<mark id="oztn4"></mark>
0
2021年12月11日，由雷峰網 & AI 掘金志主辦的第四屆中國人工智能安防峰會，在深圳正式召開。
本屆峰會以「數字城市的時代突圍」為主題，會上代表城市AIoT的14家標桿企業，為現場和線上觀眾，分享迎接數字城市的經營理念與技術應用方法論。
會上，騰訊安全云鼎實驗室高級研究員謝燦發表了精彩演講。
謝燦提到，從2019年的《密碼法》到今年的《個人信息保護法》、《數據安全法》，在法律法規層面，我國加大了數據安全合規管控。全球各國廣泛推出數據安全管制法規，標志著數據安全合規時代的到來。
數字經濟時代數據安全合規背景下，企業數據安全需求發生變化，主要在數據安全和隱私保護兩個方面。
之前行業更多地談網絡攻擊、數據防泄露，現在行業必須把隱私保護，比如數據的過度收集、數據濫用、數據泄露納入安全規劃。也就是說，行業需要在數據安全得到保護以及合規性指導下釋放數字經濟生產力，以數據安全治理為中心的數據安全建設新理念。
行業從主要談網絡安全，比如靜態數據安全防護，到后續更多地談數據全生命周期、數字化業務發展，兼顧安全、合規與成本。
數據安全新挑戰以及數據安全技術落地重點，同時也是數據安全的難點在于以下幾個方面：
數據資產化，迫使安全管理機制優化；
IT架構快速變化，導致安全防御體系失效；
算力持續增長，使得傳統安全算法滯后；
攻防節奏加快，讓行業快速部署及應急響應能力亟待提升。
例如，傳統數據安全方案上線動輒數月，往往也需要業務系統進行改造適配，且在海量數據量場景下，甚至給業務帶來20%-30%的業務損耗，已經無法匹配數字經濟時代下，數據合規與新IT架構下的數據安全戰略訴求。
這就需要行業形成一體化、自動化、高性能、快部署、免改造的實現方式。目前已經有成熟方案，例如在騰訊工業云平臺Wemake的數據加密中，通過應用騰訊云安全訪問代理CASB的加密方案，一天就完成了上線，業務性能損耗在5%之內。
以下是謝燦演講全文，雷峰網(公眾號：雷峰網)AI掘金志作了不改變原意的整理與編輯：
謝燦：大家好，我是騰訊云鼎安全實驗室的謝燦。很高興與大家分享我們在數據安全方面的研究成果。
首先，看數據安全的研究之前，我們看一下環境變化。在數據經濟時代，數據安全新環境發生了新的需求，從而衍生出數據安全保護以及合規的問題。
新環境和新需求體現以下幾個方面：
從數據安全行業，或者從整個數字化建設階段來看，比較重大的事件是，2018年GDPR（《通用數據保護條例》）生效后，當時的Facebook因為數據安全問題，被處以4%年度營業額的罰款，其股價大跌15%。因此數據安全實際上成為企業經營風險管控的重要一環，但這件事主要涉及海外領域，國內感覺不深。
到了今年，我們國家開始施行《個人信息保護法》、《數據安全法》，再聯系到2019年的《密碼法》，相信大家已經感受到，在法律法規層面，我國加大了數據安全合規管控。
這些法律法規總結起來有幾個特點。
適用范圍非常廣，包括國內、跨境以及不同行業，都有相應法律合規性的要求，并且合規要求很高，尤其是涉及個人信息層面；舉個例子，以前企業可以采集個人數據，用人臉識別做業務創新，但現在不得不考慮合規性要求；
處罰力度大。我國的《個人信息保護法》，對違法違規企業的罰款，實際是全年營業額的5%，非常高的金額。
以前行業主要談網絡攻擊、數據防泄露，現在必須把隱私保護涉及數據的過度收集、數據濫用、數據泄露納入安全規劃。也就是說，行業需要在數據安全得到保護以及合規性指導下釋放數字經濟生產力。
