IoT与PII：物联网的商业机会与个人隐私信息保护 原创

至顶网服务器频道 06月27日 新闻消息（文/李祥敬）：当前，技术和商业的发展日新月异，ThoughtWorks每年会发布两次最新版本的技术雷达。它是由Technology Advisory Board（众多来自ThoughtWorks全球的资深技术专家组成）讨论得出的对ThoughtWorks以及软件行业产生重要影响的技术趋势和现状报告，并以雷达形式对各类技术的成熟度进行评估并给出建议，为从程序员到CTO的利益相关者提供参考。

2018年的第一期技术（总第18期）雷达聚焦物联网生态系统，并对其进行了重点分析和解读。物联网生态系统的方方面面，从设备操作系统到互联标准，从基于云的设备管理到数据处理，都在迎来一个快速发展时期。虽然安全和兼容性方面的挑战依然很大，不断成熟的物联网生态系统也预示着物联网行业的光明前途。

如果说，ThoughtWorks技术雷达解读百余个技术趋势，致力于帮助IT从业者理清技术发展的脉络，作出正确的技术选型。技术雷达峰会则在此基础上更深一步，邀请企业CTO、技术决策者现场进行实例解析，解读技术趋势。

在近日举行的2018 ThoughtWorks技术雷达峰会上，ThoughtWorks对2018年的第一期技术（总第18期）主题趋势进行了解读，还分设横跨数据驱动架构、企业级区块链、云原生DevOps、数字化交互创新、演进式架构、透明化安全六大技术领域的垂直论坛。针对物联网的话题，ThoughtWorks物联网团队负责人朱晨以及ThoughtWorks高级咨询师张羽辰接受了记者的采访，就目前物联网生态的发展以及数据隐私问题进行了讨论。

如何捕捉物联网（IoT）的商业机会？

当前，物联网（IoT）生态系统正在以平稳有力的步伐不断演化，关键成功因素包括安全性和成熟的工程实践。从设备上的操作系统到连接标准，尤其是基于云服务的设备管理和数据处理，除了主要的云服务提供商——包括Google IoT Core ，AWS IoT和Microsoft Azure IoT Hub——像阿里巴巴和阿里云这样的公司也在大力投资物联网PaaS解决方案。

ThoughtWorks物联网团队负责人朱晨

朱晨表示，物联网蕴含着巨大的商业机会。就像互联网催生的线上经济，物联网对于未来商业社会的意义也是非常重大的。物联技术正在消除线上线下的边界，让彼此相互融合，接入身边的资源，接入一切能为他/她服务的场景。

IoT（Internet of Thing，物联网）是一个被炒作了很久的概念。然而现在这个概念已经在我们的生活中有了越来越多的真实应用，比如可穿戴设备、共享单车等。在朱晨看来，以下几个因素驱动了物联网的发展。

低功耗微型处理器计算能力越发强劲。这些强劲的微型处理器可以帮助设备获得强大的运算能力，运行复杂的软件，进行高效的信息处理。

设备接入互联网的方式多种多样。WiFi、蓝牙、蜂窝网络、以太网等网络连接的标准已经发展得非常完善，基础设施成熟。这使得各种设备可以方便地选择低成本的方式接入互联网。

适合物联网的传输协议日趋成熟。相较于Web时代的HTTP协议，MQTT、CoAP等新的协议更加适合小型低功耗设备。这些日趋成熟的协议可以帮助设备轻松地与服务器进行数据通讯。

数据分析技术突飞猛进。从设备获得的海量数据必须经过进一步的分析才能够获得洞见，从而能够对设备的运行状况做出诊断和预测，帮助企业提升运营效率。这些都得益于大数据技术的进步。

“这些技术使得硬件本身可以支撑计算能力更强的软件，并且可以将数据通过轻量协议传入服务器，并让服务器端的AI高效完成数据的分析处理。在这些技术的支撑下，物联网技术架构日趋成熟。”朱晨说。

随着物联网技术架构的成熟，相关的商业机会也就涌现出来。比如物联网的典型应?用模式——远程感知、自动化（智能家居等）、智能增强设备（语音识别、人脸识别等）、服务现场联?网化（停车场等）、新业务模式（共享单车等）。

朱晨表示，各个行业都可以通过升级既有设备或者引入新的智能联网设备而享受到这个技术红利。所以像制造业（所谓工业4.0）、智能城市（交通、安防、楼宇、能源）、泛零售（商店、银行、餐馆）这样已经在使用大量设备或者引入新设备的行业就能获得更多的发展机会。

