Observation WAIC : L'informatique confidentielle accélère sa mise en œuvre dans l'industrie et un nouveau système de normes techniques est sur le point d'émerger.

Ces dernières années, on parle de grands modèles. Surtout sous la direction de Scaling Law, les gens espèrent utiliser des données à plus grande échelle pour la formation afin d'améliorer infiniment le niveau d'intelligence du modèle. En Chine, en tant que facteur de production aux côtés de la terre, du travail, du capital et de la technologie, la valeur des « données » est de plus en plus valorisée. Ces dernières années, le rythme de la construction d'éléments de données chinois orientés vers le marché s'est considérablement accéléré. La clé pour que les « données » prennent toute leur valeur réside dans la circulation et la réutilisation des données entre différents sujets et dans différents scénarios. Les éléments de données sont fondamentalement différents des éléments de production traditionnels. La valeur des données est double. Plus la valeur commerciale est élevée, plus le coût du risque est élevé. La création d'un environnement fiable pour la circulation des données est le support sous-jacent pour libérer pleinement la valeur des éléments de données.

Dans ce contexte, la valeur de la technologie informatique privée est progressivement devenue importante et est devenue le centre d'attention du monde universitaire et de l'industrie. Depuis la naissance de son concept, l’informatique confidentielle a passé près de 40 ans, passant d’une théorie de pointe aux applications industrielles. Cependant, pour que l'informatique confidentielle puisse devenir la « technologie fondamentale » du marché de la circulation des éléments de données, il reste encore une série d'obstacles à surmonter.
Le flux de données sous une forme dense deviendra une tendance future, et la technologie informatique traditionnelle de confidentialité ne peut plus répondre aux exigences de la nouvelle situation. D'une part, l'informatique traditionnelle de confidentialité se concentre principalement sur la sécurité informatique dans des scénarios de coopération multipartites, manque d'une perspective de sécurité holistique et ne peut pas faire face aux risques supplémentaires apportés par l'introduction de nouveaux scénarios et rôles dans le processus de circulation des données à grande échelle ( tels que les risques liés aux opérateurs, le risque de traitement). Deuxièmement, il est nécessaire d'adopter des solutions techniques de sécurité différentes pour les données avec différents niveaux de sécurité afin de minimiser le coût de mise en œuvre de l'informatique confidentielle. Il est donc particulièrement important de promouvoir la normalisation de l'industrie.
Lors de la Conférence mondiale sur l'intelligence artificielle 2024, l'industrie, le monde universitaire et la recherche ont apporté de nouvelles explorations et pratiques. Le 5 juillet, un certain nombre d'institutions de recherche, d'universités et d'industries nationales ont publié conjointement deux livres blancs axés sur la « Classification générale de sécurité des produits informatiques de confidentialité » et le « Système d'anonymisation des informations personnelles » afin de fournir la dernière technologie pour les défis actuellement rencontrés par les données. réflexion sur l'industrie de la circulation des éléments et pratique de l'industrie.
De quel type de système standard de technologie informatique de confidentialité avons-nous besoin ?
L'informatique de confidentialité est une technologie interdisciplinaire complète qui intègre des connaissances dans de nombreux domaines tels que la cryptographie, l'intelligence artificielle et le matériel informatique. Elle a actuellement formé des voies techniques telles que l'informatique sécurisée multipartite, l'apprentissage fédéré et les environnements d'exécution fiables.
Promouvoir la circulation fiable des éléments de données nécessite la coopération de la recherche et du développement technologique et de l'établissement de normes. Dans diverses directions de la technologie informatique de la confidentialité, il reste encore beaucoup de travail de normalisation à accomplir. L'industrie, le monde universitaire et les cercles de recherche estiment généralement que les trois directions du « contrôle des données inter-domaines », de « l'anonymisation contrôlée » et de « l'universel » classification de sécurité» méritent attention.
Le but du contrôle des données inter-domaines est de garantir que les données ne seront pas consultées ou altérées par des entités non autorisées pendant le processus de partage et de flux de données, tout en respectant les lois, réglementations et politiques de confidentialité en vigueur. En tant que nouveau facteur de production, la clé de la valeur des données réside dans la circulation et la réutilisation des données par différentes entités et dans différents scénarios. Cependant, ce processus souffre souvent « d'entités responsables peu claires, d'exigences d'intérêts incohérentes, de capacités inégales et de difficultés ». pour tracer les liens de responsabilité." risques de.
L'anonymisation contrôlée est généralement utilisée pour garantir que les informations personnelles ne seront pas révélées lorsque les données sont utilisées et analysées, tout en préservant l'utilité et l'exactitude des données. La « loi sur la cybersécurité » et la « loi sur la protection des informations personnelles » de mon pays établissent spécifiquement des « clauses d'anonymisation des informations personnelles » pour exclure les données personnelles anonymisées de la protection des informations personnelles, mais la connotation juridique et les normes de mise en œuvre doivent encore être clarifiées. En fait, l’existence de clauses d’anonymisation des informations personnelles est devenue l’un des principaux goulots d’étranglement dans le flux des transactions de données et dans la construction du marché des éléments de données.
