2021年12月11日，由雷峰網(wǎng) & AI 掘金志主辦的第四屆中國人工智能安防峰會，在深圳正式召開。

本屆峰會以「數(shù)字城市的時代突圍」為主題，會上代表城市AIoT的14家標桿企業(yè)，為現(xiàn)場和線上觀眾，分享迎接數(shù)字城市的經(jīng)營理念與技術應用方法論。

會上，騰訊安全云鼎實驗室高級研究員謝燦發(fā)表了精彩演講。 

謝燦提到，從2019年的《密碼法》到今年的《個人信息保護法》、《數(shù)據(jù)安全法》，在法律法規(guī)層面，我國加大了數(shù)據(jù)安全合規(guī)管控。全球各國廣泛推出數(shù)據(jù)安全管制法規(guī)，標志著數(shù)據(jù)安全合規(guī)時代的到來。

數(shù)字經(jīng)濟時代數(shù)據(jù)安全合規(guī)背景下，企業(yè)數(shù)據(jù)安全需求發(fā)生變化，主要在數(shù)據(jù)安全和隱私保護兩個方面。

之前行業(yè)更多地談網(wǎng)絡攻擊、數(shù)據(jù)防泄露，現(xiàn)在行業(yè)必須把隱私保護，比如數(shù)據(jù)的過度收集、數(shù)據(jù)濫用、數(shù)據(jù)泄露納入安全規(guī)劃。也就是說，行業(yè)需要在數(shù)據(jù)安全得到保護以及合規(guī)性指導下釋放數(shù)字經(jīng)濟生產(chǎn)力，以數(shù)據(jù)安全治理為中心的數(shù)據(jù)安全建設新理念。

行業(yè)從主要談網(wǎng)絡安全，比如靜態(tài)數(shù)據(jù)安全防護，到后續(xù)更多地談數(shù)據(jù)全生命周期、數(shù)字化業(yè)務發(fā)展，兼顧安全、合規(guī)與成本。

數(shù)據(jù)安全新挑戰(zhàn)以及數(shù)據(jù)安全技術落地重點，同時也是數(shù)據(jù)安全的難點在于以下幾個方面：

• 數(shù)據(jù)資產(chǎn)化，迫使安全管理機制優(yōu)化；

• IT架構快速變化，導致安全防御體系失效；

• 算力持續(xù)增長，使得傳統(tǒng)安全算法滯后；

• 攻防節(jié)奏加快，讓行業(yè)快速部署及應急響應能力亟待提升。

例如，傳統(tǒng)數(shù)據(jù)安全方案上線動輒數(shù)月，往往也需要業(yè)務系統(tǒng)進行改造適配，且在海量數(shù)據(jù)量場景下，甚至給業(yè)務帶來20%-30%的業(yè)務損耗，已經(jīng)無法匹配數(shù)字經(jīng)濟時代下，數(shù)據(jù)合規(guī)與新IT架構下的數(shù)據(jù)安全戰(zhàn)略訴求。

這就需要行業(yè)形成一體化、自動化、高性能、快部署、免改造的實現(xiàn)方式。目前已經(jīng)有成熟方案，例如在騰訊工業(yè)云平臺Wemake的數(shù)據(jù)加密中，通過應用騰訊云安全訪問代理CASB的加密方案，一天就完成了上線，業(yè)務性能損耗在5%之內。

以下是謝燦演講全文，雷峰網(wǎng)(公眾號：雷峰網(wǎng))AI掘金志作了不改變原意的整理與編輯：

謝燦：大家好，我是騰訊云鼎安全實驗室的謝燦。很高興與大家分享我們在數(shù)據(jù)安全方面的研究成果。

首先，看數(shù)據(jù)安全的研究之前，我們看一下環(huán)境變化。在數(shù)據(jù)經(jīng)濟時代，數(shù)據(jù)安全新環(huán)境發(fā)生了新的需求，從而衍生出數(shù)據(jù)安全保護以及合規(guī)的問題。

