數據要素安全防護技術應用及產業化趨勢

從政府側、供給側、需求側、專業機構等角度出發，聚焦創新和市場雙驅動、供給和需求互促進、治理和發展兩手抓等思路，加大技術研究及應用示范支持力度，分類推進數據安全技術產品的服務創新，強化數據安全防護和數據開發利用，做專做強數據安全檢測評估工作。

數據要素的“安全”屬性和“價值”屬性進一步凸顯，數據安全需求釋放加速，數據安全技術發展總體勢頭向好，應用前景樂觀。展望未來，API安全防護、數據庫防勒索、后量子密碼、全同態加密等數據安全保護技術將提速發展，以隱私計算為代表的數據開發利用支撐技術商業化部署加快，交叉融合型、輕量型、SaaS化的技術模式創新將為數據安全開辟更大市場空間。

技術發展趨勢

API安全防護技術將成為數據安全能力提升新主力

當前，因API安全風險導致的數據安全形勢嚴峻，API安全防護迫在眉睫。數據顯示，94%受訪者經歷過API安全問題，61%數據要素的“安全”屬性和“價值”屬性進一步凸顯，數據安全需求釋放加速，數據安全技術發展總體勢頭向好，應用前景樂觀。展望未來，API安全防護、數據庫防勒索、后量子密碼、全同態加密等數據安全保護技術將提速發展，以隱私計算為代表的數據開發利用支撐技術商業化部署加快，交叉融合型、輕量型、SaaS化的技術模式創新將為數據安全開辟更大市場空間。受訪者缺乏有效API安全策略，82%受訪者認為傳統安全工具不足以應對當前API攻擊。美國安全廠商SOCRadar發布的2022年度數據泄露事件TOP10中，Twitter和Optus（澳大利亞第二大電信公司）因API漏洞導致的數據泄漏事件赫然在列。VMware發布的《2022年全球事件威脅響應報告》顯示，API攻擊的主要類型包括數據泄露（42%）、SQL注入（37%）和API注入（34%）。此外，基于API的自動化攻擊加劇，且攻擊場景多樣化，APP、小程序亦是重災區。

展望未來，數據安全能力建設版圖中，API安全防護將成為主要建設內容之一。首先，API應用廣泛、規模巨大。據美國CDN服務商Akamai統計，API請求已占所有應用請求83%，預計2024年API請求命中數將達42萬億次；國際市場研究機構Adroit報告稱，到2028年，API安全市場總規模將超65億美元。其次，數據流通的業務邏輯主要通過API實現，API成數據安全攻擊主要媒介。2023年初，近20家知名汽車制造商在線服務API數據泄露漏洞被披露。Gartner也曾預測，到2024年API安全問題引起的數據泄露風險將翻倍。最后，業界API安全布局加速。Gartner報告稱，不少企業已啟動API安全防護計劃，并指出API安全測試和API威脅防護技術處在高速成長期，預計2~5年進入成熟期。

針對數據庫的防勒索病毒技術將引發更多關注

近年來，勒索病毒猖獗，針對數據庫的勒索攻擊呈增長趨勢。一是受勒索病毒攻擊的數據庫種類多。MySQL、SQL Server、Oracle等數據庫是重災區，MongoDB、CouchDB、Cassandra等開源數據庫也未幸免。二是勒索病毒對數據的惡意加密范圍拓展。2022年，SQL Server數據庫遭Bluesky勒索病毒攻擊，除受害者重要數據被全文加密外，局域網中其他終端共享的資源也被加密；勒索軟件SamSam和Ryuk的新變種可加密受害者備份數據。三是勒索病毒引發的數據安全威脅巨大。2022年，美國加州財政部遭LockBit勒索軟件入侵，75.3GB機密數據失竊。

展望未來，全球防勒索軟件攻擊任重道遠，針對數據庫的防勒索病毒技術將被廣泛關注。首先，“勒索病毒”和“數據安全”均是業界關注重點。勒索病毒肆虐全球，已引發全世界普遍關注。數據安全逐漸成為各國國家安全的重要組成部分，數據庫是“攻防”兩方主戰場之一，針對數據庫的勒索攻擊將有增無減。其次，主動防勒索病毒技術研究及應用刻不容緩。針對數據庫的勒索軟件可在數據庫內部實施加密，且云數據庫甚至數據備份系統亦可能遭受攻擊，意味著惡意加密行為的發現更具挑戰。而Gartner預測，到2025年，75%的企業將面臨一次或多次勒索攻擊，且據美國安全公司Resecurity報告，十年內，全球勒索軟件造成的潛在總損失將超過自然災害。

