隨著現代企業數字化發展的不斷推進，遠程辦公、業務上云已經成為常態，而企業數據資產作為未來企業發展的基座，在運營、存儲、訪問等一系列流程中也面臨著巨大的安全風險挑戰，如何做好企業數據資產的運營與防護？如何讓企業放置在云端的數據資產，既能“存得住”，又能“用得好”，還能讓企業隨時可以“看得見”？
為了幫助企業更好地理解和應對業務上云后所面臨的數據安全風險，阿里云于2021年云棲大會發布了《阿里云數據安全和隱私保護白皮書》，安全牛日前訪談了白皮書的主創團隊：AIS團隊、存儲團隊、云安全團隊、合規團隊和ECS團隊，基于阿里云的數據安全防護實踐經驗，探討分析云上數據保護的體系化建設。
01
云上數據安全的體系化建設挑戰
提起數據安全，我們首先想到的會是“資料會不會被竊取，要如何給敏感信息加密”，但是隨著云計算與大數據的發展，技術的創新改變了數據的使用形態，特別是在企業將業務放到云端以后，云環境下的數據安全防護，更要結合國家相關法規政策的要求以及科技的實際發展狀況，面對可用性、安全性以及合規性這三大維度的安全挑戰，對云上數據安全進行全面的、體系化的治理與保護。
阿里云專家認為，企業業務上云后，數據資產的安全性成為最受用戶關注的重點之一。云計算環境下的數據安全，并非單點，而是體系化的建設工程：從物理基礎設施的建設安防，到平臺層存儲、網絡、計算、容災的風險收斂，再到云上數據的安全合規，貫穿了云上數據的采集、傳輸、存儲、處理、交換、銷毀等各流程。在云上數據安全能力構建時，只有保證上述流程的可靠性、安全性和合規性相輔相成，才能夠實現云上數據的多維度深層次安全，真正構建起云上數據“合規、可靠、安全”的技術生態，建立用戶信任。
圖片來源：《阿里云數據安全和隱私保護白皮書》
安全牛了解到，阿里云成立以來，始終高度重視云上用戶的數據安全，在云設計之初就同步考慮了安全架構，不僅將安全的基因植入到整個云平臺和各個云產品中，更將數據安全要求嵌入到了與產品開發生命周期相關的各個環節當中。
02
防護“一步曲”：以云基礎架構安全能力為依托
當企業業務云化之后，云端數據存儲與傳統數據存儲一樣，都需要面對勒索、泄漏、誤刪等安全風險，傳統數據存儲所使用的數據加密、校驗等手段在云上也同樣適用也是通用的。云環境下，災備體系依舊是行之有效的數據安全防護手段。因為無論怎樣高可靠性、高安全性的服務也不能完全杜絕企業內部人員誤刪和惡意刪除數據的情況發生，所以從安全存儲的角度出發，最好的手段就是做好容災備份和加密訪問。云上數據存儲具有穩定、彈性、安全、即開即用等特點，因此云上數據災備的方式更簡單，也降低了整體數據災備的成本投入。
據阿里云存儲團隊介紹，在傳統環境下完成數據的備災，不僅成本高昂，而且災難恢復效果也難以保證。相比之下，云存儲的彈性特點優勢可以特別容易地應對和解決，部署困難、災變突發性強、危害性大、操作復雜、成本高、容災演變無法保障等問題。同時，在云災備環境下，用戶可以通過極小的價值投入完成一系列數據的復制、快照等工作，經濟成本更低，進而讓原本無法承擔高昂的線下IDC機房和硬件產品成本的企業用戶，也能夠享受到高水平的、普惠的備災能力。”
業務云化后，安全防護手段的最大轉變主要在于物理安全層面，因為此時的物理環境安全是作為云安全服務的一部分來進行管理的，對于物理環境下整體運營狀況都是可管可控的。阿里云AIS團隊表示：“云服務下的物理安全防護是與數據中心全生命周期管理相關聯的，某個服務器是否在運行，存儲介質是否被擦除、銷毀等異常情況都在管控范圍內。”
03
防護“二步曲”：讓云上數據責權分明
很多企業會擔心云上數據的合規問題，因為云廠商對于云上數據的操作、運維等動作，完全是個黑盒，存取過程的不可知，自然會導致應用結果的不可信。