新環(huán)境和新需求體現(xiàn)以下幾個方面：

從數(shù)據(jù)安全行業(yè)，或者從整個數(shù)字化建設階段來看，比較重大的事件是，2018年GDPR（《通用數(shù)據(jù)保護條例》）生效后，當時的Facebook因為數(shù)據(jù)安全問題，被處以4%年度營業(yè)額的罰款，其股價大跌15%。因此數(shù)據(jù)安全實際上成為企業(yè)經(jīng)營風險管控的重要一環(huán)，但這件事主要涉及海外領域，國內感覺不深。

到了今年，我們國家開始施行《個人信息保護法》、《數(shù)據(jù)安全法》，再聯(lián)系到2019年的《密碼法》，相信大家已經(jīng)感受到，在法律法規(guī)層面，我國加大了數(shù)據(jù)安全合規(guī)管控。

這些法律法規(guī)總結起來有幾個特點。

• 適用范圍非常廣，包括國內、跨境以及不同行業(yè)，都有相應法律合規(guī)性的要求，并且合規(guī)要求很高，尤其是涉及個人信息層面；舉個例子，以前企業(yè)可以采集個人數(shù)據(jù)，用人臉識別做業(yè)務創(chuàng)新，但現(xiàn)在不得不考慮合規(guī)性要求；

• 處罰力度大。我國的《個人信息保護法》，對違法違規(guī)企業(yè)的罰款，實際是全年營業(yè)額的5%，非常高的金額。

以前行業(yè)主要談網(wǎng)絡攻擊、數(shù)據(jù)防泄露，現(xiàn)在必須把隱私保護涉及數(shù)據(jù)的過度收集、數(shù)據(jù)濫用、數(shù)據(jù)泄露納入安全規(guī)劃。也就是說，行業(yè)需要在數(shù)據(jù)安全得到保護以及合規(guī)性指導下釋放數(shù)字經(jīng)濟生產(chǎn)力。

從安全從業(yè)者的角度來看，十幾年前，我們談安全，主要談網(wǎng)絡安全，可能是做一些靜態(tài)數(shù)據(jù)的防護，這件事干完，指標就可以達成。

后來幾年我們談數(shù)據(jù)，在數(shù)據(jù)的全生命周期當中，每一個周期做安全防護措施就可以了。我們做的更多是消耗性部門的工作，沒有在企業(yè)整體的發(fā)展中發(fā)揮作用。

到了現(xiàn)在這個階段，數(shù)據(jù)安全成為了企業(yè)的戰(zhàn)略，我們從“網(wǎng)絡——數(shù)據(jù)——數(shù)據(jù)安全治理”，需要更多考慮數(shù)字化業(yè)務發(fā)展的規(guī)劃。

比如明年要通過數(shù)字化做什么樣的業(yè)務，以及在這個業(yè)務中，安全需要做什么樣的規(guī)劃配套，以及在合規(guī)性、安全性上如何進行平衡，更好地推動數(shù)字化業(yè)務的發(fā)展。

所以說，在法律法規(guī)逐漸完善、行業(yè)發(fā)生數(shù)字化轉型的大背景下，數(shù)據(jù)安全保護也出現(xiàn)新的要求，對企業(yè)而言，也要出現(xiàn)新的改變。

在數(shù)據(jù)安全治理方面，有很多研究框架可以參考，包括Gartner的DSG框架，微軟的DGPC框架以及國標委DSMM模型。

我們應用更廣泛的，以及我自己參考最多的，主要是Gartner的框架。數(shù)據(jù)安全不只是上加密、做DLP、做身份管控就行，更重要的是，從業(yè)務化戰(zhàn)略、合規(guī)戰(zhàn)略以及IT戰(zhàn)略層面，規(guī)劃未來幾年到底需要怎么發(fā)展，然后再看怎樣在安全領域做優(yōu)先級規(guī)劃，再落地到安全建設的流程里。

今年以來，數(shù)據(jù)安全迎來春天，重要性提升到企業(yè)的戰(zhàn)略級別。同時，也面臨著許多困難，這也是為什么數(shù)據(jù)安全安全發(fā)展了很多年，但實際上走的很慢的原因。

• 數(shù)據(jù)資產(chǎn)化，數(shù)據(jù)安全管理已經(jīng)發(fā)生變化，相比傳統(tǒng)的數(shù)據(jù)安全，需要換一個層次思考安全管理的需求；

