文章总结： 樊山指出数据安全产业正从合规驱动迈向业务融合新阶段，提出以可信数据空间为核心、顾问前置产品落地的增长路径，强调业务主导、三同步左移与IPDRR全生命周期治理，呼吁构建可信基础设施业务架构与系统架构，释放数据要素价值。 综合评分： 85 文章分类： 数据安全,安全建设,解决方案,政策法规,安全运营

专家观点｜樊山：《数据安全产业：从合规迈向增长的新引擎》

樊山 樊山

观安信息

2026年1月22日 15:01 上海 标题已修改

中国互联网产业年会简介

中国互联网产业年会是由中国互联网协会主办的中国互联网产业年度盛会。年会以“盘点年度大事、把握行业热点、发掘创新力量、激发产业活力”为基本内容，深度勾勒互联网行业发展趋势及发力点，对未来互联网的发展有重要预测作用和参考价值，被誉为“中国互联网产业发展风向标”。通过打造高规格、跨领域的行业交流平台，深度链接产业上下游资源，促进政产学研用多方深度融合与协同创新。

中国互联网协会成立于2001年5月25日，由国内从事互联网行业的网络运营商、服务提供商、设备制造商、系统集成商以及科研、教育机构等70多家互联网从业者共同发起成立，是由中国互联网行业及与互联网相关的企事业单位自愿结成的行业性的全国性的非营利性的社会组织，现有会员1000余家。

本文是在2026年1月7日北京第十六届中国互联网产业年会，数据安全产业分会场主题演讲《数据安全产业：从合规迈向增长的新引擎》的演讲内容。

01

数据安全产业从混沌开始

技术理论是理想的，产品实现是骨感的

数据安全产业的发展一直是伴随着网络安全产业的发展而发展。虽然，没有信息技术之前，我们从军事和政治角度考虑保护的信息也很难被流行网络安全领域认为是数据安全保护的最早期体现，但是，现实恰恰是残酷的，从有了人类文明开始，人们创造符号的目的不仅仅是为了记录，同样也是为了让需要的人知道他的意图的方法。“知识”是数据安全对抗的根本。一直以来，数据本身的机密性问题成为数据安全最主要的安全属性。

随着工业革命的发展，信息技术在上世纪七八十年代突飞猛进，成为时代的主流。而计算机安全时代也随着来临，这时候数据安全成为计算机安全中的一个组件，从TCSEC，再到ITSEC最终在CC中尘埃落定，将数据安全定义在数据的机密性、完整性和可用性的一个非常狭义的范围之内。这时候，我们众所周知的产品也孕育而生，文件加密可以算是最早的数据保护产品之一。只不过，文件到底算Data还是Information来定义，其实当年在没有产生大数据概念的前提下的确非常具有争议性。比如在后来的ISMS中，其所定义的保护对象是“信息Information”信息到底是什么？当我们把数据基于大数据理论分为结构化数据、半结构化数据和非结构化数据的时候，我们就会发现。在计算机世界里面，一切产物均由数据构成。用现在流行的宇宙论来讲，整个宇宙都是由无数极其精密的数据组成的链。因此，一直以来，我们是以网络安全之名在保护数据安全，而不同阶段产生的认知，使得我们逐步在认识数据安全工作和数据安全产业发展的现在与未来。

传输安全也是早期最典型的数据保护的产品，虽然表面上它与数据无关，比如：VPN技术、四层SSL/TLS协议等，甚至包括端到端的加密机、网闸等设备，他们从传输层之下有效保障网络通信的数据安全问题。到上世纪90年代末期，随着信息技术的普及和在各个行业领域大规模的推广使用，容灾成为很大大型组织的重要需求，因此，备份技术，尤其是数据备份，除了传统数据库厂商基于DBMS的备份技术之外，更多的组织喜欢选择具有自动化备份和回滚能力的第三方数据备份产品，这为数据安全产业开启了一条新的赛道。由于备份技术受到诸多基础技术的限制，比如：存储模式、传输效率、存储规模、恢复效率、备份数据的完整性校验等诸多问题，数据备份产业走的异常艰辛，包括与数据库的适配、接口开放等等问题；知道21世纪后，各种技术的开源和透明化，将数据备份和容灾带上了更宽广的道路，从本地备份到异地远程、再到云备份等等；甚至还出现了为其他组织提供容灾机房、容灾服务以及托管备份介质的相关服务；

