阿里云上数据安全防护“三步曲”
随着现代企业数字化发展的不断推进，远程办公、业务上云已经成为常态，而企业数据资产作为未来企业发展的基座，在运营、存储、访问等一系列流程中也面临着巨大的安全风险挑战，如何做好企业数据资产的运营与防护？如何让企业放置在云端的数据资产，既能“存得住”，又能“用得好”，还能让企业随时可以“看得见”？
为了帮助企业更好地理解和应对业务上云后所面临的数据安全风险，阿里云于2021年云栖大会发布了《阿里云数据安全和隐私保护白皮书》，安全牛日前访谈了白皮书的主创团队：AIS团队、存储团队、云安全团队、合规团队和ECS团队，基于阿里云的数据安全防护实践经验，探讨分析云上数据保护的体系化建设。
云上数据安全的体系化建设挑战
提起数据安全，我们首先想到的会是“资料会不会被窃取，要如何给敏感信息加密”，但是随着云计算与大数据的发展，技术的创新改变了数据的使用形态，特别是在企业将业务放到云端以后，云环境下的数据安全防护，更要结合国家相关法规政策的要求以及科技的实际发展状况，面对可用性、安全性以及合规性这三大维度的安全挑战，对云上数据安全进行全面的、体系化的治理与保护。
阿里云专家认为，企业业务上云后，数据资产的安全性成为最受用户关注的重点之一。云计算环境下的数据安全，并非单点，而是体系化的建设工程：从物理基础设施的建设安防，到平台层存储、网络、计算、容灾的风险收敛，再到云上数据的安全合规，贯穿了云上数据的采集、传输、存储、处理、交换、销毁等各流程。在云上数据安全能力构建时，只有保证上述流程的可靠性、安全性和合规性相辅相成，才能够实现云上数据的多维度深层次安全，真正构建起云上数据 “合规、可靠、安全”的技术生态，建立用户信任。
图片来源：《阿里云数据安全和隐私保护白皮书》
安全牛了解到，阿里云成立以来，始终高度重视云上用户的数据安全，在云设计之初就同步考虑了安全架构，不仅将安全的基因植入到整个云平台和各个云产品中，更将数据安全要求嵌入到了与产品开发生命周期相关的各个环节当中。
防护“一步曲”：以云基础架构安全能力为依托
当企业业务云化之后，云端数据存储与传统数据存储一样，都需要面对勒索、泄漏、误删等安全风险，传统数据存储所使用的数据加密、校验等手段在云上也同样适用也是通用的。云环境下，灾备体系依旧是行之有效的数据安全防护手段。因为无论怎样高可靠性、高安全性的服务也不能完全杜绝企业内部人员误删和恶意删除数据的情况发生，所以从安全存储的角度出发，最好的手段就是做好容灾备份和加密访问。云上数据存储具有稳定、弹性、安全、即开即用等特点，因此云上数据灾备的方式更简单，也降低了整体数据灾备的成本投入。
据阿里云存储团队介绍，在传统环境下完成数据的备灾，不仅成本高昂，而且灾难恢复效果也难以保证。相比之下，云存储的弹性特点优势可以特别容易地应对和解决，部署困难、灾变突发性强、危害性大、操作复杂、成本高、容灾演变无法保障等问题。同时，在云灾备环境下，用户可以通过极小的价值投入完成一系列数据的复制、快照等工作，经济成本更低，进而让原本无法承担高昂的线下IDC机房和硬件产品成本的企业用户，也能够享受到高水平的、普惠的备灾能力。”
业务云化后，安全防护手段的最大转变主要在于物理安全层面，因为此时的物理环境安全是作为云安全服务的一部分来进行管理的，对于物理环境下整体运营状况都是可管可控的。阿里云AIS团队表示：“云服务下的物理安全防护是与数据中心全生命周期管理相关联的，某个服务器是否在运行，存储介质是否被擦除、销毁等异常情况都在管控范围内。”
防护“二步曲”：让云上数据责权分明
很多企业会担心云上数据的合规问题，因为云厂商对于云上数据的操作、运维等动作，完全是个黑盒，存取过程的不可知，自然会导致应用结果的不可信。
