隨著企業(yè)上云和數(shù)字化轉型升級的不斷深化，數(shù)據(jù)泄露已經(jīng)發(fā)展成為全球最常見的安全問題之一，企業(yè)應該如何加強防范，保障自身數(shù)據(jù)與業(yè)務安全?11月6日至7日，由騰訊云主辦的首屆Techo開發(fā)者大會上，騰訊安全正式發(fā)布“云數(shù)據(jù)安全中臺”，助力企業(yè)以極簡的方式，構建端對端的云數(shù)據(jù)全生命周期安全體系。

　　具體而言，騰訊安全以云數(shù)據(jù)安全中臺為中心，圍繞數(shù)據(jù)加密軟硬件系統(tǒng)(CloudHSM/SEM)、密鑰管理系統(tǒng)(KMS)憑據(jù)管理系統(tǒng)(Secrets Manager)三大能力，將合規(guī)的密碼運算、密碼技術、密碼產(chǎn)品以組件化、服務化方式輸出，保障企業(yè)數(shù)據(jù)在識別、使用、消費過程中的安全。在這套數(shù)據(jù)安全體系中，騰訊安全可提供全數(shù)據(jù)生命周期支持、完整的云產(chǎn)品生態(tài)集成以及隨取隨用的加密API/SDK服務。

(騰訊云數(shù)據(jù)安全負責人姬生利介紹“騰訊云數(shù)據(jù)安全中臺”)

　　產(chǎn)業(yè)數(shù)字化轉型形勢下，云上數(shù)據(jù)安全成關鍵風險點

　　數(shù)據(jù)安全已經(jīng)成為所有企業(yè)在產(chǎn)業(yè)互聯(lián)網(wǎng)時代必須直面的挑戰(zhàn)。據(jù)risk based security 統(tǒng)計，2019年上半年，世界范圍內已經(jīng)發(fā)生了3813起數(shù)據(jù)泄露事件，被公開的數(shù)據(jù)達41億條。全球各行業(yè)正在遭受高頻次爆發(fā)的數(shù)據(jù)泄露安全事件困擾，國際國內相關公司和用戶也正因此而遭受巨大的損失。

　　今年10月12日，國務院發(fā)展研究中心發(fā)布了《中國云計算產(chǎn)業(yè)發(fā)展白皮書》，指出影響云計算產(chǎn)業(yè)發(fā)展和應用的最普遍、最核心的制約因素就是云計算的安全性和數(shù)據(jù)私密性保護。云上數(shù)據(jù)安全，儼然已經(jīng)是業(yè)務數(shù)字化、智能化升級的關鍵風險點。

　　面對數(shù)據(jù)泄露帶來的挑戰(zhàn)，我國正在加快在數(shù)據(jù)安全領域、密碼應用規(guī)范及密碼立法的步伐，與數(shù)據(jù)安全保護相關的法律法規(guī)相繼出臺。例如今年5月網(wǎng)絡安全等級保護條例2.0正式發(fā)布，明確了密碼評測的重要性;10月《密碼法》正式發(fā)布，旨在通過約束密碼應用規(guī)范，來落實關鍵數(shù)據(jù)的保護策略。在此背景下，企業(yè)安全架構將進一步朝以數(shù)據(jù)為中心“Data-Centric”的防護策略發(fā)展。

　　對于企業(yè)防護而言，數(shù)據(jù)全生命周期防護關鍵點是在數(shù)據(jù)的產(chǎn)生、流動、存儲、使用及銷毀過程中應用加密技術進行保護，并進行細粒度的身份認證和訪問控制。然而，企業(yè)在落實密碼應用策略方面存在四大難點問題：一是數(shù)據(jù)的分類和治理策略，明確哪些數(shù)據(jù)需要加密，如何進行分類管理，這是進行有效數(shù)據(jù)安全防護的基礎;二是如何在數(shù)據(jù)存儲、使用、傳輸中透明地應用合規(guī)的加密策略，如傳輸加密、存儲加密等;三是在這些加密應用中如何保障密鑰的安全與管理，確保密鑰被安全的地創(chuàng)建、管理、分發(fā)、更新或銷毀等;第四是異常事件的監(jiān)測和分析。

　　圍繞三大核心能力，助力企業(yè)極簡構建云數(shù)據(jù)全生命周期安全體系

　　為幫助行業(yè)客戶解決數(shù)據(jù)安全問題，護航產(chǎn)業(yè)安全發(fā)展，騰訊安全基于20年來騰訊自身數(shù)據(jù)保護的經(jīng)驗，和行業(yè)領先的攻防技術積累，推出了“云數(shù)據(jù)安全中臺”，打造端到端的云數(shù)據(jù)全生命周期安全體系，以數(shù)據(jù)加密軟硬件系統(tǒng)(CloudHSM/SEM)、密鑰管理系統(tǒng)(KMS)以及憑據(jù)管理系統(tǒng)(Secrets Manager)三大能力為核心，將密碼運算、密碼技術及密碼產(chǎn)品以服務化、組件化的方式輸出，并無縫集成至騰訊云產(chǎn)品中，實現(xiàn)從數(shù)據(jù)獲取、事務處理及檢索、數(shù)據(jù)分析與服務，數(shù)據(jù)訪問與消費過程中的安全防護。