可信執行環境（TEE）將強勢賦能數據安全硬件方案

2022年，TEE技術作為隱私計算主流技術之一備受關注。國際標準化組織Global Platform發布《TEE內部機制的加密建議》和《TEE系統架構v1.3》；iDASH2022國際隱私計算大賽要求TEE應為機密計算賽道必選項；螞蟻集團歷經4年正式發布其主導開源的TEE操作系統Occlum1.0，其自研的國內首個金融級信創TEE系統HyperEnclave1.0也通過了國家級金融科技產品認證。此外，微軟的開源項目Open Enclave SDK可提供統一的TEE抽象接口，屏蔽不同TEE硬件平臺的接口差異；Google的TEE操作系統Trusty已支持在移動設備上運行。

展望未來，數據要素流通和交易需求暴增，TEE將從硬件層面助力安全可信數據基礎設施建設。一是數據要素市場化配置進程加速，數據安全防護下沉，需求側對基于可信硬件的數據安全產品表現出更大興趣，基于硬件的數據安全解決方案成為新競爭力。二是TEE作為隱私計算主流技術將從底層持續發力數據安全。國內外TEE發展勢頭強勁，阿里云、螞蟻集團、百度、華為云、沖量在線、騰訊云等企業入選Gartner2022年TEE代表廠商；GB/T 41388-2022《信息安全技術可信執行環境基本安全規范》發布實施；Global Platform設有專職的TEE委員會，將持續有力推動TEE發展；OP TEE v3.20.0由國際開源社區項目Trusted Firmware于2023年初再次更新發布。

后量子密碼（PQC）算法設計及其標準化將全面提速

2022年，在全球多國的積極布局和推動下，PQC發展成效顯著。美國將PQC納入國家安全備忘錄，并啟動“向后量子密碼遷移”（Migration to Post-Quantum-Cryptography）項目。美國國家標準與技術研究院（NIST）歷經六年面向全球發布首批PQC標準算法，并公布進入第四輪的4個候選算法。歐盟繼PQCRYPTO和SAFCRYPT等PQC項目后，啟動“向后量子密碼轉型”（Transition towards Quantum-Resistant Cryptography）項目，并發布《后量子加密：預測威脅和準備未來》（Post-Quantum Cryptography:Anticipating Threats and Preparing the Future）報告。此外，韓國移動運營商LG Uplus推出全球首個PQC專線服務，北約對基于PQC的VPN進行了通信流測試。

展望未來，隨著全球量子技術的快速發展、數據安全和隱私保護要求的提高，PQC發展將全面提速。首先，量子計算產業化進程加速，量子安全刻不容緩。2023年，第一個歐洲量子計算機網絡將在歐洲多個國家部署，總投資1億歐元；日本計劃對外推出量子計算機產品；IBM將推出1121個量子比特的“禿鷹”（Condor）計算機，并上線新一代量子計算系統Quantum System Two。其次，PQC遷移計劃逐步推進，算法標準化進程提速。歐美等國家和地區前期均已發布PQC發展和遷移計劃，且NIST于2021年發布應對量子技術風險路線圖顯示，2024年將正式發布PQC標準并全面啟動向PQC標準過渡工作，即2023年需基本完成第四輪PQC算法的征集和遴選。最后，PQC資金投入加大，各方主體情緒高漲。美國耶魯大學等高校和PQSecure等企業于2022年獲國家科學基金會資助，PQC提供商QuSecure獲美聯邦政府量子安全合同，金額或上億美元，微軟、Google、IBM等科技巨頭持續布局PQC。

全同態加密（FHE）技術將從理論研究向應用落地過渡

近年來，FHE理論研究取得重大突破，應用實踐探索逐漸深入。一是FHE研究已進入第四個研究階段，支持浮點數運算、一定能力的批處理和方案間切換，性能方面亦實現質的飛躍，如自舉程序的執行效率（每比特微秒級）較第一階段提升了9個數量級。二是基于不同開發語言和環境的FHE算法庫頻繁推出，HElib、SEAL、OpenFHE等十余個主流開源庫，覆蓋了C/C++、Python、Go、Rust等開發語言，以及Linux、Windows、MacOS等操作系統。三是多個組織或企業開展FHE應用實踐探索，2020年美國國防部啟動FHE硬件加速計劃，Duality、英特爾、微軟等參與其中，IBM、亞馬遜已探索推出基于FHE的云計算新服務。

