隐私合规 招聘,隐私合规工程师

高光时刻：

【05:59】隐私合规2类主要客户

【07:50】2021年，市场快速升温年

【17:33】《北京市数字经济促进条例》的时代意义

【18:59】何为数字脱敏？

【28:33】年薪150w，隐私合规人才告急

【30:17】企业开展隐私合规的现状

首席风控合规官: 哈喽大家好，欢迎大家收听“合规FM”，一个法务、风控、合规领域的电台节目。今天我们邀请到的嘉宾是凯馨科技的CEO孙诚孙总，我们的主题是“合规科技与隐私合规治理”。首先恭喜凯馨科技完成数千万元的Pre-A轮融资，也很感谢孙总拨冗接受我们“首席风控合规官”的访谈，我们希望今天的访谈可以既专业又活泼，深入浅出地为大家解答合规谜题。请问凯馨科技的产品如何交付？

孙诚: 我们凯馨科技的产品都是基于容器化技术来打造的，我们交付给客户所需要功能的软件。这个软件是标准化的，既可以安装在公有云平台，也可以安装在本地的机房服务器环境中。用户可以根据所需要的功能去调整自己的逻辑，设置安全策略，然后运行起来。在这个过程中，作为企业的安全负责人，他不需要掌握底层非常复杂的算法技术原理，或者说是其他安全相关的控制类的逻辑。他只需要去定义自己的数据资产，定义可见的权限范围、特定的时间，他只需要采用我们默认的规则就可以去达成基本的安全要求，所以这是一个跟客户交互非常友好的系统。

首席风控合规官: 以软件的形式去交付，也就是说不需要再去部署额外的硬件设施，那是不是对企业而言就减少了部署的难度和成本？

孙诚: 确实如此。在目前的企业IT系统建设的大趋势下，我们发现很多企业都已经选择上云了，尤其是物流、消费相关的信息都上云了。通过上云可以减少本地化的管理维护成本，而且服务的集成也会更加容易。所以，我们推出的产品重点关注了在公有云平台应该如何帮助客户解决安全问题。

另外在传统的IDC机房也有一个趋势，现在已经很少有企业仅仅是依靠纯物理部署了。大多数企业都会使用类似于虚拟化或者是一些混合云的方式来部署它的IT系统。

在这样的情况下，我们的产品通过软件交付，可以非常容易跟它们当前已有环境对接，减少因为环境兼容性问题、配置的复杂性问题而带来的后续的运维挑战。

首席风控合规官: 如果说客户是通过Airflow调用软件的，凯馨需要对整个系统、产品做一些重大的调整吗？

孙诚: 我们现在的安全产品其实不是一个孤岛，它需要跟企业内部的其他逻辑去联合在一起使用，所以很多企业不单单使用Airflow，还会有一些其他的上层调用工具或者集成工具，去跟我们的安全策略、安全逻辑资产的管理状态对接。有了这样的对接之后，其实我们可以给客户开放更多的能力，把我们内部的权限跟客户自身的权限去结合。这对于终端客户来说，最直观的感受就是不用再记很多套密码，一套密码就够了。同时，我们也可以将业务逻辑拆解成为一个一个的功能模块。客户的实际流程中需要哪些模块以及如何去组织它们完全由客户自己来定义，场景适应性也会变得更强。

除此之外，我们的报表功能、日志管理功能也可以跟客户集成的日志功能去对接，他们的日志保存就有统一的策略去维护。类似还有很多都是可以通过我们开放式的接口来实现。这也是我们从产品设计最开始的时候秉持的一个理念：凯馨科技做好自己产品的功能，同时把接口开放出来，我们愿意跟更多的企业一起合作共建一个更大的生态，我们愿意在其中充当专业安全扮演者的角色。

首席风控合规官: 双方其实是有点像两块拼图合到一块，权限可以去做配合。共用一套密码也是可以实现的。

孙诚: 这里面可能不只是两方，有可能是三方或者更多。我们现在已经有一些项目，比如说我们最近服务了一家做快消品的公司，它是一个跨国的世界500强企业。这家企业内部不单单有自己的运维管理系统，有自己的权限、流程系统，这些系统互相独立的承载着某一些事，但是企业需要在更上层构成一个统一的运维能力。所以，我们凯馨科技就将跟权限系统对接，和日志的系统对接，将我们的任务管理和他们的Airflow对接，诸如此类。这个过程中，已经不是两块拼图在一起拼接了，它有更多的拼图合在一起，构成了一个大的地图。这是对客户最终呈现的管理效果非常有帮助的。