商业秘密的保护要求增强带来数据安全桌面级产品的起点。前面所提到的文件加密作为静态加密存在诸多弊端，比如：加解密密钥的管理、不能对加密后的文件分权限使用等等问题孕育而生了DLP，实际上DLP真正的用例并不是一个纯粹的技术产品。他灵活的文件处理模式和动态的授权模式早期在软件公司和制造业的设计部门曾受到一段时间好评。但是很快，大家发现，DLP在无序的组织管理模式下几乎形同虚设。DLP的权限管理需要对文件（客体）标签和访问者（主体）标签形成对应之后，才能授权。但现实情况下，如果组织没有明确的标签管理，大多数DLP失去了他最优秀的一面，仅仅保留了他不擅长的文件加解密。

实际上，到此为止，我们发现，可能早期还有很多针对数据安全的相关产品，但其基本都是基于某一个具体的目标和任务而建设，并没有形成一种体系化的产业。更多的时候它是寄生在网络安全环境下形成的需求。

02

合规为数据安全产业带来生机

合规不一定解决了安全问题，但合规推动了产业的发展

数据安全产业长期蛰伏于网络安全的阴影之下，即使到了2019年前，早期的数据安全厂商脱胎于网络安全技术的模式，在创新数据安全产品的研发和应用环境。比较成功的比如：去标识化，动态脱敏和静态脱敏；数据库审计产品以及数据库防火墙等；但是，数据安全产品与传统的网络安全产品最大的不同再于，数据安全产品对于业务的影响问题远远大于网络安全产品。从一个理想的状态而言，越接近数据本身，数据安全产品产生的效能越高；但是越接近数据本身，可能产生的业务冲击和影响也就越大；正如同，我们可以把数据脱敏产品部署到数据库前面，但我们不敢轻易把其部署在数据库服务器之上，众所周知，数据脱敏产品越接近数据库，其脱敏效率和脱敏准确度也就越高，但是，谁来解决数据库服务器性能？正如同，当年我们测试Oracle数据库审计系统一样，审计效果最好的就是部署在数据库服务器上，但现实是，第三方产品部署完成之后，开启审计不到30分钟，一个省级规模的核心服务器开始告警。这使得，大多数数据安全产品都开始在边界做文章，同时，受到业务的影响，很多单位仅仅是在满足《信息系统安全等级保护要求》的基础上做象征性部署。并没有作为核心业务保障工作。

应该说《网络安全法》为我国整个网络安全产业带来一针强心剂。其在第十九条提出“国家鼓励开发网络数据安全保护和利用技术，促进公共数据资源开放，推动技术创新和经济社会发展。”从此开始，数据安全专业公司如雨后春笋一般迅速产生并成长；2021年《数据安全法》明确了数据安全与国家安全的重要作用，同时也为数据安全工作提供了一条明确的思路。从此时开始，数据安全产品已经不在是零散的标准化产品，更多的开始基于数据本身的运营开发创新数据安全产品，比如：数据分类分级工具，初始化的数据资产识别工具以及数据安全资产管理平台、数据运行管理平台等定制化产品孕育而生。虽然本阶段数据安全产品的思想还是建立在网络安全基础之上，但是，针对数据本身的安全产业化逐渐形成。传统的数据脱敏、去标识化以及数据审计产品逐步走向成熟。基于隐私计算的数据合成产品和数据保护产品成为一种新的趋势。同年《个人信息保护法》的发布，个人信息保护和敏感个人信息保护成为数据安全产品的新的商业点，敏感数据识别与管理、UEBA技术迅速进入市场。越来越多的数据安全专业公司开始将网络安全技术应用在数据安全产品中，比如：账号管理、零信任的应用尝试将业务与软件安全管理融入数据安全之中，数据安全产业之花开始了百花齐放的局面。

除了传统的数据安全产品之外，数据安全风险评估工作也开始逐步开展起来。以运营商为例，从2022年开始，数据安全风险评估报告成为每年安全检查工作的重点。部分运营商甚至完成了三年数据安全规划的咨询服务。数据安全咨询产业逐渐兴起，数据安全制度建设、数据安全培训教育、数据安全运行管理等工作为数据安全产业提供了新的赛道。

数据安全合规并不代表数据是否安全，但数据安全合规将数据安全责任通过立法的形式明确写在了文件之中，其大大推动了数据安全产业的发展。数据安全工作不再是一个简单的合规问题，而是履行法律赋予其的责任和义务。

