綠盟科技：數據安全前沿技術研究報告（49頁）.pdf

1、同態加密(Homomorphic Encryption，HE)概念最早由 Rivest 等人在 1978 年提出 26。它是一種特殊加密算法，其形式化可表述為：假設 A 和 B 是兩個待加密的明文， Enc()是其加密函數，那么它存在以下關系(被稱為數學同態)：Enc( A) Enc(B) = Enc( A B)通俗地講，密文域進行操作相當于在明文域進行 操作( 和 是兩種特定的數學運算)這種性質使得密文域進行數據處理、分析與檢索等操作成為可能，同時云計算該技術具有重要的應用價值。下面以簡單例子進行闡述：如圖 4-9 表示，假設在不可信的云環境中，員工 C1 上傳兩個密文數 Enc( A)和

2、Enc(B)，到不可信的云平臺中，員工 C2 提交兩個明文數據進行 的任務，那么公有云平臺翻譯過來的數據執行動作為：密文操作 Enc( A) Enc(B)。由于數據從始至終一直處于加密狀態，那么無論是云服務廠商，還是攻擊者他們都將無法訪問或竊取明文數據，從而保障了云平臺的數據安全。GDPR：如前文 1.2.2 節所述，企業 A 將個人數據委托給企業 B 進行處理，用戶對企業 B 具有限制處理等權利，即用戶提出任何糾正、刪除或者處理限制，企業 A 必須傳達給企業 B，企業 B必須對該用戶請求進行響應(第 19 條);然而，企業對個人進行匿名化處理，得到的匿名數據，可用于統計和研究目的，其不受 G

3、DPR 的約束與限制(GDPR 前言的第 26 段)，也就是說，企業無需對該部分數據履行數據權利請求響應等法規義務(GDPR 豁免權)。網絡安全法：在第 42 條指出個人數據合法共享有兩條途徑： 征求所涉及的用戶同意; 對個人數據進行匿名化處理(達到“經過處理無法識別特定個人且不能復原”效果)，該情況無需征求用戶同意，可直接與第三方企業進行數據共享(第 42 條)。企業不經處理直接將用戶數據對外發布，或直接將數據共享時，一方面客觀隱私泄露風險較高，另一方面觸犯法規風險較大。具體來說，在 GDPR 場景，企業進行數據共享必須在數據采集階段向用戶展示限制第三方處理的設置窗口界面，這增加了原始個人數

4、據與第三方共享的難度;而在網絡安全法場景中，其中一條合規的數據共享途徑是：企業需征求待共享數據所涉及的全部個人信息主體的同意與授權，但這極大具體實施過程中的實施成本，尤其是數據中涉及大量的個人信息主體。那么，如何實現低成本的、安全合規的數據共享與發布，這對于企業來說是一大挑戰。隨著云計算產業的快速發展，數據上云近年來成為趨勢。然而，上云的數據中可能涉及用戶隱私以及其他類型敏感數據，隱私與數據泄露風險日益增多。特別是在公有云場景中，比如企業A擁有一批數據，它為了降低成本選擇外包給廉價的第三方公有云平臺(企業 B)處理與計算。若處理數據中涉及用戶隱私數據，那么企業 A 和 B 均需承擔法律責任，即滿足合規性。