奉上一份雲上數據安全保護指南

阿里雲資深安全專家黃瑞瑞

本方案的目標是爲用戶提供從底層雲平臺數據安全到上層的雲上環境保護，並標明各層次模塊，讓用戶能夠像建房子同樣，一層層的搭建可信的在雲上數據的安全保護。在各橫向層次模塊以外，雲上數據安全也須要縱向的認證、受權、訪問控制和日誌審計功能，從而爲客戶提供可控和合規的雲上數據安全保護方案。

雲上數據保護方案

總體而言，雲上的數據安全保護方案須要作到三點原則：可信、可控、合規。換言之，只有在可信和可控的雲上環境中，提供合規的數據安全保護方案才能真正作到爲客戶提供最頂級的數據保護。會上，黃瑞瑞針對這三點原則作出了針對性的技術介紹和討論。

阿里雲在雲平臺層面爲客戶提供默認高安全等級的基礎設施能力，使客戶能夠放心的將數據存放和計算在可信的雲平臺上。值得特別指出的是，阿里雲在雲平臺層面會對硬件和固件的安全進行加固和掃描，並使用TPM2.0技術來提供可信的度量和證實雲平臺底層的安全計算環境。同時阿里雲具有基於硬件加密機（HSM）和芯片級別（SGX ）的安全計算能力。

阿里雲基礎設施安全能力

在雲產品層面，數據安全主要體如今雲產品提供可信的數據加密能力、備份能力和校驗能力。會上，黃瑞瑞對於雲產品的加密能力進行了針對性的講解，並向參會嘉賓特別介紹了阿里雲的全鏈路加密能力。全鏈路加密顧名思義是指針對數據加密在傳輸鏈路，以及計算和存儲節點提供對應的業界高級別加密能力。傳輸加密主要依賴SSL/TLS加密並提供AES256強度的加密保護。計算節點中阿里雲在2017年即開始提供芯片級SGX加密計算環境（在提供SGX能力的雲廠商中，阿里云爲亞洲第1、世界第二提供此能力的廠商）。在存儲加密環節，阿里雲不但能提供高強度（AES256）的數據落盤加密能力，更經過密鑰管理服務（KMS）提供用戶自帶密鑰（BYOK）功能。聯合KMS密鑰管理，阿里雲能夠爲用戶提供全鏈路的數據加密保護。

數據全鏈路加密

總體來講，數據加密操做流程是明文數據經由國際國內公認的安全算法計算得出數據密文。在加密操做中，被安全保護和管理的密鑰是加密保護的充分而必要的條件。換言之，控制了密鑰，也就控制了總體加密操做的主動權。早在2015年阿里雲就在業內首個發起「數據保護倡議」，並在倡議中明確用戶數據全部權歸屬用戶，雲計算平臺不得擅自移做它用。所以，用戶自帶密鑰（BYOK）功能是阿里雲致力於保護用戶隱私和將數據控制權進一步交給客戶的重要技術手段。因爲用戶自帶主密鑰爲用戶資源，而任何調用需經過用戶受權（經過阿里雲RAM服務），用戶對於加密後數據的使用有了徹底自主的控制權和主動權。同時，任何對於用戶資源的調用都會在日誌審計中完整的顯示出來，所以加密後數據的雲上使用透明性也有了更好的保障。

在雲上數據安全保護層面，黃瑞瑞提出了敏感數據保護的三個技術點，包括分類分級（敏感數據鑑別）、訪問控制和防泄漏能力。在分類分級技術點中，今天的正態規則引擎雖然能識別規則的敏感數據格式，但針對日益嚴格的用戶隱私保護需求和法律法規，人工智能（AI）引擎也必須被高效的利用起來。今天的AI引擎能夠和規則引擎相配合，利用規則引擎的低誤報率來下降其誤報率並在規則引擎的基礎上提供更加智能的數據鑑別能力。當敏感數據被鑑別出來後，雲服務應當提供細粒度的訪問控制，尤爲應提供在用戶屬性基礎上針對數據自己敏感屬性的訪問控制能力。最後，敏感數據的防泄漏能力必須在網絡、終端和應用各個層面完整的提供。總體而言，雲上數據安全保護應當提供從鑑別數據、控制數據訪問和防止泄露能力上提供全面的保護。

敏感數據保護的三個技術點

在阿里雲提供了可信和可控的數據保護技術手段的前提下，更進一步得到了中國和國際上的各大權威合規認證。目前阿里雲已經成爲合規資質最全的亞太雲服務提供商，是亞太首家得到德國C5和ISO27001認證的企業，中國首家得到MTCS Level3和ISO 20000認證的企業，併爲世界互聯網大會、G20峯會、「一帶一路」高峯論壇等多個國際重大活動，提供高等級網絡安全護航。

阿里雲得到的合規認證

阿里雲的安全使命是將雲上安全作到極致，提供更堅固，更強壯的安全能力給用戶堅實的後盾，解放用戶使其能專一自己的業務問題。尤爲在數據保護層面，必須爲用戶提供最有力的全面安全保護能力。「咱們的目標是當用戶考慮上雲時，再也不考慮因爲安全可否上雲，而是確認正是由於安全而必須上雲。」黃瑞瑞最後表示。

 

原文連接 本文爲雲棲社區原創內容，未經容許不得轉載。