那么企业该如何设计物联网应用呢？朱晨说，第一步是?用户体验分析，第二步是识别机会。你可以套用这样的公式进行分析，（某类用户）在（某时某地）希望（自己/AI）能够方便地（感知/控制）位于（异地/旁边）的（设备/物体）。比如（爸爸妈妈）在（上班时）希望（自己）能够方便地（看到）位于（家里）的（宝宝在做什么） 。接下来就是解决?方案设计、设备选型、整体集成。

由GDPR引发的数据隐私思考

欧盟于2016年通过的《一般数据保护法案》（GDPR）5月25日正式生效。GDPR堪称史上最严格的数据保护法案，它的实施代表着欧盟对个人信息保护及其监管达到了前所未有的高度。由此而引发的话题讨论成为当前的特点，特别是前一段时间Facebook因泄漏用户个人信息而饱受争议，该事件使得Facebook声望值极具下跌，也为用户敲响了警钟。

ThoughtWorks高级咨询师张羽辰

张羽辰表示，ThoughtWorks的客户多为金融、航空、房地产、保险等敏感行业，在项目实践中，PII（个人隐私信息）保护措施是十分重要也是必不可少的一环。在ThoughtWorks内部，从2017年开始加强这方面的实践保护工作，并从中累积来大量成熟的经验。

什么是PII？ PII是Personal Identifiable Information的全称，也被称为SPI（Sensitive Personal Information）。PII可以用来识别出个体的信息。“如果说隐私数据十分重要，那么PII就是其中最重要的数据。”张羽辰说，“当PII泄露后，最大的危害是大量的经济损失，包含有政府管理部门的罚款（往往伴随着法律问题）、对于用户的补偿等各种成本。”

于是，我们看到了GDPR、网络安全法等法律法规的出现，而在企业中，PII数据贯穿了基础设施、架构、业务等多个方面。特别是容器化、Serverless、微服务等技术的引入，PII数据在每?层都存在，企业需要使用PII完成业务，滥用、忽视等现象存在，识别的成本和处理的难度在增加。

张羽辰说，为了应对PII保护的挑战，企业需要建立保护意识。特别是对一些长期发展的项目中，需要每一位参与项目的人都要清楚的了解到PII是什么、为什么要保护它，要提高它的重要性，这个意识不应该随着人员流动而变的淡薄。在开发、测试等等环节中，参与的人员都需要按照之前讨论的策略对PII进行检查等。

具体来说，制定PII保护的策略需要有四个步骤：

• 定位：找到系统中持有的PII数据，以及需要解除或者使用PII数据的角色。
• 整理：分析并整理数据，哪些是必要的，哪些是不必要的，哪些的权限需要更新，而哪些存放在三方服务中等等。
• 创建：根据整理到的数据建立策略，包含有行动。例如：我们不希望在日志中保留用户的信息，应该修改日志记录的内容，同时处理掉已有的数据中的PII。
• 教育：将制定的策略通知给相关的人员，确保所有人都清楚我们的策略。

通过组织结构来规划PII保护策略，也可以使用另一种角度去达到目的，就是紧跟PII数据的生命周期。我们可以将数据生命周期表示为：存储、处理、传输，PII数据永远都是在这三个状态中进行转换，于是ThoughtWorks提出以下五个步骤来处理PII：

• 考虑哪些数据是必要的，收集并持有必要的数据；
• 根据我们的隐私策略，如何持有、处理这些PII数据（例如加密、权限设置、敏感字符替换等等）；
• 根据新的风险调整策略，并且演进业务逻辑；
• 合理的规划保护PII数据的每一个步骤（细化）；
• 销毁不必要的数据，包括备份、日志甚至审计报告等 ；

总之，张羽辰表示，对于PII，企业应该意识为先、立刻行动。“我们希望进?PII保护的行为，是自发的，是重视PII的意识所驱动的。特别是在长期发展的项?目中，保护意识不应随着人员流动而变得淡薄。如同所有的数据泄露一样，当我们意识到就已经晚了。保护PII，不仅是保护客户的利益，也是保护我们自己。”

结语

不管是物联网还是PII，都涉及一个核心话题就是数据安全。特别是随着物联网的发展，PII的重要更是越发重要。如何在一个万物互联的时代实现PII的安全成为当今我们这个时代的重要议题。