雷鋒網(wǎng)按：本文由雷鋒網(wǎng)獨(dú)家采訪整理而成，未經(jīng)許可嚴(yán)禁轉(zhuǎn)載！全文分為上下兩篇，上篇《360 首席隱私官談大數(shù)據(jù)與個(gè)人隱私的博弈》，下篇《人工智能時(shí)代的網(wǎng)絡(luò)安全新發(fā)展》

現(xiàn)任奇虎 360 科技有限公司首席隱私官，2013 中國(guó)互聯(lián)網(wǎng)安全大會(huì)主席。 2009 年 7 月加盟北京奇虎科技有限公司擔(dān)任副總裁，負(fù)責(zé)公司網(wǎng)站技術(shù)、技術(shù)運(yùn)維、數(shù)據(jù)分析與挖掘、云查殺、云存儲(chǔ)等業(yè)務(wù)的技術(shù)團(tuán)隊(duì)管理。

1992 年畢業(yè)于西安交通大學(xué)計(jì)算機(jī)科學(xué)與工程系計(jì)算機(jī)應(yīng)用專業(yè)。2003 年 1 月至今先后任 3721 技術(shù)開發(fā)總監(jiān)、雅虎中國(guó)技術(shù)開發(fā)總監(jiān)、雅虎中國(guó) CTO、阿里巴巴-雅虎中國(guó)技術(shù)研發(fā)部總監(jiān)。還曾任 MySpace CTO 兼任 COO。

目前還擔(dān)任 CCF 副秘書長(zhǎng)，YOCSEF 主席，及今年 CNCC 前奏 Tech Frontier & Rockstar 的主席。

以下為編輯整理后的采訪實(shí)錄：

1、首先我們從最近的一個(gè)社會(huì)熱點(diǎn)——電信詐騙說起，在上個(gè)月的國(guó)家網(wǎng)絡(luò)安全周期間（9 月 19 日 - 25 日），360 發(fā)布了《2016 中國(guó)電信詐騙形勢(shì)分析報(bào)告》，360 是如何看待電信詐騙和網(wǎng)絡(luò)安全之間的內(nèi)在聯(lián)系的？

首先，比如徐玉玉事件，詐騙團(tuán)伙實(shí)際上提前已經(jīng)掌握了她的基本信息，這種信息的獲取實(shí)際上很多是從網(wǎng)絡(luò)渠道獲得的。雖然最后是通過電話、短信發(fā)起詐騙，但網(wǎng)絡(luò)變成了電信詐騙的一個(gè)信息來源。

其次，境外的一些電信詐騙團(tuán)伙很多也是通過網(wǎng)絡(luò)實(shí)施詐騙的，他們?cè)诰惩獾母C點(diǎn)，通過 VOIP 向國(guó)內(nèi)撥打詐騙電話，VOIP 實(shí)際上就是一種利用網(wǎng)絡(luò)進(jìn)行語音通信的方式，可以簡(jiǎn)單的認(rèn)為就是網(wǎng)絡(luò)電話。那么他們通過設(shè)置 VOIP 的網(wǎng)關(guān)，能起到隱藏電話來源的作用，這個(gè)不同于傳統(tǒng)的電信服務(wù)。

最后呢，詐騙組織之間的協(xié)同分工往往也是以互聯(lián)網(wǎng)為平臺(tái)進(jìn)行的，不同的犯罪分子可能分布在不同的地方，通過網(wǎng)絡(luò)來協(xié)同詐騙。

所以，現(xiàn)在互聯(lián)網(wǎng)實(shí)際上變成了實(shí)施詐騙的一個(gè)工具或者渠道。

2、既然互聯(lián)網(wǎng)可能被不法分子利用，那業(yè)界可以采取哪些措施來應(yīng)對(duì)呢？

這個(gè)事情其實(shí)大家都在不同程度地進(jìn)行，據(jù)我所知，包括互聯(lián)網(wǎng)公司、運(yùn)營(yíng)商、金融服務(wù)業(yè)、公安等是有協(xié)同合作的，但協(xié)同的程度肯定還需要提高，最近中央也很重視這個(gè)問題，公安也投入了更多的力量，協(xié)同的力量在加大、效率在提高，這對(duì)預(yù)防此類案件應(yīng)該會(huì)有比較大的幫助。

3、就目前做到的程度而言，未來還有多久的路要走呢？

這個(gè)問題很難量化地來分析，可能 80% 的問題很快就能解決，但是要徹底解決最后的 20%，往往要花費(fèi)成倍的時(shí)間和精力。

但是，根據(jù)我后來了解的情況來看，我是持比較樂觀的態(tài)度，我相信電信詐騙頻發(fā)的勢(shì)頭會(huì)很快被遏制住。

4、我們知道 360 手機(jī)衛(wèi)士綜合多種技術(shù)手段全面提升了風(fēng)險(xiǎn)電話提醒機(jī)制，上線了可疑電話提醒功能，360 搜索也獨(dú)家提供了電信詐騙查詢功能，大家很好奇這些應(yīng)用的背后都用到了哪些技術(shù)呢？