• IT架構快速變化，現(xiàn)在行業(yè)講的是容器和微服務的IT架構變化，然而當IT產(chǎn)品沒有發(fā)生變化時，就很難適應數(shù)字化發(fā)展的路徑；

• 算力持續(xù)增長，數(shù)據(jù)量的增長，對算力的要求更高，安全行業(yè)需要與之匹配；

• 攻防節(jié)奏加快，關注網(wǎng)絡安全行業(yè)的人可能會知道，中午出現(xiàn)漏洞，所有人都要加班加點堵漏洞，包括捕獲針對該漏洞的攻擊行為，與黑客拼時間。

在這種情況下，數(shù)據(jù)安全以及數(shù)據(jù)安全從業(yè)者，需要新型方案，做新型、快捷、輕量的方式。

前幾天，我們跟一位德勤的合作伙伴聊天，他說他非?？鄲?，經(jīng)常給一些企業(yè)做數(shù)據(jù)安全咨詢，畫了一個大圖，告訴企業(yè)，數(shù)據(jù)要怎樣分析，要做什么樣的管控。做完之后發(fā)現(xiàn)，沒有產(chǎn)品可以落地，結果就變成德勤的方案規(guī)劃很好，但沒有技術，落不了地。

傳統(tǒng)數(shù)據(jù)安全產(chǎn)品大多數(shù)比較分散，在不同的數(shù)據(jù)流階段部署不同的技術手段，比如審計的時候，在數(shù)據(jù)庫裝一個插件；做脫敏的時候，要做分類分級掃描庫。

在用不同的技術手段去做的時候，工期特別長，可能業(yè)務只有兩個月的上線周期，安全要花半年、一年的時間，遠遠達不到要求。如果達不到數(shù)據(jù)安全的合規(guī)標準，業(yè)務是不能上線的。

另一方面，從業(yè)態(tài)本身的發(fā)展來看，傳統(tǒng)的數(shù)據(jù)安全對現(xiàn)在的數(shù)字經(jīng)濟時代來說是遠遠不夠的，需要有企業(yè)提供專門的服務。

這就是云鼎實驗室的定位：負責騰訊公有云平臺安全的同時，將研發(fā)的技術及產(chǎn)品對外輸出。

當我們看到內部需求，以及用戶側需求的時候，我們持續(xù)在數(shù)據(jù)安全進行投入。整個方案首先還是集中治理，我們需要在用戶這一側把敏感數(shù)據(jù)管理起來。

但這些敏感數(shù)據(jù)在哪？我們還不知道。

因此首先需要發(fā)現(xiàn)敏感數(shù)據(jù)的資產(chǎn)，發(fā)現(xiàn)后，根據(jù)行業(yè)合規(guī)標準或內部安全管控的標準做相應的分類分級；然后再進行相應的管控，包括訪問的控制，訪問權限，以及DBA是不是能訪問全部的數(shù)據(jù)；并且敏感字段需要進行加密，訪問的時候也要進行脫敏。

在CASB應用實踐中，包括騰訊的工業(yè)云、財務管理，以及在線教育、保險、健康碼、小程序等等，我們在這個過程中形成了快捷的數(shù)據(jù)安全解決方案。

其次，在發(fā)現(xiàn)敏感數(shù)據(jù)之后，要做分類分級。

怎么分？

目前在國內，一些行業(yè)，如金融、汽車等，已經(jīng)有相應數(shù)據(jù)安全分類分級的標準了，比如個人金融信息保護，比如哪些數(shù)據(jù)屬于敏感數(shù)據(jù)，必須進行相應的管控。

但整體而言，數(shù)據(jù)分類分級的成熟度并不是特別高。

所以，我們可以基于相應的合規(guī)模板做分類分級的A/B/C，哪類數(shù)據(jù)是敏感數(shù)據(jù)，需要做加密，哪類數(shù)據(jù)共享時需要做脫敏，都可以做策略控制。

最后，數(shù)據(jù)存儲必須要加密，即便遇到黑客攻擊，它也是密文技術，即便泄露出去，不會給企業(yè)的業(yè)務帶來風險，也可以規(guī)避合規(guī)和處罰的風險。另外，在業(yè)務使用時，當合作方讀取敏感信息時，需要做脫敏管控，包括對被授權應用進行相應管控。

