九游老哥云
RSA 立异沙盒盘货| Securiti.ai——解决隐私合规痛点的一站式自动化计划
2020-02-22
2020年2月24日-28日 ，网络清静行业盛会RSA Conference将在旧金山拉开帷幕。在RSAC官方宣布入选今年立异沙盒十强首创公司中 ，九游老哥君已经为各人先容过了Elevate Security 、Sqreen、AppOmni、Tala Security、ForAllSecure、INKY、BluBracket、Vulcan Cyber八家厂商 ，今天为各人先容的是：Securiti.ai。
一、公司先容
Securiti.ai建设于2018年11月 ，总部位于美国加利福尼亚州的硅谷地区。目今融资总额抵达8100万美元 ，最近一次是由General Catalyst领投 ，Mayfield加入的5000万美元B轮融资。其首创人兼CEO是Rehan Jalil ，拥有富厚的网络清静从事履历和治理配景 ，先后在Elastica和Bluecoat担当CEO ，后在赛门铁克云清静部分担当高级副总裁。公司致力于实现隐私合规的自动化 ，使用AI和People Data Graph等先进手艺 ，使得隐私合规遵照从古板的繁琐手工操作到一站式的自动化成为可能 ，以资助企业快速知足GDPR和CCPA等执律例则。
2020年1月1日 ，CCPA（《加州消耗者隐私法案》）正式生效 ，怎样快速地且有条不紊地知足该隐私法案 ，这是众多硅谷巨头（Google、Facebook和Apple等）以及中小企业的一大痛点问题。在此配景下 ，Securiti.ai依附应对计划以及手艺实力入选2020年RSA大会立异沙盒的前十强。值得一提的是 ，BigID作为隐私数据治理（遵照GDPR） ，在2018年的立异沙盒夺得冠军；Securiti.ai作为一家同样主打隐私合规产品（可遵照CCPA）的立异公司 ，是否能赢得今年RSA立异沙盒的冠军？值得期待！
二、配景先容
为了包管公民的小我私家信息与隐私清静 ，全球掀起了隐私规则的立法热潮。2018年5月25日 ，欧盟正式公布《通用数据�；ぬ趵罚℅eneral Data Protection Regulation ，GDPR）用以�；づ访顺稍惫衬谄笠档男∥宜郊沂荨⒁舶ㄅ访司惩馄笠荡χ贸头Ｅ访斯竦男∥宜郊沂�。受GDPR 影响 ，全球各个国家推出了类似的小我私家信息�；す嬖� ，如巴西LGPD、印度PDPB、泰国PDPA等。我国于2017年6月1日正式实验《网络清静法》 ，并于去年宣布《数据清静治理步伐（征求意见稿）》 ，对小我私家信息清静提出诸多划定和约束。2019年10月 ，美国加州州长正式签署《加州消耗者隐私�；しā罚–alifornia Consumer Privacy Act ，CCPA）的最终法案 ，于今年1月1日正式生效。
从GDPR的执法来看 ，违反的�？罴矍歉甙旱�。例如 ，法国于2019年1月份�？頖oogle公司5000万欧元 ，缘故原由是Google的隐私条款的设计很是难以被用户明确 ，尤其是在小我私家化广告推荐上；英国在2019年7月份划分对英航和万豪集团划分开出1.83亿英镑和9900万英镑的罚单 ，缘故原由均为企业数据防护步伐不力导致了数据泄露；德国对网络公司Delivery Hero处以20万欧元�？� ，缘故原由是客户要求删除小我私家数据时 ，却没有实时性应答。关于CCPA的实验 ，据IAPP和OneTrust的CCPA Readiness视察效果显示 ，74%的受访者以为他们的雇主应该遵照CCPA ，但遗憾的是 ，仅约莫2%的受访者以为他们的企业已经完全做好了应对CCPA的准备。
这些隐私规则迫使企业对以下一些问题举行思索：存储那些消耗者的小我私家数据？它们漫衍在那些系统中？是否知足连忙响应客户的数据会见权、更新权和删除权等权力？怎样解决跨多个应用程序与第三方共享的数据问题？关于大都企业来说 ，这是一系列的合规性痛点问题。Securiti.ai正捉住这一普遍诉求 ，并且使用AI和People Data Graph等先进手艺 ，使得繁琐的处置惩罚流程变得越发自动化。
三、公司产品与计划
01
产品先容