阿里云合規負責人認為，云上數據合規的核心目的之一，是提升客戶對于云服務平臺的信任。這種信任的構建，不僅僅依賴于單純的技術，更需要制度和體系的保障。
為了保障云上數據應用的合規性，阿里云始終高度重視以下三個維度的工作：
一、明確云上數據的權利和義務。
實現企業云上數據的安全防護不僅僅是云服務商的“獨角戲”，需要用戶和云服務商共同完成。阿里云將云上數據分為用戶業務數據和用戶隱私數據，客戶對于這兩類數據都擁有絕對的歸屬權和控制權，未經許可，阿里云不會接觸、操作、更改客戶數據。同時，企業用戶在具備以上權利的同時，也承擔著提升安全意識，積極使用安全防護產品、響應安全防護策略的義務。用戶和云服務商，在對云上數據的合規治理和安全防護上，實現了安全責任共擔。
二、對內建立不可觸碰的行為紅線。
在權利與義務之下，阿里云恪守對用戶的安全承諾，在內部建立了三個統一管理平臺，包括賬號統一管控、運維統一管理和統一客戶授權管理。此外，阿里云所有賬號管理遵循最小權限原則，僅授予員工必要的權限，同時設置了運維操作紅線。將有限的權限賦予正確的人做正確的事，才能保護云上數據免受未經權限的訪問。
三、透明是提升信任的最有效手段。
雖然云廠商通過種種技術和規定來證明其數據的安全性，但是仍有一個核心問題：云上操作的數據黑盒。盡管云服務商會邀請第三方審計機構，不定期對內部進行管控和審計，但是客戶的疑問依舊會存在。為了解決這個問題，阿里云在內部發起了“水晶計劃”，將云內部人為的操作日志，徹底開放給客戶。客戶可以通過訂閱的方式，在任何他想訪問的時刻來獲得阿里云內部的運維操作日志，將黑盒變成白盒。
04
防護“三步曲”：以先進技術賦能數據應用安全
云上數據的安全防護同樣需要貫穿數據的采集、傳輸、存儲、處理、交換直至銷毀這一完整生命周期。
圖片來源：《阿里云數據安全和隱私保護白皮書》
在數據的采集和分類分級階段，阿里云會通過OCR技術，針對企業用戶的數據資產，分別從內容特征、特征萃取、語義特征、統計特征幾大角度出發，對結構化數據、非結構數據、圖片文件以及敏感數據進行分類分級，尤其對于敏感數據，云服務商會針對這類數據基于關鍵詞、數據列表名等制定自定義識別規則，以幫助企業用戶實現數據資產的有效管理。
在數據的傳輸和存儲階段，阿里云通過SSL/TLS協議、云加密服務(CloudHSM)和密鑰管理服務(KMS)，即可實現傳輸層、傳輸層應用、存儲層、存儲層應用的安全防護。同時，阿里云也提供給客戶數據在交換過程中的動態、靜態脫敏，幫助客戶實現明文與密文之間的平滑切換、避免因開發測試或外部人員直接訪問帶來的數據泄漏。
為了保證數據不被惡意使用，阿里云平臺建設了完善的身份認證體系，包括云平臺賬號密碼驗證、API訪問密鑰（AccessKey）、多因素認證（MFA）設備、安全令牌（STSToken）等目前常用的身份認證手段。
針對云上數據安全防護的新需求，大量新興安全技術也在不斷應用。以機密計算為例，這是一種新生的、適用于數據處理和預算階段的有效防護手段，借助硬件芯片技術通過一種“可用不可見”的形式讓數據在安全的環境中進行預算和處理，可以有效解決數據預算過程中的防泄密問題。
阿里云機密計算團隊表示：機密計算不僅可以對數據的計算處理進行安全防護，對于隱私數據保護也十分有利。相比密碼算法等傳統方式，機密計算是目前在工程上可落地的、解決大規模數據隱私計算的有效方法，它能夠為用戶提供全加密數據庫，在云上更好地實現數據安全保護。目前，阿里云的ACK-TEE、全加密數據庫、Datatrust等產品已經開始基于機密計算技術，來為云上用戶提供更先進的數據安全防護能力。