第一個(gè)，我們可以認(rèn)為是“眾包”的方式。源自 360 本身的終端應(yīng)用的大量安裝，用戶可以反饋信息。比如，用戶接到疑似詐騙的電話，在掛機(jī)后可能直接在我們的應(yīng)用里進(jìn)行了標(biāo)注，那其他的用戶在接到同個(gè)號(hào)碼的時(shí)候就會(huì)獲得相關(guān)的提醒。

第二個(gè)，我們可以利用大數(shù)據(jù)分析來判斷。以短信為例，普通用戶一般情況下不會(huì)把相同銀行賬號(hào)大面積群發(fā)，而詐騙短信往往是使用廣發(fā)網(wǎng)，所以我們可以根據(jù)發(fā)送數(shù)目來進(jìn)行分析；短信的內(nèi)容中是否嵌入了短鏈接或者網(wǎng)頁，通過這些特征我們也可以判斷是否可能是詐騙短信；另外，我們還能分析短信中鏈接跳轉(zhuǎn)的網(wǎng)頁是否是假冒的，比如工商銀行的域名和 IP 地址都是確定的，如果突然跳轉(zhuǎn)到一個(gè)北美的域名，但外觀和工商銀行官網(wǎng)非常類似，那么我們就能斷定這是一個(gè)詐騙網(wǎng)站。

5、您剛剛也提到 360 通過免費(fèi)的安全服務(wù)積累了大量終端用戶，終端客戶源源不斷向云端傳送數(shù)據(jù)，你們是如何利用的呢？

那么第一類是銀行賬號(hào)之類的數(shù)據(jù)，我們和銀行也有合作，如果詐騙信息中出現(xiàn)該賬號(hào)，我們會(huì)提交給銀行，由他們進(jìn)行特殊處理，防止用戶的財(cái)產(chǎn)受到損失。

第二類主要是短鏈接數(shù)據(jù)。比方說，用戶接到的短信中包含一個(gè)短鏈接，點(diǎn)開之后是下載一個(gè) APK，這極有可能就是一個(gè)木馬。那么我們?cè)倌玫竭@個(gè)短鏈接以后會(huì)遵循只是下載這個(gè) APK，然后通過機(jī)器程序自動(dòng)分析這個(gè) APK 文件是否確定為木馬病毒，如果是的話我們就會(huì)對(duì)應(yīng)地提醒用戶，并且今后其他用戶在收到相同短鏈接時(shí)都會(huì)收到提醒。我們都知道，如果木馬真的進(jìn)入了用戶手機(jī)，后果是很嚴(yán)重的，無論是通訊錄還是其他信息都會(huì)一覽無遺。甚至可以盜取用戶的信息后，以用戶的名義進(jìn)行詐騙等等。如果我們能自動(dòng)識(shí)別出木馬，并阻止木馬程序的運(yùn)行，這對(duì)用戶是有很大幫助的。

第三類就是用戶主機(jī)號(hào)碼，如果用戶接到了詐騙電話并且標(biāo)記了相關(guān)號(hào)碼，我們就會(huì)對(duì)這些標(biāo)記的數(shù)據(jù)進(jìn)行大數(shù)據(jù)分析，以后其他用戶再接到同一主機(jī)號(hào)碼就會(huì)收到提示。

6、大數(shù)據(jù)和分享經(jīng)濟(jì)給我們帶來了很多機(jī)遇，但這也是把“雙刃劍”，個(gè)人信息安全受到的挑戰(zhàn)越來愈多。有人說，這是大數(shù)據(jù)和個(gè)人隱私之間的博弈，您作為奇虎 360 的首席隱私官是怎么看待這個(gè)問題的呢？

這個(gè)問題主要從兩方面來談。

第一個(gè)方面來說，大數(shù)據(jù)和分享經(jīng)濟(jì)使人們的生活變得更加便利，給人們提供的個(gè)性化服務(wù)會(huì)更加貼心。但弊端就是你的個(gè)人信息可能會(huì)被使用，甚至基于大數(shù)據(jù)的分析還能預(yù)測(cè)出你下一步會(huì)做什么。我沒記錯(cuò)的話 Gartner 出過一個(gè)報(bào)告，里面提到 2017 年會(huì)有 80% 的用戶愿意用自己的個(gè)人信息來換取更加便宜、更加便捷的服務(wù)。我認(rèn)為這是人性使然，當(dāng)人們能獲得某些便利時(shí)，他們可能會(huì)主動(dòng)地出讓自己的一些信息。所以當(dāng)大數(shù)據(jù)給人們帶來一些好處，使他們獲得更好的體驗(yàn)，更便宜的服務(wù)，人往往是很難拒絕的。