De plus, dans le domaine de l'informatique confidentielle, la classification de sécurité universelle peut aider à déterminer les mesures de protection les plus appropriées pour divers produits, allouant ainsi de manière rationnelle les ressources de sécurité et garantissant que les données sensibles sont correctement protégées. Actuellement, bien qu'il existe certaines normes de classification de sécurité pour une seule voie technologique, les normes de classification pour différentes voies technologiques sont totalement incohérentes. Les utilisateurs ne peuvent pas faire de comparaisons horizontales de tous les produits, et ces normes ne sont pas applicables aux voies technologiques émergentes.
Grâce à la coopération approfondie entre l'industrie, le monde universitaire et la recherche, nous avons déjà constaté des progrès.
De nombreuses industries nationales, universités et instituts de recherche sont parvenus à un consensus lors de cette conférence
Concernant la question de la « gestion et du contrôle des données inter-domaines », nous pouvons trouver la réponse dans un livre blanc publié fin 2023.
Fin 2023, le Centre de recherche sur le droit des données de l'Université de science politique et de droit de Chine orientale et Ant Group ont pris l'initiative de publier le « Livre blanc sur la gestion et le contrôle des données inter-domaines », qui pour la première fois expliquait systématiquement les lignes directrices et stratégies pratiques pour la gestion et le contrôle des données inter-domaines, et a proposé l'utilisation de moyens techniques tels que l'informatique dense pour gérer et contrôler efficacement les risques de circulation et d'utilisation des données.
Le livre blanc forme une trinité de solutions de gestion et de contrôle des données inter-domaines aux niveaux technique, juridique et de gestion, y compris des mécanismes de gouvernance des données tels que la désensibilisation et le chiffrement préalable des données, des mécanismes de contrôle des processus tels que la définition du périmètre d'utilisation en fonction de scénarios. et les niveaux de sécurité pendant le processus, ainsi que les mécanismes de gestion et de contrôle des données après coup.
Parallèlement, le livre blanc propose également cinq exigences techniques de gestion et de contrôle adaptées aux risques de circulation des données : sources de données confirmables, données disponibles mais non visibles, données calculables mais non identifiables, L'utilisation des données peut être définie et la circulation des données peut être retracée, et fournit des conseils sur la manière de les clarifier. Une solution réalisable pour les responsabilités de chaque sujet dans la circulation des données aidera à construire une architecture de référence fiable pour la circulation des données en Chine.
Concernant les deux propositions d'« anonymisation contrôlée » et de « classification de sécurité universelle », nous avons également vu le dernier consensus entre le monde universitaire et l'industrie lors de la récente conférence WAIC :
Lors de la Conférence mondiale sur l'intelligence artificielle 2024, de nombreux industriels, universitaires et instituts de recherche nationaux Les agences ont publié conjointement deux livres blancs, « Classification générale de sécurité des produits informatiques de confidentialité » et « Système d'anonymisation des informations personnelles : technologie et droit ».
La classification de sécurité dans l'informatique confidentielle a toujours rencontré de nombreuses difficultés.À en juger par l'expérience de la pratique industrielle, les produits informatiques de confidentialité avec différentes voies techniques, différentes formes de produits et différents scénarios d'application sont confrontés à d'énormes différences en termes de risques de fuite de données confidentielles et d'exigences de sécurité. En l'absence de normes de classification de sécurité unifiées, le développement de produits est difficile. permettant aux parties et aux utilisateurs d'évaluer et de mesurer l'équilibre entre sécurité et performances.
Luo Feng, directeur technique du Centre national d'évaluation des technologies financières de Shenzhen, a déclaré un jour que l'application de la technologie informatique de confidentialité dans le secteur financier est relativement avancée, mais qu'il existe encore des défis techniques et commerciaux dans la mise en œuvre à grande échelle. Les voies de l’informatique confidentielle sont diverses et différents scénarios d’application nécessitent différents équilibres entre sécurité et performances. À en juger par les évaluations et les normes existantes, il est difficile d'évaluer la différence entre la sécurité globale et les performances d'un produit avant la classification de sécurité. Le phénomène des « îlots technologiques » existe objectivement. L'incapacité des technologies à s'interconnecter et à interopérer peut conduire à des différences dans la sélection des produits entre les différentes institutions financières. En outre, les bénéfices attendus sont difficiles à estimer et les coûts d’investissement sont élevés, ce qui fait que de nombreuses petites et moyennes institutions financières hésitent à promouvoir des applications informatiques confidentielles.
Un système universel de classification de sécurité pouvant être appliqué à des itinéraires plus techniques et comportant des conseils pratiques est indispensable pour la mise en œuvre à grande échelle de l’informatique confidentielle.
Sur la base de la situation ci-dessus, 16 institutions nationales, dont Ant Group, le comité de promotion des normes technologiques Big Data de la China Communications Standards Association, le centre national d'évaluation des technologies financières de Shenzhen, l'université Tsinghua et d'autres institutions, ont rédigé conjointement le livre blanc « Classification générale de sécurité des produits informatiques de confidentialité. ". Il convient de mentionner que les membres du groupe directeur de rédaction comprennent Wang Xiaoyun, académicien de l'Académie chinoise des sciences et membre de l'Association internationale de cryptozoologie, et des universitaires faisant autorité tels que Ren Kui, doyen de l'École d'informatique et de technologie. de l'Université du Zhejiang et directeur adjoint du National Key Laboratory of Blockchain and Data Security.