Securiti.ai的产品称为Privaci ，公司CEO Jalil将其形貌为“PrivacyOps”解决计划 ，并亲自写一本书对产品功效和架构想想举行先容[6]。Jalil 将PrivacyOps归纳综合为它是哲学、实践、跨功效协作、自动化和营业流程的组合 ，它提高了企业组织可靠且快速地遵守众多全球隐私规则的能力。通俗地说 ，古板隐私合规性的请求处置惩罚是手动的、缓慢的 ，而PrivacyOps可实现批量地、自动化地处置惩罚规性请求 ，并可按期评估与检测合规性危害 ，能够资助企业快速知足全球隐私规则遵照的要求。
公司官网中展示了PrivacyOps的五个子产品：Data Fulfillment Automation、PD Linking Automation、Assessment Automation、 Third Party Risk Assessment和Consent Lifecycle。为了更好地明确 ，九游老哥君将五种产品归为三类：前两者为应对消耗者数据权力（会见权、修改权和更新权等）请求响应的合规处置惩罚产品、后两者是合规性危害评估类产品、最后一个为数据授权处置惩罚的合规性检查类产品。
Data Fulfillment Automation
CCPA和GDPR等隐私规则付与数据主体（消耗者）数据会见、修改和删除等权力 ，好比在CCPA的1798.100条款中 ，划定“企业收到消耗者会见小我私家信息之请求后 ，应当连忙通过邮寄或电子等方法向消耗者披露和传送所要求的数据”；GDPR也有类似划定 ，要求企业必需在一个月内对所有请求举行响应 ，若请求过于重大 ，可延伸到两个月。该合规场景可解读为企业需提供两点功效：
1、为消耗者提供数据权力请求的窗口；
2、收到请求连忙或者在划准时间内举行响应。
假设一天有1000个用户请求 ，若接纳手动操作 ，盘问相关系统 ，并手工制作1000个用户的小我私家信息数据报告 ，这个事情量是重大的 ，且容易爆发操作过失。因此亟需一种流程自动化的要领。
Data Fulfillment Automation（数据权力推行自动化）产品可实现消耗者数据权力请求-响应的流程自动化处置惩罚 ，并且可天生合规性审查报告。其产品运行流程如下：
1、构建一个或多个动态请求表单并嵌入到客户的网站中 ，类似于一个网站插件。通过这个插件 ，可轻松接受数据主体的请求（Data Subject Request, DSR）。
2、网络DSR请求 ，并凭证用户的身份建设DSR事情流程。为了阻止过失处置惩罚和诓骗 ，该历程需验证用户的身份。下图显示John A. 用户希望审查网站网络自己那些数据 ，除数据会见外 ，还可对网络的小我私家数据举行编辑、甚至删除。
3、DSR事情流程提交给后台 ，后台有机械人助手Auti ，可关联到用户John A.的数据 ，资助完成DSR使命并且同步系统。
4、天生DSR推行的审查报告 ，以证实遵照隐私合规。
PD Linking Automation
PD Linking Automation（小我私家数据链接自动化）产品通过强盛的数据治理能力及People Data Graph手艺 ，可将企业在差别时间、差别系统网络和存储的某个数据主体所有相关数据举行关联 ，好比数据主体的IP地点、身份证号、驾驶证号、照片、出生年月、住址和收入等小我私家信息。
凭证PrivacyOps book的详细先容 ，该关联手艺的应用产品主要有以下三种应用场景：
1、辅助前面产品Data Fulfillment Automation ，天生小我私家数据的关联报告。好比 ，用户向好比Google提出会见小我私家信息的请求后 ，Google有多个产品与系统 ，在浏览器服务器纪任命户注册信息和Cookie信息 ，另外在邮件服务器中也纪录了统一用户的小我私家信息 ，这两个系统存储的统一个数据主体的信息 ，但大都企业不会将两个系统举行关联。但GDPR和CCPA要求企业向消耗者披露数据主体的相关小我私家信息 ，因此关联手艺十分主要；
2、跨国企业的小我私家数据的治理与可视化�？绻笠档氖荽娲ⅰ⒋χ贸头７衿髀苋蚋鞯� ，若将小我私家信息主体的信息举行关联 ，并关联到用户的国籍或栖身地（欧盟、美国加州） ，可视化获得数据漫衍的天下热图 ，更好地洞察差别国家地区规则的合规性危害；
3、数据泄露后的实时通知受影响的数据主体。例如 ，关于小我私家信息数据库（若是无邮件、电话等联系信息）的泄露 ，通过关联邮件、电话等信息 ，可快速通知泄露的用户 ，知足合规性要求。
