2021年12月11日，由雷峰網(wǎng) & AI 掘金志主辦的第四屆中國(guó)人工智能安防峰會(huì)，在深圳正式召開。

本屆峰會(huì)以「數(shù)字城市的時(shí)代突圍」為主題，會(huì)上代表城市AIoT的14家標(biāo)桿企業(yè)，為現(xiàn)場(chǎng)和線上觀眾，分享迎接數(shù)字城市的經(jīng)營(yíng)理念與技術(shù)應(yīng)用方法論。

會(huì)上，騰訊安全云鼎實(shí)驗(yàn)室高級(jí)研究員謝燦發(fā)表了精彩演講。 

謝燦提到，從2019年的《密碼法》到今年的《個(gè)人信息保護(hù)法》、《數(shù)據(jù)安全法》，在法律法規(guī)層面，我國(guó)加大了數(shù)據(jù)安全合規(guī)管控。全球各國(guó)廣泛推出數(shù)據(jù)安全管制法規(guī)，標(biāo)志著數(shù)據(jù)安全合規(guī)時(shí)代的到來(lái)。

數(shù)字經(jīng)濟(jì)時(shí)代數(shù)據(jù)安全合規(guī)背景下，企業(yè)數(shù)據(jù)安全需求發(fā)生變化，主要在數(shù)據(jù)安全和隱私保護(hù)兩個(gè)方面。

之前行業(yè)更多地談網(wǎng)絡(luò)攻擊、數(shù)據(jù)防泄露，現(xiàn)在行業(yè)必須把隱私保護(hù)，比如數(shù)據(jù)的過(guò)度收集、數(shù)據(jù)濫用、數(shù)據(jù)泄露納入安全規(guī)劃。也就是說(shuō)，行業(yè)需要在數(shù)據(jù)安全得到保護(hù)以及合規(guī)性指導(dǎo)下釋放數(shù)字經(jīng)濟(jì)生產(chǎn)力，以數(shù)據(jù)安全治理為中心的數(shù)據(jù)安全建設(shè)新理念。

行業(yè)從主要談網(wǎng)絡(luò)安全，比如靜態(tài)數(shù)據(jù)安全防護(hù)，到后續(xù)更多地談數(shù)據(jù)全生命周期、數(shù)字化業(yè)務(wù)發(fā)展，兼顧安全、合規(guī)與成本。

數(shù)據(jù)安全新挑戰(zhàn)以及數(shù)據(jù)安全技術(shù)落地重點(diǎn)，同時(shí)也是數(shù)據(jù)安全的難點(diǎn)在于以下幾個(gè)方面：

• 數(shù)據(jù)資產(chǎn)化，迫使安全管理機(jī)制優(yōu)化；

• IT架構(gòu)快速變化，導(dǎo)致安全防御體系失效；

• 算力持續(xù)增長(zhǎng)，使得傳統(tǒng)安全算法滯后；

• 攻防節(jié)奏加快，讓行業(yè)快速部署及應(yīng)急響應(yīng)能力亟待提升。

例如，傳統(tǒng)數(shù)據(jù)安全方案上線動(dòng)輒數(shù)月，往往也需要業(yè)務(wù)系統(tǒng)進(jìn)行改造適配，且在海量數(shù)據(jù)量場(chǎng)景下，甚至給業(yè)務(wù)帶來(lái)20%-30%的業(yè)務(wù)損耗，已經(jīng)無(wú)法匹配數(shù)字經(jīng)濟(jì)時(shí)代下，數(shù)據(jù)合規(guī)與新IT架構(gòu)下的數(shù)據(jù)安全戰(zhàn)略訴求。

這就需要行業(yè)形成一體化、自動(dòng)化、高性能、快部署、免改造的實(shí)現(xiàn)方式。目前已經(jīng)有成熟方案，例如在騰訊工業(yè)云平臺(tái)Wemake的數(shù)據(jù)加密中，通過(guò)應(yīng)用騰訊云安全訪問(wèn)代理CASB的加密方案，一天就完成了上線，業(yè)務(wù)性能損耗在5%之內(nèi)。