03

数字化产业加速数据安全产业发展

数字化的来临才让全世界理解-世界是由数据构成的

为什么说数字化产业加速了数据安全产业的发展。数据驱动了数据要素的发展，数据要素推动了数字经济。作为新的一种资产-数据资产在其形成价值化的前提是不断的在产业链中流通和再生产，从而最大化体现数据的价值使命。这种高速流通和跨产业的数据交互加重了数据安全产品的负担以及部署复杂性。各个组织缺乏标准化的数据格式以及明确的数据接口关系。数据安全组织不仅要解决传统的数据安全问题，还需要协商数据格式、数据接口以及不同数据库系统直接的数据编排和适配工作。跨组织、跨技术领域、跨数据标准的问题挑战者传统安全产业。这些问题带来的挑战成为数据安全组织最大的痛。传统的数据安全公司大多脱胎于网络安全公司，从攻防能力，技术水平本身都不算低甚至还高于一些传统的网络安全公司。但是对于业务的了解却一直困扰着每一个安全公司的神经。

实际上，我从2010年就开始讲业务逻辑漏洞和从内部威胁治理的角度提业务风险治理，大家所熟知的安然事件，催生了塞班斯（SOX）法案，但其本质是业务逻辑问题。那么对于数据安全而言，我们基于数字经济时代必然需要面对业务的复杂性带来的数据安全问题的复杂性。数据安全不仅仅是对抗来自外部的攻击，更多的是我们需要应对无比复杂的内外部访问数据的实体，在不同心态的驱使下从产生的访问行为的识别和分析，这本质上不是技术问题。传统思维是-需求部门提供需求，技术产品基于需求实现控制和策略规则；但是问题产生了，到底是用户提供需求还是厂商提供需求？到底是甲方技术部门提供需求还是业务部门提供需求？这其实是整个行业所产生的问题。如果数据安全厂商提供需求，是基于攻击对抗的需求还是基于业务触发产生的需求？几乎没有一个数据安全厂商会真正深入用户业务去分析问题，这大大阻碍了数据安全产品的成熟度和产业发展的效率。

随着数字化产业的发展，传统数据安全产品的短板越来越明显。定制开发即是解决数据安全产品问题的基本手段，也是乙方一场挥之不去的噩梦-成本！任何商业组织首要目的是盈利，但是当资本失去了盈利的本质结果的时候，资本本身也会丧失行业信心。但是在整个产品体系下，定制开发是成本最高的一种，虽然他最接近用户的真正需求。要想真正降低定制开发成本的一个根本原则就是走进用户。数据业务需要围绕业务逻辑-软件（代码）调用-组件交互（硬件与软件）最后形成人机交互或物物交互（GUI），如果我们能够完整的分析整个数据路径，我们能够对数据整个活动从抽象化概念转化为图和流的思想（具体请看《数据威胁建模》文章），在这种图和流的思想下，我们可以规划、设计产品的功能、环境、变量以及控制要求和返回结果。而这个过程不是在项目建设完成之后开始的，而是从业务开端就应该介入其中，这就是我们一直所提的“数据安全三同步”这也就意味着未来数据安全产业应该以顾问服务作为前置，以产品服务作为基础，以咨询服务贯穿整个组织业务，而不是单纯的产品化业务关系。

04

为可信数字经济构建数据安全产业

可信是将业务与安全相互融合的重要桥梁

可信数据空间已经耳熟能详，国家《可信数据空间发展行动计划（2023-2028）》中对可信数据空间的定义是“可信数据空间是基于共识规则，联接多方主体，实现数据资源共享共用的一种数据流通利用基础设施，是数据要素价值共创的应用生态，是支撑构建全国一体化数据市场的重要载体。”一个简单的诠释，首先可信数据空间是一个基础设施，其建设的目的是实现数据流通利用；其次他是一个应用生态，是为数据要素提供支撑的重要载体；第三，可信数据空间未来要承载的是整个数据流通的中心节点的重要职能，其承载这个能力的基本原则是“共识”。因此，未来数据安全产业的技术发展路线应该围绕着这个原则来展开，可信数据空间未来通过数据要素的支撑将逐渐成为整个数字经济可信的基础设施。

我们再来讨论一下“可信”，作为我国可信计算的奠基人之一的沈昌祥院士提出“网络化基础设施、云计算、大数据、工业控制、物联网等新型信息化环境需要安全可信作为基础和发展的前提，必须进行可信度量、识别和控制。采用安全可信系统架构可以确保体系结构可信、资源配置可信、操作行为可信、数据存储可信和策略管理可信，从而达到积极主动防御的目的，”可信作为主动防御的关键技术已经成为现代网络安全领域不可或缺的技术路线。可信的基础是从一个可信的根到一个可信的链，从而在每一个环节下都可以形成可信原子，当任意一个可信原子受到妥协，其他相邻原子应该对不可信变量进行告警-阻断或者抛弃，因此，从可信数据空间的理论而言，我们需要构建一个完整的可信数字经济或数据要素市场。