通过向谈天机械人Auti提问 ，可触发操作流程实现自动化执行 ，并天生宏观的小我私家数据地图和审查报告。
Assessment Automation
Assessment Automation（内部评估）可为企业内部的系统举行隐私危害评估。产品系统内置差别的合规性模板 ，如GDPR、CCPA ，每一种合规性模板对应种种合规点检查列表和问题。为了高效地完成隐私危害的评估 ，产品提供了一个协作平台 ，通过它内部多位清静专家可分工对问题举行检查和回复。协作平台网络所有的输入和检查 ，最终天生评估报告。一旦报告天生 ，企业可选择与第三方组织或消耗者分享 ，以证实隐私危害控制能力。
Third Party Risk Assessment
在GDPR中 ，有两个主要的数据处置惩罚组织：数据控制者（Controllers）和数据处置惩罚者（Data Processor） ，数据控制者是数据主体的第一联系人 ，认真数据的网络与处置惩罚 ，数据处置惩罚者在大都场景下是第三方组织。例如 ，一家零售机构（数据控制者）收罗用户信息 ，它租赁亚马逊云服务器（数据处置惩罚）举行数据的存储和盘算。凭证GDPR规则 ，零售‘机构的规则责任更大 ，必需稳重挑选挑选数据处置惩罚者 ，以确保它由能力通过适当的手艺和组织步伐以知足GDPR的要求。CCPA也有类似的划定 ，当企业与第三方举行小我私家信息的交互时 ，第三方爆发违发数据行为时 ，当事企业也肩负一定规则责任。特殊在大型公司 ，拥有多个相助商 ，数据交互和流通越来越大 ，为了降低规则危害 ，不但需包管内部知足隐私合规 ，也需确保相助的第三方是可信托的 ，隐私危害控制水平抵达清静级别。
Third Party Risk Assessment（第三方组织的危害评估）很好解决以上的一个痛点 ，它可以同时约请与企业相助的多个第三方组织 ，配合接入评估平台举行隐私危害评估 ，它尽可能使用可获取的数据 ，包括各个网站的隐私声明（privacy statements） ，第三方组织清静专家提供合规性证实和检查文件。该产品在天生评估报告同时 ，也提供了一个统一的隐私危害评分服务。
Consent Lifecycle
Consent Lifecycle（允许生命周期治理）产品可应用与网站的Cookie的数据网络 ，征求用户的赞成 ，对标多个GDPR、CCPA等规则的数据处置惩罚与使用的果真透明原则。首先 ，提供服务的企业需在自身网站中安排Consent Lifecycle相关插件 ，如下图所示 ，它提供了用户授权设置的一个窗口。然后 ，用户可在设置盘中授权网站的Cookie信息授权应用于那些目的 ，好比数据剖析、广告推荐、社交发明 ，提供应第三方组织C1企业或C2企业等。那么 ，若是用户没有授权Cookie信息用于广告 ，而服务企业却在后台的广告推荐系统使用了该Cookie信息 ，那么Consent Lifecycle将监控到这一异常行为 ，在后台触发告警行为 ，以通知企业阻止违反规则的危害行为。
02
合规性计划
前文先容的公司的五个产品 ，它们举行组合可对标到CCPA（美国加州）、GDPR（欧盟）和LGPD（巴西）隐私合规条款 ，公司的官网划分提供三种隐私规则遵照的解决计划。下面以CCPA的解决计划为例 ，对产品功效与对标合规点举行简朴先容 ，详细合规功效点可会见官网。
数据主体请求DSR自动化处置惩罚
CCPA划定消耗者具有数据会见、更新、删除的权力。当用户提出合理的权力诉求 ，PrivacyOps计划可自动化网络、吸收以及处置惩罚数据主体请求（Data Subject Request, DSR） ，并自动天生DSR报告。详细对标CCPA的1798.100、1798.105、1798.110、1798.115的数据会见权相关条款。这些划定了企业收到消耗者会见小我私家信息之请求后 ，应当连忙通过邮寄或电子等方法向消耗者披露和传送所要求的数据 ，不然视为违反规则。
隐私危害评估
通过使用协作的、准备停当的PrivacyOps评估系统来权衡企业组织的隐私合规性 ，识别差别并处置惩罚危害 ，以坚持切合CCPA羁系要求。详细对标CCPA的 1798.135.(1)(2)相关条款 ，要在互联网主页或隐私政策的醒目清晰位置 ，提供一个命名为“不得出售我的小我私家信息” ，消耗者有选择不出售小我私家信息数据的权力。
小我私家数据自动链接