第二個(gè)方面呢，如果信息被泄露、被惡意利用，會(huì)造成的危害也非常大，人就會(huì)像生活在一個(gè)玻璃盒子里面。這似乎是這個(gè)社會(huì)的演進(jìn)過程中不得不面對(duì)的一個(gè)問題，它的解也不是一個(gè)簡(jiǎn)單的方式。

所以我認(rèn)為，這二者之間的博弈最后會(huì)達(dá)到一個(gè)平衡點(diǎn)。比如西方經(jīng)常提到隱私權(quán)，國(guó)內(nèi)往往叫做隱私或者隱私信息，這個(gè)說法在我看來不太準(zhǔn)確。“Privacy”，隱私權(quán)，應(yīng)該是一種權(quán)利。也就是說，當(dāng)你希望不為人知地、孤獨(dú)地一個(gè)人生活的時(shí)候，當(dāng)你不想讓別人知道自己信息的時(shí)候，你有選擇的權(quán)利。但現(xiàn)在的社會(huì)中，可能你根本無法選擇，無法達(dá)到，即使你不想，別人也能通過其他途徑知道。比如你的健康狀況，你的收入狀況等等，你不希望別人知道，你能不能做到呢？這個(gè)就是我說的隱私權(quán)，我認(rèn)為這應(yīng)該是讓人有自我選擇的權(quán)利。當(dāng)然也不是強(qiáng)制你必須不為人知地生活，比如那些網(wǎng)紅主播，吃飯、睡覺都要做直播，這種屬于自己放棄了自己的隱私權(quán)，她們就是希望秀給觀眾看。那么這種情況下，我們尊重她們的選擇，而不是強(qiáng)制說她們的信息都不能披露。

最終要解決的這個(gè)問題，首先應(yīng)該是要有法律法規(guī)的保障，頒布了相關(guān)規(guī)定后，再來要求信息服務(wù)商如何做到符合法律法規(guī)。比如說，收集的信息是否和提供的服務(wù)有關(guān)。如果我去吃飯，非要收集婚姻狀況，這就沒有任何意義。如果你登錄的是婚戀網(wǎng)站，了解你的婚姻狀況、收入狀況等等信息就是必要的，因?yàn)樘峁┙o你的服務(wù)需要用到這些信息。再者，在收集用戶信息之前，是否明確地告知用戶了，是否說明信息的用途了。第三點(diǎn)，是否獲得了用戶的許可，如果用戶不愿意提供相關(guān)信息，作為服務(wù)提供商可以選擇拒絕提供相關(guān)服務(wù)，但是不能在用戶未許可的情況下獲取信息。第四點(diǎn)，收集的信息是否被妥善保管，不能隨意地進(jìn)行傳播。第五點(diǎn)，信息的使用是否在約定范圍，如果你給婚戀網(wǎng)站提供了個(gè)人信息，但婚戀網(wǎng)站把信息賣給了廣告公司，這就屬于超出用戶授權(quán)地使用了用戶信息。第六點(diǎn)，出現(xiàn)用戶信息不準(zhǔn)確的情況時(shí)，用戶是否可以修正，這點(diǎn)目前很多地方都做的不好，信息一旦提交，哪怕是錯(cuò)誤信息，之后也沒有可以修改的機(jī)會(huì)了。最后一點(diǎn)，信息如何被銷毀，如何能安全地銷毀。比如說，如果存儲(chǔ)信息的設(shè)備被當(dāng)做二手機(jī)賣了，買主就有可能獲得里面的信息。

7、那么業(yè)內(nèi)現(xiàn)在是如何進(jìn)行銷毀的呢？

如果是很敏感的數(shù)據(jù)，一般會(huì)把磁盤拆下來進(jìn)行消磁。另一種就是采用物理破壞的方法，打孔或者砸碎。

上篇《360 首席隱私官談大數(shù)據(jù)與個(gè)人隱私的博弈》到此結(jié)束，敬請(qǐng)期待下篇《人工智能時(shí)代的網(wǎng)絡(luò)安全新發(fā)展》。

號(hào)外：10 月 19 日，譚曉生老師將參加 2016 中國(guó)計(jì)算機(jī)大會(huì)的安全分論壇。我們會(huì)贈(zèng)送價(jià)值 2300 元的非 CCF 會(huì)員票，憑此票可以參加 19 - 22 日包括譚老師在內(nèi)的 16 位嘉賓精彩的特邀報(bào)告、30 個(gè)論壇及 50 場(chǎng)活動(dòng)（除晚宴外）。報(bào)名請(qǐng)掃描下面的二維碼在公眾號(hào)后臺(tái)發(fā)送“CNCC”報(bào)名，我們會(huì)每天從報(bào)名者中選出一名送出門票~~

想?yún)⒓拥男』锇橐部梢渣c(diǎn)擊 CNCC 大會(huì)報(bào)名鏈接進(jìn)行報(bào)名喲~~

推薦閱讀：

CNCC 人物專訪 譚曉生（下）| 人工智能時(shí)代的網(wǎng)絡(luò)安全新發(fā)展 

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。