以下是謝燦演講全文，雷峰網(wǎng)AI掘金志作了不改變?cè)獾恼砼c編輯：

謝燦：大家好，我是騰訊云鼎安全實(shí)驗(yàn)室的謝燦。很高興與大家分享我們?cè)跀?shù)據(jù)安全方面的研究成果。

首先，看數(shù)據(jù)安全的研究之前，我們看一下環(huán)境變化。在數(shù)據(jù)經(jīng)濟(jì)時(shí)代，數(shù)據(jù)安全新環(huán)境發(fā)生了新的需求，從而衍生出數(shù)據(jù)安全保護(hù)以及合規(guī)的問(wèn)題。

新環(huán)境和新需求體現(xiàn)以下幾個(gè)方面：

從數(shù)據(jù)安全行業(yè)，或者從整個(gè)數(shù)字化建設(shè)階段來(lái)看，比較重大的事件是，2018年GDPR（《通用數(shù)據(jù)保護(hù)條例》）生效后，當(dāng)時(shí)的Facebook因?yàn)閿?shù)據(jù)安全問(wèn)題，被處以4%年度營(yíng)業(yè)額的罰款，其股價(jià)大跌15%。因此數(shù)據(jù)安全實(shí)際上成為企業(yè)經(jīng)營(yíng)風(fēng)險(xiǎn)管控的重要一環(huán)，但這件事主要涉及海外領(lǐng)域，國(guó)內(nèi)感覺(jué)不深。

到了今年，我們國(guó)家開始施行《個(gè)人信息保護(hù)法》、《數(shù)據(jù)安全法》，再聯(lián)系到2019年的《密碼法》，相信大家已經(jīng)感受到，在法律法規(guī)層面，我國(guó)加大了數(shù)據(jù)安全合規(guī)管控。

這些法律法規(guī)總結(jié)起來(lái)有幾個(gè)特點(diǎn)。

• 適用范圍非常廣，包括國(guó)內(nèi)、跨境以及不同行業(yè)，都有相應(yīng)法律合規(guī)性的要求，并且合規(guī)要求很高，尤其是涉及個(gè)人信息層面；舉個(gè)例子，以前企業(yè)可以采集個(gè)人數(shù)據(jù)，用人臉識(shí)別做業(yè)務(wù)創(chuàng)新，但現(xiàn)在不得不考慮合規(guī)性要求；

• 處罰力度大。我國(guó)的《個(gè)人信息保護(hù)法》，對(duì)違法違規(guī)企業(yè)的罰款，實(shí)際是全年?duì)I業(yè)額的5%，非常高的金額。

以前行業(yè)主要談網(wǎng)絡(luò)攻擊、數(shù)據(jù)防泄露，現(xiàn)在必須把隱私保護(hù)涉及數(shù)據(jù)的過(guò)度收集、數(shù)據(jù)濫用、數(shù)據(jù)泄露納入安全規(guī)劃。也就是說(shuō)，行業(yè)需要在數(shù)據(jù)安全得到保護(hù)以及合規(guī)性指導(dǎo)下釋放數(shù)字經(jīng)濟(jì)生產(chǎn)力。

從安全從業(yè)者的角度來(lái)看，十幾年前，我們談安全，主要談網(wǎng)絡(luò)安全，可能是做一些靜態(tài)數(shù)據(jù)的防護(hù)，這件事干完，指標(biāo)就可以達(dá)成。

后來(lái)幾年我們談數(shù)據(jù)，在數(shù)據(jù)的全生命周期當(dāng)中，每一個(gè)周期做安全防護(hù)措施就可以了。我們做的更多是消耗性部門的工作，沒(méi)有在企業(yè)整體的發(fā)展中發(fā)揮作用。

到了現(xiàn)在這個(gè)階段，數(shù)據(jù)安全成為了企業(yè)的戰(zhàn)略，我們從“網(wǎng)絡(luò)——數(shù)據(jù)——數(shù)據(jù)安全治理”，需要更多考慮數(shù)字化業(yè)務(wù)發(fā)展的規(guī)劃。

比如明年要通過(guò)數(shù)字化做什么樣的業(yè)務(wù)，以及在這個(gè)業(yè)務(wù)中，安全需要做什么樣的規(guī)劃配套，以及在合規(guī)性、安全性上如何進(jìn)行平衡，更好地推動(dòng)數(shù)字化業(yè)務(wù)的發(fā)展。