首席风控合规官: 凯馨科技的产品目前已经应用在了哪些行业？代表性的客户有哪些？

孙诚: 目前凯馨科技的产品最主要的客户类型是两类，一类是金融行业，金融行业包括了银行、保险、证券这些类型。现在在华东地区（上海、江苏、浙江）我们已经服务了十几家的银行客户，他们对我们的产品也给了很多的支持。

第二类就是服务于政府和第三方的在线销售快销类的公司。这种公司我们现在也在一个初步的尝试期，因为它们的数据安全的问题跟传统的金融行业有很大的区别。首先就是它们所面对的环境会更加的云化，政府有政府自己的政务云平台，快消品一般都是上到公有云平台。所以，我们现在在构建一个更加完整的密态数据流通的解决方案。

首席风控合规官: 一般像凯馨科技的产品，它的客单价大约是多少？

孙诚: 凯馨科技的产品收费模式是按照用户的使用量来收费。比如说客户只是需要某一个功能场景，我们就按照这个功能场景给他提供软件、使用的授权license。如果客户需要构建更加完整的合规解决方案，那可能会涉及到多个产品模块。客户选择了多少产品，我们就会给他提供相应价格。所以客单价根据客户选择的量和类型来决定。

首席风控合规官: 从创业至今凯馨的营收增长表现如何？

孙诚: 凯馨科技我们是在2020年才真正意义上全职创业的，这两年凯馨科技是在打磨我们的产品。从2021年的下半年到现在将近一年的时间，凯馨的市场销售发生了快速的增长。我们刚才提到的这十几家银行和公司有70%都是最近一年发生的订单，业绩增长非常的快，今年预期能达到比较可观销售额。

首席风控合规官: 金融科技数据共享流通，凯馨科技也有针对性的解决方案，具体凯馨是怎么提供产品和服务的？

孙诚: 这几年因为金融科技的发展很快，有些银行成立了专门的金融科技子公司。也有一些银行，成立了金融科技事业部。这些部门、服务、组织架构的调整，目的就是想让银行跟金融服务和科技服务可以更紧密地联系。那么底层就是更加便捷的数据关联、数据流通的服务。在这一点上，我们凯馨科技的隐私合规管理就可以和它的数据流通服务合并，结合在一起来看。

首先，银行要去跟第三方的数据对接的时候，它需要定义对接的数据资产和资产的敏感隐私类型。那凯馨科技在隐私合规评估以及数据资产地图这一端，可以去和这些对接的数据源结合来看上下游的数据是不是有非常敏感的信息存在，有没有涉及敏感信息的个人主体授权，数据在使用的过程中，第三方合作的企业是不是安全合规建设达到了可以合作的要求，能不能证明自己的流程是安全完善的。

第二步，在数据流动到银行内部的时候，银行内部也会有多个部门参与来共同处理这些数据。对于其中的每一个环节，数据安全如何保障，怎么样让处理者既可以去处理、使用数据，又能够避免数据被泄露出去或者会产生其他风险。这一块，凯馨科技的密态数据流通的解决方案带来了安全保护的措施能力。

再往后，业务正常开展，不断接入、分析使用新的数据，我们的隐私态势感知就可以来持续地跟踪数据的流动，去发现这些数据有没有新的安全风险点和可能存在的数据越权越界的行为，来持续地保障流程的稳定、合规，满足监管的要求，包括个人主体对于自身数据的权利要求，也包括监管机构对于数据整个流程的合规性的要求：监管报告、监管证明、合规证明。

对于这两者，首先个人的数据主体，可以通过我们提供的开放端口来非常快速地查到我的个人数据都存储在了哪里、被谁在使用、使用的范围以及使用目的等等。这是满足个人主体权利请求的必然要求。另外，如果说个人需要去修改或者删除数据（这在金融科技领域非常平常），我发现第三方收集的数据可能不是真实的或者是过时的，我需要进行相应的一些调整、修改，也可以通过我们对他们的端口来发送请求，这个请求可以跟我们内部的流程去合并，让后台的管理者知道、从而选择是否允许修改，最后也包括如何删除。

另外针对监管机构，监管机构要求企业去做一系列的安全评估和安全证明，包括了个人信息的风险证明、数据处理流程的合规性证明等等。这些如果要让企业自己来做，它需要收集很多的信息、资料，时间成本很大。但是通过我们的合规管理流程，可以自动记录其中的关键敏感信息，生成相应的报告，报告输出之后保存到本地存储上，也可以随时应对监管的检查。按照《个人信息保护法》的要求，落地存储必须要在三年以上。这些过程我们可以通过凯馨的系统自动化实现，极大减少银行或者其他的企业为合规投入的时间和精力。