展望未來，在相關政策和市場的雙重驅動下，有望實現概念驗證到實用工具的轉變。一方面，數據的加密形態延展到計算層面已成趨勢。隨著數據“產權”屬性的進一步凸顯，市場對于數據的加密形態將不再限于存儲和傳輸環節，計算環節的密態需求有望提速釋放，而FHE技術是實現密文域上任意計算的關鍵。另一方面，已初步具備成果應用轉化技術條件。FHE的性能表現已能被部分應用場景所接納，更實用、更全面的開源平臺OpenFHE已于2022年落成，提供更簡單的API、模塊化實現、跨平臺實現和硬件加速器集成，并支持所有主流FHE方案。此外，FHE標準化工作已在有序開展中。

產業化發展趨勢

隱私計算技術將實現重點行業規模化商業應用

近年來，隱私計算需求強烈、技術發展迅速，產業化趨勢明顯。首先，多元市場主體紛紛入局。綜合型IT企業、傳統網絡安全企業、初創企業及云計算、大數據、人工智能等領域的企業紛紛將隱私計算納入產品矩陣，創投機構、產業基金、各類科技公司等資本也爭相入局。其次，全球隱私計算技術成果豐碩。據知識產權服務機構IPRdaily等統計，截至2022年3月8日，全球隱私計算技術發明專利數量已超6500余項。最后，隱私計算市場可期。IDC調研報告顯示，中國隱私計算2021年市場規模突破8.6億元，未來有望實現110%以上的市場增速。

展望未來，隨著數據要素的“價值”屬性進一步凸顯，隱私計算有望在重點行業實現規模化部署應用。一是各行業領域數據開發利用需求激增，數據安全合規趨嚴，以多方安全計算、可信執行環境、聯邦學習等技術為代表的隱私計算技術將為數據的安全、有序開發利用提供關鍵支撐。二是重點行業領域市場需求加速釋放。據調研，銀行、保險、通信、政務等領域的隱私計算的投入和應用探索，較其他領域相對靠前，預計將很快進入加速部署期，且隨著隱私計算供給能力升級，醫療、能源、教育等行業的商業化進程將提速。

交叉融合型數據安全技術將重塑數據安全市場

近年來，新技術新業態不斷涌現并持續演進，同時也面臨更大的數據安全挑戰。首先，云計算、大數據、5G、人工智能等新興技術已滲透至各行業領域，然而利用或針對這些新技術的數據安全威脅成為其商業化應用推廣的必要考量。其次，工業互聯網、車聯網、物聯網、移動互聯網、衛星互聯網等新形態網絡在各國數字化進程中舉足輕重，然而其數據安全治理尚處于探索實踐階段。最后，網約車、外賣、短視頻等平臺經濟推動數據價值創造與提升，但其“自采數據+自治算法”的屬性在激發創新的同時也帶來了信息過度采集、數據濫用與泄露等數據安全問題。

展望未來，新技術新業態和數據安全的交叉融合創新勢不可擋。一方面，新技術賦能數據安全，將激發更大數據安全市場空間。事實上，新形勢必將產生新需求，新技術賦能是滿足新需求的優選，如基于人工智能的數據流轉監測與防護、基于大數據的數據安全態勢感知與分析等。此外，國內已將“布局新興領域融合創新”作為促進數據安全產業發展的舉措之一。另一方面，新技術新業態即新市場。數字新技術、新形態網絡等本身將是數據安全進軍的重點領域，且市場空間巨大。此外，后疫情時代，萬億級“宅經濟”引發的個人信息及隱私安全擔憂不容忽視，如在線購物、看病、教育、辦公等均為數據安全保障對象。

輕量化數據安全技術將進一步得到市場青睞

近年來，“輕量化”的理念逐漸滲透至技術領域，數據安全領域亦不例外。輕量級加密是研究熱點，ISO、NIST等標準化組織以及日本密碼研究與評估委員會CRYPTREC已在輕量級加密算法的標準研制方面持續投入多年，并設有輕量級密碼工作組或輕量級密碼專項。輕量級密鑰、輕量級數字證書、輕量級安全協議等技術隨之出現，區塊大小只有22KB的輕量級區塊鏈協議Mina也應運而生，并于2022年為其開發團隊獲得9200萬美元融資。

展望未來，在數據安全合規驅動下，輕量級數據安全產品和服務將更受特定用戶青睞。一是車聯網、物聯網等數據安全重點保障領域存在大量存儲、傳輸或計算資源受限的設備或場景，同時又要求業務低時延、高性能，常規的數據安全技術和產品將不再適用此類應用場景，輕量級方案成為優勢。二是出于成本、性價比等方面的考慮，輕量級方案成為針對性強、精簡、專業的微服務或中小微企業的更佳選擇，且隨著To C市場規模的暴增，C端數據安全防護將向著輕量化一體化邁進。

