3月9日，「CIS 2021网络安全创新大会Spring·春日版」如期而至。大会邀请到了vivo安全总监刘洪善先生，为大家带来《安全新范式：vivo千镜的隐私创新之路》的主题分享。以下为分享纪要。
隐私成了人们关注的新焦点
数字化时代，隐私正逐渐成为人们关注的新焦点。在社会层面，数据已成为重要的生产资料；在企业层面，数据驱动商业，用数据提供更好的服务，成了每个企业的必由之路；在个人层面，几乎每个人都离不开数字生活。因此，每一个社会个体对隐私安全的需求日益强烈，都希望透明可控的掌握自我的数据和隐私。个人直接参与隐私保护，这是前所未有的。
以用户为导向的安全新范式
在这样的背景下，传统安全体系已显不足，因为传统安全体系主要强调边界安全、通信安全、计算环境安全和安全管理，在后台默默守护用户，与用户的沟通基本为零，用户不需要也没必要参与隐私保护过程。
但随着用户隐私意识的提升，时常担心敏感信息被滥用被窃取，缺乏安全感，因此会更积极地介入数据和隐私的保护过程，这就使以用户为导向的隐私保护新范式应运而生，新范式主要包括三个方面：
基础安全 安全团队 流程 能力的完整体系是隐私保护的基础 隐私设计 安全隐私已成为一种无处不在的需要设计的用户体验 积极沟通 安全措施和能力，需要向监管、行业和用户透明的沟通展示
安全新范式探索:vivo千镜的创新之路
基于这样的认知，刘洪善以vivo千镜架构的发布为例，阐述了vivo在安全新范式下的思考和实践，可以概括为隐私安全“三度”：高度、深度和温度。
高度：从公司战略层面，重视和保障隐私保护投入
刘洪善首先引用了vivo创始人、总裁兼CEO沈炜先生的一段话：“……数据安全与隐私保护是消费者的基本权利，是企业获得消费者信任的基石，我们要把数据安全、隐私保护与守法合规作为企业研发经营活动中绝对不可以触碰的红线和基本底线，来指导各项工作的开展……”
短短80多个字，明确了vivo对安全与隐私保护工作的态度，提出了vivo整体的安全战略：隐私是用户的基本权利，vivo必须全力保障。战略，对任何公司都是根本性的，因为一旦确定为战略的方向，就能够保障大量的资源投入。vivo把安全与隐私保护提升到公司战略层面，也就保证了vivo在安全上的长期投入，能够用最新最好的科技手段来保护用户隐私。
深度：践行隐私保护三原则，推出千镜安全架构
为了践行安全战略，vivo经过对行业的深入分析和洞察，结合内部实践，总结明确了隐私保护三原则。这三个原则，已经融入到vivo的产品和服务设计、开发、运营的各个环节，在数据流动的全链路、用户体验的全场景，全面守护用户隐私：
原则1：透明可控。设备上各应用服务的隐私数据的使用情况，可查看、可管控。 原则2：隐私端侧处理。隐私数据在不出设备的前提下，提供各类定制化的服务。 原则3：数据最小化。不管是数据的采集，还是数据的加工和分享，都必须满足合规前提下的最小必要原则。
基于安全战略和三原则，结合业务实践，vivo制定了隐私安全工作主攻的7大方向，概括为PROTECT：
隐私保护 Privacy protection 数据安全风险 data security Risk 产品对象安全 product Object security 关键安全技术 key security Technologies 安全工程security Engineering 合规管理Compliance management 安全攻防security penTesting
在7大方向发展的过程中，形成了安全与隐私保护设计流程和各类平台，形成了安全工程与合规、先进安全技术预研与构建、安全攻防等能力，来支撑各类产品的安全打造，护航各类业务的安全与合规发展。
正是基于上述能力的长期积累，最终形成了vivo千镜安全架构。
它基于隐私保护默认和设计驱动原则，内置于vivo设备中。它通过可信的多层硬件和软件功能构建了完整的隐私保护矩阵，全方位的守护用户的数据和隐私：
在芯片层 千镜内置了硬件可信根，从最基础的硬件来保护用户隐私 在内核层 提供了可信执行环境，提升隐私保护等级 在框架层 使用可信度量，随时感知设备安全等级 在应用层 通过可信交互，保护敏感数据的输入
温度：更人文更有温度的安全守护
安全与隐私保护存在着高度的专业性和复杂性，强迫每个用户都成为“安全专家”是不现实的。因此，每个负责任的厂商，都必须考虑到安全科技的易用性，考虑人文的温度。
vivo提出，在用户隐私保护上，除了用科技守护用户隐私，还需要更透明可控的安全设计、更优雅易用的安全体验、更关注特殊人群的隐私保护需求，从更科技，转变到更人文更有温度的安全守护。
比如，vivo推出的原子隐私系统，基于独立硬件加密和细颗粒的权限管理构建，轻按不同的指纹，即可在私密空间和正常空间中切换，简单易用。
vivo希望在保护用户隐私的同时，让用户可感知、可理解，给予用户一份有温度的安全守护。
透明沟通，拥抱合作
共同为亿万用户的数字生活保驾护航
vivo在安全和隐私保护上的努力，一直持续的对外透明沟通和展示，也得到了全球多个权威机构的认可，获得了多项严格的安全和隐私保护认证、测评。vivo还积极开放自身的安全实践，累计参与了超过100项安全和隐私保护相关的国家标准、行业标准和团体标准的制定，以期共同提升行业的整体安全与隐私保护水平，最终让广大消费者获益。
最后，刘洪善表示，安全与隐私保护之路是没有尽头的，vivo将始终以用户为导向，坚持长期主义，持续投入用户非常关注的安全隐私赛道，也欢迎所有优秀的安全伙伴与vivo携手，为亿万用户的数字生活保驾护航。