阿里云合规负责人认为，云上数据合规的核心目的之一，是提升客户对于云服务平台的信任。这种信任的构建，不仅仅依赖于单纯的技术，更需要制度和体系的保障。
为了保障云上数据应用的合规性，阿里云始终高度重视以下三个维度的工作：
一、明确云上数据的权利和义务。
实现企业云上数据的安全防护不仅仅是云服务商的“独角戏”，需要用户和云服务商共同完成。阿里云将云上数据分为用户业务数据和用户隐私数据，客户对于这两类数据都拥有绝对的归属权和控制权，未经许可，阿里云不会接触、操作、更改客户数据。同时，企业用户在具备以上权利的同时，也承担着提升安全意识，积极使用安全防护产品、响应安全防护策略的义务。用户和云服务商，在对云上数据的合规治理和安全防护上，实现了安全责任共担。
二、对内建立不可触碰的行为红线。
在权利与义务之下，阿里云恪守对用户的安全承诺，在内部建立了三个统一管理平台，包括账号统一管控、运维统一管理和统一客户授权管理。此外，阿里云所有账号管理遵循最小权限原则，仅授予员工必要的权限，同时设置了运维操作红线。将有限的权限赋予正确的人做正确的事，才能保护云上数据免受未经权限的访问。
三、透明是提升信任的最有效手段。
虽然云厂商通过种种技术和规定来证明其数据的安全性，但是仍有一个核心问题：云上操作的数据黑盒。尽管云服务商会邀请第三方审计机构，不定期对内部进行管控和审计，但是客户的疑问依旧会存在。为了解决这个问题，阿里云在内部发起了“水晶计划”，将云内部人为的操作日志，彻底开放给客户。客户可以通过订阅的方式，在任何他想访问的时刻来获得阿里云内部的运维操作日志，将黑盒变成白盒。
防护“三步曲”：以先进技术赋能数据应用安全
云上数据的安全防护同样需要贯穿数据的采集、传输、存储、处理、交换直至销毁这一完整生命周期。
图片来源：《阿里云数据安全和隐私保护白皮书》
在数据的采集和分类分级阶段，阿里云会通过OCR技术，针对企业用户的数据资产，分别从内容特征、特征萃取、语义特征、统计特征几大角度出发，对结构化数据、非结构数据、图片文件以及敏感数据进行分类分级，尤其对于敏感数据，云服务商会针对这类数据基于关键词、数据列表名等制定自定义识别规则，以帮助企业用户实现数据资产的有效管理。
在数据的传输和存储阶段，阿里云通过SSL/TLS协议、云加密服务(CloudHSM)和密钥管理服务(KMS)，即可实现传输层、传输层应用、存储层、存储层应用的安全防护。同时，阿里云也提供给客户数据在交换过程中的动态、静态脱敏，帮助客户实现明文与密文之间的平滑切换、避免因开发测试或外部人员直接访问带来的数据泄漏。
为了保证数据不被恶意使用，阿里云平台建设了完善的身份认证体系，包括云平台账号密码验证、API访问密钥（Access Key）、多因素认证（MFA）设备、安全令牌（STS Token）等目前常用的身份认证手段。
针对云上数据安全防护的新需求，大量新兴安全技术也在不断应用。以机密计算为例，这是一种新生的、适用于数据处理和预算阶段的有效防护手段，借助硬件芯片技术通过一种“可用不可见”的形式让数据在安全的环境中进行预算和处理，可以有效解决数据预算过程中的防泄密问题。
阿里云机密计算团队表示：机密计算不仅可以对数据的计算处理进行安全防护，对于隐私数据保护也十分有利。相比密码算法等传统方式，机密计算是目前在工程上可落地的、解决大规模数据隐私计算的有效方法，它能够为用户提供全加密数据库，在云上更好地实现数据安全保护。目前，阿里云的ACK-TEE、全加密数据库、Datatrust等产品已经开始基于机密计算技术，来为云上用户提供更先进的数据安全防护能力。