Dans ce livre blanc, l'industrie, le monde universitaire et la recherche discutent une par une des nombreuses difficultés rencontrées par la classification de la sécurité informatique de la confidentialité et proposent des idées de conception pour une classification de sécurité universelle. Par exemple, nous pouvons masquer les différences entre les différentes voies techniques selon la classification des effets d'attaque et de défense, ajouter un niveau progressif de « résistance aux attaques connues » entre « prouvablement sûr » et « dangereux », et introduire davantage de dimensions telles que les logiciels. crédibilité pour quantifier la « mise en œuvre de la sécurité », clarifier la relation correspondante entre tous les types de caractéristiques techniques et la classification de sécurité.
Shi Xinlei, ingénieur en algorithmes de l'équipe informatique de confidentialité de la Banque de Chine, a déclaré un jour qu'en raison de l'influence des données des participants, différents scénarios de demande ont des exigences de sécurité différentes. Grâce à la notation, nous pouvons fournir un niveau de sécurité approprié à l'entreprise et l'atteindre. un équilibre entre performances et sécurité. Il peut également allouer des ressources informatiques raisonnables pour contrôler les coûts. Deuxièmement, le degré de risque peut être rapidement identifié grâce à la classification de sécurité. Différents niveaux de sécurité peuvent prendre des niveaux correspondants de mesures de contrôle réglementaires pour réduire les risques de sécurité. Des normes et systèmes de notation raisonnables d'évaluation de la sécurité des produits informatiques de confidentialité peuvent aider à mieux comprendre et évaluer la sécurité des produits, à créer un mécanisme de confiance pour la circulation des données et à promouvoir les normes de l'industrie.
Comment réaliser le développement de la valeur des données sur la base de la protection de la vie privée est un autre défi épineux auquel l'industrie est confrontée. Les données personnelles sont les données ayant la valeur d'utilisation la plus élevée, les scénarios d'utilisation les plus diversifiés et les mesures de traitement les plus matures. Comment réaliser le développement de la valeur des données sur la base de la protection de la vie privée et promouvoir la réalisation d'un partage de données fiable et sécurisé entre. différentes industries et différentes institutions. L'ouverture et le commerce sont les directions d'exploration communes de l'industrie, du monde universitaire et de la recherche.
Parmi eux, la technologie d’anonymisation est un moyen important et efficace de protéger la confidentialité des données personnelles. Dans le processus de planification et de construction de l'infrastructure de données de mon pays, la technologie de traitement et les spécifications institutionnelles liées à l'anonymisation des informations personnelles ont également été placées dans une position importante. Du point de vue de la mise en œuvre industrielle, la clé pour promouvoir de manière collaborative la solution de ce problème réside dans la construction et l’expansion d’un ensemble d’infrastructures intégrant le droit et la technologie.
À cette fin, sur la base des orientations des « Clauses d'anonymisation des informations personnelles » définies dans la « Loi sur la cybersécurité » et la « Loi sur la protection des informations personnelles », l'Université de commerce et d'économie internationales, le Comité de promotion des normes technologiques Big Data et Ant Group a rédigé conjointement le livre blanc « Clause d'anonymisation des informations personnelles » : technologie et droit (2024) ».

