭，他拍着桌子说：“这清单害我们丢了三个大单！”我夹了块红烧肉，心想这清单要是只留这部分，倒真能算“高信效度”。

文章配图，仅供参考

　　我后来跟顾问聊，他说这清单是“综合了二十家机构的意见”。我笑了：“二十家机构里，有多少真做过实测？”他挠头：“可能…一半？”我指着清单里那个被老李否掉的威胁检测平台：“这家厂商的PPT做得漂亮，可实测结果呢？”他翻着清单，突然说：“哎，这平台的名字怎么跟另一家这么像？”我盯着他电脑屏幕上的雨滴——窗外正下着小雨，他的键盘都湿了。

　　现在这清单还在政策顾问的抽屉里吃灰。我偶尔会想，要是所有政策顾问都能像我们这样较真，先实测再推荐，而不是看星标、看PPT、看厂商关系，那数据安全圈得少多少坑货。不过话说回来，真要较真，得有多少政策顾问愿意花三个月时间测十八款工具？又得有多少企业愿意公开自己的失败案例？

　　上周路过那部委，碰到顾问，他正抱着新清单往领导办公室跑。我瞄了一眼标题——《15个高信效度数据安全科技资源》，比去年多了三个。他冲我笑：“这次我们找了两家第三方机构实测。”我点点头，心想：但愿这次别再出现2018年的加密库了。不过话说回来，就算有，他女儿幼儿园的照片，应该还是那么可爱吧？

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!