首席风控合规官: 原定2022年3月1日要施行《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法》，因为一些技术性的原因最终暂缓施行，这个您有什么样的看法？

孙诚: 目前在金融科技领域，落地的规范标准定义的大多数是数据处理者应该承担的义务，为数据的安全与合规使用需要做的事情，但是相对还是比较宽泛的。国家也在一直尝试着从各个维度上去细化、具体化，怎么样去落地。这个过程中会有很多的制约因素。有的是因为还没有到这么深的理解，也有的是因为技术暂时还不能完成相应的要求，比如说所有的数据在高频交易的过程中都要落地保护，可能就存在着很大的难点。同时企业内部的管理流程也需要有一定的适应成长的阶段。

政策如果是“一刀切”立刻要做这个事儿，可能会导致在实际的现实场景中，大家也可能一下子没法适应。所以政策的出台一定是阶段性的，我们可能先定义了一个比较高的要求，然后逐渐地通过几年时间，待市场、技术、管理都成熟之后慢慢落地。

至于您刚才所提到的监管要求没有实际推行，我想也是可能需要有一定的调整的过程。

首席风控合规官: 可能需要更多像凯馨科技一样的企业，不断打磨自己的产品，优化自己的技术，为企业包括金融机构提供产品和服务，满足监管的要求。

孙诚: 是的，我们看到市场的参与者越来越多了。相信未来它会是一个更大、更加完整的生态，会有越来越多的有识之士、好的产品、好的技术投入其中。

首席风控合规官: 关于政府数字转型与要素开放的解决方案，您能不能结合政府数字转型的背景以及凯馨的服务经历去展开聊一聊？

孙诚: 政府的数字化转型会比社会上其他类型企业要更加的小心谨慎。因为政府存储的数据的敏感度非常高，而且涉及的体量也非常的大。这是一个逐渐而缓慢的事，其中，我们也看到一些进步点。首先，政府单位越来越重视对于数据资产的管理，从数据的收集端给数据做分类、分级，落实数据治理的服务。

同时，也对于政府内部的个人敏感数据、企业敏感数据如何存储、使用，设定了很多的安全项的要求。政府单位，一方面自身的数据在做管理、保护转型，另外一方面，也在尝试建立数据要素的流通平台。北数所、上数所这两个大的数据交易所已经在去年相继成立，其他地方像深圳，还有华南、西南、长三角等等越来越多的数据要素流通平台都在相继建立。

尽管这还是刚开始的阶段，但是因为这些平台的建立，越来越多的有数据资源的企业、有数据需求的企业参与到其中，生态变得更加的繁荣。我们相信未来的政府类的数字化转型，以及以政府为主导的数据要素流通，会是一个很快速发展的过程，但这个快速发展过程会稳抓稳打，一步一个脚印，从而构建出一个完整的合规的样板的流程。

首席风控合规官: 5月7日，北京市的经济和信息化局同相关部门发布了一个《北京市数字经济促进条例（征求意见稿）》。这个您有没有关注？

孙诚: 我们这边对数字安全、数据安全或者数据要素相关的信息是一直在收集的，这个信息我们也关注到了。其实其他地方也都在出台政策，比如说上海在去年就要打造国际数字之都。政府希望能够通过政府的影响力去将更多的数字要素连接在一起，为政府服务。

我们之前就为华东的某座城市开展过类似的业务。当地政府想通过收集各类交通类的数据汇总在城市大脑里面。通过城市大脑的大数据的分析建模，反过来推论这个城市下一阶段的交通治理工作应该如何去做。政府单位要通过这样的分析平台，总结出来哪些地方应该做单行、哪些地方可能会限制，其中部分举措已经落地了。政府单位通过大数据的分析、大数据的聚合，提升了城市综合治理的能力。

首席风控合规官: 凯馨场景解决方案当中也提到了动态数据脱敏、静态的数据脱敏，首先能否请您介绍一下这两者具体是什么？

孙诚: 从脱敏的使用场景来说，它是可以分成动态和静态两类。其中静态脱敏，它的数据要分享给第三方，在第三方的本地去存放，我们把它称之为“数据静静地躺在那儿等你去使用”，这个叫静态脱敏。那动态脱敏就没有数据传给第三方这个过程，数据本身存在它已有的环境里面，响应第三方或者其他人的访问请求，将对方所需要的那一小部分数据反馈给他们，在交互过程中提供数据。这是静态和动态的一个区别。