Système d'anonymisation des informations personnelles

1. Dilemmes et défis

• Les entreprises craignent que les mesures d'anonymisation ne soient inefficaces parce qu'elles ne peuvent pas répondre aux exigences légales ou qu'elles perdent leur valeur d'usage.
• Les régulateurs craignent que l’anonymisation ne devienne un outil permettant de contourner la réglementation.
• Les utilisateurs craignent que l'anonymisation soit une fausse promesse.

2. Chemin de l'infrastructure de données

• Passage au chemin composite « infrastructure de données ».
• L'infrastructure de données est l'infrastructure du marché des éléments de données.
• Les termes d'anonymisation sont étendus à une infrastructure qui intègre le droit et la technologie.

3. "anonymat présumé au préalable" et "anonymat déterminé a posteriori"

• L'« anonymat présumé » préalable est obtenu grâce à des solutions technologiques d'anonymisation.
• « L'anonymat du jugement » après coup s'obtient en expliquant la loi et en perfectionnant les responsabilités.

4. Mesures d'anonymisation contrôlées

• Pseudonymisation, utilisée uniquement dans les espaces contrôlés.
• Les informations d'attribut ne sont utilisées que dans les espaces contrôlés et ne seront pas associées aux données d'espace ouvert.

Des normes techniques à la mise en œuvre à grande échelle

1. Élaborer des normes

• Réduire la difficulté et les coûts d'entreprise liés à la mise en œuvre à grande échelle de nouvelles technologies.

2. Construire un système de normes d'exigences techniques et de méthodes techniques

• La circulation des éléments de données nécessite de toute urgence la construction d'un nouveau système de normes techniques.

3. Coopération sociale

• pour construire conjointement un nouveau système de normes techniques.

  

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!