從安全從業者的角度來看，十幾年前，我們談安全，主要談網絡安全，可能是做一些靜態數據的防護，這件事干完，指標就可以達成。
后來幾年我們談數據，在數據的全生命周期當中，每一個周期做安全防護措施就可以了。我們做的更多是消耗性部門的工作，沒有在企業整體的發展中發揮作用。
到了現在這個階段，數據安全成為了企業的戰略，我們從“網絡——數據——數據安全治理”，需要更多考慮數字化業務發展的規劃。
比如明年要通過數字化做什么樣的業務，以及在這個業務中，安全需要做什么樣的規劃配套，以及在合規性、安全性上如何進行平衡，更好地推動數字化業務的發展。
所以說，在法律法規逐漸完善、行業發生數字化轉型的大背景下，數據安全保護也出現新的要求，對企業而言，也要出現新的改變。
在數據安全治理方面，有很多研究框架可以參考，包括Gartner的DSG框架，微軟的DGPC框架以及國標委DSMM模型。
我們應用更廣泛的，以及我自己參考最多的，主要是Gartner的框架。數據安全不只是上加密、做DLP、做身份管控就行，更重要的是，從業務化戰略、合規戰略以及IT戰略層面，規劃未來幾年到底需要怎么發展，然后再看怎樣在安全領域做優先級規劃，再落地到安全建設的流程里。
今年以來，數據安全迎來春天，重要性提升到企業的戰略級別。同時，也面臨著許多困難，這也是為什么數據安全安全發展了很多年，但實際上走的很慢的原因。
數據資產化，數據安全管理已經發生變化，相比傳統的數據安全，需要換一個層次思考安全管理的需求；
IT架構快速變化，現在行業講的是容器和微服務的IT架構變化，然而當IT產品沒有發生變化時，就很難適應數字化發展的路徑；
算力持續增長，數據量的增長，對算力的要求更高，安全行業需要與之匹配；
攻防節奏加快，關注網絡安全行業的人可能會知道，中午出現漏洞，所有人都要加班加點堵漏洞，包括捕獲針對該漏洞的攻擊行為，與黑客拼時間。
在這種情況下，數據安全以及數據安全從業者，需要新型方案，做新型、快捷、輕量的方式。
前幾天，我們跟一位德勤的合作伙伴聊天，他說他非常苦惱，經常給一些企業做數據安全咨詢，畫了一個大圖，告訴企業，數據要怎樣分析，要做什么樣的管控。做完之后發現，沒有產品可以落地，結果就變成德勤的方案規劃很好，但沒有技術，落不了地。
傳統數據安全產品大多數比較分散，在不同的數據流階段部署不同的技術手段，比如審計的時候，在數據庫裝一個插件；做脫敏的時候，要做分類分級掃描庫。
在用不同的技術手段去做的時候，工期特別長，可能業務只有兩個月的上線周期，安全要花半年、一年的時間，遠遠達不到要求。如果達不到數據安全的合規標準，業務是不能上線的。
另一方面，從業態本身的發展來看，傳統的數據安全對現在的數字經濟時代來說是遠遠不夠的，需要有企業提供專門的服務。
這就是云鼎實驗室的定位：負責騰訊公有云平臺安全的同時，將研發的技術及產品對外輸出。
當我們看到內部需求，以及用戶側需求的時候，我們持續在數據安全進行投入。整個方案首先還是集中治理，我們需要在用戶這一側把敏感數據管理起來。
但這些敏感數據在哪？我們還不知道。
因此首先需要發現敏感數據的資產，發現后，根據行業合規標準或內部安全管控的標準做相應的分類分級；然后再進行相應的管控，包括訪問的控制，訪問權限，以及DBA是不是能訪問全部的數據；并且敏感字段需要進行加密，訪問的時候也要進行脫敏。
在CASB應用實踐中，包括騰訊的工業云、財務管理，以及在線教育、保險、健康碼、小程序等等，我們在這個過程中形成了快捷的數據安全解決方案。