静态数据需要数据全量物理传递到第三方的手上。但动态的脱敏不需要全量传递，只需要根据对方的需求响应他所需要的那一小部分数据。

首席风控合规官: 动态数据脱敏以后依然会具备与脱敏前相同的数据结构、校验规则和分布态势，能够做到动态高仿真脱敏。怎么样兼顾高仿真和脱敏？

孙诚: 在技术维度上的高仿真是数据经过处理以后，它的真实信息没有办法被识别到，同时依然能够保留部分跟它的目标使用场景相对应的特征，来满足使用的需求。高仿真体现在几个不同的维度。第一个是数据和数据之间的映射关联关系。比如说，我需要通过个人信息来去识别他的交易内容，如果我把整个的数据都给到了，数据的使用者就必然会泄露这个人的敏感信息。所以脱敏之后，我们将个人信息中涉及到的个人可识别的证件、个人的实际地址等等信息变成结构相同、内容不同的另外一个数据。并且，数据的特征、数据和它的交易记录的映射关系依然能保留下来。最终，高仿真需要使用场景进行校验，满足使用要求，它才能是高仿真。

比如说房地产销售公司有最近半年的房地产交易记录，包括了房产的位置、门牌号、业主的身份证姓名等等这些信息。那这时候我们有一个大数据公司，它需要去分析今年哪些板块交易的量是最多的，购买人群中哪个年龄段的购买的量是最多的。那么它就需要拿到相应的房产销售的数据。那么我们把其中的个人隐私信息进行脱敏，保留下来房产区位这些具体的位置信息。但是涉及到小区内的房屋的门牌号码信息，我们就全部隐藏，或者把它变成了另外一个门牌号码信息。直观看数据的过程中你没法识别它是被处理过的数据，但它的结果已经和真实信息不一样了，这是脱敏的过程。

对于使用端来说，我要想分析这些数据是属于哪个小区的，这一部分的特征依然是保留下来。这样我们就既保证了隐私数据的安全性。同时，也保证了使用目标端可以正常地使用这些数据。

首席风控合规官: 凯馨科技通过了许多国家级的认证，分别是从哪些角度对产品做出认证？

孙诚: ISO的质量体系、安全体系、管理体系，它都是有一套标准的校验流程。像ISO9001是一个质量体系，它主要是来评估企业内部产品的定义、输出流程、物料等等是不是能达到质量的要求。

ISO27001是信息安全体系，它主要定义了数据在企业内部的整个流转、使用过程中，是不是符合内审内控的要求。

ISO20000是一个信息安全、数据安全的保护体系，包括了数据如何去维护、管理、落地、加工的一系列的要求，是国际标准化体系的明确的定义。

凯馨科技在通过这些体系认证的时候，是将我们企业内部的安全合规的管理能力先落地，然后才可以去申请的。

首席风控合规官: 想要做到数据合规的企业，应该要做哪些认证和评级？

孙诚: 目前国内的安全评级以网络安全为主，最典型的评级方式就是等级保护法。等级保护比较重要的会评三级，低一些的话可能会评二级，这是不一样的评定级别。在国际上想要做信息安全的保护，你需要申请ISO27001的评审和ISO20000的评审。ISO29100等等在国内用的并不是特别多，各个企业需要根据自己的实际情况去申请。这并不是强制的，但是有的话会更好。

首席风控合规官: 凯馨科技的创始团队基本上都是毕业于上海交通大学，核心团队的平均年龄大约是在30岁左右。这支年轻的骨干队伍是怎么聚集起来的？

孙诚: 凯馨科技的创始团队有四位同事，我们四个人都是在上海交通大学研究生期间的同窗好友。毕业之后，有的出国了，有的进入企业，分别都从事着跟数据相关的数据科学研究或者是技术上的研发工作。后来凯馨科技准备要去做数据合规管理，于是，我就把他们几个约着，介绍了发展方向和未来凯馨科技要做的事儿。首先，跟他们之前所做的内容比较契合，所以他们很感兴趣，同时，大家都很看好隐私合规管理的未来发展、市场机会，所以我们就决定一起来做凯馨科技这家公司。

首席风控合规官: 曾经您也任职于中国银联、鼎甲科技，从事过算法研究、技术支持、产品经理和销售经理等等职务，是中国开源社区的活跃贡献者，有扎实的研发功底和丰富的市场经验，这些是不是都对您创立凯馨科技奠定了基础？

孙诚: 创建和管理一家公司，刚开始的那一两年是非常艰辛的。作为一个创业者，你需要做几乎所有的事情，公司的最早版本的程序，由我和我的合伙人一起去开发落地，这个时候我是一个开发者。后面，产品需要往前不断地发展，要结合市场，我需要作为产品的规划设计和市场的推广者。所以在这个过程中创业者的角色是多方面的，需要承担的事情也是更加立体化。我之前的经历对于我的创业初期帮助非常的大， 让我可以更快速地跟团队成员进行沟通，跟客户沟通，包括跟合规、市场方面的同事沟通，这些都是我在前期得到的一些便利。

