数据安全的发展趋势及应用场景（为数据穿上安全的外衣）

数据安全的发展趋势及应用场景（为数据穿上安全的外衣）社交电商、直播电商也推出了针对入驻平台的开发者应用的安全要求及针对消费者隐私数据相关的数据安全改造方案。在数据安全保障链路中，目前主要包含了如下几个方面的要求：可以看到，除了一些大型综合性电商平台外，一些垂直类目、跨境类目的电商平台都包括在内。在此大形势下，各大零售电商平台，如阿里巴巴、京东、拼多多、抖店等也都出具了各种平台安全合规要求和标准。我们来一起看下平台都推出了哪些方面的安全规则。单从数据这一层级来看，平台自身在已完成自闭环的安全保障外，还会重点就隐私数据透出给到第三方提出诸多要求。例如，对CRM、ERP、OMS、WMS等平台外部的应用，在数据全生命周期链路上要求进行整体防护补全，并对所有平台注册的开发者应用明确了安全合规入驻和安全运行要求。下图为2021年至今已有涉及到平台安全合规方案和规则输出的平台分布:

互联网大潮下，企业在日常运营过程都已将经营数据存储为信息化的电子数据。疫情影响下，越来越多的企业正在促使更多的日常办公业务实现全面在线化、互联网化；同时也在将这些已经电子化的数据进行数字化，通过数字化再聚合抽象，形成了小前端-大中台模式的全网化运作模式，以提升业务经营决策能力，进一步扩大业务经营范围，并提升效益。

这些数据数字化后，就变成了公司的无形资产之一。特别是一些产品研发数据、产品和客户的销售与成本数据等等，其安全保障成为了目前企业安全的重要工作之一。

/图源：千图网/

零售企业承载了最终消费者的购买记录，零售运营流程会承载大量的2C最终消费者成为零售商家的粉丝和VIP会员的信息，整个零售订单履约链路中也会承载收货人的个人信息，这些信息都属于个人隐私数据。国家在2017年发布了《网络安全法》后，又在2021年连续出台了《数据安全法》、《个人信息保护法》，明确规定数据经营和承载方对最终消费者的个人信息具有安全保障义务和法律权责。

在此大形势下，各大零售电商平台，如阿里巴巴、京东、拼多多、抖店等也都出具了各种平台安全合规要求和标准。我们来一起看下平台都推出了哪些方面的安全规则。

单从数据这一层级来看，平台自身在已完成自闭环的安全保障外，还会重点就隐私数据透出给到第三方提出诸多要求。例如，对CRM、ERP、OMS、WMS等平台外部的应用，在数据全生命周期链路上要求进行整体防护补全，并对所有平台注册的开发者应用明确了安全合规入驻和安全运行要求。

下图为2021年至今已有涉及到平台安全合规方案和规则输出的平台分布:

可以看到，除了一些大型综合性电商平台外，一些垂直类目、跨境类目的电商平台都包括在内。

社交电商、直播电商也推出了针对入驻平台的开发者应用的安全要求及针对消费者隐私数据相关的数据安全改造方案。在数据安全保障链路中，目前主要包含了如下几个方面的要求：

01

数据

各大电商平台在提供电商业务数据给商家自研应用或ISV开发伙伴应用时，一般会对消费者的隐私数据进行加密或直接脱敏。对直接做加密处理的数据，一般会采用：

·提供加解密的SDK，加密密钥统一平台管理的模式；

·不提供加解密本地方法，全部走API接口调用模式实现加解密；

·直接提供脱敏后的数据和检索码，通过检索码来进行合理场景的解密能力提供，合理场景会需要进行scene场景入参和识别的管理；

·其中对于手机号这一特殊个人信息，为保障整个电商业务的完整闭环，业务能够正常开展，很多平台都也已经启用了手机虚拟号能力的提供，例如：拼多多、京东、淘宝、抖店等。

02

业务场景

在整个电商业务链路中会承载消费者隐私数据的业务场景主要包括：电商零售订单履约链路、消费者作为平台或品牌店铺会员的运营链路、商家进行全渠道零售场景下的运营分析决策系统，等等。

我们以订单履约场景为例，可以看一下目前阿里订单隐私数据脱敏后的链路影响面：

（其中主要包括天猫、淘宝、1688、阿里自营（猫超、天猫国际、考拉）等电商平台，涉及业务场景为退货、换货、分销、代发等订单流程。）

由此可见，平台安全措施通过对订单获取、处理、仓储作业、面单取号、面单打印、快递发货的整个闭环链路的全覆盖，对数据脱敏或加密安全提出了保障要求。

03

账号

虽然应用内的数据脱敏或加密了，但是还是会存在或多或少的需要获取消费者隐私数据的合理场景，例如：无头件的明文检索、某些快递物流不支持接入平台电子面单服务而需要解密后获取快递面单、消费者要求改地址……在这些可能获取消费者隐私数据的场景，应用登录账号的安全性保障就必须要达到相关要求。

在账户安全方面，各大平台也都给出了多项举措：如账号风控能力接入、iDaaS账号身份管理平台接入、平台统一账号体系接入，等等。

04

应用

在应用本身，对应用程序的安全方面，也增加了安全漏洞扫描和第三方渗透测试要求。这个在各大平台的开发者入驻和应用上架前都会有这方面的要求，要求开发者提供应用的测试环境已让平台安全进行应用级的安全扫描，或者是提供应用级的第三方专业安全厂商提供的安全渗透测试报告。

基于此，就会要求这些应用的软件提供商在软件开发过程中同步健全自身的SDLC安全开发生命周期的管理能力，继而按照现在提倡的DevSecOps安全框架来要求软件提供商提升安全实践能力。

05

环境

✔在应用环境侧，一些电商平台也输出了部署要求，例如阿里的聚石塔、京东的云鼎、拼多多的多多云等，都要求电商应用部署在平台提供的电商云或容器云环境中，并要求在与云外应用交互时走平台提供的统一网关（如奇门、虎符、方舟等），以此来保障应用可以在相对安全可控的运行环境中进行实际使用。

✔在网络交互层面，一些电商平台也明确了web类应用必须配备WAF防火墙的部署要求；

✔在应用访问终端侧，也要求启用SASE的零信任安全防护措施。

06

资质

前面提及的安全合规或安全防护能力要求，还只是一些具体的方面。今年，更多的平台对入驻的开发者应用同时提到了开发者所属企业需要具备安全标准认证的资质要求，例如：ISO27001，要求应用本身的运行环境符合安全等保要求，获得安全等保认证，要求应用本身需要符合平台的安全准入的认证要求（如阿里的应用安全准入认证要求），等等。

综上所述，在国家安全法律法规大环境下，仅在电商订单履约业务的全链路中已经涉及到了非常繁多的安全合规能力补全与安全体系机制构建。可以想象，基于互联网的整个在线零售形态履行安全合规要求还要做大量的工作，方能给数据披上安全外衣。

祝愿马上到来的双十一大促节日，消费者能够在更加安全的互联网电商环境下，畅快地买买买，gogogo！