數據安全SaaS化技術將打開數據安全服務新局面

近年來，“上云”“用云”成為企業數字化轉型最直接的路徑，產品云化亦成為數據安全服務商進行服務升級的新選擇。國內外多個安全廠商已經布局數據安全產品的SaaS化，如亞馬遜于2020年推出全托管的安全服務Amazon Detective，可通過收集和分析來自多個數據源的數萬億個事件進行有效的安全威脅識別和定位，并于2022年將其覆蓋的數據源擴展至Amazon EKS，亞信安全推出中國首個全云化交付和全網免疫的公有云終端安全SaaS產品——天穹（ImmunityOne），天空衛士推出基于云的數據安全解決方案GatorCloud。

展望未來，數據安全產品的SaaS化將助力數據安全廠商進行服務模式創新。首先，數據安全產品和服務SaaS化的需求加速釋放。2023年1月，工信部等十六部門聯合印發《關于促進數據安全產業發展的指導意見》，明確提出支持數據安全產品云化改造，提升集約化、彈性化服務能力。其次，產品SaaS化將成為數據安全市場新競爭點。美國Veeam公司發布《2023年Veeam數據保護趨勢報告》預測，數據保護方面的云化趨勢明顯。在激烈的市場競爭中，高效、經濟的數據安全彈性服務是數據安全供應商創造服務新優勢的利器。

多措并舉保護數據要素

建議政府側加大新技術研究及應用示范支持力度，強化創新和市場雙驅動

加快出臺《中華人民共和國數據安全法》的配套制度，加大相關政策宣貫，提升政策觸達率、滲透率，推動政策要求向市場需求轉化。研究設立數據安全專項，加強對后量子密碼、全同態加密等前沿領域，以及隱私計算、API安全等關鍵技術的研發與產業化支持力度，加大開放性數據安全科技項目資助力度。布局數據安全硬件方案行動計劃，設計并研發用于隱私計算、全同態加密等數據安全功能的硬件加速器，促進內生數據安全能力建設。各地區立足產業基礎和優勢，加快布局數據安全產業園區和創新應用示范區等創新載體建設，重點行業領域加大數據安全常態化投入，加速推動行業數據安全技術攻關、創新應用、標準研制。

建議供給側分類推進數據安全技術產品和服務創新，高效響應市場多元需求

升級優化敏感數據發現、數據分類分級、數據脫敏等基礎共性數據安全技術，重點提升其智能化水平；加快可信執行環境、多方安全計算、聯邦學習等隱私計算關鍵技術突破和產品研發；加強后量子密碼、全同態加密等前瞻性技術的基礎理論和應用研究。加強面向新技術新業態的先進適用數據安全技術產品研發，推動數據安全賦能新領域；加快與人工智能、大數據、區塊鏈等新興技術的交叉融合創新，推動新技術賦能數據安全。面向重點行業領域、新型應用場景特色需求，開發適用性產品或解決方案；綜合考量企業合規成本及其他隱性成本，推出輕量級、SaaS化數據保護方案；面向To C市場，提供輕量化一體化數據安全防護，并注重數據安全技術產品與基礎軟硬件的適配發展。加強知識產權保護及應用。

建議需求側強化數據安全防護和數據開發利用，做到治理和發展兩手抓

堅持“三同步”原則，將數據安全技術措施前置；加大投入，及時開展對已有數據安全措施的梳理和改造升級；關注基礎軟硬件數據安全，及數據安全能力硬件實現，將數據安全防護對象和手段下沉。建立內部數據安全評估和審計機制，定期開展數據安全風險評估活動；建立常態化數據安全風險監測預警機制，加強面向API攻擊、數據庫勒索攻擊等方面的主動檢測和響應能力部署。加強數據開發利用，推動數據以“產品”的形式釋放價值，并積極部署應用安全多方計算、可信執行環境聯邦學習、同態加密等數據開發利用支撐技術。加強與供給側的互動反饋，推動高水平供給滿足新建設需求；善用軟/硬件物料清單（BOM）等管理工具，加強數據安全供應鏈風險管理。

建議專業機構做專做強數據安全檢測、評估工作，助力產業高質量發展

積極開展數據安全檢測、評估相關標準、規范文件研制，以及測試用例設計、評估作業指導書等研發，推動數據安全檢測、評估規范化。面向數據安全產品，開展功能、性能、安全、兼容性、可靠性、可拓展性等方面的能力驗證，推動營造良好的市場競爭和推廣環境。面向服務提供方，分類開展數據安全應急響應、風險評估、集成、咨詢、培訓等方面的服務能力評估工作，提升被評估方的服務能力認可度。面向能力建設方，結合其所在行業領域出臺的政策要求和標準規范，開展數據安全能力建設水平的評估工作，即數據安全風險評估工作，協助建設方及時發現問題并采取相應措施。