发明所有系统中存储的小我私家信息 ，并将其链接到小我私家数据的所有者。通过身份可视化数据伸张 ，并基于受试者栖身地识别合规危害。CCPA羁系的是处置惩罚加州住民小我私家数据的营利性实体 ，即美国加州外的其他州、甚至外洋的跨国企业处置惩罚加州住民的用户数据 ，将受到相关规则危害影响。该功效可视化展示宏观的危害漫衍位置 ，对标CCPA的治理和羁系要求。
除以上合规要求外 ，PrivacyOps计划还可知足用户选择不出售数据的权力、默认不选择、检测隐私说明等合规性要求。
四、总结
欧盟GDPR在2018 年正式实验 ，2019年进入周全执法 ，多张巨额的企业罚单相继被开出。美国加州隐私规则CCPA在今年1月1月已经生效 ，与GDPR一样 ，CCPA同样是一项十分严酷的隐私规则 ，付与了消耗者更大都据权力 ，好比会见权、修改权、删除权和不出售数据给第三方等 ，同时提出了企业推行的义务条款。好比 ，企业收到消耗者要求会见小我私家信息的请求后 ，应连忙接纳步伐（好比信件或电子方法）向消耗者免费披露和提供本节所要求的小我私家信息（GDPR也有类似的条款）。怎样快速地知足遵照CCPA ，这是众多硅谷巨头（Google、Facebook和Apple等）以及中小企业面临的一大痛点问题。违反规则意味着�？钣氪Ψ� ，GDPR�？畹纳辖缡�2000万欧元或者4%全球营业总额 ，而CCPA可详细到每一个消耗者 ，�？钌舷尬�750美元（同时被1万人起诉 ，那么相当于�？�750万美元）。值得注重的是 ，GDPR不但对欧盟 ，CCPA不但对美国加州的企业 ，只要处置惩罚欧盟 ，或者加州的住民的跨国企业 ，同样将受到规则的域外羁系与约束。
Securiti.ai瞄准了这一个普遍的隐私合规性市场与需求 ，将繁琐的合规性遵照酿成了智能的、自动化的处置惩罚 ，可知足企业知足隐私合规的大部分需求。详细来说 ，Securiti.ai具有以下亮点与优势：
1、融资数额8100万美元是立异沙盒前十强最高的数额 （第二名Obsidian Security为2950万美元）。仅建设1年多就拿到多家投资机构的基金 ，这从侧面说明公司的生长远景和手艺实力；
2、提供的产品较为富厚 ，官网展示了1年的时间就宣布了5种合规性产品。从官网先容 ，公司现在拥有130名员工 ，同时在职员扩充中 ，开发迭代速率非�？�；
3、产品可快速组合为解决计划 ，现在提供CCPA、GDPR和LGPD（巴西隐私规则）的合规性计划；
4、公司的手艺立异能力不可小觑。公司掌握了People Data Graph自主手艺 ，将多个疏散的小我私家信息关联到统一个数据主体中 ，在学术称为“实体识别”问题 ，这是一个棘手的手艺难题 ，Securiti.ai宣称可将云、数据库、大数据系统等异构数据源关联识别出来 ，这是一大立异；另外公司使用NLP手艺 ，使用谈天机械人Auti提供友好、不死板的处置惩罚辅助功效。
Securiti.ai依附适用的、自动化的合规遵照解决计划、以及不可小觑的立异实力 ，同时在CCPA今年实验的热门配景下 ，九游老哥君看好Securiti.ai ，让我们拭目以待！
· 参考链接 ·
[1] https://www.crunchbase.com/organization/securiti-ai#section-overview
[2] SECURITI.ai Selected as Finalist for RSA Conference 2020 Innovation Sandbox Contest.https://privaci.ai/press-release/securiti-ai-selected-as-finalist-for-rsa-conference-2020-innovation-sandbox-contest/
[3] Securiti.ai Homepage. https://securiti.ai/
[4] 2019网络清静视察. http://blog.nsfocus.net/wp-content/uploads/2020/01/2019-Cybersecurity-Insights.pdf
[5] https://iapp.org/resources/article/ccpa-readiness-survey/
[6] PrivacyOps book. https://www.privaci.ai/request-book