　　針對企業(yè)密碼應用難點，騰訊安全首先在數(shù)據(jù)分類分級和安全策略上，對數(shù)據(jù)進行梳理分級，辨析出需要進行加密的敏感數(shù)據(jù)以及敏感數(shù)據(jù)的數(shù)據(jù)狀態(tài);其次，結合相應的合規(guī)標準和業(yè)務需求，實施不同的加密方式和合規(guī)策略，在進行數(shù)據(jù)加密的關鍵過程中，通過密鑰管理系統(tǒng)KMS，提供對密鑰的全生命周期進行管控;最后，按照制定的加密策略應用到企業(yè)核心業(yè)務、敏感數(shù)據(jù)以及數(shù)據(jù)鏈路上。借助騰訊云數(shù)據(jù)安全中臺提供的極簡化的加密API和SDK服務，企業(yè)用戶可以輕松的在各個業(yè)務環(huán)節(jié)中嵌入合規(guī)的加密及密碼技術，便捷的實現(xiàn)對現(xiàn)有業(yè)務的密碼應用進行合規(guī)化改造，構建極簡的云數(shù)據(jù)保護方案。

(騰訊云數(shù)據(jù)安全中臺架構)

　　目前，騰訊云數(shù)據(jù)安全中臺已經(jīng)應用在敏感數(shù)據(jù)加密、本地高性能數(shù)據(jù)加密、云上數(shù)據(jù)安全存儲、敏感配置信息托管及加密等常見安全場景當中。

　　針對敏感數(shù)據(jù)，密鑰管理系統(tǒng)(KMS)提供了細粒度的權限管控和基于硬件加密機的計算資源，借助KMS服務，可以幫助用戶便捷安全的對配置文件、密鑰證書、用戶信息、銀行賬號、口令等隱私數(shù)據(jù)進行加解密服務，實現(xiàn)敏感數(shù)據(jù)明文不落盤。

　　為了讓用戶以最小的工作量極簡地實現(xiàn)對云上數(shù)據(jù)的加密保護，密鑰管理系統(tǒng)(KMS)和云產(chǎn)品無縫集成，為用戶提供透明加密的解決方案，用戶只需要開通相應的服務，無需關系加密的細節(jié)，密鑰管理系統(tǒng)(KMS)就能為云產(chǎn)品提供密鑰CMK和DEK，實現(xiàn)透明的數(shù)據(jù)加密。

　　對于本地高性能數(shù)據(jù)加密，密鑰管理系統(tǒng)(KMS)實現(xiàn)了多語言的進一步封裝，提供KMS Encrypt SDK應用。用戶只需要通過簡單調用接口，即可實現(xiàn)高性能的本地數(shù)據(jù)加密應用，開發(fā)者只需要管理根秘鑰CMK的權限控制即可便捷實現(xiàn)海量數(shù)據(jù)本地加解密服務。

　　針對敏感配置、敏感憑據(jù)硬編碼帶來的泄露風險問題，憑據(jù)管理系統(tǒng)Secrets Manager服務為用戶提供憑據(jù)的創(chuàng)建、使用、刪除、權限等全生命周期管理，所有的憑據(jù)由密鑰管理系統(tǒng)(KMS)進行加密保護，并且提供非常簡單的使用接口和SDK，極大地降低用戶的使用成本和管理成本。通過騰訊云數(shù)據(jù)安全中臺Secrets Manager的能力，可以輕松實現(xiàn)對數(shù)據(jù)庫憑證、API 密鑰和其他密鑰、敏感配置等的集中檢索、管理以及加密存儲，有效避免程序硬編碼帶來的明文泄密以及權限失控帶來的業(yè)務風險。

　　基于“云數(shù)據(jù)安全中臺”，配合騰訊云專業(yè)的數(shù)據(jù)治理技術、加密服務中臺設施、以及核心數(shù)據(jù)安全產(chǎn)品，騰訊安全將致力于打通合規(guī)層、技術層、云產(chǎn)品層、安全服務層、解決方案層等方面的安全能力，幫助用戶構建極簡云數(shù)據(jù)保護方案，助力企業(yè)低成本、高效率地應對來自數(shù)據(jù)安全的挑戰(zhàn)，加速實現(xiàn)數(shù)字化、智能化的轉型升級。