隨著企業上云和數字化轉型升級的不斷深化，數據泄露已經發展成為全球最常見的安全問題之一，企業應該如何加強防范，保障自身數據與業務安全?11月6日至7日，由騰訊云主辦的首屆Techo開發者大會上，騰訊安全正式發布“云數據安全中臺”，助力企業以極簡的方式，構建端對端的云數據全生命周期安全體系。
具體而言，騰訊安全以云數據安全中臺為中心，圍繞數據加密軟硬件系統(CloudHSM/SEM)、密鑰管理系統(KMS)憑據管理系統(Secrets Manager)三大能力，將合規的密碼運算、密碼技術、密碼產品以組件化、服務化方式輸出，保障企業數據在識別、使用、消費過程中的安全。在這套數據安全體系中，騰訊安全可提供全數據生命周期支持、完整的云產品生態集成以及隨取隨用的加密API/SDK服務。
(騰訊云數據安全負責人姬生利介紹“騰訊云數據安全中臺”)
產業數字化轉型形勢下，云上數據安全成關鍵風險點
數據安全已經成為所有企業在產業互聯網時代必須直面的挑戰。據risk based security 統計，2019年上半年，世界范圍內已經發生了3813起數據泄露事件，被公開的數據達41億條。全球各行業正在遭受高頻次爆發的數據泄露安全事件困擾，國際國內相關公司和用戶也正因此而遭受巨大的損失。
今年10月12日，國務院發展研究中心發布了《中國云計算產業發展白皮書》，指出影響云計算產業發展和應用的最普遍、最核心的制約因素就是云計算的安全性和數據私密性保護。云上數據安全，儼然已經是業務數字化、智能化升級的關鍵風險點。
面對數據泄露帶來的挑戰，我國正在加快在數據安全領域、密碼應用規范及密碼立法的步伐，與數據安全保護相關的法律法規相繼出臺。例如今年5月網絡安全等級保護條例2.0正式發布，明確了密碼評測的重要性;10月《密碼法》正式發布，旨在通過約束密碼應用規范，來落實關鍵數據的保護策略。在此背景下，企業安全架構將進一步朝以數據為中心“Data-Centric”的防護策略發展。
對于企業防護而言，數據全生命周期防護關鍵點是在數據的產生、流動、存儲、使用及銷毀過程中應用加密技術進行保護，并進行細粒度的身份認證和訪問控制。然而，企業在落實密碼應用策略方面存在四大難點問題：一是數據的分類和治理策略，明確哪些數據需要加密，如何進行分類管理，這是進行有效數據安全防護的基礎;二是如何在數據存儲、使用、傳輸中透明地應用合規的加密策略，如傳輸加密、存儲加密等;三是在這些加密應用中如何保障密鑰的安全與管理，確保密鑰被安全的地創建、管理、分發、更新或銷毀等;第四是異常事件的監測和分析。
圍繞三大核心能力，助力企業極簡構建云數據全生命周期安全體系
為幫助行業客戶解決數據安全問題，護航產業安全發展，騰訊安全基于20年來騰訊自身數據保護的經驗，和行業領先的攻防技術積累，推出了“云數據安全中臺”，打造端到端的云數據全生命周期安全體系，以數據加密軟硬件系統(CloudHSM/SEM)、密鑰管理系統(KMS)以及憑據管理系統(Secrets Manager)三大能力為核心，將密碼運算、密碼技術及密碼產品以服務化、組件化的方式輸出，并無縫集成至騰訊云產品中，實現從數據獲取、事務處理及檢索、數據分析與服務，數據訪問與消費過程中的安全防護。
針對企業密碼應用難點，騰訊安全首先在數據分類分級和安全策略上，對數據進行梳理分級，辨析出需要進行加密的敏感數據以及敏感數據的數據狀態;其次，結合相應的合規標準和業務需求，實施不同的加密方式和合規策略，在進行數據加密的關鍵過程中，通過密鑰管理系統KMS，提供對密鑰的全生命周期進行管控;最后，按照制定的加密策略應用到企業核心業務、敏感數據以及數據鏈路上。借助騰訊云數據安全中臺提供的極簡化的加密API和SDK服務，企業用戶可以輕松的在各個業務環節中嵌入合規的加密及密碼技術，便捷的實現對現有業務的密碼應用進行合規化改造，構建極簡的云數據保護方案。
(騰訊云數據安全中臺架構)
目前，騰訊云數據安全中臺已經應用在敏感數據加密、本地高性能數據加密、云上數據安全存儲、敏感配置信息托管及加密等常見安全場景當中。
針對敏感數據，密鑰管理系統(KMS)提供了細粒度的權限管控和基于硬件加密機的計算資源，借助KMS服務，可以幫助用戶便捷安全的對配置文件、密鑰證書、用戶信息、銀行賬號、口令等隱私數據進行加解密服務，實現敏感數據明文不落盤。
為了讓用戶以最小的工作量極簡地實現對云上數據的加密保護，密鑰管理系統(KMS)和云產品無縫集成，為用戶提供透明加密的解決方案，用戶只需要開通相應的服務，無需關系加密的細節，密鑰管理系統(KMS)就能為云產品提供密鑰CMK和DEK，實現透明的數據加密。
對于本地高性能數據加密，密鑰管理系統(KMS)實現了多語言的進一步封裝，提供KMS Encrypt SDK應用。用戶只需要通過簡單調用接口，即可實現高性能的本地數據加密應用，開發者只需要管理根秘鑰CMK的權限控制即可便捷實現海量數據本地加解密服務。
針對敏感配置、敏感憑據硬編碼帶來的泄露風險問題，憑據管理系統Secrets Manager服務為用戶提供憑據的創建、使用、刪除、權限等全生命周期管理，所有的憑據由密鑰管理系統(KMS)進行加密保護，并且提供非常簡單的使用接口和SDK，極大地降低用戶的使用成本和管理成本。通過騰訊云數據安全中臺Secrets Manager的能力，可以輕松實現對數據庫憑證、API 密鑰和其他密鑰、敏感配置等的集中檢索、管理以及加密存儲，有效避免程序硬編碼帶來的明文泄密以及權限失控帶來的業務風險。
基于“云數據安全中臺”，配合騰訊云專業的數據治理技術、加密服務中臺設施、以及核心數據安全產品，騰訊安全將致力于打通合規層、技術層、云產品層、安全服務層、解決方案層等方面的安全能力，幫助用戶構建極簡云數據保護方案，助力企業低成本、高效率地應對來自數據安全的挑戰，加速實現數字化、智能化的轉型升級。