所以說(shuō)，在法律法規(guī)逐漸完善、行業(yè)發(fā)生數(shù)字化轉(zhuǎn)型的大背景下，數(shù)據(jù)安全保護(hù)也出現(xiàn)新的要求，對(duì)企業(yè)而言，也要出現(xiàn)新的改變。

在數(shù)據(jù)安全治理方面，有很多研究框架可以參考，包括Gartner的DSG框架，微軟的DGPC框架以及國(guó)標(biāo)委DSMM模型。

我們應(yīng)用更廣泛的，以及我自己參考最多的，主要是Gartner的框架。數(shù)據(jù)安全不只是上加密、做DLP、做身份管控就行，更重要的是，從業(yè)務(wù)化戰(zhàn)略、合規(guī)戰(zhàn)略以及IT戰(zhàn)略層面，規(guī)劃未來(lái)幾年到底需要怎么發(fā)展，然后再看怎樣在安全領(lǐng)域做優(yōu)先級(jí)規(guī)劃，再落地到安全建設(shè)的流程里。

今年以來(lái)，數(shù)據(jù)安全迎來(lái)春天，重要性提升到企業(yè)的戰(zhàn)略級(jí)別。同時(shí)，也面臨著許多困難，這也是為什么數(shù)據(jù)安全安全發(fā)展了很多年，但實(shí)際上走的很慢的原因。

• 數(shù)據(jù)資產(chǎn)化，數(shù)據(jù)安全管理已經(jīng)發(fā)生變化，相比傳統(tǒng)的數(shù)據(jù)安全，需要換一個(gè)層次思考安全管理的需求；

• IT架構(gòu)快速變化，現(xiàn)在行業(yè)講的是容器和微服務(wù)的IT架構(gòu)變化，然而當(dāng)IT產(chǎn)品沒(méi)有發(fā)生變化時(shí)，就很難適應(yīng)數(shù)字化發(fā)展的路徑；

• 算力持續(xù)增長(zhǎng)，數(shù)據(jù)量的增長(zhǎng)，對(duì)算力的要求更高，安全行業(yè)需要與之匹配；

• 攻防節(jié)奏加快，關(guān)注網(wǎng)絡(luò)安全行業(yè)的人可能會(huì)知道，中午出現(xiàn)漏洞，所有人都要加班加點(diǎn)堵漏洞，包括捕獲針對(duì)該漏洞的攻擊行為，與黑客拼時(shí)間。

在這種情況下，數(shù)據(jù)安全以及數(shù)據(jù)安全從業(yè)者，需要新型方案，做新型、快捷、輕量的方式。

前幾天，我們跟一位德勤的合作伙伴聊天，他說(shuō)他非常苦惱，經(jīng)常給一些企業(yè)做數(shù)據(jù)安全咨詢，畫了一個(gè)大圖，告訴企業(yè)，數(shù)據(jù)要怎樣分析，要做什么樣的管控。做完之后發(fā)現(xiàn)，沒(méi)有產(chǎn)品可以落地，結(jié)果就變成德勤的方案規(guī)劃很好，但沒(méi)有技術(shù)，落不了地。

傳統(tǒng)數(shù)據(jù)安全產(chǎn)品大多數(shù)比較分散，在不同的數(shù)據(jù)流階段部署不同的技術(shù)手段，比如審計(jì)的時(shí)候，在數(shù)據(jù)庫(kù)裝一個(gè)插件；做脫敏的時(shí)候，要做分類分級(jí)掃描庫(kù)。

在用不同的技術(shù)手段去做的時(shí)候，工期特別長(zhǎng)，可能業(yè)務(wù)只有兩個(gè)月的上線周期，安全要花半年、一年的時(shí)間，遠(yuǎn)遠(yuǎn)達(dá)不到要求。如果達(dá)不到數(shù)據(jù)安全的合規(guī)標(biāo)準(zhǔn)，業(yè)務(wù)是不能上線的。

另一方面，從業(yè)態(tài)本身的發(fā)展來(lái)看，傳統(tǒng)的數(shù)據(jù)安全對(duì)現(xiàn)在的數(shù)字經(jīng)濟(jì)時(shí)代來(lái)說(shuō)是遠(yuǎn)遠(yuǎn)不夠的，需要有企業(yè)提供專門的服務(wù)。