因此，我们将整个数字经济活动划分为可信数据基础设施，可信业务架构和可信数据架构；作为数据安全专业公司，需要在这三个架构展开工作；

首先，我们需要为用户搭建可信数据基础设施，可信数据模型以及可信数据资产；未来数据安全产品之路不仅是为了实现传统的安全思维，而要能从业务的初始为用户构建主动防御的可信能力，这种能力需要去分析用户在推动整个数字经济或数据流通过程中所依赖的数据模型是否可信；数据模型可以良好的建立隐私保护和数据情报化的泛滥，不管是隐私计算还是合成数据技术，都为数据模型的可信提供了良好的实例，如何将这些技术应用在模型中成为数据合规的重要保障；数据本身是否可信，其取决于数据来源合法性以及数据质量和数据噪声等问题，筛选数据同样会成为未来组织数据成本的重要财务因素；

其次，构建可信业务。业务的必要性，时效性关系我们对数据样本的数量、频率、模型数量、处理能力等多重因素；这需要更专业的团队为组织建立分析，他涉及到业务知识、IT知识、数据库知识、安全合规知识以及算法专家共同承担；整个可信业务需要围绕可信数据模型展开，针对模型的安全合规性验证和测试成为数据安全团队的重要工作，自动化的验证手段也为数据安全产业提供一种新的活动。

最后，通过可信系统架构实现数据流通和交易。可信系统架构是构建在可信计算的基础之上，基于整个可信链来实现可信数字经济活动。作为数据安全产业而言，需要在整个链条中实现产品化、服务化、顾问化、咨询化的角色，将自己融入一个完整的可信数据经济链条，才能走出现在的数据安全市场迷局。

05

观安数据安全工作框架模型2.0

没有什么是最好的，只有适不适合你，安全没有神话

数据安全之路何去何从，这个问题不仅困扰着乙方，同样也在困扰着甲方的思维。首先应该明确的是和传统网络安全一样，数据安全不是一个单纯的技术问题，不可能存在任何一种产品能够解决数据安全问题的场景，即使是对大家而言，近似神话的人工智能，在数据安全领域中也存在诸多的弊端。

观安信息在2025年推出了第一版数据安全工作路线图。由于诸多原因，并没有将该版本对外推荐。1.0围绕着传统的数据安全思路，以“安全”为中心，围绕数据开展数据资产安全管理、数据安全运营管理、数据安全风险管理以及数据安全合规性管理要求等，从本质上抛弃了数据安全的本质问题-以业务为主线，以数据全生命周期活动为核心，以行业场景为上下文，开发了数据安全工作路线图2.0.

路线图首先明确管理职能和管理体系的运行，这是整个管理的基础。通过合适的组织架构和管理制度开展数据安全工作是必由之路。但是，路线图更强调，数据安全管理部门到底应该由哪个部门负责。《工业和信息化领域数据安全管理办法（试行）》（2023年1月1日起施行）第13条规定：“工业和信息化领域数据处理者应当对数据处理活动负安全主体责任，对各类数据实行分级防护，不同级别数据同时被处理且难以分别采取保护措施的，应当按照其中级别最高的要求实施保护，确保数据持续处于有效保护和合法利用的状态。”从“谁管业务，谁管数据，谁管数据安全”的原则而言，数据安全管理主导部门应在业务部门而不是技术部门或者单纯的安全部门；大多数组织的安全部门行政级别过低，导致在实际开展数据安全工作的过程中存在层层阻碍，正是因为部门壁垒的问题，使得良好的数据安全战略不能有效推动和落实。但是数据安全工作不能由某一个部门单独开展和执行，数据安全部门一定是一个组织跨职能部门的聚合体，包括但不限于：业务、技术、安全、合规/审计、法务等各个部门的共同承载下才能真正形成数据安全管理的基础。