大家可以看一下上面這張圖。在這個方案里，如果我們保護個人金融信息，保護規(guī)范，整個數(shù)據(jù)存儲里，包括數(shù)據(jù)庫和存儲，有哪些的敏感數(shù)據(jù)、多少個表、多少個數(shù)據(jù)庫、存儲對象，屬于中風險還是高風險，這些風險數(shù)據(jù)是否采用了加密或脫敏，如果沒采用可以點擊進行脫敏，這些都可以掃描出來，整個過程非常流暢。

最后講一下我們的案例。

目前我們CASB應用更多的是騰訊內部的業(yè)務系統(tǒng)。

最典型的場景，是騰訊的工業(yè)云WeMake平臺。當時在做一個五星級平臺認證的時候，突然發(fā)現(xiàn)云平臺在數(shù)據(jù)隱私保護上，缺乏管控措施，這時候離測評只剩下一周的時間，他們自己肯定搞不定，于是直接上我們的CASB方案，性能表現(xiàn)很好。

這體現(xiàn)在兩方面：一是時間快，二是性能損耗低。

一方面，按照以前他們在工業(yè)云平臺上做數(shù)據(jù)安全治理的邏輯，三個月的時間也做不完，但是用CASB的方式，一天就可以完成相應數(shù)據(jù)安全治理的上限；

另一方面，數(shù)據(jù)加密損耗太高（20%-30%）是不可接受的，CASB方案最小化控制了性能損耗，從30%下降到5%甚至2%，目前我們也正在跟數(shù)據(jù)庫做內核層的集成，性能損耗會進一步降低。

所以這才是數(shù)字經(jīng)濟時代需要的解決方案，可以支持數(shù)據(jù)性能、業(yè)務上線時間的要求。

騰訊開始做健康碼的時候，也遇到過這些問題，但現(xiàn)在所有的健康碼、城市碼上線時，都可以非?？焖賹崿F(xiàn)數(shù)據(jù)安全保障，并達到相關政務行業(yè)合規(guī)性的要求。

數(shù)據(jù)安全一定要匹配業(yè)務發(fā)展的節(jié)奏，或業(yè)務數(shù)字化轉變的節(jié)奏，這是我們做云化數(shù)據(jù)安全帶來的優(yōu)勢，其特點是一站式、輕量化、精準化、免改造、可迭代等等。

云鼎實驗室負責整個公有云平臺的安全，包括安全運營以及數(shù)據(jù)安全，其核心就是云數(shù)據(jù)安全中臺，主要輸出網(wǎng)絡加密、密鑰管理、應用加密，以及馬上推出的精密計算等能力。

在此基礎之上，我們把這個產(chǎn)品跟云產(chǎn)品進行集成。

未來，我們希望在騰訊云的基礎架構上，從數(shù)據(jù)獲取，到數(shù)據(jù)的處理、檢索、分析以及整個銷毀的過程，都可以利用數(shù)據(jù)安全的技術快速實現(xiàn)業(yè)務架構數(shù)據(jù)安全能力的集成。

這種情況下，業(yè)務部門可以專注于自己的業(yè)務架構搭建，數(shù)據(jù)安全能力可以原生集成到業(yè)務架構里。

從客戶端、后臺到傳輸過程，都可以用云數(shù)據(jù)安全的能力，達到整體的隱私保護。

最后，騰訊安全云鼎實驗室云數(shù)據(jù)安全中臺的愿景，就是讓云比傳統(tǒng)數(shù)據(jù)中心更為安全可控。

2022年1月，我們會推出機密計算的能力，解決具備核心應用的用戶在上云時需要解決的云服務商信任的問題。在傳統(tǒng)數(shù)據(jù)安全的基礎之上，必須信任云廠商，數(shù)據(jù)上云，只能通過商務條款或信任度保障數(shù)據(jù)是安全的。

我們發(fā)布機密計算，其實是把云的信任模型從誠實模型轉變?yōu)榘胝\實模型，保證所有的數(shù)據(jù)上云之后，數(shù)據(jù)管控依然在用戶手中。雷峰網(wǎng)雷峰網(wǎng)

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權禁止轉載。詳情見轉載須知。