這就是云鼎實(shí)驗(yàn)室的定位：負(fù)責(zé)騰訊公有云平臺(tái)安全的同時(shí)，將研發(fā)的技術(shù)及產(chǎn)品對(duì)外輸出。

當(dāng)我們看到內(nèi)部需求，以及用戶側(cè)需求的時(shí)候，我們持續(xù)在數(shù)據(jù)安全進(jìn)行投入。整個(gè)方案首先還是集中治理，我們需要在用戶這一側(cè)把敏感數(shù)據(jù)管理起來(lái)。

但這些敏感數(shù)據(jù)在哪？我們還不知道。

因此首先需要發(fā)現(xiàn)敏感數(shù)據(jù)的資產(chǎn)，發(fā)現(xiàn)后，根據(jù)行業(yè)合規(guī)標(biāo)準(zhǔn)或內(nèi)部安全管控的標(biāo)準(zhǔn)做相應(yīng)的分類分級(jí)；然后再進(jìn)行相應(yīng)的管控，包括訪問(wèn)的控制，訪問(wèn)權(quán)限，以及DBA是不是能訪問(wèn)全部的數(shù)據(jù)；并且敏感字段需要進(jìn)行加密，訪問(wèn)的時(shí)候也要進(jìn)行脫敏。

在CASB應(yīng)用實(shí)踐中，包括騰訊的工業(yè)云、財(cái)務(wù)管理，以及在線教育、保險(xiǎn)、健康碼、小程序等等，我們?cè)谶@個(gè)過(guò)程中形成了快捷的數(shù)據(jù)安全解決方案。

其次，在發(fā)現(xiàn)敏感數(shù)據(jù)之后，要做分類分級(jí)。

怎么分？

目前在國(guó)內(nèi)，一些行業(yè)，如金融、汽車等，已經(jīng)有相應(yīng)數(shù)據(jù)安全分類分級(jí)的標(biāo)準(zhǔn)了，比如個(gè)人金融信息保護(hù)，比如哪些數(shù)據(jù)屬于敏感數(shù)據(jù)，必須進(jìn)行相應(yīng)的管控。

但整體而言，數(shù)據(jù)分類分級(jí)的成熟度并不是特別高。

所以，我們可以基于相應(yīng)的合規(guī)模板做分類分級(jí)的A/B/C，哪類數(shù)據(jù)是敏感數(shù)據(jù)，需要做加密，哪類數(shù)據(jù)共享時(shí)需要做脫敏，都可以做策略控制。

最后，數(shù)據(jù)存儲(chǔ)必須要加密，即便遇到黑客攻擊，它也是密文技術(shù)，即便泄露出去，不會(huì)給企業(yè)的業(yè)務(wù)帶來(lái)風(fēng)險(xiǎn)，也可以規(guī)避合規(guī)和處罰的風(fēng)險(xiǎn)。另外，在業(yè)務(wù)使用時(shí)，當(dāng)合作方讀取敏感信息時(shí)，需要做脫敏管控，包括對(duì)被授權(quán)應(yīng)用進(jìn)行相應(yīng)管控。

大家可以看一下上面這張圖。在這個(gè)方案里，如果我們保護(hù)個(gè)人金融信息，保護(hù)規(guī)范，整個(gè)數(shù)據(jù)存儲(chǔ)里，包括數(shù)據(jù)庫(kù)和存儲(chǔ)，有哪些的敏感數(shù)據(jù)、多少個(gè)表、多少個(gè)數(shù)據(jù)庫(kù)、存儲(chǔ)對(duì)象，屬于中風(fēng)險(xiǎn)還是高風(fēng)險(xiǎn)，這些風(fēng)險(xiǎn)數(shù)據(jù)是否采用了加密或脫敏，如果沒(méi)采用可以點(diǎn)擊進(jìn)行脫敏，這些都可以掃描出來(lái)，整個(gè)過(guò)程非常流暢。

最后講一下我們的案例。

目前我們CASB應(yīng)用更多的是騰訊內(nèi)部的業(yè)務(wù)系統(tǒng)。

最典型的場(chǎng)景，是騰訊的工業(yè)云WeMake平臺(tái)。當(dāng)時(shí)在做一個(gè)五星級(jí)平臺(tái)認(rèn)證的時(shí)候，突然發(fā)現(xiàn)云平臺(tái)在數(shù)據(jù)隱私保護(hù)上，缺乏管控措施，這時(shí)候離測(cè)評(píng)只剩下一周的時(shí)間，他們自己肯定搞不定，于是直接上我們的CASB方案，性能表現(xiàn)很好。

