腾讯安全姬生利：云上数据安全防护，如何实现零改造、高性能、易运维？

2021年7月31日，第七届全球互联网架构大会(简称“GIAC”)在中国深圳成功举办。作为中国地区规模最大的技术会议之一，本届GIAC汇聚了国内外互联网技术架构相关的行业顶尖企业高管、技术负责人及高端技术从业人员，就互联网架构热门的前沿趋势、云原生、智能数据、爆款架构演进、卓越工程实践等领域进行技术创新及研发实践架构案例的探讨与分享，共同打造了一个互联网构建方式的尖端讨论平台。

腾讯云鼎实验室数据安全总监姬生利在会上发表题为《腾讯云数据安全与隐私保护》的演讲，围绕数据上云面临的数据安全问题、腾讯云数据安全架构和实践、腾讯云数据安全和隐私保护解决方案等三个方面，分享了当下云端数据安全威胁形势与解决这一问题的新思路和新方法。

随着数字化、物联网、人工智能等新兴科技的兴起与不断发展，数据作为新的生产要素正在成为驱动经济发展的新引擎。然而在数据驱动的过程中，数据安全问题也日益凸显，并成为企业上云发展的最大威胁。企业数据安全通常面临数据治理困难，密码技术难用、难做、难管，数据安全实施复杂、成本高等问题。

姬生利指出，云原生的架构带来了数据安全策略的演进。“我们需要更好地贴近数据、贴近云平台，由云平台提供各类原生的工具和服务集，最大化地降低企业上云后数据安全的开发成本。最终为用户提供与云平台融合的内生安全架构，在保障企业业务高效开发的同时，满足数据安全和隐私保护合规问题。”

构建云数据安全中台，提供全数据生命周期支持

当前，国内外云厂商普遍尚未提供云原生一体化的数据安全治理工具，云租户需要借助外部工具碎片化实现云上数据安全保护的技术落地。此外，在敏感数据的加密方案上，各大云服务商目前主流的数据加密方案普遍要求云租户具备一定的密码方案设计以及开发能力，在实际落地时存在较高的使用门槛。

基于这个背景，腾讯安全云鼎实验室提出了“云数据安全中台”的解决思路，通过基于商用密码技术的数据加密软硬件服务（CloudHSM /SEM）、密钥与凭据管理系统（KMS/SSM）以及云访问安全代理（CASB）三大核心能力，为企业提供便利的一站式云上数据分类分级、敏感数据识别、数据加密和动态脱敏方案，保障数据在识别、使用、存储过程中的安全。

“KMS和SecretsManager提供核心的密钥和凭据安全托管能力，云加密机和商用密码的软件SDK为企业提供云上的密码计算资源，CASB提供应用免改造的字段级加密和动态脱敏能力。”姬生利介绍，依托腾讯云的数据安全中台，企业可以高效达成各个环节的数据安全和隐私保护的需求，实现完整的云产品生态集成以及对国密与FIPS标准的支持。

整个数据安全中台以密码基础支撑服务为底座，在认证密码服务、终端密码服务、网络与通信安全、数据存储安全服务、管理配置安全服务等方面对上层提供了统一的接入方式。基于中间件，上层可以迅速搭建合规的密码应用架构。目前，腾讯云数据安全中台已广泛应用在智慧城市、政务云、金融云、智慧党建等多个行业领域。

零改造+高性能+易运维，CASB成为云上数据安全应用最佳实践

在采用密码技术进行数据全链路加密，解决海量数据在云平台的安全存储问题后，对于上层业务来说，聚焦敏感数据的安全保护，则需要更加精准的字段级加密和脱敏能力。而哪些是敏感数据、采用什么策略才能既不对业务连续性造成影响又能保障数据安全和合规，则是企业需要解决的问题。

为了解决这个问题，腾讯安全推出了一站式的数据安全保护方案CASB，从元数据管理到基于合规组的敏感数据识别，再到字段级加密和脱敏的策略配置，真正实现了应用免改造即可快速的实现数据的加密存储和基于动态脱敏的隐私保护。

首先，基于云数据库中用户存储数据的敏感字段，CASB的敏感数据识别会自动发现，提示用户进行加密和脱敏策略的配置，配置完成后，业务应用需要用到该敏感字段时，会由CASB自动进行加密，数据库该字段最终存储的是安全加密后的密文。对于数据查询或者展示类的应用，通过CASB动态脱敏，在数据查询时由CASB自动将数据解密后再采用所选择的脱敏算法进行脱敏展示，整个过程中业务代码无需变更，具备零改造、高性能和易运维三大综合优势。相比于其他云数据加密技术，CASB以最新、最快、最轻的特征成为目前腾讯在云数据安全运营探索下的最佳实践。

数据安全是企业安全，更是国家安全。腾讯安全以自身在安全领域20余年的实践经验，致力于帮助每位企业伙伴守护好数据安全生命线，在数字化发展的历史机遇下，夯实安全底座，拥抱数字化升级。

免责声明：市场有风险，选择需谨慎！此文仅供参考，不作买卖依据。