制度建设是数据安全管理的标尺，有效的制度并不是停留在纸面，制度的多寡不能成为衡量一个组织管理水平的标志。从ISO的标准而言，制度的建立是针对组织所面临的风险而制定，当组织需要使用制度进行风险约束的时候，组织需要制定响应的制度来应对；同时对于组织开展工作必不可少的制度是不可或缺的，比如：《数据分类分级管理办法》《数据分类分级实施指南》等；制度本身是用来执行的，因此，不仅仅是要制定制度，还应制定对制度的审核要求和准则，为制度的执行保驾护航。

从治理角度而言，我们必须不断的提升人员的技术水平和数据安全企业文化认知。“无知者无畏”，数据安全最大的敌人不是来自外部的恶意人员，而是来自内部的无意的操作人员和具有高权限的内部特权人员；同时不良好的供应关系也是对组织数据安全不可预见的损害。通过法律法规的宣贯，自我防范能力的增强以及具有威慑性管理制度的约束，能够有效的提高员工的数据安全水平和能力，降低内部威胁为组织带来的不可预见的损失，从而在根源上解决数据治理的问题。一个具有高纪律性的组织其付出的技术成本是最低的。

数据安全治理的本质是数据风险治理，有效的风险管理过程能够使我们的工作事半功倍。客观的风险评估是建立数据安全风险管理的基础，组织基于数据处理的全生命周期评估是构成这种基础的基本途径。将ISSE的思想融入风险治理中，对标《网络安全法》中所强调的“同步规划，同步建设和同步使用”实现真正的数据安全的“左移”是完成数据安全风险治理的关键和核心。

数据安全路线图2.0从技术而言，不再刻意强调“数据安全”而是通过数据全生命周期的过程，以IPDRR为安全框架，构建围绕业务活动的数据安全路线。从管理而言，我们必须要具备管理对象，“数据”毋庸置疑的成为其核心管理目标，但是我们知道，数据并不是单一的存活在数字化世界中，数据的价值再于表达业务的活动和过程，因此我们需要围绕业务这个主线来识别数据资产，不符合业务状态的数据我们都可以将其进行标注，声明其可能的风险和问题；业务的表现需要一定的IT/OT组件来实现，比如中所周知的数据库服务器、业务服务器、ICS或者IIoT中的传感器等；我们需要识别的不仅是我们认为的数据，而是业务在执行过程中可能产生的所有数据途径及组件，才能对“数据”本身建立管理和治理。由于现代业务中，数据的外部和内部接口越来越多，数据交互越来月频繁，导致数据在其产生各种调用关系的貌似合理的情况下，被代码无意或恶意的转发、泄露，加大了数据溯源的复杂度。因此围绕客体（业务资产、数据资产以及组件）与主体（管理者、使用者、提供者、合作方、生产者）的关系开展针对数据的基础安全防范，是构成数据安全技术活动的第一步，每一个动作都应该符合业务特征；不应以影响业务效率为代价换取安全的平衡。

数据最终的目的是在支撑业务活动中进行流通，这个过程就是我们所说的数据运行管理活动。从传统安全的思维而言，我们必须要有活动，才能针对活动开展安全管理；而活动本身有预设的和意外产生的，活动体现的是全生命周期的过程；因此，从数据运营管理路线而言，同样可以将IPDRR的思想应用在数据运行过程中的每个流程；通过管理活动与技术手段的融合为数据流通的每一个阶段制定相应的安全应对手段；由于行业领域及场景要求不同，在这个环境中很难通过一种标准化的数据安全产品来实现，数据运行的规则更多的是建立在业务角度基础之上，因此，本领域的核心是能够通过业务语言来表达规则，而不是技术语言来设计规则，规则的提出者应该是业务部门，因此，行业知识库和能否通过自然语言模型为业务部门打通技术瓶颈成为关键。

当我们把数据的安全问题融合在数据自身的环境中后，我们突然发现，真正需要面对的安全问题大大压缩了。从专业的安全管理而言，主动的安全是基于威胁建模和威胁情报构成的综合数据安全分析和对抗能力；而这种能力是针对数据资产管理过程和数据运行管理过程中所产生的各种异常和问题所产生的结果；这里所包含的数据安全管理不仅仅是针对数据的机密性、完整性和可用性，还需要不断适应数字经济发展下的数据质量、数据可靠性、数据真实性等问题形成分析和对抗。通过传统的人力分析或者SQL的规则分析，显而易见已经不现实。大模型的引入针对特定领域开展人工智能应用，一方面可以有效降低用户的算力成本，另一方面也会不断提高训练数据的精细化，降低数据噪声和训练数据的污染等问题。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：观安信息 樊山 樊山《专家观点｜樊山：《数据安全产业：从合规迈向增长的新引擎》》