這體現(xiàn)在兩方面：一是時(shí)間快，二是性能損耗低。

一方面，按照以前他們?cè)诠I(yè)云平臺(tái)上做數(shù)據(jù)安全治理的邏輯，三個(gè)月的時(shí)間也做不完，但是用CASB的方式，一天就可以完成相應(yīng)數(shù)據(jù)安全治理的上限；

另一方面，數(shù)據(jù)加密損耗太高（20%-30%）是不可接受的，CASB方案最小化控制了性能損耗，從30%下降到5%甚至2%，目前我們也正在跟數(shù)據(jù)庫(kù)做內(nèi)核層的集成，性能損耗會(huì)進(jìn)一步降低。

所以這才是數(shù)字經(jīng)濟(jì)時(shí)代需要的解決方案，可以支持?jǐn)?shù)據(jù)性能、業(yè)務(wù)上線時(shí)間的要求。

騰訊開始做健康碼的時(shí)候，也遇到過(guò)這些問(wèn)題，但現(xiàn)在所有的健康碼、城市碼上線時(shí)，都可以非?？焖賹?shí)現(xiàn)數(shù)據(jù)安全保障，并達(dá)到相關(guān)政務(wù)行業(yè)合規(guī)性的要求。

數(shù)據(jù)安全一定要匹配業(yè)務(wù)發(fā)展的節(jié)奏，或業(yè)務(wù)數(shù)字化轉(zhuǎn)變的節(jié)奏，這是我們做云化數(shù)據(jù)安全帶來(lái)的優(yōu)勢(shì)，其特點(diǎn)是一站式、輕量化、精準(zhǔn)化、免改造、可迭代等等。

云鼎實(shí)驗(yàn)室負(fù)責(zé)整個(gè)公有云平臺(tái)的安全，包括安全運(yùn)營(yíng)以及數(shù)據(jù)安全，其核心就是云數(shù)據(jù)安全中臺(tái)，主要輸出網(wǎng)絡(luò)加密、密鑰管理、應(yīng)用加密，以及馬上推出的精密計(jì)算等能力。

在此基礎(chǔ)之上，我們把這個(gè)產(chǎn)品跟云產(chǎn)品進(jìn)行集成。

未來(lái)，我們希望在騰訊云的基礎(chǔ)架構(gòu)上，從數(shù)據(jù)獲取，到數(shù)據(jù)的處理、檢索、分析以及整個(gè)銷毀的過(guò)程，都可以利用數(shù)據(jù)安全的技術(shù)快速實(shí)現(xiàn)業(yè)務(wù)架構(gòu)數(shù)據(jù)安全能力的集成。

這種情況下，業(yè)務(wù)部門可以專注于自己的業(yè)務(wù)架構(gòu)搭建，數(shù)據(jù)安全能力可以原生集成到業(yè)務(wù)架構(gòu)里。

從客戶端、后臺(tái)到傳輸過(guò)程，都可以用云數(shù)據(jù)安全的能力，達(dá)到整體的隱私保護(hù)。

最后，騰訊安全云鼎實(shí)驗(yàn)室云數(shù)據(jù)安全中臺(tái)的愿景，就是讓云比傳統(tǒng)數(shù)據(jù)中心更為安全可控。

2022年1月，我們會(huì)推出機(jī)密計(jì)算的能力，解決具備核心應(yīng)用的用戶在上云時(shí)需要解決的云服務(wù)商信任的問(wèn)題。在傳統(tǒng)數(shù)據(jù)安全的基礎(chǔ)之上，必須信任云廠商，數(shù)據(jù)上云，只能通過(guò)商務(wù)條款或信任度保障數(shù)據(jù)是安全的。

我們發(fā)布機(jī)密計(jì)算，其實(shí)是把云的信任模型從誠(chéng)實(shí)模型轉(zhuǎn)變?yōu)榘胝\(chéng)實(shí)模型，保證所有的數(shù)據(jù)上云之后，數(shù)據(jù)管控依然在用戶手中。雷峰網(wǎng)(公眾號(hào)：雷峰網(wǎng))雷峰網(wǎng)

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。