首席风控合规官: 凯馨科技刚刚完成了数千万元的融资，从赛道团队和公司等多个维度来分析，凯馨科技为什么能够接连获得投资机构的青睐？

孙诚: 这两年随着整个大环境的发展，隐私合规管理和数据安全越来越受到投资人和市场的关注。作为一家创业公司，凯馨科技也随着这个大潮获得到了更多的青睐。这是大环境的因素。第二，凯馨科技的团队是一个非常有技术背景的团队，比如说AI规则学习，基于算法的一些技术，我们研究得非常深入。投资人也看到了我们的产品、技术和市场客户的反馈，从而决定去对凯馨进行投资。第三，凯馨科技又非常活跃，我们团队现在平均年龄只有二十五六岁，大家都很年轻，也非常有朝气，团队想法非常的丰富。这些都是投资人最终选择投凯馨的原因所在。

首席风控合规官: 从合规与安全的角度来讲，您个人还有什么样的寄语？

孙诚: 隐私合规市场在国外发展得很快，目前国内是刚刚开始。隐私合规管理是一个长期的工作，所以在刚开始落地的时候定出明确的方向和规则非常重要。我们也一直在关注着国家最新标准、规范的制定动向。我们希望行业的标准规范可以更加的完整、可落地，这个不单单是对凯馨科技有帮助，而且对于真正管理、使用隐私数据的企业也会有很大的帮助，避免漏洞出现。

第二方面，目前围绕着隐私合规管理相关的人才缺口非常大。在企业端想要招一个既懂技术、又懂法律、十年以上经验的，成本都要到150万以上。人才缺口巨大导致我们这个行业在真正落地的环节遇到了很多挑战。我们也希望更多有能力、有想法的人可以加入进来，共同把这个行业往前推进。

第三个，现在数据流通、数据安全以及数据的管理维度，其实还有不少技术上的瓶颈。比如说性能的瓶颈，关于流程统一的瓶颈，关于算法效率、算法精度的瓶颈等等。这些都需要企业持续地研发、投入，尽快有相应的技术成果产出。

企业内部做隐私合规大概是什么样的？前段时间我们正好做了简单的梳理，跟业内的朋友做了一些交流。我们发现，现在隐私合规管理30%的落地是落在了法务负责人的角色上，大概有18%的落地是在信息技术主管的这个方向，还有大概20%是企业的CEO整体负责。做管理的人，他更加注重流程；CEO来落地，更加关注于成本的投入和输出；技术管理者落地，更加关注的是具体采用什么样的安全技术手段和控制措施。其实都没有办法涵盖隐私合规管理的整个体系，所以目前隐私合规管理缺少真正意义上统一的方法论和落地的标准，可能对于后续的市场拓展非常有难度的。

传统的法律专业人士，其实市场上越来越多了，围绕着数据安全技术专业的人士也越来越多，但这两者结合又有实践背景的非常的少。所以，凯馨科技也有一个目标，就是通过SaaS化的服务，把企业端高水平合规律师的需求量降低一些。这对于中小企业来说，会非常有帮助。

因为跨境电商大多数都是一些中小型企业，但是它们面对的合规监管压力以及复杂度是非常高，怎么样能够帮助它们来减少这一块儿的投入，同时又能让它们更好地满足合规性的要求，在它们的合作伙伴面前增加一定的可信度。这一些都是凯馨科技希望能够为这个行业、为这个社会做的贡献。同时我们也希望通过我们的解决方案可以让合规律师脱离重复的事务性工作，在隐私合规的关键领域发挥专业优势。

未来的十年将会是数据使用、企业行业的数字化转型快速发展的十年，会有很多的机遇产生。凯馨科技在其中会贡献自己的一份力量，争取把我们所在的专业的内容做得更好、更完善。当然，我们也很期待这个行业能够有更大的生机活力。

首席风控合规官: 好的，感谢您参加今天的访谈，期待下次和您聊出更多更有趣的合规话题。合规请听好，我们下期再会！

- End -

本文撰写所需的信息采集自合法公开渠道，我们将尽力核实信息的真实性与可靠性，但不对信息的完整性、准确性、时效性提供任何形式的保证，且不对因信息错误或遗漏导致的任何损失或损害承担责任。本文系原创文章，版权归作者所有，如需开白、转载或出版，请联系后台。