其次，在發現敏感數據之后，要做分類分級。
怎么分？
目前在國內，一些行業，如金融、汽車等，已經有相應數據安全分類分級的標準了，比如個人金融信息保護，比如哪些數據屬于敏感數據，必須進行相應的管控。
但整體而言，數據分類分級的成熟度并不是特別高。
所以，我們可以基于相應的合規模板做分類分級的A/B/C，哪類數據是敏感數據，需要做加密，哪類數據共享時需要做脫敏，都可以做策略控制。
最后，數據存儲必須要加密，即便遇到黑客攻擊，它也是密文技術，即便泄露出去，不會給企業的業務帶來風險，也可以規避合規和處罰的風險。另外，在業務使用時，當合作方讀取敏感信息時，需要做脫敏管控，包括對被授權應用進行相應管控。
大家可以看一下上面這張圖。在這個方案里，如果我們保護個人金融信息，保護規范，整個數據存儲里，包括數據庫和存儲，有哪些的敏感數據、多少個表、多少個數據庫、存儲對象，屬于中風險還是高風險，這些風險數據是否采用了加密或脫敏，如果沒采用可以點擊進行脫敏，這些都可以掃描出來，整個過程非常流暢。
最后講一下我們的案例。
目前我們CASB應用更多的是騰訊內部的業務系統。
最典型的場景，是騰訊的工業云WeMake平臺。當時在做一個五星級平臺認證的時候，突然發現云平臺在數據隱私保護上，缺乏管控措施，這時候離測評只剩下一周的時間，他們自己肯定搞不定，于是直接上我們的CASB方案，性能表現很好。
這體現在兩方面：一是時間快，二是性能損耗低。
一方面，按照以前他們在工業云平臺上做數據安全治理的邏輯，三個月的時間也做不完，但是用CASB的方式，一天就可以完成相應數據安全治理的上限；
另一方面，數據加密損耗太高（20%-30%）是不可接受的，CASB方案最小化控制了性能損耗，從30%下降到5%甚至2%，目前我們也正在跟數據庫做內核層的集成，性能損耗會進一步降低。
所以這才是數字經濟時代需要的解決方案，可以支持數據性能、業務上線時間的要求。
騰訊開始做健康碼的時候，也遇到過這些問題，但現在所有的健康碼、城市碼上線時，都可以非常快速實現數據安全保障，并達到相關政務行業合規性的要求。
數據安全一定要匹配業務發展的節奏，或業務數字化轉變的節奏，這是我們做云化數據安全帶來的優勢，其特點是一站式、輕量化、精準化、免改造、可迭代等等。
云鼎實驗室負責整個公有云平臺的安全，包括安全運營以及數據安全，其核心就是云數據安全中臺，主要輸出網絡加密、密鑰管理、應用加密，以及馬上推出的精密計算等能力。
在此基礎之上，我們把這個產品跟云產品進行集成。
未來，我們希望在騰訊云的基礎架構上，從數據獲取，到數據的處理、檢索、分析以及整個銷毀的過程，都可以利用數據安全的技術快速實現業務架構數據安全能力的集成。
這種情況下，業務部門可以專注于自己的業務架構搭建，數據安全能力可以原生集成到業務架構里。
從客戶端、后臺到傳輸過程，都可以用云數據安全的能力，達到整體的隱私保護。
最后，騰訊安全云鼎實驗室云數據安全中臺的愿景，就是讓云比傳統數據中心更為安全可控。
2022年1月，我們會推出機密計算的能力，解決具備核心應用的用戶在上云時需要解決的云服務商信任的問題。在傳統數據安全的基礎之上，必須信任云廠商，數據上云，只能通過商務條款或信任度保障數據是安全的。
我們發布機密計算，其實是把云的信任模型從誠實模型轉變為半誠實模型，保證所有的數據上云之后，數據管控依然在用戶手中。雷峰網雷峰網
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
