一、 背景 – GDPR
近年来，世界各国都在个人数据隐私的保护上出台了相应的法案。2018年5月25日，欧盟的《通用数据保护条例》（General Data Protection Regulation，简称GDPR）将正式生效，意味着欧盟的数据保护水平将达到前所未有的高度，堪称世界史上最严格的数据保护法律。
GDPR主要涉及数据控制者、数据处理者、数据主体、数据保护官以及监管机构这五方的权利和义务。
针对数据主体，GDPR-赋予的强大的权利,即：
针对以企业为代表的义务主体，增加了更多的要求和限制，以增强企业的责任意识。包括
GDPR规定了欧盟每一个成员国都必须成立关于GDPR的监管机构，负责GDPR在每一个国家的执行，同时设立“一站式”投诉服务，以便于消费者在欧盟内进行跨境投诉。对于数据收集和处理上的违法行为，GDPR加大了行政处罚的力度，最高可达2000万欧元或该企业上一财年全球年度营业总额的4%(以较高者为准)。
在我国正在推行“一带一路”倡议的大背景下，GDPR广泛的保护范围和严厉的处罚手段将对中国企业乃至整个行业带来巨大的挑战，甚至可能成为阻挡我国企业“走出去”的障碍。一方面个人数据权利要保护，另一方面技术要创新、市场要发展，二者之间发生冲突在所难免，如何积极应对处理这一矛盾将是未来很长一段时间我国政府和企业所面临的问题。
二、 三元方案
为更好地满足以GDPR为代表的个人数据保护的发展趋势，如何为用户提供更加“透明”、更加“可控”、更加“安全”的数据管理方式成为亟待解决的问题。我们建议将用户身份认证和个人数据处理等服务功能从企业内部剥离，由可信赖的独立第三方承担相应职能。这种由企业、控制方和数据操作方构成的信息服务体系我们称之为“三元”模式，如下图所示。
图1 三元模式
通过对数据的实时把控实现了对数据的全面管控，不仅满足了GDPR所提出的对用户权益的保障，而且也满足了GDPR对数据控制者和处理者的要求，具体包括：
l 可信服务（Trust Service）
通过交互的方式面向客户和企业提供包括注册、认证、数据操作以及数据存储等服务。其中注册与认证通过专用接口向控制者进行申请，而数据操作的后台处理则是通过专用接口由操作者来完成，企业门户可存储用户的个人数据，但是该数据是由用户的公钥进行加密的，没有用户的许可，企业是无法直接使用。
l 操作者（Operator）
由独立于企业的第三方承担。负责在云端或者本地代表用户本人进行一系列的数据操作，包括创建数据文件、生成用户密钥、文件加解密、原创性（Originality）鉴别、文件修改、文件删除、文件复制、同意确认、撤销操作、数据可携带化等等。
l 验证方（Validation Party）
负责协调负责人以及操作者之间的工作，负责分发任务及审查，同时负责用户的身份认证。控制者一方面要通知可信服务用户的身份验证方式、认证结果以及多方交互应遵守的契约方式等，另一方面，控制者要对操作者的所有操作处理进行合规审查，并在审查通过后对操作数据通过自身的公钥写入到私有区块链中，以便于实现操作数据的不可篡改和随时可追溯等特性。
图2 三元体系架构
三、 技术优势
三元安全业务体系主要技术优势如下：
l 三元结构（Trinary Architecture）
将数据操作与控制验证功能从企业内部剥离，实现第三方数据监管
l 强认证（Strong Authentication）
采用密码、生物特征、动态码等多种手段进行用户身份验证
l 低复杂度（Low Complexity）
具有易扩展的网络特性，处理交易的复杂度大幅降低，为O(n)
l 双加密（Double Encryption）
动态生成非对称密钥，并与对称密钥相结合实现用户数据的安全传输和存储
l 私有链（Private Blockchain）
采用私有区块链技术确保用户数据的全生命周期可追溯记录。
四、 应用案例
l SAP
SAP总部在德国，是全球最大的企业管理和商务解决方案供应商。我们的方案为SAP所服务的企业提供独立可信的认证、数据操作服务。
l BNP
法国巴黎银行为欧洲最大的银行及金融服务机构，被评为全球四大银行之一。将三元业务安全体系用于CRM系统的升级改造，以用于GDPR的合规。
l Microsoft
针对微软的Azure云服务业务提供满足合规要求的数据安全保护方案。
五、 服务支持
立足于通用数据保护的迫切业务需求，依托自身强大的技术研发和资源整合优势，三元业务安全服务体系为“一带一路”上涉欧业务的中国企业提共业务咨询、违规协助、技术方案等服务和解决方案，致力于推动我国数据保护事业的健康可持续发展。
图3 三元体系为我国企业涉欧业务保驾护航
九度微信
